Требования к мобильному приложению гост. Мобильные банковские приложения для iOS. Параметр компиляции PIE

Ведущий исследователь ИБ в Digital Security

Каждая мобильная ОС имеет свою специфику, в каждой из них можно обнаружить большое количество как новых, так и хорошо известных уязвимостей.

Основные результаты исследования

Подтвердилась тенденция, отмеченная экспертами в традиционных ежегодных отчетах в области безопасности систем ДБО. Разработчики мобильных банк-клиентов не уделяют достаточного внимания вопросам безопасности приложений, не следуют руководствам по безопасной разработке. Зачастую отсутствуют процессы разработки безопасного кода и архитектуры. Оказалось, что все рассмотренные приложения содержат хотя бы одну уязвимость, позволяющую либо перехватить данные, передающиеся между клиентом и сервером, либо напрямую эксплуатировать уязвимости устройства и самого мобильного приложения.

Так, 35% мобильных банков для iOS и 15% мобильных банков для Android содержат уязвимости, связанные с некорректной работой SSL, а это означает возможность перехвата критичных платежных данных с помощью атаки "человек посередине". 22% приложений для iOS потенциально уязвимы к SQL-инъекции, что создает риск кражи всей информации о платежах с помощью нескольких несложных запросов. 70% приложений для iOS и 20% приложений для Android потенциально уязвимы к XSS - одной из самых популярных атак, позволяющей ввести в заблуждение пользователя мобильного банк-клиента и таким образом, например, украсть его аутентификационные данные. 45% приложений для iOS потенциально уязвимы к ХХЕ-атакам, особенно опасным для устройств, подвергнутым столь популярной в России операции jailbreak. Около 22% приложений для Android неправильно используют механизмы межпроцессного взаимодействия, тем самым фактически позволяя сторонним приложениям обращаться к критичным банковским данным.

Мобильный мир

Учитывая растущую популярность мобильных банковских приложений, существуют серьезные опасения относительно их безопасности, ведь бреши в системах защиты могут повлечь за собой финансовые потери сотен десятков пользователей. Команда Digital Security провела исследование, собрав угрозы, уязвимости и векторы атак для банк-клиентов, разработанных для мобильных платформ (Android и iOS). Были изучены мобильные банковские приложения более чем 30 российских банков, включая банки "Санкт-Петербург", "Балтика", Банк24.ру, БФА, ВТБ; ВТБ24, Газпромбанк. Инвестбанк, Крайинвест-банк, КС Банк, Мастер-Банк МДМ Банк, Московский Индустриальный Банк, Московский Кредитный Банк МТС-Банк, НОМОС-Банк; ПримСоцБанк, Промсвязьбанк, Росбанк, РосЕвро-Банк, "Русский Стандарт". Сбербанк и др.

Популярные мобильные ОС

Почему изучались именно эти операционные системы? ОС Android и iOS наиболее распространены на сегодняшний день и имеют наибольшее количество мобильных банковских приложений в своих магазинах (Google Play и Арр Store соответственно).

ОС Windows Phone достаточно молода и еще не так распространена среди пользователей, но уже сейчас имеет в своем магазине (Windows Store) небольшое количество мобильных банковских приложений. В данное исследование приложения для ОС Windows Phone не включены из-за их малого количества на данный момент (в Windows Store их всего 9). Но с учетом появления Windows Phone 8, содержащей новую модель разработки, позволяющую (благодаря легкому портированию) одновременно разрабатывать приложения для обычной ОС Windows 8 и мобильной, можно ожидать роста популярности разработки под Windows Phone 8.

Классификация приложений для мобильных устройств

Приложения для мобильных устройств можно классифицировать по множеству критериев, но в контексте безопасности приложений нас интересуют следующие: по месту расположения приложения и по типу используемой технологии передачи данных.

По месту расположения приложения:

SIM-приложения - приложение на SIM-карте, написанное в соответствии со стандартом SIM Application Toolkit (STK);
Web-приложения - специальная версия Web-сайта;
мобильные приложения - приложения, разработанные для определенной мобильной ОС с использованием специализированного API, устанавливаемого в смартфон.

