Quando auditores ISO 27001 perguntam “Como vocês garantem segurança de informações em dispositivos móveis?”, a resposta “temos uma política de uso aceitável” não é suficiente. Empresas descobrem essa realidade durante auditorias quando recebem não conformidades relacionadas a controles A.8.1 (gestão de ativos), A.11.2 (controles criptográficos) e A.6.2 (trabalho remoto).
A certificação ISO/IEC 27001:2022 exige controles técnicos demonstráveis. Mobile Device Management (MDM) é componente fundamental do Sistema de Gestão de Segurança da Informação (SGSI) quando mobilidade corporativa faz parte da operação para empresas que buscam ou mantêm certificação ISO 27001.
Este guia detalha como MDM estruturado atende requisitos específicos da ISO 27001, quais controles do Anexo A dependem de gestão adequada de dispositivos móveis, e como implementar solução que não apenas funcione operacionalmente, mas demonstre conformidade em auditorias.
Por Que ISO 27001 Exige MDM para Dispositivos Móveis
A norma ISO 27001 estabelece requisitos para Sistema de Gestão de Segurança da Informação que proteja confidencialidade, integridade e disponibilidade de informações corporativas. Dispositivos móveis representam desafio específico porque operam fora do perímetro tradicional de segurança, mas acessam dados tão sensíveis quanto servidores corporativos.
Dispositivos móveis são endpoints de alto risco
Smartphones e tablets corporativos carregam e-mails executivos, documentos confidenciais, acessam sistemas internos e frequentemente misturam uso pessoal com profissional. Podem ser perdidos, roubados, comprometidos por malware ou configurados incorretamente por usuários. Cada um desses cenários representa risco de exposição de dados que ISO 27001 exige mitigar através de controles técnicos.
Diferentemente de desktops que permanecem em ambiente controlado, dispositivos móveis conectam-se a redes públicas não confiáveis, são carregados fisicamente para localizações diversas e frequentemente saem do controle direto de TI. Essa mobilidade física e lógica cria superfície de ataque expandida que gestão tradicional de endpoints não endereça adequadamente.
Auditores esperam evidências técnicas, não declarações
Durante auditorias ISO 27001, auditores avaliam se controles documentados em políticas são realmente aplicados na prática. Afirmar que “colaboradores são orientados a usar senhas fortes em dispositivos móveis” não demonstra controle técnico. Auditores querem ver evidências de que senhas fortes são forçadas tecnicamente através de políticas MDM que usuários não conseguem contornar.
Essa distinção entre política documentada e controle técnico aplicado é crítica. ISO 27001 não aceita confiança na disciplina de usuários como controle adequado. Exige mecanismos técnicos que garantam conformidade independentemente de ação ou conhecimento do usuário final.
Conformidade contínua vs configuração pontual
Certificação ISO 27001 é um compromisso com conformidade contínua. Dispositivo configurado manualmente hoje pode estar não conforme amanhã se usuário alterar configurações, desinstalar aplicação de segurança ou deixar de aplicar atualizações críticas.
MDM oferece monitoramento contínuo de conformidade que detecta desvios em tempo real e permite remediação automática ou alerta para intervenção. Essa capacidade de manter estado de conformidade ao longo do tempo é requisito implícito da norma que gestão manual simplesmente não consegue entregar em escala.
Controles ISO 27001 Anexo A que Dependem de MDM
O Anexo A da ISO 27001:2022 lista 93 controles organizados em categorias. Pelo menos 12 desses controles relacionam-se diretamente com gestão de dispositivos móveis e exigem capacidades que MDM oferece.
A.5.10 – Uso Aceitável de Informação e Ativos
Requisito: Identificar, documentar e implementar regras para uso aceitável de informação e ativos associados
Como MDM atende: Define tecnicamente o que é permitido em dispositivos móveis através de políticas aplicadas no nível do sistema operacional. Restrições sobre instalação de aplicações não autorizadas, uso de câmera em áreas sensíveis, compartilhamento de dados corporativos com aplicações pessoais são implementadas e monitoradas continuamente.
Empresas sem MDM dependem de política escrita que usuários podem ou não seguir. Com MDM, política é aplicada tecnicamente – usuário não consegue violar regras mesmo que tente.
