Внедрение системы электронного документооборота (СЭД), позволяет приобрести огромную гибкость в обработке и хранении информации и заставляет бюрократическую систему компании работать быстрее и с большей отдачей. В то же время, СЭД порождает новые риски, и пренебрежения защитой обязательно приведет к новым угрозам конфиденциальности.
Последние несколько лет спрос на системы электронного документооборота (СЭД) увеличивался и, по прогнозам экспертов, эта тенденция продолжится. Осознание выгоды от их использования уже даже давно дошло до самого инертного к новшествам и самого мощного холдинга нашей страны - госсектора, который вышел на это поле с русским размахом, обеспечив существенную долю спроса. Но, внедряя СЭД нельзя забывать о безопасности системы - желающих полазить в чужих документах достаточно. Уже много лет пишутся целые книги о промышленном шпионаже, компьютерных преступлениях, а наиболее практичные уже не один год реализуют написанное на практике.
Защита не для документа
Базовый элемент любой СЭД - документ, внутри системы это может быть файл, а может быть запись в базе данных. Говоря о защищенном документообороте, часто подразумевают именно защиту документов, защиту той информации, которую они в себе несут. В этом случае все сводится к уже банальной (хотя и не простой) задаче защиты данных от несанкционированного доступа.
Здесь есть большое заблуждение, ведь речь идет именно о защите системы, а не только о защите данных внутри нее. Это значит, что нужно защитить также ее работоспособность, обеспечить быстрое восстановление после повреждений, сбоев и даже после уничтожения. Система - это как живой организм, не достаточно защитить только содержимое его клеток, необходимо защитить также связи между ними и их работоспособность. Поэтому к защите системы электронного документооборота необходим комплексный подход, который подразумевает защиту на всех уровнях СЭД. Начиная от защиты физических носителей информации, данных на них, и заканчивая организационными мерами.
Таким образом, необходимо защищать, во-первых, аппаратные элементы системы. Это компьютеры, серверы, элементы компьютерной сети и сетевое оборудование (как активное - маршрутизаторы, switch’и и т.д., так и пассивное - кабели, розетки и т.д.). Необходимо предусмотреть такие угрозы, как поломка оборудования, доступ злоумышленника к оборудованию, отключения питания и т.д.
Во-вторых, защита необходима файлам системы. Это файлы программного обеспечения и базы данных, уровень между аппаратными устройствами системы и логическими элементами системы и физическими составляющими. В противном случае появляется возможность влияния злоумышленником или внешними обстоятельствами на файлы СЭД, не проникая в систему, т.е. как бы снаружи. Например, файлы базы могут быть скопированы злоумышленником или повреждены в результате сбоя операционной системы или оборудования. В-третьих, само собой, необходимо защищать документы и информацию, находящиеся внутри системы.
Используя такой подход, можно построить систему, защищенную на всех уровнях, и рубежи обороны от угроз на каждом уровне. Возможно, выглядит немного параноидально, да и стоимость подобной защиты может сравняться со стоимостью самой СЭД, поэтому всегда нужно искать разумный баланс между безопасностью и стоимостью.
Стандартный набор угроз
Угрозы для системы электронного документооборота достаточно стандартны и могут быть классифицированы следующим образом. Угроза целостности - повреждение и уничтожение информации, искажение информации - как не намеренное в случае ошибок и сбоев, так и злоумышленное. Угроза конфиденциальности - это любое нарушение конфиденциальности, в том числе кража, перехват информации, изменения маршрутов следования. Угроза работоспособности системы - всевозможные угрозы, реализация которых приведет к нарушению или прекращению работы системы; сюда входят как умышленные атаки, так и ошибки пользователей, а также сбои в оборудовании и программном обеспечении.
Защиту именно от этих угроз в той или иной мере должна реализовывать любая система электронного документооборота. При этом, с одной стороны, внедряя СЭД, упорядочивая и консолидируя информацию, увеличиваются риски реализации угроз, но с другой стороны, как это ни парадоксально, упорядочение документооборота позволяет выстроить более качественную систему защиты.
