Электронная цифровая подпись

    Еще один важный параметр аутентификации — количество учитываемых факторов. Процесс аутентификации может быть однофакторным, двухфакторным и  т.д. Также возможно комбинирование различных методов: парольного, имущественного и биометрического. Так, например, аутентификация может проходить при помощи пароля и отпечатка пальца (двухфакторный  способ).

    Разграничения прав пользователя

    В любой системе обязательно должно быть предусмотрено разграничение  прав пользователя — и чем гибче  и детальнее, тем лучше. Пусть  потребуется большее время на настройку, но в итоге мы получим  более защищенную систему. Разграничение  прав внутри системы технически устраивают по-разному: это может быть полностью  своя подсистема, созданная разработчиками СЭД, или подсистема безопасности СУБД, которую использует СЭД. Иногда их разработки комбинируют используя свои разработки и подсистемы СУБД. Такая комбинация предпочтительнее, она позволяет  закрыть минусы подсистем безопасности СУБД, которые также имеют «дыры».

    Конфиденциальность

    Огромным  преимуществом для конфиденциальности информации обладают криптографические  методы защиты данных. Их применение позволят не нарушить конфиденциальность документа  даже в случае его попадания в  руки стороннего лица. Не стоит забывать, что любой криптографический  алгоритм обладает таким свойством  как криптостокойсть, т.е. и его  защите есть предел. Нет шифров, которые  нельзя было бы взломать — это вопрос только времени и средств. Те алгоритмы, которые еще несколько лет  назад считались надежными, сегодня  уже успешно демонстративно взламываются. Поэтому для сохранения конфиденциальности убедитесь, что за время, потраченное  на взлом зашифрованной информации, она безнадежно устареет или средства, потраченные на ее взлом, превзойдут стоимость самой информации.

    Кроме того, не стоит забывать об организационных  мерах защиты. Какой бы эффективной  криптография не была, ничто не помешает третьему лицу прочитать документ, например, стоя за плечом человека, который  имеет к нему доступ. Или расшифровать информацию, воспользовавшись ключом который валяется в столе сотрудника.

    Обеспечение подлинности документов

    Сегодня основным и практически единственным предлагаемым на рынке решением для  обеспечения подлинности документа  является электронно-цифровой подписи (ЭЦП). Основной принцип работы ЭЦП  основан на технологиях шифрования с ассиметричным ключом. Т.е. ключи  для шифрования и расшифровки  данных различны. Имеется «закрытый» ключ, который позволяет зашифровать  информацию, и имеется «открытый» ключ, при помощи которого можно  эту информацию расшифровать, но с  его помощью невозможно «зашифровать»  эту информацию. Таким образом, владелец «подписи» должен владеть «закрытым» ключом и не допускать его передачу другим лицам, а «открытый» ключ может  распространяться публично для проверки подлинности подписи, полученной при  помощи «закрытого» ключа.

    Для наглядности ЭЦП можно представить  как данные, полученные в результате специального криптографического преобразования текста электронного документа. Оно  осуществляется с помощью так  называемого «закрытого ключа» —  уникальной последовательности символов, известной только отправителю электронного документа. Эти «данные» передаются вместе с текстом электронного документа  его получателю, который может  проверить ЭЦП, используя так  называемый «открытый ключ» отправителя  — также уникальную, но общедоступную  последовательность символов, однозначно связанную с «закрытым ключом»  отправителя. Успешная проверка ЭЦП  показывает, что электронный документ подписан именно тем, от кого он исходит, и что он не был модифицирован  после наложения ЭЦП.

    Таким образом, подписать электронный  документ с использованием ЭЦП может  только обладатель «закрытого ключа», а проверить наличие ЭЦП —  любой участник электронного документооборота, получивший «открытый ключ», соответствующий  «закрытому ключу» отправителя. Подтверждение  принадлежности «открытых ключей»  конкретным лицам осуществляет удостоверяющий центр - специальная организация  или сторона, которой доверяют все  участники информационного обмена. Обращение в удостоверяющие центры позволяет каждому участнику  убедиться, что имеющиеся у него копии «открытых ключей», принадлежащих  другим участникам (для проверки их ЭЦП), действительно принадлежат  этим участникам.

