Una empresa puede invertir millones en proteger sus servidores y, al mismo tiempo, dejar su información más sensible expuesta a través de un teléfono móvil. El problema no siempre está en la tecnología que utiliza, sino en los accesos que concede, los comportamientos que permite y los riesgos que todavía no reconoce.
Hoy, buena parte de las decisiones empresariales pasan por un dispositivo que cabe en el bolsillo. Desde allí se autorizan pagos, se revisan contratos, se consultan datos de clientes y se administran plataformas corporativas.
Sin embargo, muchas organizaciones siguen considerando el celular como un asunto personal del trabajador, incluso cuando se utiliza para desarrollar actividades del negocio.
Esta contradicción plantea una pregunta que merece atención: ¿quién protege realmente la información empresarial cuando sale de las instalaciones de la organización?
La respuesta exige comprender que la seguridad digital ya no depende exclusivamente de los sistemas informáticos. También depende de las personas, los procesos y las decisiones de dirección.
👉 LEE NUESTRO BLOG...
El riesgo que las empresas llevan en el bolsillo
Durante años, la seguridad informática empresarial se concentró en proteger computadores, servidores, redes internas y bases de datos.
Era una preocupación razonable. La mayor parte de la información corporativa permanecía dentro de instalaciones físicas y sistemas relativamente controlados.
Pero la manera de trabajar cambió.
Hoy, un gerente puede aprobar una transferencia desde su celular mientras se desplaza entre reuniones. Un responsable comercial consulta información de clientes mediante WhatsApp. Un profesional contable recibe documentos tributarios en aplicaciones de mensajería. Un trabajador accede a su correo institucional desde el mismo dispositivo donde instala aplicaciones personales.
La información empresarial comenzó a circular por entornos que las organizaciones no siempre administran.
Y aquí aparece una diferencia fundamental: utilizar tecnología para trabajar no significa que esa tecnología esté incorporada adecuadamente a la estructura de control de la empresa.
Un teléfono puede ser muy moderno, tener sistemas de autenticación y disponer de herramientas de seguridad. Sin embargo, si su propietario desconoce qué aplicaciones instala, qué permisos concede o cómo identificar un intento de engaño, la exposición continúa.
El verdadero problema no es que los dispositivos móviles sean inseguros por naturaleza.
Es que muchas empresas los han convertido en herramientas de trabajo sin establecer previamente las condiciones necesarias para utilizarlos con responsabilidad.
Cuando una aplicación aparentemente inofensiva se convierte en una amenaza
Imaginemos una situación cotidiana.
Un trabajador recibe un mensaje que le ofrece descargar una aplicación para consultar información, realizar un trámite o acceder a una funcionalidad que considera necesaria.
El enlace parece confiable. La página utiliza colores conocidos. El nombre de la aplicación resulta familiar.
El trabajador descarga el archivo y acepta los permisos solicitados.
Aparentemente, no sucede nada extraordinario.
Pero detrás de esa instalación podría existir un programa malicioso diseñado para observar las actividades del dispositivo, capturar información o permitir que un tercero ejecute acciones de manera remota.
Este tipo de amenaza se conoce como troyano de acceso remoto o RAT, por sus siglas en inglés.
No todos los programas maliciosos actúan de la misma manera. Algunos buscan obtener credenciales; otros intentan interceptar comunicaciones o acceder a información almacenada. Determinadas variantes pueden incluso facilitar el control remoto del equipo comprometido.
En abril de 2026, ESET advirtió sobre la actividad de BTMOB, una amenaza dirigida principalmente a dispositivos Android, cuya distribución se relacionó con aplicaciones fraudulentas y técnicas de engaño digital en América Latina. La investigación describió capacidades de vigilancia y control remoto que evidencian la evolución de este tipo de riesgos.
Pero lo verdaderamente importante para un empresario no es memorizar el nombre de un programa malicioso.
Es comprender qué puede suceder cuando un dispositivo comprometido tiene acceso a información, aplicaciones y procesos de su organización.
La empresa puede estar protegida, pero sus decisiones no
En TODO EN UNO.NET hemos sostenido una idea que considero esencial para comprender la transformación empresarial: la tecnología debe responder a una funcionalidad concreta dentro de la organización.
Esto también se aplica a la seguridad digital.
Comprar herramientas de protección sin comprender cómo funciona la empresa puede producir una sensación de seguridad que no corresponde con la realidad.
