Файл: Методика защиты информации в системах электронного документооборота (Субъекты информационных отношений).pdf

Важным моментом в защите электронного документооборота является протоколирование действий пользователей. Его правильная реализация в системе позволяет отследить все неправомерные действия и найти виновника, а при оперативном вмешательстве даже пресечь попытку неправомерных или наносящих вред действий.

Такая возможность обязательно должна присутствовать в самой СЭД. Кроме того, дополнительно можно воспользоваться решениями сторонних разработчиков и партнеров, чьи продукты интегрированы с СЭД. Прежде всего, следует отметить СУБД и хранилища данных, любой подобный продукт крупных разработчиков таких как «Майкрософт» или Oracle, наделен этими средствами. Так можно использовать возможности операционных систем по протоколированию действий пользователей.

Общая модель защищенной СЭД [4] анализ существующих угроз информационной безопасности представлена в Приложении 1.

Выводы по главе 2.

При формировании защиты электронного документооборота необходимо объективно оценить возможные угрозы и риски СЭД и величину возможных потерь от реализованных угроз. Как уже отмечалось, защита СЭД не сводится только лишь к защите документов и разграничению доступа к ним. Необходимо обеспечить защиту аппаратных средств, системы, персональных компьютеров, принтеров и прочих устройств; защиту сетевой среды, в которой функционирует система; защиту каналов передачи данных и сетевого оборудования. На каждом уровне защиты важную роль играет комплекс организационных мер (инструктаж, подготовка персонала к работе с конфиденциальной информацией). Защита системы электронного документооборота должна быть комплексной.

ЗАКЛЮЧЕНИЕ

Наличие электронного документооборота создает основу для управления, доступа и интеграции важной деловой информации. С его помощью можно объединить все формы данных – документы, Web, изображения и аудиовизуальную информацию – в различных рабочих процессах и приложениях. Участники процесса получают возможность составлять, заполнять, просматривать, редактировать, визировать и публиковать документы в электронной форме с высокой степенью безопасности и с использованием Интернета или Интранета. Таким образом, электронный архив предназначен для перевода бумажных документов в цифровую форму и управления всеми видами электронных документов и аудиовидеоматериалов. Он позволяет:

− обеспечить высокую доступность и безопасность информации;

− поддерживать работу ключевых систем организаций.

Оценка эффективности защиты систем позволяет существенно сократить расходы на хранение и управление цифровой информацией; − снизить убытки из-за потерь важных документов. При всех преимуществах внедрение СЭД порождает новые риски, и пренебрежение защитой приводит к новым информационным угрозам. Анализ угроз информационной безопасности в СЭД Считается, что для защиты СЭД достаточно использования электронно-цифровой подписи (ЭЦП), однако в большинстве случаев разработчики не поясняют, как правильно использовать ЭЦП, какая нужна инфраструктура и какие защищенные сервисы необходимо развернуть на ее основе. Обычно на соответствующих сайтах приводятся только конкретные примеры реализованных защищенных СЭД. Поэтому понятие защищенного электронного документооборота (ЗЭД) определить достаточно трудно, особенно в условиях постоянно меняющегося правового поля, недостатка стандартов и активно развивающихся технологий. В общем случае к задаче создания ЗЭД необходимо подходить с точки зрения классической защиты информационной системы [2], обеспечивая решение таких задач, как:

− аутентификация пользователей и разделение доступа;

− подтверждение авторства электронного документа;

− контроль целостности электронного документа;

− конфиденциальность электронного документа;

− обеспечение юридической значимости электронного документа.

Если раньше обеспечивалась защита непосредственно самих электронных документов или информационных ресурсов, содержащих документы, то теперь изменяются основной вектор атак и, соответственно, объект защиты [3]. Кроме традиционных атак на информационные ресурсы все чаще их объектом становится взаимодействие «человек – электронный документ», «человек – информационный ресурс». Таким образом, защищать надо не столько сами документы, сколько системы передачи, обработки и хранения электронных документов при доступе пользователей к работе с электронными документами.

