Cómo proteger los móviles de empresa: doble factor, PIN y permisosHow to protect company phones: two-factor, PINs and permissions
Las tres capas que protegen un grupo de móviles de trabajo, qué permisos dar a cada app y qué hacer si se pierde uno.The three layers that protect a group of work phones, which permissions to give each app and what to do if one is lost.
Equipo de OrwendOrwend team · · 8 min de lectura8 min readPara proteger los móviles de empresa hay que pensar en tres capas: quién entra a las herramientas que los manejan, qué puede hacer cada móvil y cómo se bloquea cada teléfono. A eso se suma revisar qué permisos tiene cada app. Bien montado, no complica el trabajo y evita la mayoría de los sustos.
Capa 1: quién entra al panel
- Doble factor obligatorio para todos, sin excepciones.
- Una contraseña única para esta herramienta, que no se use en ningún otro sitio.
- Códigos de recuperación guardados fuera del ordenador.
- Que el equipo se recuerde solo unos días, no para siempre.
Cada persona, lo suyo
No todo el equipo necesita lo mismo. Quien atiende mensajes solo necesita ver y manejar; quien da de alta móviles necesita administrar. Da a cada uno lo justo y revisa los accesos cuando alguien deja la empresa.
Capa 2: cada móvil, su llave
Cada teléfono debe conectarse con su propia llave, no con una contraseña compartida. Así, si pierdes uno, retiras su llave y los demás siguen funcionando. Y si además cada móvil tiene su propia SIM, un problema en uno no arrastra a los demás.
Capa 3: el bloqueo del móvil
- Un PIN de seis cifras protege más que un patrón, que se adivina por las marcas de la pantalla.
- Bloqueo automático tras uno o dos minutos sin uso.
- Nunca apuntes los PIN en notas compartidas ni en grupos de mensajería.
Qué permisos dar a cada app
Las apps que manejan un móvil a distancia necesitan permisos delicados. Saber qué hace cada uno ayuda a detectar apps que piden más de la cuenta.
Captura de pantalla
Permite ver lo que aparece en la pantalla mientras se comparte. Android pide permiso cada vez que empieza y lo indica con un aviso visible.
Accesibilidad
Permite tocar, deslizar y escribir por ti. Es potente: está pensado para personas con discapacidad, y por eso Android lo protege tanto. Si sale en gris, mira cómo permitir ajustes restringidos.
Acceso a notificaciones
Permite leer las notificaciones que llegan. Una app seria solo usa lo que necesita: por ejemplo, contar cuántos mensajes sin leer hay, sin leer su texto.
Lo que esos permisos no dan
- Acceso a tus fotos o archivos sin pedir otro permiso.
- Tus contraseñas guardadas.
- Acceso si tú no los has activado o si los retiras.
Qué hacer si se pierde un móvil de empresa
- Dale de baja en el panel (en Orwend, «Dar de baja») para que nadie pueda manejarlo desde allí.
- Llama al operador para bloquear la SIM.
- Cambia las contraseñas de las cuentas que usaba.
- Localízalo o bórralo con la función de encontrar tu dispositivo.
Una política sencilla para el equipo
No hace falta un manual de cien páginas. Cinco normas claras cubren casi todo:
- Cada persona entra con su usuario y su doble factor; nadie comparte contraseñas.
- Los PIN de los móviles no se escriben en ningún sitio compartido.
- Nadie instala apps en los móviles de trabajo sin avisar.
- Si un móvil se pierde o hace cosas raras, se avisa al momento.
- Cuando alguien deja la empresa, se le retiran los accesos ese mismo día.
Actualizaciones: la protección más barata
Muchos ataques aprovechan fallos ya corregidos. Mantén Android y las apps actualizados, y programa las actualizaciones fuera del horario de trabajo para que no interrumpan.
Continuidad: que un fallo no pare el negocio
- Ten anotado qué cuenta usa cada móvil y cómo recuperarla.