Pensemos en una organización que cuenta con antivirus, copias de respaldo, contraseñas y servicios tecnológicos administrados.
Aparentemente, dispone de una estructura adecuada.
Sin embargo, sus trabajadores comparten archivos por cuentas personales, utilizan contraseñas repetidas, conservan sesiones abiertas y descargan aplicaciones sin verificar su procedencia.
¿Dónde está realmente el riesgo?
No necesariamente en la ausencia de herramientas.
Está en la distancia entre la infraestructura tecnológica y las prácticas cotidianas de quienes la utilizan.
Una empresa puede disponer de controles técnicamente adecuados y mantener debilidades importantes en sus procedimientos.
Por eso, la seguridad digital no debe evaluarse únicamente preguntando qué programas están instalados.
También debemos preguntar quién tiene acceso a la información, desde dónde puede consultarla, para qué necesita utilizarla y qué ocurre cuando pierde el control de su dispositivo.
Estas preguntas pertenecen tanto a la administración empresarial como a la tecnología.
El teléfono personal y la información empresarial: una frontera que desapareció
Uno de los mayores desafíos actuales es el uso de dispositivos personales para actividades laborales.
Esta práctica, conocida como BYOD —Bring Your Own Device—, permite que los trabajadores utilicen sus propios equipos para acceder a recursos corporativos.
Puede ofrecer flexibilidad y reducir determinados costos de adquisición.
Pero también introduce riesgos que necesitan una administración consciente.
Cuando una empresa permite utilizar celulares personales sin establecer condiciones, pueden aparecer situaciones difíciles de resolver.
Por ejemplo, un trabajador conserva conversaciones con clientes después de terminar su relación laboral. Otro almacena documentos corporativos en una cuenta personal de almacenamiento. Un tercero pierde su teléfono mientras mantiene sesiones empresariales abiertas.
En estas situaciones, la organización puede descubrir que no sabe exactamente dónde está su información ni quién conserva acceso a ella.
La pregunta deja de ser exclusivamente tecnológica.
Se convierte en un problema de gobierno empresarial.
¿Quién autorizó esos accesos? ¿Qué información podía utilizarse? ¿Existían instrucciones para su almacenamiento? ¿Se habían definido mecanismos para retirar permisos?
Si las respuestas no están documentadas, la empresa enfrenta una debilidad estructural.
No significa que todos los trabajadores deban recibir teléfonos corporativos. Tampoco implica prohibir automáticamente el uso de dispositivos personales.
Significa que cualquier alternativa debe responder a una decisión organizacional informada.
Si su empresa utiliza celulares personales para acceder a información corporativa y todavía no tiene claridad sobre sus controles, puede ser oportuno revisar esta situación desde una perspectiva empresarial y tecnológica. En TODO EN UNO.NET podemos comenzar esa conversación mediante nuestros canales de atención:
https://t.mtrbio.com/todoen-unonet
El costo de un incidente no termina cuando se elimina el programa malicioso
Existe una tendencia a evaluar los incidentes de seguridad únicamente por el costo de reparar equipos o recuperar archivos.
Esta interpretación es incompleta.
Un dispositivo comprometido puede afectar actividades que resultan esenciales para la continuidad empresarial.
Consideremos una pequeña empresa cuyo responsable financiero utiliza el teléfono para recibir notificaciones bancarias, consultar documentos y aprobar operaciones.
Si un atacante consigue comprometer ese dispositivo, las consecuencias dependerán de los permisos obtenidos, los controles bancarios y las medidas de seguridad existentes.
Pero el escenario permite identificar diferentes impactos posibles.
El primero es operativo. La empresa podría necesitar suspender accesos, verificar movimientos, revisar credenciales y detener temporalmente determinadas actividades.
El segundo es económico. La atención del incidente demanda tiempo, recursos técnicos y eventualmente servicios especializados.
El tercero es informacional. Puede ser necesario determinar si se accedió a datos personales, documentos comerciales o información confidencial.
El cuarto es reputacional. Clientes y aliados podrían cuestionar la capacidad de la organización para proteger la información que le confían.
Y existe un quinto impacto que suele pasar inadvertido: el deterioro de la confianza interna.
Cuando no existen procedimientos claros, los incidentes pueden generar acusaciones, improvisación y decisiones contradictorias.
