Файл: Методика защиты информации в системах электронного документооборота (Механизмы и средства защиты информации в информационных системах документооборота).pdf
Добавлен: 19.06.2023
Просмотров: 49
Скачиваний: 4
Проблемы и хранения
При ЭЦП и выше метода защиты электронных применяемые в ключевые элементы распределяться следующим СК должен у его парный ему ОК быть передан всем абонентам с которыми хочет обмениваться информацией.
ОК являются секретными, существует возможность подмены. Например, ситуация, у злоумышленника доступ на на котором №1 хранит ключи. Злоумышленник интересующие его (ФИО, …) из ОК, абонента №2, чего генерирует -либо СК и ОК с данными и на компьютере №1 ОК №2 на После чего может подписать документ своим СК с абонента №2 и его абоненту №1. При ЭЦП такого будет выдано типа «Подпись (ФИО, …) верначто, говоря, в заблуждение №1. Таким очевидно, необходима защита и ключей. Такую можно обеспечить способами.
Использование дискеты.
Собственный СК и ключи других могут быть на персональную доступ к должен быть у ее Однако, большом количестве сети и потоке документов вариант нецелесообразен, как замедляется документов.
Смысл варианта состоит в ключей- Предположительно, некий сертификационный (СЦ), в на специальном (ключе-) подписывается открытый абонента сети передачей его абонентам. Открытый -сертификат должен у всех сети для целостности всех в сети ОК. При варианте рекомендуется проверке ЭЦП -либо документа проверять подпись ОК (обычно и автоматически программными ).
Таким сами ОК храниться в виде, а дискета, СК владельца, содержать еще и -сертификат. СЦ совместить с генерации ключей (ЦГК). В случае, будет выделенное место, как для ключей абонентов, и для сертификации и абонентам. Даже в генерации ключей абонентами на СЦ можно для рассылки заверенных открытых
Данная особенно рекомендуется организации электронного между несколькими лицами.
Порядок ключей состоит в
-
- Абонент персональную дискету с ключами. Секретный закрывается паролем.
- Для ОК формируется на собственном СК. ОК на дискету передачи.
- Создается документ на (например, ), в котором данные о (Ф.И.О., место работы), ОК (в шестнадцатеричном ), полномочия владельца (документов, уполномочен удостоверять открытого ключа). Данный должен быть таким образом, иметь юридическую в случае спорных вопросов о подписи и владельца.
- Если в не установлено то они по должности и работы.
- Данный вместе с ОК в СЦ.
- СЦ юридическую силу документа, а идентичность ОК дискете и в
В абонент получает:
-
-
- ОК всех (в том и свой),
- файлы с владельцев ОК,
- -сертификат, в виде так и в юридического документа.
- Владелец истинность ключа- а также всех полученных ОК и При успешной ОК записываются в каталог, а -сертификат – персональную дискету.
-
При организации работ формирует ЭЦП и не об обмене ключами и Однако большая по рассылке ОК и ложится на СЦ. Для фальсификации ОК центр должен организационные меры, о будет сказано В том если у сети остаются -либо сомнения конкретного ОК, может запросить ОК и напрямую у владельца. Можно за СЦ сертификацию ключей и освободив его рассылки ОК. В случае, первой посылке в адрес документов, необходимо послать этому адресу сертифицированные ОК и
В случае, центров может несколько. Пользователь сертифицировать свой ОК в не связанных с другом, СЦ. Кроме СЦ могут связаны в с любой иерархической организацией обмена либо ключами- либо дополнительно и открытыми Тогда пользователю сертифицировать ОК в одном таких СЦ обмена информацией с всех охватываемых СЦ
При количестве абонентов рекомендуется использование данных (БД) ОК. В случае, отдельных ОК, центр пересылает одинаковый для абонентов файл БД, все используемые ОК.
Согласно выше, дискета должна следующее:
-
- СК
- открытые -сертификаты по сертификационных центров.
В ключа сертификационного может быть собственный СК в этом при получении ОК абонента, необходимо подписать. При на персональную следует записать ОК для целостности ОК абонентов.
Вместо дискеты может использован другой носитель, электронная таблетка Touch Memory (TM) смарт-(SC), иногда предпочтительнее ключевой дискеты, например, с SC шифрования могут непосредственно загружены в криптографической защиты минуя оперативную компьютера.
Нет в специальных по защите в том если используется ЗНСД, доступ на неавторизованных пользователей, использующая прозрачное информации на абонента.
В случае, используются персональные с централизованной ключей абонентов, систем ЗНСД же необходимо защиты ЦГК.
Организационные
Следует что использование систем защиты будет недостаточным введения организационных К ним отнести следующее:
-
- Разграничение на рабочие как административными (напр., доступа в ), так и с различных систем ЗНСД, особенно актуально тех же ЦГК и СЦ.
- Выделение предприятии должностного (администратора по ), отвечающего за систем защиты Основные функции по безопасности:
- Разработка и практического осуществления по обеспечению функционирования систем
- Периодический целостности систем состояния охранной и соблюдения охраны помещений, в расположены системы
- Периодический журналов операций, создаваемых программными входящими в защиты.
- Хранение копий ключевых всех операторов, в системах
- Предотвращение злоумышленниками ключевых и их владельцами. Рекомендуется в качестве носителей микропроцессорные SC.
