«Норникель» отказался от американского софта для контроля за мобильниками сотрудников

Путь на импортозамещение

Как выяснил CNews, ПАО «ГМК «Норильский никель», одно из крупнейших горно-металлургических предприятий России, объявило тендер на импортозамещение системы контроля мобильных устройств (СКМУ) на более чем 1500 пользователей. Начальная цена контракта не раскрывается, прием заявок на площадке «Росэлторг» завершится 17 июля 2026 г. Подведение итогов и выбор победителя запланированы на 30 сентября 2026 г.

На проведение импортозамещения компания отвела 160 дней с момента заключения контракта. Подрядчику предстоит провести предпроектное дообследование, разработку документации технического проекта, поставку ПО, пуско-наладочные работы, опытно-промышленную эксплуатацию и приемочные испытания системы.

Подрядчику предстоит заменить используемое сейчас американское решение Workspace ONE UEM на отечественный продукт.

Что собой представляет американское решение

Workspace ONE UEM долгое время принадлежал американской компанией VMware, которая была основана в США (Калифорния) и являлась одним из мировых лидеров в области виртуализации и управления корпоративной инфраструктурой.

VMware объявила об уходе из России еще в 2022 г., однако поддержка решений продолжалась. В 2023 г. Workspace ONE было передано другой американской компании Omnissa, которая продолжила развивать Workspace ONE UEM как свой флагманский продукт. Это решение, которое ранее называлось AirWatch, долгое время считался мировым лидером в области управления корпоративными мобильными устройствами и одним из первых решений, которое предложило концепцию защищенного контейнера на личных устройствах сотрудников. Это позволило компаниям внедрять политику BYOD, разделяя личные и корпоративные данные на одном смартфоне. Если сотрудник увольнялся или терял телефон, корпоративные данные можно было удаленно стереть, оставив личные файлы нетронутыми.

«Норникель» ищет замену американскому ПО для управления мобильными устройствами

Знаменитая особенность Workspace ONE UEM — управление из одной веб-консоли всеми устройствами компании: от смартфонов до полноценных рабочих станций. Администратор мог видеть на одном экране тысячи устройств, применять политики, устанавливать приложения и отслеживать нарушения безопасности.

Workspace ONE UEM выступает в качестве единого центра управления, давая полный контроль жизненного цикла смартфонов (iOS, Android), настольных компьютеров (Windows, macOS, Linux, ChromeOS), защищенных устройств, носимых устройств и устройств интернета вещей.

Как работает в «Норникеле»

В «Норникеле» система СКМУ состоит из следующих основных компонентов: Workspace ONE UEM Console, Device Services, VMware AirWatch Cloud Messaging, AirWatch Cloud Connector и Application Programming Interface и входит в бизнес-процессы управления средствами защиты информации. Совместно они выполняют следующие функции: управление развертыванием множества мобильных устройств из одной консоли; быстрая и простая регистрация устройства в корпоративной среде; дистанционная конфигурация и обновление настроек устройств; применение политик безопасности и соответствия стандартам, а также безопасный мобильный доступ к корпоративным ресурсам.

Все компоненты СКМУ «Норникеля» реализованы в виде виртуальных машин, функционирующих в виртуальной среде VMware vSphere. Компоненты СКМУ для ООО «ГРК Быстринское» функционируют в виртуальных средах VMware vSphere и Hyper-V. Все серверы компонентов СКМУ за исключением компонентов Unified Access Gateway и балансировщика нагрузки функционируют под управлением операционной системы Windows Server 2016 Standard.

Компонент Unified Access Gateway реализован в виде виртуального программного комплекса под управлением модифицированной операционной системы VMware Photon OS 3 и поставляется компанией VMware в виде готового программного решения. Компонент балансировщика нагрузки реализован в виде виртуального программного решения под управлением модифицированной операционной системы типа Linux и поставляется Citrix в виде готового программного решения.

Вендор уходит окончательно

Эксплуатация Workspace ONE UEM в России уже не представляется возможной. Как говорится в материалах «Норникеля», текущий вендор покинул российский рынок, а техническая поддержка его системы прекращается с 1 апреля 2027 г. В сложившейся ситуации эксплуатация иностранного ПО становится невозможной: компания не сможет получать обновления, устранять уязвимости и подключать новые модели мобильных устройств. Особую проблему представляет управление техникой Apple — для работы с iOS необходимы ежегодно обновляемые сертификаты APNs, которые после ухода вендора станут недоступны. Станет невозможна отправка APNs-уведомлений на iOS-устройства, так как она происходит через облачный ресурс.