Por eso, la preparación debe comenzar antes de que ocurra el problema.
Una empresa que conoce sus activos de información, sus responsables y sus procedimientos tiene mejores condiciones para reaccionar.
No porque pueda garantizar que nunca será atacada, sino porque habrá reducido la improvisación.
La protección de datos personales también comienza en los dispositivos móviles
En Colombia, esta discusión tiene una dimensión adicional.
La Ley 1581 de 2012 establece el régimen general de protección de datos personales y contempla, entre otros, el principio de seguridad.
Las organizaciones que actúan como responsables o encargadas del tratamiento deben adoptar las medidas técnicas, humanas y administrativas que correspondan para proteger los datos personales frente a riesgos como el acceso no autorizado o fraudulento.
Esta obligación no desaparece porque la información sea consultada desde un celular.
Tampoco desaparece cuando el dispositivo pertenece al trabajador.
Por supuesto, las responsabilidades concretas dependen de las circunstancias, del tratamiento realizado y de las obligaciones que correspondan a cada organización.
Pero hay una conclusión administrativa evidente: no resulta coherente disponer de políticas de tratamiento de datos personales mientras se ignoran los dispositivos mediante los cuales esos datos se consultan, almacenan o comparten.
Una política escrita no constituye, por sí sola, una protección efectiva.
Debe existir correspondencia entre lo que la organización declara y lo que realmente sucede en sus operaciones.
Por ejemplo, si una empresa afirma que restringe el acceso a información sensible, debería poder explicar cómo aplica esa restricción cuando sus colaboradores trabajan desde dispositivos móviles.
De igual manera, si establece compromisos de confidencialidad, necesita procedimientos para gestionar accesos cuando una persona cambia de cargo o finaliza su vinculación.
La protección de datos no consiste únicamente en elaborar documentos.
Consiste en construir condiciones verificables de responsabilidad empresarial.
El error de responsabilizar exclusivamente al trabajador
Cuando ocurre un incidente de seguridad, una reacción frecuente consiste en buscar a la persona que abrió el enlace, descargó la aplicación o entregó una contraseña.
Es comprensible querer identificar cómo ocurrió el problema.
Sin embargo, atribuir automáticamente toda la responsabilidad al trabajador puede impedir que la empresa reconozca sus propias debilidades.
Una organización debería preguntarse si había proporcionado instrucciones comprensibles, si existían controles razonables y si las personas conocían los procedimientos para reportar situaciones sospechosas.
También debería revisar si los permisos concedidos eran realmente necesarios.
Si un trabajador dispone de acceso permanente a información que no necesita para cumplir sus funciones, la exposición no puede explicarse únicamente por su comportamiento individual.
Existe una decisión administrativa detrás de esa autorización.
La formación es importante, pero no reemplaza los controles.
De la misma manera, las herramientas tecnológicas son necesarias, pero no sustituyen el criterio humano.
Una estrategia razonable combina ambos elementos.
Los trabajadores deben comprender cómo identificar situaciones de riesgo y reportarlas sin temor a que cualquier equivocación termine convertida automáticamente en una sanción.
Y la dirección debe asumir que proteger la información forma parte de sus responsabilidades organizacionales.
La cultura de seguridad se construye cuando las personas entienden por qué existen los controles y cómo contribuyen a proteger el trabajo colectivo.
Antes de comprar otra solución, comprenda cómo circula su información
Cuando una empresa identifica riesgos de ciberseguridad, puede sentirse tentada a adquirir inmediatamente una nueva plataforma.
En ocasiones será necesario.
Pero no siempre debe ser la primera decisión.
Desde la perspectiva de la Arquitectura de Protección de Datos y Confianza Digital (APDP), considero más útil comenzar por comprender el funcionamiento real de la organización.
Esto implica reconocer qué información es crítica, qué procesos la utilizan, quiénes acceden a ella y mediante cuáles dispositivos.
El análisis debe incluir tanto las plataformas corporativas como los medios informales de trabajo.
Porque una empresa puede tener perfectamente identificados sus sistemas contables y, al mismo tiempo, desconocer cuántas copias de documentos financieros circulan por aplicaciones de mensajería.
También puede administrar adecuadamente su correo institucional y no tener claridad sobre los teléfonos donde permanecen abiertas las sesiones.
Una arquitectura empresarial de protección debe conectar estas realidades.