Источников угроз в нашем небезопасном мире не мало: это и «кривые руки» некоторых системных администраторов, и техника, которая имеет свойство ломаться в самый не подходящий момент, и форс-мажорные обстоятельства, которые редко, но все же происходят. И даже если серверы не пострадают от пожара, произошедшего в здании, будьте уверенны - их непременно зальют водой приехавшие пожарники. В целом же, можно выделить несколько основных групп: легальные пользователи системы, административный ИТ-персонал, внешние злоумышленники.
Спектр возможных злодеяний легальных пользователей достаточно широк - от скрепок в аппаратных частях системы до умышленной кражи информации с корыстной целью. Возможна реализация угроз в разных классах: угрозы конфиденциальности, угрозы целостности. Пользователь системы - это потенциальный злоумышленник, он может сознательно или не сознательно нарушить конфиденциальность информации.
Особая группа - это административный ИТ-персонал или персонал службы ИТ-безопасности. Эта группа, как правило, имеет неограниченные полномочия и доступ к хранилищам данных, поэтому к ней нужно отнестись с особым вниманием. Они не только имеют большие полномочия, но и наиболее квалифицированы в вопросах безопасности и информационных возможностей. Не так важен мотив этих преступлений, был ли это корыстный умысел или ошибка, от которой никто не застрахован, результат один - информация либо потерялась, либо получила огласку. Согласно многочисленным исследованиям, от 70 до 80% потерь от преступлений приходятся на атаки изнутри. Набор внешних злоумышленников сугубо индивидуален. Это могут быть и конкуренты, и партнеры, и даже клиенты.
Как защищать
Не останавливаясь на средствах защиты компьютерных сетей, сетевых устройств и операционных систем с их файловыми система, представляющих отдельную тему для разговора, рассмотрим более подробно средства, интегрированные в сами СЭД. Любая СЭД, претендующая на звание «защищенной», должна как минимум предусмотреть механизм защиты от основных ее угроз: обеспечение сохранности документов, обеспечение безопасного доступа, обеспечение подлинности документов, протоколирование действия пользователей.
Обеспечение сохранности документов
СЭД должна обеспечить сохранность документов от потери и порчи и иметь возможность их быстрого восстановления. Статистика неумолима, в 45% случаев потери важной информации приходятся на физические причины (отказ аппаратуры, стихийные бедствия и подобное), 35% обусловлены ошибками пользователей и менее 20% - действием вредоносных программ и злоумышленников. Опрос аналитической компании Deloitte Touche, проведенный в начале 2006 г., показал, что более половины всех компаний сталкивались с потерей данных в течение последних 12 месяцев. 33% таких потерь привели к серьезному финансовому ущербу. Представители половины компаний, переживших потерю данных, заявляют, что причиной инцидента стал саботаж или халатное отношение к правилам информационной политики компании, и только 20% респондентов сообщили, что интеллектуальная собственность их компаний защищена должным образом. Всего 4% опрошенных заявило, что их работодатели обращают должное внимание на информационную политику компании. Что касается СЭД, то в эффективности ее защиты уверено только 24% участников опроса.
Так, например, СЭД, в основе своей использующие базы данных Microsoft SQL Server или Oracle, предпочитают пользоваться средствами резервного копирования от разработчика СУБД (в данном случае Microsoft или Oracle). Иные же системы имеют собственные подсистемы резервного копирования, разработанные непосредственно производителем СЭД. Сюда следует также отнести возможность восстановление не только данных, но и самой системы в случае ее повреждения.
Обеспечение безопасного доступа
Этот момент обычно все понимают под безопасностью СЭД, чем часто ограничивают понятие безопасности систем. Безопасный доступ к данным внутри СЭД обеспечивается аутентификацией и разграничением прав пользователя.
Для упрощения будем называть процессы установления личности пользователя и процессы подтверждения легитимности пользователя на то или иное действие или информацию одним термином - аутентификацией, понимая под ним весь комплекс мероприятий, проводимых как на входе пользователя в систему, так и постоянно в течении его дальнейшей работы.
Здесь необходимо заострить внимание на методах аутентификации. Самый распространенный из них, конечно, парольный. Основные проблемы, которые сильно снижают надежность данного способа - это человеческий фактор. Даже если заставить пользователя использовать правильно сгенерированный пароль, в большинстве случаев его можно легко найти на бумажке в столе или под клавиатурой, а особо «талантливые» обычно прикрепляют ее прямо на монитор.
