El puesto de trabajo digital: más que un portátil con Teams

Qué es un puesto de trabajo digital y qué no

El término se usa de forma tan amplia que casi ha dejado de significar algo. En la práctica, un puesto de trabajo digital es el conjunto de tres cosas, y la clave está en mirarlas por separado.

• La identidad. La cuenta con la que alguien inicia sesión, lo que puede hacer con ella y cómo sabes que es realmente esa persona. Es la capa que decide si el resto es seguro.
• El dispositivo. El portátil, el móvil o el cliente ligero: de quién es, quién lo gestiona y qué pasa si se queda en el tren.
• Las aplicaciones y los archivos. Dónde están, cómo llega alguien a ellos y si eso también funciona fuera de la oficina.

Lo que no es: un portátil con Microsoft 365. Esa es una capa de las tres, y es la que menos determina si el conjunto funciona. Por eso la pregunta "¿tenemos un puesto de trabajo digital?" no se responde con un sí o un no. La pregunta que sí da algo es: ¿cuál de estas tres montamos a propósito y cuál creció sola?

Las cuatro formas y cuándo encaja cada una

Hay a grandes rasgos cuatro maneras de montar esto. No se excluyen —la mayoría de las organizaciones lleva dos a la vez— pero piden cosas distintas.

• Dispositivo propio, gestionado desde la nube. El portátil es de la empresa, el trabajo está en él y la gestión se hace en remoto sin que tenga que pasar nunca por la oficina. Encaja con la gran mayoría de organizaciones de oficina y suele ser la respuesta más tranquila.
• Escritorio virtual. El escritorio corre en un centro de datos y el dispositivo es solo una pantalla. Encaja donde los datos no pueden salir del centro de datos, donde aplicaciones pesadas deben estar cerca de los datos, o donde mucha gente por turnos hace el mismo trabajo.
• Todo en el navegador. Ninguna aplicación instalada, solo servicios web. Barato de gestionar y limitado en lo que aguanta; se sostiene o se cae con esa aplicación que no puede.
• Mixto. Las personas de oficina en el primer modelo, producción o el mostrador en el segundo. Es lo más habitual en la práctica y rara vez se elige de forma consciente.

Lo que decide en nueve de cada diez casos no es el precio sino una aplicación: la que solo corre en local, o solo en Windows, o solo cuando está junto a su base de datos. Empieza por ahí, no por comparar modelos de licencia.

El inicio de sesión es ahora el perímetro

Cuando todos estaban en la oficina, la red era la frontera: dentro era de confianza y fuera no. Ese modelo no se rompió, simplemente dejó de ser relevante. Si el trabajo está en la nube y la gente está en todas partes, ya no hay un dentro.

Lo que queda entonces entre un atacante y tus archivos es la cuenta. Eso cambia hacia dónde debe ir tu atención:

• Segundo factor en todo, también en las cuentas de administración. Sobre todo en esas, porque son las que merecen el esfuerzo de un atacante.
• Acceso condicional. No solo quién entra, sino desde qué dispositivo y en qué situación. Un inicio de sesión desde un equipo no gestionado no debería poder lo mismo que uno desde un portátil que entregaste tú.
• Las salidas. Es la capa donde falla en la práctica. Una cuenta que sigue viva es una puerta abierta, y con un puesto digital esa puerta se alcanza desde fuera.

Una VPN no resuelve nada de esto. Traslada el problema a un inicio de sesión que también es una cuenta. Cómo lo montamos está en ciberseguridad.

Qué se rompe en la práctica

Cuatro cosas, y rara vez son las que están en el presupuesto.

• Imprimir. No es una broma. En cada cambio de puesto, imprimir es lo primero que se nota y lo último que funciona, y cuesta más reuniones que todo lo demás junto.
• Esa aplicación. Siempre hay una: el paquete del proveedor que ya no existe, la macro sobre la que gira toda la planificación, la máquina que solo habla por un puerto serie. Búscala antes de empezar, no después.
• La conexión en casa. Un escritorio virtual sobre una línea mediocre es peor que no tener puesto digital. Mídelo antes de prometerlo.
• El momento de la salida. Alguien se va, su cuenta se queda, su portátil acaba en un cajón. No es un problema técnico sino de proceso, y es de los que solo hay que montar una vez.

Recorremos esas cuatro antes de cambiar nada, porque las cuatro son baratas de resolver antes y caras de encontrar después.

Cómo implantarlo sin parar la empresa

El error más grande es tratarlo como un proyecto con una fecha en la que todo el mundo está migrado. Eso no funciona, porque las excepciones no están en las primeras cien personas sino en las últimas diez.

Lo que sí funciona es un orden. Primero la identidad, porque de ella cuelga el resto. Después un grupo representativo: ni la dirección ni el departamento de TI, sino el área con más fricción. Luego el resto por grupos, con margen entre grupo y grupo para cambiar algo.

Y guarda una cosa para el final: las excepciones que no encajan. Esas no se resuelven forzándolas, sino nombrándolas y manteniéndolas aparte. Una organización con cinco máquinas que solo hablan con una versión antigua de Windows no tiene un proyecto fallido; tiene cinco máquinas que se gestionan aparte y una lista que dice por qué.

Lo que queda después como mantenimiento —actualizaciones, altas nuevas, equipos que toca sustituir— está en servicios gestionados TI.