Descripcin General Ejecutiva

Gua del CIO sobre

Seguridad Mvil
Descripcin General Ejecutiva y Lista de Verificacin

Gua del CIO sobre Seguridad Mvil

ndice
Resumen ejecutivo

Minimizacin de las vulnerabilidades en la seguridad de la informtica mvil

Integridad del servidor de seguridad corporativo


Conexiones de entrada al servidor de seguridad

Conexiones de salida al servidor de seguridad
Confidencialidad, autenticidad e integridad en la red corporativa


Confidencialidad de los datos en trnsito

Autenticidad de los datos

Integridad de los datos
Confidencialidad de los datos en los dispositivos

Autenticacin de usuarios

Seguridad de los datos almacenados en los dispositivos mviles

Seguridad de los datos extrables en los dispositivos inalmbricos

Seguridad de las conexiones Bluetooth en los dispositivos mviles
Proteccin contra virus y otros software malignos

Proteccin contra software maligno

Visualizacin de archivos adjuntos y software maligno
Soporte de los estndares de seguridad corporativa existentes

Tabla 1. Estndares de seguridad corporativa para uso de tecnologa inalmbrica
Establecer, hacer cumplir y actualizar peridicamente las polticas de seguridad

Polticas de seguridad controladas por administradores de IT
Ejemplo de lista de verificacin de seguridad
Resumen
Recursos relacionados

2006 Research In Motion Limited. Todos los derechos reservados.

1
1-2
2-3
3
3
4
4
4
5
5
5
5-6
6
6
6-7
7
7
8
8
9
9-10
10-11
12
13

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

1.

Resumen ejecutivo
Las empresas y organizaciones gubernamentales de hoy en da fomentan cada vez ms el uso de dispositivos mviles (inalmbricos)
por parte de sus empleados. Los ejecutivos, gerentes, contratistas, proveedores y otros empleados corporativos se conectan con
sus dispositivos inalmbricos a los servidores corporativos de correo electrnico: los equipos de ventas necesitan tener acceso a
la informacin de los clientes y de los pedidos almacenada en los sistemas CRM de la compaa; los tcnicos de campo necesitan
recibir e interactuar con la informacin de servicio; y los gerentes necesitan acceder de manera oportuna a datos empresariales
crticos que residen en sus sistemas de inteligencia de negocios. En todas las organizaciones, los usuarios buscan mejorar su
productividad por medio del acceso a datos corporativos desde dispositivos mviles.
Al mismo tiempo, las empresas y organizaciones gubernamentales generalmente subestiman los riesgos potenciales en materia
de seguridad asociados con el uso de dispositivos inalmbricos. Las organizaciones necesitan administrar la seguridad de los
dispositivos inalmbricos de la misma manera en que administran la seguridad de los componentes fijos que integran la red de rea
local (LAN) corporativa, como por ejemplo, servidores, computadoras de escritorio y computadoras porttiles. Las organizaciones
pueden establecer una infraestructura general para la seguridad en la que se incluyan dispositivos inalmbricos por medio de la
instalacin de funcionalidades de seguridad en los dispositivos y de la implementacin de polticas de seguridad adecuadas. Si bien
la implementacin de soluciones de seguridad es fundamental, el nico desafo al que se enfrentan aquellas personas encargadas
de la seguridad inalmbrica es el impacto directo que tienen las medidas de seguridad en la experiencia del usuario. Crear un
entorno seguro en un dispositivo mvil generalmente requiere que el dispositivo cuente con mayor capacidad de procesamiento,
almacenamiento y duracin de la batera. Esto significa que, a medida que el dispositivo se vuelve ms seguro, tambin exige
mucho ms a sus recursos, lo que afecta su rendimiento.
El presente documento analiza seis aspectos clave de la seguridad en la informtica mvil que el departamento de IT debe tener en
cuenta al momento de evaluar una solucin inalmbrica.

Minimizacin de las vulnerabilidades en la seguridad de la informtica mvil

La seguridad de las soluciones inalmbricas aborda la necesidad de garantizar la seguridad de las transmisiones de datos a los
dispositivos inalmbricos mediante la proteccin que brindan el cifrado, la autenticacin, la autorizacin, el control de acceso y los
servidores de seguridad. A medida que las soluciones inalmbricas adquieren mayor protagonismo y crece el nmero de dispositivos
inalmbricos, aumenta la demanda de herramientas para administrar y garantizar la seguridad de estas soluciones.
La mayora de las organizaciones no permiten que los empleados remotos que trabajan con computadoras porttiles se conecten
a los sistemas de la compaa ubicados detrs del servidor de seguridad si no es por medio de una conexin de red privada virtual
(VPN). Sin embargo, muchos dispositivos inalmbricos suelen operar as de manera predeterminada, es decir, acceden a los activos
corporativos con escasa o ninguna medida de seguridad.
Los dispositivos inalmbricos han evolucionado rpidamente hasta superar a los telfonos celulares y los PDA cliente no
inteligentes. Actualmente, muchos dispositivos estn diseados para interactuar con los activos de la compaa en una
arquitectura cliente-servidor. Esto enfrenta a los administradores de IT con el desafo de garantizar la seguridad de los dispositivos
cliente que se encuentran fuera de la red corporativa y acceden a datos confidenciales almacenados en dicha red. Cuando los
dispositivos inalmbricos acceden a los datos corporativos, pueden surgir vulnerabilidades en la seguridad de las siguientes seis
reas principales, las que se deben tener en cuenta al momento de evaluar una solucin de seguridad inalmbrica:

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

2.