No se trata de producir controles innecesarios ni de impedir el funcionamiento cotidiano.
Se trata de establecer medidas proporcionales a los riesgos.
Para una organización pequeña, determinadas decisiones pueden consistir en limitar instalaciones de aplicaciones, activar mecanismos de autenticación, revisar permisos y establecer procedimientos de reporte.
En una organización con operaciones más complejas, podrían requerirse soluciones de administración de dispositivos móviles, separación entre información personal y corporativa, monitoreo y mecanismos centralizados de revocación de accesos.
La herramienta adecuada depende del contexto.
La seguridad no mejora necesariamente por tener más tecnología, sino por utilizar controles pertinentes, correctamente administrados y sostenibles.
Si la dirección de su empresa no tiene claridad sobre cómo se relacionan sus procesos, dispositivos y datos personales, la revisión de esa arquitectura puede ayudar a identificar prioridades antes de comprometer nuevos recursos.
Puede conocer el enfoque de TODO EN UNO.NET y abrir una conversación sobre estas necesidades en:
https://t.mtrbio.com/todoen-unonet
Cinco decisiones empresariales que pueden reducir la exposición
Más allá de las herramientas disponibles, existen decisiones que deberían formar parte de la administración cotidiana de cualquier organización.
1. Reconocer los dispositivos que acceden a la información
No es necesario comenzar con un inventario excesivamente complejo.
Pero sí conviene identificar qué dispositivos tienen acceso a correos, aplicaciones administrativas, sistemas financieros y documentos empresariales.
Este conocimiento permite establecer prioridades.
No representa el mismo nivel de exposición un teléfono utilizado exclusivamente para comunicaciones generales que uno autorizado para gestionar pagos o consultar información confidencial.
2. Definir reglas comprensibles para el uso de aplicaciones
Las organizaciones necesitan orientar a sus trabajadores sobre la procedencia de las aplicaciones y los riesgos de instalar archivos obtenidos mediante enlaces desconocidos.
También resulta conveniente restringir permisos innecesarios y revisar periódicamente las aplicaciones que conservan acceso a recursos empresariales.
La claridad es más útil que una prohibición genérica que nadie comprende.
3. Limitar los accesos según las funciones
Cada persona debería disponer de los permisos necesarios para desarrollar sus responsabilidades, evitando accesos excesivos.
Este principio reduce las posibles consecuencias cuando una cuenta o un dispositivo se compromete.
Debe complementarse con autenticación multifactor, controles de sesión y mecanismos para retirar autorizaciones oportunamente.
Cuando sea posible, conviene utilizar métodos de autenticación resistentes a la suplantación y evitar depender exclusivamente de códigos que puedan ser interceptados o utilizados mediante engaño.
4. Preparar una respuesta antes del incidente
¿Qué debe hacer un trabajador cuando sospecha que su teléfono está comprometido?
¿A quién debe informar?
¿Quién puede suspender accesos empresariales?
¿Quién verifica si existe información personal afectada?
Estas preguntas deberían tener respuestas antes de que aparezca una emergencia.
Un procedimiento sencillo, conocido y practicado puede resultar mucho más útil que un documento extenso que nadie consulta.
5. Revisar periódicamente la efectividad de los controles
Las empresas cambian.
Incorporan nuevos trabajadores, plataformas, clientes, aplicaciones y formas de operación.
Por eso, una decisión de seguridad que era suficiente hace dos años puede resultar inadecuada actualmente.
La revisión debe considerar tanto los cambios tecnológicos como los organizacionales.
La seguridad no es una compra que se realiza una vez.
Es una capacidad empresarial que necesita mantenerse.
¿Qué hacer cuando existe sospecha de que un celular fue comprometido?
Este punto merece especial atención porque las primeras decisiones pueden influir en el alcance del incidente.
Si un dispositivo presenta señales de actividad sospechosa o su propietario descubre que instaló una aplicación fraudulenta, conviene evitar seguir utilizándolo para acceder a cuentas sensibles.
La organización debería activar su procedimiento de respuesta y buscar apoyo técnico competente.
Según las circunstancias, puede ser necesario aislar el dispositivo de las redes, revocar sesiones activas, bloquear accesos comprometidos y modificar credenciales desde un equipo confiable.
También puede requerirse preservar evidencias antes de realizar cambios que dificulten una investigación posterior.