A.5.23 – Segurança da Informação para Uso de Serviços em Nuvem
Requisito: Estabelecer e implementar processos para aquisição, uso, gestão e saída de serviços em nuvem
Como MDM atende: Controla quais aplicações em nuvem dispositivos móveis podem acessar. Managed app stores distribuem apenas aplicações aprovadas. Containerização em BYOD garante que dados corporativos acessados de nuvem não sejam compartilhados com aplicações pessoais.
A.6.2 – Trabalho Remoto
Requisito: Implementar medidas de segurança quando pessoal trabalha remotamente
Como MDM atende: Garante que dispositivos usados remotamente mantêm controles de segurança que teriam em escritório. Criptografia de dados, VPN corporativa, políticas de acesso contextual (baseadas em localização ou rede) são aplicadas automaticamente independentemente de onde dispositivo está sendo usado.
Empresas com trabalho híbrido ou remoto não conseguem demonstrar conformidade com A.6.2 sem MDM estruturado que mantenha controles de segurança em dispositivos fora de instalações corporativas.
A.8.1 – Inventário de Ativos
Requisito: Identificar ativos associados a informação e instalações de processamento de informação e elaborar e manter inventário desses ativos
Como MDM atende: Mantém inventário automatizado e atualizado continuamente de todos os dispositivos móveis corporativos incluindo especificações de hardware, software instalado, localização, responsável, status de conformidade e histórico de eventos.
Durante auditorias, auditores solicitam inventário de ativos que processam informações corporativas. Planilhas manuais de dispositivos móveis são rejeitadas porque ficam desatualizadas rapidamente. MDM oferece inventário que auditores aceitam como evidência técnica de controle A.8.1.
A.8.2 – Propriedade de Ativos
Requisito: Ativos mantidos no inventário devem ter proprietário
Como MDM atende: Associa automaticamente cada dispositivo a usuário responsável através de integração com sistemas de RH ou Active Directory. Quando colaborador é desligado, dispositivos associados são automaticamente identificados para recolhimento e sanitização.
A.8.3 – Uso Aceitável de Ativos
Requisito: Identificar e documentar regras para uso aceitável de ativos e implementar procedimentos
Como MDM atende: Aplica regras de uso tecnicamente através de políticas que controlam funcionalidades disponíveis. Dispositivos corporativos podem ter câmera bloqueada em áreas sensíveis, storage removível desabilitado, ou aplicações específicas restritas conforme contexto de uso.
A.8.10 – Exclusão de Informação
Requisito: Informação armazenada em sistemas de informação, dispositivos ou qualquer outra mídia de armazenamento deve ser excluída quando não for mais necessária
Como MDM atende: Executa wipe remoto completo ou seletivo quando dispositivo chega ao fim de ciclo de vida, colaborador é desligado ou dispositivo é reportado como perdido/roubado. Auditoria completa documenta que dados foram eliminados conforme procedimentos de segurança.
A.8.11 – Retenção de Dados
Requisito: Dados devem ser retidos e eliminados conforme requisitos legais, estatutários, contratuais e de negócio
Como MDM atende: Implementa políticas de retenção através de backup automatizado de dados corporativos em dispositivos móveis e eliminação programada após períodos definidos. Logs de auditoria documentam conformidade com políticas de retenção.
A.8.19 – Gerenciamento de Configuração
Requisito: Configurações de segurança de hardware, software, serviços e redes devem ser estabelecidas, documentadas, implementadas, monitoradas e analisadas criticamente
Como MDM atende: Aplica configurações de segurança padronizadas através de perfis de configuração. Monitora continuamente conformidade e detecta quando dispositivo desvia de configuração aprovada. Remediação pode ser automatizada ou gerar alerta para intervenção manual.
Esse controle é especialmente crítico em auditorias porque auditores verificam se configurações documentadas em políticas são realmente aplicadas e mantidas nos dispositivos. Sem MDM, não existe forma confiável de demonstrar esse controle.
A.11.2 – Controles Criptográficos
Requisito: Política sobre uso de controles criptográficos para proteção de informação deve ser desenvolvida e implementada
Como MDM atende: Força criptografia de dados em repouso e em trânsito através de políticas técnicas que usuários não podem desabilitar. Dispositivos sem criptografia habilitada são detectados automaticamente e podem ser bloqueados até remediação.
