A sincronização do navegador pode levar senhas e dados corporativos para dispositivos que a empresa não controla
Entenda como perfis pessoais do Chrome, Edge e outros navegadores podem sincronizar senhas, favoritos, histórico, extensões e outros dados de trabalho com computadores e celulares particulares.
Salvar uma senha no navegador parece uma ação local.
O funcionário acessa o sistema da empresa, aceita a opção “Salvar senha” e continua trabalhando normalmente.
Mas existe uma diferença importante quando o navegador está conectado a uma conta com sincronização ativada.
Dependendo da plataforma e das configurações utilizadas, dados do navegador podem ser sincronizados entre dispositivos associados ao mesmo perfil.
No Microsoft Edge, por exemplo, a sincronização corporativa pode incluir senhas, favoritos, endereços, configurações, extensões, abas abertas e histórico.
Isso significa que um funcionário utilizando um perfil pessoal no computador da empresa pode acabar misturando informações profissionais com seu ambiente particular.
Uma credencial salva durante o expediente pode deixar de existir apenas naquele computador e passar a fazer parte de um ecossistema de dispositivos que a empresa não administra.
O NCSC alerta que organizações podem precisar restringir ou controlar serviços de nuvem integrados aos dispositivos justamente para evitar que dados corporativos sejam sincronizados com contas pessoais.
O problema não é o gerenciador de senhas do navegador existir.
Gerenciadores de credenciais podem melhorar significativamente a segurança quando são utilizados de maneira adequada.
O risco aparece quando contas pessoais, dispositivos particulares e dados corporativos começam a utilizar o mesmo mecanismo de sincronização sem governança da empresa.
Neste artigo, você vai entender:
- ✓Como a sincronização do navegador pode transportar dados entre dispositivos
- ✓Por que perfis pessoais e corporativos precisam ser separados
- ✓Quais informações além das senhas podem ser sincronizadas
- ✓Como dispositivos particulares entram nesse fluxo
- ✓Como utilizar gerenciadores de senhas sem perder o controle das credenciais corporativas
Os riscos de misturar perfis pessoais e corporativos no navegador
Senhas sincronizadas
Credenciais salvas no navegador podem acompanhar o perfil utilizado e aparecer em outros dispositivos conectados à mesma conta.
Computadores pessoais
Informações utilizadas no trabalho podem chegar a equipamentos domésticos que não possuem os controles de segurança da empresa.
Celulares particulares
Dados sincronizados podem ficar disponíveis em smartphones que a organização não administra.
Perfis pessoais no computador corporativo
Um funcionário pode conectar sua conta particular ao navegador utilizado para acessar sistemas internos.
Histórico de navegação
Dependendo da configuração, páginas visitadas e atividades de navegação também podem participar da sincronização.
Favoritos corporativos
Links para sistemas internos, portais administrativos e aplicações utilizadas pela empresa podem aparecer em outros dispositivos.
Extensões sincronizadas
Ferramentas instaladas no perfil podem acompanhar o usuário para outros equipamentos.
Dispositivo perdido ou compartilhado
Um computador ou celular particular com dados corporativos sincronizados pode ser utilizado por outras pessoas ou perdido.
Desligamento incompleto
Remover o acesso do computador corporativo não necessariamente elimina cópias de informações que já tenham sido sincronizadas com outros dispositivos.
Contas pessoais fora da administração
A equipe de TI pode não conseguir aplicar as mesmas políticas utilizadas nas identidades corporativas.
Mistura entre vida pessoal e profissional
Dados de trabalho passam a coexistir com extensões, contas e hábitos de navegação particulares.
Falta de visibilidade
A empresa pode desconhecer quais funcionários sincronizam dados profissionais em perfis pessoais.
O risco não está apenas em onde a senha foi criada. Está em todos os lugares para onde o mecanismo de sincronização consegue levá-la.
Como separar a navegação profissional da vida pessoal
A estratégia não precisa ser proibir gerenciadores de senhas ou recursos de sincronização. O ideal é utilizar identidades corporativas, navegadores gerenciados e políticas que determinem quais informações podem ser sincronizadas e em quais dispositivos.
