BYOD refere-se à política que permite aos funcionários usar seus próprios dispositivos móveis pessoais para acessar as redes/sistemas da empresa. Alguns funcionários preferem usar seus dispositivos pessoais, o que coloca a organização em risco de danos à reputação e processos judiciais.
As empresas precisam ter uma política formal em relação ao uso de dispositivos pessoais no trabalho.
A política "Traga Seu Próprio Dispositivo" (BYOD, na sigla em inglês) define quais dispositivos móveis (se houver) os funcionários podem usar para acessar as redes/sistemas da empresa.
O que uma política de BYOD deve abranger?
As empresas precisam de uma política que defina os dispositivos que podem ou não ser conectados à sua rede. Também serão necessários procedimentos para garantir que dispositivos não autorizados nunca sejam conectados "acidentalmente". Por fim, mecanismos adequados devem ser implementados para manter a segurança dos dados pessoais que possam estar armazenados em dispositivos móveis.
Auditoria dos dispositivos existentes e dos direitos de acesso
O primeiro passo é realizar uma auditoria da situação atual. Quais dispositivos utilizam a rede e para quê?
O que diz a lei?
Como empregador (que é o Controlador de Dados), você tem a obrigação, nos termos do RGPD, de tomar medidas técnicas e organizacionais adequadas contra o processamento não autorizado ou ilegal de dados pessoais e contra a perda, destruição ou dano acidental de dados pessoais.
Existe um alto risco de que dados confidenciais da empresa e de clientes acabem em dispositivos pessoais – que geralmente não são muito seguros e podem ser facilmente perdidos, extraviados ou roubados.
Os riscos de danos à reputação
Imagine o seguinte cenário: um funcionário recebe um e-mail com um anexo contendo uma lista de todos os clientes e seus dados de contato. Ele abre o e-mail e salva a lista em seu dispositivo móvel. Se esse dispositivo for perdido, os dados armazenados nele podem vazar para o domínio público, ser usados indevidamente ou vendidos para um concorrente. Pior ainda, o Escritório do Comissário de Informação (ICO) precisará ser notificado da perda de dados, assim como cada pessoa na lista de e-mails. Isso pode causar sérios danos à reputação, além de uma grande multa.
Quais dispositivos são aceitáveis?
Após a realização da auditoria, a segunda etapa consiste em decidir o que incluir ou excluir de uma política de BYOD (Bring Your Own Device), e isso geralmente é feito no nível do dispositivo.
- Nível um – tolerância zero
- Essa pode ser a solução mais rápida, fácil e simples, mas não necessariamente a mais pragmática ou prática.
- Isso também pode, em vez de ajudar, alguns funcionários a desempenharem determinadas tarefas, o que pode levar à insatisfação no trabalho e à queda do moral.
- Assim, uma proibição total poderia se revelar contraproducente.
- Controlar e fiscalizar uma política de tolerância zero também pode ser bastante difícil (e, portanto, caro) sem controles robustos de segurança de rede.
- Nível dois – dispositivos aprovados
- Isso permite definir uma lista de dispositivos ou dispositivos com um sistema operacional específico (por exemplo, somente dispositivos iOS ou somente dispositivos Android e Windows).
- A abordagem de dispositivos aprovados pode facilitar o gerenciamento e o controle de acesso, mas pode deixar alguns funcionários em desvantagem caso seus dispositivos não estejam incluídos. Além disso, o gerenciamento pode ser complexo, visto que novos modelos e dispositivos surgem diariamente.
- Nível três – qualquer dispositivo
- Isso permite que qualquer dispositivo seja "conectado".
- Essa abordagem é totalmente oposta à política de tolerância zero e permite que qualquer dispositivo seja conectado a qualquer momento. As vantagens são: a) para o funcionário, que não fica restrito por dispositivo, e b) para a empresa, que não precisa ficar atualizando uma lista de dispositivos aprovados.
No entanto, com esse tipo de abordagem, é necessário empregar controles rigorosos, como sistemas de gerenciamento de dispositivos móveis.
Uma opção alternativa!
Em uma tendência crescente, algumas empresas decidiram abandonar o BYOD (Bring Your Own Device - Traga Seu Próprio Dispositivo) e a política de tolerância zero, optando por fornecer dispositivos aos funcionários.
Quais são as aplicações aceitáveis?