По типу используемой технологии взаимодействия с сервером:

сетевые приложения - используют собственный протокол общения поверх TCP/IP, например HTTP;
SMS-приложения - приложения на основе SMS (Short Messaging Service).
Приложение обменивается с сервером информацией с помощью коротких текстовых сообщений;
USSD-приложения - приложения на основе USSD (Unstructured Supplementary Service Data). Сервис основывается на передаче коротких сообщений, схожих с SMS, но имеет ряд отличий;
IVR-приложения - приложения, базирующиеся на технологии IVR (Interactive Voice Response). Система основана на заранее записанных голосовых сообщениях и тональном наборе.

Именно приложения, разработанные для определенной мобильной ОС с использованием специализированного API, устанавливаемые в смартфон для взаимодействия с соответствующим банковским сервисом, сейчас наиболее распространены, так как полностью используют возможности мобильного аппарата и имеют наиболее дружественный пользовательский интерфейс. Их мы и рассматривали в данном исследовании.

Типы приложений для мобильного банкинга

К категории "без доступа к счету" относятся такие программы, которые выполняют лишь вспомогательную работу. Эти функции могут присутствовать и в приложениях, у которых есть возможность работать со счетом. Часто мобильное приложение эволюционирует из простого навигационного приложения в приложение с возможностью работы со счетом. Некоторые банки, наоборот, предпочитают разносить эти функции на несколько приложений, что, с нашей точки зрения, правильно: если критичное приложение (производящее платежные операции) не перегружается лишним функционалом, количество векторов атаки, доступных злоумышленнику, уменьшается. В данном исследовании изучались приложения с доступом к счету.

Методология анализа защищенности мобильных приложений

Во время анализа защищенности мобильного приложения производится оценка защищенности трех основных компонентов: серверной части, клиентской части и канала связи.

Методы оценки безопасности клиентского приложения:

Динамический анализ:
- отладка запущенного приложения (на эмуляторе или устройстве);
- фаззинг;
- анализ сетевого трафика;
- анализ взаимодействия с файловой системой;
- анализ памяти приложения.
Статический анализ: анализ исходного кода (если доступен);
- обратное проектирование (Reverse Engineering);
- дизассемблирование;
- декомпиляция;
- анализ полученного представления на слабые участки кода.

Модели нарушителя

1. Злоумышленник, имеющий физический доступ к устройству клиента. При этом на устройстве не включена блокировка экрана и не используется шифрование.

2. Злоумышленник, не имеющий доступа к устройству, находящийся рядом с жертвой и способный провести атаку типа "человек посередине".

3. Злоумышленник, который загрузил на устройство клиента свое вредоносное приложение, используя официальные магазины приложений или иные способы.

Атаки на серверную часть ничем не отличаются от атак на обычные системы ДБО.

Атаки на клиентскую часть возможны при наличии:

физического доступа к устройству;
вредоносного приложения на устройстве;
возможности контролировать канал, например в результате атаки "человек посередине".

При физическом доступе злоумышленник может получить доступ к файловой системе. Если приложение хранит аутентификационные данные или другие критичные данные в открытом виде либо критичные данные "утекают" в открытом виде, то для злоумышленника несложно получить эти данные и украсть деньги.

Защита: использовать криптографические возможности устройства, шифрование критичных данных и при необходимости возможность удаленной очистки данных, а также проводить анализ защищенности приложения, который поможет выявить возможные утечки критичных данных и некорректное использование шифрования.

Для атаки через вредоносное приложение необходимо установить вредоносное приложение, используя методы социальной инженерии или через атаку Drive-by-Download.

После установки вредоносного приложения злоумышленник может поднять свои привилегии в системе, используя эксплойт для уязвимости в ОС смартфона, и получить удаленный доступ к устройству с полными правами доступа, что приведет к полной компрометации устройства: злоумышленник сможет украсть критичные данные пользователя мобильного банкинга или подменять данные платежных операций.

Защита: обновлять ПО на устройстве, использовать программные средства защиты и повышать осведомленность пользователей в вопросах ИБ.

Атаки на канал связи: в ходе классической атаки "человек посередине" перехватываются данные между устройством клиента и сервером. Для этого необходимо находиться в одной сети с жертвой, например в публичной сети Wi-Fi, или использовать поддельные беспроводные точки доступа и поддельные базовые станции. Необходима уязвимость в мобильном приложении некорректная работа с шифрованием передаваемых данных или полное отсутствие шифрования данных. Самый распространенный пример - неправильная работа с SSL. В результате злоумышленник может прослушивать и подменять передаваемые данные, что может в итоге привести к краже денежных средств со счета клиента.

