cliente pergunta sobre nossa política de dispositivo móvel, o que preencho ali

A política de dispositivos móveis faz parte da política de acesso, não de um tema separado

Isso está enquadrado no artigo 21.º, n.º 2, alíneas d) e i) da NIS2: segurança do acesso e gestão de ativos ("asset management"), e na ISO 27001 no Anexo A, na categoria de ativos e controlo de acesso. Não existe uma medida NIS2 separada para "telefones móveis" — o cliente traduz a sua própria lista de perguntas ISO ou BIO para esta secção, e a sua resposta deve estar logicamente articulada em vez de aparecer como um documento de política isolado.

Na prática: se está em funcionamento uma solução MDM (Intune, Jamf ou similar), com bloqueio de ecrã obrigatório, encriptação e eliminação remota em caso de perda, esse é o documento de prova — uma captura de ecrã da configuração da política ou o próprio documento de política. No caso de BYOD (telefones pessoais dos colaboradores para uso profissional), a pergunta é muitas vezes mais rigorosa, porque a separação entre dados comerciais e privados é então o ponto de atenção: containerização ou uma aplicação de trabalho separada é frequentemente suficiente como resposta. Se falta uma política formal mas as medidas isoladas existem (MFA, encriptação, capacidade de eliminação), então "não" à pergunta sobre uma política documentada é de facto mais correto do que um "sim" precipitado — o cliente geralmente questiona o documento, não a prática. Verifique também se autenticação multifator para sistemas empresariais já foi respondido, pois essas duas respostas não devem contradizer-se uma à outra.

Onde isto geralmente está junto na lista

As listas de perguntas que questionam sobre a política de dispositivos móveis agrupam-na frequentemente com perguntas sobre a encriptação de dispositivos finais — ver a política sobre criptografia e encriptação para a pergunta de encriptação mais ampla que geralmente está junto — e com o inventário de ativos mais amplo da política de acesso. Na ISO 27001 Anexo A, os aparelhos móveis não aparecem como um capítulo separado mas como uma subsecção da gestão de ativos e do controlo de acesso; quem já tiver documentado a resposta ali pode fazer com que a resposta do dispositivo móvel se articule diretamente em vez de inventar um novo documento de política.