Автоматическая блокировка экрана через GPO через 5 минут простоя
Угроза оставленных без присмотра рабочих мест
Сотрудники часто уходят на обед или совещание, оставляя компьютеры разблокированными. Любой проходящий мимо человек или посетитель офиса получает полный доступ к корпоративной почте, 1С, клиентским базам и конфиденциальным перепискам.
Требования корпоративной безопасности (ISO 27001 / ФСТЭК):
| Параметр | Рекомендуемое значение | Результат применения |
|---|---|---|
| Время ожидания до блокировки | 300 секунд (5 минут) | Запуск экранной заставки и блокировка сессии |
| Запрос пароля при возобновлении | Включено (Обязательно) | Возврат к работе только после ввода доменного пароля |
Пошаговая настройка политики автоблокировки в GPMC
Существует два надежных способа настройки: через классическую экранную заставку (User Configuration) и через параметры безопасности Windows (Computer Configuration).
Способ 1. Настройка через политику Экранной заставки (Рекомендуется)
- Откройте консоль управления групповыми политиками:
gpmc.msc. - Создайте новую GPO с именем
GPO_User_ScreenSaver_Lockи привяжите ее к подразделению с пользователями. - Нажмите Изменить (Edit) и перейдите по пути:
Конфигурация пользователя → Политики → Административные шаблоны → Панель управления → Персонализация
(User Configuration → Policies → Administrative Templates → Control Panel → Personalization). - Настройте следующие 4 обязательных параметра:
- Включить экранную заставку (Enable screen saver) → Включено.
- Защита паролем экранной заставки (Password protect the screen saver) → Включено.
- Тайм-аут экранной заставки (Screen saver timeout) → Включено → укажите 300 секунд (5 минут).
- Принудительно использовать определенную заставку (Force specific screen saver) → Включено → введите
scrnsave.scr(стандартный черный экран).
- Сохраните изменения.
Способ 2. Настройка через политики безопасности компьютера (Security Options)
Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Локальные политики → Параметры безопасности:
-> Интерактивный вход в систему: предел простоя компьютера (Interactive logon: Machine inactivity limit) -> Установить: 300 секунд.Проверка применения: На клиентском ПК выполните команду gpupdate /force и оставьте мышь неподвижной ровно на 5 минут. Экран должен погаснуть и заблокироваться.
Частые вопросы (FAQ)
Может ли пользователь сам изменить время блокировки в настройках Windows?
Нет. После применения GPO пункт настройки времени заставки в 'Параметрах' Windows становится серым и блокируется с надписью 'Некоторыми параметрами управляет ваша организация'.
Что делать, если сотрудники используют утилиты-кликеры (Mouse Jiggler) для обхода блокировки?
Запретите запуск стороннего неавторизованного софта с помощью политик AppLocker или Software Restriction Policies (SRP), а также заблокируйте подключение неизвестных USB-устройств.
Будет ли блокироваться экран во время показа презентаций в PowerPoint?
Нет, приложения в режиме полноэкранной демонстрации (PowerPoint, воспроизведение видео) автоматически отправляют флаг ES_DISPLAY_REQUIRED, предотвращающий засыпание экрана.
Какая заставка потребляет меньше всего ресурсов терминального сервера?
Используйте встроенную заставку scrnsave.scr (пустой черный экран). Она не нагружает процессор и видеокарту сервера отрисовкой 3D-графики.
