Леонид Каганов: дневник

Если я скажу, что сегодня мы будем говорить про систему SafePhone, цель которой — взять под контроль мобильный телефон, чтобы по команде извне запрещать одни приложения и устанавливать другие, удалять в любой момент ваши данные, следить за вашими перемещениями, иметь доступ к настройкам и журналам... то это вызовет священный ужас. А на самом же деле это очень нужная и полезная система. Нет, конечно же, она не претендует на ваш личный мобильный телефон, купленный вами для себя на собственные деньги. Речь идет о смартфоне служебном, специально для этой цели настроенном. Обычно это устройства, оптом закупленные организацией для своих сотрудников. Ваш любимый личный смартфон может оказаться старым и не подходящим для этих задач — подходят многие модели, но не любые. Вообще с большой долей вероятности вам выдадут отличный новенький Samsung, но об этом чуть ниже.

Итак, вы — руководитель организации, и у вас есть полевые сотрудники. Это может быть водитель, курьер, электрик или газовщик, обходящий дома, участковый врач, доставщик пиццы или просто программист вашего офиса. Им нужно быть всегда на связи, желательно по защищенному каналу. Чтобы данные о выполненных задачах поступали в базу предприятия в реальном времени, чтобы местоположение сотрудника в рабочее время было всегда известно и связь с ним была бесперебойной. Всё это нужно и для оптимального планирования маршрута по району, да и для его безопасности тоже: чтобы в случае непредвиденных ситуаций можно было разыскать сотрудника и оказать помощь, отправить сигнал тревоги в службу реагирования диспетчерской.

Возможно, у вашего сотрудника раньше вообще не было смартфона, только простая звонилка. Тогда он точно не сумеет сам настроить рабочее приложение, своевременно его обновить (или откатить на предыдущую версию, если возникнет такая необходимость). Но ему и не надо — теперь это всё делается централизованно.

За счет того, что SafePhone позволяет настроить политики безопасности смартфона и запретить изменения, сотрудник не сможет закачать сомнительные приложения, которые могут выкрасть адреса клиентов или корпоративные тайны.

Иногда телефон может быть украден или просто забыт пятничным вечером на барной стойке. Всякое бывает. И тогда нужно послать сигнал о его розыске, блокировке или уничтожении служебных данных.

Кстати, любопытно, что полное ограничение сотрудника, запрет на любое иное использование смартфона, включая общение с друзьями и семьей — это обычно не входит в поставленную задачу, поскольку это попросту неэффективно. Эффективно — это сделать так, чтобы служебный телефон стал верным спутником ваших сотрудников. В идеале — чтобы он со временем сделался роднее, чем старый личный. Иначе ваш монтажник забудет аппарат на столе в офисе и уйдет по участку со своей родной Нокия-3110, по которой будет звонить «Маша, ты поела, уроки сделала?» И даже не специально-то забудет, а просто по рассеянности — работодатель всё ограничил, поэтому игрушка монтажнику не нужна, вот он и не чувствует в ней потребности.

Иными словами, задача объединения корпоративных смартфонов в единую сеть очень актуальна — как для крупных индустриальных гигантов, так и для небольших фирм, всего на 100 сотрудников. Что это дает для бизнеса?

Бесперебойная работа сотрудников за счет централизованного управления их мобильными устройствами: почта, календарь, приложения. А также решение проблем по установке и обновлению необходимых для работы корпоративных приложений.

Снижение расходов: на создание ИТ-инфраструктуры, за счет использования сервисной модели, с размещением серверной части решения в защищенном ЦОДе у вендора;

Предотвращение утечки конфиденциальной информации компании при утере/краже мобильного устройства. Контроль использования служебных мобильных устройств.

Пример: один из заказчиков SafePhone — энергетический гигант, поставляющий услуги населению столичного региона. Не будем произносить известное название, назовем условно «Мос... что-то там». Организация, у которой громадный штат полевых сотрудников, и все они должны быть постоянно на связи, постоянно получать и передавать информацию, их телефоны должны постоянно иметь обновленное ПО и последнюю версию приложений, должны быть защищены, и их аккумулятор не должен садиться за три часа только потому, что сотрудник установил какое-то левое приложение, которое в фоне начало майнить биткоины и жрать батарею. Поэтому организация выдает сотрудникам корпоративные смартфоны, это порядка 2000 устройств. Вопрос: какой штат IT-специалистов необходимо содержать, чтобы весь парк этих устройств день за днем был полностью настроен и обновлен? Ответ: достаточно всего лишь одного сотрудника. Но только — при наличии такого инструмента, который позволяет централизованно работать с сотнями устройств, оперировать с данными и отчётностью.

