Quando falo de MDM, o gerenciador de dispositivos móveis, com empresários e RHs, a conversa quase sempre chega ao mesmo ponto. "E no smartphone pessoal? O colaborador vai aceitar a empresa instalando algo no aparelho dele?" E, do outro lado, a pergunta do colaborador: "a empresa vai ver minhas fotos e minhas mensagens?"

As duas perguntas são legítimas. O BYOD, sigla em inglês para "traga seu próprio dispositivo", é a realidade de boa parte das empresas brasileiras. O colaborador lê o e-mail corporativo, aprova pedidos e fala com clientes no próprio smartphone. É um caminho sem volta, e muitas vezes ele é bom para os dois lados.

A pergunta certa não é "devemos permitir o smartphone pessoal?". A pergunta certa é: conseguimos proteger os dados da empresa no aparelho pessoal sem invadir a privacidade de quem o usa? A resposta é sim, e é isso que este artigo mostra: os 5 riscos do BYOD sem regra, o que a empresa pode e o que não deve gerenciar, e, ao final, um checklist para implantar com privacidade, para agir antes de um problema.

Este é o terceiro artigo da série sobre governança de dispositivos. No primeiro, tratei da governança de dispositivos como um todo; no segundo, do WhatsApp como canal corporativo.

Por que o smartphone pessoal exige uma regra própria

O NIST, instituto de padrões dos Estados Unidos que é referência mundial em segurança, resume bem o dilema no seu guia de gestão de dispositivos móveis: no BYOD, o risco para a empresa é o vazamento dos dados corporativos, e a empresa não conhece a procedência do aparelho, que pode estar desbloqueado, desatualizado ou infectado. Ao mesmo tempo, a organização precisa proteger a privacidade do dono do aparelho.

A ANPD, no guia de segurança para empresas de pequeno porte, vai na mesma direção: recomenda separar, quando possível, os aparelhos pessoais dos de uso da empresa, e evitar o uso do aparelho pessoal quando não for possível garantir segurança equivalente.

E há um detalhe que muita empresa esquece: os dados do colaborador também são dados pessoais protegidos pela LGPD. A empresa precisa proteger os dados dos clientes no aparelho sem tratar mais dados do colaborador do que o necessário.

Os 5 riscos do BYOD sem regra

1. Dado da empresa misturado com a vida pessoal

O fato. Planilhas no armazenamento pessoal, anexos baixados na galeria, conversas de trabalho no aplicativo pessoal. Quando tudo está misturado, não há como proteger um sem mexer no outro.

O que a gestão prevê. Separação técnica: o perfil de trabalho no Android e a inscrição de usuário no iPhone criam um espaço corporativo isolado dentro do aparelho pessoal.

O que preserva. A empresa protege o que é dela, e o colaborador mantém o resto intocado.

2. Colaborador sai e os dados ficam no aparelho

O fato. O contrato termina, mas o e-mail corporativo continua sincronizando, e os arquivos de clientes continuam no smartphone da pessoa.

O que a gestão prevê. Remoção remota seletiva, só dos dados e aplicativos corporativos. No Android, remover o perfil de trabalho apaga apenas os dados desse perfil. No iPhone, desfazer a inscrição remove os aplicativos e as configurações da empresa e destrói as chaves que protegem os dados corporativos.

O que preserva. A empresa encerra o acesso no dia da saída, sem apagar uma única foto pessoal do colaborador.

3. Aparelho pessoal perdido ou roubado

O fato. O smartphone é roubado com o e-mail da empresa aberto e sem senha.

O que a gestão prevê. Senha obrigatória para o espaço corporativo e apagamento remoto dos dados da empresa.

O que preserva. A avaliação do incidente parte de um fato concreto: os dados corporativos estavam protegidos e foram removidos.

4. Aparelho vulnerável acessando sistemas da empresa

O fato. Sistema operacional desatualizado há anos, aplicativos de fontes desconhecidas, aparelho desbloqueado.

O que a gestão prevê. Regras mínimas para o aparelho acessar dados da empresa, e restrições dentro do espaço corporativo, como impedir copiar e colar de um aplicativo corporativo para um pessoal.

O que preserva. O dado da empresa só chega a aparelhos que cumprem o mínimo de segurança.

5. Desconfiança e resistência da equipe

O fato. Sem explicação clara, o colaborador imagina que a empresa vai ler as mensagens dele. O resultado é recusa, contorno das regras e desgaste com o RH.

O que a gestão prevê. Política escrita, explicada em linguagem simples, e aceite formal do colaborador, como recomenda o NIST.

O que preserva. A confiança da equipe, que é o que faz qualquer política funcionar.

A base da solução: um MDM configurado para BYOD

A base da solução é um MDM, o gerenciador de dispositivos móveis, configurado no modo próprio para aparelhos pessoais: o perfil de trabalho no Android e a inscrição de usuário no iPhone. A diferença em relação ao aparelho corporativo é grande, e precisa ser comunicada com precisão.

O que a empresa pode fazer no smartphone pessoal:

Exigir senha para o espaço corporativo.
Instalar e remover os aplicativos de trabalho.
Restringir o compartilhamento entre o lado pessoal e o corporativo.
Apagar remotamente só os dados e aplicativos da empresa.

O que a empresa não vê nem acessa:

Fotos, contatos, e-mails e notas pessoais.
Mensagens pessoais, registro de chamadas e histórico de navegação.
Os aplicativos pessoais: no Android, o perfil pessoal fica fora do alcance; no iPhone, o MDM não consulta os aplicativos instalados pelo usuário.
E, no iPhone com inscrição de usuário, a empresa não pode apagar o aparelho inteiro.

