Cómo asegurar la política de trabajo en el “tercer lugar”: directrices para empleados que trabajan desde cafeterías y espacios de coworking

La oficina moderna ya no se limita a un despacho tradicional ni a espacios diáfanos corporativos. Desde que el trabajo remoto se consolidó durante la etapa COVID y post-COVID, muchos empleados desarrollan su actividad desde casa, bibliotecas, cafeterías concurridas, espacios de coworking e incluso destinos vacacionales. Estos entornos, conocidos como “terceros lugares”, aportan flexibilidad y comodidad, pero también introducen riesgos relevantes para los sistemas informáticos de la empresa.

La seguridad en el trabajo desde el tercer lugar —cafeterías, coworkings, bibliotecas o espacios públicos— es el conjunto de medidas que protegen los dispositivos, las conexiones y los datos corporativos cuando un empleado trabaja fuera de la oficina y de casa. En 2024, el 42% de los trabajadores del conocimiento en España trabaja desde espacios públicos al menos un día a la semana (Informe Teletrabajo ONTSI 2024). Esta flexibilidad genera un riesgo específico: las redes Wi-Fi públicas, las miradas indiscretas (shoulder surfing) y la falta de control sobre el entorno físico crean un escenario de vulnerabilidad que los controles técnicos de oficina no pueden cubrir sin políticas específicas.

Con el trabajo remoto como una realidad permanente, las compañías deben adaptar sus políticas de seguridad. Una cafetería no puede tratarse como una oficina corporativa segura: su carácter abierto expone a amenazas muy distintas. Por ello, los empleados necesitan directrices claras para trabajar con seguridad y proteger la información corporativa.

Ignorar los riesgos de las redes Wi-Fi públicas puede tener consecuencias graves. Los ciberdelincuentes suelen centrarse en estos entornos para explotar vulnerabilidades de trabajadores remotos. Formar al equipo, dotarlo de las herramientas adecuadas y aplicar una política sólida de seguridad en redes externas es clave para proteger los datos de la empresa.

Los peligros de las redes abiertas

El acceso gratuito a Internet es uno de los principales atractivos de cafeterías, centros comerciales, bibliotecas y espacios de coworking. Sin embargo, estas redes rara vez cuentan con cifrado adecuado o medidas de seguridad avanzadas y, aunque lo tengan, no ofrecen los controles que existirían en una red corporativa bien gestionada.

Esto facilita que los atacantes intercepten el tráfico de red y roben contraseñas, correos electrónicos o información sensible en cuestión de segundos. Además, es habitual que los ciberdelincuentes creen redes falsas con nombres como “Wi-Fi Gratis” o con denominaciones similares a las del propio local para engañar a los usuarios. Al conectarse, el atacante puede ver todo lo que el empleado envía y recibe, un escenario típico de ataque “man-in-the-middle”.

Es fundamental indicar a los empleados que nunca confíen en conexiones abiertas. Incluso las redes que requieren contraseña suelen compartirse entre muchos usuarios, lo que supone un riesgo real para los datos empresariales. La prudencia debe ser constante cuando se trabaja desde redes públicas.

Uso obligatorio de redes privadas virtuales (VPN)

La herramienta más eficaz para proteger el trabajo remoto es una VPN. Una Red Privada Virtual cifra todos los datos que salen del dispositivo, creando un túnel seguro a través de Internet público. De este modo, la información resulta ilegible para cualquier tercero que intente espiarla.

Proporcionar una VPN no es opcional en entornos de trabajo remoto: su uso debe ser obligatorio siempre que el empleado esté fuera de la oficina. Es importante que la solución sea sencilla de utilizar, ya que herramientas demasiado complejas suelen acabar siendo ignoradas. Siempre que sea posible, la VPN debería configurarse para que se conecte automáticamente en los dispositivos corporativos, reduciendo errores humanos.

Además, desde el punto de vista del mantenimiento informático, conviene aplicar controles técnicos que impidan acceder a servidores o aplicaciones internas sin una conexión VPN activa.

El riesgo del espionaje visual

Las amenazas no son solo digitales. En espacios públicos, cualquier persona sentada cerca puede ver fácilmente la pantalla de un portátil. El llamado espionaje visual consiste en obtener información simplemente observando, lo que lo convierte en un método sencillo, efectivo y difícil de detectar.

En entornos concurridos, datos de clientes, información financiera o diseños de producto pueden ser vistos e incluso fotografiados sin que el empleado lo perciba. Para reducir este riesgo físico, es recomendable proporcionar filtros de privacidad a los empleados que trabajan en remoto. Estos filtros oscurecen la pantalla desde los laterales, permitiendo que solo la persona situada frente al dispositivo vea el contenido. Algunos equipos incorporan ya esta funcionalidad a nivel de hardware.

Seguridad física de los dispositivos

Dejar un portátil desatendido en un espacio público es una invitación al robo. En una oficina, es habitual alejarse brevemente sin preocuparse, pero en una cafetería esa acción puede suponer la pérdida del equipo en segundos.

