Файл: Методика защиты информации в системах электронного документооборота (сбора и упорядочивания информации о данных системах).pdf

Защита документооборота с удаленными или мобильными пользователями происходит путем шифрования передаваемой информации, обычно на парно-связном ключе удаленного пользователя и адресата (или отправителя).

Использование VPN имеет следующие преимущества:

• Обмен только защищенной информацией между авторизованными пользователями.
• Изолированность от ГВС внутренней сети и ее топологии.
• Прозрачность для абонентов сети.

К недостаткам использования VPN можно отнести некоторое замедление передачи информации в ГВС.

         1.1.6.Использование криптосервера

Шифрование информации в различных системах документооборота производится как программными, так и аппаратными средствами. Аппаратные средства шифрования имеют ряд преимуществ по сравнению с программными (защищенность и неизменность алгоритма шифрования, возможность загрузки ключей шифрования непосредственно в устройство криптографической защиты данных (УКЗД), возможность одновременного использования УКЗД в системе ЗНСД). К недостаткам же аппаратных средств можно отнести несколько более низкую скорость обработки данных и более высокую стоимость.

Использование криптосервера решает ряд проблем, связанных с выбором шифратора. Криптосервер представляет собой отдельный компьютер в ЛВС, оснащенный аппаратным шифратором и используемый для шифрования информации для абонентов сети по их запросам. Зашифрованная информация может впоследствии использоваться абонентом по его усмотрению, в том числе, для передачи по ГВС. Информация абонента может быть также автоматически подписана криптосервером.

Порядок работы криптосервера может быть, например, таким:

• Абонент направляет на криптосервер открытые данные.
• Происходит взаимная аутентификация абонента и криптосервера. Для идентификации абонента используется его персональная SC, содержащая используемые для аутентификации СК абонента и ОК криптосервера.
• После успешной аутентификации криптосервер зашифровывает данные на персональном ключе абонента (выбираемом из хранящейся на сервере таблицы ключей абонентов) и подписывает их.
• Абонент получает зашифрованные и подписанные данные.

Преимущества использования криптосервера:

• Использование одного шифратора вместо нескольких (по числу абонентов).
• Хранение всех ключей для передачи документов в ГВС только на криптосервере.
• Упрощение администрирования – все полномочия абонентов определяются администратором и хранятся только на криптосервере.
• Использование микропроцессорной SC в качестве носителя ключей аутентификации – исключает возможность несанкционированного использования хранящихся на криптосервере ключей.

---

Следует учесть, что, как и у любого другого дешевого решения, у криптосервера есть некоторые недостатки. Прежде всего, это необходимость защиты такой сети от попыток доступа из ГВС, поскольку информация посылается на криптосервер в незащищенном виде. Во-вторых, криптосервер обязательно должен быть защищен системой ЗНСД, поскольку он содержит все ключевые элементы пользователей такой ЛВС.

1.1.7.Организационные мероприятия

Следует учесть, что использование любых систем защиты документооборота будет недостаточным без введения некоторых организационных мер. К ним можно отнести следующее:

• Использование протоколирования всех операций, совершенных с помощью системы защиты. Протоколирование (ведение журналов операций) во многих системах ведется автоматически; оно должно быть обязательным на особо важных рабочих местах, например, ЦРК, СЦ, рабочее место администратора по безопасности.
• Предотвращение получения злоумышленниками ключевых дискет и их тиражирования владельцами. Для этого, помимо простого введения паролей, можно использовать в качестве ключевых носителей микропроцессорные SC.
• Разграничение доступа на рабочие места, как административными мерами (напр., разграничение доступа в помещения), так и с использованием различных систем ЗНСД, что особенно актуально для тех же ЦРК и СЦ.

1.1.8. Основные требования к СЭД

Согласно ГОСТ Р52292-2004 "процессом" называется "изменение свойств некоторого объекта (при взаимодействии с другими элементами системы или внешней средой или в результате внутренних действий) или его перемещение в пространстве" ГОСТ Р 52292-2004. Электронный обмен информацией. Термины и определения. М.: ИПК Издательство стандартов, 2005.С. 5. .

По определению ИСО, процессом называется также вид деятельности, управляемый в целях преобразования определенных ресурсов в определенный результат. При этом все процессы, осуществляемые в деятельности организации, взаимосвязаны, и зачастую результат одного из процессов (выход) образует ресурс последующего процесса (вход) Ларин М.В., Рысков О.И. Электронные документы в управлении. М.: ИПО "У Никитинских ворот", 2008. .

В стандарте ИСО 15489 выделяются следующие процессы управления документами:

- включение документов в систему;

- регистрация;

- классификация;

- классификация доступа и защиты;

- установление порядка и сроков хранения;

- хранение;

- использование;

- обеспечение сохранности.

Исследователи М.В. Ларин и О.И. Рысков в своей работе "Электронные документы в управлении" немного уточняют данные процессы. Рассмотрим эти процессы более подробно.

---

Включение документов в документную систему

Принимается решение о том, какие документы в организации могут быть созданы, получены и сохранены; определяется, кто может иметь доступ к этим документам, сроки их хранения Там же. .

Цели включения документов в систему:

установление связи между документом, его создателем и управленческим контекстом, в котором документ был создан;

определение места документа в системе;

установление связей с другими документами.

К документам могут быть отнесены как оригиналы, так и копии документов, поскольку копия документа может служить отдельной управленческой цели и храниться в другой системе.