1. Integridad del servidor de seguridad corporativo

Los servidores de seguridad corporativos son componentes fundamentales para proteger la red de una organizacin en caso de
ataques. Como los dispositivos mviles se usan fuera de un servidor de seguridad, los administradores deben proteger los puertos
del servidor de seguridad y garantizar que las modificaciones realizadas en la configuracin del servidor de seguridad para permitir
las conexiones de los dispositivos mviles no entren en conflicto con las polticas de seguridad corporativa existentes.
2. Confidencialidad, integridad y autenticidad en la red
Los administradores deben asegurarse de que la conexin en la red inalmbrica sea segura para mantener la confidencialidad e
integridad de los datos, y para autenticar su origen. Un mensaje de correo electrnico o cualquier otro tipo de datos se considera
confidencial si el destinatario a quien fue dirigido el mensaje es la nica persona autorizada a ver su contenido. La integridad
permite que el destinatario detecte si el mensaje ha sido modificado por un tercero durante la transmisin. La autenticidad permite
que el destinatario identifique al remitente y confe en que este fue quien realmente envi el mensaje.
3. Confidencialidad de los datos almacenados en los dispositivos
Es probable que los dispositivos mviles se pierdan o sean objeto de robos o alteraciones con mayor facilidad que otros recursos
informticos corporativos ya que estn diseados para usarse fuera de los lmites fsicos de una organizacin. Todos los datos
almacenados en el dispositivo mvil y en cualquier memoria extrable deben estar cifrados para proteger los datos del usuario
contra el acceso no autorizado de terceros en caso de que el dispositivo sea robado.
4. Proteccin contra virus y otros software malignos
Los dispositivos mviles pueden incrementar la productividad de los trabajadores mviles. Sin embargo, esta flexibilidad genera
riesgos de seguridad a medida que los dispositivos inalmbricos se convierten en los nuevos objetivos de terceros con intenciones
maliciosas que buscan comprometer un dispositivo o la red de una corporacin. Si los virus, troyanos, gusanos y otros tipos de
software maligno se cargan en los dispositivos inalmbricos, puede que se ejecuten sin que el usuario lo note. Una solucin
inalmbrica debe minimizar los riesgos para las redes corporativas y los dispositivos evitando que el software maligno se cargue en
los dispositivos mviles y limitando lo que ste puede hacer si eso ocurre.
5. Soporte de los estndares de seguridad corporativa existentes
La mayora de los departamentos de IT ya han establecido estndares de seguridad corporativa. La implementacin de tecnologa
inalmbrica no debe suponer el reemplazo de polticas existentes; por el contrario, la solucin debe respaldar estos estndares para
hacer extensiva la seguridad corporativa a los dispositivos inalmbricos.
6. Establecer, hacer cumplir y actualizar peridicamente las polticas de seguridad
Las polticas de seguridad mvil efectivas deben contemplar la capacidad para controlar las contraseas de los usuarios, borrar
datos almacenados en los dispositivos y bloquear los dispositivos de manera remota. Los administradores tambin necesitan tener
la capacidad de establecer, hacer cumplir y actualizar las configuraciones a travs de polticas o parmetros, as como tambin
realizar un control exhaustivo de todos los dispositivos.

Integridad del servidor de seguridad corporativo

El servidor de seguridad corporativo es un componente fundamental que ayuda a proteger la red de una organizacin ante posibles
ataques. Como los dispositivos mviles se usan fuera del servidor de seguridad, los administradores necesitan proteger los puertos
de comunicaciones de los servidores de seguridad, as como tambin las conexiones de entrada y de salida para garantizar que slo
las direcciones IP autorizadas se comuniquen en los puertos autorizados.

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

3.

En el caso de las conexiones de salida, los nmeros de puerto y direcciones de IP de origen y de destino son conocidos para la red
corporativa. El departamento de IT puede implementar controles internos detallados sobre esos puertos para proteger las conexiones
de salida. Cuando se cambian las configuraciones del servidor de seguridad para incluir una solucin inalmbrica, permitir slo las
conexiones de salida puede reducir el riesgo de accesos no autorizados, comparado con el uso de conexiones de entrada.

Conexiones de entrada al servidor de seguridad

Los administradores cuentan con servidores de seguridad para controlar el acceso a los recursos de la red corporativa. Una conexin de
entrada abre un puerto del servidor de seguridad, permitiendo el acceso a los activos corporativos desde puntos de acceso ajenos a la
compaa, como por ejemplo, dispositivos inalmbricos, computadoras compartidas o terminales pblicas con acceso a Internet. En el
modelo de conexin de entrada, no se puede conocer con anticipacin el origen de ningn intento de conexin, y por lo tanto ste no resulta
confiable, lo que requiere la implementacin de controles para mitigar los riesgos inherentes asociados.
Los usuarios externos, incluidos los usuarios de dispositivos mviles, inician conexiones de entrada a la red corporativa. Muchas compaas
eligen mantener el control sobre las conexiones originadas desde los dispositivos mviles por medio de conexiones SSL autenticadas por el
cliente, que estn diseadas para reducir el riesgo que implica una conexin de entrada a la red corporativa. Para las soluciones inalmbricas
que permiten las conexiones de entrada al servidor de seguridad, es recomendable aumentar el lmite del tiempo de espera a un valor que
supere lo que normalmente se considera aceptable y seguro. Este enfoque les brinda a los usuarios la posibilidad de recibir mensajes de
correo electrnico y otros datos a velocidades lo ms cercanas posible a las transferencias en tiempo real, al mismo tiempo que preserva
los limitados recursos de la batera del dispositivo (la carga de la batera disminuye cada vez que la conexin se pierde y se restablece). Sin
embargo, aumentar el lmite del tiempo de espera de la conexin puede incrementar el riesgo de accesos no autorizados a sus redes internas,
lo que tambin aumenta el riesgo de fallos de seguridad en la red corporativa.

