Электронная цифровая подпись

     
В соответствии с Федеральным законом  «Об информации, информационных технологиях  и о защите информации» электронное  сообщение, подписанное электронной  цифровой подписью или иным аналогом собственноручной подписи, признается электронным документом, равнозначным документу, подписанному собственноручной подписью, в случаях, если федеральными законами или иными нормативными правовыми актами не устанавливается  или не подразумевается требование о составлении такого документа  на бумажном носителе. Федеральный  закон «Об электронной цифровой подписи» дает определения основным терминам электронного документооборота:

• электронный документ — документ, в котором информация представлена в электронно-цифровой форме;
• электронная цифровая подпись— реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе;
• владелец сертификата ключа подписи — физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы);
• средства электронной цифровой подписи — аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций — создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе, создание закрытых и открытых ключей электронных цифровых подписей;
• сертификат средств электронной цифровой подписи — документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям;
• закрытый ключ электронной цифровой подписи — уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи;
• открытый ключ электронной цифровой подписи — уникальная последовательность символов, соответствующая закрыто к электронному ключу электронной цифровой подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе;
• сертификат ключа подписи — документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи;
• подтверждение подлинности электронной цифровой подписи в электронном документе — положительный результат проверки соответствующим сертифицированным средством электронной цифровой подписи с использованием сертификата ключа подписи принадлежности электронной цифровой подписи в электронном документе владельцу сертификата ключа подписи и отсутствия искажений в подписанном данной электронной цифровой подписью электронном документе;
• пользователь сертификата ключа подписи— физическое лицо, использующее полученные в удостоверяющем центре сведения о сертификате ключа подписи для проверки принадлежности электронной цифровой подписи владельцу сертификата ключа подписи;
• информационная система общего пользования — информационная система, которая открыта для использования всеми физическими и юридическими лицами и в услугах которой этим лицам не может быть отказано;
• корпоративная информационная система — информационная система, участниками которой может быть ограниченный круг лиц, определенный ее владельцем или соглашением участников этой информационной системы. Сертификация средств электронной цифровой подписи осуществляется в соответствии с законодательством Российской Федерации о сертификации продукции и услуг специально созданными для этого центрами.

     
В соответствии с Федеральным законом  «Об информации, информационных технологиях  и о защите информации» в целях  заключения гражданско-правовых договоров  или оформления иных правоотношений, в которых участвуют лица, обменивающиеся электронными сообщениями, обмен электронными сообщениями, каждое из которых подписано  электронной цифровой подписью или  иным аналогом собственноручной подписи  отправителя такого сообщения, в  порядке, установленном федеральными законами, иными нормативными правовыми  актами или соглашением сторон, рассматривается  как обмен документами. Вопросы  использования электронных документов и электронной цифровой подписи  освещаются и в других нормативных  правовых актах, например в ст. 160 Гражданского кодекса Российской Федерации.

Особенности защиты электронного документооборота 

    Внедрение системы электронного документооборота (СЭД), позволяет приобрести огромную гибкость в обработке и хранении информации и заставляет бюрократическую систему компании работать быстрее и с большей отдачей. В то же время, СЭД порождает новые риски, и пренебрежения защитой обязательно приведет к новым угрозам конфиденциальности.

    Последние несколько лет спрос на системы  электронного документооборота (СЭД) увеличивался и, по прогнозам экспертов, эта тенденция  продолжится. Осознание выгоды от их использования уже даже давно  дошло до самого инертного к новшествам и самого мощного холдинга нашей  страны — госсектора, который вышел  на это поле с русским размахом, обеспечив существенную долю спроса. Но, внедряя СЭД нельзя забывать о безопасности системы — желающих полазить в чужих документах достаточно. Уже много лет пишутся целые  книги о промышленном шпионаже, компьютерных преступлениях, а наиболее практичные уже не один год реализуют написанное на практике.

    Защита не для документа

    Базовый элемент любой СЭД — документ, внутри системы это может быть файл, а может быть запись в базе данных. Говоря о защищенном документообороте, часто подразумевают именно защиту документов, защиту той информации, которую они в себе несут. В  этом случае все сводится к уже  банальной (хотя и не простой) задаче защиты данных от несанкционированного доступа.

