21 riscos do BYOD e como mitigá-los
A pandemia da Covid-19 fez com que trabalhos home office ou híbridos se tornassem cada vez mais populares. Porém, as empresas não estavam preparadas para esse modelo, o que fez com que muitas delas recorressem a utilizar os dispositivos pessoais de seus colaboradores.
A ideia parecia promissora, tanto que muitas organizações continuaram utilizando os equipamentos pessoais dos funcionários para eles realizarem seus trabalhos diários.
O que poucos sabem é que essa prática, conhecida como BYOD (Bring Your Own Device) ou, em português, traga seu próprio dispositivo, pode trazer diversos riscos para a empresa e para o profissional.
Saiba tudo sobre essa prática, assim como os principais perigos e as melhores maneiras de se proteger contra essas ameaças.
Mas, antes, o que é BYOD?
O BYOD é uma prática que consiste em deixar os colaboradores usarem seus dispositivos pessoais para executar tarefas de trabalho referentes à organização.
Ele surgiu em meados de 2009, quando os smartphones tomaram o mercado e começaram a ser utilizados pelas empresas para tarefas laborais diárias. Porém, foi só em 2020 que esse termo se tornou popular e caiu no vocabulário habitual.
Quer saber mais sobre o BYOD? Leia o artigo O que é BYOD e como aplicar essa política de forma segura?.
O BYOD pode ser arriscado?
Mesmo com inúmeros benefícios, "trazer seu próprio dispositivo" para executar as tarefas de trabalho pode trazer sérios problemas e riscos (se eles não forem bem administrados).
Os perigos vão além de danos considerados superficiais, como materiais ou financeiros. Eles podem ir desde o roubo de dispositivos até a perda e vazamento de dados, que em larga escala pode ocasionar em danos irreversíveis da reputação de uma empresa.
Tenha em mente que a proteção de tais aparelhos está mais próximo de um investimento do que um gasto, já que as possíveis consequências trazem danos muito maiores que qualquer subtração material.
21 maiores riscos do BYOD ( Bring Your Own Device)
Gerenciar os equipamentos dos funcionários deve ser uma função de toda e qualquer organização, independente se ela utiliza seu próprio ou do colaborador. Essa é uma forma de proteger tanto a companhia como também o indivíduo.
Veja os maiores riscos que o BYOD pode gerar caso não seja bem administrado:
1. Roubo de dados
Na era digital, onde dados são o novo petróleo, os cibercriminosos estão à procura de brechas de segurança para invadir os sistemas corporativos e conseguir roubar qualquer tipo de informação valiosa que uma empresa possa ter.
Os dispositivos pessoais raramente têm o nível de segurança corporativa necessário para impedir um criminoso, como criptografia obrigatória, política de bloqueio de tela, OS atualizado nem detecção de root/jailbreak, fazendo com que a menor das vulnerabilidades se torne a porta de entrada perfeita para que o roubo de dados aconteça (e muitas vezes de forma despercebida).
2. Vazamento de dados
Quando os colaboradores utilizam um mesmo dispositivo para duas finalidades diferentes (profissional e pessoal), é possível que não exista um limite entre cada atribuição.
Isso permite que vazamentos de dados (acidentais ou não) ocorram com mais frequência, visto que a grande maioria desses equipamentos não possui nenhum tipo de controle.
Recursos como a conteinerização de espaços de trabalho e a aplicação de políticas de segurança podem minimizar esse tipo de problema.
3. Infecções por malware
A maioria dos malwares tem como objetivo infectar empresas, já que a chance de retorno financeiro é maior.
Utilizar dispositivos pessoais no ambiente de trabalho pode aumentar as chances de adquirir algum tipo de software malicioso, visto que muitos não possuem as barreiras de segurança necessárias para evitar uma infecção.
Estabeleça políticas de segurança, assim como a obrigatoriedade no uso de determinados softwares, e não se esqueça de educar os funcionários.