Conexiones de salida al servidor de seguridad

En el caso de las conexiones de salida, el software detrs del servidor de seguridad generalmente se contacta con el Centro de Operaciones
de Red (NOC), que facilita las conexiones con cada una de las redes inalmbricas que estn disponibles para los usuarios de dispositivos
mviles. Como la conexin se inicia dentro del permetro de la red corporativa, los usuarios conocen tanto el origen como el destino de la
conexin. De esta manera, pueden configurar el servidor de seguridad teniendo en cuenta esos dos datos y el puerto especfico para la
conexin.
Cuando se conectan al NOC de un tercero a travs de la conexin de salida al servidor de seguridad, una solucin segura utiliza un saludo de
seguridad para establecer las credenciales y autorizar la conexin: si la autenticacin falla, no se establece la conexin. Sin embargo, una vez
que se autoriza y establece la conexin, sta se mantiene como una sesin continua slo para la comunicacin con el dispositivo inalmbrico
autorizado a travs del NOC. El servidor de seguridad inmediatamente descarta cualquier otro trfico de entrada proveniente de otro host.
Como el servidor de seguridad no responde a ninguna conexin de entrada, tampoco responde a paquetes entrantes malintencionados.
Usar un NOC para potenciar la integridad del servidor de seguridad ofrece varios beneficios. Una solucin NOC permite que las compaas
deleguen la responsabilidad de administrar las conexiones de salida con los operadores mviles. Las compaas tambin pueden usar varios
operadores o cambiar de operador sin la necesidad de cambiar su tecnologa inalmbrica. Una arquitectura basada en NOC tambin puede
mejorar la seguridad ya que no requiere que las organizaciones abran puertos de entrada en sus servidores de seguridad. Adems, un NOC
proporciona un medio alternativo para que los equipos se comuniquen en caso de que fallen sus sistemas de telecomunicaciones locales.

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

4.

Confidencialidad, autenticidad e integridad en la red corporativa

Como la red inalmbrica se encuentra fuera del entorno corporativo, las organizaciones deben suponer que no existe proteccin de
datos alguna. Los activos de informacin ms importantes de una empresa pueden transmitirse por la red inalmbrica. Es por eso
que la proteccin de los datos corporativos en trnsito es de vital importancia. Uno de los parmetros que una organizacin puede
considerar a la hora de evaluar el nivel de seguridad de una solucin inalmbrica es su capacidad de mantener la confidencialidad,
integridad y autenticidad de los datos.

Confidencialidad de los datos en trnsito

La confidencialidad se refiere al proceso por el cual se impide que toda persona que no sea el destinatario original pueda acceder a la
informacin. Las soluciones inalmbricas ofrecen principalmente dos maneras de proteger la confidencialidad de los datos: por medio
de la encriptacin o el cifrado de datos y por medio de un tnel encriptado por el que se transmiten los datos.
El cifrado de datos consiste bsicamente en mezclar los datos sobre la base de una clave secreta. Para descifrar y leer los datos
cifrados, es necesario tener acceso a la clave secreta. Dos de los estndares de cifrado ms eficientes en uso actualmente son el
Estndar de Cifrado Avanzado (AES) y el Estndar de Cifrado Triple de Datos (Triple DES); ambos son algoritmos estndar de la
industria y ampliamente utilizados en los sectores gubernamental y financiero. AES se considera un enfoque ms conservador
en cuanto a los recursos y es el mtodo de cifrado elegido por el gobierno de los EE.UU., as como tambin por otros gobiernos y
organizaciones internacionales preocupados por la seguridad.
Un tnel encriptado generalmente se establece por medio del protocolo SSL. Se trata de un nivel aceptable de proteccin de
datos para la mayora de las organizaciones y se usa en muchas aplicaciones en lnea, incluidas las relacionadas con transacciones
bancarias por Internet.
Sin embargo, las conexiones protegidas por SSL requieren una conexin de entrada al servidor de seguridad y, para lograr una
experiencia de transmisin tipo "push" en la que la informacin se enva a velocidades lo ms cercanas posible a las transferencias en
tiempo real, la conexin se debe desconectar y restablecer constantemente. Esto puede consumir muchos recursos y tiende a afectar
negativamente la duracin de la batera de los dispositivos mviles.

Autenticidad de los datos

La autenticidad permite que el destinatario identifique al remitente y confe en que este fue quien realmente envi el mensaje. Para
evitar que los usuarios no autorizados simulen estar usando un dispositivo legtimo, el dispositivo debe autenticarse cada vez que se
conecta a la red y a los sistemas de la compaa. Del mismo modo, el servidor de la compaa se debe autenticar cada vez que se
conecte al dispositivo para evitar que los usuarios no autorizados simulen ser el servidor.
La autenticacin se puede lograr a travs de un sistema criptogrfico de clave compartida. Un sistema de clave compartida requiere
que un componente de autenticacin (como un servidor) y un componente solicitante (como un dispositivo inalmbrico) conozcan
una clave secreta. Cuando se intenta una conexin, el servidor enva la clave secreta y el dispositivo inalmbrico la acepta o rechaza
segn corresponda. Antes de cifrar los datos a transmitir, el dispositivo inalmbrico verifica, junto con el sistema de back-end, que las
claves concuerden. Para que la transmisin de datos sea exitosa, las claves del servidor y del dispositivo inalmbrico deben concordar.
Si las claves no concuerdan, el servidor y el dispositivo inalmbrico no pueden enviarse datos entre s.

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

5.

Integridad de los datos

La integridad de los datos se refiere a la validez de los datos (es decir, si los datos sufrieron cambios o modificaciones durante la
transmisin). La confiabilidad de los datos se puede determinar por medio de distintos mecanismos de prevencin y deteccin. En el caso
de los datos cifrados, se generar automticamente un fallo en el mensaje si el proceso de descifrado no reconoce el formato. Del mismo
modo, el fallo tambin ocurrir si el mensaje recibido est cifrado por medio de una clave de cifrado incorrecta o si los datos cifrados se
modificaron durante la transmisin. La solucin inalmbrica que se est considerando implementar debe eliminar automticamente los
paquetes de datos modificados para garantizar que los datos verdaderos no hayan sido reemplazados por datos falsos o malintencionados.