Защита: правильная реализация работы с SSL. Также рекомендуется в мобильном приложении при подключении к серверу доверять только SSL-сертификату банка. Это поможет в случае компрометации корневого центра сертификации.

Стоит также отметить, что jailbreak устройства (iOS) или наличие root-доступа на устройстве (Android) пользователя значительно снижает уровень защищенности устройства и упрощает атаку для злоумышленника.

Выводы

Приложения для мобильных платформ подвержены как старым общеизвестным угрозам, так и новым, еще не изученным до конца. Растет уровень распространения вредоносных приложений для Android.

Угрозы безопасности мобильных банков создают риски компрометации критичных данных пользователей, хищения денежных средств и нанесения ущерба репутации банка. Разработчики мобильных банк-клиентов не уделяют достаточного внимания вопросам безопасности приложения, не следуют руководствам по безопасной разработке. У разработчиков зачастую отсутствуют процессы разработки безопасного кода и архитектуры.

Проведенное исследование, основанное на статическом анализе кода, показывает, что мобильные банки содержат уязвимости и недостатки, которые могут привести к хищению денежных средств. Уровень защищенности мобильных банков в большинстве случаев не превосходит уровня защищенности обычных мобильных приложений, в то время как связанные с ними риски подразумевают повышенные требования по безопасности.

Перед началом исследования предполагалось, что количество специфичных уязвимостей для мобильной платформы будет значительно преобладать над количеством общеизвестных. Но в результате можно увидеть примерно одинаковое количество уязвимостей обоих классов. Это означает наличие возможности проведения хорошо известных атак и на мобильные банковские приложения без знания их специфики. Полученные результаты пересекаются с OWASP Тор 10 Mobile Risks.

У злоумышленников есть множество путей реализации атак. При этом затраты на проведение атаки могут в реальной среде быть весьма низкими по сравнению с возможной выгодой.

Современные средства защиты для мобильных устройств - антивирусы, MDM-решения и т.д. - могут сократить риск, но не решить весь спектр проблем. Безопасность должна внедряться еще на этапе проектирования системы и присутствовать на всех этапах жизненного цикла программы, включая этап разработки и внедрения. Необходимо осуществлять аудит кода, анализ защищенности приложения, тестирование на проникновение.

Риски при использовании мобильного банкинга обратно пропорциональны защищенности приложения. Поэтому необходим комплексный аудит защищенности мобильных банковских приложений. Специалисты по ИБ банков должны уделять безопасности мобильных банков не меньше внимания, чем безопасности интернет-банков.

Осведомлять программистов о вопросах безопасности.
Закладывать безопасность в архитектуру.
Проводить аудит кода.
Проводить анализ защищенности приложения.
Применять параметры компилятора, связанные с безопасностью.
Контролировать распространение приложения в сети Интернет.
Быстро закрывать уязвимости и выпускать обновления.

Ob Sie als Kleinunternehmer oder für einen multinationalen Konzern tätig sind, die sollte jeden im Unternehmen angehen und zu den vordringlichsten Aufgaben der IT gehören. Der unaufhaltsame Trend zur Cloud und die neue BYOD-Mentalität (Bring Your Own Device) führen dazu, dass praktisch jeder Mitarbeiter zu jeder Zeit Zugriff auf Ihre Unternehmensdaten hat. So sind Ihre Daten Sicherheitsrisiken durch Hacker, Viren und andere Angreifer ausgesetzt.

Möglicherweise ist Ihnen die Situation bereits bewusst, sodass Sie Vorkehrungen zum Schutz mobiler Daten getroffen haben. Allerdings stellt sich die Frage, ob Ihre Sicherheitslösung genügend Schutz vor der zunehmenden Bedrohung mobiler Daten gewährleistet. Hier einige Funktionen, auf die es bei der Wahl der richtigen ankommt.

