Correo de empresa en el móvil personal: proteger los datos sin controlar el teléfono

El móvil personal es, para muchas empresas, un punto ciego. La plantilla lee ahí el correo, abre documentos de OneDrive y contesta en Teams, pero a nadie le gusta la idea de que la empresa «controle» su teléfono. Existe un término medio que respeta las dos cosas, y funciona mejor de lo que parece.

El dilema del teléfono que es de todos y de nadie

Imagina una empresa de 40 personas. Solo unas pocas tienen móvil corporativo; el resto usa el suyo para mirar el correo mientras espera el autobús o para aprobar un presupuesto desde casa. Es cómodo y nadie quiere renunciar a ello. Pero ese mismo teléfono guarda adjuntos con datos de clientes, convive con aplicaciones de todo tipo y puede acabar olvidado en un taxi.

La respuesta clásica era inscribir el móvil en la gestión de la empresa, lo que en la jerga se llama «enrolar» el dispositivo. Tiene sentido en un teléfono corporativo. En uno personal genera rechazo, y con razón: nadie quiere que su empleador tenga capacidad de borrar el teléfono entero o de administrar lo que instala.

Proteger las aplicaciones, no el aparato

Intune, la herramienta de Microsoft para gestionar dispositivos, ofrece otra vía: las directivas de protección de aplicaciones. En lugar de poner reglas al teléfono, se ponen a las aplicaciones de trabajo: Outlook, Teams, OneDrive, Word, Excel y compañía. El móvil no se inscribe en la gestión de la empresa.

El resultado es una frontera clara. Dentro de esas aplicaciones, los datos de la empresa siguen las normas de la empresa. Fuera de ellas, el teléfono sigue siendo de su dueño. La empresa no ve ni administra el resto: ni la galería de fotos, ni los mensajes, ni las aplicaciones que cada cual tenga instaladas.

La empresa protege sus datos; el teléfono sigue siendo de quien lo paga.

Las reglas que puedes aplicar

Las directivas son flexibles y se pueden ajustar según lo delicada que sea la información con la que trabaja cada grupo. Las más habituales son estas:

• Un PIN o la huella para abrir las aplicaciones de trabajo, aunque el teléfono ya esté desbloqueado. Si alguien coge el móvil un momento, no llega al correo de la empresa.
• Impedir que la información salga de las aplicaciones de trabajo: no se puede copiar un texto de Outlook y pegarlo en una aplicación de mensajería personal, ni guardar un adjunto en el almacenamiento general del teléfono.
• Bloquear las capturas de pantalla dentro de esas aplicaciones, si el tipo de información lo justifica.
• Exigir versiones mínimas del sistema operativo y de las aplicaciones, para que nadie trabaje con software sin actualizar.

No hace falta activarlo todo. Para un equipo comercial quizá basten el PIN y la restricción de copiar y pegar; para dirección o administración puede tener sentido ir un paso más allá.

Cuando el móvil se pierde o la persona se marcha

Aquí está una de las grandes ventajas. Si un teléfono se extravía o alguien deja la empresa, se puede hacer un borrado selectivo: desaparecen el correo, los archivos y los datos de trabajo de esas aplicaciones, y todo lo demás queda intacto.

Es la diferencia con un borrado completo del dispositivo, que devuelve el teléfono a su estado de fábrica. Nadie aceptaría eso en su móvil propio, y tampoco hace falta: lo que preocupa a la empresa son sus datos, no las fotos de las vacaciones.

La pieza que cierra el círculo: el acceso condicional

Las directivas solo protegen lo que pasa dentro de las aplicaciones protegidas. Si alguien configura su cuenta de trabajo en la aplicación de correo que trae el teléfono de serie, esas reglas no se aplican. Por eso hace falta una segunda pieza.

El acceso condicional es un conjunto de reglas de Microsoft 365 que decide quién puede entrar, desde dónde y con qué. Con una regla bien planteada, desde un móvil personal el correo y los documentos solo se abren con aplicaciones protegidas: se entra con Outlook, no con cualquier otra aplicación de correo. Así la protección deja de ser una sugerencia y pasa a ser la única puerta.

Explicarlo bien vale tanto como configurarlo

La parte técnica es relativamente sencilla. Lo delicado es la percepción. Si la plantilla recibe un aviso de que «la empresa va a gestionar los móviles», la reacción será de desconfianza, aunque la configuración no toque nada personal.

Funciona mucho mejor contar las cosas en claro:

1. Qué cambia: habrá que poner un PIN al abrir Outlook o Teams y no se podrá copiar información de trabajo fuera de ellas.
2. Qué no cambia: la empresa no ve ni toca fotos, mensajes, ubicación ni otras aplicaciones.
3. Qué pasa si se pierde el móvil: se borran los datos de trabajo, nada más.

Y conviene probarlo primero con un grupo pequeño. Ahí aparecen las dudas reales, como la persona que usaba otra aplicación de correo o el equipo que necesita compartir archivos de una forma concreta, y se resuelven antes de extenderlo a todos.

En OLATIC configuramos estas directivas en Intune junto con el acceso condicional, preparamos una explicación sencilla para la plantilla sobre qué cambia y qué no en su teléfono, y lo probamos con un grupo piloto antes del despliegue general. La claridad en la explicación es, de verdad, la mitad del éxito.