+55 11 3500-4088
BLOG
Política de segurança de dispositivos corporativos: o que configurar no MDM antes de entregar o aparelho
Política de segurança de dispositivos corporativos: o que configurar no MDM antes de entregar o aparelho
O momento de entregar um dispositivo corporativo ao colaborador é o ponto de maior risco de toda a gestão de mobilidade. Tudo o que nao foi configurado antes dessa entrega precisará ser corrigido depois, sob pressão e com o dispositivo já em campo.
A maioria das falhas de segurança em dispositivos móveis corporativos nao começa com ataques sofisticados. Começa com aparelhos entregues sem senha, sem criptografia habilitada, sem restrição de instalação de apps, sem política de backup. O colaborador recebe o dispositivo, define sua própria senha de 4 digitos, instala o app que usa pessoalmente e conecta na rede corporativa.
O MDM existe exatamente para fechar essa janela. Mas ele só cumpre essa função se as políticas corretas forem configuradas antes da entrega do aparelho, nao depois. Este artigo é um guia prático do que configurar, por quê cada item importa, e o que acontece quando cada um é ignorado.
Por que “configurar depois” quase nunca acontece
Quando um dispositivo é entregue sem as políticas corretas, ele imediatamente começa a ser usado. O colaborador cria seus hábitos, instala seus apps, define suas configurações. Corrigir isso depois exige interromper o trabalho, reinscrevê-lo no MDM ou fazer um wipe — nenhuma dessas opções tem boa aceitação. O momento certo de configurar segurança é antes do primeiro boot. Depois disso, a janela ideal já fechou.
Neste artigo
- As sete camadas de segurança que todo dispositivo corporativo precisa
- Politicas de senha e controle de acesso
- Controle de apps: o que instalar, bloquear e monitorar
- Segurança de rede e VPN
- Proteção de dados e wipe remoto
- Compliance e auditoria contínua
- Checklist completo: pré-entrega de dispositivo corporativo
- Perguntas frequentes
As sete camadas de segurança que todo dispositivo corporativo precisa
Segurança de dispositivos móveis nao é uma configuração única. É um conjunto de camadas que, juntas, cobrem vetores de risco diferentes. Falhar em qualquer uma delas cria uma brecha que as outras nao conseguem compensar.
Controle de acesso
Senha, PIN, biometria e autenticação multifator. A primeira linha de defesa contra acesso nao autorizado ao dispositivo e aos sistemas corporativos.
Criptografia
Criptografia de armazenamento e de comunicação. Garante que os dados sejam ilegíveis mesmo que o dispositivo seja fisicamente acessado por terceiros.
Gestão de apps
Controle do que pode ser instalado, atualizado ou removido. Impede apps maliciosos e nao aprovados de acessar dados corporativos ou a rede da empresa.
Segurança de rede
VPN corporativa, bloqueio de Wi-Fi aberto e filtro de DNS. Protege o tráfego de dados mesmo quando o colaborador está fora da rede da empresa.
Prevenção de vazamento (DLP)
Politicas que impedem copiar dados corporativos para apps pessoais, nuvens nao autorizadas ou dispositivos externos.
Resposta a incidentes
Wipe remoto, bloqueio de tela e revogação de acesso. A capacidade de agir rapidamente quando um dispositivo é perdido, roubado ou comprometido.
Compliance contínuo
Monitoramento de conformidade em tempo real. Detecta desvios de política, dispositivos desatualizados ou com jailbreak e aciona alertas automaticamente.
Politicas de senha e controle de acesso
A política de senha é a configuração mais básica de segurança e, surpreendentemente, uma das mais frequentemente ignoradas. Sem MDM, o colaborador define sua própria senha, que pode ser “1234”, o aniversário do filho ou nenhuma senha.
