Corporate Smartphone Policy: Τι κανόνες πρέπει να έχει μια επιχείρηση για τα εταιρικά κινητά;

Ένα εταιρικό smartphone μπορεί να κοστίζει μερικές εκατοντάδες ευρώ, όμως τα δεδομένα και η πρόσβαση που προσφέρει μπορεί να αξίζουν πολύ περισσότερο. Email, επαφές, CRM, cloud αρχεία, εφαρμογές συνεργασίας, authenticator apps και εταιρικοί λογαριασμοί βρίσκονται συχνά συγκεντρωμένα σε μία συσκευή.

Γι’ αυτό ένα εταιρικό κινητό δεν πρέπει να παραδίδεται χωρίς σαφείς κανόνες. Η επιχείρηση χρειάζεται να ορίζει:

ποιες εφαρμογές επιτρέπεται να εγκαθίστανται, αν επιτρέπεται η προσωπική χρήση, τι διαδικασία ακολουθείται σε περίπτωση απώλειας ή κλοπής, ποιος καλύπτει τις ζημιές και τις επισκευές, αν επιτρέπεται η μεταφορά της εταιρικής SIM σε άλλη συσκευή και πώς προστατεύονται τα δεδομένα όταν αποχωρεί ένας εργαζόμενος.

Όλα τα παραπάνω πρέπει να προβλέπονται πριν εμφανιστεί το πρώτο πρόβλημα. Αποτελούν βασικά στοιχεία μιας ολοκληρωμένης Corporate Smartphone Policy.

Το εταιρικό κινητό δεν είναι απλώς παροχή προς τον εργαζόμενο

Η βασική αλλαγή που πρέπει να γίνει στον τρόπο σκέψης μιας επιχείρησης είναι ότι το smartphone δεν αποτελεί πλέον απλώς τηλέφωνο.

Είναι endpoint.

Το NIST επισημαίνει ότι οι mobile συσκευές έχουν εξελιχθεί από προσωπικά εργαλεία επικοινωνίας σε μόνιμο μέρος του επιχειρησιακού περιβάλλοντος, μέσω του οποίου οι εργαζόμενοι αποκτούν πρόσβαση σε εταιρικά συστήματα και επεξεργάζονται ευαίσθητα δεδομένα.

Γι’ αυτό και η διαχείρισή τους πρέπει να καλύπτει ολόκληρο τον κύκλο ζωής τους: deployment, καθημερινή χρήση, προστασία και τελική απόσυρση.

Η Corporate Smartphone Policy είναι ουσιαστικά το σύνολο των κανόνων που απαντούν σε ένα απλό ερώτημα:

Τι επιτρέπεται και τι δεν επιτρέπεται να συμβαίνει σε ένα κινητό που αποτελεί μέρος της ψηφιακής υποδομής της επιχείρησης;

Πρώτος κανόνας: Ποιος είναι πραγματικά ο ιδιοκτήτης της συσκευής;

Φαίνεται αυτονόητο.

Αν η εταιρεία αγόρασε το smartphone, η εταιρεία είναι ο ιδιοκτήτης.

Στην καθημερινότητα όμως τα όρια μπορούν εύκολα να θολώσουν.

Ο εργαζόμενος μπορεί να χρησιμοποιεί τη συσκευή για χρόνια, να αποθηκεύει προσωπικές φωτογραφίες, να συνδέσει προσωπικό Apple ID ή Google Account και να εγκαταστήσει εφαρμογές που δεν σχετίζονται με την εργασία του.

Κάποια στιγμή το εταιρικό smartphone αρχίζει να αντιμετωπίζεται σαν προσωπικό.

Μια σωστή πολιτική πρέπει επομένως να ξεκαθαρίζει εξαρχής ότι η συσκευή αποτελεί εταιρικό asset, ποιος έχει δικαίωμα να τη χρησιμοποιεί και υπό ποιους όρους πρέπει να επιστραφεί.

Αυτό γίνεται ακόμη σημαντικότερο όταν φτάσει η στιγμή αντικατάστασης, επαναχρησιμοποίησης ή αποχώρησης του εργαζομένου.

