El riesgo empresarial de usar cuentas de correo electrónico personales

Cuando los empleados trasladan las comunicaciones empresariales a cuentas de correo electrónico personales, las organizaciones pierden visibilidad sobre dónde reside la información, quién puede acceder a ella y cómo protegerla, conservarla o recuperarla cuando algo sale mal.

Conclusiones principales

• No se puede proteger la información que no se puede ver. La información empresarial almacenada en cuentas de correo electrónico personales queda fuera de muchos controles corporativos de seguridad, supervisión y gobernanza.
• El correo electrónico personal aumenta el riesgo empresarial más allá de la ciberseguridad. Puede crear desafíos legales, de cumplimiento normativo, de mantenimiento de registros y de continuidad, además del riesgo de phishing y malware.
• La comunicación segura en los negocios requiere tanto de políticas como de tecnología. Las organizaciones deben proporcionar herramientas de comunicación seguras y aprobadas, y hacer que sean más fáciles de usar que las alternativas personales.

"¿Cuándo está bien usar el correo electrónico personal para negocios?"

Hemos recibido diferentes versiones de esta pregunta durante años. Se basa en la premisa de que utilizar el correo electrónico personal a veces es más conveniente que iniciar sesión en una cuenta controlada por la empresa. La autenticación multifactor (MFA), las restricciones de ubicación y otros controles pueden ser molestos cuando alguien está viajando o tiene prisa.

La respuesta corta a esta pregunta es ‘nunca’. Las cuentas de correo electrónico personales introducen nuevas vías de ataque en la empresa. Residen fuera del control de las medidas de seguridad corporativas, lo que significa que la empresa no puede monitorizarlas para detectar mensajes maliciosos, políticas de acceso y retención, inicios de sesión sospechosos o ataques de usurpación de cuentas (ATO).

Las cuentas de correo electrónico personales están sujetas a phishing de credenciales, mensajes maliciosos, estafas de soporte técnico y muchos otros ataques. Aunque las cuentas personales pueden ofrecer filtrado de spam y MFA, generalmente no tienen las capacidades robustas de la seguridad del correo electrónico empresarial. La investigación de Hudson Rock sobre infostealers en un dominio corporativo encontró miles de infecciones asociadas a empleados que expusieron la infraestructura de autenticación corporativa y una multitud de credenciales para servicios de consumo como Netflix, Twitter, Dropbox y LinkedIn. Esto no revela una relación causal, pero sí muestra que las máquinas de uso personal o mixto pueden exponer tanto las cuentas personales como el acceso empresarial. Una sola infección de infostealer puede llevar a una violación masiva de datos.

¿Cuáles son los riesgos financieros de utilizar una cuenta personal para negocios?

Los datos son ahora uno de los activos más valiosos que posee una empresa: registros de clientes, información financiera, propiedad intelectual, comunicaciones operativas, registros de empleados y relaciones con proveedores fluyen por correo electrónico todos los días. Cuando esos datos residen en sistemas que no controla su equipo de IT, pierde la capacidad de protegerlos, gestionarlos, auditarlos o recuperarlos.

La investigación de IBM ilustra cuán altas se han vuelto esas apuestas. En 2024, el 70 % de las organizaciones afectadas por brechas de seguridad informaron que la brecha causó una interrupción significativa o muy significativa en sus operaciones, y para aquellas que lograron recuperarse, el proceso llevó más de 100 días. Solo el 12 % de las organizaciones afectadas por brechas de seguridad pudieron recuperarse por completo.

Eso es solo una parte del panorama. Un estudio mostró que el 65 % de los consumidores perdió la confianza en una empresa después de una brecha de datos, y el 27 % interrumpió su relación con la empresa por completo. Otro encontró que las empresas que sufren brechas de datos rinden un 15,6 % menos que el NASDAQ en promedio durante los tres años posteriores a una brecha. Este tipo de investigación nos muestra que una brecha puede dañar a una empresa durante muchos años.

¿Cuáles son los riesgos legales de usar una cuenta personal para negocios?

Permitir que los empleados utilicen cuentas de correo electrónico personales para realizar negocios significa que la información empresarial de su empresa se está almacenando en servidores de correo fuera de su control, en cualquier parte del mundo. No tiene forma de saber todos los lugares donde se almacena la información de su empresa o a dónde se ha transmitido.