Confidencialidad de los datos en los dispositivos

La informacin de la compaa almacenada en un dispositivo mvil debe estar protegida de la misma manera que la informacin
almacenada en una red corporativa. En algunos casos, el acceso a los datos corporativos por parte de terceros no autorizados
no acarrea mayores consecuencias para la compaa que la incomodidad generada por el incidente. El acceso no autorizado a
los dispositivos tambin puede generar problemas tales como robo de identidad o espionaje industrial. Para las empresas que
cotizan en bolsa y las compaas financieras, la prdida de un dispositivo podra significar la violacin de la Ley Sarbanes-Oxley
o del Proyecto de Ley Gramm-Leach-Bliley, que exigen controles estrictos sobre la divulgacin de informacin financiera. Para
los doctores y compaas de cuidados de la salud, la prdida de los datos de sus pacientes compromete la confidencialidad de los
mismos, la cual est protegida por la Ley de Transferibilidad y Responsabilidad de Seguros Mdicos (HIPAA).
Los datos almacenados en los dispositivos mviles se pueden proteger de varias formas mediante el control del acceso al dispositivo
propiamente dicho. Los mtodos de proteccin incluyen el uso de contraseas y/o mecanismos de autenticacin de usuarios de
dos factores, el cifrado de los datos almacenados en el dispositivo y en medios extrables, y la proteccin del acceso no fsico al
dispositivo, como por ejemplo a travs de la tecnologa Bluetooth.

Autenticacin de usuarios
La informacin del dispositivo se puede proteger de varias maneras. La ms comn es la autenticacin del usuario por medio
de una contrasea individual. El objetivo de la contrasea es garantizar que slo el dueo obtenga acceso a los datos y las
funcionalidades del dispositivo. Las polticas de seguridad inalmbrica deben exigir el uso de contraseas privadas. Idealmente, se
deben fijar reglas para la sintaxis de las contraseas y el vencimiento de las contraseas se debera programar automticamente
de manera que los usuarios estn obligados a cambiarlas peridicamente.
Las organizaciones que ms se preocupan por la seguridad pueden exigir que los dispositivos inalmbricos de la compaa
soporten autenticacin multifactor por medio del uso de tarjetas inteligentes u otros mtodos similares. La autenticacin de dos
factores aumenta la seguridad ya que garantiza que el acceso al dispositivo requiera no slo informacin que conoce el usuario
(la contrasea para el dispositivo inalmbrico), sino tambin algo que el usuario tiene (por ejemplo, una tarjeta inteligente) o algo
que es del usuario y que es nico de ese usuario (por ejemplo, su huella digital).

Seguridad de los datos almacenados en los dispositivos mviles

Segn Gartner Group, slo en el ao 2001 se perdieron ms de 250.000 PDA. La prdida de los dispositivos inalmbricos presenta
numerosas amenazas potenciales, incluido el acceso no autorizado a:

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

6.

datos y funcionalidades del dispositivo

aplicaciones y servidores corporativos

Actualmente, muchas soluciones inalmbricas brindan la posibilidad de eliminar los datos del dispositivo de manera remota. Sin
embargo, por lo general transcurre un tiempo entre el momento en que el usuario pierde su dispositivo y el momento en que se
contacta con el departamento de IT para informar sobre el extravo. Un usuario no autorizado podra acceder al dispositivo y extraer
datos durante ese perodo. Para evitarlo, la solucin inalmbrica debe permitir el cifrado de los datos del dispositivo en tiempo real.

Seguridad de los datos extrables en los dispositivos inalmbricos

Cuando los datos estn almacenados en un dispositivo mvil, los usuarios a veces necesitan transferir los datos a un dispositivo que no es de
la compaa por medio de una memoria extrable. Para algunas compaas, esto es algo completamente admisible ya que dan por sentado
que los empleados sern discretos al momento de compartir los datos con otras personas. Para otras organizaciones generalmente
gubernamentales, legales, financieras, farmacuticas y de cuidado de la salud esto no es admisible debido a las cuestiones legales
relacionadas con la confidencialidad de los datos corporativos. Adems, las compaas a menudo limitan el uso de las tarjetas de memoria
extrables porque pueden presentar una oportunidad para introducir inadvertidamente un virus al dispositivo y a la red corporativa.
Si una organizacin admite el uso de medios extrables, la solucin inalmbrica debe ofrecer la opcin de cifrar los datos y establecer
polticas de seguridad inalmbrica que definan grupos de usuarios autorizados a usar este tipo de medios.

Seguridad de las conexiones Bluetooth en los dispositivos mviles

Bluetooth es una tecnologa inalmbrica que permite que los dispositivos que cuentan con esta tecnologa establezcan una conexin inalmbrica
con otros dispositivos que tambin tienen habilitada la tecnologa Bluetooth y que se encuentran a una distancia determinada. Para mantener
la seguridad, cada vez que un usuario intenta establecer una conexin va Bluetooth, el dispositivo debe advertirle al usuario y solicitarle que
confirme que se est estableciendo una conexin con un dispositivo confiable por medio de la tecnologa Bluetooth. Adems, se debe cifrar
todo el trfico de datos que se transmita entre estos dispositivos inalmbricos conectados. De esta manera, se evita que los piratas informticos
(hackers) se conecten y descarguen datos sin que el usuario lo advierta, as como tambin que "espen" los datos que se estn transmitiendo.
Los dispositivos con Bluetooth tambin pueden ser objeto de ataques de Denegacin de Servicio (DoS). Los ataques de DoS generalmente
bombardean el dispositivo con solicitudes, lo que provoca que el dispositivo no responda o se agote la batera. Adems, los gusanos de
telfonos celulares como Cabir pueden aprovechar la tecnologa Bluetooth para propagarse.
Los perfiles de Bluetooth especifican la manera en que se conectan e interoperan las aplicaciones de los dispositivos equipados con tecnologa
Bluetooth. Las polticas de seguridad inalmbrica generalmente son necesarias para controlar qu dispositivos se pueden conectar va Bluetooth
y qu perfiles de Bluetooth estn disponibles en esos dispositivos. Algunas compaas permiten el uso de auriculares con Bluetooth para la
transmisin de voz, pero no admiten acceso a los datos va Bluetooth desde computadoras porttiles y otros dispositivos mviles. En otros casos,
slo un grupo de empleados puede usar la tecnologa Bluetooth para conectarse a dispositivos perifricos especficos compatibles con Bluetooth,
como por ejemplo lectoras de tarjetas inteligentes, escners de cdigo de barras o lectoras de tarjetas de crdito.