Δες: Corporate Smartphone Lifecycle: Κάθε πότε συμφέρει πραγματικά μια επιχείρηση να αλλάζει τα εταιρικά κινητά;

Επιτρέπεται η προσωπική χρήση;

Εδώ δεν υπάρχει μία απάντηση κατάλληλη για όλες τις επιχειρήσεις.

Μια εταιρεία μπορεί να επιλέξει αυστηρά corporate–only χρήση.

Μια άλλη μπορεί να επιτρέψει περιορισμένη προσωπική χρήση.

Και μια τρίτη μπορεί να λειτουργεί με μοντέλο COPE – Corporate–Owned, Personally Enabled, όπου η συσκευή ανήκει στην εταιρεία αλλά ο εργαζόμενος επιτρέπεται να τη χρησιμοποιεί και προσωπικά.

Το NIST έχει αφιερώσει ξεχωριστή πρακτική οδηγία στο μοντέλο COPE, ακριβώς επειδή η συνύπαρξη εταιρικής ιδιοκτησίας και προσωπικής χρήσης δημιουργεί ιδιαίτερες απαιτήσεις ασφάλειας και ιδιωτικότητας.

Το λάθος δεν είναι απαραίτητα να επιτρέπεται η προσωπική χρήση.

Το λάθος είναι να μη γνωρίζει κανείς αν επιτρέπεται.

Ποιες εφαρμογές μπορεί να εγκαταστήσει ο εργαζόμενος;

Ένα smartphone μπορεί να αποκτήσει δεκάδες εφαρμογές μέσα σε λίγους μήνες.

Social media, παιχνίδια, VPNs, cloud storage, password managers, εφαρμογές AI, file-sharing services και εφαρμογές που ζητούν πρόσβαση σε contacts, camera, microphone ή location.

Όταν όμως η ίδια συσκευή περιέχει εταιρικά δεδομένα, το app installation παύει να αποτελεί αποκλειστικά προσωπική υπόθεση.

Η πολιτική μπορεί να καθορίζει αν επιτρέπονται εφαρμογές μόνο από επίσημα app stores, αν υπάρχουν κατηγορίες απαγορευμένων εφαρμογών και αν η εταιρεία έχει δικαίωμα να απαιτήσει την αφαίρεση software που δημιουργεί κίνδυνο.

Η CISA συστήνει επίσης οι enterprise-managed συσκευές να βρίσκονται σε υποστηριζόμενο και ενημερωμένο περιβάλλον, να μην είναι rooted ή jailbroken και να ελέγχονται μέσω συστημάτων enterprise mobility management.

Updates: προαιρετικά ή υποχρεωτικά;

Το «θα κάνω update όταν βρω χρόνο» μπορεί να είναι αποδεκτή προσωπική επιλογή.

Σε εταιρική συσκευή όμως αφορά και την επιχείρηση.

Operating-system και security updates διορθώνουν ευπάθειες και διατηρούν τη συσκευή μέσα στο υποστηριζόμενο οικοσύστημα του κατασκευαστή.

Μια Corporate Smartphone Policy μπορεί επομένως να καθορίζει ελάχιστη επιτρεπόμενη έκδοση λειτουργικού, χρονικό περιθώριο εγκατάστασης κρίσιμων updates και τι συμβαίνει όταν μια συσκευή δεν υποστηρίζεται πλέον.

Η CISA προτείνει αυτόματη εφαρμογή των διαθέσιμων updates μέσω Mobile Device Management και αντιμετώπιση μη ενημερωμένων ή μη συμμορφούμενων συσκευών ως untrusted endpoints που δεν πρέπει να αποκτούν πρόσβαση σε εταιρικούς πόρους.

Κάπως έτσι, η διάρκεια ζωής ενός εταιρικού smartphone δεν καθορίζεται μόνο από το αν «ακόμη λειτουργεί».

Καθορίζεται και από το αν μπορεί ακόμη να λειτουργεί με ασφάλεια μέσα στην επιχείρηση.

PIN, biometrics και MFA δεν πρέπει να είναι προσωπική επιλογή

Ένα προσωπικό smartphone μπορεί να έχει PIN 1234.

Ένα εταιρικό smartphone δεν θα έπρεπε.