A.11.5 – Limpeza de Mesa e Tela
Requisito: Regras de mesa e tela limpa para papéis e mídias de armazenamento removíveis devem ser definidas e apropriadamente aplicadas
Como MDM atende: Configura bloqueio automático de tela após período de inatividade, exige autenticação para desbloquear e pode ocultar notificações sensíveis em tela de bloqueio. Políticas garantem que informações não permanecem visíveis quando dispositivo está sem uso.
A.12.3 – Backup de Informação
Requisito: Cópias de backup de informação, software e imagens de sistemas devem ser mantidas e testadas regularmente
Como MDM atende: Automatiza backup de dados corporativos em dispositivos móveis para armazenamento corporativo centralizado. Garante que informações críticas não são perdidas se dispositivo falha ou é substituído.
A.12.5 – Instalação de Software em Sistemas Operacionais
Requisito: Procedimentos e medidas devem ser implementados para gerenciar com segurança instalação de software em sistemas operacionais
Como MDM atende: Controla quais aplicações podem ser instaladas através de managed app stores. Instalação de software não autorizado é bloqueada tecnicamente. Atualizações de segurança são aplicadas automaticamente conforme políticas definidas.
BYOD e ISO 27001: Desafio de Compliance
Bring Your Own Device (BYOD) onde colaboradores usam dispositivos pessoais para trabalho cria desafio específico de compliance com ISO 27001. Norma exige proteger dados corporativos mas também respeitar privacidade de colaboradores sobre dados pessoais.
Requisito de separação técnica
ISO 27001 não proíbe BYOD, mas exige que organizações implementem controles técnicos que separem dados corporativos de pessoais com garantias demonstráveis. Política que instrui colaboradores a “não misturar dados de trabalho com pessoais” não atende requisito porque não oferece garantia técnica.
MDM moderno resolve isso através de containerização ou work profile que cria partição isolada no sistema operacional. Empresa controla apenas container corporativo – aplicações de trabalho, e-mails corporativos, documentos de negócio. Dados pessoais, fotos, mensagens permanecem completamente inacessíveis para TI corporativa.
Wipe remoto seletivo vs completo
Em dispositivos corporativos, wipe remoto completo que restaura dispositivo a configurações de fábrica é aceitável. Em BYOD, eliminar dados pessoais de colaborador violaria privacidade e potencialmente LGPD.
MDM com containerização permite wipe remoto seletivo que elimina apenas work profile corporativo preservando integralmente dados pessoais. Quando colaborador é desligado ou dispositivo precisa ser limpo por incidente de segurança, apenas dados corporativos são apagados. Essa capacidade é requisito técnico para BYOD em conformidade com ISO 27001.
Auditoria de BYOD
Durante auditorias, organizações que operam BYOD precisam demonstrar que separação entre dados corporativos e pessoais é técnica, não apenas política. Auditores avaliam se containerização está implementada corretamente, se wipe seletivo funciona conforme documentado e se existem trilhas de auditoria que comprovam que privacidade de colaboradores é preservada.
Empresas que permitem acesso a e-mail corporativo de aplicações nativas de dispositivos pessoais sem containerização frequentemente recebem não conformidades porque não conseguem demonstrar separação técnica adequada.
Como Implementar MDM para Compliance ISO 27001
Implementar MDM que atenda requisitos de ISO 27001 exige mais do que instalar software. Requer arquitetura adequada, políticas alinhadas com controles da norma e processos operacionais consistentes.
Assessment de estado atual
Começa com mapeamento completo de dispositivos móveis que acessam dados corporativos: quantos dispositivos existem, de quais tipos, quem usa, quais dados acessam, quais controles estão atualmente implementados. Assessment identifica gaps entre estado atual e requisitos ISO 27001.
Empresas frequentemente descobrem nessa fase que têm mais dispositivos móveis do que imaginavam, muitos sem qualquer controle de segurança implementado. Shadow IT onde colaboradores usam dispositivos pessoais não autorizados para acessar sistemas corporativos é comum e representa risco significativo de não conformidade.
Desenho de políticas alinhadas com ISO 27001
Com base em assessment, define-se políticas MDM que atendem controles específicos da norma. Não são políticas técnicas genéricas mas configurações especificamente desenhadas para demonstrar conformidade com requisitos ISO 27001.
Por exemplo, política de criptografia não apenas habilita criptografia mas documenta qual algoritmo é usado (atendendo A.11.2), como chaves são gerenciadas e como conformidade é monitorada continuamente. Política de inventário não apenas registra dispositivos mas associa cada ativo a responsável e rastreia ciclo de vida completo (atendendo A.8.1 e A.8.2).
