Quase sempre, a pergunta chega depois.

Um empresário me liga porque desligou um colaborador e, no mesmo dia, descobriu que o smartphone corporativo foi devolvido zerado. Outro quer saber se existe algo que possa instalar no aparelho para ter controle. Um terceiro pergunta se dá para impedir que a pessoa resete o smartphone, para preservar os dados e levar para uma perícia. E há sempre a versão mais direta: "o que eu poderia ter feito?"

Eu entendo por que essas perguntas chegam nesse momento. O dispositivo virou uma extensão da empresa. Pelo smartphone do colaborador passam o e-mail corporativo, os códigos de autenticação, os sistemas, as conversas com clientes, as fotos de entrega, as aprovações. Boa parte da vida profissional de uma pessoa dentro da empresa, hoje, mora ali. E o empresário normalmente só percebe o tamanho disso quando algo acontece: um vazamento, um aparelho furtado, dados apagados, uma saída conturbada.

Esse é um caminho sem volta. As empresas não vão voltar a trabalhar sem smartphone, do mesmo jeito que não voltaram da nuvem. A pergunta certa não é "o que eu faço agora que aconteceu?". A pergunta certa é: o que precisa estar pronto antes de um problema, para que eu nunca tenha de fazer essa pergunta? Depois que o problema acontece, com o aparelho em outras mãos ou os dados já apagados, as opções ficam muito mais limitadas.

É isso que este artigo entrega: os 6 riscos que a gestão de dispositivos precisa cobrir, o que a legislação espera da empresa, as camadas de controle disponíveis no mercado e, ao final, um checklist de governança em 7 frentes e um roteiro de desligamento na ordem certa.

Por que o dispositivo merece atenção de gestão, e não só de TI

O NIST, instituto de padrões dos Estados Unidos que é referência mundial em segurança, descreve em seu guia de gestão de dispositivos móveis (SP 800-124 Rev. 2) justamente essa transição: aparelhos que eram de comunicação pessoal passaram a ser pontos permanentes de acesso a redes, sistemas e informações sensíveis das organizações. E recomenda que a empresa trate o ciclo de vida completo do dispositivo, da implantação ao descarte, incluindo tanto os aparelhos da organização quanto os de propriedade do colaborador.

Na prática, o que eu vejo nas empresas é o contrário: o processo de trabalho mudou, e o controle ficou no tempo anterior. A empresa sabe que comprou dez aparelhos, mas não sabe dizer quem usa cada um, quais sistemas cada um acessa, onde está o dado que importa e o que acontece com tudo isso quando a pessoa sai.

Por isso eu gosto de tirar esse tema da sala de TI. Gestão de dispositivos é governança. É a capacidade de a empresa demonstrar, com evidências, o que acontece com seus dados, seus acessos e sua operação quando um aparelho ou uma pessoa deixa de estar disponível.

Os 6 riscos que a gestão de dispositivos precisa cobrir

São fatos que acontecem em empresas de todos os tamanhos. Para cada um, mostro o que a gestão precisa ter previsto e o que isso preserva para a empresa.

1. Vazamento de informações

O fato. Um aparelho sem senha forte, sem criptografia ou com aplicativos fora do padrão da empresa acessa e-mail, planilhas, sistemas e dados de clientes. Um descuido, um aplicativo malicioso ou um acesso indevido basta para que a informação saia do controle.

O que a gestão prevê. Senha e criptografia obrigatórias, aplicativos de trabalho distribuídos de forma centralizada, acesso condicionado a aparelho em conformidade.

O que preserva. A Lei Geral de Proteção de Dados (LGPD) pede que a empresa adote medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e situações de perda ou destruição (art. 46). Com gestão, a empresa consegue demonstrar que essas medidas existiam e estavam aplicadas. Sem gestão, ela só consegue dizer que tinha a intenção.

2. Perda ou exclusão de dados, acidental ou deliberada

O fato. O aparelho falha, é trocado ou, no cenário que mais me perguntam, o colaborador apaga tudo antes de devolvê-lo. Histórico de negociação, contatos, fotos, documentos: se estavam só ali, foram junto.

O que a gestão prevê. Dados de negócio sincronizados em repositórios corporativos (e-mail, armazenamento e sistemas da empresa), backup das categorias móveis que importam e, nos aparelhos corporativos, bloqueio da redefinição de fábrica pelo MDM.

O que preserva. Esse ponto merece precisão. Nos aparelhos corporativos gerenciados, tanto o Android quanto o iPhone permitem impedir que o usuário restaure o aparelho às configurações de fábrica pelos ajustes. No Android corporativo, a empresa ainda pode vincular a proteção pós-redefinição a uma conta de administrador, de modo que, se o aparelho for zerado à força, ele só volta a funcionar com a conta da empresa. No iPhone, esse bloqueio exige que o aparelho esteja em modo supervisionado, o que é feito na implantação.