Η πολιτική πρέπει να προβλέπει βασικές απαιτήσεις authentication, όπως ισχυρό PIN ή password, biometrics όπου ενδείκνυται, αυτόματο κλείδωμα και multi-factor authentication για κρίσιμες εταιρικές υπηρεσίες.

Το ίδιο ισχύει και για την αποθήκευση credentials.

Κωδικοί σε Notes, screenshots με passwords ή κοινόχρηστοι λογαριασμοί μπορούν να μετατρέψουν μια χαμένη συσκευή σε πολύ μεγαλύτερο περιστατικό από την απώλεια του ίδιου του hardware.

Η αξία του smartphone επομένως δεν βρίσκεται μόνο στη συσκευή.

Βρίσκεται στις πόρτες που μπορεί να ανοίξει.

Τι συμβαίνει όταν το κινητό χαθεί ή κλαπεί;

Αυτό είναι ίσως το καλύτερο τεστ για το αν υπάρχει πραγματικά policy.

Ένας εργαζόμενος χάνει το εταιρικό smartphone στις 22:30.

Τι κάνει;

Ποιον ειδοποιεί;

Πρέπει να αλλάξει passwords;

Μπορεί η εταιρεία να κλειδώσει τη συσκευή;

Υπάρχει δυνατότητα remote wipe;

Απενεργοποιείται η SIM;

Ανακαλούνται τα authentication sessions;

Αν οι απαντήσεις αρχίσουν να αναζητούνται στις 22:31, η πολιτική δημιουργείται πολύ αργά.

Η επιχείρηση χρειάζεται προκαθορισμένη διαδικασία αναφοράς απώλειας ή κλοπής, καθώς και τεχνική δυνατότητα αντίδρασης όπου αυτό είναι αναλογικό προς τον κίνδυνο.

Οι λύσεις MDM/EMM μπορούν, μεταξύ άλλων, να επιτρέπουν κεντρική διαχείριση της συσκευής και ανάκληση πρόσβασης όταν ένα endpoint δεν θεωρείται πλέον ασφαλές.

Ποιος πληρώνει όταν το εταιρικό κινητό σπάσει;

Ένα ακόμη σημείο που καλό είναι να μην αποφασίζεται αφού πέσει το smartphone στο πάτωμα.

Η επιχείρηση πρέπει να γνωρίζει εκ των προτέρων τι θεωρεί φυσιολογική φθορά, πώς αντιμετωπίζεται ένα ατύχημα και ποια διαδικασία ακολουθείται σε περίπτωση σοβαρής αμέλειας.

Δεν χρειάζεται κάθε εταιρεία να υιοθετήσει την ίδια οικονομική πολιτική.

Χρειάζεται όμως προβλεψιμότητα.

Το ίδιο ισχύει για θήκες, screen protectors, insurance, επισκευές, προσωρινές συσκευές αντικατάστασης και downtime.

Ένα smartphone που κοστίζει 500 ευρώ μπορεί να δημιουργήσει πολύ μεγαλύτερο κόστος αν ένας εργαζόμενος μείνει δύο ημέρες χωρίς πρόσβαση στα εργαλεία της δουλειάς του.

Δείτε επίσης: Οι Κορυφαίες Εταιρείες Digital Marketing στην Αθήνα για το 2026: Η Μετάβαση στην Εποχή του AI

Σε ποιον ανήκει ο αριθμός τηλεφώνου;

Εδώ βρίσκεται ένα ζήτημα που συχνά υποτιμάται.

Ένας επαγγελματικός αριθμός μπορεί μέσα σε λίγα χρόνια να συνδεθεί με εκατοντάδες πελάτες, προμηθευτές και συνεργάτες.

Αν η SIM και ο αριθμός αποτελούν εταιρικά assets, η πολιτική πρέπει να το κάνει ξεκάθαρο.

Το ίδιο ισχύει για eSIMs, μεταφορά αριθμού σε άλλη συσκευή και χρήση εταιρικής SIM σε προσωπικό smartphone.

Για έναν πωλητή ή account manager, ο αριθμός μπορεί να αποτελεί ουσιαστικά κανάλι πρόσβασης στο πελατολόγιο.