Самый старый из известных миру способов аутентификации - имущественный. В свое время полномочия владельца сундука подтверждались ключами, сегодня прогресс ушел далеко вперед, и полномочия пользователя подтверждаются специальным носителем информации. Существует множество решений для имущественной аутентификации пользователя: это всевозможные USB-ключи, смарт-карты, «таблетки» магнитные карты, в том числе используются и дискеты, и CD. Здесь также не исключен человеческий фактор, но злоумышленнику необходимо также заполучить сам ключ и узнать PIN-код.
Максимально надежный для проведения идентификации и последующей аутентификации способ - биометрический, при котором пользователь идентифицируется по своим биометрическим данным ( это может быть отпечаток пальца, сканирования сетчатки глаза, голос). Однако в этом случае стоимость решения выше, а современные биометрические технологии еще не настолько совершенны, чтобы избежать ложных срабатываний или отказов.
Еще один важный параметр аутентификации - количество учитываемых факторов. Процесс аутентификации может быть однофакторным, двухфакторным и т.д. Также возможно комбинирование различных методов: парольного, имущественного и биометрического. Так, например, аутентификация может проходить при помощи пароля и отпечатка пальца (двухфакторный способ).
Разграничения прав пользователя
В любой системе обязательно должно быть предусмотрено разграничение прав пользователя - и чем гибче и детальнее, тем лучше. Пусть потребуется большее время на настройку, но в итоге мы получим более защищенную систему. Разграничение прав внутри системы технически устраивают по-разному: это может быть полностью своя подсистема, созданная разработчиками СЭД, или подсистема безопасности СУБД, которую использует СЭД. Иногда их разработки комбинируют используя свои разработки и подсистемы СУБД. Такая комбинация предпочтительнее, она позволяет закрыть минусы подсистем безопасности СУБД, которые также имеют «дыры».
Конфиденциальность
Огромным преимуществом для конфиденциальности информации обладают криптографические методы защиты данных. Их применение позволят не нарушить конфиденциальность документа даже в случае его попадания в руки стороннего лица. Не стоит забывать, что любой криптографический алгоритм обладает таким свойством как криптостокойсть, т.е. и его защите есть предел. Нет шифров, которые нельзя было бы взломать - это вопрос только времени и средств. Те алгоритмы, которые еще несколько лет назад считались надежными, сегодня уже успешно демонстративно взламываются. Поэтому для сохранения конфиденциальности убедитесь, что за время, потраченное на взлом зашифрованной информации, она безнадежно устареет или средства, потраченные на ее взлом, превзойдут стоимость самой информации.
Кроме того, не стоит забывать об организационных мерах защиты. Какой бы эффективной криптография не была, ничто не помешает третьему лицу прочитать документ, например, стоя за плечом человека, который имеет к нему доступ. Или расшифровать информацию, воспользовавшись ключом который валяется в столе сотрудника.
Обеспечение подлинности документов
Сегодня основным и практически единственным предлагаемым на рынке решением для обеспечения подлинности документа является электронно-цифровой подписи (ЭЦП). Основной принцип работы ЭЦП основан на технологиях шифрования с ассиметричным ключом. Т.е. ключи для шифрования и расшифровки данных различны. Имеется «закрытый» ключ, который позволяет зашифровать информацию, и имеется «открытый» ключ, при помощи которого можно эту информацию расшифровать, но с его помощью невозможно «зашифровать» эту информацию. Таким образом, владелец «подписи» должен владеть «закрытым» ключом и не допускать его передачу другим лицам, а «открытый» ключ может распространяться публично для проверки подлинности подписи, полученной при помощи «закрытого» ключа.
Для наглядности ЭЦП можно представить как данные, полученные в результате специального криптографического преобразования текста электронного документа. Оно осуществляется с помощью так называемого «закрытого ключа» - уникальной последовательности символов, известной только отправителю электронного документа. Эти «данные» передаются вместе с текстом электронного документа его получателю, который может проверить ЭЦП, используя так называемый «открытый ключ» отправителя - также уникальную, но общедоступную последовательность символов, однозначно связанную с «закрытым ключом» отправителя. Успешная проверка ЭЦП показывает, что электронный документ подписан именно тем, от кого он исходит, и что он не был модифицирован после наложения ЭЦП.
