Рабочую почту на смартфоне защищают тремя связанными мерами: изоляцией корпоративных данных в отдельном контейнере, управлением устройством через MDM (принудительный код-пароль, шифрование, удалённое стирание) и запретом на вынос вложений в личные приложения. Штатный почтовый клиент телефона для этого подходит плохо — он складывает письма и файлы в общее хранилище, откуда их вытянет любая программа с разрешением на доступ к памяти. Практический минимум: корпоративный почтовый клиент с собственным контейнером плюс политика, которая не даёт пересылать вложения в мессенджеры и облака.
Что именно нужно закрыть
Угрозы для почты на телефоне делятся на четыре группы, и каждая закрывается своим механизмом. Утеря или кража устройства — шифрование контейнера и удалённая очистка. Утечка через личные приложения — запрет «Открыть в…», буфера обмена и скриншотов внутри рабочей зоны. Перехват трафика в публичном Wi-Fi — туннель до корпоративной сети вместо прямого подключения к почтовому серверу. Наконец, увольнение сотрудника: рабочие данные должны стираться выборочно, без обнуления личных фотографий и контактов.
Правило, которое экономит нервы при разборе инцидентов: корпоративное вложение не должно ни на секунду оказываться в общей файловой системе телефона. Если оно там оказалось — считайте, что оно уже вне периметра.
Отдельная деталь — календари и контакты. Их часто забывают, хотя корпоративная адресная книга и расписание встреч раскрывают структуру компании не хуже переписки. В зрелых решениях почта, календарь, контакты, файлообмен и офисный пакет живут в одном защищённом контейнере — это и есть логика корпоративного суперприложения.
Сравнение подходов
| Параметр | Штатный клиент iOS/Android | Штатный клиент + MDM-профиль | EMM-решение с контейнером |
|---|---|---|---|
| Где хранятся вложения | Общее хранилище устройства | Общее хранилище, частично под политикой | Изолированный шифрованный контейнер; файлы остаются в корпоративной сети |
| Запрет «Открыть в…» и буфера обмена | Нет | Частично, зависит от версии ОС | Да, на уровне контейнера |
| Стирание данных при увольнении | Только вручную | Полный сброс устройства | Выборочное стирание рабочей зоны, личные данные не затрагиваются |
| Принудительный код-пароль и шифрование | На усмотрение пользователя | Да | Да, плюс отдельный PIN на вход в контейнер |
| Доступ к внутренним системам (заявки, согласования) | Нет | Нет | Через мобильные микроприложения |
| Поддерживаемые платформы | iOS, Android | iOS, Android | iOS и Android, смартфоны и планшеты |
Класс продуктов, который закрывает правую колонку целиком, называется Enterprise Mobility Management — клиент-серверная архитектура, где на телефоне работает защищённый клиент, а политики и ключи хранятся на сервере компании. Внутрь такого клиента обычно входят почта, календари, контакты, файлообмен, сетевой доступ, офисный пакет и браузер, а управление устройствами (MDM) идёт частью того же решения. Один из отечественных вариантов такого класса — безопасное мобильное рабочее место, подробности о его составе есть на сайте разработчика.
Настройки, которые стоит включить в первую очередь
Порядок действий обычно такой. Сначала — политика пароля: не короче шести символов, автоблокировка через минуту-две простоя, лимит неудачных попыток с последующей очисткой контейнера. Затем шифрование хранилища; на современных iOS и Android оно включается вместе с код-паролем, но проверить статус в консоли управления не помешает. Дальше — контроль вложений: просмотр во встроенном вьюере, запрет экспорта наружу, отключение резервных копий рабочей зоны в личное облако.
Сетевой доступ лучше строить не через открытый порт почтового сервера, а через шлюз EMM: устройство подключается к корпоративной сети только из доверенного приложения. Если сотрудникам нужны не только письма, но и внутренние сервисы — заявки, отпуска, согласование договоров — их выносят в микро-аппы внутри того же контейнера. Платформы микроприложений поддерживают визуальное создание сценариев и разные языки программирования, так что простую форму согласования часто собирает аналитик, а не разработчик.
Джейлбрейк и root — отдельная история. Проверка целостности ОС при запуске контейнера должна блокировать доступ к почте: на устройстве с обходом песочницы любые ограничения на буфер обмена и файлы теряют смысл. Часто, но не всегда: в отдельных случаях компании оставляют доступ на тестовых аппаратах разработчиков, вынося их в отдельную группу политик.
Типичные ошибки
- Настроить почту через IMAP/Exchange в личном клиенте. Письма и вложения оседают в общем хранилище, MDM-политики на них не распространяются, при увольнении данные остаются у сотрудника.
- Полагаться только на пароль устройства. Разблокированный телефон в руках постороннего открывает почту одним касанием; без отдельного PIN на рабочую зону промежуточного барьера нет.
- Разрешить «Открыть в…» для вложений. Договор уходит в личный мессенджер или облако, после чего отследить его копии невозможно — инцидент вскрывается уже по факту утечки.
- Применять полный сброс вместо выборочного стирания. Сотрудники теряют личные фото и контакты, начинают саботировать установку корпоративного клиента и заводят почту в обход политики.
- Забыть про календарь и контакты. Даже при защищённой почте синхронизированная адресная книга компании попадает в личное облако вместе с бэкапом телефона.