По международному стандарту ИСО 15489, требуют официального включения в систему в качестве документов только те записи, которые фиксируют какое-либо действие организации или индивида, какую-либо обязанность или ответственность или содержат информацию, связанную с подотчетной управленческой деятельностью организации ГОСТ Р ИСО 15489-1 - 2007.

Технологии, которые применяются для развития и разработки систем электронного документооборота, с каждым годом становятся более совершенными и прогрессивными, при этом часто возникает вопрос контролируемого и направленного развития систем электронного документооборота. Не совершенная нормативно-правовая база и разнообразие технологий приводят к тому, что рынок систем электронного документооборота с каждым годом становится все более и более разнородным. В таком случае у предприятия должен быть подход к развитию процессного подхода к контролю и управлению своей деятельности, для подготовки базы с целью развития, адаптации и внедрения выбранной системы электронного документооборота^[1].

Сейчас документооборот перестал быть единственным предметом автоматизации. Задачи и цели ставятся значительно шире, так как управление знаниями происходит параллельно с оптимизацией. Современные технологии стали предлагать подходы для решения задач коллективной работы с документами.

Для развития систем электронного документооборота необходимо в первую очередь создать более основательную регламентную базу для массовой миграции к технологии электронно-цифровой подписи и других подобных функций ECM-систем, являющихся камнем преткновения при переходе от смешанного и традиционного документооборота к полностью электронному.

Можно сказать, что современная СЭД должна обеспечивать выполнение всех задач ДОУ: от создания документов до их хранения, включая справочную работу с документами. Кроме того, СЭД должна обеспечить необходимую степень защиты документов и разграничение доступа отдельных пользователей к ним.

---

1.1.9. Особенности СЭД

Электронный документ должен отвечать определенным требования, таким как:

1. иметь структуру установленного образца;
2. иметь возможность быть представленным в понятной для восприятия человеком форме;
3. содержать реквизиты, которые позволяют идентифицировать его и придать ему юридическую силу;
4. создаваться, передаваться и храниться с помощью технических и программных средств^[2].

В связи с чем, система электронных документов наделена следующими свойствами:

• подписанный электронной цифровой подписью электронный документ, обладает юридической силой, которая аналогична документу на бумажном носителе;
• электронные документы подлежат хранению в электронных архивах в порядке, установленном нормативными правовыми актами Российской Федерации;
• все подписанные одинаковой электронной цифровой подписью экземпляры электронного документа должны иметь равную юридическую силу^[3].

Хранение электронных документов должно быть обеспечено с соблюдением следующих условий:

• необходимо обеспечить возможность подтверждения подлинности электронных документов в течение всего срока хранения;
• необходимо обеспечить возможность предоставления хранимых электронных документов на бумажном носителе;
• необходимо обеспечить защиту электронных документов от несанкционированного доступа и искажений;
• необходимо обеспечить возможность предоставления заинтересованным лицам доступа к хранимым электронным документам в порядке, предусмотренном федеральными законами^[4].

Структура электронного документа состоит из двух частей: реквизитной и содержательной. Содержательная часть может включать раздельно или в любом сочетании из текстовой, графической и аудиовизуальной информации об изделии. Она содержит всю необходимую информацию об изделии.

Реквизитная часть электронного документа состоит из реквизитов, а также допускается вводить дополнительные реквизиты с учетом специфики его применения и обращения^[5].

Все варианты публикаций, то есть дубликаты, копии и оригиналы имеют одинаковую юридическую силу с бумажной формой выполнения документов аналогичных наименований. В копиях и дубликатах должны быть сохранены обязательные реквизиты, содержащиеся в подлиннике электронного документа.

---

Подлинные электронные документы, полученные путем изменения из форматов и подписанные электронной цифровой подписью в установленном порядке, имеют то же наименование документа, что и электронный документ, из которого они получены^[6].

Подлинному электронному документу присваивают дополнительный признак, который записывается в реквизитной части документа. Подлинный документ должен содержать в реквизитной части указание на исходный электронный документ, из которого он получен.

При обращении электронного документа должна быть обеспечена возможность проверки электронной цифровой подписи всеми организациями, которые являются участниками обращения документа.

Отличительные признаки:

наличие устанавливаемых по соглашению нуля и единицы измерений;

применимость понятия "размерность";

допустимость линейных преобразований;

реализация только посредством эталонов.

2. Функциональные требования к системам электронного документооборота

2.1. Измерения требований к СЭД

Все СЭД обладают рядом свойств, которые необходимо проанализировать и оценить. Оценка сложных систем проводится для разных целей:

для оптимизации - выбора наилучшего алгоритма из нескольких, реализующих один закон функционирования системы;

для идентификации - определения системы, качество которой наиболее соответствует реальному объекту в заданных условиях.

В системном анализе существует раздел "теория эффективности", связанный с определением качества систем и процессов, их реализующих.

Теория эффективности - научное направление, предметом изучения которого являются вопросы количественной оценки качества характеристик и эффективности функционирования сложных систем.

Оценивание сложных систем состоит из четырёх этапов:

1. Определение цели оценивания. В системном анализе существует два типа целей:

качественная(достижение которой выражается в номинальной шкале или шкале порядка);

количественная(выражается в количественных шкалах).

2. Измерение свойств систем. Всем исследуемым свойствам систем присваивается определённое значение на шкалах.

3. Обоснование предпочтений критериев качества и критериев эффективности функционирования систем на основе измеренных на выбранных шкалах свойств.

---