Guía de políticas BYOD con Microsoft Intune para pequeñas empresas
Cómo permitir que los empleados usen teléfonos y laptops personales para trabajar con Microsoft Intune: protección de apps, inscripción, acceso condicional y privacidad.
La forma más práctica de admitir dispositivos personales (BYOD, por sus siglas en inglés) con Microsoft Intune es proteger los datos de la empresa dentro de las aplicaciones, en lugar de controlar todo el dispositivo personal. Las políticas de protección de aplicaciones de Intune mantienen cifrados y separados los datos de Outlook, Teams, OneDrive y otras aplicaciones de Microsoft 365, impiden copiarlos a aplicaciones personales y permiten un borrado selectivo solo de los datos de la empresa. Si a esto se suma el acceso condicional de Microsoft Entra ID, una política escrita clara y la inscripción completa solo donde realmente se necesita, se obtiene seguridad sin pedir a los empleados que entreguen el control de sus teléfonos.
Por qué BYOD necesita una política
Los empleados ya leen correos y abren archivos en sus teléfonos personales. Sin una política, los datos de la empresa pueden terminar en almacenamiento personal en la nube, en respaldos sin protección o en un dispositivo perdido sin código de acceso. Un buen enfoque BYOD responde tres preguntas:
- ¿A qué datos de la empresa se puede acceder desde dispositivos personales?
- ¿Qué controles se aplican a esos datos?
- ¿Qué puede ver y hacer la empresa en el dispositivo del empleado, y qué no?
Los componentes en Microsoft 365
| Componente | Qué hace | Licencia habitual |
|---|---|---|
| Microsoft Intune | Administración de dispositivos y aplicaciones | Incluido en Microsoft 365 Business Premium y algunos planes Enterprise |
| Políticas de protección de aplicaciones (MAM) | Protege los datos dentro de las apps administradas, con o sin inscripción | Intune |
| Acceso condicional de Microsoft Entra | Permite o bloquea el acceso según usuario, dispositivo, app y riesgo | Entra ID P1 o superior |
| Autenticación multifactor | Verifica la identidad al iniciar sesión | Disponible en los planes de Microsoft 365 |
Los nombres y paquetes de licencias cambian de vez en cuando, así que confirme su plan actual en el centro de administración de Microsoft 365.
Opción 1: Protección de aplicaciones sin inscripción
Para la mayoría de los teléfonos personales, las políticas de protección de aplicaciones sin inscripción del dispositivo son el punto de partida adecuado. La empresa administra las aplicaciones, no el dispositivo. Configuraciones típicas:
- Exigir un PIN o biometría para abrir las apps de trabajo.
- Cifrar los datos de trabajo dentro de la app.
- Bloquear "Guardar como" en almacenamiento personal y restringir copiar y pegar a apps administradas.
- Exigir una versión mínima de la app y del sistema operativo.
- Borrar los datos de trabajo tras un período sin conexión o demasiados intentos fallidos de PIN.
- Borrado selectivo cuando un empleado se va; las fotos, mensajes y apps personales no se tocan.
Por lo general, los empleados solo instalan las apps de Microsoft que ya usan, además de Microsoft Authenticator o el Portal de empresa cuando se requiere.
Opción 2: Inscripción diseñada para dispositivos personales
Cuando necesita más control, como desplegar perfiles de Wi-Fi o certificados, use los tipos de inscripción creados para dispositivos de propiedad personal:
- Android: Android Enterprise para dispositivos personales con perfil de trabajo, que mantiene las apps laborales en un contenedor separado e identificado.
- iOS y iPadOS: inscripción de usuario (basada en cuenta), que crea un volumen administrado separado para los datos de trabajo y limita lo que TI puede ver.
- Windows: los equipos Windows personales pueden registrarse en Entra ID; la protección de aplicaciones para Microsoft Edge en Windows puede proteger el acceso desde el navegador sin administrar todo el dispositivo.
La inscripción completa del dispositivo, que otorga a TI un control amplio, debe reservarse en general para los equipos propiedad de la empresa.
Opción 3: El acceso condicional como guardián
La protección de aplicaciones solo funciona si se exige usar apps protegidas. El acceso condicional lo hace cumplir. Un conjunto común de políticas BYOD:
- Exigir autenticación multifactor a todos los usuarios.
- En iOS y Android, exigir una política de protección de aplicaciones antes de conceder acceso a Exchange Online, SharePoint y Teams.
- Bloquear los protocolos de autenticación heredados.
- Para el acceso por navegador desde dispositivos no administrados, limitar las descargas mediante controles de sesión.
Pruebe primero las nuevas políticas en modo de solo informe y luego actívelas para un grupo piloto antes de extenderlas a toda la empresa.
Respete la privacidad de los empleados
La confianza es lo que hace funcionar el BYOD. Indique de forma explícita en su política escrita lo que TI no puede ver en los dispositivos personales administrados mediante protección de aplicaciones o inscripción de usuario, como correo personal, fotos, mensajes de texto e historial de navegación. Explique que un borrado selectivo elimina solo los datos de la empresa. El Portal de empresa de Intune también muestra a los usuarios qué puede y qué no puede ver su organización.
Un plan de implementación sencillo
- Redacte una política BYOD breve y pida a los empleados que la acepten.
- Confirme las licencias y active MFA para todos.
- Cree políticas de protección de aplicaciones para iOS y Android.
- Construya las políticas de acceso condicional en modo de solo informe.
- Haga un piloto con un grupo pequeño, recoja comentarios y ajuste.
- Extienda a todo el personal con instrucciones sencillas en español e inglés.
Nuestro servicio de Microsoft Intune se encarga del diseño, la implementación y la administración continua, incluidas guías bilingües para usuarios.
Preguntas frecuentes
¿La empresa puede ver mis fotos o mensajes personales?
Con políticas de protección de aplicaciones o inscripción de usuario, TI no puede ver fotos, mensajes ni historial de navegación personales. La administración se limita a las apps de trabajo o al área de trabajo separada.
¿Qué ocurre cuando un empleado deja la empresa?
TI realiza un borrado selectivo que elimina los datos de la empresa de las apps administradas o del perfil de trabajo. Los datos y apps personales permanecen en el dispositivo.
¿Necesitamos Microsoft 365 Business Premium?
Muchas pequeñas empresas usan Business Premium porque incluye Intune y Entra ID P1 para el acceso condicional. Existen otras combinaciones; la adecuada depende de sus suscripciones actuales.
Configure bien su política BYOD
Una configuración BYOD bien diseñada protege sus datos y respeta a su personal. Solicite una evaluación de TI gratuita y revisaremos su entorno de Microsoft 365 para recomendarle un enfoque práctico con Intune.
