Recuperación remota de dispositivos del personal: cómo recuperar, borrar y eliminar activos a escala

En el momento en que se confirma la separación de un trabajador, empiezan a correr dos relojes.

La primera es su MDM: desprovisión de cuentas, revocaciones de acceso VPN, rutas de correo electrónico a una bandeja de entrada muerta. La mayoría de los equipos de TI han conectado correctamente esta parte.

El segundo reloj es el propio dispositivo, y para los empleados remotos, ese reloj funciona según el sistema de honor.

El portátil sigue en su casa. Los datos de su SSD siguen intactos. El valor de mercado secundario sigue acumulando polvo en alguna habitación libre.

Al igual que los dos relojes, las consecuencias posteriores se dividen en dos categorías: financieras y jurídicas.

Desde el punto de vista financiero, una flota de dispositivos no recuperados puede representar una pérdida sustancial de valor de los activos. Un despliegue de 500 unidades de MacBook Pro M3, en el que los modelos M3 Pro recuperan actualmente $1.450 a $1.650 en el mercado secundario, pueden representar más de $700.000 en valor de riesgo. Incluso una modesta flota de Dell Latitude 5540, que se cotizan en alrededor de $400 a $500 en buen estado en plataformas de reacondicionamiento, a gran escala. Desde el punto de vista legal, un dispositivo con un SSD sin desinfectar que contenga tres años de correo electrónico de la empresa y acceso a archivos supone un incumplimiento de la normativa.

La solución es de procedimiento, no técnica. Un programa estructurado de recuperación remota basado en una logística de retorno preconfigurada, activadores de salida coordinados por MDM y una higienización certificada a la llegada cierra ambos tipos de exposición simultáneamente.

Cómo elaborar una política de ITAD a distancia

La recuperación remota de dispositivos es un problema de ITAD, no sólo de logística. Un portátil que se envía de vuelta en una caja prepagada sin borrado remoto previo o desinscripción de MDM es una responsabilidad de datos en tránsito.

R2v3 Apéndice B y NIST 800-88 se aplican a los dispositivos devueltos a distancia del mismo modo que se aplican al hardware de los centros de datos. La norma no crea lagunas para los activos recuperados en oficinas domésticas.

El borrado remoto a través de MDM (Jamf, Microsoft Intune, Workspace ONE) debe ir precedido de la baja documentada de todos los servicios conectados a la nube.

Por qué el proceso ITAD estándar no funciona con los activos remotos

El ITAD tradicional supone que se trabaja desde un muelle de carga. Un proveedor de ITAD se presenta con un equipo, hace inventario de las estanterías o del armario de dispositivos, empaqueta todo y se lo lleva. La cadena de custodia se transfiere en el momento de la recogida. La limpieza de los datos se realiza en las instalaciones. Toda la operación está contenida.

Las plantillas remotas e híbridas rompen todos los supuestos de ese modelo.

No hay muelle de carga. No hay ningún representante informático en el edificio. El activo está en el despacho de alguien, en su habitación de invitados o en el cajón de la mesa de la cocina. El empleado puede o no cooperar en el proceso de devolución. El dispositivo puede o no haber sido tratado con cuidado. Puede tener datos personales mezclados con datos corporativos, dependiendo de cómo se haya configurado la política de gestión de dispositivos. Nadie puede verificar en qué condiciones se encuentra hasta que llega.

El problema de la cadena de custodia comienza en el momento en que el dispositivo sale de las manos del empleado. Si un portátil se envía de vuelta en una caja de cartón al azar sin documentación previa, sin seguimiento, y llega a una instalación ITAD con un estado de datos desconocido, el equipo receptor está empezando desde cero en el cumplimiento. No saben lo que había en él, no saben si una cuenta personal ha iniciado sesión y no saben si la inscripción MDM se cerró correctamente.

En R2v3 Requisitos básicos 6 y 7, todos los equipos y componentes que puedan contener datos deben estar protegidos y controlados para evitar accesos no intencionados hasta que sean procesados. Un dispositivo enviado sin seguimiento, sin pruebas de manipulación y sin controles de seguridad documentados no cumple esa norma. Un dispositivo en un kit de devolución a prueba de manipulaciones con seguimiento de la cadena de custodia, precedido de la desinscripción verificada de MDM según NIST 800-88, sí lo cumple.

Qué requiere realmente un proceso de devolución a distancia: 4 pasos

A efectos de planificación, es útil dividir la devolución remota de hardware en cuatro fases distintas: preparación previa, devolución física, seguridad en tránsito y procesamiento ITAD.