Угрозы СЭД можно сгруппировать по нарушаемым свойствам безопасности: угроза конфиденциальности; угроза целостности; угроза доступности. Под угрозой конфиденциальности понимают такие нарушения, как кража, перехват информации, изменения маршрутов следования. Угрозы целостности – это угрозы, при реализации которых информация теряет заранее определенные системой вид и качество. Объектами данной угрозы могут быть все компоненты описанной выше модели СЭД: документы – данные, хранящиеся на сервере БД, резервные копии документов; сервер БД – среда хранения электронных документов; серверы ОС и АСЭД – установленные на серверах и рабочих станциях, включая клиентов СУБД, операционная система и интерфейсная часть СЭД; аппаратная система – каналы связи между компонентами, аппаратный межсетевой экран. Угрозы доступности характеризуют возможность доступа к хранимой и обрабатываемой в СЭД информации в любой момент времени. Защиту от этих угроз в той или иной мере должна реализовывать любая система электронного документооборота. При этом, с одной стороны, при внедрении СЭД увеличиваются риски реализации угроз, но, с другой стороны, при правильном подходе упорядочение документооборота позволяет выстроить более качественную систему защиты. Таким образом, любая защищенная СЭД должна предусматривать реализацию как минимум следующих механизмов защиты: обеспечение целостности документов; обеспечение безопасного доступа; обеспечение конфиденциальности документов; обеспечение подлинности документов; протоколирование действий пользователей.

Разработка систем защиты информации СЭД должна проводиться с учетом защиты от выявленных угроз и возможных информационных рисков, для которых определяются способы защиты, и на основе предложенного показателя оценки ее эффективности. При этом учитываются требования, которые предъявляются к созданию таких систем, а именно [7]:

− организация защиты информации осуществляется с учетом системного подхода, обеспечивающего оптимальное сочетание взаимосвязанных методологических, организационных, программных, аппаратных и иных средств;

− система должна развиваться непрерывно, так как способы реализации угроз информации непрерывно совершенствуются.

Управление информационной базой – это непрерывный процесс, заключающийся в обосновании и реализации наиболее рациональных методов, способов и путей совершенствования систем информации, непрерывном контроле, выявление ее «узких» и слабых мест, потенциальных каналов утечки информации и новых способов несанкционированного доступа (НСД); − система должна предусматривать разделение и минимизацию полномочий по доступу к обрабатываемой информации и процедурам обработки; − система должна обеспечивать контроль и регистрацию попыток НСД, содержать средства для точного установления идентичности каждого пользователя и производить протоколирование действий; − обеспечивать надежность защиты информации и контроль за функционированием системы защиты, т.е. использовать средства и методы контроля работоспособности механизмов защиты. Реализация перечисленных требований при создании системы защиты информации в СЭД будет способствовать организации эффективного защищенного документооборота.

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

1. Аскеров Т.М. Защита информации и информационная безопасность / под общ. ред. К.И. Курбакова. – М.: Российская экономическая академия, 2011. – 386 с.
2. Домарев В.В. Безопасность информационных технологий. Методология создания систем защиты. – М.: ДиаСофт, 2012. – 693 с.
3. Досмухамедов Б.Р. Анализ угроз информации систем электронного документооборота // Компьютерное обеспечение и вычислительная техника. – 2009. – № 6. – С. 140–143.
4. Зайченко Ю.П. Исследование операций: учеб. – 6-е изд., перераб. и доп. – Киев: Изд. дом «Слово», 2013. – 688 с.
5. Макарова Н.В. Компьютерное делопроизводство: учеб. курс / Н.В. Макарова, Г.С. Николайчук, Ю.Ф. Титова. – СПб.: Питер, 2015. – 411 с.
6. Сабанов А.А. Некоторые аспекты защиты электронного документооборота // Connect! Мир связи. – 2010. – № 7. – С. 62–64.
7. Система электронного документооборота и автоматизации бизнес-процессов [Эл. ресурс] URL: http://evfrat.ru/
8. Система электронного документооборота с расширенным функционалом [Эл. ресурс] URL: http://www.directum.ru/
9. Шаньгин В.Ф. Комплексная защита информации в корпоративных системах. Учеб. Пособие. М. : ИД «Форум»: Инфра-М, 2010. С. 592.
10. Щеглов А.Ю. Защита компьютерной информации от несанкционированного доступа. – М.: Наука и техника, 2013. – 384 с.