Si existe posibilidad de exposición de información financiera, deberán adoptarse medidas con las entidades correspondientes.
Y si el incidente involucra datos personales, la organización debe evaluar las obligaciones de gestión, documentación y eventual reporte que resulten aplicables en Colombia.
No todas las situaciones requieren las mismas acciones.
Precisamente por eso es importante contar con procedimientos proporcionales al riesgo y con responsables definidos.
Una respuesta improvisada puede agravar un problema que inicialmente tenía un alcance limitado.
La seguridad digital también es una decisión de competitividad
Hay un aspecto que pocas veces se relaciona con la ciberseguridad: su influencia en la capacidad de una empresa para generar confianza.
Las organizaciones intercambian información con clientes, proveedores, entidades financieras y aliados.
Cada relación implica expectativas sobre el uso responsable de los datos.
Cuando una empresa demuestra que conoce sus riesgos, administra sus accesos y dispone de procedimientos claros, transmite una señal de madurez organizacional.
Esto no significa que pueda prometer seguridad absoluta.
Ninguna organización está completamente libre de incidentes.
Significa que ha incorporado la protección de la información a su manera de trabajar.
Y esa diferencia tiene valor.
Un empresario no debería esperar a sufrir una pérdida para descubrir que sus decisiones de seguridad eran insuficientes.
Tampoco debería abordar la ciberseguridad únicamente porque una noticia menciona una amenaza reciente.
Los nombres de los programas maliciosos cambian. Las técnicas evolucionan. Las plataformas se actualizan.
Pero las preguntas esenciales permanecen.
¿Sabemos qué información debemos proteger?
¿Conocemos quién puede acceder a ella?
¿Hemos establecido responsabilidades?
¿Podemos reaccionar cuando algo sale mal?
¿Nuestros controles acompañan realmente la operación empresarial?
Responder estas preguntas es mucho más importante que perseguir cada nueva amenaza tecnológica.
El verdadero desafío no está en el teléfono, sino en la organización que lo utiliza
El avance de las amenazas móviles debería llevarnos a una reflexión más profunda.
Durante mucho tiempo, las empresas separaron la administración, la tecnología y la protección de datos como si fueran asuntos independientes.
Hoy esa separación resulta cada vez menos sostenible.
Un teléfono utilizado para trabajar puede intervenir simultáneamente en decisiones financieras, comunicaciones comerciales, tratamientos de datos personales y procesos administrativos.
Por tanto, protegerlo no consiste exclusivamente en instalar una aplicación de seguridad.
Consiste en comprender su función dentro de la empresa y administrar los riesgos asociados.
Desde TODO EN UNO.NET, esta es precisamente la razón por la cual defendemos una visión de arquitectura empresarial: las decisiones tecnológicas deben estar conectadas con los procesos, las personas, las responsabilidades y los objetivos de la organización.
La Arquitectura de Protección de Datos y Confianza Digital (APDP) responde a esa necesidad de comprender y fortalecer las condiciones mediante las cuales una empresa protege la información y construye confianza.
No se trata de convertir a todos los empresarios en especialistas en ciberseguridad.
Se trata de proporcionarles mejores elementos para dirigir.
Porque un empresario no necesita conocer cada detalle técnico de un programa malicioso para reconocer que su organización debe administrar adecuadamente los accesos a información sensible.
Y tampoco necesita esperar un incidente para tomar decisiones responsables.
La verdadera transformación comienza cuando dejamos de preguntar únicamente qué tecnología debemos comprar y comenzamos a preguntarnos qué necesita nuestra organización para funcionar de manera segura, responsable y sostenible.
Si considera que ha llegado el momento de revisar cómo su empresa protege su información, administra sus dispositivos y establece responsabilidades, podemos iniciar una conversación desde la realidad de su operación.
https://t.mtrbio.com/todoen-unonet
Al final, el teléfono móvil no es necesariamente el eslabón más débil de la empresa.
Lo verdaderamente vulnerable es una organización que permite utilizar herramientas digitales sin comprender los riesgos, las responsabilidades y los controles que deberían acompañarlas.
La tecnología cambia constantemente.
El criterio empresarial debe permanecer.
Julio César Moreno Duque Fundador – TODO EN UNO.NET "Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad."
Arquitectura: Arquitectura de Protección de Datos y Confianza Digital (APDP).