O que configurar em políticas de senha
Complexidade mínima: defina o tipo de senha aceita (numérica com minimo de 6 digitos, alfanumérica, ou complexa com caracteres especiais) e rejeite senhas sequenciais ou repetidas. Dispositivos de alta sensibilidade exigem politicas mais rígidas.
Tempo máximo sem bloqueio: configure o bloqueio automático de tela para no máximo 5 minutos de inatividade. Dispositivos em ambientes físicos de alto tráfego (canteiros, PDVs) podem ter limites ainda menores.
Tentativas máximas: configure o número máximo de tentativas de senha errada antes do wipe (geralmente 10). Isso protege contra ataques de força bruta em dispositivos perdidos.
Renovação periódica: force a troca de senha a cada 90 dias para sistemas críticos. Evite frequências menores que isso, pois geram senhas escritas em papéis e coladas no dispositivo.
Biometria: conveniência com risco calculado
Biometria (impressao digital e reconhecimento facial) é aceita para desbloquear o dispositivo em políticas corporativas modernas, mas com uma ressalva importante: o acesso biométrico pode ser compelido por terceiros em situações de pressão física ou legal. Para dispositivos que acessam dados altamente sensíveis, considere exigir PIN adicional para funcionalidades específicas dentro dos apps corporativos.
Controle de apps: o que instalar, bloquear e monitorar
A gestão de aplicativos é onde a maioria das empresas comete o maior número de erros de configuração. Ou bloqueiam demais (gerando resistência dos colaboradores) ou permitem de mais (abrindo brechas de segurança).
| Categoria | Política recomendada | Justificativa |
|---|---|---|
| Apps corporativos obrigatórios | Instalação silenciosa no enrollment | Garante que o colaborador já tenha as ferramentas necessárias ao ligar o aparelho pela primeira vez |
| Apps pessoais comuns | Permitido (separação por perfil no BYOD) | Bloquear tudo gera resistência e aumenta uso de dispositivos pessoais nao gerenciados |
| Apps de armazenamento pessoal | Bloqueado no perfil corporativo | Google Drive, Dropbox pessoal e similares criam risco de exfiltração de dados corporativos |
| Apps de origem desconhecida | Bloqueado (sideload proibido) | Instalação de APK fora da loja oficial é o principal vetor de malware em Android corporativo |
| Apps de VPN nao corporativa | Bloqueado | VPNs pessoais podem redirecionar tráfego corporativo para servidores externos nao controlados |
Allowlist ou blocklist: qual abordagem usar
O MDM suporta duas abordagens para controle de apps:
- Allowlist (lista branca): apenas os apps explicitamente aprovados podem ser instalados. Mais restritivo, ideal para dispositivos dedicados (COBO) e ambientes de alta segurança.
- Blocklist (lista negra): todos os apps sao permitidos, exceto os explicitamente bloqueados. Mais flexível, mais adequado para dispositivos BYOD ou de colaboradores com mais autonomia.
Para a maioria das empresas, a blocklist é mais pratica no inicio. À medida que a maturidade de segurança aumenta, é possível migrar para uma allowlist gerenciada. Para dispositivos de alta segurança ou ambientes regulados, comece com allowlist desde o primeiro dia.
Segurança de rede e VPN
O dispositivo corporativo saiu da rede da empresa e está conectado ao Wi-Fi de um hotel, de um aeroporto ou de um cliente. Sem políticas de rede configuradas no MDM, esse tráfego está exposto.
Configurações de rede que devem ser definidas antes da entrega
VPN always-on para apps corporativos: configure o MDM para forçar a VPN corporativa sempre que o colaborador acessar e-mail, ERP ou qualquer sistema interno. Isso ocorre automaticamente, sem que o colaborador precise ativar nada.
Bloqueio de Wi-Fi aberto para dados corporativos: politica que impede o acesso a sistemas corporativos em redes sem criptografia. O colaborador pode usar o Wi-Fi do café pessoalmente, mas o app corporativo só funciona via VPN ou rede conhecida.
