Защищенный документооборот. Методологические аспекты реализации

Антошечкина Е.Ю.

Учитывая, что объем информации (в том числе и документов), созда­ваемой, передаваемой, обрабатываемой и хранимой в электронном виде, неуклонно растет (и тенденция роста сохраняется), вопрос обеспечения защиты этой информации становится как никогда актуальным. Однако зачастую ответственность за решение этого вопроса перекладывают на ИТ-специалистов организации (или, в лучшем случае, специалистов по информационной безопасности), забывая о ключевой роли службы ДОУ во всем, что связано с документами. А ведь именно специалисты в области управления документами и информацией должны совместно со специалистами по информационной безопасности ставить задачу, определять, что необходимо защищать, зачем это необходимо делать, в каких объемах и т. п. От этого зависит и то, как должна реализовываться защита. Следует помнить, что организация защиты информации в документной системе - это целый комплекс взаимосвязанных технических, технологических и организационных мероприятий, в которых должны принимать непо­средственное участие и специалисты в области управления документами и информацией, и специа­листы в области информационной безопасности, и ИТ-специалисты.

Что такое защита информации?

Для начала разберемся, что же мы представляем при словах "защита информации", "защищенный документооборот"? Каждый имеет в виду что-то свое, но, как правило, большинству приходят в голову модные в последнее время слова "электрон­ная подпись", "шифрование". Некоторые вспоминают защиту от несанкционированного доступа, защищенный периметр и т. п. Поэтому прежде чем говорить о защите, попробуем определить, что именно нужно защищать и в чем же заключа­ется эта защита.

Итак, под защитой понимается:

1. Защита системы (или нескольких систем, комплекса систем), в которой обрабатываются данные (в данном случае, СЭД).

2. Защита непосредственно данных (документов и инфор­мации) внутри системы (систем).

Защита системы - это прежде всего защита ее работоспо­собности - обеспечение ее безотказной работы и быстрого восстановления после каких-либо сбоев или повреждений и, в идеале, даже после уничтожения.

Таким образом, необходимо защищать:

• аппаратные элементы системы (компьютеры, серверы, элементы компьютерной сети и сетевое оборудование) от таких угроз, как поломка и выход из строя, доступ злоумышленника, отключение питания и т. д.;
• файлы системы (программного обеспечения системы и базы данных) от возможного влияния злоумышлен­ника или внешних обстоятельств.

Например, файлы базы данных могут быть скопированы злоумышленником или повреждены в результате сбоя опе­рационной системы или оборудования.

Защита данных включает:

1. Обеспечение доступа к данным, непредставляющего угрозы для них (защита от несанкционированного до­ступа), и разграничение прав пользователя на работу с этими данными.

2. Обеспечение сохранности данных (защита от потери и порчи данных, в т. ч. обеспечение возможности их быстрого восстановления).

3. Защиту от некорректных действий пользователей с дан­ными:

протоколирование действий пользователей - как выпол­ненных действий, так и попыток выполнения каких-то дей­ствий - позволит отследить неправомерные действия и найти виновника, а при оперативном вмешательстве даже пресечь попытку несанкционированных или наносящих вред действий.

4. Обеспечение конфиденциальности данных - шифрование.

5. Обеспечение целостности данных (защита от поврежде­ния и уничтожения информации, искажения информации как ненамеренного в случае ошибок и сбоев, так и злоумышленного) и подтверждение авторства - элек­тронная подпись. Итак, мы видим, что понятие "защищенный документо­оборот" включает целый комплекс действий по защите инфор­мации, объединенных общим заголовком.

Мероприятия по реализации защищенного документооборота

В целом мероприятия по реализации защищенного докумен­тооборота можно свести в три группы, по мере уменьшения их важности:

1. Работа с человеческим фактором.

2. Техническое, программное и организационное обеспе­чение по ограничению доступа к защищаемой инфор­мации.

3. Программные средства непосредственной защиты ин­формации.

Рассмотрим эти мероприятия более подробно.

Работа с человеческим фактором

Первым, самым важным пунктом идет работа с так назы­ваемым человеческим фактором, а именно - с сотрудниками организации.