Um ponto de honestidade: a empresa não vê nada do lado pessoal, mas vê algumas informações do aparelho. No Android, por exemplo, o administrador pode ver o modelo, o número de série e o sistema operacional, e, dentro do perfil de trabalho, a atividade de rede dos aplicativos de trabalho. Dizer isso claramente ao colaborador é o que dá credibilidade à política.

Mas o MDM, sozinho, não resolve. Ele precisa de uma política bem escrita, de uma comunicação transparente e de alguém operando. É aí que entra a Forte, como mostro mais adiante.

O que a LGPD espera da empresa

No BYOD, a LGPD atua nos dois sentidos:

Dados dos clientes no aparelho: a empresa precisa adotar medidas de segurança técnicas e administrativas para protegê-los (art. 46).
Dados do colaborador: também são dados pessoais (art. 5º). O tratamento deve seguir os princípios de finalidade, necessidade e transparência (art. 6º): tratar só o necessário e explicar o que é tratado.

A base legal para cada tratamento deve ser definida com o jurídico da empresa. E a legislação trabalhista também trata do tema, ao prever que os riscos da atividade são do empregador e que, no trabalho remoto, o contrato deve definir quem fornece os equipamentos. Mais um motivo para o BYOD estar escrito, e não apenas combinado.

Checklist para implantar BYOD com privacidade em 5 frentes

Reunimos os pontos que liberam o smartphone pessoal com segurança em 17 itens, divididos em 5 frentes: decisão e política, separação técnica, requisitos mínimos do aparelho, transparência e privacidade, e saída e incidentes. Responda Sim, Não ou Não sei e veja na hora a sua nota e as pendências por prioridade.

Fazer o checklist de BYOD

Roteiro para implantar em 6 passos

Decidir quem pode usar o smartphone pessoal e para acessar o quê.
Escrever a política com RH e jurídico, incluindo a lista do que a empresa vê e não vê.
Apresentar a política à equipe e colher o aceite formal.
Inscrever os aparelhos no MDM em modo BYOD e distribuir os aplicativos de trabalho.
Aplicar os requisitos mínimos e testar a remoção seletiva em um aparelho piloto.
Incluir a remoção do espaço corporativo no roteiro de desligamento.

Como calibrar para a sua realidade

Poucos colaboradores com e-mail no smartphone pessoal: comece pelas frentes 1 e 5. Política assinada e remoção no desligamento já reduzem muito o risco.
Equipe comercial ou de campo usando o próprio aparelho: frentes 2 e 3 são prioritárias, porque é ali que circulam dados de clientes.
Funções que lidam com dados sensíveis: considere aparelho corporativo, como sugere a ANPD, em vez de BYOD.
Empresas com resistência da equipe: invista na frente 4. A transparência resolve mais do que qualquer configuração.

Forte Security: BYOD sem invadir a privacidade de ninguém

Um checklist mostra onde a empresa está. Transformar isso em rotina é outro trabalho, e é esse trabalho que a Forte Security assume com os nossos clientes.

A Forte atua em cibersegurança, TI e compliance e, nos ambientes que protege, bloqueia mais de 100 milhões de ataques por mês, já atendeu mais de 1.000 empresas e gerencia mais de 2.000 dispositivos. No BYOD, reunimos em um só parceiro a configuração técnica, a política e o apoio jurídico em proteção de dados.

O que a sua empresa recebe

Diagnóstico: quem usa smartphone pessoal, para acessar o quê, e quais dados da empresa estão nesses aparelhos.
Política de BYOD e termo de aceite: escritos com o seu RH e o seu jurídico, com a lista clara do que a empresa vê e não vê.
Implantação e operação do MDM em modo BYOD: perfil de trabalho no Android, inscrição de usuário no iPhone, aplicativos de trabalho distribuídos e requisitos mínimos aplicados.
Comunicação com a equipe: material simples para explicar a política e responder às dúvidas de privacidade.
Remoção seletiva no desligamento: o espaço corporativo removido no dia da saída, com registro.
Apoio em LGPD: tratamento proporcional dos dados do colaborador e dos clientes, junto a um time de especialistas.

A diferença está na integração. O MDM dá o controle. A Forte faz esse controle funcionar, com tecnologia, processo e evidência.

Conclusão

BYOD não precisa ser uma escolha entre segurança e privacidade. Com o MDM no modo certo, uma política transparente e a remoção seletiva no desligamento, a empresa protege o que é dela e o colaborador mantém intocado o que é dele.

Este é o terceiro artigo da série sobre governança de dispositivos. No próximo e último, vou tratar do que é, de verdade, backup de smartphone: o que volta, o que não volta e como garantir a continuidade.

A hora de colocar o smartphone pessoal da sua equipe sob uma regra clara é agora, antes de um problema. A Forte Security conduz o diagnóstico com você, implanta e opera o MDM em modo BYOD e estrutura a política que protege a empresa e respeita o colaborador. Fale com os nossos especialistas: contato@fortesecurity.com.br | (55) 3347-1831.

Não existe 100% de segurança e não existe risco zero. Mas existe a Forte, com metodologia, experiência e tecnologia.

BYOD com privacidade: o que a empresa pode gerenciar no smartphone pessoal do colaborador, e o que não deve acessar