4. Dispositivos roubados ou perdidos
Quando um colaborador utiliza o mesmo notebook para o trabalho e para a vida pessoal, existe uma grande chance de ele ser roubado ou perdido, já que eles não possuem um lugar fixo, como escritórios. Além do prejuízo financeiro de ter que adquirir outro equipamento, ainda existe outro prejuízo oculto que poucos lembram: informações valiosas presentes na máquina.
Imagine ter um aparelho com informações importantes roubado e o criminoso tendo acesso a elas. Com certeza, a subtração do equipamento seria o menor dos problemas.
Recursos como a criptografia e o wipe corporativo, que remove apenas o contêiner de trabalho e preserva os dados pessoais, podem evitar que esses problemas se tornem enormes dores de cabeça.
5. Falta de backup
A diversidade e quantidade de equipamentos BYOD para os gestores de TI pode trazer problemas, especialmente quando lidamos com a gestão de permissão de acessos. Estas precisam estar sempre atualizadas, o que significa que ter backups das configurações é essencial.
Em determinadas soluções, é possível agendar o backup de configurações, assim como algumas informações e arquivos importantes que tais aparelhos possam ter.
6. Redes wi-fi inseguras
O BYOD permite que profissionais tenham liberdade geográfica para atuar de onde quiserem, o que significa que muitos trabalham em locais familiares. Para obter acesso à internet, se conectam às redes wi-fi disponíveis, o que pode ser uma atitude descuidada.
O fato de muitos locais, como restaurantes e cafeterias, possuírem wi-fi gratuito faz com que cibercriminosos se aproveitem dessa situação, criando redes falsas com o nome do estabelecimento para enganar consumidores.
Dessa forma, os clientes se conectam à redes pensando ser de propriedade do estabelecimento, quando na verdade são portais cativos falsos, podendo cair em golpes como a manipulação de DNS e o redirecionamento para páginas de ataques phishing.
Uma das soluções é evitar a conexão a wi-fis duvidosos, mas também utilizar ferramentas que possuam recursos de monitoramento e análise de redes.
7. Falta de conformidade com regulamentações
Leis, como a Lei Geral de Proteção de Dados (LGPD), visam regulamentar a segurança da coleta e armazenamento de informações pessoais de usuários de internet por empresas. Além disso, existem outros tipos de sanções que vão além da questão financeira.
Imagine um colaborador que é desligado, mas que continua a ter informações sobre clientes em seu computador. Esse tipo de armazenamento indevido pode colocar sua empresa em risco.
Leia também: Quais os reflexos da LGPD na TI?
8. Shadow IT
A shadow IT pode trazer sérios problemas para os negócios. Não ter controle ou conhecimento sobre quais aplicações têm acesso ao conteúdo do endpoint do colaborador pode fazer com que informações sigilosas sejam acessadas.
Além disso, ela pode acarretar em outros tipos de problemas, como o aumento em custos operacionais e a não conformidade com regulamentações, que consequentemente podem ocasionar multas e penalizações.
As melhores ferramentas de gestão de dispositivos móveis fornecem visibilidade total das aplicações corporativas instaladas para os administradores de TI, neutralizando a shadow IT.
9. Aplicações maliciosas
Seja porque o filme que todos estão falando não está disponível no streaming ou o novo jogo daquela franquia está muito caro, as pessoas sempre procuram "fontes alternativas" para baratear seus custos.
Para isso, utilizam-se de aplicações APK (Android Package Kit) não oficiais, que na maioria das vezes, vêm com vírus e malwares, pois os criminosos se aproveitam do desejo e do descuido dos usuários.
Em alguns casos, os usuários podem ter a sorte de identificar o problema rapidamente, mas existem outros em que o indivíduo convive com o malware durante meses, deixando o equipamento mais lento e até mesmo roubando as informações, incluindo aquelas relacionadas ao trabalho.
Fazer o gerenciamento das aplicações é tão importante quanto do dispositivo. Muitos administradores de TI esquecem que elas podem ser tão perigosas quanto qualquer outro arquivo ou e-mail suspeito.
10. VPNs inseguras
Dentre as aplicações inseguras, uma das mais populares que os usuários buscam são as VPNs (Virtual Private Network ou Rede Privada Virtual).
