BYOD: regras claras e penalidade
Pense como a nossa forma de trabalhar mudou nos últimos anos. Hoje conseguimos acessar informações corporativas para tomar decisões importantes sem precisar estar dentro da empresa, simplesmente utilizando nossos smartphones e tablets. A mobilidade, apoiada pela nuvem, provocou uma revolução nas fronteiras que antes dividiam claramente o que era trabalho e vida pessoal. O movimento de “traga seu próprio dispositivo” (BYOD, da sigla em inglês), iniciado mais recentemente, causou certo desespero para as organizações e para os CIOs. Afinal, quais os limites para proteger informações críticas do negócio?
“A questão não é mais aderir ou não. Por mais que a TI não ofereça, essa realidade vai existir e os funcionários vão utilizar seus dispositivos no trabalho”, comentou analisou a advogada especialista em direito digital Patrícia Peck durante o IT Forum Debate Direito Digital. O encontro reuniu a especialista, Mendel Szlejf, CIO da Leroy Merlin, e André Schneiter, CIO da Odebrecht, para discutirem as implicações jurídicas dessas tendências digitais.
As duas empresas que participaram da mesa aderiram à tendência de mobilidade e BYOD, com o suporte da criação de uma política de uso definidora de regras do que poderia ser feito ou não pelos colaboradores no que diz respeito à segurança de informação corporativa e regras trabalhistas. Para tanto, a implantação dos projetos contou com a ajuda de orientação jurídica especializada para superar, antes de tudo, desafios internos: o alinhamento entre TI e o departamento jurídico.
“O departamento jurídico tem por tradição dizer não ao BYOD. Só que se ele disser não, isso vai extrapolar os limites e as pessoas vão usar mesmo assim”, afirmou Mendel Szlejf. Isso acontece, na opinião dos debatedores, pelo próprio desconhecimento do jurídico sobre a mobilidade.
Desde que assumiu a TI da Leroy Merlin, Szlejf levantou a bandeira da mobilidade na corporação. Aderir à tendência, segundo ele, implica necessariamente em assumir os riscos inerentes. “Hoje a empresa tem plena confiança no que a TI está fazendo, dos riscos à segurança. E, para isso, montamos uma equipe composta por pessoas da TI e do jurídico, assumimos os riscos e implantamos. Até hoje não tivemos muitos problemas”, conta.
Na Odebrech o desafio da TI é gerenciar cerca de 7 mil smartphones utilizados pelos colaboradores e não dava para fazer isso sem uma regra, conforme destacou André Schneiter, gestor de TI da companhia. “Os riscos no BYOD existem e, por meio de uma orientação jurídica, fizemos nossa política de BYOD e a partir dela conseguimos limitar acesso a serviços e definir as regras de uso”, contou o CIO.
Com apoio do departamento jurídico, Schneiter explica que a TI criou algumas “vacinas jurídicas” para se resguardar no caso de eventuais problemas que possam ocorrer no futuro. Dessa maneira, ele afirma que foi possível avançar nas questões sobre segurança da informação, de modo que o investimento em soluções que permitem a discriminação do acesso de determinados serviços de acordo com o perfil dos usuários foi uma determinação do jurídico. “Só fomos para o BYOD com a possibilidade de gerenciar as informações e separá-las nos dispositivos para tratar o que é pessoal como pessoal e o que é corporativo como corporativo. Além disso, montamos políticas de uso diferentes para prevenir riscos trabalhistas de acordo com o acesso e os serviços dados ao colaborador”, acrescenta.
A empresa que não regra a informação corporativa dentro desses ambientes móveis, uma hora ou outra irá enfrentar questões como vazamento de informação ou cobrança de hora extra. E manter uma postura contra a mobilidade não é a medida preventiva, e sim a possibilidade de criar um ambiente que não é gerenciado dentro da organização, avaliou a advogada Patrícia Peck.
Outra questão que merece alerta, segundo ela, é o compliance, o que vai além de simplesmente responder a auditoria. Segundo ela, é preciso ter procedimentos de coleta de logs, pois a TI guardadora de todas as provas que acontecem na empresa, por exemplo para identificar uma fraude interna.
“A informação tem que estar alinhada entre TI e jurídico. E um jurídico bem orientado se converte total para a causa da mobilidade. E para dar o primeiro passo, o CIO deve conscientizar o board da empresa de que o maior risco hoje é não ter uma regra especifica para uso desses dispositivos”, afirmou a especialista em direito digital.
