Поделиться
Обновлённые стандарты ФСТЭК: свыше 10 мобильных гаджетов — обязательно внедрение системы управления
Олег Ассур
руководитель технического направления SafeMobile
С 1 марта 2026 года начал действовать приказ ФСТЭК России №117, который вводит обновлённые требования по защите информационных систем государственных органов. Методический документ объёмом 184 страницы подробно описывает защитные меры, в том числе контроль за мобильными устройствами. О том, что именно изменилось для госструктур и как теперь следует обеспечивать безопасность смартфонов и планшетов, рассказывает Олег Ассур, технический директор SafeMobile.
Общий фон: расширение границ контроля
Ранее правила защиты государственных информационных систем (ГИС), например, портала «Госуслуги» или ЕМИАС, определялись 17-м приказом ФСТЭК. Новый приказ №117, который пришёл ему на смену, значительно расширяет область своего действия.
Теперь документ охватывает все информационные системы государственных органов и организаций, а не исключительно ГИС. Под действие регулятора попадают корпоративная почта, системы электронного документооборота (СЭДО) и даже локальные системы контроля и управления доступом (СКУД).
Конкретный перечень мер регулятор опубликовал 12 апреля 2026 года в объёмном методическом документе. Он охватывает всю инфраструктуру — от центров обработки данных до устройств интернета вещей (IoT). Ниже мы рассмотрим ключевые требования, которые касаются исключительно защиты мобильных устройств.
Важное примечание для коммерческого сектора:
Тот факт, что организация не относится к государственным структурам, вовсе не гарантирует, что требования №117 её не коснутся. Как отмечают представители ФСТЭК, этот документ станет фундаментом для будущих изменений в нормативах по защите критической информационной инфраструктуры (КИИ) и персональных данных (ПДн). Учитывая, что каждый работодатель так или иначе работает с ПДн сотрудников, новые правила в долгосрочной перспективе затронут подавляющее большинство коммерческих компаний.
BYOD на российский лад: «приобрети устройство для выполнения задач»
Вводные части приказа №117 носят скорее общий, концептуальный характер, тогда как все практические действия сосредоточены в третьем разделе. Вопросы защиты мобильных устройств раскрываются в пункте 3.7. Здесь можно выделить два основных аспекта.
- Автоматизированный контроль. В тех случаях, когда для работы с информационными системами задействовано более 10 мобильных гаджетов, оператор обязан внедрить централизованную автоматизированную систему управления (решения класса UEM/MDM).
- Строгие правила для личных устройств. Использование сотрудниками собственных смартфонов и планшетов разрешается только при условии полного выполнения на них всех установленных защитных мер, а также при абсолютной прозрачности устройства для контролирующих органов.
В международной ИТ-практике классическая модель BYOD (Bring Your Own Device) подразумевает создание на личном смартфоне сотрудника изолированной среды для корпоративных данных, к которой у работодателя нет доступа.
Российская реальность, продиктованная приказом №117, существенно меняет эту концепцию. По сути, BYOD превращается в «купи собственное устройство для выполнения рабочих задач». Часть требований ФСТЭК необходимо реализовывать на уровне сертифицированной операционной системы, которую в принципе невозможно установить на обычный потребительский гаджет. Перед организациями встаёт выбор: либо приобретать устройства с предустановленной сертифицированной ОС, либо полностью отказаться от использования мобильных платформ для решения рабочих вопросов.
Структура ЗМУ: основные положения
В методическом документе ФСТЭК меры, направленные на защиту мобильных устройств, обозначены аббревиатурой ЗМУ. Их можно условно разделить на несколько ключевых категорий.
1. Идентификация, аутентификация и проверка целостности
Регулятор устанавливает строгие правила для доступа к устройствам и корпоративным ресурсам:
- Экранная блокировка. Разблокировать устройство можно только с использованием пароля. Его длина, сложность, период действия и число допустимых неверных попыток определяются уровнем защищенности системы и задаются через UEM-решение.
- Разграничение прав доступа. Для работы в корпоративных приложениях требуется отдельная процедура входа. В системах начального уровня достаточно сложного пароля, а для более высоких классов необходима двухфакторная аутентификация (2FA). Для администраторов, работающих с системами наивысшего уровня защиты, применяется усиленная аутентификация на основе одноразовых кодов.
- Автоматическая блокировка. Экран обязан блокироваться самостоятельно после заданного промежутка бездействия пользователя.
