MDM frente a MAM: el MDM (Mobile Device Management) gestiona el dispositivo completo y encaja en equipos corporativos; el MAM (Mobile Application Management) gestiona solo las apps y datos de empresa, y es el ajuste natural para BYOD. Intune con app protection policies, Android Enterprise con perfil de trabajo o Apple User Enrollment materializan esa separación.
¿Qué es BYOD?
BYOD (Bring Your Own Device) es el modelo en el que los empleados usan sus dispositivos personales —móviles, tablets, portátiles— para acceder a recursos corporativos: correo, aplicaciones SaaS, documentos, VPN. Reduce costes de hardware y fricción para el usuario, pero introduce en el perímetro endpoints que la empresa ni compró ni controla del todo: sistemas sin parchear, apps de origen dudoso conviviendo con el CRM y datos de clientes en un dispositivo que también usan los hijos del empleado. Gestionarlo bien no consiste en prohibirlo —ya ocurre de facto en casi todas las organizaciones— sino en gobernarlo con separación de datos, requisitos mínimos de postura y una política que la plantilla conozca y firme.
¿Por qué importa?
Porque el BYOD no gestionado es la vía de entrada más barata al dato corporativo. Un móvil personal con el correo de empresa configurado y sin PIN robado en el metro, un portátil doméstico con malware que sincroniza el SharePoint, una sesión de M365 abierta en el ordenador familiar: ninguno de esos escenarios necesita un atacante sofisticado. El phishing además rinde más en pantallas pequeñas y fuera del perímetro de red que la empresa vigila. La respuesta técnica moderna no es bloquear el dispositivo, sino condicionar el acceso a su postura: mediante control de acceso condicional, solo entran al dato dispositivos que cumplen requisitos (cifrado, biometría, versión de SO, sin jailbreak), y el dato corporativo vive en un contenedor gestionado que la empresa puede borrar sin tocar lo personal. En España hay además una capa jurídica ineludible: el RGPD y los criterios de la AEPD exigen proporcionalidad, información previa al empleado y limitar el control empresarial al ámbito corporativo del dispositivo; un borrado o una monitorización que arrase con lo personal expone a la empresa a sanciones y a la nulidad de las pruebas obtenidas.
Puntos clave
Separación de datos como principio rector: el dato corporativo vive en un contenedor cifrado (perfil de trabajo, apps gestionadas) con políticas que impiden copiar y pegar hacia apps personales, guardar en almacenamiento local o reenviar por WhatsApp. Es la frontera donde se aplican también las políticas DLP.
Acceso condicional como puerta: la identidad ya no basta; la postura del dispositivo es una señal más. Reglas tipo "correo solo desde apps gestionadas", "sin registro en Intune no hay SharePoint" o "bloqueo si el SO está obsoleto" son la traducción práctica de Zero Trust al BYOD.
Borrado remoto selectivo: al perder el dispositivo o al causar baja el empleado, se elimina el contenedor corporativo —cuentas, apps gestionadas, datos— sin tocar fotos, chats ni ficheros personales. El wipe completo se reserva para dispositivos de empresa.
Requisitos mínimos de postura exigibles: cifrado activado, bloqueo biométrico o PIN robusto, versión de SO soportada, sin root/jailbreak y MFA en el acceso. Quien no cumple, no entra: sin excepciones por jerarquía, que es donde suelen empezar los incidentes.
Política BYOD escrita, informada y firmada: qué puede ver la empresa y qué no, qué ocurre al causar baja, quién soporta el dispositivo, qué se borra y cómo. Sin ese documento, cada incidente se convierte en un conflicto laboral además de técnico.
Ejemplo: el mismo móvil perdido, con y sin gobierno BYOD
Una consultora de 80 empleados permite el correo en el móvil personal "porque siempre se ha hecho así". Un gerente pierde el suyo un viernes: sin PIN obligatorio, con la app de correo nativa configurada y el OneDrive sincronizado. Nadie puede borrar nada en remoto porque el dispositivo no está inscrito en ninguna plataforma. El lunes hay que asumir que propuestas, datos de clientes y credenciales cacheadas están en manos de un tercero: notificación a la AEPD por brecha de seguridad, comunicación a los clientes afectados y una semana de rotación de credenciales.
La misma pérdida con gobierno BYOD es un trámite: el correo solo funciona dentro de Outlook gestionado con app protection policy, protegido por biometría y cifrado; el acceso condicional exige dispositivo registrado y bloquea la sesión en cuanto se reporta la pérdida; y el administrador lanza un borrado selectivo que elimina el contenedor corporativo en minutos, dejando intactas las fotos de la familia. No hay dato expuesto que notificar y el empleado repone su móvil sin que el incidente escale más allá de un ticket.
