Сотрудники приносят на работу собственные iPhone и Android-устройства и хотят с них читать почту, согласовывать документы и видеть отчёты. Это удобно бизнесу – компания не покупает технику, а человек работает на привычном аппарате. Но вместе с удобством в периметр попадают устройства, которые ИТ-служба не контролирует: с джейлбрейком, без пароля, с десятком сторонних приложений. BYOD (Bring Your Own Device) – это не лозунг, а набор инженерных и организационных решений, которые нужно принять заранее.

BYOD против корпоративного парка

Чистый BYOD редко работает в госсекторе и на крупных предприятиях. Регламенты по защите персональных данных (152-ФЗ) и работа с информацией ограниченного доступа требуют контроля над устройством, а личный аппарат сотрудника таким контролем не обеспечишь. Поэтому в реальности побеждают гибридные модели.

  • COPE – устройство покупает компания, но разрешает личное использование. ИТ-служба ставит политики, шифрование и удалённую очистку.
  • CYOD – сотрудник выбирает аппарат из утверждённого списка, дальше им управляет организация.
  • Контейнеризация – на личном устройстве выделяется изолированный рабочий контейнер. Корпоративные данные шифруются и живут отдельно от личных фото и мессенджеров.

Для госзаказчика разумная отправная точка – COPE или CYOD с контейнером. Для коммерческой компании со зрелой ИТ-службой допустим полноценный BYOD, если рабочие данные физически отделены от личных.

MDM: чем управлять парком

Управление парком устройств строится на MDM-платформе (Mobile Device Management). Минимальный набор функций, без которого внедрение не имеет смысла:

  • принудительная политика паролей и шифрования хранилища;
  • удалённая блокировка и стирание корпоративного контейнера при увольнении или утере аппарата;
  • запрет устройств с джейлбрейком и root-доступом;
  • управляемая раздача и отзыв приложений через внутренний каталог;
  • инвентаризация: версии ОС, установленный софт, статус соответствия политикам.

В арсенале есть и инструменты вендоров – Apple Configurator и программы для образовательных и корпоративных закупок, профили конфигурации iOS, Samsung KNOX на Android. Связку из них и MDM-сервера мы и собираем под конкретного заказчика.

Серверная часть – половина проекта

Приложение на телефоне – лишь витрина. Основная инженерная работа идёт на бэкенде, который кормит парк устройств данными и принимает их обратно. Здесь несколько узлов, требующих внимания.

Синхронизация: устройство периодически теряет сеть, поэтому приложение должно работать офлайн и аккуратно разрешать конфликты при возврате в онлайн. Под профиль «много мелких записей, гибкая схема» часто удобнее документные хранилища – мы разбирали это в материале о NoSQL в продакшене.

Развёртывание и масштабирование: мобильный бэкенд получает рваную нагрузку – утренний пик при входе сотрудников в систему, затишье днём. Контейнеры дают предсказуемую упаковку сервисов и быстрый откат версий; о выходе Docker 1.0 в продакшен и о запуске Kubernetes для оркестрации мы писали отдельно. Для корпоративной мобилки это не мода, а способ держать несколько окружений и катить обновления без простоя.

Безопасность канала: трафик только по TLS, аутентификация по сертификатам устройства, токены с коротким сроком жизни. Контейнер на телефоне бесполезен, если данные утекают по дороге к серверу.

Вывод

BYOD и управление парком – это про дисциплину, а не про гаджеты. Сначала модель владения и политики MDM, затем архитектура бэкенда, и только потом интерфейс приложения. Именно в такой последовательности и выстраивается разработка корпоративных мобильных приложений – от профилей устройств до серверной части. Так парк остаётся управляемым, а данные – внутри периметра.