Com o intuito de poder acessar conteúdos de outros locais, usuários baixam VPNs de fontes desconhecidas e que muitas vezes não têm todos os requisitos de segurança necessários, fazendo com que cibercriminosos se aproveitem dessas brechas.
Além disso, mesmo com boas VPNs, o que poucos sabem é que, mesmo sendo um artifício que oferece maior segurança e privacidade, elas não são infalíveis e não dispensam o uso de um antivírus ou softwares de segurança.
Saiba como funciona o ataque VPN e como preveni-lo.
11. Políticas de segurança insuficientes
Utilizar o próprio equipamento pode acarretar em políticas de segurança insuficientes, já que quem as decide é o próprio dono do dispositivo. Dependendo do segmento da organização, isso pode gerar sérios riscos e penalizações.
Além dos problemas de primeira instância, como roubo de informações e participação involuntária em botnet, também existem as consequências, como danos à reputação, que podem ser irreversíveis.
Importante ressaltar que, mesmo estabelecendo um tipo padrão de software de segurança entre os funcionários, muitos falham em atualizar seus sistemas ou patches constantemente. Isso inviabiliza a proteção, tanto do usuário quanto do sistema, já que muitas dessas atualizações são para melhoria da segurança.
12. Falta de padronização de sistemas
Dificilmente todos os profissionais de uma mesma empresa utilizarão o mesmo tipo de dispositivo em suas vidas pessoais, assim como o conjunto de aplicações e sistema operacional.
Para isso, centralizar o gerenciamento dos endpoints e definir uma baseline de conformidade, como versão mínima de sistema operacional, criptografia ativa, bloqueio de tela, ausência de root/jailbreak, é uma maneira de garantir a compatibilidade entre aparelhos.
13. Softwares e sistemas operacionais desatualizados
A falta de atualizações constantes em sistemas operacionais e aplicações esconde riscos que vão além da falta dos recursos de última geração.
Os patches de segurança são correções ou pequenas atualizações que os desenvolvedores aplicam ao longo do tempo para melhorar seu funcionamento ou consertar algo que não está certo.
14. Ataques de engenharia social
Independente do equipamento que o colaborador utilize, ele está propenso a sofrer ataques de engenharia social. Utilizar dispositivos pessoais aumenta essas chances.
Além dos meios de comunicação empregatícios, também existem os meios pessoais, como redes sociais, e-mail pessoal, plataformas de comunicação, etc. É através desses meios que cibercriminosos conseguem aplicar golpes, como o de engenharia social, e coletar informações sigilosas.
Treinamentos recorrentes e campanhas de conscientização são maneiras eficientes de alertar os diferentes tipos de usuários sobre os perigos que tais "mensagens inofensivas" escondem.
15. Employee turnover (rotatividade de funcionários)
Permitir que os colaboradores utilizem seus aparelhos pessoais para o trabalho pode ser um grande risco quando eles deixam a organização, especialmente quando ocupam cargos altos.
Além de todos os processos relacionados ao offboarding, ainda tem a questão da reivindicação dos acessos e credenciais concedidas durante o tempo trabalhado. Em grandes empresas, esse problema se multiplica, já que dificilmente apenas um empregado está passando por esse processo.
Além disso, mesmo com o controle das autorizações obtidas pelos trabalhadores, não é certeza que, ao deixar a organização elas serão esquecidas ou apagadas.
Algumas soluções fazem o gerenciamento do perfil dos funcionários, e, consequentemente, suas credenciais. Dessa maneira, caso o desligamento do profissional aconteça, a revogação de todos os seus acessos será facilmente realizada.
16. Falta de visibilidade e controle em dispositivos
Empresas que utilizam o sistema de BYOD dificilmente têm total visibilidade dos dispositivos que possuem suas credenciais de acesso. Isso dificulta que administradores saibam onde informações referentes aos negócios estão armazenadas.
Além disso, a falta de controle permite que os colaboradores possam instalar qualquer tipo de aplicação, o que pode resultar em riscos, como multas, vazamentos de dados, acessos indevidos e danos à reputação.
