"Não tem problema, está tudo no backup."

Ouço essa frase com frequência, quase sempre um pouco antes de descobrirmos que não estava. O smartphone do gerente foi roubado, o aparelho da equipe de campo caiu na água, o colaborador saiu e devolveu o aparelho zerado. E, na hora de restaurar, aparece a lacuna: parte voltou, parte não, e ninguém sabia exatamente o que estava coberto.

Este é o último artigo da série sobre governança de dispositivos, depois de governança de dispositivos, WhatsApp corporativo e BYOD com privacidade. E ele parte de uma afirmação que talvez surpreenda: não existe "backup completo do smartphone".

O smartphone virou ferramenta de trabalho, e isso é um caminho sem volta. A pergunta certa não é "o smartphone tem backup?". A pergunta certa é: se o aparelho sumir hoje, o que a empresa consegue recuperar, em quanto tempo, e quando isso foi testado pela última vez? Neste artigo, mostro o que o backup das plataformas realmente guarda, os 6 riscos para a empresa e, ao final, um checklist de recuperação em 5 frentes, para agir antes de um problema.

O que o backup do smartphone guarda, e o que fica de fora

Vale olhar o que as próprias plataformas dizem.

No iPhone, a Apple explica que o backup do iCloud guarda o que está no aparelho e ainda não está sincronizado com o iCloud. Fotos do iCloud, iCloud Drive e Notas funcionam por sincronização, e não entram no backup. Dados que um aplicativo guarda no iCloud Drive também ficam fora dele.

No Android, o Google informa que o backup na Conta do Google inclui aplicativos e seus dados, histórico de ligações, contatos, configurações e SMS. Fotos e vídeos dependem do Google Fotos. E o próprio Google avisa: nem todos os aplicativos conseguem fazer backup ou restaurar todos os seus dados.

No WhatsApp, o backup é separado, fica na Conta do Google ou no iCloud e só pode ser restaurado com o mesmo número e a mesma conta. No Android, cada backup novo substitui o anterior, e backups sem atualização por mais de cinco meses são apagados.

A conclusão é direta: o backup do smartphone é um conjunto de cópias parciais, cada uma com a sua regra, e quase sempre ligadas a uma conta pessoal. Para a empresa, isso não é estratégia de continuidade. É sorte.

Os 6 riscos para a empresa

1. Confiar em um "backup completo" que não existe

O fato. A empresa acredita que tudo volta, e só descobre as lacunas no dia em que precisa restaurar.

O que a gestão prevê. Um mapa do que é crítico no smartphone de cada função, e de onde cada dado deve estar guardado.

O que preserva. A empresa sabe, antes de um incidente, o que é recuperável e o que não é.

2. Backup na conta pessoal do colaborador

O fato. O backup do aparelho corporativo está no iCloud ou na Conta do Google pessoal de quem o usa. Quando a pessoa sai, a cópia vai junto.

O que a gestão prevê. Contas corporativas nos aparelhos da empresa, e dados de negócio em repositórios da empresa (e-mail, armazenamento e sistemas corporativos).

O que preserva. O dado continua sendo da empresa, independentemente de quem está com o aparelho.

3. Confundir sincronizar com fazer backup

O fato. Sincronizar mantém uma cópia igual ao estado atual em outro lugar. Se um arquivo é apagado ou corrompido, a sincronização replica o problema. A Apple separa claramente as duas coisas: o que é sincronizado não está no backup.

O que a gestão prevê. Backup corporativo independente, com versões guardadas, além da sincronização.

O que preserva. A possibilidade de voltar a um estado anterior, e não só ao último.

4. Backup que nunca foi testado

O fato. A cópia existe, mas ninguém nunca tentou restaurá-la. O NIST, na versão 2.0 do seu Cybersecurity Framework, é explícito: backups devem ser criados, protegidos, mantidos e testados.

O que a gestão prevê. Teste periódico de restauração em um aparelho de teste, com resultado registrado.

O que preserva. A certeza de que a cópia funciona antes de ela ser necessária.

5. Não saber quanto tempo a operação aguenta

O fato. Ninguém definiu quanto tempo o vendedor pode ficar sem o aparelho, nem quanto dado a empresa aceita perder. O NIST chama isso de RTO, o tempo máximo que um recurso pode ficar indisponível, e RPO, até que ponto no tempo os dados precisam ser recuperados.

O que a gestão prevê. Metas simples por função: "o vendedor volta a atender em até quatro horas", "perdemos no máximo um dia de dados".

O que preserva. Decisões de investimento proporcionais ao que a operação realmente precisa.

6. Aparelho perdido tratado só como perda de equipamento

O fato. O smartphone some, a empresa compra outro e segue em frente. Mas a ANPD lembra que incidente de segurança não é só vazamento: inclui perda e indisponibilidade de dados pessoais.

O que a gestão prevê. Um procedimento para aparelho perdido que avalia quais dados estavam nele e se estavam protegidos.

O que preserva. A empresa decide com base em fatos se há risco relevante e se precisa comunicar, em vez de descobrir depois.

A base da solução: dado na empresa, backup corporativo testado e MDM

A base da solução tem três partes:

O dado de negócio mora na empresa, não no aparelho. E-mail, arquivos, pedidos e registros de clientes ficam em repositórios corporativos. O smartphone passa a ser uma porta de acesso, e não o cofre.
Backup corporativo com a regra 3-2-1. A boa prática consolidada, divulgada inclusive pela agência de cibersegurança dos Estados Unidos (CISA), é manter três cópias dos dados, em dois tipos de mídia diferentes, com uma cópia fora da empresa. E, como pede o NIST, testar a restauração.
Um MDM, o gerenciador de dispositivos móveis. É ele que garante contas e aplicativos corporativos nos aparelhos, bloqueia a redefinição de fábrica nos smartphones da empresa e permite bloquear e limpar o aparelho perdido. Com isso, trocar de aparelho vira uma operação de minutos: inscrever o novo e deixar o dado, que já estava na empresa, voltar para ele.