Και αυτό μας οδηγεί σε μια ακόμη σημαντικότερη ερώτηση: όταν οι επαγγελματικές σχέσεις έχουν χτιστεί μέσα από το κινητό ενός συγκεκριμένου εργαζομένου, σε ποιον ανήκουν πραγματικά οι επαφές;

Δες: Όταν ο πελάτης «ανήκει» στο κινητό του πωλητή: Σε ποιον ανήκουν πραγματικά οι επαγγελματικές επαφές;

WhatsApp, Viber και messaging: προσωπικός λογαριασμός ή εταιρικό κανάλι;

Πολλές επαγγελματικές συνομιλίες έχουν μετακινηθεί από το email στα messaging apps.

Αυτό δημιουργεί πρακτικά ερωτήματα.

Τι γίνεται αν οι συνομιλίες με πελάτες βρίσκονται σε προσωπικό WhatsApp;

Πώς μεταφέρεται η επικοινωνία όταν αλλάξει ο account manager;

Υπάρχουν σημαντικές συμφωνίες που βρίσκονται αποκλειστικά στο ιστορικό ενός smartphone;

Ποιος έχει πρόσβαση στα conversations όταν χρειάζεται business continuity;

Η Corporate Smartphone Policy δεν χρειάζεται να απαγορεύει κάθε messaging εφαρμογή.

Πρέπει όμως να καθορίζει ποια κανάλια θεωρούνται επίσημα εταιρικά κανάλια και πώς διαχειρίζονται.

Μπορεί ο εργαζόμενος να χρησιμοποιεί δημόσιο Wi–Fi;

Αεροδρόμια, ξενοδοχεία, cafés και συνεδριακοί χώροι αποτελούν καθημερινό περιβάλλον εργασίας για αρκετούς επαγγελματίες.

Η ευκολία όμως δεν σημαίνει απαραίτητα και κατάλληλο επίπεδο ασφάλειας.

Η ENISA έχει επισημάνει ότι η χρήση δημόσιων Wi-Fi δικτύων για πρόσβαση σε εταιρικά δεδομένα μπορεί να δημιουργήσει έκθεση σε κινδύνους και συστήνει στις επιχειρήσεις να διαθέτουν συγκεκριμένους κανόνες χρήσης.

Η πολιτική μπορεί να προβλέπει πότε επιτρέπεται public Wi-Fi, πότε πρέπει να χρησιμοποιείται mobile data ή ασφαλής εταιρική σύνδεση και ποιες υπηρεσίες δεν πρέπει να προσπελαύνονται από μη αξιόπιστα δίκτυα.

Χρειάζεται κάθε επιχείρηση MDM;

Όχι απαραίτητα με τον ίδιο τρόπο.

Μια εταιρεία πέντε ανθρώπων και ένας οργανισμός 5.000 εργαζομένων δεν έχουν τις ίδιες ανάγκες.

Όσο όμως αυξάνονται ο αριθμός των smartphones, η ευαισθησία των δεδομένων και η πρόσβαση σε κρίσιμα συστήματα, τόσο δυσκολότερο γίνεται να βασίζεται η διαχείριση αποκλειστικά στην καλή συμπεριφορά του κάθε χρήστη.

Το Mobile Device Management επιτρέπει στην επιχείρηση να εφαρμόζει κεντρικά configurations και security policies, να ελέγχει compliance και, ανάλογα με την υλοποίηση, να περιορίζει ή να ανακαλεί την πρόσβαση εταιρικών συσκευών.

Το NIST αντιμετωπίζει τα MDM/EMM και endpoint protection technologies ως βασικά εργαλεία της σύγχρονης enterprise mobile security.

Το ερώτημα επομένως δεν είναι απλώς:

«Χρειαζόμαστε MDM;»

Αλλά:

«Πόσο κεντρικό έλεγχο δικαιολογεί ο κίνδυνος που δημιουργούν οι mobile συσκευές μας;»

Εταιρικό κινητό ή BYOD;

Μια Corporate Smartphone Policy πρέπει επίσης να ξεκαθαρίζει ποιο deployment model χρησιμοποιεί η εταιρεία.

Άλλο εταιρικό smartphone.