La política de trabajo remoto debe insistir en la importancia de la seguridad física. Los empleados deben mantener siempre sus dispositivos bajo control y no confiarlos a desconocidos. Un portátil robado no solo supone un coste económico, sino también un posible acceso a datos corporativos.

Se recomienda el uso de candados de seguridad, especialmente en espacios de coworking donde los empleados permanecen más tiempo en el mismo lugar. Aunque no son infalibles, actúan como elemento disuasorio. Mantener la atención en el entorno es clave para identificar riesgos potenciales.

Gestión de llamadas y conversaciones

Aunque las cafeterías sean ruidosas, las conversaciones pueden escucharse con facilidad. Hablar de asuntos confidenciales en espacios públicos implica un riesgo claro, ya que nunca se sabe quién puede estar escuchando. Información estratégica podría llegar a oídos de competidores o actores malintencionados.

Los empleados deben evitar tratar temas sensibles en estos “terceros lugares”. Si una llamada es imprescindible, lo más recomendable es buscar un espacio privado o incluso salir al exterior. El uso de auriculares evita que otros escuchen a la otra parte, pero no impide que la voz del empleado sea oída.

Definir una política clara de trabajo remoto

Los empleados no deberían tener que improvisar. Una política escrita aclara expectativas, establece normas y facilita la formación y su cumplimiento.

Es importante incluir apartados específicos sobre el uso de Wi-Fi público y la seguridad física de los dispositivos, explicando el motivo de cada norma para fomentar la concienciación. Esta política debe estar fácilmente accesible, por ejemplo, en la intranet corporativa.

Además, conviene revisarla al menos una vez al año. La tecnología y las amenazas evolucionan, y las directrices deben adaptarse a esa realidad. Actualizar y redistribuir la política mantiene viva la cultura de la seguridad.

Empodera a tus equipos remotos

Trabajar desde un “tercer lugar” aporta flexibilidad y mejora la conciliación, pero exige un mayor nivel de vigilancia. La seguridad en redes públicas y la atención al entorno físico no son negociables, y la empresa debe proporcionar a sus empleados los medios necesarios para trabajar de forma segura desde cualquier lugar.

Con las herramientas adecuadas y políticas bien definidas, es posible equilibrar libertad y responsabilidad. Un equipo informado y concienciado es la primera línea de defensa frente a los riesgos. Protege tus datos, estés donde estés.

¿Tu equipo trabaja en remoto sin una base sólida de seguridad? En Libertia IT ayudamos a empresas de Madrid a implantar soluciones seguras de acceso remoto y políticas de trabajo adaptadas a la realidad actual, garantizando la protección de la información incluso en redes públicas. Contacta con nosotros y refuerza la seguridad de tu plantilla remota.

Preguntas frecuentes sobre seguridad en trabajo remoto y tercer lugar

¿Es seguro conectarse al Wi-Fi de una cafetería o coworking para trabajar?

Las redes Wi-Fi públicas no cifradas son inseguras para trabajo corporativo sin VPN. Un atacante en la misma red puede interceptar tráfico no cifrado (ataque man-in-the-middle) o crear un punto de acceso falso con el mismo nombre. Con una VPN corporativa activa que cifre todo el tráfico, el uso de Wi-Fi pública es aceptable para tareas generales, no para acceder a sistemas críticos.

¿Qué es el shoulder surfing y cómo protegerse?

El shoulder surfing es el espionaje visual de la pantalla de un dispositivo por parte de personas cercanas en espacios públicos. Para protegerse: usar un filtro de privacidad de pantalla (lámina que oscurece la pantalla desde ángulos laterales, disponible desde 15 €), posicionarse de espaldas a la pared en cafeterías, y bloquear la pantalla inmediatamente al levantarse del puesto aunque sea por un momento.

¿Qué sistemas nunca deben usarse desde Wi-Fi pública?

Nunca desde Wi-Fi pública sin VPN: acceso al ERP o sistema de gestión empresarial, portal de banca online de empresa, sistemas de RRHH o nóminas, acceso a datos personales de clientes bajo RGPD, y plataformas con datos financieros o estratégicos. Para estas tareas, la solución es usar los datos móviles del teléfono (hotspot personal) o esperar a estar en una red controlada.

¿Cómo gestionar la seguridad física del portátil en espacios públicos?

Las medidas físicas esenciales son: usar candado de cable Kensington anclado a una superficie fija si se deja el equipo, activar el bloqueo de pantalla automático tras 5 minutos, nunca dejar el portátil sin supervisión (ni para ir al baño), tener activado el cifrado BitLocker por si se produce el robo, y usar auriculares para llamadas que contengan información confidencial.

¿Qué política de uso del tercer lugar debe tener una empresa?

La política debe definir: qué sistemas son accesibles desde fuera de la red corporativa, la obligatoriedad de VPN para cualquier acceso corporativo, la lista de información que no puede gestionarse en espacios públicos (datos personales de clientes, información financiera, secretos industriales), y los procedimientos de notificación si se pierde un dispositivo o se sospecha de un incidente de seguridad.