Filtro de DNS corporativo: redireciona as consultas DNS do dispositivo para o servidor da empresa. Bloqueia acesso a domínios maliciosos conhecidos e garante que tentativas de phishing por DNS nao cheguem ao colaborador.
Roaming internacional e politica de dados
Para equipes que viajam, o MDM permite configurar politicas específicas de roaming: desabilitar sincronização automática no exterior (para evitar custos), manter apenas apps essenciais com acesso a dados móveis e forçar VPN em redes internacionais. Essas configurações podem ser aplicadas automaticamente quando o dispositivo detecta que está em roaming.
Proteção de dados e wipe remoto
Dispositivos se perdem. Colaboradores saem da empresa. Hardware é roubado. O MDM precisa estar preparado para esses cenários antes que eles aconteçam, nao depois.
Cenário
Dispositivo perdido
Ação imediata via MDM
Bloqueio remoto de tela com mensagem de contato. Se o dispositivo nao for recuperado em X horas, wipe completo automático. Localização em tempo real para auxílio na recuperação física.
Cenário
Desligamento de colaborador
Ação imediata via MDM
Wipe seletivo do perfil corporativo (mantém dados pessoais em BYOD). Revogação de acesso a todos os sistemas integrados via SSO. Unenrollment automático do MDM.
Cenário
Dispositivo comprometido
Ação imediata via MDM
Quarentena automática: o MDM detecta jailbreak, root ou app malicioso e bloqueia o acesso a recursos corporativos até que o dispositivo seja remediado. Alerta enviado ao time de TI.
Compliance e auditoria contínua
Configurar a política uma vez nao é suficiente. Dispositivos ficam desatualizados, colaboradores tentam contornar restricoes e o ambiente de ameaças muda. O MDM precisa monitorar o compliance de todos os dispositivos em tempo real e agir automaticamente quando um desvio é detectado.
O que o MDM monitora continuamente
Versão de OS e patches de segurança: dispositivos com versões desatualizadas do sistema operacional sao sinalizados como fora de compliance. O MDM pode bloquear o acesso a sistemas corporativos até que a atualização seja instalada.
Integridade do sistema (jailbreak/root): o MDM detecta tentativas de jailbreak em iOS ou root em Android e aciona automaticamente a política de quarentena. Dispositivos comprometidos nao acessam sistemas corporativos.
Presença de apps nao autorizados: o inventário de apps é verificado periodicamente. Se um app fora da política for detectado, o MDM pode removê-lo automaticamente ou alertar o administrador dependendo da configuração.
Tempo sem sincronização: dispositivos que ficam mais de X dias sem sincronizar com o MDM sao sinalizados. Pode indicar que o colaborador desativou o MDM, que o dispositivo está perdido ou que há problema de conectividade.
Relatórios de compliance para auditoria e LGPD
Para empresas sujeitas a auditorias (ISO 27001, SOC 2, reguladores setoriais) ou que precisam demonstrar conformidade com a LGPD, o MDM gera relatórios de compliance com histórico de cada dispositivo: quais políticas estavam ativas, quando foram atualizadas, quais desvios foram detectados e como foram resolvidos.
Esse histórico é essencial em casos de incidente de segurança, demonstrando que a empresa adotou as medidas técnicas razoáveis exigidas pela legislação. Para mais detalhes sobre MDM e LGPD, veja: LGPD e dispositivos móveis corporativos: o que o MDM precisa garantir.
Checklist completo: pré-entrega de dispositivo corporativo
Este checklist consolida tudo o que deve estar configurado no MDM antes que o dispositivo chegue nas mãos do colaborador. Use como referência para novos enrollments e para auditar dispositivos já em campo.