- Guarda los códigos de recuperación de cada cuenta en un lugar seguro.
- Ten un móvil de repuesto preparado si dependes mucho de ellos.
Preguntas frecuentes
¿Es obligatorio el doble factor en una empresa?
No siempre por ley, pero es la medida que más ataques evita. En herramientas que manejan móviles con cuentas de clientes, debería serlo.
¿PIN o patrón para bloquear el móvil?
Un PIN de seis cifras. El patrón se puede deducir por las marcas en la pantalla.
¿Qué permisos son peligrosos en Android?
La accesibilidad y el acceso a notificaciones son los más delicados. Dalos solo a apps de confianza.
To protect company phones, think in three layers: who gets in to the tools that control them, what each phone can do and how each handset is locked. On top of that, review the permissions each app has. Set up properly, it doesn't get in the way of work and it prevents most nasty surprises.
Layer 1: who gets into the dashboard
- Mandatory two-factor authentication for everyone, no exceptions.
- A unique password for this tool, not used anywhere else.
- Recovery codes stored somewhere other than the computer.
- Trusted devices remembered for a few days only, not forever.
Each person gets what they need
Not everyone on the team needs the same access. Someone handling messages only needs to view and operate; someone adding new phones needs admin rights. Give each person just enough, and review access whenever someone leaves the company.
Layer 2: each phone has its own key
Every phone should connect with its own key, not a shared password. That way, if you lose one, you revoke its key and the rest keep working. And if each phone also has its own SIM, a problem with one doesn't drag the others down.
Layer 3: the phone's screen lock
- A six-digit PIN is safer than a pattern, which can be guessed from smudges on the screen.
- Auto-lock after one or two minutes of inactivity.
- Never write PINs down in shared notes or messaging groups.
Which permissions to give each app
Apps that control a phone remotely need sensitive permissions. Knowing what each one does helps you spot apps that ask for more than they should.
Screen capture
Lets the app see what's on the screen while it's being shared. Android asks for permission every time sharing starts and shows a visible notice.
Accessibility
Lets the app tap, swipe and type for you. It's powerful: it's designed for people with disabilities, which is why Android guards it so closely. If it's greyed out, see how to allow restricted settings.
Notification access
Lets the app read incoming notifications. A trustworthy app only uses what it needs: for example, counting how many unread messages there are without reading their content.
What these permissions don't grant
- Access to your photos or files without asking for a separate permission.
- Your saved passwords.
- Any access if you haven't enabled them or once you revoke them.
What to do if a company phone is lost
- Deactivate it in the dashboard (in Orwend, “Deactivate”) so no one can control it from there.
- Call the carrier to block the SIM.
- Change the passwords of the accounts it used.
- Locate or wipe it using Find My Device.
A simple policy for the team
You don't need a hundred-page manual. Five clear rules cover almost everything:
- Everyone logs in with their own user account and two-factor authentication; no one shares passwords.
- Phone PINs are never written down anywhere shared.
- No one installs apps on work phones without telling the team.
- If a phone goes missing or behaves oddly, report it straight away.
- When someone leaves the company, their access is revoked that same day.
Updates: the cheapest protection there is
Many attacks exploit flaws that have already been fixed. Keep Android and your apps up to date, and schedule updates outside working hours so they don't cause interruptions.
Continuity: don't let one failure stop the business
- Keep a record of which account each phone uses and how to recover it.
- Store the recovery codes for every account somewhere safe.
- Keep a spare phone ready if you rely on them heavily.
Frequently asked questions
Is two-factor authentication mandatory for a business?
Not always by law, but it's the single measure that stops the most attacks. For tools that control phones holding customer accounts, it should be.
PIN or pattern to lock the phone?
A six-digit PIN. A pattern can be worked out from the smudges on the screen.
Which Android permissions are risky?
Accessibility and notification access are the most sensitive. Only grant them to apps you trust.