6. ЗАЩИТА ИНФОРМАЦИИ В СИСТЕМАХ ЭЛЕКТРОННОГО ДОКУМЕНТООБОРОТА

Автоматизация документационной поддержки процессов в организациях имеет несомненные преимущества. Спрос на системы электронного документооборота стабильно увеличивается. Однако нельзя забывать об обеспечении безопасности СЭД – различные злоумышленн ки проявляют интерес к конфиденциальным сведениям.

ляет собой совокупность аппаратных и программных средств. К аппаратным компонентам СЭД относятся: компьютеры (рабочие места), серверы, элементы компьютерной сети и сетевое оборудование. При организации защиты информации необходимо учитывать такие угро-

файлы СЭД, не проникая в системуД, т.е. могут быть реализованы внешние угрозы. Например, файлы базы могут быть скопированы или повреждены в результате сбоя операционной системы или оборудования.

зы, как поломка оборудования, доступ злоумышленника к оборудованию, отключения питания и т.д.

Кроме этого, защита необходима файлам программного обеспечения и базам данных, отвечающим за функционирование системы.

Иначе у злоумышленников появится возможность воздействовать на И

Также необходимо защищать документы и информацию, обра-

батываемые в СЭД, т.е. находящиеся внутри системы.

Система электронного документооборота представляет собой организационно-техническую систему, обеспечивающую процесс создания, обработки и распространения электронных документов в компьютерных системах, а также управление доступом и контроль над потоками документов в организации.

65

К основным угрозам для СЭД относятся следующие:

угроза целостности – повреждение, уничтожение или искажение информации, которое может быть как не намеренное в случае ошибок и сбоев, так и злоумышленное;

угроза конфиденциальности – любое нарушение конфиден-

циальности, в том числе кража, перехват информации, изменение маршрутов следования;

угроза доступности – угроза, нарушающая возможность за приемлемое время получить требуемую информацию пользователям,

имеющ м к ней права доступа;

если

невозможностьбАдоказательства авторства – угроза, выра-

жающаяся в том, что в документообороте не используется электронная подп сь, то невозможно доказать, что именно данный пользователь создал данный документ. При этом невозможно сделать документооборот юридически значимым.

Защиту именно от этих угроз в той или иной мере должна реализовывать любая система электронного документооборота.

Можно выделить несколькоДосновных групп источников угроз СЭД: легальные пользователи системы, ИТ-администраторы и ИТ-специалисты, внешние злоумышленники.

Диапазон возможных нарушений информационной безопасности как случайных, так и предумышленных легальными пользователями достаточно широк – от попадания скрепокИв аппаратные части системы до умышленной кражи информации с корыстной целью. Возможна реализация угроз в разных классах: угрозы конфиденциальности, угрозы целостности. Пользователь системы – это потенциальный злоумышленник, он может сознательно или несознательно нарушить конфиденциальность информации.

Особую группу составляет административный Т-персонал или персонал службы ИТ-безопасности. Представители этой группы, как правило, имеют неограниченные полномочия и доступ к хранилищам данных. Они не только имеют большие полномочия, но и наиболее квалифицированы в вопросах безопасности и информационных возможностей. Не так важен мотив этих преступлений, был ли это корыстный умысел или ошибка, от которой никто не застрахован, резуль-

66

тат один – информация либо потерялась, либо получила огласку. Согласно многочисленным исследованиям [2] до 80% потерь от преступлений приходятся на атаки изнутри.

остав внешних злоумышленников различается для предприятий и организаций в зависимости от сферы деятельности. К ним мо-

Сгут быть отнесены конкуренты, партнеры, клиенты и т.п.

Защита электронного документооборота актуальна для различных задач: защ та документооборота промышленных предприятий, обеспечен е конф денциальности информации в медицинских учре- дачиждениях, защ та электронных документов, обеспечивающих функционирован е платежной сети в банковской сфере.

На более остро вопрос защиты СЭД стоит для организаций, имеющ х терр тор ально-распределенную структуру. Такие организации могутбАметь несколько локальных вычислительных сетей, расположенных в разных регионах, и вынуждены использовать для переинформац разл чные неконтролируемые глобальные вычислительные сети о щего пользования. Наиболее надежным средством обеспечен я конф денциальности информации является шифрование. К задаче защиты системы электронного документооборота следует подходить с точки зрения классической защиты информационной системы. К мерам по о еспечению информационной безопасно-

сти СЭД можно отнести такие, как:

аутентификация пользователейДи разделение доступа;подтверждение авторства электронного документа;контроль целостности электронного документа;конфиденциальность электронного документа;

контроль целостности используемогоИпрограммного обеспе-

чения;

регистрацию событий в информационных системах;

криптографическую защиту;

межсетевое экранирование;

виртуальные частные сети;

антивирусную защиту;

аудит информационной безопасности, которые хорошо из- вестны специалистам по защите информации. доку-обеспечение юридической значимости электронного

67

Любая СЭД должна предусмотреть механизм защиты от основных ее угроз: обеспечение сохранности документов, обеспечение безопасного доступа, обеспечение подлинности документов, протоколирование действия пользователей.

