Коротко
- Главные угрозы для рабочего телефона сегодня — поддельные SMS и сообщения в WhatsApp, вредоносные приложения, устаревшая система и обычная потеря или кража.
- В Microsoft 365 Business Premium данные компании на личных телефонах можно защитить политиками защиты приложений Intune, не беря под контроль весь телефон.
- Закон ОАЭ о защите персональных данных (PDPL) действует со 2 января 2022 года, но на октябрь 2026 года исполнительные положения к нему так и не изданы — относитесь к нему как к обязанности проявлять разумную осторожность, а не как к готовому чек-листу.
- Политика на одну страницу и письменный порядок действий при потере телефона важны не меньше, чем технические настройки.
Если сотрудники читают рабочую почту, открывают Teams и переписываются с клиентами в WhatsApp со своих телефонов, у вас уже BYOD (bring your own device — «приноси своё устройство»). Запрещать личные телефоны не нужно. Нужно, чтобы данные компании жили только в управляемых приложениях, вход требовал второго фактора, устаревшие телефоны не допускались, а рабочие данные можно было удалить удалённо, не трогая фотографии и личные переписки сотрудника.
Ниже — реальные угрозы, правовой фон, инструменты Microsoft, за которые многие небольшие офисы уже платят, и два чек-листа.
Что на самом деле угрожает рабочему телефону в 2026 году
Мошеннические сообщения. В феврале 2026 года Совет по кибербезопасности ОАЭ сообщил, что распространение мошеннических сообщений за год выросло примерно на 35%; злоумышленники выдают себя за госорганы и известные компании, чтобы выманить личные и финансовые данные (Khaleej Times / WAM). Признаки: срочность, обезличенное обращение, слишком щедрые предложения, фразы вроде «подтвердите банковский счёт». На телефоне одно касание такой ссылки может стоить пароля от Microsoft 365.
Вредоносные приложения. На Android Google Play Защита проверяет приложения перед загрузкой, сканирует телефон на вредоносные программы из других источников и может блокировать установку непроверенных приложений, запрашивающих разрешения, которые часто используют в финансовом мошенничестве (Справка Google Play). Она включена по умолчанию; в политике закрепите, что её не выключают, а приложения ставят только из официальных магазинов.
Устаревшая система. В бюллетене безопасности Android за ноябрь 2026 года описана критическая уязвимость, позволяющая удалённо выполнить код без каких-либо действий пользователя (Android Security Bulletin).
Потеря и кража. Здесь важно одно: защищены ли данные компании на телефоне и можете ли вы закрыть доступ за несколько минут.
Чего требует закон ОАЭ
Федеральный декрет-закон № 45 от 2021 года о защите персональных данных распространяется на обработку персональных данных полностью или частично с помощью электронных систем и вступил в силу 2 января 2022 года (u.ae). Часть данных из-под него выведена — например, государственные данные, медицинские и банковские данные, которые регулируются своими законами. Компании в свободных зонах с собственными правилами защиты данных, таких как DIFC и ADGM, подчиняются этим режимам (Simmons & Simmons).
С текущим статусом нужна аккуратность. В октябре 2026 года юристы Ashurst отметили, что исполнительные положения «до сих пор не изданы», Управление данных ОАЭ (UAE Data Office) «всё ещё не работает», а на материке правоприменение было очень ограниченным; в DIFC и ADGM, напротив, регуляторы активно применяют свои правила (Ashurst). На практике: закон действует, подробные правила ещё впереди, и вам стоит быть готовыми показать, что клиентские данные на телефонах защищены и могут быть удалены. По конкретной ситуации консультируйтесь с юристом в ОАЭ.
WhatsApp и рабочие данные
Запретить WhatsApp в ОАЭ почти невозможно, но компания не может управлять им на личном телефоне и не может удалить из него данные. Поэтому нужны чёткие границы:
- Никаких копий паспортов, Emirates ID, договоров и банковских реквизитов в личных чатах. Документы — через Outlook, Teams или OneDrive, которые вы можете защитить.
- Номера, по которым пишут клиенты и которые принадлежат компании, работают на корпоративных SIM-картах: при уходе сотрудника номер и история остаются у вас.
- В WhatsApp включена двухшаговая проверка (WhatsApp Help Center), а коды подтверждения никому не сообщают, кто бы ни спрашивал.
Технические меры в Microsoft 365
Microsoft 365 Business Premium (для организаций до 300 пользователей) включает Microsoft Intune Plan 1, и для личных телефонов Microsoft рекомендует управление приложениями, а не всем устройством (Microsoft Learn). Если у вас тариф ниже, сначала проверьте, что входит в ваши лицензии Microsoft 365.
Политики защиты приложений без регистрации телефона
Политики защиты приложений Intune (MAM) работают на уровне приложения — с регистрацией устройства или без неё. Они могут требовать PIN-код или отпечаток для рабочих приложений, запрещать копирование рабочих данных в личные приложения, шифровать рабочие данные и удалять из приложений только данные компании (Microsoft Learn). Личные учётные записи и данные не затрагиваются. На Android приложение Company Portal должно быть установлено даже без регистрации. Базовые рекомендации Microsoft для Business Premium: запретить резервное копирование рабочих данных в iCloud, разрешить передачу рабочих данных только в управляемые приложения, сохранение копий — только в OneDrive и SharePoint.