Fase 1: Preparación previa a la separación

La intervención más eficaz en la recuperación remota de dispositivos se produce antes de que el empleado se marche oficialmente.

Para las salidas planificadas (dimisiones con preaviso, separaciones por finalización de contrato, eventos de reducción de plantilla), TI y RR.HH. deben activar el flujo de trabajo de retorno del dispositivo en el momento en que se confirma la fecha de separación. Esto significa que ocurren dos cosas en paralelo: se envía el kit de devolución y comienzan los preparativos a nivel de MDM.

Los preparativos de MDM antes de devolver el dispositivo incluyen eliminar al empleado de cualquier grupo de acceso condicional y confirmar el estado del cifrado de disco completo del dispositivo (FileVault en macOS, BitLocker en Windows). Compruebe que la clave de recuperación está en custodia en su plataforma de gestión, y verifique que el estado de inscripción actual del dispositivo y el usuario asignado son correctos. Esta información viaja con el registro de la cadena de custodia.

Para las bajas involuntarias, la preparación previa a la separación no es posible. El libro de jugadas es diferente: el bloqueo remoto o el borrado remoto a través de MDM debe ejecutarse el mismo día de la separación, y el kit de devolución se envía inmediatamente con un plazo de devolución claro. Aquí es donde resulta crítico disponer de una capacidad de borrado remoto que no dependa de la cooperación de los empleados.

Fase 2: El retorno físico

Una etiqueta de envío prepagada en un correo electrónico es una solicitud de devolución. Un kit de devolución es un sistema.

Un kit de devolución funcional para dispositivos empresariales incluye:

• Una caja de envío rígida o semirrígida del tamaño adecuado para el tipo de dispositivo específico (un MacBook Pro se envía de forma diferente a un Dell Latitude).
• Material de embalaje suficiente para proteger el dispositivo y los periféricos durante la manipulación de envío estándar.
• Un precinto o bolsa a prueba de manipulaciones para el propio dispositivo
• Una etiqueta de devolución prepagada con seguimiento
• Una tarjeta de instrucciones claras con el plazo de devolución y lo que debe incluirse
• Una etiqueta de activo o un mecanismo de confirmación del número de serie para que la instalación receptora sepa exactamente qué dispositivo se supone que hay en la caja.

La tarjeta de instrucciones importa más de lo que esperan la mayoría de los equipos informáticos. Los empleados que devuelven dispositivos no piensan en lo que hay en la bolsa de la funda del portátil, en el ladrillo de carga del cajón del escritorio o en la tarjeta SIM del teléfono del trabajo. Unas instrucciones claras sobre lo que hay que incluir y lo que ocurre si faltan elementos mejorarán significativamente la integridad de las devoluciones.

El envío prepagado debe realizarse por defecto con un transportista que ofrezca seguimiento y confirmación de firma, es decir, UPS o FedEx Ground en lugar de USPS para bienes de valor comercial. Un MacBook Pro con más de $1.000 de valor en el mercado secundario no debería enviarse con una etiqueta sin seguimiento.

Fase 3: Seguridad en tránsito y cadena de custodia

R2v3 exige que los dispositivos de datos sean identificables y rastreables desde el punto de control hasta el proceso de saneamiento. En el caso de los dispositivos devueltos a distancia, esa cadena de custodia comienza en el momento en que el dispositivo deja de estar en posesión del empleado, no cuando llega a las instalaciones de ITAD.

En la práctica, esto significa que el kit de devolución necesita un número de seguimiento que se registra con el número de serie del dispositivo antes de su envío. Cuando el paquete pasa por el sistema de seguimiento del transportista, ese registro constituye la cadena de custodia para la fase en tránsito. Cuando llega a las instalaciones de ITAD, el primer paso es comprobar el precinto de seguridad y confirmar el número de serie del dispositivo con el registro generado previamente.

Un dispositivo que llega en una caja dañada con el precinto roto se marca y documenta como un posible problema de integridad antes de que entre en el flujo de procesamiento estándar.

Fase 4: Tramitación ITAD

Cuando el dispositivo llega a las instalaciones de ITAD, entra en el flujo de procesamiento estándar conforme a R2v3. Hay un paso adicional específico para los dispositivos devueltos a distancia: la verificación de la cuenta en la nube.

