BYOD, para “traga seu próprio dispositivo”, refere-se à política corporativa de TI que determina quando e como funcionários, contratados e outros usuários finais autorizados podem usar seus próprios laptops, smartphones e outros dispositivos pessoais na rede da empresa para acessar dados corporativos e realizar seus deveres de trabalho.

O BYOD surgiu com a estreia de smartphones iOS e Android no final dos anos 2000, à medida que mais e mais trabalhadores preferiam esses dispositivos aos telefones celulares padrão fornecidos pela empresa da época. A ascensão do trabalho remoto e dos arranjos de trabalho híbridos e a abertura de redes corporativas para fornecedores e contratados aceleraram a necessidade de expansão da política de BYOD para além dos smartphones. Mais recentemente, a pandemia do COVID-19 – e a consequente escassez de chips e interrupções na cadeia de suprimentos – forçou muitas outras organizações a adotar a política de BYOD, para permitir que novos contratados trabalhem enquanto aguardam um dispositivo fornecido pela empresa.

Normalmente elaborada pelo CIO e outros tomadores de decisão de TI de alto nível, a política BYOD define os termos sob os quais os dispositivos de propriedade dos funcionários podem ser usados no trabalho e as políticas de segurança que os usuários finais devem observar ao usá-los.

Embora as especificidades de uma política de BYOD variem de acordo com os objetivos da estratégia de BYOD de uma organização, a maioria das políticas de dispositivo define alguma variação do seguinte:

Uso aceitável: as políticas de BYOD geralmente descrevem como e quando os funcionários podem usar dispositivos pessoais para tarefas relacionadas ao trabalho. Por exemplo, as diretrizes de uso aceitável podem incluir informações sobre como se conectar com segurança a recursos corporativos por meio de uma rede privada virtual (VPN) e uma lista de aplicativos relacionados ao trabalho aprovados.

As políticas de uso aceitável geralmente especificam como os dados confidenciais da empresa devem ser tratados, armazenados e transmitidos usando dispositivos de propriedade dos funcionários. Quando aplicável, as políticas de BYOD também podem incluir políticas de segurança e retenção de dados que estejam em conformidade com regulamentações como a Lei de portabilidade e responsabilidade de seguros de saúde (HIPAA), a Lei Sarbanes Oxley e o Regulamento Geral sobre a Proteção de Dados (GDPR).

Dispositivos permitidos: uma política de BYOD pode descrever os tipos de dispositivos pessoais que os funcionários podem usar para fins de trabalho e especificações relevantes do dispositivo, como a versão mínima do sistema operacional.

Medidas de segurança: as políticas BYOD normalmente definem padrões de segurança para os dispositivos dos funcionários. Isso pode incluir requisitos mínimos de senha e políticas de autenticação de dois fatores, protocolos para fazer backup de informações confidenciais e procedimentos a serem seguidos em caso de perda ou roubo de um dispositivo. As medidas de segurança também podem especificar o software de segurança que os funcionários devem instalar em seus dispositivos, como ferramentas de gerenciamento de dispositivo móvel (MDM) ou gerenciamento de aplicativo móvel (MAM). Essas soluções de segurança BYOD são discutidas com mais detalhes abaixo.

Privacidade e permissões: as políticas de BYOD normalmente descrevem as etapas que o departamento de TI tomará para respeitar a privacidade dos funcionários em seus dispositivos, incluindo como a organização manterá a separação entre os dados pessoais dos funcionários e os dados corporativos. A política também pode detalhar as permissões específicas que o departamento de TI precisa ter no dispositivo do funcionário, incluindo determinados softwares que podem precisar ser instalados e aplicativos que podem precisar ser controlados.

Reembolso: se a empresa reembolsar os funcionários pelo uso de seus dispositivos pessoais, por exemplo, oferecendo uma bolsa para compra de dispositivos ou subsidiando planos de internet ou dados móveis, uma política de BYOD descreverá como o reembolso é tratado e os valores que os funcionários podem receber.

Suporte de TI: a política BYOD pode especificar até que ponto o departamento de TI de uma empresa estará (ou não) disponível para ajudar os funcionários a solucionar problemas de dispositivos pessoais quebrados ou funcionando incorretamente.

