Celulares pessoais estão acessando e-mails e arquivos da empresa sem nenhum controle corporativo
Entenda como celulares particulares utilizados para e-mail, documentos, WhatsApp e sistemas corporativos podem armazenar informações da empresa fora do ambiente administrado pela TI e ampliar o impacto de perda, roubo ou comprometimento do aparelho.
O celular pessoal se tornou uma ferramenta de trabalho para milhões de profissionais.
E-mail corporativo, Google Drive, OneDrive, WhatsApp, CRM, aplicativos financeiros, calendários e sistemas internos podem ser acessados de praticamente qualquer lugar.
Essa flexibilidade criou o modelo conhecido como BYOD — Bring Your Own Device — no qual o funcionário utiliza seu próprio equipamento para atividades profissionais.
O problema começa quando a empresa permite o acesso, mas não define como os dados corporativos devem permanecer protegidos dentro desse aparelho.
Um documento pode ser baixado.
Uma imagem pode ser salva na galeria.
Um arquivo pode ser encaminhado para um aplicativo pessoal.
Uma conta corporativa pode permanecer autenticada durante meses.
E tudo isso acontece em um dispositivo que também possui aplicativos particulares, backups pessoais, contas privadas e configurações que a organização talvez não controle.
A partir do momento em que informações corporativas entram em um celular pessoal sem proteção adequada, a fronteira entre o que pertence ao funcionário e o que pertence à empresa começa a desaparecer.
O NIST trata justamente esse problema em suas orientações sobre BYOD, destacando que dispositivos pessoais utilizados para atividades profissionais criam desafios específicos de segurança e privacidade e podem expor organizações a perda de dados quando não são adequadamente protegidos.
Permitir celulares pessoais não precisa significar abrir mão do controle.
Mas exige separar o acesso aos dados corporativos do restante da vida digital presente no aparelho.
Neste artigo, você vai entender:
- ✓Por que celulares pessoais criam desafios diferentes dos equipamentos corporativos
- ✓Como documentos podem sair dos aplicativos de trabalho e chegar a ambientes pessoais
- ✓O que acontece quando um aparelho com acesso corporativo é perdido ou roubado
- ✓Como separar dados pessoais e profissionais no mesmo dispositivo
- ✓Como permitir BYOD sem administrar toda a vida particular do funcionário
Os riscos dos celulares pessoais utilizados para trabalhar
Arquivos armazenados localmente
Documentos corporativos podem ser baixados e permanecer na memória do aparelho mesmo depois que deixarem de ser necessários.
Aplicativos pessoais
Informações de trabalho podem ser copiadas, abertas ou encaminhadas para mensageiros, nuvens e aplicativos que a empresa não administra.
Perda ou roubo do aparelho
Um celular que permanece autenticado em contas corporativas pode oferecer acesso a dados caso caia nas mãos de outra pessoa.
Contas permanentemente conectadas
E-mail, armazenamento e outros aplicativos podem continuar autenticados por longos períodos.
Bloqueio de tela inadequado
Senhas fracas, ausência de biometria ou configurações inseguras podem facilitar o acesso físico ao dispositivo.
Sistemas desatualizados
Aparelhos antigos podem deixar de receber atualizações importantes de segurança.
Aplicativos desconhecidos
O mesmo celular utilizado para trabalhar pode possuir softwares instalados de fontes, fornecedores e finalidades diferentes.
Mistura de arquivos pessoais e profissionais
Fotos, PDFs, documentos e downloads corporativos podem acabar armazenados junto com o conteúdo particular do usuário.
Backups pessoais
Dependendo da configuração e do aplicativo utilizado, informações salvas localmente podem participar de mecanismos pessoais de sincronização ou backup.
Compartilhamento por mensageiros
Funcionários podem enviar documentos corporativos para conversas pessoais para facilitar o acesso em outros equipamentos.
Desligamento sem limpeza dos dados
A conta pode ser bloqueada, mas arquivos anteriormente baixados podem permanecer armazenados no aparelho particular.
Falta de visibilidade
Sem uma estratégia de BYOD, a empresa pode não saber quantos aparelhos particulares acessam suas informações nem quais controles existem neles.
Permitir que um celular acesse os sistemas da empresa é diferente de controlar o que acontece com os dados depois que eles chegam ao aparelho.
Como permitir celulares pessoais sem perder o controle dos dados
Uma política de BYOD precisa proteger dois lados ao mesmo tempo: os dados da empresa e a privacidade do funcionário.
