WorksPad — безопасное мобильное рабочее место в ИТ-инфраструктуре компании

15.11.2026

WorksPad — клиент-серверное корпоративное решение класса Enterprise Mobility Management (EMM) разработки «Группы Астра», предназначенное для превращения смартфонов и планшетов под управлением iOS и Android в безопасные мобильные рабочие места. Продукт включен в реестр российского ПО, поставляется с отечественной поддержкой и закрывает в одной платформе три слоя: защищенный контейнер-суперапп на устройстве, серверную инфраструктуру внутри периметра организации и централизованное управление устройствами и политиками. Разберем каждую из этих составляющих с точки зрения архитектуры и практической отдачи.

Серверная часть: состав, протоколы, масштабирование

Решение строится по классической клиент-серверной модели с локальным размещением сервера — on-premise. Серверная часть разворачивается на Windows Server или на Linux, включая Astra Linux Special Edition, Debian, РЕД ОС, РОСА и ALT Linux. В качестве СУБД используются Microsoft SQL Server или PostgreSQL; источниками учетных записей выступают Active Directory, ALD Pro, FreeIPA и OpenLDAP. Клиентские приложения распространяются через App Store, Google Play, RuStore и Huawei AppGallery; заявленная поддержка — iOS 14+ и Android 11+.

Сервер собран из специализированных сервисов. Gateway Service принимает трафик клиентов по HTTPS, WSS и TCP; Share Service обслуживает внешние ссылки на документы; Notification Service рассылает пуш-уведомления; Archiver Service архивирует журнал событий. Административное управление ведется через Admin API, взаимодействие чат-ботов с пользователями — через Chatbot API. Дополнительно поставляются веб-приложения: консоль администратора, пользовательский портал и сайт внешнего доступа.

Масштабирование закладывается на уровне архитектуры. Front-end узлы работают за балансировщиками нагрузки и наращиваются горизонтально, back-end собирается в отказоустойчивый кластер базы данных. Платформа описывается как микросервисная stateless-архитектура с компактным дистрибутивом; опорная конфигурация на 200 пользователей — два сервера с четырьмя ядрами и 8 ГБ RAM каждый. Отдельный сервис-посредник решает задачу защиты внутренних порталов: запросы из браузера контейнера проходят сначала через WorksPad Server и только затем направляются на внутренние системы, поэтому корпоративные сайты, доступные через платформу, не появляются во внешнем интернете и не сканируются напрямую.

Контейнер-суперапп: изоляция и состав рабочего места

Клиентская часть реализована как корпоративный суперапп — единое приложение, внутри которого сосредоточен весь рабочий цикл. Ключевой принцип — размещение рабочих данных в изолированном защищенном контейнере: документы не открываются сторонними приложениями, не копируются в личную среду, не переносятся на внешние носители и не пересылаются в обход политик. Обратная сторона того же механизма — сохранность личных данных сотрудника: дистанционная очистка затрагивает только рабочую зону контейнера и не разрушает персональный контент устройства.

Состав контейнера охватывает полный набор задач мобильного офиса:

• почта, календарь и контакты. Подключение к RuPost, Microsoft Exchange, CommuniGate Pro, Zimbra, а также к облачным платформам Яндекс 360 и VK WorkSpace; поддержка протоколов IMAP, SMTP, CalDAV, CardDAV. Реализованы флаги, подтверждения доставки, доступ к чужим календарям, поиск и фильтры, работа с архивами EML;
• файлообмен и доступ к корпоративным хранилищам. Работа с сетевыми папками по SMB и WebDAV, с библиотеками SharePoint; корпоративный файлообменник с контролируемым обменом файлами между сотрудниками и внешними адресатами; синхронизация с рабочим ПК через WorksPad PC Sync Agent — по модели привычного облачного диска, но без выноса данных во внешние облака. Файлы доступны офлайн, что критично для командировок и зон неустойчивой связи;
• офисный пакет и просмотр документов. Редактирование текстов, таблиц и презентаций, включая формат ODF; аннотирование PDF; открытие запароленных архивов ZIP, RAR и 7z. На Android редактирование обеспечивает встроенный модуль WorksPad Editor, что снимает зависимость от сторонних офисных приложений;
• управляемый браузер и безопасный web-доступ. Корпоративные информационные системы — CRM, СЭД, продукты «1С», Jira, Confluence, BI-панели — открываются через встроенный браузер с черными и белыми списками ресурсов, корпоративными закладками и историей подсказок. Рабочий трафик идет через зашифрованный туннель, личный серфинг ведется в штатном браузере устройства — разделение каналов происходит на уровне приложений.

Единый интерфейс снижает порог освоения и эксплуатационную нагрузку: администратор поддерживает один клиент вместо десятков разрозненных приложений, а служба поддержки получает меньше обращений.

Модель безопасности: эшелонированный контур

Защитный контур выстроен послойно. Контейнер размещается в защищенной области памяти устройства с аппаратным запретом записи на внешние носители; данные шифруются по AES-256, а в редакциях R и RX — по ГОСТ на базе сертифицированной криптографии «ИнфоТеКС» ViPNet. Резервное копирование контейнера и выгрузка на внешнюю память блокируются. Подключение устройства к серверу проходит механизм Access by Approval: фактически это второй фактор авторизации, требующий одобрения администратора. Система отслеживает признаки jailbreak и root и реагирует вплоть до дистанционного затирания контейнера.

