Новые правила ФСТЭК: больше 10 мобильных устройств — нужна система управления

С 1 марта 2026 года вступил в силу приказ ФСТЭК России №117, устанавливающий новые требования к защите информационных систем государственных органов. Методический документ объёмом 184 страницы детально регламентирует меры защиты, включая контроль мобильных устройств. Что именно изменилось для госорганов и как теперь обеспечивать безопасность смартфонов и планшетов, рассказывает Олег Ассур, технический директор SafeMobile.

Контекст: расширение зоны контроля

Ранее требования к защите государственных информационных систем (ГИС), таких как «Госуслуги» или ЕМИАС, регулировались 17-м приказом ФСТЭК. Новый приказ №117, сменивший его, существенно расширяет сферу влияния.

Теперь документ распространяется на любые информационные системы госорганов и госорганизаций, а не только на ГИС. Под действие регулятора подпадают корпоративная электронная почта, системы электронного документооборота (СЭДО) и даже локальные системы контроля и управления доступом (СКУД).

Конкретный перечень мер регулятор опубликовал 12 апреля 2026 года в масштабном методическом документе. Он охватывает всю инфраструктуру — от ЦОД до устройств интернета вещей (IoT). Ниже мы разберем ключевые требования, касающиеся исключительно защиты мобильных устройств.

Если для доступа к информационным системам используется более 10 мобильных устройств, оператор обязан внедрить систему централизованного автоматизированного управления.

Важное замечание для коммерческого сектора:

Если компания не является государственным предприятием, это не означает, что требования №117 обойдут её стороной. По заявлениям представителей ФСТЭК, данный документ ляжет в основу обновлений для стандартов защиты критической информационной инфраструктуры (КИИ) и персональных данных (ПДн). Поскольку любой работодатель обрабатывает ПДн сотрудников, новые правила в перспективе затронут большинство коммерческих организаций.

BYOD по-русски: «купи устройство для работы»

Вводные разделы приказа №117 носят концептуальный характер, а практический комплекс мероприятий сосредоточен в третьем разделе. Защите мобильных устройств посвящен пункт 3.7. Здесь можно выделить два ключевых положения.

• Автоматизация контроля. Если для доступа к информационным системам используется более 10 мобильных устройств, оператор обязан внедрить систему централизованного автоматизированного управления (класс решений UEM/MDM).
• Жесткий комплаенс для личных гаджетов. Использование сотрудниками личных смартфонов и планшетов допускается только при условии реализации на них всего комплекса установленных мер защиты и полной прозрачности устройства для регулятора.
• В глобальной ИТ-практике классическая концепция BYOD (Bring Your Own Device) предполагает создание изолированного контейнера для корпоративных данных на личном смартфоне сотрудника, куда работодатель не имеет доступа.

Российские реалии, продиктованные приказом №117, трансформируют этот подход. Фактически BYOD превращается в «купи свое устройство для работы». Часть требований ФСТЭК должна выполняться на уровне сертифицированной операционной системы, которая принципиально не может быть установлена на личный потребительский гаджет. У организаций остается два пути: либо закупать устройства с сертифицированной ОС, либо полностью исключить использование мобильных платформ для рабочих задач.

Архитектура ЗМУ: ключевые требования

В методическом документе ФСТЭК меры по защите мобильных устройств обозначены аббревиатурой ЗМУ. Их можно разделить на несколько критических блоков.

1. Идентификация, аутентификация и контроль целостности

Регулятор вводит жесткие регламенты для доступа к устройствам и корпоративным ресурсам:

• Защита экрана. Разблокировка устройства обязательно защищается паролем. Его длина, сложность, срок действия и лимит попыток ввода зависят от класса защищенности системы и настраиваются через UEM-систему.
• Разделение доступа. Вход в корпоративные приложения требует отдельной аутентификации. Для базовых систем достаточно сложного пароля, для более высоких классов — обязательна двухфакторная аутентификация (2FA). Для администраторов, подключающихся к системам наивысшего класса защиты, предусмотрена усиленная аутентификация с одноразовыми паролями.
• Автоматическая блокировка. Экран должен блокироваться автоматически при определенном периоде неактивности пользователя.
• Контроль целостности ОС. Устройство должно непрерывно проверять ОС на предмет несанкционированных изменений и получения прав суперпользователя (Root/Jailbreak). Поскольку штатные средства ОС не всегда способны выявить взлом, эту функцию берет на себя UEM-система. В наиболее защищенных контурах при нарушении целостности устройство должно блокироваться. Эксперты SafeMobile рекомендуют идти дальше: настраивать систему так, чтобы при компрометации ОС корпоративные данные немедленно и безвозвратно удалялись с гаджета.