Implementação faseada com validação
Migração para MDM gerenciado acontece em ondas. Grupos piloto validam que políticas atendem requisitos operacionais sem impactar produtividade. Ajustes são feitos antes de roll-out completo. Coexistência temporária entre gestão legada e nova garante continuidade operacional.
Durante implementação, auditoria interna valida se controles MDM realmente atendem requisitos ISO 27001 antes de auditoria externa de certificação. Isso permite identificar e corrigir gaps proativamente.
Integração com SGSI
MDM não opera isoladamente mas integra-se com Sistema de Gestão de Segurança da Informação. Políticas MDM derivam de políticas corporativas de segurança da informação documentadas no SGSI. Relatórios MDM alimentam processos de gestão de riscos e análise crítica pela direção.
Integração com outros sistemas de segurança (SIEM, gestão de identidades, ferramentas de DLP) permite orquestração de resposta a incidentes. Evento detectado em dispositivo móvel pode disparar ações em múltiplos sistemas coordenadamente.
Operação gerenciada e melhoria contínua
Após implementação, operação contínua garante que conformidade é mantida ao longo do tempo. Monitoramento proativo detecta desvios, remediação acontece automaticamente ou através de processos estruturados, relatórios periódicos documentam conformidade contínua.
ISO 27001 exige melhoria contínua do SGSI. Políticas MDM são revisadas regularmente conforme ameaças evoluem, tecnologias mudam e negócio se transforma. Ciclo PDCA (Plan-Do-Check-Act) da norma aplica-se também a gestão de dispositivos móveis.
Como SAFIRA Estrutura MDM para Compliance ISO 27001
A SAFIRA estrutura capacidade operacional completa que demonstra conformidade com ISO 27001 em auditorias. Abordagem integra tecnologia, processos e operação gerenciada.
Expertise em certificação e recertificação
Equipe SAFIRA tem experiência específica em preparar ambientes para auditorias ISO 27001. Conhecemos exatamente quais evidências auditores solicitam, como documentar controles de forma que sejam aceitos e como integrar MDM com SGSI existente.
Trabalhamos tanto com empresas buscando certificação inicial quanto organizações já certificadas que precisam corrigir não conformidades identificadas em auditorias anteriores. Expertise permite acelerar preparação e aumentar probabilidade de aprovação na primeira tentativa.
Implementação alinhada com controles Anexo A
Arquitetura MDM que implementamos é especificamente desenhada para atender controles do Anexo A relevantes a dispositivos móveis. Não são configurações genéricas de MDM mas políticas estruturadas para demonstrar conformidade com requisitos específicos da norma.
Para cada controle relevante (A.8.1, A.8.2, A.8.3, A.11.2, A.12.3, etc), documentamos como MDM implementa requisito tecnicamente e geramos evidências que auditores validam. Essa documentação integra-se com documentação geral do SGSI.
Integração com gestão de ativos e telecom
Diferencial SAFIRA é integrar MDM com gestão de ativos de TI e gestão de telecom. Essa integração gera visibilidade completa que facilita múltiplos controles ISO 27001 simultaneamente:
A.8.1 (inventário) é atendido com dados consolidados de hardware móvel e fixo
A.8.2 (propriedade) correlaciona dispositivos com responsáveis formais
Custos de mobilidade (hardware + conectividade) são rastreáveis para análises de eficiência
Geração automatizada de evidências
Durante auditorias ISO 27001, auditores solicitam evidências específicas de que controles funcionam na prática. SAFIRA configura MDM para gerar automaticamente relatórios que servem como evidências:
Inventário atualizado de todos os dispositivos móveis (A.8.1)
Relatório de conformidade com políticas de criptografia (A.11.2)
Logs de wipe remoto executados em dispositivos descartados (A.8.10)
Histórico de atualizações de segurança aplicadas (A.12.5)
Essas evidências são mantidas organizadamente e disponibilizadas facilmente durante auditorias, reduzindo tempo de preparação e aumentando confiança de auditores.
Perguntas Frequentes sobre ISO 27001 e MDM
ISO 27001 exige obrigatoriamente MDM?