Άλλο BYOD.

Και άλλο εταιρική συσκευή στην οποία επιτρέπεται προσωπική χρήση.

Στο BYOD, η εταιρεία δεν είναι ιδιοκτήτης του hardware αλλά εξακολουθεί να χρειάζεται κανόνες για την πρόσβαση στα εταιρικά δεδομένα.

Το NIST επισημαίνει ότι το BYOD δημιουργεί ιδιαίτερες προκλήσεις τόσο για την ασφάλεια της επιχείρησης όσο και για την ιδιωτικότητα του εργαζομένου, καθώς ο εργοδότης μπορεί να χρειάζεται κάποιο επίπεδο ελέγχου πάνω σε μια συσκευή που παραμένει προσωπική.

Γι’ αυτό το «χρησιμοποίησε απλώς το δικό σου κινητό» δεν αποτελεί από μόνο του πολιτική.

Δες: BYOD: Τι κερδίζει και τι ρισκάρει μια επιχείρηση όταν οι εργαζόμενοι χρησιμοποιούν το προσωπικό τους κινητό.

Το policy πρέπει να ξεκινά πριν παραδοθεί το smartphone

Η καλύτερη στιγμή για να εξηγήσεις τους κανόνες ενός εταιρικού κινητού δεν είναι όταν παραβιαστούν.

Είναι όταν η συσκευή παραδίδεται.

Το onboarding μπορεί να περιλαμβάνει καταγραφή του device και του serial/IMEI όπου χρειάζεται, configuration εταιρικών accounts, ενεργοποίηση security controls, ενημέρωση για acceptable use και σαφή αποδοχή των βασικών υποχρεώσεων του εργαζομένου.

Έτσι το smartphone δεν παραδίδεται ως «κουτί με SIM».

Παραδίδεται ως διαχειριζόμενο εταιρικό εργαλείο.

Και πρέπει να τελειώνει με πραγματικό Mobile Offboarding

Όταν ένας εργαζόμενος αποχωρεί, η επιστροφή της συσκευής δεν είναι αρκετή.

Πρέπει να ανακληθούν εταιρικοί λογαριασμοί και sessions, να διαχειριστούν authenticator apps, να επιστραφούν SIM/eSIM και accessories, να διασφαλιστεί η συνέχεια σημαντικών επαγγελματικών επικοινωνιών και να αφαιρεθούν τα δεδομένα με τον σωστό τρόπο πριν η συσκευή δοθεί σε άλλον εργαζόμενο ή αποσυρθεί.

Το smartphone lifecycle επομένως κλείνει εκεί ακριβώς όπου κλείνει και η σχέση του συγκεκριμένου χρήστη με την εταιρεία.

Δες: Mobile Offboarding: Τι πρέπει να συμβαίνει στο εταιρικό κινητό όταν ένας εργαζόμενος αποχωρεί

Η Corporate Smartphone Policy δεν πρέπει να είναι ένα PDF που κανείς δεν διαβάζει

Υπάρχει βέβαια και ο αντίθετος κίνδυνος.

Μια εταιρεία μπορεί να δημιουργήσει ένα policy 40 σελίδων γεμάτο τεχνικούς και νομικούς όρους, να το στείλει με email και να θεωρήσει ότι το πρόβλημα λύθηκε.

Δεν λύθηκε.

Μια αποτελεσματική πολιτική πρέπει να είναι αρκετά συγκεκριμένη ώστε να απαντά στα πραγματικά καθημερινά σενάρια.

Μπορώ να εγκαταστήσω αυτή την εφαρμογή;

Μπορώ να χρησιμοποιήσω το κινητό στις διακοπές μου;

Τι κάνω αν το χάσω;

Μπορώ να βάλω προσωπικό account;

Ποιος πληρώνει αν σπάσει;

Τι κάνω όταν εμφανιστεί security update;

Πού βρίσκονται τα εταιρικά αρχεία;

Ποιον καλώ σε περίπτωση περιστατικού;

Αν ο εργαζόμενος δεν μπορεί να βρει εύκολα τις απαντήσεις, η πολιτική μπορεί να υπάρχει διοικητικά αλλά όχι λειτουργικά.