Proteccin contra virus y otros software malignos

Al igual que sus ataques y proliferaciones en computadoras porttiles y de escritorio, los virus, troyanos, gusanos y el spyware

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

7.

denominados en conjunto software maligno pueden introducirse en los dispositivos inalmbricos y ejecutarse sin el conocimiento
o la intervencin del usuario. La instalacin exitosa de un simple programa de software maligno que funcione correctamente
puede consumir toda la memoria disponible e interrumpir el funcionamiento del dispositivo. Un programa malintencionado ms
peligroso puede autopropagarse por toda la red inalmbrica, burlando algunos de los sistemas de seguridad de la red corporativa y
posiblemente daando otros componentes de la red.

Proteccin contra software maligno

El enfoque ms comn para evitar la transmisin y proliferacin de software maligno en las computadoras es instalar un software
antivirus de escaneo en tiempo real virtual. Este software est diseado para detectar y contener el software maligno.
Si bien las computadoras de escritorio pueden albergar fcilmente software antivirus, los dispositivos inalmbricos se ven limitados
por la memoria, el poder de procesamiento y la duracin de la batera. Para detectar software maligno, se necesita una gran
base de datos local que se actualice frecuentemente, o una conexin constante con una base de datos en lnea. Como resultado,
el dispositivo est constantemente descargando nuevos datos y ejecutando procesos. Estas tareas pueden tener un impacto
significativo en la duracin de la batera, aumentar el trfico de la red y enlentecer otras operaciones del dispositivo.
Una manera de protegerse contra software maligno en dispositivos mviles es evitar de antemano que los dispositivos mviles
carguen o ejecuten cdigo no autorizado. Esta tctica est diseada para brindarles a los administradores del sistema la capacidad
para realizar las siguientes acciones:
especificar exactamente qu aplicaciones slo aquellas que sean confiables y aprobadas por la compaa estn
permitidas en el dispositivo
evitar que las aplicaciones de terceros ocupen un espacio de almacenamiento permanente en el dispositivo
determinar qu recursos (por ejemplo, correo electrnico, telfono, clave de cifrado y almacn de certificados del
dispositivo) o aplicaciones de terceros pueden tener acceso al dispositivo
limitar el tipo de conexiones por ejemplo, conexiones de red dentro del servidor de seguridad que pueden establecer
las aplicaciones de terceros que se estn ejecutando en el dispositivo
bloquear todas las aplicaciones de terceros para que no se puedan cargar ni ejecutar en el dispositivo

Visualizacin de archivos adjuntos y software maligno

Los archivos adjuntos a los mensajes de correo electrnico que abren los usuarios pueden contener virus y otros software malignos.
Las soluciones que protegen contra este tipo de ataques y que admiten servicios de archivos adjuntos no soportan los archivos
nativos sino que utilizan versiones de los documentos en un formato distinto al original. El usuario igual puede ver y manipular los
datos, pero el archivo no se abre de manera nativa en el dispositivo. De esta manera se evita que las aplicaciones malintencionadas
obtengan acceso a los datos del dispositivo.
Si una solucin inalmbrica incluye un servidor remoto y protegido para realizar acciones relacionadas con archivos adjuntos, el servidor
de procesamiento de archivos adjuntos aun as puede ser vulnerable a ataques de virus y otros software malignos. Sin embargo, para
ayudar a prevenir estos ataques es ms fcil para el departamento de IT instalar software en este servidor que en dispositivos mviles
ya que el servidor no se ve limitado por el poder de procesamiento o la duracin de la batera. En caso de ser necesario, el servidor de
procesamiento de archivos adjuntos puede aislarse de la red corporativa ya que reside dentro de la infraestructura de la compaa.

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

8.

Soporte de los estndares de seguridad corporativa existentes

La mayora de las organizaciones de IT ya han establecido estndares de seguridad corporativa y la solucin inalmbrica debe
respaldar estos estndares. En la Tabla 1 se enumeran algunos de los estndares de seguridad ms frecuentemente implementados
en la actualidad y la manera en que se pueden integrar con las soluciones inalmbricas.
Estndares de seguridad

Uso inalmbrico

Lectores de tarjetas
inteligentes

Las tarjetas inteligentes se pueden usar para la autenticacin de dos factores, mensajera segura
y navegacin web segura.

Soporte de RSA SecurID

Actualmente, existen dos tipos de soporte de RSA SecurID disponibles:

1. Los usuarios pueden acceder a una aplicacin en el dispositivo inalmbrico que genera
nmeros de token y luego usar sus computadoras porttiles y VPN para acceder a los sistemas
de la compaa.
2. El dispositivo inalmbrico se comunica con los servidores RSA de la compaa para proteger la
conexin antes de transmitir los datos. Por ejemplo, cuando un usuario navega hasta un sitio o
una aplicacin en el dispositivo inalmbrico que requieren autorizacin, el dispositivo solicita que
el usuario ingrese su nombre de usuario y cdigo de acceso de token.

Soporte de cifrado desde

el remitente hasta el
destinatario

Los estndares tales como el cifrado nativo de S/MIME, PGP y Lotus Notes permiten obtener
confidencialidad, integridad y autenticacin desde el remitente hasta el destinatario.

HTTPS, SSL/TLS

Una conexin de Protocolo de Transferencia de Hipertexto (HTTP) se puede establecer con

protocolos de Capa de Zcalos Seguros/Seguridad de Capa de Transporte (SSL/TLS) para
incrementar el nivel de seguridad y autenticacin si los dispositivos inalmbricos acceden a los
servidores por Internet. Muchas transacciones seguras por Internet, como las transacciones
bancarias en lnea, requieren soporte para el Protocolo de Transferencia Segura de Hipertexto
(HTTPS).