Certas ferramentas de MDM (mobile device management ou gerenciamento de dispositivos móveis) fazem o gerenciamento remoto de endpoints, dando visibilidade sobre a postura de conformidade, aplicações do perfil de trabalho, criptografia e status de inscrição.
17. Controles de acesso insuficientes
Interagir com dados corporativos sensíveis através de um ativo pessoal pode ser um tanto quanto perigoso. Pessoas mal-intencionadas, como criminosos ou mesmo familiares, podem ter acesso a tais informações.
Além disso, como dito anteriormente, caso um colaborador deixe a organização, a revogação dos acessos pode ser difícil, especialmente quando não se tem controle sobre quais credenciais foram concedidas e em quais equipamentos foram utilizadas.
18. Perda de privacidade
Uma das maiores preocupações dos profissionais em utilizar seus notebooks e celulares pessoais para trabalhar é a perda da privacidade, porque é lá que estão informações sobre suas vidas pessoais, como mensagens e arquivos.
Outro ponto a ser levado em consideração é a perda da privacidade que a empresa tem ao deixar que suas informações, incluindo as de clientes, fiquem disponíveis em tantos aparelhos pessoais. Caso não seja bem administrado, existe uma grande possibilidade de uma exposição acidental acontecer.
Estabelecer termos de uso e de responsabilidade entre o usuário, neste caso o colaborador, e a organização, além de políticas de controle de transferências de arquivos e periféricos, evitam que tais problemas aconteçam.
19. Mistura entre dados corporativos e pessoais
Além da perda de privacidade, outra queixa comum é a mistura entre os dados corporativos e pessoais. Só que mais que apenas uma queixa, quando não bem gerenciado, pode se tornar um risco.
Caso o colaborador não saiba administrar corretamente o conteúdo com o qual lida diariamente, existe a possibilidade de os dados corporativos se misturarem aos pessoais. Em casos um pouco mais sérios, essas situações podem acarretar em vazamentos de dados e violações de uso.
Alguns softwares empresariais possibilitam a divisão do espaço de trabalho do pessoal. Isso faz o colaborador ter acesso apenas aos arquivos e informações relevantes no espaço em que estiver, prevenindo que haja cruzamento e vazamento de dados.
20. Redução de produtividade
Alguns consideram este o menor dos riscos dentro do BYOD, mas a perda de produtividade, quando aplicada em larga escala, pode ser um dreno de capital. Além do mais, certas atividades requerem extrema concentração, e ter notificações aparecendo o tempo todo em tela pode ser uma grande distração.
21. Ameaças internas
"Ex-funcionário expõe informações sigilosas"
Esse tipo de notícia não é novidade e é frequentemente visto na mídia. As empresas devem se preocupar com todos os tipos de ameaças, tanto externas quanto internas.
A revogação instantânea de acessos e credenciais é um recurso que deve ser levado em consideração ao cogitar uma ferramenta de MDM. Isso impede que esse e outros tipos de situações ocorram.
Como mitigar os riscos do BYOD?
Mesmo com tantos perigos iminentes, o BYOD está longe de acabar. Diversas empresas ainda necessitam utilizar os recursos dos funcionários para continuar operando. Nesse caso, qual seria a solução?
Ferramentas de gestão de dispositivos móveis, como o Mobile Device Manager Plus da ManageEngine, possibilitam que as empresas gerenciem e protejam os equipamentos utilizados pelos funcionários, garantindo a segurança dos dados corporativos sem comprometer a privacidade pessoal.
Ele permite configurar as proteções necessárias, como bloquear acessos não autorizados, controlar quais aplicações podem ser usadas e até garantir que os dados sensíveis da empresa fiquem criptografados.
Qualquer que seja o risco de BYOD enfrentado pela sua organização, o Mobile Device Manager Plus pode te ajudar a combatê-lo, mitigá-lo e gerenciá-lo. Teste a ferramenta gratuitamente por 30 dias e veja que deixar um colaborador utilizar o próprio dispositivo não deve ser um problema.
Nota: encontre a revenda da ManageEngine certa. Entre em contato com a nossa equipe de canais pelo e-mail latam-sales@manageengine.com.
Importante: a ManageEngine não trabalha com distribuidores no Brasil.