Errores habituales
- Tener BYOD de facto sin política: el correo corporativo accesible desde cualquier cliente con usuario y contraseña, sin inventario de qué dispositivos tocan el dato. Es el estado real de muchas organizaciones que dicen 'no permitir' BYOD.
- Imponer MDM completo en dispositivos personales: técnicamente posible, jurídicamente resbaladizo y socialmente explosivo. La plantilla lo percibe como vigilancia, se buscan atajos (reenvíos a Gmail) y el resultado es menos control, no más. Para BYOD, MAM casi siempre basta.
- No exigir postura mínima: aceptar dispositivos sin cifrar, con SO fuera de soporte o rooteados porque 'es el móvil del director'. Las excepciones de comité son las que acaban en informe forense.
- Olvidar el offboarding: exempleados que conservan durante meses el correo y el Teams en su móvil personal porque nadie ejecutó el borrado selectivo al causar baja. La revocación debe ser parte del proceso de salida, no un favor que se pide.
- Ignorar la dimensión RGPD/laboral: borrar el dispositivo entero de un empleado, o monitorizar su ubicación y apps personales, expone a sanciones de la AEPD y convierte cualquier evidencia en papel mojado ante un juez. La proporcionalidad no es opcional.
Términos relacionados
Servicios relacionados
Este concepto puede tener relación con servicios como:
Preguntas frecuentes
Mis empleados ya leen el correo de empresa en su móvil personal, ¿qué es lo mínimo que debería exigir?
Cuatro controles que se despliegan en semanas: correo solo a través de apps gestionadas (Outlook con app protection policy, no el cliente nativo), MFA obligatorio, requisitos de postura en el acceso condicional (cifrado, PIN o biometría, SO soportado, sin jailbreak) y capacidad de borrado selectivo probada, no solo configurada. Con Microsoft 365 Business Premium todo esto está incluido en la licencia que muchas pymes ya pagan; suele ser cuestión de activarlo bien, no de comprar nada. El quinto elemento no es técnico: una política BYOD de dos páginas que la plantilla firme.
¿Puedo borrar remotamente el móvil personal de un empleado que se va de la empresa?
Puedes —y debes— borrar el contenedor corporativo: cuentas, apps gestionadas y sus datos. Lo que no debes hacer es un wipe completo del dispositivo personal, salvo consentimiento expreso y aun así con cautela: arrasar fotos y datos privados del empleado es desproporcionado bajo RGPD y da pie a reclamaciones. Por eso la arquitectura importa tanto: si el dato corporativo vive en un perfil de trabajo o en apps con protección MAM, el borrado selectivo resuelve el offboarding en minutos y sin conflicto. Inclúyelo como paso obligatorio del proceso de baja, junto a la revocación de sesiones y credenciales.
¿MDM o MAM para BYOD? No quiero que la plantilla sienta que la espiamos.
Para dispositivos personales, MAM salvo excepciones. Con app protection policies la empresa gestiona únicamente sus aplicaciones: puede exigir PIN para abrirlas, cifrar sus datos, bloquear el copy-paste hacia apps personales y borrarlas en remoto, pero no ve el historial de navegación, ni la ubicación, ni las apps ni fotos del usuario. Comunicar esa frontera explícitamente —qué vemos y qué no— desactiva la mayor parte del rechazo. El MDM completo queda para equipos propiedad de la empresa o para perfiles de riesgo alto (acceso a datos especialmente protegidos), idealmente en modalidad COPE con perfil separado.
Somos una pyme con Microsoft 365, ¿cómo montamos un BYOD seguro sin comprar más herramientas?
Con lo que probablemente ya licencias. Intune para app protection policies (MAM sin inscribir el dispositivo), acceso condicional de Entra ID para exigir MFA y postura mínima, cifrado de los datos corporativos dentro de las apps gestionadas y borrado selectivo desde el mismo panel. El orden razonable: inventariar qué dispositivos acceden hoy, publicar la política, aplicar las políticas en modo piloto a un grupo, y después bloquear el acceso desde clientes no gestionados. Una revisión externa de la configuración de seguridad de Microsoft 365 suele destapar en horas los huecos típicos: legacy auth activo, excepciones olvidadas y reglas de acceso condicional que no cubren todas las apps.