ISO 27001 não menciona MDM especificamente, mas exige controles técnicos sobre ativos que processam informações corporativas. Para empresas que operam dispositivos móveis, MDM é praticamente único meio viável de demonstrar controles adequados em escala. Tecnicamente possível estar em conformidade sem MDM se parque móvel é extremamente pequeno e gerenciado manualmente com rigor absoluto, mas isso não escala e auditores questionam confiabilidade de controles manuais.
Qual diferença entre MDM básico e MDM para ISO 27001?
MDM básico oferece funcionalidades técnicas: localização, wipe remoto, distribuição de aplicações. MDM estruturado para ISO 27001 adiciona documentação de como cada funcionalidade atende controles específicos da norma, geração automatizada de evidências aceitas em auditorias, integração com SGSI e processos operacionais que garantem conformidade contínua. Diferença está em pensar MDM como componente de Sistema de Gestão de Segurança da Informação, não apenas ferramenta técnica isolada.
BYOD é permitido sob ISO 27001?
Sim, mas com requisitos específicos. ISO 27001 não proíbe BYOD mas exige que organizações implementem controles técnicos que separem dados corporativos de pessoais com garantias demonstráveis. Containerização via MDM que cria work profile isolado é solução técnica que auditores aceitam. BYOD sem containerização adequada frequentemente resulta em não conformidade porque organização não consegue demonstrar separação técnica entre dados corporativos e pessoais.
Como demonstrar conformidade de MDM em auditoria?
Auditores solicitam evidências específicas: inventário atualizado de dispositivos móveis com dados de conformidade, políticas de segurança documentadas e comprovação de que são aplicadas tecnicamente, logs de eventos relevantes (wipe remoto, detecção de não conformidade, aplicação de atualizações), relatórios de conformidade contínua mostrando que controles funcionam ao longo do tempo, documentação de integração entre MDM e SGSI. SAFIRA estrutura geração automatizada dessas evidências durante implementação.
MDM atende todos os requisitos ISO 27001?
Não. MDM atende controles específicos relacionados a gestão de dispositivos móveis (aproximadamente 12 dos 93 controles do Anexo A). ISO 27001 exige controles abrangentes que incluem gestão de riscos, políticas de RH, segurança física, gestão de incidentes, continuidade de negócio e múltiplas outras dimensões. MDM é componente importante mas não substitui SGSI completo. Empresas precisam implementar todos os controles relevantes conforme escopo de certificação, não apenas MDM.
Quanto tempo leva implementar MDM para ISO 27001?
Para empresas buscando certificação inicial, implementação de MDM alinhado com requisitos ISO 27001 leva tipicamente 2 a 4 meses considerando assessment, desenho de políticas, implementação técnica e geração de evidências iniciais. Para empresas já certificadas corrigindo não conformidade específica de dispositivos móveis, cronograma pode ser mais curto (4 a 8 semanas) porque SGSI já existe e apenas componente de MDM precisa ser estruturado. SAFIRA trabalha com metodologia que permite ter evidências iniciais prontas em 6 a 8 semanas para auditorias agendadas.
Como integrar MDM com SGSI existente?
Integração acontece em múltiplas camadas: políticas MDM derivam de políticas de segurança da informação documentadas no SGSI, eventos e alertas MDM alimentam processos de gestão de incidentes, inventário de dispositivos móveis integra-se com inventário geral de ativos de informação, relatórios MDM são incorporados em análises críticas pela direção, riscos específicos de mobilidade são incluídos em análise de riscos do SGSI. SAFIRA documenta essas integrações de forma que auditores entendem como MDM faz parte do sistema de gestão completo.
Mobilidade Corporativa e ISO 27001
Empresas que operam dispositivos móveis corporativos e buscam ou mantêm certificação ISO 27001 não têm escolha sobre implementar MDM adequadamente. É requisito técnico para demonstrar conformidade com múltiplos controles do Anexo A que auditores avaliam rigorosamente.
A SAFIRA tem expertise específica em estruturar MDM para compliance ISO 27001. A nossa experiência inclui preparar empresas para certificação inicial, corrigir não conformidades identificadas em auditorias anteriores e manter controles funcionando para recertificação.
Se sua empresa busca certificação ISO 27001 e opera dispositivos móveis, ou se já é certificada, mas recebeu não conformidade relacionada a endpoints móveis, vale conversar sobre como estruturar MDM que atenda requisitos técnicos da norma.