    Здесь есть большое заблуждение, ведь речь идет именно о защите системы, а не только о защите данных внутри нее. Это значит, что нужно защитить также ее работоспособность, обеспечить быстрое восстановление после повреждений, сбоев и даже после уничтожения. Система — это как живой  организм, не достаточно защитить только содержимое его клеток, необходимо защитить также связи между ними и их работоспособность. Поэтому  к защите системы электронного документооборота необходим комплексный подход, который  подразумевает защиту на всех уровнях  СЭД. Начиная от защиты физических носителей  информации, данных на них, и заканчивая организационными мерами.

    Таким образом, необходимо защищать, во-первых, аппаратные элементы системы. Это компьютеры, серверы, элементы компьютерной сети и  сетевое оборудование (как активное — маршрутизаторы, switch’и и т.д., так  и пассивное — кабели, розетки  и т.д.). Необходимо предусмотреть  такие угрозы, как поломка оборудования, доступ злоумышленника к оборудованию, отключения питания и т.д.

    Во-вторых, защита необходима файлам системы. Это  файлы программного обеспечения  и базы данных, уровень между аппаратными  устройствами системы и логическими элементами системы и физическими составляющими. В противном случае появляется возможность влияния злоумышленником или внешними обстоятельствами на файлы СЭД, не проникая в систему, т.е. как бы снаружи. Например, файлы базы могут быть скопированы злоумышленником или повреждены в результате сбоя операционной системы или оборудования. В-третьих, само собой, необходимо защищать документы и информацию, находящиеся внутри системы.

    Используя такой подход, можно построить  систему, защищенную на всех уровнях, и  рубежи обороны от угроз на каждом уровне. Возможно, выглядит немного  параноидально, да и стоимость подобной защиты может сравняться со стоимостью самой СЭД, поэтому всегда нужно  искать разумный баланс между безопасностью  и стоимостью.

    Стандартный набор угроз

    Угрозы  для системы электронного документооборота достаточно стандартны и могут быть классифицированы следующим образом. Угроза целостности — повреждение  и уничтожение информации, искажение  информации — как не намеренное в случае ошибок и сбоев, так и  злоумышленное. Угроза конфиденциальности — это любое нарушение конфиденциальности, в том числе кража, перехват информации, изменения маршрутов следования. Угроза работоспособности системы  — всевозможные угрозы, реализация которых приведет к нарушению  или прекращению работы системы; сюда входят как умышленные атаки, так  и ошибки пользователей, а также  сбои в оборудовании и программном  обеспечении.

    Защиту  именно от этих угроз в той или  иной мере должна реализовывать любая  система электронного документооборота. При этом, с одной стороны, внедряя  СЭД, упорядочивая и консолидируя информацию, увеличиваются риски реализации угроз, но с другой стороны, как это  ни парадоксально, упорядочение документооборота позволяет выстроить более качественную систему защиты.

    Источников  угроз в нашем небезопасном мире не мало: это и «кривые руки»  некоторых системных администраторов, и техника, которая имеет свойство ломаться в самый не подходящий момент, и форс-мажорные обстоятельства, которые  редко, но все же происходят. И даже если серверы не пострадают от пожара, произошедшего в здании, будьте уверенны — их непременно зальют водой приехавшие пожарники. В целом же, можно выделить несколько основных групп: легальные  пользователи системы, административный ИТ-персонал, внешние злоумышленники.

    Спектр  возможных злодеяний легальных  пользователей достаточно широк  — от скрепок в аппаратных частях системы до умышленной кражи информации с корыстной целью. Возможна реализация угроз в разных классах: угрозы конфиденциальности, угрозы целостности. Пользователь системы  — это потенциальный злоумышленник, он может сознательно или не сознательно  нарушить конфиденциальность информации.

    Особая  группа — это административный ИТ-персонал или персонал службы ИТ-безопасности. Эта группа, как правило, имеет  неограниченные полномочия и доступ к хранилищам данных, поэтому к  ней нужно отнестись с особым вниманием. Они не только имеют большие  полномочия, но и наиболее квалифицированы  в вопросах безопасности и информационных возможностей. Не так важен мотив  этих преступлений, был ли это корыстный  умысел или ошибка, от которой никто  не застрахован, результат один —  информация либо потерялась, либо получила огласку. Согласно многочисленным исследованиям, от 70 до 80% потерь от преступлений приходятся на атаки изнутри. Набор внешних  злоумышленников сугубо индивидуален. Это могут быть и конкуренты, и  партнеры, и даже клиенты.

