Банки все чаще выдают сотрудникам рабочие смартфоны и планшеты для осуществления непосредственных рабочих функций. На таких устройствах настроена почта, VPN и установлены рабочие приложения с доступом в банковские системы. Чтобы этот парк устройств не стал дырой в безопасности, его держат под централизованным управлением через MDM-систему (Mobile Device Management, «система управления мобильными устройствами»), в рамках которой с одной веб-консоли администратор может настраивать устройства, обновлять приложения и ОС на них, а также удаленно блокировать устройства или какой-то функционал на них.
Для банков - это не желание их службы безопасности, а требование регулятора. В 2025 году Банк России Положением № 851-П обязал их использовать такую систему, причем сертифицированную ФСТЭК, и подтверждать ее соответствие национальному стандарту ГОСТ Р 57580.
Выбирая или обновляя MDM-платформу, банк смотрит на три вещи сразу. Во-первых, продукт должен быть в реестре отечественного ПО, без этого его нельзя применять в объектах критической информационной инфраструктуры (КИИ), а банковские системы как раз к ней относятся. Во-вторых, он должен быть безопасным и подтверждать это действущим сертификатом ФСТЭК (Федеральной службы по техническому и экспортному контролю - это регулятор, который проверяет средства защиты). В-третьих, у него должно хватать функций - и это проверяется по ГОСТу и внутренним требованиям самого банка.
Когда мы, как разработчик «Аврора Центр», приходим к банку с предложением об использовании нашего продукта, в рамках оценки на соответствие мы проходим ряд этапов, включая тестирование на соответствие ГОСТу. И банк присылает не просто вопрос «каким пунктам вы соответствуете», а расширяет его: «мы отправляем больше тысячи устройств в разные города, не распаковывая,— как вы обеспечите активацию без root-доступа?»; «можно ли настроить белый список сайтов?». И здесь важно различать: сертификат ФСТЭК на продукт и соответствие продукта ГОСТу это разные вещи, и их часто смешивают при первичной оценке.
В этой статье мы разберём, по каким критериям оценивают MDM для банков, какие 12 пунктов содержит ГОСТ, и покажем на примере «Аврора Центра», как мы выполняем эти требования.
12 функций ЗУД.10 — и как мы закрываем их в «Аврора Центр»
Требования к MDM по Положению Банка России 851-П сходятся к мере защиты удаленного доступа ЗУД.10 (ГОСТ Р 57580.1-2017): она требует «применение системы централизованного управления и мониторинга (MDM-системы)», реализующей 12 функций. Ниже - как «Аврора Центр» в связке с ОС Аврора закрывает каждую: в правой колонке расписали каким механизмом она реализована.
№ |
Функция ЗУД.10 |
Как реализовано в «Аврора Центр» для ОС Аврора |
1 |
Шифрование + удалённое удаление |
«Аврора Центр» по команде «Очистить устройство» или по офлайн-сценарию дистанционно стирает данные на всем устройстве, а также чистит microSD карту. Шифрование хранилища обеспечивается со стороны ОС Аврора и не возможно для управления, его нельзя выключить. |
2 |
Аутентификация на устройстве |
Саму аутентификацию выполняет ОС Аврора, а «Аврора Центр» задает ей правила: политикой «Требования к паролю» диктует сложность пароля, срок действия в днях и запрещает пользователю ослаблять эти требования. При необходимости «Аврора Центр» сбрасывает доступ пользователям одноразовым паролем. |
3 |
Блокировка по неактивности + повторная аутентификация |
Экран по-умолчанию сам блокируется при простое, и чтобы вернуться к работе, ОС Аврора заново спрашивает пароль. С релиза «Аврора Центра» 5.7 также сможет настраивать время до блокировки экрана. Кроме того, «Аврора Центр» может в любой момент погасить экран принудительно правилом «блокировка экрана», показав нужное сообщение при блокировке. А повторная аутентификация все также выполняется по правилам парольной политики, назначенной в «Аврора Центре». |
4 |
Управление обновлениями системного ПО |
Операционную систему «Аврора Центр» обновляет политикой «Обновление ОС»: указывает целевую версию ОС Авроры из доверенного хранилища и задает окно времени для установки. |
5 |
Управление параметрами безопасности ОС |
Через политики «Ограничение доступа» «Аврора Центр» включает и отключает камеру, микрофон, USB, Bluetooth, а также управляет параметрами пароля доступа в устройство. |
6 |
Управление составом и обновлениями прикладного ПО |
Составом приложений распоряжается политика «Управление приложениями»: «Аврора Центр» ведет списки на установку, а также отдельной политикой на запрет (запрещенное удаляется), устанавливается только то, что подписано нужной подписью источника и разрешено в рамках регулирования доверенных источников |
7 |
Запрет режима USB-накопителя и отладки |
«Аврора Центр» может запретить режим разработчика, отключая отладку, а также передачу данных на USB-накопители и SD-карты. |
8 |
Управление ключами сетевого взаимодействия |
Ключами для защищенного wi-fi «Аврора Центр» управляет по протоколу EAP-TLS и хранит на устройстве доверенные корневые сертификаты. |