Container oder Personas auf Geräteebene: Mithilfe von Containern oder Personas auf Geräteebene kann Ihr IT-Team auf dem BYOD-Gerät eines Nutzers eine Umgebung oder einen Container einrichten, in dem Ihre Geschäftsanwendungen ausgeführt und durch spezifische Protokolle geschützt werden. So muss das Sicherheitskonzept nicht auf das gesamte Smartphone angewendet werden, Ihre Daten sind trotzdem geschützt, und das Gerät kann weiterhin uneingeschränkt für private Zwecke genutzt werden.

Mobile Application Management (MAM): MAM trägt zum Schutz mobiler Daten bei, indem Ihr IT-Team Mitarbeitern den Zugriff auf spezifische Anwendungen ermöglicht, die sie für die Arbeit nutzen dürfen. Da die Anwendungen vom IT-Team überwacht werden, können sie jederzeit per Remotezugriff entfernt werden. Dies ist von Vorteil, wenn ein Mitarbeiter sein Gerät verliert oder das Unternehmen nicht im Einvernehmen verlässt.
Verschlüsselungsprotokolle: Mobile Sicherheitslösungen bieten auch die Möglichkeit, Verschlüsselungsprotokolle und -technologien zu kombinieren, um Ihre Daten praktisch überall zu schützen. Eine Lösung sollte Protokolle und Technologien kombiniert nutzen, beispielsweise Transport Layer Security/Secure Sockets Layer (TLS/SSL), Internet Protocol Security (IPsec), Advanced Encryption Standard (AES)-256 und BitLocker-Verschlüsselung. So dehnen Sie Ihr Sicherheitsnetz aus und können Ihre Daten umfassender schützen als mit einer Lösung, bei der nur eines dieser Protokolle zum Einsatz kommt.
Multi-Factor Authentication: Eine Lösung, die mehrstufige Authentifizierung (Multi-Factor Authentication) und SSO (Single Sign-On) unterstützt, bietet nicht nur sicheren Zugang zu Daten und Anwendungen, sondern ermöglicht Ihrem Team auch die einfache Nutzung der benötigten Dateien. Die Authentifizierung lässt sich beispielsweise durch einen Telefonanruf, eine SMS oder eine Benachrichtigung auf dem Mobilgerät verifizieren und ist schnell und einfach bestätigt. Einige Multi-Factor Authentication-Lösungen bieten zudem Sicherheitsüberwachung in Echtzeit und nutzen auf Machine Learning basierende Berichte. Durch die Identifikation inkonsistenter Anmeldemuster lassen sich verdächtige Aktivitäten ermitteln, auf die das IT-Team sofort reagieren kann.

Die Nutzung privater Geräte in Unternehmen jeder Größe boomt. Deshalb reicht es längst nicht mehr aus, nur Mobilgeräte zu schützen. Stattdessen benötigen Sie eine umfassende Datenschutzstrategie, die alle Möglichkeiten des mobilen Datenzugriffs abdeckt. Keine Sicherheitslösung kann Ihr Unternehmen vollständig vor Bedrohungen schützen. Sie sollten auf ein Paket setzen, das verschiedene Maßnahmen bündelt, regelmäßig aktualisiert wird und sowohl nationale als auch internationale Normen erfüllt. So sorgen Sie dafür, dass Ihre Daten nach neuesten Sicherheitsstandards geschützt sind – egal, wo oder wie darauf zugegriffen wird.

Анализ содержимого магазинов приложений для Apple- и Android-устройств выявил 14тыс. сомнительных программ.

Всего же эксперты изучили порядка 400 тыс. приложений, которые обычно устанавливаются сотрудниками корпораций, специализирующихся на самых разных отраслях - финансовых услугах, СМИ, телекоммуникациях и так далее. Выяснилось, что 3% из исследованных программ сталкиваются с проблемами безопасности.

В частности 85% такого рода приложений не обеспечивают надежную сохранность важной конфиденциальной информации - например, такой, как местоположение абонента, история, контакты, отметки в календаре, SMS сообщения, идентификаторы устройств.

Кроме того 32% из 14 тыс. приложений выполняют подозрительные действия. Скажем эти программы требуют права администратора, что в конечном счете может позволить им удалять, устанавливать или запускать другие приложения, прослушивать телефонные разговоры, отключать антивирусное ПО, просматривать данные КЭШа, куда возможно, попадут и банковские пароли.