Почему именно этот пункт ставится на первое место? Прак­тика показывает, что наибольшую угрозу для информации представляют именно внутренние нарушители - сотрудники компании, имеющие доступ к информации. И чем выше уровень доступа, чем больше прав у сотрудника на работу с информа­цией, тем потенциально больший вред этот сотрудник может нанести информации и соответственно организации. Ведь если у сотрудника есть доступ на чтение и редактирование инфор­мации, значит, по неосторожности ее можно исказить и удалить, а при определенном умысле - украсть, подменить, уничтожить (в зависимости от преследуемых целей).

Работа с человеческим фактором включает:

• повышение уровня активности администраторов сети и общего уровня компьютерной грамотности сотруд­ников, являющихся пользователями системы;
• проведение обучения сотрудников работе с системой и сопутствующим программным обеспечением;
• ознакомление сотрудников с их правами и обязанно­стями как администраторов и пользователей системы, имеющих доступ к данным.

Сотрудники компании должны понимать ответственность за свои действия с корпоративной информацией (либо бездей­ствие). Желательно, чтобы это ознакомление было оформлено документально, зафиксировано и подписано собственноручной подписью каждого сотрудника (например, аналогично тому, как осуществляется ознакомление с правилами техники без­опасности).

Неграмотный (необученный) с точки зрения информа­ционной безопасности сотрудник может также опосредован­но стать угрозой - на неосторожно оставленный им без присмотра или переданный в чужие руки носитель инфор­мации (например, флеш-карту) может быть записана вирус-программа, которая, оказавшись на рабочем компьютере сотрудника и через него - в сети организации, нанесет вред информации. И никакое шифрование в данном случае ин­формацию не спасет;

• грамотная мотивация сотрудников, ответственных за безопасность информации, и в первую очередь адми­нистраторов сети и парка компьютеров организации.

Нет ничего опаснее, чем обиженный и озлобленный системный администратор - он мало того что не будет вы­полнять свои непосредственные обязанности (или просто начнет выполнять их хуже), но и сам может стать внутренним нарушителем, "шпионом", имеющим практически неограни­ченный доступ ко всему объему информации, циркулирующей по организации в электронном виде.

Если говорить о данных мероприятиях именно в контексте реализации защищенного документооборота, то в первую оче­редь следует обратить внимание на таких сотрудников органи­зации, как сотрудники службы ДОУ. Именно они являются ключевыми пользователями СЭД, у них, как правило, макси­мальные права в части работы с документами и информацией.

В данном случае сотрудники службы ДОУ выступают не только в роли пользователей, с которыми должны быть проведены указанные выше мероприятия (т. е. пассивных участников мероприятий), но и в роли тех, кто проводит обучение и инструктаж других сотрудников (т. е. является инициатором и исполнителем этих работ).

Безусловное и непосредственное участие в подготовке и реализации данных мероприятий принимают специалисты службы информационной безопасности, ИТ-специалисты, ру­ководство организации (на уровне принятия решений).

Резюмируя обсуждение первой группы мероприятий, сле­дует сказать: программной и (или) аппаратной защиты от внутреннего нарушителя не существует! Без решения вопро­са с человеческим фактором все дальнейшие действия будут нецелесообразны. Поэтому к их реализации имеет смысл при­бегать, только когда сделано все возможное для решения во­проса с человеческим фактором, ведь плохая организация мо­жет свести к нулю все технические меры, сколь совершенны они бы ни были.

Техническое, программное и организационное обеспечение

Перейдем ко второй группе мероприятий по защите: к тех­ническому, программному и организационному обеспечению по ограничению доступа к защищаемой информации.

Прибегать к нему следует тогда, когда грамотного персо­нала и аккуратной работы уже недостаточно. Например, в сред­них и крупных компаниях (когда сложно обеспечить безопас­ность организационными мерами) либо просто при большой вероятности атаки снаружи. Подобного рода обеспечение под­разумевает:

• создание ролей доступа к информации, разграничение прав на работу с информацией;
• протоколирование всех действий и попыток к действи­ям (включая не только создание, редактирование и уда­ление, но и чтение, печать, выгрузку, пересылку и т. п.);
• запрет на использование внешних носителей;
• по мере ужесточения мер обеспечения безопасности возможно даже создание специальной, отдельно охра­няемой экранированной комнаты, в которой установлен компьютер с важными данными, отключенный от любой сети, кроме электрической.

