O que é MDM e como administrar dispositivos corporativos?

Como os dispositivos entram na gestão?

O cadastro de um aparelho na plataforma é chamado de inscrição. Em equipamentos da empresa, ela pode ser automática: o dispositivo é vinculado à organização no momento da compra ou pela própria TI e, ao ser ligado pela primeira vez, já se registra e recebe as configurações. O Windows Autopilot, o programa de implantação da Apple para empresas e o registro zero-touch do Android Enterprise seguem essa lógica e reduzem o trabalho manual na entrega de equipamentos a novos colaboradores.

Em aparelhos pessoais, o próprio usuário faz a inscrição, geralmente em um modo mais restrito. No Android, o perfil de trabalho separa aplicativos e dados corporativos dos pessoais. No iPhone e no iPad, existe uma modalidade de inscrição voltada a dispositivos do usuário, com menos controles disponíveis para a empresa. Essa diferença precisa estar clara antes de definir as políticas.

BYOD, COPE ou aparelho corporativo: qual modelo escolher?

A política de MDM depende de quem é o dono do aparelho. Três modelos aparecem com frequência:

• Corporativo dedicado (COBO, do inglês corporate-owned, business only): o aparelho é da empresa e serve só ao trabalho. A TI pode aplicar controles amplos, como bloqueio de aplicativos e restrição de configurações.
• Corporativo com uso pessoal permitido (COPE, do inglês corporate-owned, personally enabled): o aparelho é da empresa, mas o colaborador pode usá-lo para fins pessoais. Costuma-se separar um perfil de trabalho, gerenciado pela TI, do restante do aparelho.
• Aparelho pessoal (BYOD, do inglês bring your own device): o dispositivo é do colaborador. A gestão normalmente fica restrita aos aplicativos e dados corporativos, e o controle total do aparelho não é adequado.

A escolha afeta custo, privacidade e o que a empresa pode exigir. No BYOD, regras claras por escrito e a ciência do colaborador evitam conflitos, inclusive trabalhistas.

Hoje a maior parte das plataformas de MDM funciona em nuvem, no modelo SaaS: a empresa não precisa manter servidor próprio, e os aparelhos recebem as políticas pela internet, onde estiverem.

Como o MDM se conecta ao controle de acesso?

Uma das funções mais úteis do MDM é informar se o dispositivo está em conformidade com as regras da empresa. A política pode exigir, por exemplo, versão mínima do sistema operacional, criptografia ativa, senha de desbloqueio e ausência de modificações que removem proteções do sistema, como jailbreak ou root.

Integrado à plataforma de identidade, esse estado vira critério de acesso. Com Microsoft Intune e o acesso condicional do Microsoft Entra ID, por exemplo, a empresa pode liberar e-mail e arquivos corporativos apenas para aparelhos em conformidade. Um notebook com o sistema desatualizado pode receber um aviso e, se não for corrigido no prazo definido, perder o acesso. Essa combinação é uma das bases práticas do modelo Zero Trust, em que identidade e condição do dispositivo são verificadas antes de liberar o recurso.

Por onde começar a implantação?

1. Levantar quais dispositivos acessam dados corporativos, quem é o dono de cada um e quais sistemas operacionais existem no ambiente.
2. Definir a política de uso com RH e jurídico, separando aparelhos corporativos e pessoais e registrando o que a empresa pode ou não fazer em cada caso, inclusive à luz da LGPD.
3. Começar com um conjunto mínimo de regras: bloqueio de tela, criptografia, versão de sistema suportada e aplicativos corporativos obrigatórios.
4. Testar com um grupo piloto, ajustar e só então ampliar para toda a empresa.
5. Comunicar aos usuários o que fica visível para a TI. Em aparelhos pessoais, as plataformas costumam limitar o acesso da empresa a conteúdos como fotos, mensagens e histórico de ligações.

O que o MDM não resolve sozinho?

O MDM controla configuração e conformidade, mas não identifica comportamento malicioso em tempo real. Para isso, a empresa precisa de uma camada de segurança de endpoints, como antivírus e EDR (detecção e resposta em endpoints). Um aparelho em conformidade também pode ser usado para abrir um link de phishing ou digitar a senha em uma página falsa.

Outro ponto frequente é o desligamento de colaboradores. Sem um processo definido, o aparelho continua com dados corporativos depois da saída. O recomendado é integrar o MDM à rotina de desligamento, removendo acessos e apagando os dados da empresa no mesmo dia. Dispositivos que ficam fora da gestão continuam sendo um ponto cego, por isso a cobertura do inventário merece ser acompanhada como indicador.