    Большинство производителей СЭД уже имеют  встроенные в свои системы, собственноручно  разработанные или партнерские  средства для использования ЭЦП, как, например, в системах Directum или  «Евфрат-Документооборот». Такой тесной интеграции с ЭЦП немало способствовал  и выход федерального закона о  ЭЦП (№1–ФЗ от 10.01.2002г.) в котором  электронная цифровая подпись была признана имеющий юридическую силу наряду с собственноручной подписью. Стоить заметить, что согласно законам РФ, свою систему электронной цифровой подписью может разрабатывать только компания, имеющая на это соответствующую лицензию от ФАПСИ (ныне от ФСБ). Равно как и компания, использующая в своих разработках ЭЦП, должна иметь лицензию от органов государственной власти.

    Протоколирование действий пользователей — немаловажный пункт в защите электронного документооборота. Его правильная реализация в системе позволит отследить все неправомерные действия и найти виновника, а при оперативном вмешательстве даже пресечь попытку неправомерных или наносящих вред действий. Такая возможность обязательно должна присутствовать в самой СЭД. Кроме того, дополнительно можно воспользоваться решениями сторонних разработчиков и партнеров, чьи продукты интегрированы с СЭД. Говоря о партнерских решениях, прежде всего речь идет о СУБД и хранилищах данных, любой подобный продукт крупных разработчиков, таких как Microsoft или Oracle, наделен этими средствами. Также не стоит забывать о возможностях операционных систем по протоколированию действий пользователей и решениях сторонних разработчиков в этой области.

    Законодательное регулирование

    Российское  законодательство в течение последних  нескольких лет начинает активно  проявлять интерес к высоким  технологиям. Однако пока мы идем с  отставанием, по сравнению с рядом  зарубежных стран, в области правового  регулирования информационных технологий и документооборота в частности. Последним прямо настоящим прорывом было принятие федерального закона от 10 января 2002 «Об электронной цифровой подписи». В нем ЭЦП приравнена к собственноручной подписи при  соблюдении соответствующих условий  указанных в законе и даже может  рассматриваться заменой печати организации, естественно так же при соблюдении соответствующих  условий. Помимо указанного ФЗ «Об ЭЦП» сейчас электронный документооборот  в нашей стране регулируется рядом  следующих законов: ФЗ «Об информации, информатизации и защите информации», который содержит формальные определения  таких понятий, как «информация», «документированная информация», «документ», «информатизация», «информационные  ресурсы».

    Федеральный законы «О связи» и «Об участии  в международном информационном обмене» также определяют понятия  «документированная информация», «информационные  ресурсы», «информационные продукты», «информационные услуги». Например, под «документом» здесь понимается «зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать». Косвенно электронного документооборота также касается закон «О лицензировании отдельных видов деятельности», устанавливающий обязательность лицензирования деятельности по выдаче сертификатов ключей ЭЦП, регистрации владельцев ЭЦП, оказанию услуг, связанных с использованием ЭЦП, и подтверждению подлинности ЭЦП. Здесь же предусмотрено лицензирование деятельности: по распространению шифровальных (криптографических) средств, по техническому обслуживанию шифровальных (криптографических) средств, по предоставлению услуг в области шифрования информации, по разработке, производству шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем.

    Кроме того, есть целый ряд ГОСТов. ГОСТ 6.10.4-84 «Придание юридической силы документам на машинном носителе и  машинограмме, создаваемым средствами вычислительной техники», определяющий требования к составу и содержанию реквизитов, придающих юридическую  силу документам на машинных носителях, информации, создаваемым средствами вычислительной техники, а также  порядок внесения изменений в  указанные документы; ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритмы криптографического преобразования»; ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма».