- Проверка целостности ОС. Устройство должно постоянно отслеживать операционную систему на предмет несанкционированных правок и получения привилегий суперпользователя (Root или Jailbreak). Так как встроенные механизмы ОС не всегда обнаруживают взлом, эту задачу берет на себя UEM-система. В наиболее защищенных средах при нарушении целостности устройство блокируется. Специалисты SafeMobile советуют пойти еще дальше: настроить систему так, чтобы в случае компрометации ОС все корпоративные данные немедленно и навсегда стирались с устройства.
2. Защита информации и управление приложениями
Регулятор предъявляет жесткие требования к разработчикам мобильных приложений и ИТ-администраторам:
- Изоляция данных. Мобильные программы обязаны хранить информацию в защищенных «песочницах», запрещать копирование данных в публичные облачные хранилища и блокировать привязку личных аккаунтов к служебному софту.
- Шифрование. Любая передача данных должна быть зашифрована в соответствии с ГОСТ.
- Политики безопасности. На уровне ОС обязательно выполнение сброса к заводским настройкам после 10 неудачных попыток ввода пароля, а также полный запрет на резервное копирование информационных систем в коммерческие облачные сервисы.
- Белые списки приложений. На устройстве разрешен запуск только тех программ, которые утверждены администратором. Удаленное управление гаджетом (просмотр экрана, имитация действий) допускается исключительно через авторизованную UEM-систему. Избыточные разрешения приложений должны централизованно отзываться.
- Принцип минимальных прав. Функциональность аппаратной части ограничивается только необходимыми для работы задачами. Если планшет используется исключительно в сети Wi-Fi, мобильная связь должна быть программно отключена. Если Bluetooth не нужен — его следует отключить. Если рабочее приложение имеет встроенную функцию съемки, стандартные приложения камеры и галереи блокируются, чтобы предотвратить хранение личных медиафайлов.
3. Антивирусная защита и аудит событий
Регулятор предписывает устанавливать антивирусное программное обеспечение на мобильные гаджеты, однако на деле у этого требования есть свои особенности. В современных мобильных операционных системах антивирусы обладают существенно ограниченными возможностями: им недоступен прямой доступ к накопителю, файловой структуре и изолированным средам других программ. При возникновении угрозы антивирус способен лишь отправить оповещение, но не может самостоятельно ликвидировать вредоносный элемент.
Если соблюдены прочие положения приказа (разграничение данных, проверка целостности, разрешенные перечни ПО), фактическая польза от мобильного антивируса остается предметом споров. Когда его установка требуется лишь формально для соответствия нормам регулятора, SafeMobile советует остановиться на самом доступном сертифицированном варианте.
Касательно мониторинга событий безопасности — система должна фиксировать происшествия, проводить их анализ и синхронизировать часы на устройствах. В этом вопросе ИТ-отделы неизбежно столкнутся с архитектурными ограничениями мобильных платформ: например, штатными методами невозможно достоверно различить запуск приложения человеком и фоновую активность системы, а также зафиксировать перенос файла на внешний носитель.
Что понимать под мобильной ОС: ключевая деталь
В приложении к методическому руководству ФСТЭК дает точное определение: мобильное устройство — это смартфон или планшет, работающий под управлением мобильной операционной системы, которая контролирует аппаратные ресурсы и выполняет программы в рамках особой модели (с циклами работы, изоляцией и энергосбережением).
Крайне важное примечание: к категории мобильных ОС не причисляются универсальные операционные системы, приспособленные для портативных устройств.
Иллюстрация: Astra Linux Mobile — это не отдельная мобильная платформа, а полноценная Astra Linux Special Edition, запущенная в режиме «Мобильный». Следовательно, устройства на ее основе нужно защищать по правилам, установленным для обычных ПК и ноутбуков, без упрощений и ограничений, свойственных ЗМУ.
График и план действий: что предпринять в 2026 году
Государственные учреждения обязаны предоставить ФСТЭК отчет о выполнении требований приказа №117 уже к концу 2026 года. Учитывая, что подробное методическое пособие появилось лишь в апреле, на разработку и внедрение информационных систем остается катастрофически мало времени.
Для ускорения процесса соответствия нормам SafeMobile предоставляет бесплатную годовую лицензию на систему администрирования мобильных устройств для тестовых и небольших проектов (до 100 гаджетов). Самый быстрый способ внедрения — использование сервиса из аттестованного облака SafeMobile. Это позволит сэкономить время и ресурсы на развертывание управляющих серверов в собственной локальной сети организации.
■ Рекламное объявлениеerid:2W5zFHopkk1Рекламодатель: ООО "НИИ Сокб Центр Разработки"ИНН/ОГРН: 7724394592/5167746443497Веб-сайт: https://www.niisokb.net/
Краткая ссылка