Mas nenhuma dessas partes funciona sozinha. Elas precisam de política, de alguém operando e de testes periódicos. É aí que entra a Forte, como mostro mais adiante.

O que a LGPD espera da empresa

A LGPD trata a perda de dados pessoais como tema de segurança, e não só de TI:

O princípio da segurança pede proteção contra destruição, perda ou alteração dos dados (art. 6º, VII).
O princípio da responsabilização pede que a empresa demonstre que adotou medidas eficazes, e que elas funcionam (art. 6º, X). Um backup testado é exatamente essa demonstração.
A empresa deve adotar medidas de segurança técnicas e administrativas (art. 46).
Incidentes que possam trazer risco ou dano relevante devem ser comunicados à ANPD e aos titulares, no prazo geral de três dias úteis (art. 48). Nem todo aparelho perdido exige comunicação: a avaliação depende dos dados e da proteção aplicada.

Checklist de recuperação em 5 frentes

Reunimos os pontos que garantem a continuidade dos smartphones da empresa em 16 itens, divididos em 5 frentes: onde o dado mora, contas e titularidade, cópias, testes e metas, e aparelho perdido e troca. Responda Sim, Não ou Não sei e veja na hora a sua nota e as pendências por prioridade.

Fazer o checklist de recuperação

Roteiro: o aparelho sumiu, e agora?

Bloquear o aparelho remotamente pelo MDM.
Encerrar as sessões e trocar as senhas das contas corporativas usadas nele.
Avaliar quais dados estavam no aparelho e se estavam protegidos por senha e criptografia.
Se o aparelho não for recuperado, limpar remotamente os dados da empresa.
Inscrever o aparelho reserva no MDM e restaurar contas e aplicativos corporativos.
Conferir se o dado voltou e se a pessoa já consegue trabalhar, e registrar o tempo gasto.
Com o encarregado de dados, decidir se há risco relevante que exija comunicação.
Registrar tudo e revisar o que pode melhorar para a próxima vez.

Como calibrar para a sua realidade

Poucos aparelhos corporativos: comece pelas frentes 1 e 2. Dado na empresa e contas corporativas já eliminam a maior parte do risco.
Equipe de campo, entregas e vendas externas: a frente 5 é a prioridade. Aparelho reserva e roteiro de troca fazem a diferença no mesmo dia.
Operação que não pode parar: defina as metas da frente 4 e teste de verdade. A meta sem teste é só uma intenção.
Setores regulados: trate a frente 5 como obrigatória, com o encarregado de dados envolvido desde o início.

Forte Security: continuidade que foi testada antes de ser necessária

Um checklist mostra onde a empresa está. Transformar isso em rotina é outro trabalho, e é esse trabalho que a Forte Security assume com os nossos clientes.

A Forte atua em cibersegurança, TI e compliance e, nos ambientes que protege, bloqueia mais de 100 milhões de ataques por mês, já atendeu mais de 1.000 empresas e gerencia mais de 2.000 dispositivos. Na continuidade dos smartphones, reunimos em um só parceiro a gestão dos aparelhos, o backup corporativo e o apoio jurídico em proteção de dados.

O que a sua empresa recebe

Diagnóstico de continuidade: quais dados cada função tem no smartphone, onde estão e o que seria recuperável hoje.
Implantação e operação do MDM: contas e aplicativos corporativos nos aparelhos, bloqueio de redefinição de fábrica, bloqueio e limpeza remota.
Backup corporativo: cópias independentes da sincronização, seguindo a regra 3-2-1.
Testes de restauração periódicos: com resultado e tempo registrados, que servem de evidência para auditorias e para a LGPD.
Roteiro de aparelho perdido e de troca implantado: responsáveis definidos, ordem das ações e registro de cada etapa.
Apoio em incidentes: avaliação, junto a um time de especialistas, da necessidade de comunicação à ANPD.

A diferença está na integração. O MDM dá o controle. A Forte faz esse controle funcionar, com tecnologia, processo e evidência.

Conclusão

"Está tudo no backup" só é verdade quando alguém já testou. O smartphone precisa ser uma porta de acesso aos dados da empresa, e não o lugar onde eles moram. Com o dado na empresa, backup corporativo testado e o aparelho sob MDM, perder um smartphone deixa de ser uma perda de dados e vira apenas a troca de um equipamento.

Com este artigo, fecho a série sobre governança de dispositivos. Se você acompanhou os quatro, já tem em mãos os checklists para organizar os aparelhos, o WhatsApp, o BYOD e a continuidade da sua empresa.

A hora de testar o backup dos smartphones da sua empresa é agora, antes de um problema. A Forte Security conduz o diagnóstico com você, implanta e opera o MDM e estrutura o backup corporativo com testes de restauração que comprovam a continuidade. Fale com os nossos especialistas: contato@fortesecurity.com.br | (55) 3347-1831.

Não existe 100% de segurança e não existe risco zero. Mas existe a Forte, com metodologia, experiência e tecnologia.

Backup de smartphone de verdade: o que volta, o que não volta e como a empresa garante a continuidade