Условный доступ и многофакторная проверка
Политика условного доступа (Conditional Access) с требованием «Require app protection policy» пускает телефоны к данным компании только через защищённые приложения. Для новых политик Microsoft советует использовать именно это требование: прежнее «Require approved client app» выводится из употребления. Телефон регистрируется через приложение-посредник: Microsoft Authenticator на iOS, Company Portal на Android (Microsoft Learn). В Business Premium многофакторная проверка с приложением вроде Microsoft Authenticator включена по умолчанию.
Когда нужно больше: рабочий профиль и User Enrollment
| Вариант | Что контролирует компания | Когда подходит |
|---|---|---|
| Только защита приложений (без регистрации) | Рабочие данные в Outlook, Teams, OneDrive и приложениях Office | Большинство небольших офисов на Microsoft 365 |
| Рабочий профиль Android Enterprise на личном устройстве | Отдельный рабочий профиль со своими приложениями; личная часть не затрагивается | Сотрудникам на Android нужно несколько рабочих приложений |
| Apple User Enrollment (через учётную запись) | Только учётные записи, настройки и данные организации; ограничений немного | Пользователям iPhone нужны управляемые рабочие приложения или настройки |
На Android личные приложения и данные остаются вне рабочего профиля, и Intune их не касается (Microsoft Learn). User Enrollment у Apple создан именно для личных устройств (Apple Platform Deployment).
Обновления, поддерживаемые версии и резервные копии
Apple называет своевременное обновление «одним из самых важных» шагов для безопасности. 26 октября 2026 года вышла iOS 27.2, а для более старых устройств — iOS 26.7.2 и iOS 18.7.11 (Apple security releases). На Android уровень исправлений безопасности 2026-11-05 или новее закрывает всё из ноябрьского бюллетеня. В политиках защиты приложений можно задать минимальную версию системы или уровень исправлений Android и блокировать либо предупреждать тех, кто ниже. Телефон, который производитель больше не обновляет, не должен открывать данные компании.
Резервные копии: рабочие файлы и почта должны храниться в OneDrive, SharePoint и Exchange, а не на телефоне — тогда потеря телефона стоит только самого устройства. Личные резервные копии — забота сотрудника.
Политика BYOD на одной странице: что проверить
- Какие приложения имеют доступ к данным компании (например, Outlook, Teams, OneDrive, Office), а какие — нет.
- Минимальные требования: блокировка экрана, актуальная версия системы, включённая Play Защита, никаких телефонов со взломанной прошивкой (root или jailbreak), приложения только из официальных магазинов.
- Многофакторная проверка через Microsoft Authenticator для каждой учётной записи; коды подтверждения никому не передаются.
- Простыми словами: что компания может и чего не может видеть и делать на личном телефоне — с подписью сотрудника.
- Правила для WhatsApp: никаких клиентских документов в личных чатах; рабочие номера — на корпоративных SIM-картах.
- Где хранятся файлы: только OneDrive и SharePoint.
- В какой срок и кому сообщать о потере телефона (например, в течение двух часов).
- Что происходит при увольнении: данные компании удаляются из приложений, учётная запись отключается в последний рабочий день.
- Кто пересматривает политику — не реже раза в год.
Что делать, если телефон потерян
- Сотрудник: сразу сообщает руководителю или ИТ любым доступным способом.
- ИТ: в центре администрирования Microsoft Entra выбирает для пользователя Revoke sessions (отозвать сеансы) и меняет пароль, если телефон был разблокирован или пароль мог стать известен (Microsoft Learn).
- ИТ: в Intune создаёт запрос на выборочное удаление данных из приложений (App selective wipe). Данные компании удаляются при следующем запуске приложения, на это может уйти до 30 минут; телефон, который остаётся без сети, хранит локальные данные, пока не подключится (Microsoft Learn).
- Сотрудник: на iPhone — «Локатор» и режим пропажи; стирать телефон только в крайнем случае и не удалять его из «Локатора» (Apple Support). На Android — аналогичный сервис Google.
- Сотрудник: сообщает о краже в полицию и оператору связи, блокирует SIM-карту, чтобы на номер нельзя было получить коды.
- ИТ: проверяет последние входы в учётную запись и отключает потерянный телефон в списке зарегистрированных устройств пользователя.
- Руководитель: если могли пострадать персональные данные клиентов, фиксирует, что произошло, и уточняет у юриста, нужно ли уведомить клиентов или регулятора.
Чем мы поможем
Мы настраиваем защиту Microsoft 365 для небольших офисов в Дубае: политики защиты приложений, условный доступ, внедрение многофакторной проверки и письменную политику BYOD — в рамках услуг по информационной безопасности. Для телефонов, которым нужна дополнительная защита, поможем выбрать защитное программное обеспечение, а запросы о потерянных телефонах можем взять на себя в рамках абонентского ИТ-обслуживания.
Источники: Khaleej Times: UAE alerts public to risks from phishing, SMS scams (1 Feb 2026)
Google Play Help: Use Google Play Protect to help keep your apps safe
Android: Security Bulletin, November 2026
u.ae: Data protection laws
Simmons & Simmons: UAE Personal Data Protection Law – FAQs
Ashurst: Data, cyber and AI law, regulation and enforcement in the UAE (7 Oct 2026)
WhatsApp Help Center: How to manage two-step verification settings
Microsoft Learn: Intune device and application management in Microsoft 365 Business Premium
Microsoft Learn: App protection policies overview
Microsoft Learn: Conditional Access grant controls
Microsoft Learn: Enroll personal devices with Android Enterprise work profile
Apple Platform Deployment: User Enrolment and device management
Apple: Apple security releases
Microsoft Learn: Revoke user access in an emergency
Microsoft Learn: How to wipe only corporate data from apps
Apple Support: If your iPhone or iPad is lost or stolen