9 |
Определение местонахождения устройства |
«Аврора Центр» показывает, где находится устройство: собирает координаты в выбранном режиме и выводит на карту, а в офлайн-сценариях позволяет ограничивать действие устройства по геозонам. |
10 |
Регистрация смены SIM-карты |
При смене SIM-карты в «Аврора Центре» локально срабатывает событие и активируется оффлайн-сценарий на этот случай. |
11 |
Запрет переноса данных в облачные хранилища |
Своего облачного клиента в ОС Аврора нет, а выгрузку через сторонние приложения «Аврора Центр» перекрывает сразу с нескольких сторон: разрешает или запрещает конкретные приложения, навязывает безопасные конфигурации браузера, запрещает разные каналы (USB, SD, Bluetooth). Самый жесткий вариант - межсетевой экран прямо на устройстве: средствами iptables (они входят в ОС Аврора) на устройстве можно отрезать доступ к внешним ресурсам. |
12 |
Централизованное управление и мониторинг при смене SIM |
При смене SIM-карты «Аврора Центр» реагирует офлайн-сценарием локально, даже без сети: блокирует устройство, очищает его, выдает одноразовый пароль или отключает камеру, в зависимости от выбранных политик. |
У «Аврора Центр» есть сертификат ФСТЭК (№ 4203, уровень доверия УД4, действует до 30.12.2029). Он говорит, что продукт протестирован в лаборатории и является безопасным для использования. При этом соответствие ГОСТу проверяют уже на внедрении в банке по фактическим настройкам и журналам. Узнать соответствие можно из общедоступной документации по продукту или при внедрении и тестировании «Аврора Центра».
Но по самой первой мере (шифрования из п.1) стоит отдельно сказать, что ОС Аврора, в отличие от Android, обеспечивает шифрование по-умолчанию, отдельной политики для MDM нет - шифрование не включить и не отключить из системы управления, поскольку все работает уровнем ниже, на самой ОС. MDM не дублирует то, что уже гарантировано платформой.
Целостность и доверенность ПО (Процесс 3)
Контроль доступа — это о том, кто работает с устройством. Но банку важно и другое - какое ПО на устройстве вообще может запускаться. Это Процесс 3 «Контроль целостности и защищённости информационной инфраструктуры» (меры ЦЗИ). Здесь «Аврора Центр» закрывает требования следующим образом:
● замкнутая программная среда (ЦЗИ.20–21): на устройстве работает только разрешенное ПО, вплоть до режима киоска и настройкой браузера через appconfig, создающей белый список сайтов;
● доверенный источник ПО (ЦЗИ.19): приложения ставятся только из доверенных источников и проверяются по подписи источника;
● белые и чёрные списки + контроль состава ПО (ЦЗИ.18): запрещённое ПО удаляется, разрешённое — раздаётся централизованно на группы пользователей или устройств;
● Ограничение средств отладки, управление обновлениями ОС и приложений (ЦЗИ.11–12): «Аврора Центр» позволяет ограничить режим разработчика для отладки, обновлять ОС политикой и устанавливать, обновлять или удалять приложения.
Это та же логика «управления парком», что и в ЗУД, но про другую плоскость — доверенность кода, а не доступ.
«Аврора Центр» как защищённое изделие (Процесс 1)
Есть и третий разрез соответствия, о котором часто забывают: сам инструмент управления тоже должен быть защищён. Процесс 1 «Обеспечение защиты информации при управлении доступом» (меры УЗП и РД) применяется к консоли и серверу самой MDM-системы. «Аврора Центр» здесь реализует:
● ролевую модель и разграничение доступа (РД.31–33): дискреционный и ролевой доступ, типы доступа заданы в конфигурации;
● парольные политики для администраторов (РД.21–23): сложность, длина и срок действия пароля;
● ограничение одновременных сессий (РД.12): число параллельных сессий привилегированных учётных записей ограничено, администратору видно количество активных сессий;
● запрет бесконтрольного изменения настроек защиты (УЗП.11) и регистрацию действий администраторов в журнале безопасности.
То есть «Аврора Центр» соответствует требованиям ЦБ не только как инструмент для чужих устройств, но и как доверенное средство защиты само по себе.
Часть же процессов 57580.1 — защита сетей, антивирусная защита, виртуализация — закрывается не MDM, а СКЗИ, антивирусными средствами и инфраструктурой банка. Это нормально: MDM не дублирует то, что делают другие средства.
Что планируется изменить
Банк России готовит новую редакцию ГОСТ Р 57580.1, согласно публичным разборам проекта Процесс 8 расширяют с мобильных устройств на удалённый доступ в целом, уточняют требования к MDM.
За счет синхронизации роадмапов «Аврора Центра» с ОС Аврора мы уже сейчас максимальным образом поддерживаем различный функционал безопасности, а также самые полезные фичи. Например, одновременный выход релизов ОС Аврора 5.2.1 и «Аврора Центр» 5.6 позволяет сразу передать заказчикам связку релизов с новым, более безопасным и быстрым способом активации устройства без захода в режим администратора, дающего привилегированный доступ к устройству.