Слой политик управляет каналами утечки на уровне интерфейса. Администратор разграничивает операции «Open In», копирование и вставку, печать, скриншоты и трансляцию экрана; поверх документов и писем наносятся водяные знаки. В платформе реализовано более сотни настраиваемых политик управления, которые компонуются в профили и привязываются к группам пользователей из службы каталогов: для работы с конфиденциальными документами назначается максимальный уровень защиты, для рядовых ролей — умеренные ограничения. Поддерживаются двухфакторная аутентификация и TOTP, доставка сертификатов на устройства.

Отдельный класс возможностей — интеграция с российскими DLP-системами: InfoWatch Traffic Monitor, Solar Dozor, «СерчИнформ КИБ», FalconGaze SecureTower. Она работает в двух режимах: пассивный аудит событий и активный режим «в разрыв», когда при попытке выгрузить вложение сервер запрашивает вердикт у DLP-системы и блокирует передачу конфиденциальных данных. Это переводит мобильный контур из модели реагирования после инцидента в модель предупреждения до него — свойство, которое в стандартных EMM-решениях встречается редко. Журналирование и интеграция с SIEM замыкают контур на корпоративный мониторинг событий безопасности.

WorksPad MDM: управление устройствами и моделями развертывания

Модуль MDM расширяет контроль с уровня данных на уровень самого устройства. Сервер доставляет профили, политики, сертификаты и настройки Wi-Fi; контролирует парольные политики, версию ОС и перечень установленных приложений; автоматически проверяет соответствие устройства требованиям организации и назначает действия при выявлении нарушений. Корпоративный магазин приложений обеспечивает управляемую дистрибуцию ПО, а для специализированных устройств — терминалов сбора данных, витринных планшетов — предусмотрены режимы киоска с одним фиксированным приложением или строго ограниченным перечнем программ.

Гибкость развертывания дает дифференцированную модель управления. В сценарии BYOD на личном смартфоне сотрудника разворачивается только контейнер: организация управляет данными и политиками, не вмешиваясь в личное пространство, а удаленная очистка затрагивает лишь рабочую зону. Корпоративные устройства переводятся в полностью управляемый режим связкой контейнера и MDM-агента с инициализацией по QR-коду. Такое разделение позволяет не закупать парк техники там, где достаточно личных устройств с контейнером, и сохранять полный контроль там, где требования регуляторов или особенности производства его диктуют.

Платформа микроприложений: расширение без мобильной разработки

Слой WorksPad Assistant превращает суперапп из фиксированного набора инструментов в расширяемую платформу. Микроприложения и чат-боты создаются визуальным редактором клиентских форм или на распространенных языках программирования — Python и .NET; поддерживаются также кроссплатформенные мини-приложения на базе PWA и WebAssembly. Через них в мобильный формат выводятся внутренние сервисы: заказ пропусков, бронирование переговорных, согласования, справочные запросы. Для корпорации это способ дать сотрудникам мобильный доступ к корпоративным данным без крупных вложений в разработку и без открытия внутренних систем во внешний периметр. Чат-боты через Chatbot API взаимодействуют и с пользователями сторонних мессенджеров, что расширяет сценарии уведомлений и приема заявок.

Эксплуатационные и экономические эффекты

Плюсы использования складываются из нескольких измерений. Административное: единая консоль управляет контейнером, микроприложениями и устройствами, ролевая модель разграничивает ответственность внутри ИТ-службы, а требования к инфраструктуре умеренные. Пользовательское: привычный интерфейс почтового клиента, офлайн-доступ к документам, одно приложение вместо набора клиентов. Инфраструктурное: права доступа наследуются из службы каталогов, поэтому мобильный пользователь получает ровно те же разрешения, что и в корпоративной сети, без отдельной системы назначения прав.

Лицензирование ведется по сотруднику: одна учетная запись дает право работы на пяти устройствах, минимальный заказ — 10 лицензий, серверная часть отдельно не лицензируется. Линейка редакций позволяет наращивать состав рабочего места по мере роста потребностей: от File — доступа к защищенным документам, через Core — контейнер с почтой и офисным пакетом, до полной EMM-версии с MDM. Для программ импортозамещения дополнительным аргументом служат запись в реестре отечественного ПО и статус единственного в реестре продукта, закрывающего в одном комплекте суперапп, платформу микроприложений и MDM.

Границы применимости

Эффект от платформы зависит от глубины настройки. Политики требуют регулярного пересмотра, интеграция DLP в режиме «в разрыв» — выверенных правил классификации контента, микроприложения — понимания внутренних процессов. Решение ориентировано на организацию с собственной ИТ-инфраструктурой и службой информационной безопасности; для компаний без выраженной потребности в контроле контента часть возможностей контейнера останется невостребованной. Практичная последовательность внедрения: описать реальные сценарии работы сотрудников вне офиса, оценить объем мобильного документооборота и требуемую глубину интеграции, затем подобрать редакцию — от File до EMM — и модель развертывания, контейнер или связка с MDM.