«Пользовательские приложения Omnissa (Tunnel, Hub, Boxer и т. д.) могут перестать поддерживать Workspace ONE UEM, заказчик потеряет возможность обновления данных приложений. Смежные серверные компоненты UAG, ENS, Assist и т. п. могут перестать поддерживать интеграцию с Workspace ONE UEM, и заказчик потеряет возможность обновления на более новые версии. Отсутствует возможность обновления ПО, что приводит к постоянному возрастанию рисков ИБ, невозможности исправления выявленных проблем и получения доработок функционала СКМУ», — указано в закупочной документации.

В «Норникеле» система обслуживает две инсталляции: для головной компании — 1260 пользователей и 1500 устройств, для ООО «ГРК Быстринское» — 100 пользователей и 100 устройств. Сейчас все компоненты развернуты на виртуальных машинах под управлением VMware vSphere и обеспечивают круглосуточную работу.

Чем заменить

В компании уже нашли отечественные решения, которые могли бы подойти для замены американского. Рассматриваются три российских продукта: WorksPad, Kaspersky Secure Mobility Management и SafeMobile. Все они должны быть включены в реестр отечественного ПО и устанавливаться на российские операционные системы — Astra Linux, «РедОС» или ALT Linux. Система должна поддерживать СУБД PostgreSQL, Postgres Pro, Tantor и Jatoba, а также обеспечивать интеграцию с Active Directory, удостоверяющим центром Microsoft CA и SIEM-системой заказчика.

Требования к информационной безопасности сформулированы жестко. Парольная политика предусматривает длину не менее 12 символов со сменой каждые 180 дней. Запрещено совмещение полномочий пользователя, администратора и техподдержки в одной учетной записи. Все события безопасности должны регистрироваться и храниться не менее трех месяцев с возможностью передачи в SIEM. Предусмотрено шифрование трафика, защита от вредоносного ПО с ежесуточным обновлением баз и блокировка копирования корпоративных данных на сторонние ресурсы. Администраторам запрещено отключать антивирусную защиту без согласования со службой информационной безопасности.

Шифрование применяется для сетевого трафика и корпоративных данных на мобильных устройствах. Реализована блокировка копирования информационных активов компании на сторонние ресурсы. Предусмотрена удаленная блокировка и стирание данных с устройства при утере или увольнении сотрудника.

Особые требования предъявляются к управлению iOS-устройствами. Система должна поддерживать работу с сертификатами Apple Push Notification Service, обеспечивая отправку уведомлений на устройства сотрудников даже при отсутствии прямой связи с корпоративной сетью.

Техническая поддержка

Технические параметры системы также строго регламентированы. Время восстановления после сбоя не должно превышать четырех часов, допустимая потеря данных для логов — восемь часов, для конфигураций — шестнадцать.

Система обязана выдерживать одновременную работу 1500 пользователей, а переход между разделами интерфейса должен занимать не более десяти секунд. Критичные компоненты требуют отказоустойчивой конфигурации и интеграции с системами резервного копирования Veritas NetBackup и «Кибер Бэкап».

Подрядчик должен выполнить полный цикл работ — от предпроектного обследования до ввода системы в промышленную эксплуатацию. В рамках проекта предстоит развернуть пилотный стенд, разработать 25 видов документации, включая техническое задание и паспорт системы, осуществить миграцию политик и данных, а также обучить администраторов.

Квалификационные требования к исполнителю включают наличие лицензии ФСТЭК, опыт работы на рынке не менее пяти лет и успешную реализацию как минимум трех аналогичных проектов.