Desligamento de funcionários: por fim, as políticas de BYOD normalmente descrevem as etapas a serem seguidas se um funcionário deixar a empresa ou cancelar a inscrição de seu dispositivo no programa BYOD. Esses procedimentos de saída geralmente incluem planos para remover dados corporativos confidenciais do dispositivo, revogar o acesso do dispositivo aos recursos de rede e encerrar a conta do usuário ou do dispositivo. 

Os programas BYOD levantam preocupações de segurança de dispositivos que os departamentos de TI não costumam encontrar – ou encontram em menor grau – com dispositivos fornecidos pela empresa. Vulnerabilidades de hardware ou sistema em dispositivos de funcionários podem expandir a superfície de ataque da empresa, concedendo aos hackers novas maneiras de violar a rede da empresa e acessar dados confidenciais. Os funcionários podem se envolver em comportamentos de navegação, e-mail ou mensagens mais arriscados em dispositivos pessoais do que se atreveriam a se envolver com um dispositivo fornecido pela empresa. O Malware que infecta o computador de um funcionário devido ao uso pessoal pode se espalhar facilmente para a rede corporativa.

Com dispositivos fornecidos pela empresa, a equipe de TI pode evitar esses e outros problemas semelhantes, monitorando e gerenciando diretamente as definições do dispositivo, configurações, software de aplicativo e permissões. Mas é improvável que as equipes de segurança de TI tenham o mesmo controle sobre os dispositivos pessoais dos funcionários, e os funcionários provavelmente se irritariam com esse nível de controle. Com o tempo, as empresas recorreram a uma variedade de outras tecnologias para minimizar os riscos de segurança BYOD.

Desktops virtuais

Desktops virtuais – também conhecidos como infraestrutura de desktop virtual (VDI) ou desktop como serviço (DaaS) – são instâncias de computação de desktop totalmente provisionadas que são executadas em máquinas virtuais hospedadas em servidores remotos. Os funcionários acessam esses desktops e basicamente os executam remotamente de seus dispositivos pessoais, geralmente por meio de uma conexão criptografada ou VPN.

Com um desktop virtual, tudo acontece na outra extremidade da conexão, nenhum aplicativo é instalado no dispositivo pessoal e nenhum dado da empresa é processado ou armazenado no dispositivo pessoal, o que elimina efetivamente a maioria das preocupações de segurança relacionadas a dispositivos pessoais. Mas os desktops virtuais podem ser caros para implementar e gerenciar; como eles dependem de uma conexão com a Internet, não há como os funcionários trabalharem off-line.

software como um serviço (SaaS) baseado em nuvem pode fornecer um benefício de segurança semelhante com menos sobrecarga de gerenciamento, mas também um pouco menos de controle sobre o comportamento do usuário final.

Soluções de gerenciamento de dispositivo

Antes do BYOD, as organizações gerenciavam dispositivos móveis emitidos pela empresa usando o software de gerenciamento de dispositivo móvel (MDM). As ferramentas de MDM oferecem aos administradores controle total sobre os dispositivos. Eles podem aplicar políticas de logon e criptografia de dados, instalar aplicativos corporativos, enviar atualizações de aplicativos, rastrear a localização do dispositivo e bloquear e/ou limpar um dispositivo se ele for perdido, roubado ou comprometido de outra forma.

O MDM era uma solução de gerenciamento móvel aceitável até que os funcionários começaram a usar seus próprios smartphones no trabalho e rapidamente se irritaram por ter que conceder às equipes de TI esse nível de controle sobre seus dispositivos, aplicativos e dados pessoais. Desde então, novas soluções de gerenciamento de dispositivo surgiram à medida que o usuário de dispositivos pessoais e os estilos de trabalho dos funcionários mudaram:

Gerenciamento de aplicativo móvel (MAM): em vez de controlar o próprio dispositivo, o MAM se concentra no gerenciamento de aplicativos, concedendo aos administradores de TI controle apenas sobre aplicativos e dados corporativos. O MAM geralmente consegue isso por meio da conteinerização, a criação de enclaves seguros para dados de negócios e aplicativos em dispositivos pessoais. A conteinerização dá à TI controle total sobre aplicativos, dados e funcionalidade do dispositivo dentro do contêiner, mas não pode tocar ou mesmo ver os dados pessoais do funcionário ou a atividade do dispositivo além do contêiner.