2. Защита данных и контроль приложений

Регулятор накладывает строгие ограничения на разработчиков мобильного ПО и ИТ-администраторов:

• Изоляция данных. Мобильные приложения обязаны хранить информацию в изолированных «песочницах», не допускать копирования данных в публичные облака и блокировать привязку личных учетных записей к служебному софту.
• Криптография. Передача любых данных должна шифроваться в соответствии со стандартами ГОСТ.
• Политики безопасности. На уровне ОС обязателен сброс устройства к заводским настройкам после 10 неудачных попыток ввода пароля, а также полный запрет на резервное копирование ИС в коммерческие облачные сервисы.
• Белые списки ПО. На устройстве разрешено исполнение только того софта, который одобрен администратором. Удаленное управление гаджетом (подключение к экрану, эмуляция действий) допускается исключительно через авторизованную UEM-систему. Избыточные разрешения у приложений должны централизованно отзываться.
• Принцип наименьших привилегий. Функциональность железа ограничивается строго под рабочие задачи. Если планшет используется только в контуре Wi-Fi, мобильная связь должна быть программно заблокирована. Не нужен Bluetooth — отключить. Если в рабочем приложении есть встроенная функция съемки, штатные приложения камеры и галереи блокируются, чтобы исключить хранение личных медиафайлов.

3. Антивирусная защита и аудит событий

Регулятор требует наличия антивирусного ПО на мобильных устройствах, однако на практике этот пункт имеет свою специфику. В современных мобильных ОС антивирусы сильно ограничены в правах: они не имеют прямого доступа к диску, файловой системе и «песочницам» других приложений. В случае угрозы антивирус может лишь прислать уведомление, но не удалить вредоносный объект.

При выполнении остальных мер приказа (изоляция данных, контроль целостности, белые списки ПО) реальная эффективность мобильного антивируса остается дискуссионной. Если его наличие формально необходимо для соответствия регулятору, SafeMobile рекомендует выбирать наиболее бюджетное сертифицированное решение.

Что касается аудита событий безопасности, система обязана регистрировать инциденты, анализировать их и синхронизировать время на устройствах. Здесь ИТ-службам придется столкнуться с архитектурными ограничениями мобильных ОС: например, стандартными средствами невозможно гарантированно отличить запуск приложения пользователем от фоновой активности системы или отследить передачу файла на внешний носитель.

Что считать мобильной ОС: важный нюанс

В приложении к методическому документу ФСТЭК дает четкую дефиницию: мобильное устройство — это смартфон или планшет под управлением мобильной операционной системы, обеспечивающей управление аппаратными ресурсами и исполнение приложений в рамках специализированной модели (с механизмами жизненного цикла, изоляции и энергосбережения).

Критически важное уточнение: к мобильным ОС не относятся операционные системы общего назначения, адаптированные для мобильных устройств.

Пример: Astra Linux Mobile — это не самостоятельная мобильная ОС, а полноценная Astra Linux Special Edition, функционирующая в режиме «Мобильный». Соответственно, устройства под ее управлением необходимо защищать по правилам для обычных ПК и ноутбуков, без послаблений и ограничений, характерных для ЗМУ.

Сроки и дорожная карта: что делать в 2026 году

Государственным организациям необходимо отчитаться перед ФСТЭК о выполнении требований приказа №117 уже до конца 2026 года. Учитывая, что детальный методический документ появился только в апреле, времени на проектирование и внедрение ИС остается крайне мало.

Чтобы ускорить процесс комплаенса, SafeMobile предлагает бесплатную годовую лицензию на систему управления мобильными устройствами для пилотных и небольших проектов (до 100 устройств). Наиболее оперативный способ развертывания — использование сервиса из аттестованного облака SafeMobile. Это позволит избежать затрат времени и ресурсов на развертывание серверов управления в собственной локальной инфраструктуре организации.