A empresa pode desejar restringir o acesso a determinados aplicativos – geralmente apenas a e-mail e acesso à internet. O acesso irrestrito a redes e aplicativos deve ser evitado sempre que possível, exceto a partir de PCs ou laptops e, mesmo assim, somente por meio de redes confiáveis ou ferramentas seguras de acesso remoto.
Uso comercial versus uso privado
Dispositivos BYOD (Bring Your Own Device - Traga Seu Próprio Dispositivo) pertencentes a um funcionário provavelmente serão usados tanto para fins comerciais quanto pessoais.
Por um lado, o funcionário precisa ter a certeza de que a empresa não acessará o material pessoal armazenado no dispositivo nem usará ferramentas de monitoramento do dispositivo, enquanto, por outro lado, a empresa desejará proteger as informações confidenciais corporativas e de clientes que também podem estar armazenadas (ou visíveis) no dispositivo.
Os empregadores também precisam estar cientes de que os dispositivos podem ser usados (para fins pessoais) não apenas pelo funcionário, mas também por outros membros da família.
Segurança sem fio
A maneira mais fácil e rápida de conectar dispositivos a uma rede é os funcionários usarem seus próprios dispositivos para fazer login na rede sem fio. Algumas empresas compartilham a chave de acesso Wi-Fi com os funcionários sem perceber que estão usando a mesma chave em todos os dispositivos, inclusive os pessoais.
Um método comum para garantir a segurança de dispositivos é criar uma chave sem fio muito forte (ou seja, difícil de memorizar) e que ela seja inserida no dispositivo apenas por um membro da equipe de suporte de TI ou outra pessoa designada. Dessa forma, o controle pode ser mantido no nível do dispositivo com relativa facilidade. No entanto, essa abordagem pode ser muito demorada, dependendo do tamanho ou da complexidade da organização.
Abordagens mais robustas utilizarão hardware de rede para criar listas de controle de acesso para dispositivos específicos, que devem ser registrados e, portanto, aprovados pela empresa antes de se conectarem. As vantagens desse método incluem a possibilidade de auditoria e controle de fuso horário, como restringir o acesso sem fio ao horário comercial.
Registro do dispositivo
A maioria das versões atuais de software operacional de rede (Windows e Mac) possui ferramentas de segurança integradas que podem ser usadas para manter uma lista de dispositivos "aprovados".
Isso é feito por meio de um processo de registro de maneira muito semelhante ao registro de hardware de rede, no qual o dispositivo é apresentado e registrado na rede.
Caso um dispositivo seja extraviado ou um funcionário se desligue da empresa, o dispositivo pode ser bloqueado/removido da lista de dispositivos registrados.
Embora essa abordagem seja útil para bloquear visitantes indesejados e controlar o acesso aos recursos da rede, a desvantagem é a falta de controle quando um dispositivo conectado é perdido ou roubado.
Gerenciamento de dispositivos móveis (MDM) / Gerenciamento de aplicativos móveis (MAM)
Uma abordagem mais robusta para garantir a segurança dos dispositivos é usar serviços MDM – que podem ser fornecidos como parte do software operacional da rede ou por terceiros.
Existem diferentes níveis desse tipo de serviço, que variam desde o simples registro e redefinição de dispositivos até o isolamento de dados pessoais e corporativos, permitindo a eliminação separada apenas dos dados corporativos.
Os funcionários terão que concordar/dar seu consentimento com qualquer sistema de gerenciamento de dispositivos móveis que for utilizado caso desejem adotar o modelo BYOD (Bring Your Own Device).
Os funcionários também devem concordar/consentir se o software MDM for usado para monitorar o dispositivo, as atividades que são monitoradas e se a geolocalização é usada ou não.
Por fim, os funcionários precisarão entender o que acontecerá com seus dados pessoais armazenados no dispositivo, caso este precise ser desativado.
Este método oferece todas as vantagens de ser fácil de usar, da perspectiva do usuário final, e ao mesmo tempo muito seguro da perspectiva da empresa. A empresa também pode realizar operações como localizar dispositivos, caso sejam perdidos ou roubados, ou realizar o bloqueio e a limpeza remotamente.
Criptografia de dados
Uma política de BYOD (Bring Your Own Device, ou Traga Seu Próprio Dispositivo) por si só não oferece proteção suficiente. Todos os dados confidenciais/pessoais devem ser criptografados. Simplesmente definir um documento/planilha como somente leitura ou criar uma senha para abri-lo não equivale a criptografar os dados.