35% приложений стремятся получать и пересылать личную информацию пользователя - историю браузера, пометки в календаре, перемещение человека. В итоге злоумышленники предоставляется шанс составить полный профиль пользователя и его социальных связей.

Эксперты предупреждают о серьезной опасности, которое таит в себе это программное обеспечение. По словам представителей Veracode, все ответственные лица уведомлены о сомнительных приложениях, причем, как сообщает CSO, программы все еще доступны в магазинах и их можно скачать. Так, китайское приложение по прослушиванию аудиокниг Lazy Listen уже проинсталлировано 500 тыс. раз, однако при установке оно запрашивает разрешение на функционал практически программы-шпиона. Как говорят из Veracode, собираемая приложением информация не используется для улучшения качества обслуживания абонентов.

Отчет, опубликованный компанией FireEye, рисует мрачную картину уязвимости приложений для iOS и Android, которые были загружены в совокупности более 6 млрд. раз. Это по-прежнему так, по данным FireEye, даже после того, как Apple выпустила патч, исправляющий уязвимости iOS: «Даже после патчей для Android и iOS такие приложения все еще уязвимы для FREAK, когда устройство подключается к серверам, которые принимают шифры RSA_EXPORT».

Атака FREAK возможна, потому что серверы можно вынудить принимать 512-битные ключи RSA, одобренные правительством США для отправки на экспорт (устаревший артефакт, который как считалось, может перехватывать зашифрованный трафик и дешифровывать его, используя достаточно скромные вычислительные ресурсы).

FireEye сообщила, что просканировала 11 тыс. приложений в Google Play, каждое из которых было скачано не меньше миллиона раз, и обнаружила 1228 приложений, подверженных риску из-за использования уязвимой библиотеки OpenSSL для подключения к уязвимому серверу. 664 из них использовали библиотеку OpenSSL, идущую с Android, а 564 - библиотеку, скомпилированную отдельно. По данным FireEye, на стороне iOS проблема менее серьезна: из 14 тыс. сканированных приложений 771 подключалось к уязвимым серверам HTTPS. «Эти приложения уязвимы для атак FREAK под iOS версии ниже, чем 8.2, - написали исследователи. - Семь приложений из этих 771 пользуются собственными уязвимыми версиями OpenSSL, и они остаются уязвимыми и на iOS 8.2». Большинство уязвимых приложений попадают в категории, которые влияют на неприкосновенность частной жизни и информационную безопасность пользователей, и включают в себя фото- и видео-приложения, приложения социальных сетей, приложения, касающиеся здоровья и фитнеса, финансов, коммуникаций, шопинга, образа жизни, бизнеса, а также медицинские приложения. 512-битные ключи являются артефактом криптографических воин - правительство США одобрило их для экспортного использования. Большинство экспертов полагали, что поддержка ослабленных криптопакетов была удалена с большинства серверов, но это было не так до сообщения, сделанного Microsoft Research и INRIA (национальный исследовательский институт во Франции, работающий в области компьютерных наук, теории управления и прикладной математики).

Исследование Королевского колледжа так же продемонстрировало, что администраторы серверов и крупные технологические провайдеры оперативно искореняют поддержку ослабленных криптопакетов. Изначальные расчеты показывали 26% серверов, уязвимых для FREAK, но Королевский колледж определил, что это число упало примерно до 11%. При этом эксплойты FREAK имеют свои ограничения, согласно мнению экспертов, так как требуют активного вмешательства злоумышленника в TLS - подключения, то есть у них уже должен быть доступ к серверу. Тод Бредсли (Tod Beardsley), главный инженер в Rapid7, сообщил, что практический эффект от этого бага ограничен. «Из-за требования активного «человека посередине» этот баг может быть весьма полезен для шпионов, атакующих определенных пользователей в среде сетей высокого уровня безопасности, - сказал он. - Это не очень полезно для типичных интернет-преступников, так как есть гораздо более простые способы, чтобы перенаправлять и собирать пользовательский трафик при разных уровнях сложности».