    Как защищать

    Не  останавливаясь на средствах защиты компьютерных сетей, сетевых устройств  и операционных систем с их файловыми  система, представляющих отдельную  тему для разговора, рассмотрим более  подробно средства, интегрированные  в сами СЭД. Любая СЭД, претендующая на звание «защищенной», должна как  минимум предусмотреть механизм защиты от основных ее угроз: обеспечение  сохранности документов, обеспечение  безопасного доступа, обеспечение  подлинности документов, протоколирование действия пользователей.

    Обеспечение сохранности документов

    СЭД должна обеспечить сохранность документов от потери и порчи и иметь возможность  их быстрого восстановления. Статистика неумолима, в 45% случаев потери важной информации приходятся на физические причины (отказ аппаратуры, стихийные  бедствия и подобное), 35% обусловлены  ошибками пользователей и менее 20% — действием вредоносных программ и злоумышленников. Опрос аналитической  компании Deloitte Touche, проведенный в  начале 2006 г., показал, что более половины всех компаний сталкивались с потерей  данных в течение последних 12 месяцев. 33% таких потерь привели к серьезному финансовому ущербу. Представители  половины компаний, переживших потерю данных, заявляют, что причиной инцидента  стал саботаж или халатное отношение  к правилам информационной политики компании, и только 20% респондентов сообщили, что интеллектуальная собственность  их компаний защищена должным образом. Всего 4% опрошенных заявило, что их работодатели обращают должное внимание на информационную политику компании. Что касается СЭД, то в эффективности ее защиты уверено только 24% участников опроса.

    Так, например, СЭД, в основе своей использующие базы данных Microsoft SQL Server или Oracle, предпочитают пользоваться средствами резервного копирования  от разработчика СУБД (в данном случае Microsoft или Oracle). Иные же системы имеют  собственные подсистемы резервного копирования, разработанные непосредственно  производителем СЭД. Сюда следует также  отнести возможность восстановление не только данных, но и самой системы  в случае ее повреждения.

    Обеспечение безопасного доступа

    Этот  момент обычно все понимают под безопасностью  СЭД, чем часто ограничивают понятие  безопасности систем. Безопасный доступ к данным внутри СЭД обеспечивается аутентификацией и разграничением прав пользователя.

    Для упрощения будем называть процессы установления личности пользователя и  процессы подтверждения легитимности пользователя на то или иное действие или информацию одним термином —  аутентификацией, понимая под ним  весь комплекс мероприятий, проводимых как на входе пользователя в систему, так и постоянно в течении  его дальнейшей работы.

    Здесь необходимо заострить внимание на методах  аутентификации. Самый распространенный из них, конечно, парольный. Основные проблемы, которые сильно снижают надежность данного способа — это человеческий фактор. Даже если заставить пользователя использовать правильно сгенерированный  пароль, в большинстве случаев  его можно легко найти на бумажке  в столе или под клавиатурой, а особо «талантливые» обычно прикрепляют ее прямо на монитор.

    Самый старый из известных миру способов аутентификации — имущественный. В  свое время полномочия владельца  сундука подтверждались ключами, сегодня  прогресс ушел далеко вперед, и полномочия пользователя подтверждаются специальным  носителем информации. Существует множество  решений для имущественной аутентификации пользователя: это всевозможные USB-ключи, смарт-карты, «таблетки» магнитные  карты, в том числе используются и дискеты, и CD. Здесь также не исключен человеческий фактор, но злоумышленнику необходимо также заполучить сам  ключ и узнать PIN-код.

    Максимально надежный для проведения идентификации  и последующей аутентификации способ — биометрический, при котором  пользователь идентифицируется по своим биометрическим данным ( это может быть отпечаток пальца, сканирования сетчатки глаза, голос). Однако в этом случае стоимость решения выше, а современные биометрические технологии еще не настолько совершенны, чтобы избежать ложных срабатываний или отказов.