As empresas devem avaliar quais dados pessoais estão sendo transferidos de e para quais dispositivos. Em seguida, devem realizar uma avaliação de risco das chances de os dados se tornarem públicos e, por fim, usar métodos de criptografia apropriados para proteger esses dados confidenciais/pessoais.
Outras questões a considerar
- Proteção por senha do dispositivo – Cada dispositivo BYOD deve ter uma senha/PIN de inicialização e deve bloquear se ficar inativo por um determinado número de minutos, ou bloquear se uma senha/PIN incorreta for inserida após um determinado número de tentativas.
- Dispositivos extraviados – como parte da política BYOD (Bring Your Own Device - Traga Seu Próprio Dispositivo), o funcionário precisará saber quem contatar e o que acontecerá com o dispositivo caso ele seja extraviado (ou seja, quais dados poderão ser apagados do dispositivo).
- Custo – a empresa pode ou não concordar em pagar por determinadas taxas de dispositivos móveis ou pelo custo de substituição de dispositivos perdidos, roubados ou danificados quando usados para fins comerciais.
- Política de uso aceitável – a empresa vai querer garantir que qualquer política de uso aceitável também se aplique a dispositivos BYOD (Traga Seu Próprio Dispositivo).
- Dispositivos que tenham sido desbloqueados (root/jailbreak) não devem ser permitidos e uma política rigorosa deve ser implementada para que qualquer dispositivo configurado para BYOD (Bring Your Own Device - Traga Seu Próprio Dispositivo) não seja posteriormente desbloqueado (root/jailbreak).
- Mídia de armazenamento – a empresa pode querer especificar a abordagem em relação aos cartões de memória/SD, em particular se eles são criptografados ou se os dados podem ser armazenados neles.
Implementando a política BYOD
A política BYOD (Bring Your Own Device - Traga Seu Próprio Dispositivo) pode ser formulada como uma política separada, adicionada a uma política de uso aceitável já existente ou incorporada a uma política de internet e e-mail ou de mídias sociais já existente.
Por padrão, os dispositivos da empresa estarão sujeitos ao programa BYOD (Bring Your Own Device).
Os funcionários que possuem seus próprios dispositivos pessoais devem ter a oportunidade de optar por não participar ou participar da política BYOD (Bring Your Own Device).
- Opção de exclusão - Recusar-se a aderir à política BYOD – nesse caso, o funcionário não poderá usar nenhum dispositivo pessoal para o trabalho.
- Optar por participar – Concordar em aderir à política BYOD – nesse caso, o dispositivo precisará ser registrado na rede e também, se aplicável, em um serviço de gerenciamento de dispositivos móveis.
Consulte nosso resumo com os quatro passos simples para definir e implementar uma política de BYOD (Bring Your Own Device).
Resumo
É importante que o empregador (que é o Controlador de Dados) permaneça em conformidade com o RGPD no que diz respeito ao processamento de dados pessoais. Em caso de violação de segurança, o empregador deve ser capaz de demonstrar que todos os dados pessoais armazenados em um determinado dispositivo estão protegidos, controlados ou eliminados. Ter uma política de BYOD (Traga Seu Próprio Dispositivo) contribuirá significativamente para atingir esse objetivo.
Quatro etapas para definir e implementar um programa BYOD (Bring Your Own Device).
- Primeiro passo – auditar dispositivos e utilização.
-
- Quais dispositivos estão atualmente autorizados a acessar a rede?
- Que direitos de acesso eles têm?
- Que aplicativos eles usam?
- Que dados eles devem armazenar?
- Etapa dois – nível de BYOD
-
- nenhum dispositivo
- lista aprovada
- todos/quaisquer dispositivos
- Definir quais aplicativos são acessíveis a dispositivos móveis.
- Etapa três – Política BYOD
-
- Elabore e redija a política BYOD (Bring Your Own Device).
- Implemente as alterações de segurança necessárias na infraestrutura de rede e contrate quaisquer serviços adicionais (como MDM).
- Decida se é necessária segurança adicional, como ferramentas de criptografia de dados.
- Defina e comunique uma data para a implementação da política.
- Etapa quatro – data de implementação
-
- Remova todos os dispositivos atuais e certifique-se de que não estejam armazenando dados.
- Registre os dispositivos aprovados
- Os funcionários que possuem esses dispositivos assinam o termo BYOD (Bring Your Own Device - Traga Seu Próprio Dispositivo).