R2v3 Apéndice B Sección 12 es explícito: todos los inicios de sesión, contraseñas, bloqueos o cualquier otra conexión a un servicio remoto deberán eliminarse y dejar de estar conectados al dispositivo. En el caso de un MacBook Pro devuelto de forma remota, eso significa verificar que el dispositivo no está bloqueado, que se ha eliminado el ID de Apple asociado al dispositivo y que se ha desactivado y desvinculado la sincronización con iCloud antes de... NIST 800-88 se ejecuta la desinfección lógica. Lo mismo se aplica a los dispositivos Windows: El inicio de sesión de la cuenta Microsoft y la sincronización de OneDrive deben verificarse como desconectados.

Los empleados suelen iniciar sesión con cuentas personales en dispositivos de trabajo a pesar de la política de MDM. Un borrado remoto ejecutado a través de Jamf o Intune borra los datos corporativos y vuelve a crear la imagen del dispositivo, pero no siempre elimina una cuenta personal de iCloud asociada a la vinculación del ID de Apple del hardware. Esto depende del nivel de supervisión de la inscripción. Para dispositivos que se inscribieron manualmente en lugar de aprovisionarse a través de Apple Business Manager, Las soluciones MDM no pueden eliminar el bloqueo de activación sin la cooperación del usuario, lo que significa que una cuenta personal de iCloud vinculada al hardware puede sobrevivir por completo a un borrado corporativo. La verificación por dispositivo en la ingesta es la confirmación más fiable.

Integración de ITAD en el flujo de trabajo de incorporación de RR.HH.

El punto de fallo más previsible en la recuperación remota de dispositivos es organizativo: TI y RRHH no se hablan hasta que es demasiado tarde.

RRHH gestiona el evento de incorporación. TI gestiona los activos. ITAD gestiona el final de la vida útil de los activos. En la mayoría de las organizaciones, estas tres funciones operan secuencialmente en lugar de en paralelo, y el traspaso entre ellas es donde desaparecen los dispositivos.

Un flujo de trabajo integrado cambia la secuencia. El desencadenante de la salida, ya sea una dimisión, un despido o un fin de contrato, se activa simultáneamente en la lista de control de salida de RR.HH. y en el flujo de trabajo de recuperación de dispositivos de TI. RR.HH. comunica al empleado saliente el plazo de devolución y las consecuencias. TI activa el envío del kit de devolución e inicia la preparación de MDM. El proveedor de ITAD recibe una notificación previa con el inventario de dispositivos, los números de serie y el plazo de devolución previsto.

Cuando un dispositivo llega a las instalaciones de ITAD, el registro ya existe. El equipo de procesamiento no está conciliando un activo desconocido con un empleado desconocido. En su lugar, están cerrando un registro rastreado con una cadena de custodia conocida.

El cuadro siguiente muestra la diferencia entre un flujo de trabajo integrado y no integrado para una dimisión voluntaria estándar con un plazo de preaviso de dos semanas:

El flujo de trabajo integrado no consiste únicamente en implantar una nueva tecnología. Requiere un desencadenante compartido, un traspaso definido y un proveedor que pueda recibir una notificación previa y generar previamente el registro de la cadena de custodia antes de que se envíe el dispositivo.

Los activos remotos no recuperados le están costando caro

He aquí un patrón en el que es fácil caer: los dispositivos se rastrean en el momento de su despliegue, y cuando los empleados se marchan sin devolverlos rápidamente, el activo se marca como “pendiente de devolución”. El dispositivo se sitúa en el sistema ITAM y permanece allí, a veces durante meses, a veces indefinidamente.

La magnitud de este problema es mayor de lo que la mayoría de los equipos informáticos creen. Según los analistas de Gartner que los clientes empresariales están recuperando, en el mejor de los casos, alrededor de 50% de portátiles de trabajadores remotos. Según otra conclusión de Gartner 30% de todos los activos informáticos fijos de la empresa eran “fantasmas” - registrados en los sistemas pero físicamente desaparecidos. Con una tasa de rotación anual de 15% en una flota de 1.000 dispositivos, incluso una tasa de recuperación del 70% significa que cada año desaparecen unos 45 dispositivos, lo que se traduce en decenas de miles de dólares en pérdidas anuales antes de tener en cuenta el riesgo de exposición a los datos.

Las organizaciones que implantan programas de recuperación estructurada con logística automatizada ven las tasas de retorno suben hacia 90% o superior, en comparación con los aproximadamente 50% de referencia de las organizaciones sin programas formales.

Un programa de recuperación estructurado con una ruta de escalado definida, que incluya una comunicación recordatoria, una notificación al supervisor y una carta de retención legal si es necesario, recupera ese valor y cierra la brecha de cumplimiento simultáneamente.