Платформа корпоративных микроприложений WorksPad для защиненной мобильной работы

15.11.2026

Мобильность в корпоративной среде давно перешла из разряда удобства в разряд инфраструктурной необходимости, но вместе с ней обострился и главный вопрос — контроль над данными, которые сотрудник уносит с собой в кармане. WorksPad, разработанный компанией «РуПост» и входящий в экосистему «Группы Астра», отвечает на этот вопрос архитектурно: это платформа корпоративных микроприложений и одновременно полноценный EMM-стек, объединяющий суперапп, управляемый контейнер и MDM в одном продукте. Разберём, как это устроено на уровне функциональности и какие преимущества даёт каждой из сторон — пользователю, ИТ-службе и службе информационной безопасности.

Архитектура: клиент-сервер внутри корпоративной сети

WorksPad построен по классической клиент-серверной модели: серверная часть разворачивается в локальной сети организации, клиентом выступает мобильное приложение на iOS, Android, в том числе отечественных мобильных ОС на базе открытого Android-кода. Серверная часть кроссплатформенна — она работает под Windows Server на IIS или под Linux (Astra Linux, Debian, ALT Linux) на Apache и Nginx, поддерживает СУБД Microsoft SQL Server и PostgreSQL, а также масштабирование через балансировщики нагрузки.

Такая схема даёт два принципиальных следствия. Во-первых, все данные остаются в периметре организации: публичные хранилища и сторонние облака не используются, контент циркулирует между сервером заказчика и контейнером на устройстве. Во-вторых, платформа выступает посредником между пользователем и корпоративными сервисами — почтой, веб-порталами, сетевыми папками, библиотеками SharePoint, — что позволяет не открывать наружу протоколы вроде IMAP и SMTP и не выстраивать цепочки VPN под каждый сервис.

Суперапп: рабочий набор инструментов в одном контейнере

Клиентский контейнер WorksPad объединяет в едином интерфейсе функции, которые традиционно разнесены по отдельным приложениям и системам. В его состав входят:

• почта, календари и адресные книги — с подключением к RuPost, Microsoft Exchange, CommuniGate Pro, серверам по протоколам IMAP/SMTP/CalDAV/CardDAV и облачным платформам уровня Яндекс 360 и VK WorkSpace;
• файловый слой — доступ к сетевым папкам, SharePoint и корпоративному файлообменнику, синхронизация с рабочим компьютером через PC Sync Agent по модели корпоративного Dropbox, но без выноса данных во внешние облака;
• офисный пакет с автономным редактированием документов Word, таблиц Excel и презентаций PowerPoint, чтением OpenDocument, аннотированием PDF и работой с запароленными архивами; на Android редактирование обеспечивает встроенный модуль WorksPad Editor;
• управляемый браузер с белыми и чёрными списками ресурсов и корпоративными закладками — через него открываются CRM, СЭД, Jira, Confluence и BI-панели.

Существенная деталь — разделение трафика на уровне приложения: рабочие ресурсы открываются только внутри контейнера, а личный интернет-серфинг сотрудник ведёт в штатном браузере устройства. Документы из корпоративных источников изолированы: их невозможно открыть в сторонних приложениях, скопировать в личное хранилище или переслать через обычный мессенджер. При этом удалённая очистка контейнера не затрагивает личные данные пользователя — разделение личного и корпоративного остаётся явным на уровне архитектуры, а не регламента.

Модель безопасности: послойный контроль контента

Защитный контур WorksPad выстроен эшелонами, и в этом одна из его сильных сторон как инженерного решения. Контейнер размещается в зашифрованной области памяти устройства с запретом записи на внешние носители; поддерживаются варианты шифрования средствами ОС, AES-256 и ГОСТ-шифрование (редакции WorksPad R/RX на криптобиблиотеках ViPNet).

Набор политик ИБ охватывает весь жизненный цикл данных в контейнере: управление Open In и Copy-Paste, запрет печати и скриншотов, «водяные знаки» поверх документов, писем и веб-страниц, контроль jailbreak и root с реакцией вплоть до затирания данных, wipe и lock при инцидентах, политика одобрения подключения Access by Approval как второй фактор аутентификации, анонимизация push-уведомлений. Политики компонуются в профили и применяются к группам пользователей: для рядовых информационных работников — мягкие ограничения, для юристов или руководителей с высокочувствительными данными — максимальный уровень защиты.

