33. Технологические системы защиты и обработки конфиденциальных документов

В целом мероприятия по реализации защищенного докумен­тооборота можно свести в три группы, по мере уменьшения их важности:

1. Работа с человеческим фактором.

2. Техническое, программное и организационное обеспе­чение по ограничению доступа к защищаемой инфор­мации.

3. Программные средства непосредственной защиты ин­формации.

Работа с человеческим фактором

Первым, самым важным пунктом идет работа с так назы­ваемым человеческим фактором, а именно - с сотрудниками организации.

Прак­тика показывает, что наибольшую угрозу для информации представляют именно внутренние нарушители - сотрудники компании, имеющие доступ к информации. И чем выше уровень доступа, чем больше прав у сотрудника на работу с информа­цией, тем потенциально больший вред этот сотрудник может нанести информации и соответственно организации. Ведь если у сотрудника есть доступ на чтение и редактирование инфор­мации, значит, по неосторожности ее можно исказить и удалить, а при определенном умысле - украсть, подменить, уничтожить (в зависимости от преследуемых целей).

Работа с человеческим фактором включает:

• повышение уровня активности администраторов сети и общего уровня компьютерной грамотности сотруд­ников, являющихся пользователями системы;

• проведение обучения сотрудников работе с системой и сопутствующим программным обеспечением;

• ознакомление сотрудников с их правами и обязанно­стями как администраторов и пользователей системы, имеющих доступ к данным.

• грамотная мотивация сотрудников, ответственных за безопасность информации, и в первую очередь адми­нистраторов сети и парка компьютеров организации.

Нет ничего опаснее, чем обиженный и озлобленный системный администратор - он мало того что не будет вы­полнять свои непосредственные обязанности (или просто начнет выполнять их хуже), но и сам может стать внутренним нарушителем, "шпионом", имеющим практически неограни­ченный доступ ко всему объему информации, циркулирующей по организации в электронном виде.

Техническое, программное и организационное обеспечение

Прибегать к нему следует тогда, когда грамотного персо­нала и аккуратной работы уже недостаточно. Например, в сред­них и крупных компаниях (когда сложно обеспечить безопас­ность организационными мерами) либо просто при большой вероятности атаки снаружи. Подобного рода обеспечение под­разумевает:

• создание ролей доступа к информации, разграничение прав на работу с информацией;

• протоколирование всех действий и попыток к действи­ям (включая не только создание, редактирование и уда­ление, но и чтение, печать, выгрузку, пересылку и т. п.);

• запрет на использование внешних носителей;

• по мере ужесточения мер обеспечения безопасности возможно даже создание специальной, отдельно охра­няемой экранированной комнаты, в которой установлен компьютер с важными данными, отключенный от любой сети, кроме электрической.

Чем более суровы данные методы, тем более высокую степень защиты (естественно, при условии того, что мы поза­ботились об исключении негатива первого фактора) они дают.

Резюмируя обсуждение второй группы мероприятий, сле­дует сказать: реализуя меры по техническому, программному и организационному обеспечению по ограничению доступа к защищаемой информации, нельзя забывать, что такого рода меры напрямую (и крайне негативно) сказываются на ско­рости и эффективности работы, на функционале защи­щаемой системы, поэтому злоупотреблять ими не стоит (согласитесь, мало кому понравится, скажем, хранить важные документы на дискетах в сейфе с двумя ключами, находящи­мися у разных людей, под присмотром автоматчиков в герме­тичной комнате, особенно если доступ к документам требует­ся регулярный). И еще раз подчеркну, что пользы от данных мер при игнорировании человеческого фактора не будет.

Программные средства непосредственной защиты информации

Третья группа мероприятий по защите: программные средства непосредственной защиты информации. К ним относим:

• криптографические средства - электронную подпись и шифрование (как отдельных файлов, так и целых баз данных);

• системы аутентификации, построенные на криптогра­фии.

Приступая к реализации этих мероприятий, следует по­мнить, что это - последний (и, как правило, не очень нужный) слой защиты информации, так называемый последний рубеж. Применение его необходимо, когда предполагается наличие внутреннего нарушителя (в случае внутрикорпоративного до­кументооборота), либо когда обмен информацией ведется с внешними организациями без возможности защиты каналов передачи этой информации. Все, от чего данные меры защитят, так это от того, что злоумышленник не сможет ознакомиться с информацией или исказить ее. Но эти меры (при «забывании» руководством о первых двух группах мероприятий) не поме­шают ему эту информацию, скажем, удалить, тем самым пара­лизовав работу организации.

Резюмируя обсуждение третьей группы мероприятий, сле­дует заметить: так же, как и прочих технических мер обеспе­чения защиты, использование программных средств еще больше снижает эффективность и скорость работы. Например, при обмене данными отправителю придется их зашифро­вывать, получателю - расшифровывать, а на это требуется время и действия.

Подводя итог, хотим еще раз отметить, что подход к за­щите электронного документооборота должен быть комплекс­ным. Необходимо трезво оценивать вероятные угрозы и риски и величину возможных потерь от реализации этих угроз.

Вообще же, выбирая методы организации защищенного документооборота, следует искать разумный баланс между необходимостью и возможностью, между безопасностью данных и стоимостью решения по их защите. Обеспечивать защиту документооборота только ради самого факта наличия защиты не только лишено смысла, но и вредно, т. к. может существен­но осложнить деятельность организации с документами и ин­формацией.

Ну и, конечно, ни в коем случае нельзя забывать о главном недостатке любой защиты: абсолютной защиты не бывает, бывает лишь усложнение защиты настолько, чтобы ее взлом стоил дороже, чем защищаемая информация.