Gestão de dispositivos móveis como controle de segurança: o que o CIS Controls e o PPSI 2.0 recomendam

Há uma ideia equivocada comum em equipes de TI de órgãos públicos: que gestão de dispositivos móveis é uma prática de conveniência — útil para rastrear celulares perdidos, talvez, mas não uma obrigação de segurança da informação.

O CIS Controls v8.1 e o PPSI 2.0 desfazem essa ideia com precisão. Smartphones e tablets corporativos são ativos institucionais sujeitos exatamente as mesmas exigências de inventário, configuração segura, gestão de vulnerabilidades e defesa contra malware que qualquer outro equipamento da rede. A diferença é que eles são mais difíceis de controlar — e por isso exigem uma ferramenta específica.

Neste artigo, explicamos o que o CIS Controls e o PPSI 2.0 exigem especificamente para dispositivos móveis, quais são as medidas aplicáveis e como uma plataforma MDM/UEM se traduz em conformidade real.

Por que dispositivos móveis são um risco de segurança específico

O CIS Controls identifica dispositivos portáteis como um desafio particular para o inventário e a segurança: conectam-se periodicamente a rede e depois desaparecem, tornando o rastreamento desafiador. Além disso, são os dispositivos com maior probabilidade de serem perdidos ou roubados — e os que mais frequentemente misturam dados pessoais e corporativos.

• Um smartphone corporativo perdido sem wipe ativo é um vazamento de dados em potencial — e uma violação direta do Controle 4 do PPSI 2.0.;
• Um tablet em uso por múltiplos servidores sem separação de perfis viola o princípio de minimização da LGPD e a medida 4.12 do CIS Controls;
• Um dispositivo móvel sem atualização de SO há mais de 60 dias é um ativo vulnerável que o Controle 7 exige que seja identificado e corrigido;

O que o CIS Controls exige especificamente para móveis

As medidas mais diretamente aplicáveis a smartphones e tablets estão distribuídas principalmente nos Controles 1, 4 e 7:

Do Controle 1 (Inventário)

• Medida 1.1 (GI1): incluir todos os dispositivos móveis no inventário de ativos institucionais, com os campos obrigatórios preenchidos;
• Medida 1.2 (GI1): ter processo para tratar dispositivos móveis não autorizados que se conectam a rede;

Do Controle 4 (Configuração Segura)

• Medida 4.3 (GI1): configurar bloqueio automático de tela após período de inatividade em dispositivos móveis;
• Medida 4.10 (GI2): aplicar bloqueio automático após tentativas de autenticação com falha — proteção contra ataques de força bruta em dispositivos portáteis;
• Medida 4.11 (GI2): garantir que dispositivos portáteis de propriedade do órgão estejam preparados para limpeza remota (wipe) e executá-la quando necessário — em casos de perda, roubo ou desligamento do servidor;
• Medida 4.12 (GI3): separar aplicações, dados corporativos de aplicações e dados pessoais nos dispositivos móveis;

Do Controle 7 (Vulnerabilidades)

• Medida 7.3 (GI1): realizar atualizações de sistema operacional de forma automatizada — mensalmente ou em intervalos menores;
• Medida 7.4 (GI1): realizar atualizações de aplicações de forma automatizada;

O que é o Work Profile e por que é a resposta técnica para a medida 4.12

A medida 4.12 do CIS Controls — separação de espaços de trabalho em dispositivos móveis — tem uma implementação técnica direta no ecossistema Android: o Work Profile do Android Enterprise.

O Work Profile cria um container criptografado separado no dispositivo, onde vivem todos os apps e dados corporativos. Apps pessoais e corporativos não se comunicam, não compartilham dados e não são visíveis um para o outro. Para o usuário, são dois mundos distintos no mesmo dispositivo. Para o gestor de TI, é a garantia de que dados corporativos nunca vazam para apps pessoais — e vice-versa.

Modelo de implantacao	Quando usar
BYOD com Work Profile	Servidor usa o próprio smartphone. Dados corporativos ficam no Work Profile; pessoais, fora. O órgão apaga apenas o perfil corporativo ao desligar.
COPE — Corporate Owned, Personally Enabled	Órgão fornece o dispositivo, mas permite uso pessoal. Work Profile separa os dados. Controle maior que o BYOD puro.
COBO — Corporate Owned, Business Only	Dispositivo exclusivamente corporativo. Sem perfil pessoal. Máximo controle. Recomendado para operações críticas.
Dispositivo dedicado / Kiosk	Dispositivo restrito a um conjunto fixo de apps — sem acesso a funções gerais do SO. Usado em terminais, coletores e equipamentos de campo.