Так, 35% мобильных банков для iOS и 15% мобильных банков для Android содержат уязвимости, связанные с некорректной работой SSL, а это означает возможность перехвата критичных платежных данных с помощью атаки «человек посередине». 22% приложений для iOS потенциально уязвимы к SQL-инъекциям, что создает риск кражи всей информации о платежах с помощью нескольких несложных запросов. 70% приложений для iOS и 20% приложений для Android потенциально уязвимы к XSS - одной из самых популярных атак, позволяющей ввести в заблуждение пользователя мобильного банк-клиента и таким образом, например, украсть его аутентификационные данные. 45% приложений для iOS потенциально уязвимы для XXE-атакам, особенно опасным для устройств, подвергнутым столь популярной в Росси операции jailbreak. Около 22% приложений для Android неправильно используют механизмы межпроцессного взаимодействия, тем самым фактически позволяя сторонним приложениям обращаться к критичным банковским данным.

Почему подвергались атаке именно эти операционные системы? OC Android и iOS наиболее распространены на сегодняшний день и имеют наибольшее количество мобильных банковских приложений в своих магазинах Google Play и App Store соответственно). При физическом доступе злоумышленник может получить доступ к файловой системе. Если приложение хранит аутентификационные данные или другие критичные данные в открытом виде, то для злоумышленника несложно получить эти данные и украсть деньги.

Для атаки через вредоносное приложение необходимо установить вредоносное программное обеспечение, используя метод социальной инженерии или через атаку Drive-by-Dowload.

После установки вредоносного приложения злоумышленник может поднять свои привилегии в системе, используя эксплойт для уязвимости ОС смартфона, и получить удаленный доступ к устройству с полными правами доступа, что приведет к полной компрометации устройства: злоумышленник сможет украсть критичные данные пользователя мобильного банкинга или подменять данные платежных операций.

Атаки на канал связи: в ходе классической атаки «человек посередине» перехватываются данные между устройством клиента и сервером. Для этого необходимо находиться в одной сети с жертвой, например в публичной сети Wi-Fi или использовать поддельные беспроводные точки доступа и поддельные базовые станции. Необходима уязвимость в мобильном приложении некорректная работа с шифрованием передаваемых данных или полное отсутствие шифрования данных. Самый распространенный пример - неправильная работа с SSL. В результате злоумышленник может прослушивать и подменять передаваемые данные, что может в итоге привести к краже денежных средств со счета клиента. Стоит так же отметить, что jailbreak устройство (iOS) или наличие root-доступа на устройстве (Android) пользователя значительно снижает уровень защищенности устройства и упрощает атаку для злоумышленника.

Приложения для мобильных платформ подвержены как старым общеизвестным угрозам, так и новым, ещё не изученным до конца. Растет уровень распространения вредоносных приложений для Android.

Угрозы безопасности мобильных банков создают риск компрометации критичных данных пользователей, хищения денежных средств и нанесения ущерба репутации банка. Разработчики мобильных банк-клиентов не уделяют достаточного внимания вопросам безопасности приложения, не следуют руководствам по безопасной разработке. У разработчиков зачастую отсутствуют процессы разработки безопасного кода и архитектуры.

Перед началом исследования предполагалось, что количество специфичных уязвимостей для мобильной платформы будет значительно преобладать над количеством общеизвестных. Но в результате можно увидеть примерно одинаковое количество уязвимости обоих классов. Это означает наличие возможности проведения хорошо известных атак и на мобильные банковские приложения без знания их специфики.

У злоумышленников есть множество путей реализации атак. При этом затраты на проведение атаки могут в реальной среде быть весьма низким по сравнению с возможной выгодой.

Современные средства защиты для мобильных устройств - антивирусы MDM -решения и т.д. могут сократить риск, но не решить весь спектр проблем. Безопасность должна внедряться на этапе проектирования системы и присутствовать на всех этапах жизненного цикла программы, включая этап разработки и внедрения. Необходимо осуществлять аудит кода, анализ защищенности приложения, тестирование на проникновение.

Риски при использовании мобильного банкинга обратно пропорциональны защищенности приложения. Поэтому необходим комплексный аудит защищенности мобильных банковских приложений. Специалисты по информационной безопасности банков должны уделять безопасности мобильных банков не меньше внимания, чем безопасности интернет - банков.

Чек-лист. Требования к мобильным приложениям систем управления контентом.