Как работает система? Список поддерживаемых платформ велик, но чаще всего речь идет про Android и iOS. Джейлбрейк и root не требуются, более того — считаются угрозой. Современные операционные системы имеют свои средства, позволяющие выдать одному приложению системные привилегии. Для iOS это конфигурационные профили, для Андроид — Android Enterprise, для Samsung — среда Samsung Knox. Получив законным образом администраторские права при первоначальной настройке смартфона, системное приложение SafePhone первым делом проверяет безопасность: чтобы телефон был закрыт паролем, настроены элементарные меры, которыми многие пользователи пренебрегают. Далее, если надо, ограничиваются возможности — вводятся черные и белые списки приложений, контейнеризация (выделение в смартфоне мест для изолированного хранения корпоративных данных, исключающего их утечку), иногда — блокировка фотокамеры и интерфейсов. Например — можно блокировать камеру и доступ к сайтам когда телефон по своим координатам находится на определенных объектах (на заводе, полигоне, воинской части). Кроме того, настраивается удаленный доступ к почте и данным. После этого начинается работа, и здесь возможностей много. Например, у платформы SafePhone есть встроенные средства для защищённого удалённого доступа к файлам (корпоративный «Dropbox»), а также защищённые браузер и почтовый клиент для платформы iOS, где нет встроенных инструментов «контейнеризации» встроенных приложений.

Руководители, которые интересовались вопросом, знают, что вообще-то подобные EMM-системы (Enterprise Mobility Management) изобретены давно и не у нас в стране, а распространены по всему миру, представлены в ассортименте, и сфера их использования растет год от года.

Почему же при переоборудовании ваших предприятий имеет смысл обратить внимание именно на SafePhone? Причины есть, и достаточно веские:

1. Опыт. Разработчик SafePhone — НИИ СОКБ (НИИ Систем обеспечения комплексной безопасности) имеет большой опыт разработки сложных промышленных программных продуктов.

2. Оперативность реагирования на запросы пользователей. НИИ СОКБ – это российский разработчик, поэтому с любой проблемой и необходимой доработкой не придётся далеко ходить.

3. Наши реалии. Существуют нюансы российского рынка, которые учесть может только российский производитель. Простой пример: по закону РФ работодатель имеет право отслеживать перемещение своего сотрудника, но... только в рабочее время. Соответственно, импортная EMM, которая продолжит писать GPS-трек вашего монтажника по окончании его рабочего дня, становится абсолютно незаконной и легко превращается в повод для суда и проблем. SafePhone умеет работать именно в наших реалиях.

4. Сертификация. Головная боль, известная, увы, любому руководителю: каждый чих, каждый ключ, протокол, диапазон, стандарт — всё должно иметь российские сертификаты от регулирующих органов. Работая столько лет на российском рынке, в SafePhone все нужные сертификаты давно собрали.

Почему я сказал выше, что если вы сотрудник, то с большой вероятностью вам светит получить от своей фирмы в руки хороший Samsung? Дело в том, что сегодня Samsung дальше прочих продвинулся в вопросах безопасности — речь про систему безопасности Samsung Knox: это и менеджер паролей Samsung Pass, и платёжный сервис Samsung Pay, и вообще целое семейство корпоративных решений на платформе Knox, таких как Knox Mobile Enrollment, c помощью которого можно подключать мобильные устройства к EMM прямо из «коробки». Ценность подхода Samsung в том, что безопасность эта — аппаратная. Она начинается буквально с конвейера: еще на заводе в каждом устройстве создаются два основных криптографических ключа. Это DUHK (Device Unique Hardware Key), который недоступен вообще никому, кроме аппаратного модуля шифрования в девайсе, и с помощью него будут шифроваться все остальные ключи. И DRK (Device Root Key), Корневой ключ устройства, который отныне будет подтверждением, что устройство произведено и настроено именно Samsung. На этой основе затем строится всё то, что называется доверенной средой. В том числе контейнеризация Knox: отдельные приложения, установленные специальным образом в защищенный контейнер, работают в обычном окружении и не требуют изменений кода, но защищены, грубо говоря, уже на аппаратном уровне. Стоит ли удивляться, что Samsung Knox — наиболее рекомендуемая платформа мобильников для EMM SafePhone, поскольку дает самое удобное администрирование и самый высокий уровень защиты? НИИ СОКБ и Samsung сотрудничают с 2015 года. SafePhone протестирован и одобрен специалистами Samsung наравне с такими компаниями, как VMware, Citrix, Microsoft и IBM. Хотя повторю: использование мобильников Samsung отнюдь не обязательное требование для системы SafePhone, просто наиболее лакомое с точки зрения возможностей безопасности.

В общем, если вы — руководитель, если у вашей компании много сотрудников и проблема их взаимодействия уже стала заметной проблемой, если ваша задача — эффективно развиваться и оптимизировать расходы за счет повышения эффективности, то имеет смысл присмотреться к
EMM SafePhone, повторю ссылку: https://safe-phone.ru