Внедрение ecm-системы
Выбор и приобретение ECM-системы - это только первый шаг на пути построения электронного документооборота в организации. Прежде чем система заработает и реально начнет приносить эффект, предстоит процесс внедрения.
Внедрение ECM-системы обычно состоит из следующих этапов:
организация проекта, выделение персонала (руководитель проекта и рабочая группа);
исследование предприятия и проектирование решений по использованию ECM-системы;
настройка и адаптация ECM-системы;
обучение персонала;
опытная эксплуатация.
Организовать процесс внедрения предприятие может самостоятельно или с привлечением сторонней фирмы. В первом случае потребуется больше времени и усилий со стороны собственных сотрудников, сроки внедрения скорее всего затянутся. Во втором случае потребуются значительные финансовые затраты на оплату услуг сторонней организации, но сроки и результат проекта буду более гарантированы.
В любом случае обязательными для успешного внедрения являются следующие правила:
активное участие руководства в процессе внедрения и использования ECM-системы;
выделение и углубленное обучение ключевых сотрудников для внедрения и поддержки ECM-системы;
организация обучения всех пользователей и предоставление инструкций по работе с системой.
Внедрение электронного документооборота
Во многом проблемы и риски внедрении ECM-системы совпадают с проектами внедрения других информационных систем масштаба предприятия и приводят к следующим негативным последствиям:
нарушение сроков проекта;
нарушение бюджета проекта;
неполное достижение поставленных целей (система работает, но не в полном объеме: меньше/хуже, чем было запланировано);
полный срыв внедрения (после внедрения система реально не работает).
Специфика рисков при внедрении ECM-системы связана с тем, что за короткий срок необходимо большую часть сотрудников предприятия перевести на совершенно новые для них методы работы (чтение документов в электронном виде, получение в электронном виде резолюций и подписей руководства и т.д.). К наиболее характерным рискам внедрения ECM-системы стоит отнести:
консервативность пользователей, непринятие новых методов работы;
низкая компьютерная грамотность рядовых пользователей и высшего руководства;
неструктурированность процессов (отсутствие регламентов);
недостаточное/несоответствующее техническое оснащение;
нечеткое управление проектом.
Пути предотвращения рисков в общем-то стандартные:
детальное предварительное проектирование работы ECM-системы на данном предприятии;
четкие директивы и личный пример руководства;
обучение персонала и оперативная поддержка в решении проблем.
поэтапность внедрения.
Достоверность и законность электронного документа
Определение достоверности и юридической значимости бумажного документа – всем понятная процедура: документ должен иметь необходимые подписи и печати. Но как определить достоверность электронного документа?
ля этого создана электронная цифровая подпись (ЭЦП) – реквизит электронного документа, предназначенный для его защиты от подделки. ЭЦП позволяет идентифицировать владельца подписи, а также установить отсутствие изменений в электронном документе после его подписания.
В самом простом представлении механизм ЭЦП работает следующим образом. Выделяется удостоверяющий центр (подразделение или внешняя организация), который с помощью специализированного программного обеспечения генерирует так называемые "сертификаты ключей" для каждого пользователя. Ключ ЭЦП – это уникальная последовательность символов. Он состоит из закрытого ключа (он доступен только своему владельцу, с его помощью владелец может подписать документ ЭЦП) и открытого ключа (он доступен всем, с его помощью можно определить, кто и когда подписал электронный документ).
При использовании ECM-системы все "сложности", с которыми может столкнуться пользователь, скрываются. Пользователь, как правило, должен просто выбрать нужную функцию: "Подписать документ" (документ, подписанный ЭЦП, будет одновременно закрыт для изменений) или "Получить информацию о подписях".
Тема создания законов, регламентирующих обмен юридически значимыми электронными документами между сторонними организациями, ос тается одной из самых актуальных.
Электро́нная цифрова́я по́дпись (ЭЦП) — реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭЦП и проверить принадлежность подписи владельцу сертификата ключа ЭЦП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП.
Цифровая подпись предназначена для аутентификации лица, подписавшего электронный документ. Кроме этого, использование цифровой подписи позволяет осуществить:
Контроль целостности передаваемого документа: при любом случайном или преднамеренном изменении документа подпись станет недействительной, потому что вычислена она на основании исходного состояния документа и соответствует лишь ему.
Защиту от изменений (подделки) документа: гарантия выявления подделки при контроле целостности делает подделывание нецелесообразным в большинстве случаев.
Невозможность отказа от авторства. Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец не может отказаться от своей подписи под документом.
Доказательное подтверждение авторства документа: Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец пары ключей может доказать своё авторство подписи под документом. В зависимости от деталей определения документа могут быть подписаны такие поля, как «автор», «внесённые изменения», «метка времени» и т. д.