A solução não deve necessariamente dar à organização controle sobre todo o celular pessoal. Tecnologias de gerenciamento podem separar o contexto profissional e aplicar regras apenas aos aplicativos e informações corporativas. O NIST recomenda que dispositivos móveis, inclusive pessoais, façam parte de uma estratégia específica de gerenciamento e segurança ao longo de seu ciclo de vida.
Criar uma política de BYOD
Defina quais dispositivos pessoais podem acessar recursos corporativos, quais sistemas estão liberados e quais requisitos precisam ser atendidos.
Separar trabalho e uso pessoal
Utilize perfis, contêineres ou aplicativos gerenciados capazes de manter dados profissionais separados das informações particulares.
Exigir bloqueio seguro
Celulares utilizados para acessar recursos corporativos devem possuir código de desbloqueio adequado, biometria ou mecanismos equivalentes.
Exigir sistemas atualizados
Dispositivos sem atualizações de segurança ou versões mínimas compatíveis podem ter o acesso restringido.
Utilizar aplicativos corporativos aprovados
E-mail, documentos e outros dados devem ser acessados preferencialmente por aplicações que permitam aplicar políticas de proteção.
Controlar copiar e colar
Quando necessário, impeça que informações corporativas sejam transferidas diretamente para aplicativos pessoais.
Impedir armazenamento em nuvens pessoais
Arquivos profissionais podem ser mantidos dentro dos repositórios autorizados pela empresa.
Restringir abertura em aplicativos não gerenciados
Documentos sensíveis não devem ser enviados automaticamente para qualquer aplicativo instalado no aparelho.
Aplicar autenticação forte
Contas corporativas acessadas pelo celular devem possuir MFA e políticas compatíveis com sua criticidade.
Avaliar o dispositivo antes do acesso
Versão do sistema, integridade do equipamento e outros sinais podem ser utilizados para decidir se uma sessão deve ser autorizada.
Permitir remoção seletiva
Quando possível, a empresa deve conseguir apagar somente os dados corporativos sem eliminar fotografias, mensagens e demais informações pessoais do funcionário.
Criar procedimento para perda ou roubo
Funcionários precisam saber imediatamente quem comunicar para bloquear contas, sessões ou dados associados ao aparelho.
Revogar acesso no desligamento
Contas, sessões, certificados e dados gerenciados devem ser removidos quando a relação profissional terminar.
Definir regras para WhatsApp e mensageiros
Determine quais informações podem ser enviadas por aplicativos de mensagens e quando deve ser utilizado um canal corporativo.
Restringir informações mais sensíveis
Nem todo sistema precisa estar disponível em BYOD. Dados críticos podem exigir equipamento corporativo ou dispositivo totalmente gerenciado.
Explicar o que a empresa consegue administrar
Funcionários devem saber claramente quais informações do dispositivo são visíveis para a organização e quais permanecem privadas.
Liste quais sistemas corporativos podem ser acessados atualmente por celulares pessoais. Comece por e-mail, armazenamento em nuvem, mensageiros, CRM e sistemas administrativos e verifique se basta conhecer a senha para adicionar a conta em qualquer aparelho.
O que muda quando o BYOD passa a ser administrado
Antes
- ✓Qualquer celular consegue adicionar a conta corporativa
- ✓Documentos são baixados em áreas pessoais do aparelho
- ✓Dados podem ser encaminhados para aplicativos particulares
- ✓A empresa não sabe quais dispositivos possuem acesso
- ✓Perda do celular depende apenas da reação do funcionário
- ✓O desligamento não remove necessariamente os dados já armazenados
Depois
- ✓O acesso depende de requisitos de segurança definidos
- ✓Dados profissionais permanecem em aplicativos ou áreas protegidas
- ✓Transferências para aplicativos pessoais podem ser limitadas
- ✓Aparelhos e sessões podem receber controles específicos
- ✓Perdas e roubos possuem um procedimento de resposta
- ✓Dados corporativos podem ser removidos sem apagar a vida pessoal do usuário
BYOD não precisa significar “a empresa controla meu celular”. Pode significar “a empresa controla os dados dela dentro do meu celular”.
Perguntas frequentes
O que significa BYOD?
É a sigla para Bring Your Own Device, modelo em que uma pessoa utiliza um dispositivo de sua propriedade para acessar recursos ou realizar atividades profissionais.
Utilizar celular pessoal para trabalhar é inseguro?
Não necessariamente. O risco aumenta quando o dispositivo acessa dados corporativos sem requisitos de segurança, separação de informações ou mecanismos de revogação.
