Как защитить корпоративную почту на телефоне

Чтобы защитить корпоративную почту на телефоне, письма и вложения нужно отделить от личных приложений: рабочий ящик подключают не через встроенный почтовый клиент, а через защищённый контейнер с собственным шифрованием и парольной политикой. Доступ к серверу настраивают через VPN или обратный прокси, а не по открытому IMAP. Само устройство ставят под управление EMM/MDM-системы, чтобы администратор мог удалённо заблокировать доступ и стереть корпоративные данные. Личный контент при этом остаётся нетронутым — так работает разделение по модели «контейнер в контейнере».

Почему стандартного почтового клиента недостаточно

Встроенное приложение «Почта» хранит письма и вложения в общей файловой системе устройства. Открыли PDF из письма — файл ушёл в раздел «Загрузки», откуда его можно переслать в мессенджер или облако. При компрометации телефона утекает всё сразу: тело письма, адресная книга, вложения, токены авторизации.

Добавьте к этому синхронизацию контактов и календаря с личным аккаунтом. Часто, но не всегда: некоторые прошивки Android по умолчанию выгружают контакты в облако вендора, и корпоративные адреса оказываются за периметром компании. Отследить это средствами самой почтовой системы невозможно.

Отдельная проблема — увольнение сотрудника. Без централизованного управления отозвать доступ можно только сменой пароля учётной записи, но локально закешированные письма останутся на телефоне.

Контейнеризация и корпоративные суперприложения

Рабочий подход — изолированный защищённый контейнер, внутри которого живут почта, календари, контакты, файлообмен, офисный пакет и браузер. Данные и файлы при такой схеме хранятся в корпоративной сети и в самом контейнере, а не в общей памяти смартфона. Копирование между контейнером и личной зоной ограничивается политиками: буфер обмена, скриншоты, «Поделиться» и печать отключаются выборочно.

Такой набор функций собирают в единое корпоративное суперприложение — класс решений называется Enterprise Mobility Management (EMM). Архитектура клиент-серверная: на смартфоне или планшете под iOS и Android работает клиент, политики и данные — на стороне компании. В состав EMM входит и управление мобильными устройствами (MDM): регистрация, инвентаризация, применение профилей, удалённая блокировка и wipe.

Сверх почты через такой клиент организуют сетевой доступ к внутренним ресурсам и работу с корпоративными системами через мобильные микроприложения и микро-аппы — вместо публикации отдельного приложения на каждую задачу. Платформа создания микроприложений поддерживает визуальную разработку и разные языки программирования, поэтому форму согласования отпуска или заявки собирают силами внутренней команды. Отечественные разработчики предлагают безопасное мобильное рабочее место именно по такой модели; подробнее можно узнать на сайте.

Настройки, которые закрывают основные риски

Минимальный набор политик, который имеет смысл включить до того, как первый сотрудник подключит почту:

• PIN или биометрия на вход в контейнер — отдельно от разблокировки телефона. Тайм-аут сессии обычно ставят на несколько минут простоя.
• Шифрование локального кеша писем и вложений ключом, который не выходит за пределы контейнера.
• Запрет открытия вложений сторонними приложениями — файлы просматриваются встроенным вьювером и офисным пакетом контейнера.
• Проверка целостности устройства: блокировка доступа при обнаружении root/jailbreak, отключённой блокировки экрана, устаревшей версии ОС.
• Многофакторная аутентификация при первичной регистрации устройства и при смене SIM или сброса.
• Селективный wipe — стирание только корпоративного контейнера при увольнении или потере телефона.
• Сертификатная аутентификация вместо пароля в почтовом профиле, чтобы учётные данные не хранились на устройстве в открытом виде.

Отдельно стоит настроить фильтрацию на стороне почтового шлюза: антифишинг, переписывание ссылок, санитайзинг вложений. На мобильном экране домен отправителя виден хуже, чем на десктопе, и фишинг срабатывает чаще — это подтверждают практически все отчёты по инцидентам, хотя конкретные цифры сильно зависят от отрасли.

Личное устройство или корпоративное

При BYOD (сотрудник использует свой телефон) полное MDM-управление вызывает сопротивление: людям не нравится, что администратор видит список приложений и геолокацию. Компромисс — режим только с контейнером, без профиля управления всем устройством. Контроль над личной частью компания не получает, но и почту защищает.

COPE и COBO — корпоративные устройства с личным использованием или без него — дают больше рычагов: принудительные обновления ОС, whitelist приложений, запрет установки APK из неизвестных источников. На практике чаще смешанная схема: топ-менеджмент и сотрудники с доступом к чувствительным данным получают корпоративные аппараты, остальные работают в контейнере на своих.

Что не работает: отправка рабочих писем на личный Gmail «чтобы удобнее», разрешение пересылки на внешние адреса, доступ к вебмейлу с любого браузера без ограничений по устройству. Каждый из этих обходных путей сводит на нет контейнеризацию.

Вопросы и ответы

Можно ли обойтись VPN вместо отдельного защищённого клиента?

VPN закрывает канал передачи, но не решает, что происходит с письмами после доставки на телефон. Вложение из зашифрованного туннеля всё равно попадёт в общую память устройства, если нет контейнера.

Что делать, если сотрудник потерял телефон с рабочей почтой?

Сразу отозвать сертификат или токен устройства в консоли управления и запустить селективное стирание контейнера. Если телефон вне сети, команда применится при первом подключении — поэтому параллельно меняют пароль учётной записи и завершают активные сессии на сервере.

Сотрудники жалуются, что защищённая почта неудобнее обычной. Это нормально?

Отчасти да: дополнительный PIN и запрет копирования замедляют работу. Обычно выгоднее ослабить косметические ограничения (например, разрешить копирование текста внутри контейнера), чем отключать шифрование или разрешать пересылку на личные ящики.