По для обеспечения безопасности существует

В России отношение к секретности информации всегда было на самом высоком уровне. И сегодня заказчики уделяют значительное внимание вопросам безопасности конфиденциальных данных, однако им не хватает знаний и умений в использовании имеющихся технологических и программных средств. "В техническом плане современные СЭД обычно достаточно хорошо защищены. Однако далеко не все организации принимают надлежащие кадровые и организационные меры, и в результате становятся возможными как действия инсайдеров, так и неумышленные нарушения системы ИБ," – констатирует Наталья Храмцовская.

Александр Бейдер полагает, что для большинства заказчиков вполне достаточно имеющихся решений: "Современные ECM-системы предусматривают решения класса IRM либо как встроенные сервисы (например Open Text), либо как интегрируемые в основную платформу внешние модули, в том числе третьих производителей. Подобный подход предусматривают Microsoft, ЕМС, Oracle, а также ряд других компаний". В настройках систем IRM/DRM можно установить ряд ограничений и запретов, в частности, на копирование конфиденциальных документов, работу с ними вне системы, пересылку или печать, а также управлять доступом к ним. Однако любая система защиты должна быть равноценна охраняемой информации, поэтому перед их внедрением целесообразно произвести аудит рисков, связанных с утечками данных.

С тем, что технические возможности СЭД способствуют поддержке конфиденциальности документации, соглашается Сергей Курьянов, директор по развитию DocsVision. Однако не все СЭД разработаны на основе достаточно гибких принципов управления безопасностью: "Все это работало бы замечательно, если бы базовым подходом к управлению доступом во многих СЭД не была бы дискреционная модель управления доступом (требующая прямого или наследуемого указания прав доступа каждого пользователя по отношению к каждому документу). Дискреционная модель унаследована СЭД из операционных систем, управляющих с ее помощью доступом к разделяемым папкам и файлам. Дискреционная безопасность недостаточно управляема, в ней очень трудно формулировать и поддерживать политики доступа, особенно контекстные. Поэтому очень часто ее просто не используют совсем, ссылаясь как раз на то, что риск кражи документа очень низкий". По мнению эксперта, в разработке более защищенных СЭД следует использовать подход на основе мандатной безопасности, рекомендуемый стандартом MoReq. Эта модель управления доступом соотносит уровень конфиденциальности документа с уровнем допуска сотрудника. Она дает преимущества в управлении, облегчает использование СЭД.

Еще более перспективной моделью управления, по мнению специалиста, является ролевая модель. Эта контекстно-ориентированная модель позволяет формулировать более гибкие политики доступа к информации. Эксперт заключает, что симбиоз различных моделей может дать наиболее защищенную систему безопасности информации: "Сочетание мандатной и ролевой моделей управления доступом, а также журналирование действий пользователя позволяет строить и управлять политиками безопасности, которые не мешают людям работать с документами, но сильно сужают возможности несанкционированного доступа".

Сергей Якимчук, руководитель центра компетенции Microsoft SharePoint компании TerraLink, уверенно заявляет, что у отечественных заказчиков практически отсутствуют требования к соответствию СЭД стандартам информационной безопасности: "Заказчики часто предъявляют требования к протоколам, по которым СЭД взаимодействует с внешними системами, а также к наличию возможности в будущем использовать ЭЦП и криптозащиту. Стандартов же в вопросах защиты от внешнего проникновения, организации защищенного доступа к данным и прочего не требует на нашем рынке практически никто".