Celular corporativo e BYOD: riscos e gestão com MDM

O celular virou a porta de entrada mais usada para o e-mail, o Teams e os arquivos da empresa, e costuma ser a menos controlada. O risco principal não é um ataque sofisticado, é o aparelho perdido sem senha, com o e-mail corporativo aberto. A boa notícia é que dá para proteger os dados da empresa sem invadir a vida pessoal de ninguém.

Resumo rápido

Os riscos mais comuns são perda ou roubo, apps de fontes duvidosas, sistema desatualizado e dados da empresa copiados para apps pessoais.
MDM (gestão de dispositivos móveis) é a ferramenta que aplica regras de segurança nos aparelhos a partir de um painel central.
No celular pessoal (BYOD), o caminho mais equilibrado é proteger só os aplicativos de trabalho. No celular da empresa, faz sentido gerenciar o aparelho inteiro.
O Microsoft Intune, incluído no Business Premium, faz as duas coisas.
A empresa não vê fotos, mensagens nem localização do celular pessoal do colaborador.

Os riscos reais do celular no trabalho

Perda e roubo. É o cenário mais frequente. Um celular sem bloqueio de tela, com Outlook e WhatsApp abertos, dá acesso a e-mails de clientes, propostas, dados de funcionários e códigos de dupla autenticação.

Aplicativos de fontes não oficiais. O CERT.br recomenda baixar aplicativos apenas das lojas oficiais e nunca instalar apps recebidos por mensagem ou link. Aplicativo falso é uma das formas mais simples de roubar senhas.

Sistema desatualizado. Cada atualização corrige falhas conhecidas. Celular que não recebe mais atualização do fabricante acumula vulnerabilidades que não serão corrigidas.

Vazamento silencioso. O colaborador copia um trecho de contrato do Outlook para o bloco de notas pessoal, ou salva a planilha de clientes no Google Drive particular. Não há má-fé, mas o dado saiu do controle da empresa.

Wi-Fi de terceiros. Redes de hotel, aeroporto e cafeteria podem não ser legítimas. O CERT.br orienta verificar se a rede é legítima antes de conectar e usar sites com https ou uma VPN.

Saída de colaborador. Quando alguém deixa a empresa, o e-mail corporativo e os arquivos continuam no celular pessoal dele, a menos que exista um jeito de removê-los.

Para a empresa, isso tem peso legal. A LGPD, no art. 46, exige que quem trata dados pessoais adote medidas de segurança técnicas e administrativas contra acessos não autorizados e perda de dados. Um celular sem controle, com dados de clientes, é um ponto fraco difícil de justificar. Veja nossa página de adequação à LGPD.

O que é MDM, em uma frase

MDM é um sistema que permite à TI aplicar regras de segurança nos celulares e notebooks de forma centralizada: exigir senha, ativar criptografia, instalar os aplicativos da empresa e apagar os dados remotamente em caso de perda.

Sem MDM, a segurança de cada aparelho depende da boa vontade de cada colaborador. Com MDM, a regra vale para todos e a TI sabe quais aparelhos estão fora do padrão.

Intune explicado de forma simples

O Microsoft Intune é o serviço de gestão de dispositivos da Microsoft, que funciona na nuvem. Ele gerencia Android, iPhone, Windows e macOS, e está incluído no Microsoft 365 Business Premium. Ele trabalha de duas formas:

Gestão do aparelho inteiro (MDM)

O Intune controla o aparelho todo: configurações, segurança e aplicativos. Em caso de perda ou roubo, é possível apagar o celular remotamente. É o modelo indicado para celular da empresa.

Proteção só dos aplicativos de trabalho (MAM)

O Intune protege apenas os aplicativos corporativos, como Outlook, Teams e OneDrive, e os dados dentro deles. O resto do celular continua sob controle do colaborador. Com as políticas de proteção de aplicativo, a empresa pode:

exigir PIN ou biometria para abrir o e-mail corporativo;
impedir copiar e colar dados da empresa em aplicativos pessoais;
bloquear que arquivos da empresa sejam salvos em armazenamento pessoal;
apagar só os dados corporativos, sem tocar no resto.