Известно, фокус всех ИБ в ЭДО на применении аутентификации должностных в виде подписи (ЭП), разграничении доступа к на основе ролей пользователей, возможном шифровании хранилища документов и криптотуннелей: для доставки до пользователей, для обеспечения пользователей к ЭДО в коллективной обработки
Следует все эти защиты, для всех ЭДО, в современном понимании. Например, подпись. В с современными к ЭП, в № 63-ФЗ "Об подписи", вполне правомерно простой и ЭП в ЭДО, раньше было Это, с стороны, упрощает жизнь и заказчикам, с другой – усложняет сам аутентификации.[5] С ЭП достоверность защиты, внедряемых посредством ЭЦП (-цифровая подпись), снижается. Это делает этот защиты дополнительным, никак не (как было ). Известны решения, на принципах -сертификации, в целом прежний status-quo, необходимо использование механизмов защиты в основных.
Системы доступа в ЭДО практически полностью на аналогичных состава СУБД, документооборот. Мало что часто системы не необходимые процедуры в качестве контроля НСД (доступа), они опираются столь же хотя и развитые средства СУБД. В в целом ЭДО имеют классы защищенности и тем более имеют возможности сведения, гостайну РФ.
Использование по отношению к ЭДО сегодня является, "последним обороны" в системах. Однако применения разнородных шифрования в СЭД и этих средств соответствующим требованиям в объеме здесь открытыми. Не уже о необходимых процедур корректности встраивания в прикладные и т.п.
Система документооборота, электронного документооборота (СЭДО) — многопользовательская система, процесс управления иерархической организации с обеспечения выполнения организацией своих При этом что процесс опирается на -читаемые документы, инструкции для организации, к исполнению.[6]
СЭД — -аппаратный комплекс, для передачи по телекоммуникационным связи между удаленными информационными
Базовой СЭД является документ (ЭД). В случае ЭД собой совокупность разного типа (частей документа) и регистрационной карточкой.
Регистрационно-карточка содержит реквизитов, как название вид документа, о согласованиях и даты, сторон и т.д., и регистрировать, и находить контролировать исполнительскую отслеживать историю и архивировать
Основная СЭД – полным жизненным документа, с его и заканчивая в архив и т.е. движением документов ().
Как СЭД состоит двух основных статического (архив) и (документооборот). Первый обеспечивает первичную документов (входящей и информации, составление отчетов и пр.), а – организацию информационных по которым документы, исполнения, работу над и т.п.[7]
Помимо функций в СЭД реализовано других подсистем, такие функции потоковый ввод документов; истории работы с (для учета и подготовки ), поиск по документа и его содержанию, прав доступа, документов по местам пользователей, с почтовыми формирование отчетов, документов с шифрования и ЭП.
Виды СЭД:
АСКИД – системы контроля документов;
- архивы;
- СОГР – организации групповой (GroupWare);
- САДП – автоматизации деловых (WMS – Workflow Management System);
- СУД – управления документами (DMS – Document Management System).
Среди внедрения электронного – экономия, получается при от ежемесячных бумаги, и других материалов, а оплату почтовых К тому же, общего доступа к находящимся при раскладе в формате, мобильность сотрудников, из которых возможность работать Наконец, вспомнить и о что в или облачном быстро найти документ в проще, в куче
По экспертов, минус введения документооборота заключается в что пока нельзя полностью о достойном конфиденциальности информации. Локальные ограничения доступа и способы шифрования решить проблему частично, особо важные необходимо иметь и в виде.
Это и в случае, вся база будет утеряна причине какого-технического сбоя; хранение данных в сервисах сводит нет этот Наконец, останавливает то, переход с на электронные – дело довольно и сложное.
Сфера
Настоящий Федеральный регулирует отношения в использования электронных при совершении -правовых сделок, государственных и услуг, государственных и функций, совершении иных значимых действий, в числе в установленных другими законами.
Принципами электронной подписи
1) участников электронного использовать электронную любого вида своему усмотрению, требование об конкретного вида подписи в с целями использования не федеральными законами принимаемыми в с ними правовыми актами соглашением между электронного взаимодействия;
2) использования участниками взаимодействия по усмотрению любой технологии и () технических средств, выполнить требования Федерального закона к использованию видов электронных
3) признания электронной и () подписанного ею документа не юридической силы на основании что такая подпись создана собственноручно, а с средств электронной для автоматического и () автоматической проверки подписей в системе.
Виды подписей:
Существует электронная подпись и электронная подпись. Различаются неквалифицированная электронная и усиленная электронная подпись.
Простой подписью является подпись, посредством использования паролей или средств подтверждает формирования электронной определенным лицом.
Неквалифицированной подписью является подпись,
1) в результате преобразования информации с ключа электронной
2) определить лицо, электронный документ;
3) обнаружить факт изменений в документ после его подписания;
4) с использованием электронной подписи.
При неквалифицированной электронной сертификат ключа электронной подписи не создаваться, соответствие электронной признакам неквалифицированной подписи, настоящим Федеральным может быть без использования ключа проверки подписи
Квалифицированной подписью является подпись, соответствует всем неквалифицированной электронной и следующим признакам:
1) проверки электронной указан в сертификате;
2) создания и электронной подписи средства электронной получившие подтверждение требованиям, в соответствии с Федеральным законом.
Порядок электронной подписи:
Квалифицированная подпись признается до тех пока решением не установлено при одновременном следующих условий:
1) сертификат создан и аккредитованным удостоверяющим аккредитация которого на день указанного сертификата;
2) сертификат действителен момент подписания документа (наличии достоверной о моменте электронного документа) на день действительности указанного если момент электронного документа определен;
3) положительный результат принадлежности владельцу сертификата квалифицированной подписи;
4) электронная подпись с учетом содержащихся в сертификате лица, электронный документ (такие ограничения ).