Мнение экспертов

«Внедрение системы контроля мобильных устройств на 1500 пользователей можно назвать скорее крупным, чем средним. Стоимость пользовательской лицензии может составлять от нескольких десятков тысяч рублей, а сопоставимые трехлетние лицензии — около 40–50 тыс. руб. за одного пользователя. То есть на 1500 пользователей — около 30–75 млн руб. Стоимость требуемых работ по предпроектному дообследованию, пусконаладке, опытной эксплуатации и приемочным испытаниям может составить еще 20–50 млн руб. Таким образом, общая стоимость может составить от 50 млн руб. до 125 млн руб., точная сумма будет зависеть от выбранного решения и сложности интеграции», — подсчитал для CNews Виталий Шапошников, руководитель проектов практики «Промышленность и технологии» компании Strategy Partners.

По словам эксперта, СКМУ относится к классу решений MDM/EMM/UEM, предназначенных для централизованного управления корпоративными мобильными устройствами, приложениями и политиками безопасности. В частности, эти решения позволяют контролировать соответствие устройств требованиям, ограничивать доступ к внутренним ресурсам и дистанционно блокировать устройства.

«Для «Норникеля» это особенно существенно, потому что мобильные устройства могут использоваться не только руководителями в центральном офисе для доступа к почте и документам, но и сотрудниками территориально распределенных подразделений. Кроме того, переход на российское решение позволит сохранить контроль над устранением уязвимостей и обновлением совместимости», — отметил Виталий Шапошников.

Генеральный директор российской IT-компании «ГрафТех» (разработчик редактора технической и бизнес-графики «Автограф», к.т.н.) Петр Василенко отмечает, что «Норильский никель» является одним из первых крупных игроков корпоративного сектора, который системно подошел к вопросу импортозамещения. Их проект по миграции серверной и пользовательской инфраструктуры стартовал еще в конце 2023 г. и активно развернулся в 2024 г.

«Мы имели возможность участвовать в этом процессе на этапе замещения ПО для визуализации данных, в частности замены Microsoft Visio. Ключевой нюанс здесь — бюджетный фактор. Компания уже сформировала четкий целевой ИТ-ландшафт, определив, какими российскими продуктами будет замещен каждый иностранный «кубик» в пирамиде систем. Однако одномоментный переход невозможен, поскольку каждый этап (закупка лицензий, миграция данных и обучение персонала) требует колоссальных финансовых и человеческих ресурсов», — пояснил Василенко.

По словам эксперта, процесс в «Норникеле» идет поступательно. Основным триггером для замены служит не абстрактное желание, а жесткие технические обстоятельства — как в текущем случае, когда истекает срок техподдержки иностранного вендора и ее продление становится невозможным. Как только поддержка заканчивается, система подлежит обновлению согласно утвержденному плану.

«В этом смысле «Норильский никель» действительно находится на передовой импортозамещения, демонстрируя один из самых активных темпов перехода среди российских промышленных гигантов», — считает Василенко.

Рынок управления мобильностью

Начиная с 2022 г. общий рынок управления мобильностью активно рос: в 2023 г. его объем примерно удвоился, в 2024 г. вырос на 55%, а в 2025 г. — на 22%.

По оценке Strategy Partners, в 2025 г. общий объем рынка составил 1,9 млрд руб. Доля VMware Workspace ONE снизилась с 31% в 2021 г. до менее чем 5% в 2025 г. На текущий момент лидером рынка является решение WorksPad от Группы «Астра».

«Сегмент сохраняет высокий потенциал роста за счет низкой базы. Дальнейший спрос будет поддерживаться необходимостью замены устаревших или неподдерживаемых западных решений. В отличие от почты, где замещение часто уже является обязательной инфраструктурной темой, в системах контроля мобильных устройств внедрение чаще проходит как следующий шаг после наведения порядка в более критичных слоях ИТ-ландшафта», — заявил Шапошников.

Российский рынок за последние годы достаточно быстро переориентировался с международных MDM‑платформ на отечественные решения, рассказал руководитель направления ИТ-инфраструктуры К2Тех Алексей Зотов.

«Сейчас крупный заказчик уже фактически работает с шорт‑листом: на рынке есть несколько конкурирующих платформ, функциональность которых изначально проектируется под локальные требования, регуляторику и практику российских компаний. В итоге такой проект не сводится к формальному выполнению требований по импортозамещению, а становится переходом на живую экосистему, где есть поддержка, обновления и понятная дорожная карта развития. Это позволяет снизить операционные и санкционные риски и выстраивать архитектуру мобильной безопасности вне зависимости от внешних факторов», — заключил Алексей Зотов.