Чем более суровы данные методы, тем более высокую степень защиты (естественно, при условии того, что мы поза­ботились об исключении негатива первого фактора) они дают.

Основное участие в подготовке и реализации (в качестве исполнителей) данных мероприятий для СЭД принимают спе­циалисты службы информационной безопасности, ИТ-специа­листы, специалисты службы ДОУ. Причем роль службы ДОУ, как и при реализации мероприятий первой группы, определя­ется уровнем ее вовлеченности в процессы настройки СЭД, назначения пользователям прав доступа и работы с докумен­тами и информацией в СЭД.

Если служба ДОУ отвечает за это направление, ее со­трудники принимают непосредственное участие в работах. В противном случае служба ДОУ консультирует основных исполнителей по вопросам использования СЭД в организа­ции. Ну и, разумеется, нельзя забывать, что служба ДОУ является основным «потребителем» этих мер безопасности (наряду с прочими пользователями СЭД).

Резюмируя обсуждение второй группы мероприятий, сле­дует сказать: реализуя меры по техническому, программному и организационному обеспечению по ограничению доступа к защищаемой информации, нельзя забывать, что такого рода меры напрямую (и крайне негативно) сказываются на ско­рости и эффективности работы, на функционале защи­щаемой системы, поэтому злоупотреблять ими не стоит (согласитесь, мало кому понравится, скажем, хранить важные документы на дискетах в сейфе с двумя ключами, находящи­мися у разных людей, под присмотром автоматчиков в герме­тичной комнате, особенно если доступ к документам требует­ся регулярный). И еще раз подчеркну, что пользы от данных мер при игнорировании человеческого фактора не будет.

Программные средства непосредственной защиты информации

Третья группа мероприятий по защите: программные средства непосредственной защиты информации. К ним относим:

• криптографические средства - электронную подпись и шифрование (как отдельных файлов, так и целых баз данных);
• системы аутентификации, построенные на криптогра­фии.

Приступая к реализации этих мероприятий, следует по­мнить, что это - последний (и, как правило, не очень нужный) слой защиты информации, так называемый последний рубеж. Применение его необходимо, когда предполагается наличие внутреннего нарушителя (в случае внутрикорпоративного до­кументооборота), либо когда обмен информацией ведется с внешними организациями без возможности защиты каналов передачи этой информации. Все, от чего данные меры защитят, так это от того, что злоумышленник не сможет ознакомиться с информацией или исказить ее. Но эти меры (при «забывании» руководством о первых двух группах мероприятий) не поме­шают ему эту информацию, скажем, удалить, тем самым пара­лизовав работу организации.

Реализацию данных мероприятий СЭД (в качестве испол­нителей) осуществляют специалисты службы информационной безопасности, ИТ-специалисты. Роль службы ДОУ в данном случае - на этапе подготовки мер к реализации - сводится к консультированию основных исполнителей по вопросам ис­пользования СЭД в организации, а в дальнейшем - к приме­нению наряду с прочими пользователями СЭД.

Резюмируя обсуждение третьей группы мероприятий, сле­дует заметить: так же, как и прочих технических мер обеспе­чения защиты, использование программных средств еще больше снижает эффективность и скорость работы. Например, при обмене данными отправителю придется их зашифро­вывать, получателю - расшифровывать, а на это требуется время и действия.

Подводя итог, хотим еще раз отметить, что подход к за­щите электронного документооборота должен быть комплекс­ным. Необходимо трезво оценивать вероятные угрозы и риски и величину возможных потерь от реализации этих угроз.

Вообще же, выбирая методы организации защищенного документооборота, следует искать разумный баланс между необходимостью и возможностью, между безопасностью данных и стоимостью решения по их защите. Обеспечивать защиту документооборота только ради самого факта наличия защиты не только лишено смысла, но и вредно, т. к. может существен­но осложнить деятельность организации с документами и ин­формацией.

Ну и, конечно, ни в коем случае нельзя забывать о главном недостатке любой защиты: абсолютной защиты не бывает, бывает лишь усложнение защиты настолько, чтобы ее взлом стоил дороже, чем защищаемая информация.

Источник: Журнал "Современные технологии делопроизводства и документооборота"