Y una cuenta de correo electrónico personal no está cubierta por las políticas de seguridad de su empresa. Su empleado puede haber aceptado los Términos y Condiciones de Gmail (que permiten búsquedas de contenido de correo electrónico), pero su empresa no lo hizo. Puede tener una buena política de privacidad de datos implementada, pero las cuentas de correo electrónico personales pueden eludirla con un solo clic del botón "Enviar".

Entender los riesgos e implicaciones de usar cuentas personales para fines empresariales no siempre es evidente hasta que hay solicitudes de Libertad de Información, investigaciones internas o E-Discovery. En todos estos casos, esas cuentas personales pueden contener información relevante y, como tal, deben ser ofrecidas para búsqueda y recuperación.

Incluso el acto de descubrimiento es difícil: Los correos electrónicos personales no son descubiertos en los procedimientos legales estándar. Google, por ejemplo, prohíbe el escaneo externo de los correos electrónicos de los usuarios (varios casos están actualmente en curso), lo que significa que la empresa tendrá que instruir al usuario para que escanee su propio correo electrónico y corre un gran riesgo de sanciones por destrucción de pruebas. Si el problema es regulatorio, es probable que se descubra que la empresa no cumple con las normativas.

Si un empleado está utilizando cuentas de correo electrónico personales para enviar correos electrónicos relacionados con el negocio usando un dispositivo de la empresa, no significa necesariamente que la organización tenga derecho a buscar esos correos electrónicos. En el caso de "Stengart vs. Loving Care", la Corte Suprema de Nueva Jersey dictaminó que un empleado "podría entender razonablemente que la comunicación por correo electrónico con (su) abogado a través de su cuenta de correo electrónico personal, protegida por contraseña y basada en la web, se mantendría privada, y que enviar y recibirlos usando un portátil de la empresa no eliminaba el privilegio abogado-cliente que los protegía".

Podría ser muy difícil convencer a un solicitante o a un tribunal de que toda la información relevante fue descubierta y producida, incluso si se tomaron medidas heroicas (y costosas) como copiar todo el buzón del individuo en un servidor de la empresa para búsqueda y recuperación. Y pocos usuarios aceptarían que una copia completa de su correo electrónico personal se mantuviera en los servidores de su empresa.

La solución podría ser obvia, pero las empresas aún necesitan reforzarla.

En primer lugar, establecer políticas estrictas contra el uso del correo electrónico personal para negocios es la única opción, pero a pesar de todas las razones por las que los asuntos de la empresa solo deberían realizarse a través del correo electrónico de la empresa, los usuarios seguirán el camino de menor resistencia y usarán el correo que les resulte más sencillo. La carga recae entonces en la empresa, que debe asegurarse de que el “camino de menor resistencia” sea el camino correcto.

Las empresas pueden ser proactivas y asegurarse de que los empleados remotos o de campo puedan acceder fácilmente a los sistemas de correo electrónico de la empresa utilizando sus propios dispositivos. Las interfaces de webmail son fáciles de configurar, y cualquier captura de cumplimiento verá y preservará esos correos incluso cuando se envíen desde un PC de casa, portátil, smartphone o tablet. Al redactar un nuevo correo electrónico, especialmente en móviles, se debe recordar a los empleados que siempre elijan la dirección de correo electrónico de la empresa, no la personal. Para los no empleados, como contratistas y consultores, el problema es el mismo. Si el contratista o consultor está haciendo negocios en nombre de la empresa, entonces es un paso inteligente proporcionarles una dirección de correo electrónico de la empresa y aplicar pautas estrictas sobre su uso como parte del acuerdo.

Los departamentos de TI siempre deben poder mantener el control central y la visibilidad de todos los correos electrónicos que se envían o reciben en nombre de la empresa para evitar los problemas que resultan de realizar negocios desde cuentas de correo electrónico personales, pero esto requiere algunas políticas simples y una organización de TI que sea tanto proactiva como persistente. El problema podría no desaparecer por completo, pero será un problema nominal, no uno grande.

Barracuda ofrece una serie de soluciones de gestión de correo electrónico e información para ayudar a las organizaciones a centralizar y controlar sus datos empresariales y minimizar el riesgo corporativo y legal. Descubra más sobre las soluciones de seguridad y protección de datos de Barracuda en nuestro sitio corporativo aquí.