Безопасный доступ к данным внутри СЭД обеспечивается ау-

тентификацией и разграничением прав пользователя. Процессы ус-

тановления личности пользователя и процессы подтверждения легитимности пользователя на то или иное действие или информацию называются аутент ф кацией.

Под аутент ф кацией понимается весь комплекс мероприятий,

бА пользователь идентифицируетсяДпо своим биометрическим данным

(это может быть отпечаток пальца, сканирования сетчатки глаза, голос). Однако в этом случае стоимость решения выше, а биометрические технологии еще не настолько совершенны, чтобы избежать ложных срабатываний или отказов.

иотпечатка пальца (двухфакторный способ).И

Влюбой системе обязательно должно быть предусмотрено разграничение прав пользователя – и чем гибче и детальнее, тем лучше. Разграничение прав внутри системы технически устраивают поразному: это может быть полностью своя подсистема, созданная разработчиками СЭД, или подсистема безопасности СУБД, которую использует СЭД.

68

Огромным преимуществом для конфиденциальности информа-

ции обладают криптографические методы защиты данных. Их применение позволит не нарушить конфиденциальность документа даже в случае его попадания в руки стороннего лица.

Не стоит забывать, что любой криптографический алгоритм обладает таким свойством как криптостокойсть, т.е. и его защите есть

Сназад сч тал сь надежными, сегодня уже успешно демонстративно взламываются. Поэтому для сохранения конфиденциальности убедитесь, что за время, потраченное на взлом зашифрованной информа- , она безнадежно устареет или средства, потраченные на ее взлом,

предел. Нет шифров, которые нельзя было бы взломать – это вопрос только времени средств. Те алгоритмы, которые еще несколько лет

ции третьему лбыцу проч тать документ, например стоя за плечом челове-

превзойдут сто мость самой информации.

Кроме того, не стоит за ывать об организационных мерах защи-

ты. Какой эффект вной криптография не была, ничто не помешает

ка, который меет к нему доступ. Или расшифровать информацию, воспользовавш сь ключом, который валяется в столе сотрудника.

Обеспечение подлинностиАдокументов

Сегодня основным и практически единственным предлагаемым на рынке решением для о еспечения подлинности документа является электронная подпись (ЭП). Д

Электронная подпись – реквизит электронного документа, полученный в результате криптографического преобразования информации с использованием закрытого ключа подписи и позволяющий проверить отсутствие искажения информации в электронном доку-

идентифицирует автора; И

позволяет определить, вносились ли изменения в документ после его подписания;

защищает документ от подделки и несанкционированного просмотра.

69

Федеральным законом № 63-ФЗ [26] предусмотрены два типа электронных подписей: простая и усиленная. Последняя имеет две формы: квалифицированную и неквалифицированную.

Простая электронная подпись представляет собой комбинацию из логина и пароля и подтверждает, что электронное сообщение отправлено конкретным лицом.

Усиленная неквалифицированная подпись не только идентифицирует отправ теля, но и подтверждает, что с момента подписания документ не менялся. Сообщение с простой или неквалифицированной электронной подп сью может (по предварительной договоренно-

приравненоно.

простаябАэлектронная подпись содержится в самом электронном документе;

ключ простой электроннойДподписи применяется в соответствии с правилами, установленными оператором информационной системы, с использованием которой осуществляются создание и (или) отправка электронного документа, и в созданном и (или) отправлен-

ном электронном документе содержится информация, указывающая на лицо, от имени которого был создан и (илиИ) отправлен электрон- ный документ.может быть использована при подписании электронных документов,

содержащих сведения, составляющие государственную тайну, или в информационной системе, содержащей сведения, составляющие государственную тайну.

Нормативные правовые акты и (или) соглашения между участниками электронного взаимодействия, устанавливающие случаи признания электронных документов, подписанных простой электронной

70

подписью, равнозначными документам на бумажных носителях, подписанных собственноручной подписью, должны предусматривать, в частности:

правила определения лица, подписывающего электронный документ, по его простой электронной подписи;

Спростой электронной подписи, соблюдать его конфиденциальность.

обязанность лица, создающего и (или) использующего ключ

В свою очередь усиленная неквалифицированная и усиленная

подписи тронный документбАпосле момента его подписания;

квалиф ц рованная электронные подписи получаются в результате криптограф ческого преобразования информации с использованием

создаются с спользованием средств электронной подписи.