WTLS

El sistema de seguridad WTLS (Seguridad Inalmbrica de la Capa de Transporte) ha sido

diseado para brindar una capa de seguridad adicional al momento de conectarse a una puerta
de enlace WAP (Protocolo de Aplicaciones Inalmbricas). WTLS requiere una puerta de enlace
WAP para brindar acceso WAP estndar a Internet. Para usar una puerta de enlace WAP, la
compaa debe trabajar con el operador de red o proveedor de servicios de red.

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

9.

Establecer, hacer cumplir y actualizar peridicamente las polticas de seguridad

Polticas de seguridad controladas por administradores de IT
La mayora de las organizaciones implementan medidas de seguridad para garantizar que slo los dispositivos autorizados (ya sean fijos o
inalmbricos) se conecten a la red. Estas medidas incluyen polticas estndar de autenticacin de usuarios, seguridad de red y proteccin
contra virus.
Cuando las polticas de seguridad de la organizacin se hacen extensivas a los dispositivos mviles, los administradores de IT deben
poder controlar las contraseas de los usuarios de dispositivos mviles y eliminar los datos almacenados en el dispositivo de manera
remota. Los administradores de IT deben tener la capacidad para establecer, hacer cumplir y actualizar las configuraciones de los
dispositivos inalmbricos a travs de polticas o parmetros que permitan realizar un control exhaustivo de todos los dispositivos.
Para establecer la manera en que los usuarios interactan con los sistemas de la organizacin, los administradores necesitan un
nico punto de administracin de dispositivos inalmbricos, que debe estar ubicado detrs del servidor de seguridad corporativo.
Esto significa que los administradores, y no los usuarios de dispositivos mviles, determinan de qu manera se protegen los datos
corporativos.
En los inicios del acceso a los datos mviles, las polticas de seguridad inalmbrica de primera generacin eran muy amplias y
contemplaban una gran variedad de asuntos, como por ejemplo la privacidad y el uso adecuado del dispositivo mvil. Generalmente,
una nica poltica abordaba diversos temas. Sin embargo, a medida que el acceso mvil a la informacin se torna cada vez ms
frecuente y las organizaciones dependen cada vez ms de dispositivos mviles, una serie limitada de polticas de IT generales ya
no puede cubrir las necesidades de la mayora de las organizaciones. Se necesita un conjunto slido de polticas de seguridad que
proporcionen un control granular sobre todos los aspectos de la solucin inalmbrica.
Los siguientes ejemplos de polticas definen la seguridad y las funcionalidades aceptables para dispositivos mviles corporativos.
1.

Definir una autenticacin de usuarios aceptable:

solicitar que el usuario ingrese una contrasea de seguridad para poder autenticarse en el dispositivo;
configurar funciones tales como vencimiento, longitud y fortaleza de la contrasea, y cantidad de intentos de ingreso permitidos;
solicitar y definir contraseas y frases de acceso corporativas que resulten aceptables para los dispositivos mviles de su
organizacin.

2. Definir medidas para proteger los dispositivos mviles en caso de uso no autorizado:
limitar las conexiones permitidas en los dispositivos mviles;
usar cifrado de datos en trnsito entre el remitente y el destinatario de los datos inalmbricos;
cifrar los medios extrables usados en los dispositivos mviles;
cifrar los datos almacenados en los dispositivos mviles.
3. Definir el mtodo de cifrado permitido para los datos del dispositivo mvil:
requerir un estndar especfico de grado de cifrado.
4. Definir medidas de seguridad para prevenir ataques de virus y usuarios malintencionados:
evitar que el dispositivo mvil descargue aplicaciones de terceros a travs de la red inalmbrica;
especificar si las aplicaciones del dispositivo mvil, incluidas las aplicaciones de terceros, pueden iniciar tipos especficos de
conexiones.

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

10.

Los administradores de IT deben poder implementar polticas de grupo que reflejen las necesidades de los distintos equipos y usuarios
dentro de la organizacin. Todas las configuraciones de polticas deben poder sincronizarse y asignarse a los dispositivos por medio de
una conexin inalmbrica.
Una vez que el administrador de IT establece una poltica para los dispositivos mviles, los usuarios no deberan poder intervenir
o evitar que la poltica se implemente. El administrador tambin debe poder auditar la aplicacin de la poltica de seguridad
inalmbrica en el dispositivo inalmbrico.

Ejemplo de lista de verificacin de seguridad

La siguiente lista de verificacin incluye los temas principales que se deben tener en cuenta al momento de evaluar la seguridad de
una solucin inalmbrica. La columna Incluido" indica que la funcionalidad est disponible como parte de la solucin, y la columna
"Accesorio" indica si se debe comprar un componente adicional para obtener la funcionalidad descrita.
Solucin inalmbrica A

Solucin inalmbrica B

Funcionalidades de la solucin inalmbrica

Incluido
Seguridad inalmbrica de datos
Mtodos de cifrado para proteger los datos en trnsito (es
decir, AES-256, AES-192, AES-128, Triple DES etc.)
Conexin de salida para la autenticacin en el servidor
Capacidad para desactivar Bluetooth
Capacidad para desactivar los mensajes de SMS y MMS
Soporte de cifrado de correo electrnico de IBM Lotus Notes
Seguridad de los datos en el dispositivo
Cifrado en tiempo real virtual de los datos del dispositivo
Opcin de eliminacin permanente de datos del dispositivo
Capacidad para desactivar la visualizacin de archivos adjuntos
Capacidad para forzar el cifrado de datos en tarjetas de
memoria externas

2006 Research In Motion Limited. Todos los derechos reservados.

Accesorio

Incluido

Accesorio

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

11.

Solucin inalmbrica A

Solucin inalmbrica B

Incluido

Incluido

Funcionalidades de la solucin inalmbrica

Autenticacin de usuarios
Capacidad para forzar la autenticacin de contraseas en el
dispositivo
Capacidad para aplicar contraseas fuertes en el dispositivo
Capacidad para aplicar una lista de contraseas prohibidas
Capacidad para forzar el bloqueo del dispositivo despus de un
perodo determinado de tiempo de inactividad
Control remoto
Capacidad para modificar de manera remota la contrasea del
dispositivo
Capacidad para eliminar de manera remota los datos del
dispositivo
Control de aplicaciones
Capacidad para forzar la instalacin de aplicaciones importantes
Capacidad para desactivar la descarga de aplicaciones de terceros
Capacidad para desactivar una aplicacin especfica en todos los
dispositivos
Opciones de seguridad mejoradas
Soporte de cifrado S/MIME
Soporte de cifrado PGP
Soporte de autenticacin de dos factores

2006 Research In Motion Limited. Todos los derechos reservados.

Accesorio

Accesorio

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

12.