Все эти свойства ЭЦП позволяют использовать её для следующих целей:
Декларирование товаров и услуг (таможенные декларации)
Регистрация сделок по объектам недвижимости
Использование в банковских системах
Электронная торговля и госзаказы
Контроль исполнения государственного бюджета
В системах обращения к органам власти
Для обязательной отчетности перед государственными учреждениями
Организация юридически значимого электронного документооборота
В расчетных и трейдинговых системах
В соответствии с стандартом ГОСТ Р 34.10-2001 (РФ) термины «электронная цифровая подпись» и «цифровая подпись» являются синонимами.
Существует несколько схем построения цифровой подписи:
На основе алгоритмов симметричного шифрования. Данная схема предусматривает наличие в системе третьего лица — арбитра, пользующегося доверием обеих сторон. Авторизацией документа является сам факт шифрования его секретным ключом и передача его арбитру.
На основе алгоритмов асимметричного шифрования. На данный момент такие схемы ЭЦП наиболее распространены и находят широкое применение.
Кроме этого, существуют другие разновидности цифровых подписей (групповая подпись, неоспоримая подпись, доверенная подпись), которые являются модификациями описанных выше схем. Их появление обусловлено разнообразием задач, решаемых с помощью ЭЦП.
Поскольку подписываемые документы — переменного (и как правило достаточно большого) объёма, в схемах ЭЦП зачастую подпись ставится не на сам документ, а на его кэш. Для вычисления хэша используются криптографические хэш-функции, что гарантирует выявление изменений документа при проверке подписи. Хэш-функции не являются частью алгоритма ЭЦП, поэтому в схеме может быть использована любая надёжная хэш-функция (Хэш-функция (функция свёртки) ― это функция, отображающая аргумент произвольной конечной длины в образ фиксированной длины. Результат работы данной функции называют хэшем или хэш-кодом). Если хэш-функция зависит от секретного ключа, то она называется ключевой, в противном случае бесключевой. Простым примером хеширования может служить нахождение контрольной суммы сообщения: сумма кодов всех входящих в него символов, от которой берётся несколько последних цифр. Полученное число является примером хэш-кода исходного сообщения. Например, контрольная сумма может быть передана по каналу связи вместе с основным текстом. На приёмном конце, контрольная сумма может быть рассчитана заново и её можно сравнить с переданным значением. Если будет обнаружено расхождение, то это значит, что при передаче возникли искажения и можно запросить повтор).
Использование хэш-функций даёт следующие преимущества:
Вычислительная сложность. Обычно хеш цифрового документа делается во много раз меньшего объёма, чем объём исходного документа, и алгоритмы вычисления хеша являются более быстрыми, чем алгоритмы ЭЦП. Поэтому формировать хэш документ и подписывать его получается намного быстрее, чем подписывать сам документ.
Совместимость. Большинство алгоритмов оперирует со строками бит данных, но некоторые используют другие представления. Хеш-функцию можно использовать для преобразования произвольного входного текста в подходящий формат.
Целостность. Без использования хеш-функции большой электронный документ в некоторых схемах нужно разделять на достаточно малые блоки для применения ЭЦП.
Асимметричные схемы ЭЦП относятся к криптосистемам с открытым ключом. В отличие от асимметричных алгоритмов шифрования, в которых зашифрование производится с помощью открытого ключа, а расшифрование — с помощью закрытого, в схемах цифровой подписи подписывание производится с применением закрытого ключа, а проверка — с применением открытого.
Общепризнанная схема цифровой подписи охватывает три процесса:
Генерация ключевой пары. При помощи алгоритма генерации ключа равновероятным образом из набора возможных закрытых ключей выбирается закрытый ключ, вычисляется соответствующий ему открытый ключ.
Формирование подписи. Для заданного электронного документа с помощью закрытого ключа вычисляется подпись.
Проверка (верификация) подписи. Для данных документа и подписи с помощью открытого ключа определяется действительность подписи.
Для того, чтобы использование цифровой подписи имело смысл, необходимо выполнение двух условий:
Верификация подписи должна производиться открытым ключом, соответствующим именно тому закрытому ключу, который использовался при подписании.
Без обладания закрытым ключом должно быть вычислительно сложно создать легитимную цифровую подпись.
Алгоритмы ЭЦП подразделяются на обычные цифровые подписи и на цифровые подписи с восстановлением документа. При верификации цифровых подписей с восстановлением документа тело документа восстанавливается автоматически, его не нужно прикреплять к подписи. Обычные цифровые подписи требуют присоединение документа к подписи.