A Microsoft deixa claro que essas políticas não se aplicam quando o aplicativo é usado em contexto pessoal. É o modelo mais indicado para celular pessoal (BYOD).

No Android, há ainda o perfil de trabalho: um espaço separado dentro do aparelho pessoal, onde ficam os apps da empresa. A TI gerencia só esse espaço.

O que a empresa vê e o que não vê

Essa é a dúvida que mais trava a adoção, e a resposta está na documentação da Microsoft. Em um celular pessoal registrado no Intune, a organização não vê:

histórico de chamadas e de navegação;
e-mails e mensagens pessoais;
contatos, calendário e senhas;
fotos e documentos pessoais;
localização.

Ela vê informações do aparelho, como proprietário, modelo, fabricante, sistema operacional, número de série e os aplicativos gerenciados pela empresa. Em celular corporativo, a visibilidade é maior e inclui localização e todos os aplicativos instalados.

Explicar isso ao colaborador antes de implantar evita resistência e reclamação.

Celular da empresa ou do colaborador?

	Celular da empresa	Celular pessoal (BYOD)
Modelo de gestão	Aparelho inteiro (MDM)	Só os apps de trabalho (MAM) ou perfil de trabalho
Apagar remotamente	Aparelho inteiro	Só os dados da empresa
Privacidade do colaborador	Uso deve ser profissional	Vida pessoal fica fora do alcance da TI
Custo	Aparelho e linha	Licença e política de uso

Nossa recomendação

Na Pulso, recomendamos este ponto de partida para pequenas e médias empresas:

Celular da empresa: gestão completa, com senha, criptografia e apagamento remoto.
Celular pessoal: proteção de aplicativos, sem registro do aparelho. Protege o que importa e respeita a privacidade.
Acesso ao e-mail só por aplicativo gerenciado, como o Outlook. Aplicativo de e-mail nativo sem controle é o caminho mais comum para o dado sair.
Uma política de uso por escrito, assinada pelo colaborador, dizendo o que a empresa controla e o que não controla.
Processo de desligamento que inclua remover os dados corporativos do celular no mesmo dia.

Isso já aparece em exigências externas. Em um case de seguro cyber, comparamos o questionário da seguradora com a realidade técnica do cliente, e o controle dos celulares estava entre as lacunas que precisaram ser fechadas, junto com firewall, criptografia dos notebooks e teste de restauração do backup. Outros casos estão em cases de sucesso.

Se a empresa ainda não tem o Business Premium, vale entender a diferença entre os planos no artigo Business Basic, Standard ou Premium.

Próximo passo

Veja como a Pulso implanta e acompanha a gestão de celulares corporativos com MDM, dentro da nossa segurança gerenciada. Se quiser saber quantos aparelhos acessam hoje o e-mail da sua empresa sem controle nenhum, fale com a Pulso e peça o diagnóstico gratuito.

Fontes

Perguntas frequentes

A empresa consegue ver minhas fotos e mensagens se eu instalar o Intune no meu celular?

Não. Segundo a documentação da Microsoft, em dispositivos pessoais a organização não vê histórico de chamadas e navegação, e-mails e mensagens pessoais, contatos, fotos nem localização. Ela vê dados do aparelho, como modelo, sistema e número de série.

Preciso gerenciar o celular inteiro do colaborador para proteger o e-mail da empresa?

Não necessariamente. As políticas de proteção de aplicativo do Intune protegem só os apps de trabalho, como Outlook e Teams, sem registrar o aparelho no MDM. É a opção mais comum para celular pessoal.

O que acontece com os dados da empresa quando o colaborador sai?

Com o Intune, a empresa pode apagar apenas os dados corporativos dos aplicativos gerenciados, sem mexer nos arquivos pessoais. Em celular da empresa, é possível restaurar o aparelho às configurações de fábrica.

O Intune está incluído no Microsoft 365?

Está incluído no Microsoft 365 Business Premium. Nos planos Business Basic e Standard, ele não vem no pacote.

Este conteúdo é informativo e não substitui orientação jurídica.

MDM
BYOD
Intune
Celulares corporativos
Segurança da informação

Ver todos os artigos

Celulares na empresa: riscos, BYOD e como gerenciar com MDM e Intune