Mas a lição mais importante é outra: a prova e o dado de negócio não podem morar só no aparelho. O bloqueio de reset reduz o risco e preserva o equipamento. O que garante a continuidade é o dado já estar na empresa antes de qualquer desligamento.

3. Furto ou roubo do aparelho

O fato. O smartphone é furtado na rua, esquecido no aplicativo de transporte ou perdido numa viagem.

O que a gestão prevê. Localização, bloqueio e limpeza remota pelo MDM, com registro de cada ação. E um procedimento que diga quem avalia o que havia no aparelho.

O que preserva. A Autoridade Nacional de Proteção de Dados (ANPD) esclarece que perda e indisponibilidade de dados podem configurar incidente de segurança, e que um dispositivo roubado pode ou não representar risco relevante aos titulares, conforme os dados envolvidos, o contexto e a proteção aplicada. A comunicação à ANPD e aos titulares é obrigatória quando há risco ou dano relevante (LGPD, art. 48), no prazo geral de três dias úteis. Um aparelho criptografado, bloqueado e limpo remotamente muda completamente essa avaliação. A gestão é o que permite ao controlador decidir com base em fatos, e não em suposições.

4. Saída do colaborador levando informação da empresa

O fato. A pessoa sai, e com ela vão a carteira de clientes, a tabela de preços, os projetos em andamento, às vezes para um concorrente.

O que a gestão prevê. Política de uso assinada, cláusula de confidencialidade, dados corporativos em contas corporativas e uma rotina de desligamento que revoga os acessos no momento certo.

O que preserva. A legislação trabalhista (CLT) dá à empresa caminhos para agir nesses casos. Todos dependem de prova, e a prova depende de a empresa ter definido, antes, o que era confidencial, onde a informação estava e quem tinha acesso a ela.

5. Acesso que continua ativo depois do desligamento

O fato. O colaborador saiu há semanas, mas o e-mail ainda sincroniza no smartphone dele, a sessão do sistema continua aberta e o aplicativo de mensagens da empresa segue recebendo pedidos de clientes.

O que a gestão prevê. Inventário que liga cada aparelho a uma pessoa e a uma lista de acessos, e a capacidade de encerrar sessões e revogar credenciais remotamente, em minutos.

O que preserva. A empresa encerra a exposição no mesmo instante do desligamento e tem o registro disso. É o tipo de controle que quase ninguém nota quando existe, e que todos notam quando falta.

6. Vulnerabilidades do próprio dispositivo

O fato. Sistema operacional desatualizado, aplicativos instalados de fontes desconhecidas, links maliciosos recebidos por mensagem, conexão em redes públicas.

O que a gestão prevê. Regras de conformidade (versão mínima de sistema, aplicativos permitidos), proteção contra ameaças móveis e um responsável definido para cada alerta.

O que preserva. A capacidade de identificar o risco antes do incidente. Ter uma ferramenta instalada não resolve sozinho: alguém precisa ver o alerta, decidir e fechar o caso.

A base da solução: um MDM

Os seis riscos têm uma base de solução em comum: um MDM (Mobile Device Management), o gerenciador de dispositivos móveis. É o software instalado nos smartphones da empresa que permite, a partir de um painel central, manter o inventário, exigir senha e criptografia, bloquear a redefinição de fábrica, distribuir aplicativos e bloquear ou limpar o aparelho à distância, só os dados da empresa ou por completo. É a resposta para a pergunta "tem algo que eu possa instalar no aparelho?".

Mas o MDM, sozinho, é só uma ferramenta instalada. Ele precisa de políticas bem definidas, de alguém operando e das demais camadas de proteção. É aí que entra a Forte, como mostro mais adiante.

O que a legislação espera da empresa, e o que a boa gestão garante

Quando olho para a LGPD e a CLT juntas, vejo um ponto em comum: as duas protegem melhor a empresa que consegue demonstrar que tinha controle.

A LGPD pede medidas de segurança adequadas (art. 46), comunicação quando há risco relevante (art. 48) e prevê o dever de reparar danos causados em violação à lei (art. 42). A primeira pergunta em qualquer apuração é: quais medidas estavam aplicadas?
A CLT dá à empresa instrumentos para agir quando há quebra de sigilo ou dano causado por um colaborador. Todos precisam ser demonstrados.