Таким образом, подписать электронный документ с использованием ЭЦП может только обладатель «закрытого ключа», а проверить наличие ЭЦП - любой участник электронного документооборота, получивший «открытый ключ», соответствующий «закрытому ключу» отправителя. Подтверждение принадлежности «открытых ключей» конкретным лицам осуществляет удостоверяющий центр - специальная организация или сторона, которой доверяют все участники информационного обмена. Обращение в удостоверяющие центры позволяет каждому участнику убедиться, что имеющиеся у него копии «открытых ключей», принадлежащих другим участникам (для проверки их ЭЦП), действительно принадлежат этим участникам.
Большинство производителей СЭД уже имеют встроенные в свои системы, собственноручно разработанные или партнерские средства для использования ЭЦП, как, например, в системах Directum или «Евфрат-Документооборот». Такой тесной интеграции с ЭЦП немало способствовал и выход федерального закона о ЭЦП (№1-ФЗ от 10.01.2002г.) в котором электронная цифровая подпись была признана имеющий юридическую силу наряду с собственноручной подписью. Стоить заметить, что согласно законам РФ, свою систему электронной цифровой подписью может разрабатывать только компания, имеющая на это соответствующую лицензию от ФАПСИ (ныне от ФСБ). Равно как и компания, использующая в своих разработках ЭЦП, должна иметь лицензию от органов государственной власти.
Протоколирование действий пользователей - немаловажный пункт в защите электронного документооборота. Его правильная реализация в системе позволит отследить все неправомерные действия и найти виновника, а при оперативном вмешательстве даже пресечь попытку неправомерных или наносящих вред действий. Такая возможность обязательно должна присутствовать в самой СЭД. Кроме того, дополнительно можно воспользоваться решениями сторонних разработчиков и партнеров, чьи продукты интегрированы с СЭД. Говоря о партнерских решениях, прежде всего речь идет о СУБД и хранилищах данных, любой подобный продукт крупных разработчиков, таких как Microsoft или Oracle, наделен этими средствами. Также не стоит забывать о возможностях операционных систем по протоколированию действий пользователей и решениях сторонних разработчиков в этой области.
Законодательное регулирование
Российское законодательство в течение последних нескольких лет начинает активно проявлять интерес к высоким технологиям. Однако пока мы идем с отставанием, по сравнению с рядом зарубежных стран, в области правового регулирования информационных технологий и документооборота в частности. Последним прямо настоящим прорывом было принятие федерального закона от 10 января 2002 «Об электронной цифровой подписи». В нем ЭЦП приравнена к собственноручной подписи при соблюдении соответствующих условий указанных в законе и даже может рассматриваться заменой печати организации, естественно так же при соблюдении соответствующих условий. Помимо указанного ФЗ «Об ЭЦП» сейчас электронный документооборот в нашей стране регулируется рядом следующих законов: ФЗ «Об информации, информатизации и защите информации», который содержит формальные определения таких понятий, как «информация», «документированная информация», «документ», «информатизация», «информационные ресурсы».
Федеральный законы «О связи» и «Об участии в международном информационном обмене» также определяют понятия «документированная информация», «информационные ресурсы», «информационные продукты», «информационные услуги». Например, под «документом» здесь понимается «зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать». Косвенно электронного документооборота также касается закон «О лицензировании отдельных видов деятельности», устанавливающий обязательность лицензирования деятельности по выдаче сертификатов ключей ЭЦП, регистрации владельцев ЭЦП, оказанию услуг, связанных с использованием ЭЦП, и подтверждению подлинности ЭЦП. Здесь же предусмотрено лицензирование деятельности: по распространению шифровальных (криптографических) средств, по техническому обслуживанию шифровальных (криптографических) средств, по предоставлению услуг в области шифрования информации, по разработке, производству шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем.
Кроме того, есть целый ряд ГОСТов. ГОСТ 6.10.4-84 «Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники», определяющий требования к составу и содержанию реквизитов, придающих юридическую силу документам на машинных носителях, информации, создаваемым средствами вычислительной техники, а также порядок внесения изменений в указанные документы; ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритмы криптографического преобразования»; ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма».
