Zero Trust em Endpoints Móveis: Como Aplicar na Prática

Por Time de Conteúdo Urmobo  |  Especialistas em Android Enterprise e UEM

Zero Trust não é um produto que você compra. É uma arquitetura que você constrói — e a maioria das empresas está fazendo errado ao tentar aplicar em dispositivos móveis. Não é sobre desconfiar dos usuários. É sobre verificar contexto: dispositivo, identidade, rede, comportamento.

1. O que Zero Trust significa na prática — sem jargão

O princípio original do Zero Trust, formulado por John Kindervag na Forrester em 2010, é simples: ‘nunca confie, sempre verifique’. Em vez de assumir que tudo dentro da rede corporativa é seguro, a arquitetura Zero Trust trata cada tentativa de acesso como potencialmente maliciosa — independente de onde vem.

A tradução prática para dispositivos móveis: um dispositivo que está dentro da VPN corporativa não deve ter acesso automático a todos os sistemas. Cada acesso é avaliado com base em: quem é o usuário, qual é o dispositivo, qual é o estado de segurança do dispositivo, de onde está acessando e qual recurso está tentando acessar.

Os quatro pilares do Zero Trust aplicado a endpoints móveis

• Identidade verificada: autenticação multifator, não apenas usuário e senha
• Device Posture: o dispositivo está em conformidade com as políticas de segurança antes de receber acesso
• Rede não confiável: a rede de onde o acesso vem não determina o nível de confiança
• Privilégio mínimo: acesso apenas ao que é necessário para a função, não à rede inteira

2. Device Posture: como avaliar a conformidade antes de dar acesso

Device Posture — postura do dispositivo — é a avaliação em tempo real do estado de segurança do dispositivo. Antes de liberar acesso a um recurso corporativo, o sistema verifica:

Verificação	Dispositivo aprovado	Dispositivo reprovado
Versão mínima de OS	Android 12+ com patch recente	Android 10 sem patch há 6 meses
Status de MDM	Registrado e gerenciado	Não registrado ou não conforme
Criptografia de disco	Ativa	Inativa
Jailbreak/Root	Não detectado	Detectado — acesso negado
Apps não autorizados	Nenhum app em blacklist	App de risco detectado
Senha/PIN configurado	Política de senha ativa	Sem senha — acesso restrito

O MDM é o componente que avalia e reporta o Device Posture. Sem MDM, é impossível implementar Device Posture — não há como saber o estado de segurança dos dispositivos em escala.

3. Work Profile e separação de dados como pilar do Zero Trust móvel

Work Profile do Android Enterprise implementa um dos princípios centrais do Zero Trust — separação de dados — no nível do sistema operacional. Apps do perfil de trabalho não podem acessar dados do perfil pessoal. Mesmo que um app malicioso seja instalado no perfil pessoal, ele não tem acesso aos dados corporativos no Work Profile.

Na arquitetura Zero Trust, essa separação garante que o vetor de ataque mais comum em BYOD — malware instalado pelo usuário — não comprometa os dados corporativos.

4. Como configurar políticas de Zero Trust em Android, iOS e Windows

Android — via Android Enterprise

• Criptografia de dispositivo obrigatória (padrão no Android 6+, mas verificar conformidade)
• Bloqueio de dispositivos com root detectado
• Política de senha mínima (8 caracteres, alfanumérico, bloqueio após 5 tentativas)
• Work Profile habilitado para BYOD e COPE
• Google Play Protect ativo e não pode ser desabilitado
• Apps desconhecidos fora da Play Store bloqueados

iOS — via Apple MDM

• Criptografia de dados obrigatória (padrão no iOS com Touch/Face ID ativo)
• Jailbreak bloqueado (o dispositivo não recebe perfil se detectado)
• Conta Apple ID pessoal isolada dos dados gerenciados
• AirDrop e compartilhamento externo de dados gerenciados bloqueado

Windows — via MDM moderno

• BitLocker ativo e chave de recuperação em escrow no MDM
• Windows Defender ativo e atualizado
• Privilégio mínimo — usuários sem admin local
• Patch management em conformidade (máximo X dias de atraso)
• Firewall do Windows ativo

5. Integração com Identity Providers e controle de acesso condicional

Zero Trust completo combina Device Posture (MDM) com Identity Provider (IdP) para criar políticas de acesso condicional:

• Cenário 1 — Acesso permitido: usuário autenticado com MFA + dispositivo gerenciado + Device Posture aprovado + acesso de rede conhecida → acesso liberado ao recurso solicitado
• Cenário 2 — Acesso com restrição: usuário autenticado com MFA + dispositivo gerenciado + Device Posture parcial (patch atrasado) → acesso permitido apenas a recursos de baixo risco, bloqueio de dados sensíveis
• Cenário 3 — Acesso negado: dispositivo não gerenciado + rede desconhecida → acesso negado, notificação para usuário registrar o dispositivo

A Urmobo integra com Azure AD (Entra ID) e Google Workspace para políticas de acesso condicional baseadas em Device Posture.

6. Erros mais comuns na aplicação de Zero Trust em frotas móveis

• Confundir VPN com Zero Trust: VPN dá acesso à rede inteira a dispositivos autenticados. Zero Trust avalia cada acesso individualmente, independente de VPN.
• Aplicar apenas em dispositivos corporativos e ignorar BYOD: se colaboradores usam dispositivos pessoais para trabalho sem Work Profile, o Zero Trust tem buracos.
• Não medir Device Posture continuamente: uma verificação no momento do login não é suficiente. O dispositivo pode ser comprometido durante a sessão.
• Zero Trust sem MDM: sem MDM, não há como avaliar o estado de segurança do dispositivo — o pilar de Device Posture fica vazio.

7. FAQ

Zero Trust substitui o antivírus e o EDR?

Não — complementa. Zero Trust é uma arquitetura de controle de acesso. Antivírus e EDR protegem o dispositivo contra ameaças. Em uma estratégia de segurança madura, os três coexistem: MDM (Device Posture), EDR (proteção do endpoint) e controle de acesso condicional (Zero Trust).

Preciso de Azure AD para implementar Zero Trust em dispositivos móveis?

Não obrigatoriamente. Zero Trust pode ser implementado em diferentes níveis de maturidade. Sem Azure AD, é possível implementar Device Posture via MDM e políticas de senha fortes — isso já é o ponto de partida do Zero Trust móvel. Azure AD (Entra ID) ou Google Workspace Identidade adicionam a camada de acesso condicional mais sofisticada.

Zero Trust funciona em ambientes com dispositivos muito antigos?

Parcialmente. Dispositivos com Android 9 ou anterior têm capacidades de Device Posture limitadas — algumas APIs de verificação de conformidade não estão disponíveis. Zero Trust completo exige dispositivos com Android 11 ou superior, iOS 15+ e Windows 10 Pro ou 11. Planejar a renovação gradual da frota faz parte de uma estratégia Zero Trust.

Como a Urmobo implementa Zero Trust no endpoint?

A Urmobo gerencia o Device Posture — avalia e reporta o estado de segurança de cada dispositivo em tempo real. Essa informação pode ser consumida por provedores de identidade (Azure AD, Google) para políticas de acesso condicional. A plataforma inclui verificação de jailbreak/root, conformidade de OS, status de criptografia, apps em blacklist e última sincronização com MDM.

→ Veja as funcionalidades de segurança e Device Trust da Urmobo: https://urmobo.com.br/android-enterprise-device-trust