Uma medida trabalhista ou a decisão de comunicar um incidente: tudo isso depende de política, registro e evidência construídos antes de um problema. Este artigo não substitui a orientação do seu jurídico. O que ele mostra é que a gestão de dispositivos é o que dá ao jurídico material para agir.

Controlar não é vigiar

Quando o empresário pergunta se, com o MDM, a empresa passa a "controlar tudo", eu faço uma distinção logo no início: o MDM administra o aparelho e os dados da empresa. Ele não é uma ferramenta para ler a vida pessoal do colaborador.

Nos aparelhos pessoais usados no trabalho (o chamado BYOD, sigla em inglês para "traga seu próprio dispositivo"), as próprias plataformas separam os dois mundos. No Android, o perfil de trabalho isola aplicativos e dados profissionais do espaço pessoal, e permite que a empresa remova só o que é dela, sem tocar no resto. Na Apple, a inscrição de usuário limita o que a organização pode configurar em um iPhone pessoal e restringe a gestão às contas e dados corporativos.

Nos aparelhos corporativos, a empresa tem mais poderes de gestão, e justamente por isso precisa de uma política escrita e da ciência do colaborador sobre o que é gerenciado.

E há o tema que sempre aparece: as conversas de trabalho no WhatsApp. O próprio WhatsApp informa que o backup do histórico fica na Conta Google (Android) ou no iCloud (iPhone), e que a restauração exige o mesmo número e a mesma conta usados no backup. Ou seja: o histórico fica com quem controla o número e a conta. Se as conversas registram negócios, a resposta de governança não é monitorar o aplicativo pessoal. É o atendimento acontecer em um número da empresa, com conta de backup da empresa, e as decisões importantes registradas no sistema de gestão de clientes (CRM).

As quatro camadas do controle

O mercado de gestão de dispositivos oferece um conjunto amplo de capacidades. Eu gosto de organizá-las em quatro camadas, cada uma respondendo a uma pergunta de gestão:

Camada	Pergunta de gestão	Capacidades disponíveis no mercado
Conhecer e administrar	Quais aparelhos acessam a empresa e que regras eles seguem?	MDM, o gerenciador de dispositivos móveis: inventário, inscrição de aparelhos corporativos e pessoais, políticas de senha e criptografia, distribuição de aplicativos, bloqueio de reset, localização, bloqueio e limpeza remota (total ou só dos dados corporativos).
Proteger	Que ameaça foi detectada e quem respondeu?	Defesa contra ameaças móveis, proteção contra links e aplicativos maliciosos, regras de conformidade, alertas com responsável.
Conectar	Por onde passa o tráfego da empresa e quem define o que é permitido?	Firewall, VPN, SD-WAN e políticas de acesso entre sede, filiais e equipe remota. Na Forte, essa camada é atendida pelo Eskaller, solução desenvolvida por nós.
Recuperar	O que volta, em quanto tempo e quando foi testado pela última vez?	Backup das categorias de dados móveis suportadas (contatos, fotos, vídeos, calendários, entre outras) e teste periódico de restauração.

Duas observações de quem implanta isso todo dia. Primeiro, nenhuma camada sozinha resolve tudo: gestão sem proteção não vê a ameaça, proteção sem backup não recupera o dado, e um firewall na sede não administra o smartphone que está na rua. Segundo, nenhuma ferramenta faz milagre: não existe "backup completo do smartphone" que traga de volta qualquer aplicativo com todo o seu histórico. O que existe é escolher o que precisa ser recuperável e testar.

Checklist de governança de dispositivos em 7 frentes

Use este checklist para avaliar a sua empresa hoje. São 31 itens em 7 frentes, cada um com a sua severidade, e você responde "Sim", "Não" ou "Não sei". Ao final, recebe na tela a nota, as pendências por prioridade e o que precisa ser verificado.

Fazer o checklist de dispositivos

Roteiro de desligamento na ordem certa

Volto à pergunta do empresário que recebeu o smartphone zerado. Na maioria das vezes, o problema não foi a falta de ferramenta. Foi a ordem. Apagar, revogar ou comunicar na sequência errada destrói dados e provas. Este é o roteiro que eu recomendo:

Antes da comunicação do desligamento

Confirmar que os dados de negócio do colaborador estão no repositório corporativo e que o último backup está concluído.
Verificar no MDM o estado do aparelho: inscrito, em conformidade, com bloqueio de reset ativo.
Alinhar com RH e jurídico o horário, os responsáveis e se há alguma suspeita que exija preservação pericial.

No momento da comunicação

Recolher o aparelho corporativo e o chip, com termo de devolução assinado.
Revogar contas, sessões e fatores de autenticação ao mesmo tempo em que a conversa acontece.
Transferir número, canais de atendimento e carteira de clientes para quem vai assumir.