Resumen
A medida que crece el uso de dispositivos mviles en las organizaciones empresariales, las organizaciones corporativas
y gubernamentales deben tomar las medidas necesarias para mantener la seguridad de sus datos de correo electrnico
y aplicaciones. Al usarse dispositivos inalmbricos, los datos se transmiten cada vez ms hacia destinos externos a la red
corporativa y se almacenan en dispositivos mviles fuera de los lmites fsicos de la organizacin. Los dispositivos mviles
estn expuestos a potenciales ataques de intermediarios (man-in-the-middle), ataques DoS, amenazas de software maligno y
otras violaciones de datos. Si bien para algunas organizaciones la prdida de datos no acarrea mayores consecuencias que la
incomodidad generada por el incidente, en muchos casos puede implicar riesgos financieros y legales.
Una solucin inalmbrica efectiva debe estar diseada para brindar seguridad a nivel empresarial y debe ofrecer una
arquitectura especfica que contemple las particularidades de los dispositivos mviles. En muchos casos, las soluciones que
funcionan en un entorno de computadoras de escritorio son poco prcticas para la informtica mvil, debido a las limitaciones
de procesamiento, memoria y batera de los dispositivos mviles. El servidor de seguridad corporativo es un componente
fundamental para proteger los datos de la organizacin y debe brindar proteccin contra ataques o uso malintencionado. La
conexin establecida a travs de una red inalmbrica debe ser segura de manera que se pueda mantener la confidencialidad,
autenticidad e integridad de los datos transmitidos. Finalmente, los dispositivos mviles deben estar protegidos para evitar
prdidas o alteraciones de datos o infecciones provocadas por software maligno.

2006 Research In Motion Limited. Todos los derechos reservados.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin

Recursos relacionados
Para conocer ms acerca de cmo BlackBerry Enterprise Solution ayuda a las organizaciones a desarrollar, planificar e
implementar sus iniciativas de seguridad mvil, visite:
www.blackberry.com/security

www.blackberry.com/go/getthefacts

Recurso

Informacin

Seguridad de BlackBerry Enterprise

Solution

Describe las caractersticas de seguridad de BlackBerry Enterprise Solution

Brinda una descripcin general de la arquitectura de seguridad de BlackBerry

Glosario de siglas de seguridad de

BlackBerry Enterprise Solution

Definicin de las siglas utilizadas en ste y en otros documentos

Gua del Administrador de

BlackBerry Signing Authority Tool

BlackBerry Signing Authority Tool para la implementacin de encriptacin de claves pblicas

Documentacin tcnica sobre la

seguridad de la lectora de tarjetas
inteligentes de BlackBerry

Sincronizacin segura entre el dispositivo BlackBerry y la lectora de tarjetas inteligentes de

BlackBerry
Protocolo de asignacin de clave inicial
Protocolo de asignacin de clave de conexin

Gua de referencia de las polticas

Aplicacin de las polticas de IT de BlackBerry Enterprise Server

Documentacin tcnica del paquete

de soporte de PGP

Suplemento de la Gua del Usuario

del Paquete de Soporte de PGP

Instalacin del Paquete de Soporte de PGP

Administracin de las claves PGP en el dispositivo BlackBerry
Configuracin de opciones de PGP para la firma digital y el cifrado de mensajes

Documentacin tcnica sobre el

Paquete de Soporte de S/MIME

Seguridad y cifrado S/MIME

Administracin de certificados S/MIME en el dispositivo BlackBerry y en la computadora de
escritorio

Suplemento de la Gua del Usuario

del Paquete de Soporte de S/MIME

Seguridad para dispositivos

BlackBerry con tecnologa
inalmbrica Bluetooth

Descripcin general de la tecnologa inalmbrica Bluetooth

Uso y proteccin de dispositivos BlackBerry con Bluetooth
Riesgos de la tecnologa inalmbrica Bluetooth en dispositivos mviles

Descripcin tcnica general de la

activacin empresarial inalmbrica
de BlackBerry

Seguridad de LAN inalmbrica

Opciones de seguridad para la implementacin de un dispositivo BlackBerry en una WLAN

Cifrado y seguridad PGP

Servidor universal PGP para almacenamiento y administracin de claves PGP
Bsqueda y validacin de claves PGP
Envo y recepcin de mensajes PGP

Instalacin del Paquete de Soporte de S/MIME

Administracin de certificados en el dispositivo BlackBerry y en la computadora de escritorio
Configuracin de opciones de S/MIME para la firma digital y el cifrado de mensajes
Envo y recepcin de mensajes S/MIME

Proceso de activacin empresarial inalmbrica

Generacin de clave de cifrado maestra inalmbrica
Protocolo de asignacin de clave inicial
Protocolo de renovacin de clave

2006 Research In Motion Limited. Todos los derechos reservados.

13.