Από το smartphone policy στο mobile governance

Όσο περισσότερη επιχειρηματική δραστηριότητα περνά μέσα από smartphones, τόσο περισσότερο το ζήτημα ξεφεύγει από την απλή αγορά συσκευών.

Γίνεται θέμα mobile governance.

Ποιος έχει πρόσβαση σε τι.

Ποια δεδομένα επιτρέπεται να βρίσκονται πού.

Ποιος έχει δικαίωμα να εγκαθιστά τι.

Ποιος ελέγχει το endpoint.

Πώς αντιμετωπίζεται ένα incident.

Πότε αντικαθίσταται η συσκευή.

Και τι συμβαίνει όταν ο άνθρωπος που τη χρησιμοποιούσε φύγει από την εταιρεία.

Η Corporate Smartphone Policy είναι ουσιαστικά ο συνδετικός κρίκος ανάμεσα σε όλα αυτά.

Γιατί το μεγαλύτερο ρίσκο δεν είναι απαραίτητα ότι ένας εργαζόμενος θα χρησιμοποιήσει λάθος το κινητό.

Είναι να μην έχει αποφασίσει ποτέ η επιχείρηση ποια είναι η σωστή χρήση.

Συχνές ερωτήσεις (FAQ)

Τι είναι η Corporate Smartphone Policy;

Είναι το σύνολο των κανόνων μιας επιχείρησης σχετικά με την παραχώρηση, χρήση, ασφάλεια, διαχείριση και επιστροφή των εταιρικών smartphones.

Επιτρέπεται προσωπική χρήση εταιρικού κινητού;

Εξαρτάται από την πολιτική της επιχείρησης. Μπορεί να απαγορεύεται, να επιτρέπεται περιορισμένα ή να χρησιμοποιείται μοντέλο COPE, όπου η εταιρεία κατέχει τη συσκευή αλλά επιτρέπει και προσωπική χρήση.

Μπορεί η εταιρεία να ελέγχει το εταιρικό smartphone;

Μπορεί να εφαρμόζει διαχείριση και security controls στις εταιρικές συσκευές σύμφωνα με το κατάλληλο οργανωτικό, τεχνικό και νομικό πλαίσιο. Η έκταση του ελέγχου πρέπει να είναι σαφής στους εργαζομένους και να λαμβάνει υπόψη και ζητήματα ιδιωτικότητας.

Τι πρέπει να κάνει ο εργαζόμενος αν χάσει εταιρικό κινητό;

Πρέπει να υπάρχει προκαθορισμένη διαδικασία άμεσης αναφοράς, ώστε η επιχείρηση να μπορεί να προστατεύσει λογαριασμούς και δεδομένα, να ανακαλέσει πρόσβαση και, όπου υπάρχει η σχετική δυνατότητα και πολιτική, να κλειδώσει ή να διαγράψει εταιρικά δεδομένα από τη συσκευή.

Τι είναι το MDM;

Το Mobile Device Management είναι τεχνολογία κεντρικής διαχείρισης mobile συσκευών που μπορεί να χρησιμοποιηθεί για configuration, εφαρμογή security policies, monitoring compliance και προστασία της πρόσβασης σε εταιρικούς πόρους.

Πρέπει να υπάρχει διαφορετική πολιτική για BYOD και εταιρικά κινητά;

Ναι, επειδή στο BYOD η συσκευή ανήκει στον εργαζόμενο. Αυτό δημιουργεί διαφορετικά ζητήματα ownership, privacy, security και διαχείρισης εταιρικών δεδομένων από ό,τι σε ένα corporate-owned smartphone.

Τι πρέπει να περιλαμβάνει μια Corporate Smartphone Policy;

Μεταξύ άλλων, ownership, επιτρεπόμενη προσωπική χρήση, εφαρμογές, updates, authentication, εταιρικά δεδομένα, SIM/eSIM, απώλεια ή κλοπή, βλάβες, δίκτυα, MDM, onboarding, offboarding και διαδικασία επιστροφής της συσκευής.

Μπορεί να σας ενδιαφέρει: Οι Κορυφαίες Προσωπικότητες του Digital Marketing στην Ελλάδα το 2026