Utilizar perfis corporativos separados
O trabalho deve acontecer em um perfil de navegador diferente daquele utilizado para contas e atividades pessoais.
Evitar contas pessoais no navegador corporativo
Equipamentos administrados pela empresa devem limitar a utilização de perfis pessoais quando isso representar risco.
Definir uma solução corporativa de senhas
Escolha um gerenciador de credenciais apropriado para a organização e estabeleça como ele deve ser utilizado.
Controlar os tipos de dados sincronizados
Navegadores corporativos permitem limitar quais categorias podem participar da sincronização. O Edge, por exemplo, possui políticas específicas para excluir determinados tipos de dados.
Aplicar políticas ao navegador
Regras de segurança devem ser configuradas centralmente nos equipamentos administrados pela empresa.
Registrar navegadores corporativos
O gerenciamento do navegador permite aplicar determinadas políticas mesmo sem depender apenas da conta utilizada pelo funcionário. No Chrome Enterprise, políticas podem ser associadas ao navegador registrado.
Restringir logins pessoais
Quando necessário, configure regras para impedir ou limitar contas pessoais nos navegadores utilizados para atividades profissionais.
Controlar dispositivos não gerenciados
Sistemas sensíveis podem restringir autenticação ou sincronização quando o equipamento não atende aos requisitos corporativos.
Proteger a conta usada para sincronização
Qualquer conta que armazene credenciais sincronizadas deve utilizar autenticação forte e proteção adequada.
Utilizar MFA
O NCSC recomenda autenticação forte para contas utilizadas por gerenciadores que sincronizam credenciais entre dispositivos.
Bloquear o salvamento quando necessário
Sistemas extremamente sensíveis podem exigir políticas específicas sobre armazenamento e preenchimento automático de credenciais.
Separar senhas pessoais e profissionais
Credenciais corporativas não devem ficar misturadas a um cofre pessoal que continue sob controle do funcionário depois de seu desligamento.
Incluir navegadores no processo de desligamento
Revogue sessões, acessos, dispositivos e identidades relacionadas ao ambiente corporativo quando uma pessoa sair da empresa.
Revisar dispositivos autorizados
Contas utilizadas para sincronização devem possuir uma relação conhecida de equipamentos conectados.
Treinar funcionários sobre perfis
Explique a diferença entre entrar em um site e entrar no próprio navegador, pois são ações com consequências diferentes.
Auditar configurações periodicamente
Verifique se políticas de sincronização, armazenamento de credenciais e perfis continuam alinhadas às necessidades da organização.
Nos computadores corporativos, abra os perfis dos navegadores e verifique qual conta está conectada. Descubra se funcionários estão utilizando Gmail pessoal, conta Microsoft pessoal ou outros perfis particulares para sincronizar dados enquanto trabalham.
O que muda quando perfis pessoais e profissionais ficam separados
Antes
- ✓Funcionários utilizam o mesmo perfil para tudo
- ✓Senhas profissionais podem acompanhar contas pessoais
- ✓Dados aparecem em dispositivos fora da empresa
- ✓Extensões pessoais convivem com sistemas corporativos
- ✓A TI não sabe onde determinadas credenciais estão armazenadas
- ✓O desligamento não encerra completamente a exposição
Depois
- ✓Trabalho e navegação pessoal permanecem separados
- ✓Credenciais corporativas utilizam soluções administradas
- ✓A empresa controla quais dados podem ser sincronizados
- ✓Dispositivos não autorizados recebem restrições
- ✓Perfis corporativos seguem políticas centralizadas
- ✓A remoção de acessos se torna mais previsível
Um navegador conectado a uma conta não é apenas uma janela para a internet. Ele também pode se tornar um mecanismo de transporte de dados entre dispositivos.
Perguntas frequentes
Salvar senhas no navegador é inseguro?