На основе асимметричных схем созданы модификации цифровой подписи, отвечающие различным требованиям:
Групповая цифровая подпись
Неоспоримая цифровая подпись
«Слепая» цифровая подпись и справедливая «слепая» подпись
Конфиденциальная цифровая подпись
Цифровая подпись с доказуемостью подделки
Доверенная цифровая подпись
Анализ возможностей подделки подписей называется криптоанализ. Попытку сфальсифицировать подпись или подписанный документ называют «атака».
При безошибочной реализации современных алгоритмов ЭЦП получение закрытого ключа алгоритма является практически невозможной задачей из-за вычислительной сложности задач, на которых ЭЦП построена.
Закрытый ключ является наиболее уязвимым компонентом всей криптосистемы цифровой подписи. Злоумышленник, укравший закрытый ключ пользователя, может создать действительную цифровую подпись любого электронного документа от лица этого пользователя. Поэтому особое внимание нужно уделять способу хранения закрытого ключа. Пользователь может хранить закрытый ключ на своем персональном компьютере, защитив его с помощью пароля. Однако такой способ хранения имеет ряд недостатков, в частности, защищенность ключа полностью зависит от защищенности компьютера, и пользователь может подписывать документы только на этом компьютере.
В настоящее время существуют следующие устройства хранения закрытого ключа:
Смарт-карты (Смарт-карты представляют собой пластиковую карту с интегрированными электронными схемами. Смарт-карты, как правило, обладают возможностью проводить криптографические вычисления.);
USB-брелок (USB-брелок — это миниатюрное USB-устройство, зачастую выполненное в виде брелока, которое может применяться для различных целей);
Touch-Memory (Контактная память— класс электронных устройств, имеющих двупроводный протокол обмена информацией с ними, и помещённых в стандартный металлический корпус (обычно имеющий вид «таблетки»);
Кража или потеря одного из таких устройств хранения может быть легко замечена пользователем, после чего соответствующий сертификат может быть немедленно отозван.
Наиболее защищенный способ хранения закрытого ключа — хранение на смарт-карте. Для того, чтобы использовать смарт-карту, пользователю необходимо не только её иметь, но и ввести PIN-код, то есть, получается двухфакторная аутентификация. После этого подписываемый документ или его хэш передается в карту, её процессор осуществляет подписывание хеша и передает подпись обратно. В процессе формирования подписи таким способом не происходит копирования закрытого ключа, поэтому все время существует только единственная копия ключа. Кроме того, произвести копирование информации со смарт-карты сложнее, чем с других устройств хранения.
В соответствии с законом «Об электронной цифровой подписи», ответственность за хранение закрытого ключа владелец несет сам.
Благодаря ЭЦП многие компании осуществляют свою торгово-закупочную деятельность в Интернете, через «Системы электронной торговли», обмениваясь с контрагентами необходимыми документами в электронном виде, подписанными ЭЦП. Это значительно упрощает и ускоряет проведение конкурсных торговых процедур.
Система электронных подписей широко используется в Эстонии, где введена программа ID-карт, которыми снабжены 3/4 населения страны. При помощи электронной подписи в марте 2007 г. были проведены выборы в местный парламент. При голосовании электронную подпись использовали 400 000 человек. Кроме того, при помощи электронной подписи можно отправить налоговую декларацию, таможенную декларацию, различные анкеты как в местные самоуправления, так и в государственные органы. В крупных городах при помощи ID-карты возможна покупка месячных автобусных билетов. Все это осуществляется через центральный гражданский портал Eesti.ee. Эстонская ID-карта является обязательной для всех жителей с 15 лет, проживающих временно или постоянно на территории Эстонии.
Электронно-цифровая подпись используется физическими и юридическими лицами в качестве аналога собственноручной подписи для придания электронному документу юридической силы, равной юридической силе документа на бумажном носителе, подписанного собственноручной подписью правомочного лица и скрепленного печатью. Электронная цифровая подпись - эффективное решение для всех, кто не хочет ждать прихода фельдъегерской или курьерской почты за многие сотни километров, чтобы проверить подлинность полученной информации или подтвердить заключение сделки. Документы могут быть подписаны цифровой подписью и переданы к месту назначения в течение нескольких секунд. Все участники электронного обмена документами получают равные возможности независимо от их удаленности друг от друга. Подделать ЭЦП невозможно - это требует огромного количества вычислений, которые не могут быть реализованы при современном уровне математики и вычислительной техники за приемлемое время, то есть пока информация, содержащаяся в подписанном документе, сохраняет актуальность. Дополнительная защита от подделки обеспечивается сертификацией Удостоверяющим центром открытого ключа подписи. С использованием ЭЦП работа по схеме "разработка проекта в электронном виде - создание бумажной копии для подписи - пересылка бумажной копии с подписью - рассмотрение бумажной копии - перенос ее в электронном виде на компьютер" уходит в прошлое.