Gerenciamento de mobilidade corporativa (EMM): à medida que a participação no BYOD crescia e se estendia dos smartphones aos tablets – e além do Blackberry OS e Apple iOS para o Android – o MAM lutava para acompanhar todos os novos dispositivos de propriedade dos funcionários que estavam sendo introduzidos nas redes corporativas. As ferramentas de gerenciamento de mobilidade corporativa (EMM) logo surgiram para resolver esse problema. As ferramentas de EMM combinam a funcionalidade de MDM, MAM e Gerenciamento de acesso e identidade (IAM), fornecendo aos departamentos de TI uma visão de plataforma única e painel único de todos os dispositivos móveis pessoais e de propriedade da empresa em toda a rede.

Gerenciamento Unificado de Terminal (UEM). A única desvantagem do EMM era que ele não conseguia gerenciar computadores Microsoft Windows, Apple MacOS e Google Chromebook, o que era um problema, já que o BYOD precisava se expandir para incluir funcionários e terceiros trabalhando remotamente usando seus próprios PCs. As plataformas UEM surgiram para fechar essa lacuna, reunindo o gerenciamento de dispositivo móvel, laptops e desktops em uma única plataforma. Com o UEM, os departamentos de TI podem gerenciar ferramentas, políticas e fluxos de trabalho de segurança de TI para todos os tipos de dispositivos, executando qualquer sistema operacional, independentemente de onde eles estejam se conectando.

Os benefícios do BYOD para a organização citados com mais frequência são:

• Economia de custos e redução da carga administrativa de TI: o empregador não é mais responsável pela compra e fornecimento de dispositivos para todos os funcionários. Para empresas capazes de implementar e gerenciar com sucesso o BYOD para a maioria ou todos os funcionários, essas economias podem ser consideráveis.
  
  
• Integração mais rápida de novos contratados: os funcionários não precisam mais esperar que um dispositivo emitido pela empresa comece a trabalhar em tarefas relacionadas ao trabalho. Isso foi especialmente relevante durante a recente escassez de chips e outras interrupções na cadeia de suprimentos, que podem impedir uma empresa de fornecer computadores aos funcionários a tempo de começar a trabalhar.
  
  
• Maior satisfação e produtividade dos funcionários: alguns funcionários preferem trabalhar com seus próprios dispositivos, que consideram mais familiares ou capazes do que equipamentos emitidos pela empresa.

Esses e outros benefícios do BYOD podem ser contrabalançados por desafios e compensações, para funcionários e empregadores:

• Preocupações com a privacidade dos funcionários: os funcionários podem se preocupar com a visibilidade de seus dados e atividades pessoais e podem se sentir desconfortáveis ao instalar softwares obrigatórios de TI em seus dispositivos pessoais.
  
  
• Grupos de candidatos limitados, preocupações de inclusão: quando o BYOD é obrigatório, as pessoas que não podem pagar ou não possuem dispositivos pessoais adequados podem ser eliminadas da consideração. E algumas pessoas podem preferir não trabalhar para uma organização que exija que elas usem seu computador pessoal, quer o empregador as reembolse ou não.
  
  
• Riscos de segurança restantes: mesmo com soluções de gerenciamento de dispositivo e segurança BYOD, os funcionários nem sempre seguem as melhores práticas de segurança cibernética – por exemplo, boa higiene de senhas, segurança de dispositivos físicos – em seus dispositivos pessoais, abrindo a porta para hackers, malware e violações de dados.
  
  
• Problemas de conformidade regulamentar: empregadores das áreas de saúde, finanças, governo e outros setores altamente regulamentados podem não conseguir implementar BYOD para alguns ou todos os funcionários, devido a regulamentações rigorosas e multas caras relacionadas ao manuseio de informações confidenciais.