O celular pessoal já participa da rotina de muitas empresas: autenticação, e-mail, arquivos, mensagens e sistemas. Ignorar esse uso não elimina o risco. Uma política BYOD para PME estabelece condições transparentes para usar dispositivos particulares no trabalho, equilibrando proteção da empresa e privacidade do funcionário.
O NIST trata dispositivos fornecidos pela organização e dispositivos pessoais em suas diretrizes de segurança móvel. A orientação considera todo o ciclo de vida: implantação, uso e descarte. Para BYOD, o desafio adicional é que a empresa não é dona do aparelho e não deve assumir controle além do necessário e previamente informado.
Defina quais acessos realmente precisam do celular
Comece pelo escopo. Nem todo sistema precisa estar disponível em qualquer dispositivo. Liste aplicativos, tipos de informação e funções autorizadas. Um vendedor pode precisar de e-mail e CRM, enquanto o acesso administrativo a servidores deve permanecer restrito a equipamentos gerenciados.
- Aplicativos e dados autorizados em dispositivo pessoal.
- Perfis de usuário elegíveis e exceções aprovadas.
- Ações permitidas: visualizar, editar, baixar ou compartilhar.
- Dados que nunca devem ficar armazenados localmente.
- Alternativa fornecida pela empresa para quem não quiser usar aparelho pessoal.
Estabeleça requisitos mínimos do aparelho
A política deve transformar “celular seguro” em critérios verificáveis. Exija sistema operacional dentro do período de suporte, atualizações aplicadas, bloqueio de tela, criptografia quando disponível e ausência de modificações que removam proteções, como root ou jailbreak. O acesso deve usar autenticação multifator e sessões com prazo adequado ao risco.
A empresa também pode exigir um aplicativo de gerenciamento ou proteção, desde que explique quais dados são observados, quais ações podem ser executadas e qual parte do dispositivo fica sob controle corporativo.
Separe o espaço de trabalho do conteúdo pessoal
Sempre que a plataforma permitir, use contêiner, perfil de trabalho ou controles por aplicativo para impedir que dados corporativos sejam copiados para contas pessoais, backups particulares ou aplicativos não autorizados. A separação reduz o risco e torna o desligamento mais preciso.
- Bloqueie cópia de dados corporativos para aplicativos pessoais quando necessário.
- Evite salvar anexos sensíveis na galeria ou pasta comum do aparelho.
- Use contas corporativas individuais; nunca compartilhe credenciais.
- Revogue sessões e dados corporativos sem apagar fotos e arquivos pessoais.
- Registre claramente o que a empresa consegue e não consegue visualizar.
Privacidade precisa estar no texto da política
O funcionário deve saber se a empresa vê modelo, versão do sistema, estado de conformidade, aplicativos corporativos e localização. Se determinado dado não for necessário, ele não deve ser coletado apenas porque a ferramenta permite. Defina finalidade, acesso, retenção dos registros e canal para dúvidas.
A política técnica não substitui avaliação jurídica ou trabalhista. Ela deve ser revisada pelas áreas responsáveis antes da implantação e comunicada em linguagem clara, com registro de ciência.
Prepare perda, roubo e troca de aparelho
O usuário precisa de um canal simples para avisar perda ou roubo imediatamente. O procedimento deve revogar sessões, bloquear a conta quando necessário e remover apenas o espaço corporativo, se a tecnologia suportar essa separação. A volta do acesso deve ocorrer somente após nova validação do dispositivo.
Desligamento e mudança de função
No desligamento, remova o dispositivo do gerenciamento, revogue tokens, encerre sessões e confira aplicativos autorizados. O mesmo vale quando a pessoa muda de função e deixa de precisar de determinados dados. O processo deve estar conectado ao checklist de acessos da empresa.
Checklist mínimo para aprovar BYOD
- Escopo de aplicativos, dados e usuários definido.
- Requisitos de sistema, atualização e bloqueio documentados.
- MFA e controle de sessão ativos.
- Separação entre dados pessoais e corporativos validada.
- Ações de suporte e remoção remota explicadas.
- Procedimento de perda, incidente e desligamento testado.
- Revisão periódica com responsável e data marcada.
A Howto pode ajudar a mapear acessos, configurar o Microsoft 365 e outros serviços, aplicar controles coerentes e documentar o ciclo de entrada e saída. Conheça os serviços da Howto Tecnologia e transforme o uso de celulares pessoais em uma decisão administrada.
Deixe um comentário