Depois do desligamento

Se houver suspeita de irregularidade: não manusear o aparelho, isolá-lo da rede, acionar um perito e registrar quem teve acesso ao aparelho em cada etapa.
Se não houver suspeita: manter o aparelho e os dados pelo prazo de retenção definido na política, e só então limpar e reinscrever para o próximo usuário.
Em aparelho pessoal: remover apenas o perfil de trabalho e os dados corporativos.
Registrar cada etapa, com data, hora e responsável.

Como calibrar para a sua realidade

Empresa pequena, poucos aparelhos corporativos: comece pelas frentes 1, 2 e 7. Inventário, política assinada e roteiro de desligamento já mudam o jogo, antes de qualquer investimento maior.
Empresa com BYOD: o foco está na frente 2 (transparência) e na separação por perfil de trabalho ou inscrição de usuário. Prometa ao colaborador só o que a plataforma realmente permite.
Operação com filiais e equipe de campo: as frentes 5 e 6 ganham peso. O aparelho depende da rede, e a rede depende de política e continuidade.
Setores regulados (saúde, cartórios, varejo com dados de clientes): trate a frente 7 como obrigatória e envolva o encarregado de dados (DPO) desde o início.

Forte Security: governança de dispositivos do diagnóstico à operação

Um checklist mostra onde a empresa está. Transformar esse checklist em rotina, com tecnologia aplicada, processo definido e evidência registrada, é outro trabalho. É esse trabalho que a Forte Security assume com os nossos clientes.

A Forte atua em cibersegurança, TI e compliance e, nos ambientes que protege, bloqueia mais de 100 milhões de ataques por mês, já atendeu mais de 1.000 empresas e gerencia mais de 2.000 dispositivos. Na governança de dispositivos, reunimos em um só parceiro as quatro camadas deste artigo e o que normalmente fica espalhado entre fornecedores diferentes: a gestão dos aparelhos, a proteção contra ameaças, a rede, o backup e o apoio jurídico em proteção de dados, por meio do nosso serviço de DPO as a Service.

O que a sua empresa recebe

Diagnóstico de governança de dispositivos: inventário, titularidade, políticas existentes e lacunas, com base nas 7 frentes deste checklist.
Política de uso e termo de ciência: redigidos em conjunto com o seu RH e o seu jurídico, deixando claro o que a empresa gerencia e o que não acessa.
Implantação e operação do MDM: escolha da solução adequada ao seu parque, configuração das políticas, inscrição dos aparelhos corporativos com senha, criptografia e bloqueio de redefinição de fábrica, e separação dos aparelhos pessoais por perfil de trabalho.
Proteção e rede: defesa contra ameaças móveis e, na camada de conectividade, o Eskaller, nossa solução de firewall, VPN e SD-WAN.
Backup com restauração testada: definição do que precisa ser recuperável e testes periódicos registrados.
Roteiro de desligamento e de incidente implantado: responsáveis definidos, ordem das ações e registro de cada etapa.
Operação contínua: monitoramento, tratamento de alertas e relatório periódico de conformidade, que serve de evidência para auditorias e para o jurídico.
Apoio em incidentes: bloqueio, preservação de evidências e avaliação, junto com o DPO, da necessidade de comunicação à ANPD.

A diferença está na integração. O MDM dá o controle. A Forte faz esse controle funcionar, com tecnologia, processo e evidência, e com a mesma equipe que responde quando algo acontece.

Conclusão

A pergunta "o que eu poderia ter feito?" tem resposta. Ela só chega tarde demais quando é feita depois. O dispositivo é uma extensão da empresa, e a gestão dele é governança: define o que é da empresa, onde o dado está, quem tem acesso e o que acontece quando alguém sai. Com isso pronto, vazamento, perda, furto e desligamento continuam acontecendo, mas deixam de virar problema jurídico, trabalhista ou operacional.

Este é o primeiro artigo de uma série sobre governança de dispositivos. Nos próximos, vou me aprofundar no WhatsApp como canal corporativo, no BYOD com privacidade e no que é, de verdade, backup de smartphone.

A hora de implantar um MDM é agora, antes de um problema. A Forte Security conduz o diagnóstico com você, implanta e opera o MDM e estrutura, do inventário ao roteiro de desligamento, a governança que protege a sua operação. Fale com os nossos especialistas: contato@fortesecurity.com.br | (55) 3347-1831.

Não existe 100% de segurança e não existe risco zero. Mas existe a Forte, com metodologia, experiência e tecnologia.

Vazamento, perda de dados e saída de colaboradores: como a gestão de dispositivos móveis protege a empresa