Checklist de segurança pré-entrega
Acesso e identidade
+ Política de senha complexa ativa
+ Bloqueio automático em até 5 min
+ Limite de tentativas configurado (máx 10)
+ MFA ativo para sistemas críticos
Dados e criptografia
+ Criptografia de armazenamento ativa
+ DLP configurado (bloqueio de nuvem pessoal)
+ Wipe remoto testado e confirmado
+ Backup corporativo ativo
Apps e sistema
+ Apps corporativos instalados silenciosamente
+ Sideload (APK) bloqueado
+ OS na versão mais recente aprovada
+ Politica de atualização automática ativa
Rede e compliance
+ VPN corporativa configurada
+ Filtro de DNS ativo
+ Detecção de jailbreak/root ativa
+ Relatório de compliance ativo
Nota sobre custo e ROI
Um incidente de segurança em dispositivo móvel corporativo, mesmo de baixa escala, gera custos que superam amplamente o investimento em MDM. Perda de dados de clientes, notificação obrigatória ao titular (LGPD), investigação forense, remediação técnica e potencial responsabilidade civil sao consequências reais e mensuráveis. Para uma análise de ROI detalhada de implantação de MDM, veja: MDM: custo, preço e ROI.
Perguntas frequentes
O colaborador pode contornar as politicas do MDM?
Em dispositivos corporativos gerenciados (COBO ou COPE), as politicas do MDM sao aplicadas em nível de sistema operacional e nao podem ser contornadas sem o unenrollment do MDM, que o colaborador nao tem permissão de fazer. Em BYOD com Work Profile, o colaborador pode remover o perfil corporativo, mas ao fazê-lo perde o acesso a todos os sistemas e dados corporativos, e o MDM registra o evento.
Qual a diferença entre wipe completo e wipe seletivo?
Wipe completo apaga todo o conteúdo do dispositivo e o devolve ao estado de fábrica. É usado quando o dispositivo é perdido permanentemente ou quando um colaborador é desligado em um dispositivo corporativo dedicado. Wipe seletivo apaga apenas o contêiner corporativo (e-mail, apps e dados da empresa) preservando os dados pessoais. É o padrão para BYOD e é suficiente na maioria dos casos de desligamento.
O MDM consegue ler mensagens e e-mails do colaborador?
Nao. O MDM gerencia políticas de dispositivo: controle de apps, configurações de rede, senhas, inventário de hardware e software. Ele nao lê o conteúdo de mensagens, e-mails ou arquivos do colaborador. Em dispositivos BYOD com Work Profile, o MDM tem acesso zero ao perfil pessoal. Isso é importante comunicar ao colaborador no onboarding para reduzir resistência à implantação.
Quantos dispositivos posso gerenciar com MDM?
Nao há limite técnico prático. Empresas gerenciam desde dezenas até centenas de milhares de dispositivos em uma única instância de MDM. O que muda com o volume é o custo por dispositivo por mês (que tende a cair com economias de escala) e a necessidade de uma equipe dedicada de gestão. Para operações acima de 200 dispositivos, policies granulares por grupo e automação de onboarding se tornam essenciais.
É possível ter MDM para iOS e Android na mesma plataforma?
Sim. As principais plataformas de MDM (incluindo as que a MOBIT implementa) suportam iOS, Android, Windows e macOS em um único console. As políticas sao configuradas por sistema operacional quando necessário, mas o inventário, relatórios de compliance e comandos remotos sao unificados. Ambientes mistos iOS/Android sao a norma, nao a exceção.
Veja também:
- BYOD vs. COPE vs. COBO: qual política de dispositivos escolher
- LGPD e dispositivos móveis corporativos: o que o MDM precisa garantir
- MDM: custo, preço e ROI
Segurança de dispositivos corporativos
Monte a política certa antes de entregar o próximo aparelho
Nossa equipe avalia seu parque atual, identifica as lacunas de segurança e configura as políticas corretas para cada perfil de colaborador. Do checklist pré-entrega à auditoria contínua de compliance.
Continue lendo sobre MDM Corporativo
Deixe um comentário