A empresa precisa controlar todo o meu celular?
Não. Existem modelos de gerenciamento focados apenas nos aplicativos e dados profissionais. No Android, por exemplo, o Work Profile cria uma área separada para trabalho, enquanto os aplicativos e dados pessoais permanecem separados da administração corporativa.
A empresa consegue apagar apenas os dados profissionais?
Dependendo da solução utilizada, sim. O Android Enterprise permite remover o perfil de trabalho sem apagar o perfil pessoal, e soluções de gerenciamento de aplicativos também podem realizar limpeza seletiva de informações corporativas.
A empresa consegue ver minhas fotos e aplicativos pessoais?
Isso depende do modelo de gerenciamento utilizado. Em um Work Profile do Android instalado em um dispositivo pessoal, por exemplo, a organização gerencia o perfil profissional, enquanto aplicativos, dados e detalhes de uso do perfil pessoal não ficam visíveis para ela.
É possível impedir que um funcionário copie um e-mail corporativo para um aplicativo pessoal?
Em plataformas compatíveis, políticas de proteção de aplicativos podem limitar copiar e colar e impedir a movimentação de dados profissionais para aplicações não gerenciadas.
E se o celular for perdido?
O funcionário deve comunicar imediatamente a empresa para que sessões, contas e dados corporativos sejam protegidos ou removidos conforme a tecnologia disponível.
MFA resolve o problema de BYOD?
Não sozinho. MFA protege a autenticação, mas não controla necessariamente arquivos baixados, transferências entre aplicativos ou informações já armazenadas no dispositivo.
É seguro utilizar WhatsApp pessoal para enviar documentos da empresa?
Depende da política, da sensibilidade da informação e do contexto. Para documentos confidenciais ou dados pessoais, a organização deve definir canais autorizados e evitar que a conveniência seja o único critério.
A empresa pode simplesmente bloquear celulares pessoais?
Sim, quando o nível de risco justificar. Outra opção é liberar apenas determinados serviços e exigir equipamentos corporativos para sistemas mais sensíveis.
Celulares antigos deveriam continuar acessando os sistemas?
Apenas se ainda atenderem aos requisitos mínimos de segurança definidos pela organização, incluindo suporte e atualizações adequadas.
Por onde começar?
Pelo e-mail corporativo e armazenamento em nuvem, porque normalmente concentram uma grande quantidade de informações e são alguns dos primeiros serviços adicionados aos celulares pessoais.
Conclusão
O problema do BYOD não é o funcionário possuir o próprio celular.
É a organização não saber onde termina o ambiente corporativo e começa o ambiente pessoal.
Quando essa separação não existe, informações de trabalho podem circular entre e-mail, downloads, galeria, aplicativos de mensagens, armazenamento pessoal e outros serviços presentes no mesmo dispositivo.
O NIST destaca que BYOD oferece conveniência para organizações e funcionários, mas também introduz riscos específicos de segurança e privacidade que precisam ser tratados de maneira diferente dos equipamentos totalmente corporativos.
A boa notícia é que proteger dados profissionais não exige necessariamente invadir a privacidade do funcionário.
O Android Enterprise utiliza perfis de trabalho para separar aplicativos e informações corporativas do ambiente pessoal, permitindo inclusive que a organização remova remotamente os dados profissionais sem apagar o restante do aparelho.
Da mesma forma, tecnologias de gerenciamento de aplicativos permitem proteger dados empresariais mesmo em determinados dispositivos que não estão totalmente inscritos em uma plataforma de gerenciamento.
O objetivo é permitir mobilidade sem transformar cada celular particular em uma extensão descontrolada da infraestrutura da empresa.
O dispositivo pode ser pessoal. O acesso aos dados corporativos não precisa ser descontrolado.
Quantos celulares pessoais conseguem acessar os dados da sua empresa hoje?
Mapeie os dispositivos utilizados pela equipe, defina uma política de BYOD e separe informações profissionais do ambiente pessoal antes que um celular perdido, roubado ou comprometido se transforme em um incidente corporativo.
Referências técnicas
- NIST SP 800-124 Rev. 2 – Guidelines for Managing the Security of Mobile Devices in the Enterprise
- NIST SP 1800-22 – Mobile Device Security: Bring Your Own Device (BYOD)
- Android Enterprise – Work Profile
- Android Enterprise Help – Políticas aplicadas em dispositivos pessoais
- Android Enterprise – Mobile Device Management & Security
- Microsoft Intune – App Protection Policies Overview
- Microsoft Intune – Protect Data and Devices