Não necessariamente. Gerenciadores integrados aos navegadores podem oferecer proteção adequada e são preferíveis à reutilização de senhas fracas. O NCSC considera gerenciadores de senha uma ferramenta útil quando o navegador e o dispositivo estão devidamente protegidos.
Então qual é o problema?
O principal problema corporativo é perder o controle sobre onde as credenciais são armazenadas e sincronizadas quando perfis pessoais e dispositivos não gerenciados entram no processo.
O Chrome pode aplicar políticas a uma conta corporativa?
Sim. Organizações que utilizam recursos compatíveis do Chrome Enterprise ou Google Workspace podem aplicar políticas a contas gerenciadas e navegadores registrados.
As mesmas políticas são aplicadas a um Gmail pessoal?
Não necessariamente. A documentação do Google informa que políticas definidas para usuários gerenciados não são aplicadas quando a pessoa entra no navegador com uma Conta Google externa à organização, como uma conta pessoal do Gmail.
O Edge sincroniza senhas?
Sim. Entre os tipos de dados suportados pela sincronização do Edge estão senhas, favoritos, endereços, configurações, extensões, abas abertas e histórico.
É possível desativar a sincronização no Edge corporativo?
Sim. Administradores possuem políticas para desabilitar a sincronização ou bloquear categorias específicas de dados.
É possível impedir sincronização em dispositivos não gerenciados?
Existem controles empresariais para determinados cenários. A Microsoft documenta, por exemplo, formas de restringir entrada e sincronização corporativa em dispositivos que não atendam a requisitos de gerenciamento ou conformidade.
Gerenciadores de senha em nuvem são ruins?
Não. Eles oferecem vantagens importantes, principalmente acesso seguro às credenciais em vários dispositivos. O NCSC destaca, porém, que soluções sincronizadas possuem considerações adicionais de segurança e devem autenticar corretamente usuários e dispositivos.
A empresa deveria impedir funcionários de salvar senhas?
Não necessariamente. Uma solução corporativa bem administrada normalmente é melhor do que obrigar pessoas a memorizar dezenas de credenciais ou reutilizar senhas.
O computador pessoal pode acessar as mesmas senhas?
Se as credenciais estiverem vinculadas a um mecanismo de sincronização disponível naquele dispositivo e a política permitir, isso pode ocorrer.
Só as senhas são sincronizadas?
Não. Dependendo do navegador e da configuração, favoritos, histórico, configurações, extensões, endereços, abas e outros dados também podem fazer parte da sincronização.
Por onde a empresa deve começar?
Pelos computadores que acessam e-mail, financeiro, CRM, servidores, redes sociais, armazenamento em nuvem e painéis administrativos.
Conclusão
A sincronização entre dispositivos é uma das funcionalidades mais convenientes dos navegadores modernos.
O usuário salva uma senha no notebook e ela aparece no celular.
Cria um favorito no escritório e consegue acessá-lo em casa.
Instala uma extensão em um dispositivo e encontra o mesmo ambiente em outro.
Para uso pessoal, essa experiência pode ser extremamente conveniente.
No ambiente corporativo, porém, é necessário definir uma fronteira.
O NCSC reconhece os benefícios dos gerenciadores de senha e dos mecanismos de sincronização, mas também recomenda que organizações avaliem e controlem serviços que possam fazer dados corporativos chegarem a contas pessoais.
Isso significa que o problema não é sincronizar.
É sincronizar sem saber qual conta controla os dados, quais dispositivos conseguem recebê-los e o que acontece quando o funcionário deixa a empresa.
Separar perfis pessoais e profissionais permite aproveitar a conveniência dos navegadores modernos sem entregar a administração das credenciais corporativas a contas que a organização não controla.
Uma senha corporativa pode pertencer ao funcionário para utilizar. O controle sobre onde ela fica armazenada deve continuar pertencendo à empresa.
As senhas da sua empresa estão apenas nos computadores corporativos ou também foram parar nos dispositivos pessoais dos funcionários?
Revise os perfis utilizados nos navegadores, separe contas pessoais e profissionais e estabeleça políticas para controlar onde senhas e dados corporativos podem ser sincronizados.