O que o MDM cobre em cada medida do CIS para móveis

Medida CIS	O que o MDM faz
1.1 — Inventário de móveis	Registro automático de cada dispositivo no momento do enrollment, com todos os campos obrigatórios
1.2 — Ativos não autorizados	Alertas quando dispositivos não gerenciados tentam acessar recursos corporativos
4.3 — Bloqueio automático	Política de bloqueio de tela aplicada remotamente em toda a frota
4.10 — Bloqueio por falhas de auth	Configuração centralizada do limite de tentativas com bloqueio ou wipe automático
4.11 — Wipe remoto	Limpeza remota executada em segundos a partir do console de gestão
4.12 — Separação de dados	Provisionamento do Work Profile Android Enterprise ou equivalente iOS
7.3 — Atualização de SO	FOTA (Firmware Over The Air) — atualizações forcadas de SO sem intervenção do usuário
7.4 — Atualização de apps	Gestão centralizada de apps com atualização automática e blocklist de versões vulneráveis

Casos práticos: o que acontece sem MDM

Caso 1: dispositivo perdido – Sem MDM, um smartphone corporativo perdido fica com todos os dados institucionais acessíveis até a bateria acabar — ou até alguém conseguir o PIN por engenharia social. Com MDM, o gestor de TI executa wipe remoto em menos de cinco minutos, e todos os dados corporativos são apagados, independente de onde o dispositivo esteja.

Caso 2: servidor desligado – Sem MDM, o smartphone corporativo de um servidor que saiu do órgão permanece com acesso ao e-mail institucional, sistemas internos e documentos até que alguém perceba e revogue manualmente. Com MDM, o processo de offboarding inclui wipe do Work Profile ou do dispositivo inteiro — automaticamente, no momento do desligamento.

Conclusão

Gestão de dispositivos móveis não é um recurso de conforto. É um controle de segurança com medidas especificas, exigências de auditoria e implicações diretas na conformidade com o PPSI 2.0 e o CIS Controls v8.1.

O órgão que não tem MDM implantado já tem pelo menos quatro medidas do CIS Controls em aberto no GI1 — e isso é auditável.

Gestão de móveis que cobre o PPSI 2.0: A plataforma Urmobo implementa inventário automático, wipe remoto, Work Profile Android, atualizações forçadas e políticas de configuração em toda a frota — cobrindo as medidas 1.1, 1.2, 4.3, 4.10, 4.11, 4.12, 7.3 e 7.4 do CIS Controls v8.1. Fale com a Urmobo e entenda como acelerar a conformidade do seu orgão.

FAQ

O PPSI 2.0 exige MDM nos órgãos públicos?

O PPSI 2.0 não exige uma ferramenta especifica — mas exige conformidade com medidas que praticamente só podem ser implementadas com MDM: inventário automático de móveis, wipe remoto, configurações seguras aplicadas em toda a frota e atualizações automatizadas de SO.

Servidores públicos que usam o próprio smartphone precisam ter MDM?

Em modelos BYOD, o MDM é instalado apenas como Work Profile — um container corporativo no dispositivo pessoal. O órgão não tem acesso aos dados pessoais, apenas ao perfil corporativo. A medida 4.12 do CIS Controls exige exatamente essa separação.

O que é wipe remoto e quando deve ser usado?

Wipe remoto é a remoção de todos os dados corporativos de um dispositivo a partir do console de gestão, sem acesso físico ao aparelho. O CIS Controls (medida 4.11) exige que todos os dispositivos portáteis do órgão estejam preparados para wipe em casos de perda, roubo ou desligamento do servidor.

Work Profile é o mesmo que MDM?

Não. Work Profile é uma funcionalidade do Android Enterprise — um container que separa dados pessoais e corporativos. MDM (ou UEM) é a plataforma que gerencia e provisionou esse Work Profile, junto com todas as outras políticas de segurança do dispositivo.

O que é FOTA?

FOTA (Firmware Over The Air) é a capacidade de atualizar o firmware e o sistema operacional de dispositivos Android remotamente, sem intervenção manual do usuário. É a forma de implementar a medida 7.3 do CIS Controls para frotas corporativas Android.

Fonte de referência: Guia do Framework PPSI 2.0, Controles 1, 4 e 7. Secretaria de Governo Digital.