Gua del CIO sobre Seguridad Mvil

Descripcin General Ejecutiva y Lista de Verificacin
*Consulte a su proveedor de servicios acerca de la disponibilidad, acuerdos sobre servicios de roaming y planes de servicios. Algunas de las funciones descritas en el
presente documento requieren una versin mnima del software BlackBerry Enterprise Server, BlackBerry Desktop y/o BlackBerry Device. Puede requerir desarrollo
adicional de aplicaciones. Antes de suscribirse a cualquiera de los productos o servicios de terceros o antes de implementarlos, es su responsabilidad garantizar que
su operador de telefona mvil admita todas las prestaciones de los productos o servicios de terceros. La instalacin y el uso de productos y servicios de terceros junto
con los productos y servicios de RIM podrn requerir una o ms patentes, marcas comerciales o licencias de derecho de autor para evitar la violacin de derechos
de propiedad intelectual de terceros. Usted es el nico responsable de determinar si las licencias de terceros mencionadas anteriormente son necesarias y, en dicho
caso, de adquirir tales licencias. En la medida en que dichas licencias de propiedad intelectual sean necesarias, RIM recomienda expresamente que no instale ni use
tales productos o servicios hasta que todas las licencias aplicables hayan sido adquiridas por usted, o por un tercero en su nombre y representacin. El uso de software
de terceros estar regido por su aceptacin de los trminos y condiciones de las licencias individuales de software, en caso de existir alguna, correspondientes a los
productos o servicios, y quedar sujeto a dicha aceptacin. Todo producto o servicio de terceros que se incluya con los productos o servicios de RIM se entrega "tal cmo
est". RIM no realiza declaracin ni otorga garanta alguna con respecto a los productos y servicios de terceros, as como tampoco asume ninguna responsabilidad sobre
los productos y servicios de terceros, aun si RIM hubiera sido advertida de la posibilidad de tales daos o hubiera podido preverlos.
2006 Research In Motion Limited. Todos los derechos reservados. Research In Motion, el logotipo de RIM, BlackBerry y BlackBerry y el diseo de flujo de datos estn
registrados en el Registro de Marcas y Patentes de EE.UU. y pueden estar registrados o pendientes de registro en otros pases. Estas marcas, imgenes y smbolos son
propiedad de Research In Motion Limited.
Todas las dems marcas, nombres de productos, nombres corporativos y marcas comerciales son propiedad de sus respectivos titulares.
El dispositivo porttil y/o el software asociado estn protegidos por derechos de autor, tratados internacionales y diversas patentes, entre las que se incluyen una o ms
de las siguientes patentes de EE.UU.: 6,278,442; 6,271,605; 6,219,694; 6,075,470; 6,073,318; D,445,428; D,433,460; D,416,256. Existen otras patentes registradas o
pendientes de registro en otros pases del mundo. Visite www.rim.net/patents.shtml para obtener una lista actualizada de las patentes aplicables.
El presente documento se entrega tal como est y Research In Motion Limited (RIM) no se responsabiliza por errores tipogrficos, tcnicos o de otro tipo. RIM
se reserva el derecho a modificar peridicamente la informacin incluida en el presente documento. Asimismo, RIM no se compromete a poner a su disposicin
dichas modificaciones, actualizaciones, mejoras u otras incorporaciones a este documento, y en caso de proporcionarlas, no garantiza que sea en forma oportuna.
RIM NO OFRECE DECLARACIONES, GARANTAS, CONDICIONES NI COMPROMISOS, YA SEAN EXPLCITOS O IMPLCITOS (INCLUYENDO, SIN LIMITACIN,
GARANTAS O CONDICIONES EXPLCITAS O IMPLCITAS DE ADECUACIN A UN PROPSITO DETERMINADO, NO VIOLACIN DE DERECHOS DE TERCEROS,
COMERCIABILIDAD, DURABILIDAD, PROPIEDAD, O AQUELLAS RELACIONADAS CON EL BUEN O MAL FUNCIONAMIENTO DE CUALQUIERA DE LOS SOFTWARE
MENCIONADOS EN EL PRESENTE O CON EL DESEMPEO DE LOS SERVICIOS A LOS QUE SE HACE REFERENCIA EN ESTE DOCUMENTO). CON RESPECTO AL
USO DE ESTA DOCUMENTACIN, NI RIM NI SUS COMPAAS AFILIADAS NI SUS RESPECTIVOS DIRECTORES, FUNCIONARIOS, EMPLEADOS O CONSULTORES
SERN RESPONSABLES POR DAOS O PERJUICIOS, YA SEAN DIRECTOS, INDIRECTOS, ECONMICOS, COMERCIALES, ESPECIALES, EMERGENTES, INCIDENTALES
O PUNITIVOS, AUN SI RIM HUBIERA SIDO ADVERTIDA SOBRE LA POSIBILIDAD DE DICHOS DAOS Y PERJUICIOS, INCLUYENDO, A TTULO ENUNCIATIVO,
PRDIDA DE GANANCIAS O INGRESOS COMERCIALES, PRDIDA DE DATOS, DAOS CAUSADOS POR DEMORAS, LUCRO CESANTE, O INCAPACIDAD PARA
GENERAR AHORROS PREVISTOS.
El presente documento podr incluir referencias a fuentes de informacin y/o sitios web de terceros (denominados en conjunto Informacin de Terceros). RIM no
controla ni se responsabiliza por la Informacin de Terceros, incluyendo, a ttulo enunciativo, el contenido, la exactitud, el cumplimiento de derechos de autor, la legalidad,
el decoro, los enlaces, o cualquier otro aspecto relacionado con la Informacin de Terceros. La inclusin de la Informacin de Terceros en el presente documento no
implica de ninguna manera el aval de los terceros de parte de RIM. Todo uso que usted haga de la Informacin de Terceros, incluyendo, sin limitacin, el cumplimiento
de las licencias, los trminos y las condiciones aplicables, es su exclusiva responsabilidad y la del tercero en cuestin. RIM no ser responsable ni responder por el uso
que usted haga de dicha Informacin de Terceros.

2006 Research In Motion Limited. Todos los derechos reservados.

 2006 Research In Motion Limited. Todos los derechos reservados. Research In Motion, el logotipo de RIM, BlackBerry y BlackBerry
y el diseo de flujo de datos estn inscritos en el Registro de Marcas y Patentes de EE.UU. y pueden estar registrados o pendientes
de registro en otros pases. Estas marcas, imgenes y smbolos son propiedad de Research In Motion Limited. Todas las dems
marcas, nombres de productos, nombres corporativos y marcas comerciales son propiedad de sus respectivos titulares. Las
especificaciones y funcionalidades descritas en este documento estn sujetas a modificaciones sin previo aviso. MKT-13704-001