Segmentación de dispositivos y dispositivos propios (BYOD)

Muchas empresas identifican un dispositivo por su dirección de hardware (MAC). Los sistemas operativos de teléfonos y portátiles actuales pueden usar una dirección aleatoria por cada red (privacidad), y en algunos casos cambiarla con el tiempo. Una lista de direcciones permitidas deja entonces de reconocer al dispositivo, y el equipo aparece como uno nuevo cada vez.

Por eso la identidad de un dispositivo personal se apoya en algo más estable: un certificado propio del dispositivo, emitido en la inscripción, o la cuenta de la persona.

La segmentación es la tabla de categorias: cada tipo de dispositivo tiene un método de acceso, una VLAN y una salida permitida. Si un equipo termina en una VLAN que no es la suya, el control de salida que se le aplica es el de otra categoría. Puede ser un error de configuración o una excepción que nadie documentó.

Compara vlan_actual con vlan_esperada en dispositivos.

Un lector de códigos o una cámara muchas veces no admite 802.1X. Se les asigna una clave por grupo y una VLAN con salida mínima. Es un compromiso: la clave la conoce todo el grupo y, si se filtra, sirve para todos los dispositivos que la usan. Por eso el grupo debe ser pequeño y la VLAN restrictiva, de modo que quien consiga la clave solo alcance lo que ese grupo ya podía alcanzar.

En claves_por_grupo el valor real no se muestra: los marcadores CLAVE-FICTICIA-NNNN identifican la clave, y dos filas con el mismo marcador comparten la misma.

En BYOD, el dispositivo es de la persona pero el acceso es de la empresa. Cuando la persona se va, el certificado que se le emitió debe revocarse el mismo día de la baja. Si no, el teléfono sigue entrando a la red de dispositivos personales.

Cruza byod (estado del certificado) con bajas_talento_humano. Una persona dada de baja con el certificado aún vigente es el hallazgo.

El caso anterior no es un descuido de una persona: es un proceso que no conecta la baja con la revocación.