WorksPad — корпоративное решение для организации защищенной мобильной работы сотрудников
15.11.2026
Организация защищенной мобильной работы традиционно строилась вокруг управления устройствами: MDM-системы настраивали смартфоны, следили за паролями и при потере стирали всё содержимое. WorksPad, продукт компании «РуПост», входящей в «Группа Астра», предлагает иную расстановку акцентов — контроль переносится с корпуса устройства на сами данные. Центральная конструкция здесь — изолированный управляемый контейнер, который превращает смартфон или планшет сотрудника в полноценное корпоративное рабочее место, не затрагивая личную среду владельца.
Это решение класса Enterprise Mobility Management (EMM), причём единственное в реестре отечественного ПО, закрывающее весь стек сценариев: суперапп, платформу микроприложений и MDM в одном продукте. Клиент-серверная архитектура разворачивается on-premise — серверная часть устанавливается в сети организации, и рабочие данные не покидают её периметр.
Серверный контур и шлюзирование трафика
Сервер WorksPad компонуется из нескольких сервисов с раздельной ответственностью. Gateway Service принимает трафик клиентских и веб-приложений по протоколам HTTPS, WSS и TCP и проксирует его к внутренним системам; Share Service отвечает за доставку контента; отдельные сервисы обслуживают push-уведомления и интеграцию с офисной инфраструктурой. Разработчик рекомендует размещать обратный прокси на одном узле с сервером и держать всю систему во внутреннем сегменте сети.
Инженерная ценность такой схемы — в устранении типовых уязвимостей периметра. Для мобильного доступа к почте, календарям и веб-интерфейсам корпоративных систем не требуется открывать наружу IMAP, SMTP или CalDAV и строить цепочки VPN для каждого сервиса: весь рабочий трафик идёт в зашифрованном туннеле к шлюзу, а корпоративные ресурсы остаются невидимыми извне. При этом подключение поверх существующего корпоративного VPN поддерживается без конфликтов.
Серверная часть работает под Windows Server, хранит служебные данные в Microsoft SQL Server, аналогично поддерживаются PostgreSQL/Tantor, а интеграция со службами каталогов ведётся по LDAP в режиме чтения — с Active Directory, ALD Pro, FreeIPA и Samba DC. Права пользователя мобильного клиента наследуются напрямую из корпоративного каталога, что исключает расползание локальных учётных записей.
Суперапп: рабочий стол предприятия на мобильном устройстве
Клиентский контейнер для iOS, Android и «Авроры» объединяет в едином интерфейсе набор инструментов, которые в классической ИТ-инфраструктуре разнесены по отдельным системам:
- почта, календари и адресные книги — с поддержкой RuPost, Microsoft Exchange, CommuniGate Pro, серверов по протоколам IMAP/SMTP/CalDAV/CardDAV и облачных платформ уровня Яндекс 360 и VK WorkSpace;
- файловый слой — доступ к сетевым папкам, SharePoint, синхронизация с рабочим компьютером через PC Sync Agent по модели «корпоративного Dropbox» без выноса данных во внешние облака;
- офисный пакет с автономным редактированием Word, Excel, PowerPoint, чтением OpenDocument, аннотированием PDF и работой с запароленными архивами;
- управляемый браузер с черными и белыми списками ресурсов и корпоративными закладками, через который открываются CRM, СЭД, Jira, Confluence и BI-панели.
Принципиальная особенность — разделение трафика на уровне приложения: рабочие ресурсы открываются только внутри контейнера, а личный серфинг сотрудник ведёт в штатном браузере устройства. На Android редактирование документов обеспечивает встроенный модуль WorksPad Editor, что снимает зависимость от сторонних офисных приложений.
Модель безопасности: эшелоны вместо единого барьера
Защитный контур выстроен послойно. Контейнер размещается в защищённой области памяти устройства с аппаратным запретом записи на внешние носители; данные внутри шифруются по AES-256, а в редакции WorksPad R — по ГОСТ с использованием сертифицированной криптографии «ИнфоТеКС». Резервное копирование контейнера и перенос на внешнюю память блокируются, подключение устройства к серверу проходит через механизм «Access by Approval» — по сути, второй фактор авторизации, требующий явного одобрения администратора.
Слой политик управляет всеми каналами утечки на уровне интерфейса: «Open In», копирование и вставка, печать, скриншоты, водяные знаки поверх документов и писем, запрет трансляции экрана и прямого обмена файлами между устройствами. Контроль jailbreak и root настраивается с градуированной реакцией — от уведомления до дистанционного затирания контейнера.
