cliente pergunta como protegemos os dispositivos móveis do pessoal

A gestão de dispositivos móveis enquadra-se em acesso e ativos empresariais

Esta pergunta corresponde ao artigo 21.º, n.º 2, alíneas d) e i) da NIS2: segurança na aquisição, desenvolvimento e manutenção, e controlo de acesso incluindo gestão de ativos empresariais. Telemóveis e tablets são ativos empresariais ("assets") assim que possam aceder a dados empresariais — correio eletrónico, sistemas de clientes, unidades partilhadas. O cliente pretende saber se esses dispositivos estão num estado gerível: estão registados, existe um requisito de palavra-passe ou PIN, pode um dispositivo perdido ser apagado remotamente, a encriptação está ativa.

Se existe uma solução MDM (Mobile Device Management) — Intune, Jamf, Google Endpoint Management ou similar — esse é o documento comprovatido: uma captura de ecrã do perfil de política, ou uma descrição das regras configuradas (PIN, encriptação, apagamento remoto, restrições de aplicações). Na ausência de MDM, a resposta não é automaticamente "não": muitas empresas mais pequenas resolvem isto com uma política bring-your-device mais uma declaração de utilizador assinada. Descreva então o que existe, em vez de ignorar a pergunta. Este tema sobrepõe-se com a política de acesso incluindo a gestão de ativos — se aí já existem um registo de ativos e uma matriz de acesso, a gestão móvel encaixa-se logicamente e pode remeter para a mesma fonte.

Sem MDM e sem política, "ainda a determinar" é a designação honesta, não "não": muitos clientes aceitam um caminho de crescimento, desde que indique o que existe agora e o que ainda virá. Indique também se autenticação multifator é obrigatório para acesso a partir de dispositivos móveis — essa é frequentemente uma subpergunta separada na mesma lista e é coberta pelo mesmo controlo.

Onde isto consta no Anexo A e na lei

Na ISO/IEC 27001 Anexo A, os dispositivos móveis enquadram-se nas medidas de controlo de gestão de ativos empresariais e segurança de acesso; quem já tem certificação ISO tem normalmente esta prova disponível como parte da política de acesso. A Lei de Cibersegurança substitui a partir de 15 de agosto de 2026 as atuais regras de implementação da NIS2 a nível nacional, mas a classificação desta medida — no âmbito do artigo 21.º, n.º 2 — não se altera nesse processo.