Nuestra empresa exige el cifrado de todo el disco en todos los portátiles propiedad de la empresa. Claro que hay un coste adicional, pero para la mayoría de nuestros usuarios no es un problema, ya que ejecutan navegadores web y suites ofimáticas. Mi MacBook está encriptado y no he notado ningún impacto, ni siquiera cuando ejecuto máquinas virtuales con VirtualBox. Para alguien que pasa gran parte de su día compilando grandes árboles de código podría ser un problema mayor.

Obviamente, se necesita un marco político para este tipo de cosas: hay que exigir que todos los portátiles propiedad de la empresa estén cifrados, y debe exigir que los datos de la empresa no puedan almacenarse en equipos que no sean propiedad de la empresa. La política debe aplicarse también al personal técnico y ejecutivo, aunque se quejen, porque de lo contrario volverás a encontrarte con el mismo problema.

Yo me centraría menos en el equipo en sí y más en los datos implicados. Así evitarás los problemas que tienes ahora. Puede que no tengas influencia para imponer una política sobre los equipos de propiedad personal. Sin embargo, es mejor que tengas la capacidad de imponer cómo se gestionan los datos propiedad de la empresa. En una universidad, este tipo de problemas surgen a menudo. Los profesores pueden no estar financiados de tal manera que su departamento pueda comprar un ordenador, o pueden comprar un servidor de procesamiento de datos con una subvención. En general, la solución a estos problemas es proteger los datos, y no el hardware.

¿Dispone su organización de una política de clasificación de datos? En caso afirmativo, ¿qué dice? ¿Cómo se clasificaría el repositorio de código? ¿Qué requisitos se impondrían a esa categoría? Si la respuesta a cualquiera de estas preguntas es "no" o "no lo sé", le recomiendo que hable con su oficina de seguridad de la información o con quien sea responsable de la elaboración de políticas en su organización.

Basándome en lo que dices que se ha publicado, si yo fuera el propietario de los datos probablemente lo clasificaría como Alto, o Código Rojo, o cualquiera que sea tu nivel más alto. Por lo general, eso requeriría cifrado en reposo, en tránsito, e incluso puede enumerar algunas restricciones sobre dónde se permite alojar los datos.

Más allá de eso, es posible que desee aplicar algunas prácticas de programación seguras. Algo que podría codificar un ciclo de vida de desarrollo y desautorizar expresamente a los desarrolladores a entrar en contacto con una base de datos de producción excepto en extrañas y raras circunstancias.

1.) Trabajo a distancia

Para los desarrolladores, el escritorio remoto es una solución muy buena a menos que se requiera 3D. El rendimiento suele ser suficientemente bueno.

A mis ojos, el escritorio remoto es incluso más seguro que la VPN, porque un portátil desbloqueado con la VPN activa permite bastante más de lo que permitiría una vista a un servidor de terminal.

La VPN sólo debe concederse a las personas que puedan demostrar que necesitan más.

Trasladar datos confidenciales fuera de casa es un error y debe evitarse en la medida de lo posible. Trabajar como desarrollador sin acceso a Internet puede estar prohibido porque la falta de acceso al control de código fuente, al seguimiento de incidencias, a los sistemas de documentación y a las comunicaciones hace que la eficiencia sea dudosa en el mejor de los casos.

2.) Utilización de hardware ajeno a la empresa en una red

Una empresa debe tener un estándar de lo que se requiere del hardware conectado a la LAN:

• Antivirus
• Cortafuegos
• estar en el dominio, ser inventariado
• si es móvil, estar encriptado
• los usuarios no tienen administración local (difícil si el desarrollador, pero factible)
• etc.

El hardware extranjero debe seguir estas directrices o no estar en la red. Podrías configurar NAC para controlar eso.

3.) Poco se puede hacer con la leche derramada, pero sí se pueden tomar medidas para evitar que vuelva a ocurrir.

Si se siguen los pasos anteriores, y los portátiles son poco más que clientes ligeros móviles, no hace falta mucho más. Incluso puedes comprar portátiles baratos (o utilizar los viejos).

¿Qué hace su empresa con los datos de la empresa en hardware que no es de su propiedad?

Por supuesto, los datos de la empresa sólo deben almacenarse en los dispositivos de la empresa y en ningún otro lugar, a menos que hayan sido cifrados por el departamento informático.

¿Es WDE una solución sensata? ¿Produce mucha sobrecarga en las lecturas/escrituras?

Cualquier software de cifrado de discos tendrá algunos gastos generales, pero merece la pena y todos los portátiles y unidades USB externas deberían estar cifrados.

Aparte de cambiar las contraseñas de las cosas que se almacenaron/accedieron desde allí, ¿hay algo más que puedas sugerir?

También puedes conseguir un software de borrado remoto como el que tendrías en un entorno BES para blackberries.