Отдельно отмечу честный характер архитектуры в части приватности: в WorksPad нет и не планируется слежка за пользователем на уровне устройства — геопозицией, содержимым за пределами контейнера платформа не интересуется. Логируются только действия внутри контейнера, на сервере и в корпоративных системах. Для модели BYOD, доминирующей среди офисных сотрудников, это снимает ключевой барьер внедрения.

Платформа микроприложений: точка дифференциации

Наиболее выраженное отличие WorksPad от классических EMM — платформа корпоративных микроприложений. Через чат-боты и микро-аппы внутри контейнера сотрудники взаимодействуют с корпоративными системами: заказ пропусков, бронирование переговорных, согласования, справочные запросы. Микроприложения создаются силами самого заказчика в визуальном редакторе форм, поддерживается разработка на Python, .NET и других языках; интеграция с внешними мессенджерами вроде Telegram и Teams выполняется в контролируемом контуре, без скрытых коммуникаций в обход почтового сервера организации.

Экономическая логика здесь прозрачна: вместо разработки полноценного мобильного клиента под каждую корпоративную информационную систему компания получает интерфейс «только нужная функция на маленьком экране». Это быстрее, дешевле и безопаснее, причём работает и для систем, чей веб-интерфейс не оптимизирован под мобильные устройства. Поддерживаются и веб-миниприложения на технологиях PWA и WebAssembly с ролевой моделью доступа.

WorksPad MDM: управление устройством и контентом

Редакция WorksPad MDM закрывает сценарии, где контейнера недостаточно и нужен контроль самого устройства: доставка профилей, политик, сертификатов и настроек Wi-Fi, парольные политики, автоматическая проверка соответствия устройств требованиям организации, корпоративный магазин приложений, режимы киоска для терминалов сбора данных. Совокупно платформа предоставляет более ста политик управления, 2FA/TOTP, ролевую модель с разделением полномочий администраторов и полное логирование.

Важна и открытость к существующему ландшафту: WorksPad совместим со сторонними MDM, интегрируется с DLP-системами (Solar Dozor, SearchInform и другие) и корпоративными VPN, события транслируются по протоколу Syslog в SIEM. Аутентификация опирается на службы каталогов — Microsoft Active Directory, ALD Pro, FreeIPA, OpenLDAP, — и пользователи наследуют права доступа из корпоративной сети.

Совокупный эффект и границы применимости

Преимущества складываются в три измерения. Организационное: постоянная доступность сотрудников вне офиса, работа с документами на ходу, отказ от бумажных согласований, безбумажные совещания с материалами, которые остаются внутри контейнера. Финансовое: поддержка BYOD сокращает парк корпоративных устройств, а микроприложения снижают затраты на разработку мобильных клиентов. Рисковое: защищённый доступ к корпоративным данным в контролируемом контуре вместо неуправляемой россыпи личных приложений; по совокупности функций решение претендует на замену связки зарубежных продуктов уровня AirWatch, CheckPoint и Citrix.

Объективные границы стоит учитывать при планировании внедрения. Серверная часть требует собственной инфраструктуры и компетенций администрирования; для push-уведомлений задействуется облачный шлюз, взаимодействующий с сервисами Apple и Google; политика Access by Approval требует участия администратора в подключении устройств. Ценность контейнера и микроприложений раскрывается постепенно — методичной проработкой политик, ролей и сценариев, а не одномоментным развёртыванием.

В итоге WorksPad занимает на российском рынке редкую позицию: единственное в реестре отечественного ПО решение, закрывающее весь EMM-стек — суперапп, платформу микроприложений и MDM — в одном продукте, с поддержкой ГОСТ-шифрования и связкой с экосистемой «Группы Астра». Для организации это означает возможность выстроить защищённое мобильное рабочее место на компонентах одного вендора, с единой консолью управления и единой техподдержкой.