    Список  законов и государственных стандартов представлен здесь не полно, кроме  указанных существует еще ряд  постановлений, указов, писем, стандартов, для описания которых потребуется, наверное, отдельный выпуск журнала. Следует заметить, что работа в  правом регулирования области ИТ продолжается и сейчас. В Государственной  думе во втором чтении был принят законопроект нового закона «Об информации, информационных технологиях и о защите информации». Данный проект закона определяет порядок  сбора, передачи, производства и распространения  информации в РФ, использования информационно-телекоммуникационных сетей, устанавливает ответственность  за нарушения в сфере информтехнологий и коммуникаций. Вводятся новые понятия («обладатель информации», «информационная  технология», «оператор информационной системы» и другие), обеспечивающие однозначное толкование законодательных  норм. За обладателем информации закрепляются исключительные права на определение  доступа к информационным ресурсам и их использование. Законопроект вводит классификацию информации по критериям  доступности и способам распространения. Фиксируется «презумпция открытости информации о деятельности государственных  органов и органов местного самоуправления». В проекте закона записано, что  «право на доступ к какой-либо информации не может быть использовано для насильственного  изменения основ конституционного строя, нарушения территориальной целостности РФ, создания угроз обороне страны, безопасности государства и охране правопорядка». Поправки о запрете использования импортного программного оборудования (ПО) на стратегических объектах России были отклонены депутатами Государственной Думы.

    Реальность жизни

    Основное  проблемное место при организации  защиты СЭД, как отмечают большинство  разработчиков систем защиты, это  не технические средства, а лояльность пользователей. Как только документ попадает к пользователю, конфиденциальность этого документа по отношению  к пользователю уже нарушена. Техническими мерами в принципе невозможно предотвратить  утечку документа через этого  пользователя. Он найдет множество  способов скопировать информацию, от сохранения его на внешний носитель до банального фотографирования документа  с помощью камеры, встроенной в  сотовый телефон. Основные средства защиты здесь — это организационные  меры по ограничению доступа к  конфиденциальным документам и работы с самим пользователем. Он должен понимать степень своей ответственности, которую несет перед организацией и законом Российской Федерации.

    Системы российских разработчиков условно  можно поделить на две группы —  ориентированные на коммерческое использование (Directum, «Ефрат-документооборот», LanDoc, Optima-WorkFlow) и ориентированные на использование  в государственных структурах («Гран-Док» и «Золушка»). Это не означает, что  их применение строго ограничено, некоторые  системы вполне успешно применяются  как в государственных структурах, так и в коммерческих организациях. Просто каждая их этих групп имеет  свою специфику не только в технологиях  организации документооборота и  делопроизводства, но и свои отличительные  черты в системах защиты.

    Основное  отличие в системах защиты — это  алгоритмы, применяемые в шифровании и ЭЦП К сожалению, пока вопрос защищенности систем документооборота только начинает интересовать конечных пользователей и разработчиков  соответственно. Практически все  системы обладают парольной аутентификацией  и разграничением доступа пользователей. Некоторые из них имеют также  возможности интеграции с Windows-аутентификацией, что дает возможность пользоваться дополнительными средствами аутентификации, поддерживаемыми Windows. Не все из перечисленных  решений имеют свою криптографическую  защиту — шифрование документов или  ЭЦП. В ряде продуктов это возможно только при помощи дополнительных средств  сторонних разработчиков.

    Подход  к защите электронного документооборота должен быть комплексным. Необходимо трезво оценивать возможные угрозы и  риски СЭД и величину возможных  потерь от реализованных угроз. Как  уже говорилось, защиты СЭД не сводится только лишь к защите документов и  разграничению доступа к ним. Остаются вопросы защиты аппаратных средств системы, персональных компьютеров, принтеров и прочих устройств; защиты сетевой среды, в которой функционирует  система, защита каналов передачи данных и сетевого оборудования, возможно выделение СЭД в особый сегмент  сети. Комплекс организационных мер  играют роль на каждом уровне защиты, но им, к сожалению, часто пренебрегают. А ведь здесь и инструктаж, и  подготовка обычного персонала к  работе с конфиденциальной информацией. Плохая организация может свести к нулю все технические меры, сколь  совершенны они бы не были.