Список законов и государственных стандартов представлен здесь не полно, кроме указанных существует еще ряд постановлений, указов, писем, стандартов, для описания которых потребуется, наверное, отдельный выпуск журнала. Следует заметить, что работа в правом регулирования области ИТ продолжается и сейчас. В Государственной думе во втором чтении был принят законопроект нового закона «Об информации, информационных технологиях и о защите информации». Данный проект закона определяет порядок сбора, передачи, производства и распространения информации в РФ, использования информационно-телекоммуникационных сетей, устанавливает ответственность за нарушения в сфере информтехнологий и коммуникаций. Вводятся новые понятия («обладатель информации», «информационная технология», «оператор информационной системы» и другие), обеспечивающие однозначное толкование законодательных норм. За обладателем информации закрепляются исключительные права на определение доступа к информационным ресурсам и их использование. Законопроект вводит классификацию информации по критериям доступности и способам распространения. Фиксируется «презумпция открытости информации о деятельности государственных органов и органов местного самоуправления». В проекте закона записано, что «право на доступ к какой-либо информации не может быть использовано для насильственного изменения основ конституционного строя, нарушения территориальной целостности РФ, создания угроз обороне страны, безопасности государства и охране правопорядка». Поправки о запрете использования импортного программного оборудования (ПО) на стратегических объектах России были отклонены депутатами Государственной Думы.
Реальность жизни
Основное проблемное место при организации защиты СЭД, как отмечают большинство разработчиков систем защиты, это не технические средства, а лояльность пользователей. Как только документ попадает к пользователю, конфиденциальность этого документа по отношению к пользователю уже нарушена. Техническими мерами в принципе невозможно предотвратить утечку документа через этого пользователя. Он найдет множество способов скопировать информацию, от сохранения его на внешний носитель до банального фотографирования документа с помощью камеры, встроенной в сотовый телефон. Основные средства защиты здесь - это организационные меры по ограничению доступа к конфиденциальным документам и работы с самим пользователем. Он должен понимать степень своей ответственности, которую несет перед организацией и законом Российской Федерации.
Системы российских разработчиков условно можно поделить на две группы - ориентированные на коммерческое использование (Directum, «Ефрат-документооборот», LanDoc, Optima-WorkFlow) и ориентированные на использование в государственных структурах («Гран-Док» и «Золушка»). Это не означает, что их применение строго ограничено, некоторые системы вполне успешно применяются как в государственных структурах, так и в коммерческих организациях. Просто каждая их этих групп имеет свою специфику не только в технологиях организации документооборота и делопроизводства, но и свои отличительные черты в системах защиты.
Основное отличие в системах защиты - это алгоритмы, применяемые в шифровании и ЭЦП К сожалению, пока вопрос защищенности систем документооборота только начинает интересовать конечных пользователей и разработчиков соответственно. Практически все системы обладают парольной аутентификацией и разграничением доступа пользователей. Некоторые из них имеют также возможности интеграции с Windows-аутентификацией, что дает возможность пользоваться дополнительными средствами аутентификации, поддерживаемыми Windows. Не все из перечисленных решений имеют свою криптографическую защиту - шифрование документов или ЭЦП. В ряде продуктов это возможно только при помощи дополнительных средств сторонних разработчиков.
Подход к защите электронного документооборота должен быть комплексным. Необходимо трезво оценивать возможные угрозы и риски СЭД и величину возможных потерь от реализованных угроз. Как уже говорилось, защиты СЭД не сводится только лишь к защите документов и разграничению доступа к ним. Остаются вопросы защиты аппаратных средств системы, персональных компьютеров, принтеров и прочих устройств; защиты сетевой среды, в которой функционирует система, защита каналов передачи данных и сетевого оборудования, возможно выделение СЭД в особый сегмент сети. Комплекс организационных мер играют роль на каждом уровне защиты, но им, к сожалению, часто пренебрегают. А ведь здесь и инструктаж, и подготовка обычного персонала к работе с конфиденциальной информацией. Плохая организация может свести к нулю все технические меры, сколь совершенны они бы не были.