Квалифицированная электронная подпись наравне с вышеуказанными признаками должна соответствовать следующим дополнительным признакам:

ключ проверки электронной подписи указан в квалифицированном сертификате;

для создания и проверки электронной подписи используются средства электронной подписи, получившие подтверждение соответ-

ствия требованиям, установленным в соответствии с законом об электронной подписи. Д

При этом основное отличие квалифицированногоИсертификата ключа проверки электронной подписи заключается в том, что он должен быть выдан аккредитованным удостоверяющим центром или доверенным лицом аккредитованного удостоверяющего центра.

Информация в электронной форме, подписанная квалифицированной электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью, кроме случая, если федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами установлено требование о необходимости составления документа исключительно на бумажном носителе.

71

Протоколирование действий пользователей – немаловажный пункт в защите электронного документооборота. Его правильная реализация в системе позволит отследить все неправомерные действия и найти виновника, а при оперативном вмешательстве даже пресечь попытку неправомерных или наносящих вред действий. Такая возможность обязательно должна присутствовать в самой СЭД. Кроме того, дополнительно можно воспользоваться решениями сторонних разработчиков партнеров, чьи продукты интегрированы с СЭД. Также не стоит забывать о возможностях операционных систем по протоколированию действ й пользователей и решениях сторонних разработчи-

граммное обеспечение КриптоПроД, которое обеспечивает криптографическую защиту информации. КриптоПро работает с сертификатами электронной подписи, обеспечивает шифрование и подпись информации. Без КриптоПро на компьютере невозможно будет установить сертификат электронной подписи и в дальнейшем с ним работать.

КриптоПро – набор криптографических утилит (вспомогательных программ) – так называемых криптопровайдеров. Они используются во многих программах российских разработчиков для генерации электронной подписи (ЭП), работы с сертификатами, организации структуры PKI (Public Key Infrastructure – инфраструктура открытых

72

Воснове PKI лежит использование криптографической системы

соткрытым ключом и несколько основных принципов:

надлежность открытого ключа заданному лицу, которое владеет соответствующ м закрытым ключом.

обеспечениябАконфиденциальности и контроля целостности информации посредством ее шифрованияДи имитозащиты, в соответствии с ГОСТ 28147–89;

обеспечения аутентичности, конфиденциальности и имитозащиты соединений по протоколу TLS;

контроля целостности системного и прикладного программного обеспечения, для его защиты от несанкционированныхИизменений и нарушений правильности функционирования;

управления ключевыми элементами системы в соответствии

срегламентом средств защиты.

алгоритм выработки значения хэш-функции реализован в соответствии с требованиями ГОСТ Р 34.11–94 / ГОСТ Р 34.11–2012 «Информационная технология. Криптографическая защита информации. Функция хэширования»;

алгоритмы формирования и проверки электронной подписи реализованы в соответствии с требованиями ГОСТ Р 34.10–2001 / ГОСТ Р 34.10–2012 «Информационная технология. Криптографиче-

73

ская защита информации. Процессы формирования и проверки электронной цифровой подписи».

тур.Диадок» позволяет организациям осуществлять юридически значимый документоо орот в электронной форме. Разработана компанией «СКБ Контур» – одним из крупнейших разработчиков программного обеспечения в России. ПозволяетСЭДорганизациям обмениваться любыми внешними и внутренними документами (договоры, акты и т.д.), подписанными электронной подписью, со своими клиентами, поставщиками, партнерами, удаленными подразделениями. Диадок обеспечивает полный набор возможностей, необходимых для полно-

2.Выполните установку и настройку программыИКриптоПро и учебного сертификата электронной подписи.

3.Выполните задания кейса, предоставленного учебным центром компании «СКБ Контур».

4.В малых группах по 2 человека выполните обмен документами, созданными ранее в задании 8.ценной

74

Задание 16

Документооборот с контролирующими органами с помощью СЭД «Контур.Экстерн»

«Контур-Экстерн» – это система защищенного документообо-

рота, позволяющая организациям и предпринимателям осуществлять обмен юридически значимыми электронными документами с контролирующими органами, принимающими отчетность по интернету.

Снтернету в заш фрованном и подписанном электронной цифровой в де, что гарантирует полную конфиденциальность и защищенность нформации, а также юридическую значимость элек-

Пользователи стемы могут представлять налоговые декларации и

бухгалтерскую отчетность в электронном виде, не покидая своего рабочего места. Документы передаются от бухгалтера до инспектора по

тронного документоо орота.

75

14.Какой способ идентификации пользователей считается наиболее надежным?

15.Для чего выполняется разграничение прав доступа пользователей СЭД?

16.Какими средствами обеспечивается подлинность документов?

17.Что понимают под электронной подписью и для чего ее используют?

18.Какие виды электронных подписей определены в законодательстве?

19.Для чего применяется протоколирование действий пользова-

телей?

20.Для чего используется криптопровайдер КриптоПро?АИ

76