Адекватная функциональность решения для выполнения полноценной работы сотрудника

Обеспечение единой точки входа для работы со всей корпоративной информацией, аккумулируемой в интегрированных с ERP-системой ECM /IM-системах , имеющей ряд встроенных бизнес-приложений (менеджер задач, опросы, мгновенные сообщения, рассылки новостей, объявления, форумы и т.д.).
Обеспечение необходимой скорости доступа / поиска информации. Вся корпоративная информация, по аналогии с Google, должна быть доступна в несколько кликов.
Возможность выбирать приложение для OS, которая наиболее привычна пользователю.

Возможности синхронизации данных

Возможность начать работу с документами, например, в «тонком» клиенте, а продолжить ее уже в приложении или наоборот;
Возможность конфигурирования отчётов, формируемых в локальных версиях ECM/IM-систем.

Требования к интерфейсу и юзабилити

Интерфейс мобильного решения должен быть интуитивно понятен и принципиально не требовать какого-либо обучения.
Возможность персонификации приложения (разработки собственного дизайна).
Мобильные приложения к сложным ECM-системам в работе должны использовать удобные, привычные пользователю решения в плане юзабилити из среды соц.сетей.

Безопасность

Надёжность с точки зрения информационной безопасности, исключение или минимизация рисков утечки корпоративных данных.
Обеспечения постоянной защищенной связи.
Обеспечение правильного баланса между онлайн и офлайн-функциями приложений.

Доступность дополнительных функциональных возможностей, помимо базовых

Сквозной полнотекстовый и морфологический поиск по всей корпоративной информации в любом заданном разрезе.
Функционал должен позволять создавать собственные поисковые метки и сохранённые запросы (по аналогии с «Избранным» в браузере).
Идентификация документов и бизнес-процессов. Любой случайно выбранный из поиска документ должен быть однозначно идентифицирован как часть конкретного бизнес-процесса, в связке с остальными документами процесса.
Возможности визуализации в виде графиков и диаграмм состояния текущих бизнес-процессов и основных показателей финансово-хозяйственной деятельности компании.
Возможность использовать ЭП
Возможность не только работать с документами в приложении, но и просматривать новостную ленту, подготовленную помощником.

Возможности создания контента

Возможность создания любого документа из готовых форм-шаблонов, требующих заполнения только определённых полей.
Возможности применения touch-технологий и технологий распознавания речи для удобного создания документов и информации.

Общие требования

Быстрое разворачивание решения.
Разумная стоимость владения (в идеале - бесплатное приложение к локальной версии ПО).

Чек-лист составлен благодаря рекомендациям следующих экспертов: Андрей Терёхин, Руководитель группы календарно-сетевого планирования и автоматизации процессов строительства в ОАО «ТАИФ-НК»; Артем Андреев, Ведущий проектировщик корпоративныx мобильныx приложений, ЭОС; Василий Бабинцев, Директор по маркетингу DIRECTUM; Станислав Карамушко, Заместитель начальника управления архитектуры и анализа систем учета ПАО «Т Плюс»; И других авторов Обзора.

Обусловлено это было тем, что госсектор первым стал активно осваивать системы электронного документооборота , а в дальнейшем и более комфортные способы удаленной работы с этими системами. Ведь к примеру почтовые приложения не особо помогали мобильным сотрудникам работать непосредственно с СЭД/ECM-системой компании, а именно нет удобных инструментов для согласования/подписания проектов документов, просмотра реквизитов документов, аннотирования файлов и т.д.

Соответственно основные сценарии работы СЭД/ECM-приложений были обусловлены сложившимися бизнес-процессами и регламентами работы с документами в организациях. К тому же мобильные приложения осуществляют поддержку в работе, а соответственно и реализуют наиболее востребованные сценарии работы. Таким образом, основные сценарии работы с документами заключаются в согласовании/подписании проектов документов, выдаче поручений по документам, работе с отчетами по поручениям, аннотирование файлов и т.д.

Учитывая, что мобильные приложения на текущий момент пока еще редко, когда полностью заменяют работу в «толстом» (desktop версия) или «тонком» (web версия) клиентах, то основными пожеланиями заказчиков является такие как:

Возможность выбирать приложение для OS, которая наиболее привычна пользователю;
Простой и лаконичный интерфейс (юзабилити);
Возможность персонификации приложения (собственный дизайн);
Возможность начать работу с документами, например, в «тонком» клиенте, а продолжить ее уже в приложении или наоборот (синхронизация данных);
Иметь возможность не только работать с документами в приложении, но и просматривать новостную ленту, подготовленную помощником;
Возможность использовать ЭП и многое др.

