Bring Your Own Device (BYOD)

O BYOD abrange uma ampla gama de situações. Em uma ponta, o funcionário lê e-mails de trabalho no celular pessoal. Na outra, todo o trabalho acontece em um computador da própria casa. Todas as variantes têm uma característica em comum: o funcionário é o dono do aparelho, então a autoridade da organização sobre ele depende de contratos e políticas, e não de controle administrativo.

O caso mais comum é um smartphone pessoal que guarda e-mails de trabalho, mensagens e documentos ao lado de fotos da família e contas privadas. O mais difícil é um computador doméstico, cujo sistema operacional, atualizações e softwares instalados estão fora do alcance da TI. Tablets e dispositivos secundários, usados para leitura, viagens e plantões, muitas vezes ficam fora da política, e as ferramentas não gerenciadas que preenchem essa lacuna são uma forma de shadow IT.

Muitas organizações permitem dispositivos pessoais apenas parcialmente: e-mail e agenda no celular pessoal, mas nenhum caminho até os dados de produção. Onde fica essa linha é uma decisão de política, normalmente aplicada por regras de acesso e não por confiança.

Os riscos decorrem diretamente da propriedade. Quando os dados saem do parque gerenciado, os controles que dependem da gestão do endpoint deixam de funcionar.

A perda é o que mais importa. Um celular sem criptografia com a caixa de e-mail sincronizada pode transformar um aparelho perdido em um vazamento de dados que talvez precise ser comunicado conforme as regras de notificação de incidentes.

O BYOD corta nos dois sentidos. A organização não consegue controlar totalmente o aparelho, e os funcionários temem o extremo oposto: uma ferramenta do empregador em um celular que também guarda sua vida privada. Monitorar um aparelho pessoal alcança fotos de família, mensagens privadas e dados de localização, por isso a vigilância generalizada de hardware BYOD é restrita em muitas jurisdições. Pela LGPD, o monitoramento deve ser proporcional e transparente. Em vários países europeus, como a Alemanha, os conselhos de trabalhadores devem aprovar esses sistemas antes da implantação.

A solução prática é a separação. Um contêiner ou perfil de trabalho gerenciado guarda e-mail, arquivos e aplicativos corporativos, e o controle da organização termina na sua fronteira. A parte pessoal continua privada, e o apagamento remoto, quando acordado, se limita ao contêiner. Ferramentas como o monitoramento de atividades de usuários devem ficar apenas nos computadores da organização, e a finalidade deve ser registrada por escrito antes da implantação.

O BYOD é um ponto em um espectro de propriedade, e muitas organizações migram para uma opção intermediária depois do primeiro incidente com BYOD. Os modelos diferem em quem compra o aparelho, quem assume o custo do controle e onde fica o limite de privacidade.

Programas maduros combinam política com camadas técnicas, aplicadas na proporção do que o aparelho pode acessar:

• Política de uso aceitável: o que um aparelho pessoal pode acessar, quais controles básicos, como bloqueio de tela e criptografia, são exigidos e o que acontece na saída do funcionário.
• MDM e MAM: a gestão de dispositivos móveis aplica a segurança básica nos aparelhos cadastrados, enquanto a gestão de aplicativos móveis envolve apenas os apps de trabalho.
• Contêineres e perfis de trabalho: um espaço separado guarda os dados corporativos, é criptografado à parte do conteúdo pessoal e pode ser apagado sem tocá-lo.
• Acesso condicional: os serviços corporativos só aceitam um aparelho se ele estiver cadastrado, criptografado e atualizado.
• Controle de dispositivos no endpoint: nas estações corporativas, regras definem o que acontece quando um celular ou pendrive pessoal é conectado via USB: auditoria, lista de permissões, acesso somente leitura ou bloqueio. Veja o controle de dispositivos USB.

A Anexet cobre o lado corporativo do ponto de contato. Os agentes rodam nos computadores da organização, e o DLP de endpoint verifica o conteúdo dessas máquinas, qualquer que seja o destino. O próprio aparelho pessoal fica fora do produto, como mostra a tabela.

Quando um celular ou pendrive pessoal é conectado a uma estação corporativa, as regras de controle de dispositivos decidem o que acontece. O primeiro quadro mostra como a auditoria de dispositivos, o acesso ao armazenamento e as verificações de gravação por conteúdo são ativados para um perfil de agente. O segundo mostra o que o console lista para um único computador.

1 / 2

• 
• 

Comece pelos dados cujo vazamento causaria mais dano, depois pelos canais que realmente usam, incluindo mídias removíveis e os aparelhos pessoais conectados aos computadores corporativos. Políticas escritas para todos os aparelhos de uma vez acabam bloqueando o trabalho e são desligadas.

Um programa BYOD funciona quando a organização consegue dizer qual aparelho guarda quais dados. Escreva isso antes de escolher as ferramentas e depois confira com o inventário de aparelhos em intervalos regulares.

Leitura adicional: Segurança da Informação no Escritório; Como prevenir o acesso não autorizado ao seu computador.