Особого внимания заслуживает интеграция с российскими DLP-системами — InfoWatch Traffic Monitor, Solar Dozor, «СерчИнформ КИБ», FalconGaze SecureTower. Она работает в двух режимах: пассивном мониторинге и активном «в разрыв», когда при попытке скачать вложение сервер запрашивает вердикт у DLP и блокирует передачу конфиденциальных данных. Это переводит мобильный контур из режима реагирования «после утечки» в режим предупреждения «до утечки». Все события — включая передачу файлов с сервера на устройство — фиксируются в журналах, доступных службе безопасности.
BYOD и корпоративные устройства: два режима одного контейнера
Ключевое различие с классическим MDM — отношение к личному пространству сотрудника. В сценарии BYOD разворачивается только контейнер: компания управляет данными и приложениями, а не устройством, и удалённая очистка затрагивает исключительно рабочую зону. На корпоративных девайсах контейнер дополняется агентом MDM с полным контролем камеры, Bluetooth, Wi-Fi и профилей; для терминалов сбора данных и специализированных планшетов предусмотрены режимы киоска и мультиапп-киоска.
Такая двойственность даёт организации гибкость: рутинные офисные роли обходятся без выделенных смартфонов, а строго регулируемые зоны — производство, полевые службы, безопасность — получают полностью управляемые устройства. Парк корпоративной техники при этом сокращается без потери контроля.
Микроприложения: расширение без затрат на разработку
Платформа микроприложений — наиболее выраженная точка дифференциации WorksPad. Внутри контейнера работают чат-боты и микро-аппы, через которые сотрудники взаимодействуют с корпоративными информационными системами: заказ пропусков, бронирование переговорных, согласования, справочные запросы. Микроприложения создаются силами самого заказчика в визуальном редакторе с поддержкой привычных языков программирования — без крупных вложений в мобильную разработку и без выноса данных за периметр.
Экономическая логика прозрачна: вместо разработки полноценного мобильного клиента под каждую КИС компания получает интерфейс «только нужная функция на маленьком экране» — быстрее, дешевле и безопаснее. Поддерживаются и веб-миниприложения на технологиях PWA и WebAssembly, а интеграция с внешними мессенджерами вроде Telegram и Teams выполняется в контролируемом контуре, без скрытых коммуникаций в обход почтового сервера.
Администрирование и место в ландшафте импортозамещения
Для ИТ-служб доступны более ста политик управления: требования к паролям, контроль соответствия устройств корпоративным требованиям, доставка сертификатов и профилей, корпоративный магазин приложений, ролевая модель и разделение полномочий администраторов. Модульная структура редакций позволяет масштабировать внедрение — от работы только с документами до полного супераппа с MDM и платформой микроприложений; лицензирование ведётся по пользователю или устройству, от десяти лицензий.
С точки зрения импортозамещения продукт занимает редкую нишу: кроссплатформенность по серверной части (Windows и Linux), совместимость с российскими мобильными операционными системами и доверенное мобильное приложение. Экосистемная связка с RuPost и настольным клиентом RuPost Desktop X позволяет выстроить единое цифровое рабочее место — с одинаковым интерфейсом, одним сервером управления и единой техподдержкой в рамках «Группы Астра».
Практический эффект и ограничения
Совокупный эффект внедрения складывается из трёх измерений. Организационное — оптимизация процессов за счёт постоянной доступности сотрудников и отказа от бумажных согласований. Финансовое — сокращение парка корпоративных устройств за счёт поддержки BYOD и снижение затрат на разработку мобильных клиентов благодаря микроприложениям. Рисковое — защищенный доступ к корпоративным данным в контролируемом контуре вместо неуправляемой россыпи личных приложений; по совокупности функций решение способно заменить связку сторонних продуктов уровня AirWatch, CheckPoint и Citrix.
Объективные ограничения тоже существуют. Серверная часть требует собственной инфраструктуры и компетенций администрирования; глубокая интеграция с DLP и каталогами предполагает проектный подход, а не установку «из коробки». Ценность супераппа раскрывается постепенно: на старте организация получает защищённую почту и документы, а расширенные сценарии — микроприложения, совещания, киоски — требуют методичной проработки политик и ролей. В этом смысле WorksPad — не разовый акт внедрения, а российская платформа, которую корпорация развивает соразмерно зрелости своих процессов и своей ИТ-инфраструктуры.