Дополнительно можно почитать

В ближайшее время это будет определять тренд развития мобильных технологий, в том числе и в применении к корпоративным системам, таким как ECM и системы ввода документов. Видимо, это ещё сильнее выбьет почву из-под ног всё ещё столь распространённых настольных систем.

Основной сценарий мобильной работы, который, на мой взгляд, наиболее востребован любым руководителем это возможность всегда иметь под рукой надёжный и многофункциональный онлайн - инструмент бизнес - контроля ФХД.

В первую очередь не только в техническом плане, а в организационном и психологическом. Сложно привыкнуть, что часть функциональности будет ограничена, отдельные операции видоизменены, интерфейс адаптирован под особенности тач-устройства и размер экрана. Стоит осознать, что это не всегда ограничения конкретной реализации приложения или прихоть разработчика, сколько иные принципы работы – мобильность задает свои правила игры (сравните как вы работаете с данными с компьютера в офисе и на бегу со смартфона – разница очевидна).

Второе требование связано с комфортом работы в условиях нестабильных каналов связи.

Все же мобильный интернет нет-нет, да и подводит даже в крупных городах, не говоря уже про работу в пути или самолете. Нами выбран принцип офлайн-приложений, который хорошо покрывает данное требование, т.к. работа с локальными данными (а объекты системы, запущенные и открытые в мобильном приложении доступны офлайн) обеспечивает максимально быстрый отклик и сильно снижает требование к каналам связи. Внутренне, конечно, это сильно усложняет логику приложения для разработчика, но мы действуем во благо потребителя, который ждет от мобильного приложения моментальной доступности в любое время. Именно поэтому данный подход выбран для нас как основной. Кстати, для простых пользователей мы сделали доступ к мобильному приложению абсолютно бесплатным – им нужно только скачать приложение из онлайн-магазина, а администратору настроить серверную часть.

И самое сложное требование с технической стороны –, конечно же, безопасность.

Данный аспект охватывает практически все события в «жизни» мобильного приложения: аутентификация, передача данных, хранение данных, уязвимость со стороны серверной части.

Нынешнему пользователю понятно, как себя вести в facebook и как с этой или другой сетью взаимодействовать, так что не нужно ему усложнять жизнь - он должен увидеть привычный интерфейс. Собственно, мы на это изначально ориентировались пять лет назад, когда начинали разработку мобильного приложения CompanyMedia: смотрели на twitter и взяли за основу принцип построения интерфейса progressive disclosure - постепенного раскрытия от общего к частного, от документа в списке к конкретному исполнителю.

Сближение с социальными сетями актуально не только для мобильных решений, но и для web-интерфейса ECM. Лет десять назад разработчики вообще не задумывались над usability, над тем, что система должна быть удобна для пользователя. На первом месте была максимально широкая функциональность. Считалось, что СЭД/ECM это система, работа в которой строго регламентирована: хочет пользователь или нет, ему придется в ней работать, даже если это доставляет массу неудобств. Сейчас эта ситуация меняется - более «человечными» становятся все интерфейсы.

Что касается мобильных решений, то здесь удобство пользователя всегда принималось в расчет. Планшет - в первую очередь инструмент руководителя, его не заставишь работать в системе, если это вызывает дискомфорт.

Доступ с мобильных устройств должен быть защищён в соответствии с отечественными криптографическими стандартами ГОСТ Р 34.10-2001, ГОСТ Р 34.11-94, ГОСТ 28147-89, а также протоколом TLS-ГОСТ. Сейчас насколько мне известно такое решение есть только у двух компаний на российском ИТ-рынке.

2. Требование к правильному балансу между онлайн и офлайн-функциями приложений. Это влияет прежде всего на доступность данных в различных усовиях работы, в том числе без доступа к интернету.

Следующий момент – требования к функциональности мобильного приложения. Они могут быть весьма специфическими, но подробнее об этом поговорим позже.

И последнее - требования к интерфейсу решения. Кому-то хочется повторить на мобильном устройстве привычный интерфейс стационарной системы, кто-то наоборот стремиться максимально адаптировать этот интерфейс под нужды мобильной работы.