Особенности защиты электронного документооборота

NovaInfo 28, скачать PDF
Опубликовано
Раздел: Экономические науки
Просмотров за месяц: 10
CC BY-NC

Аннотация

В статье было рассмотрено основное назначение системы электронного документооборота, угрозы и методы защиты СЭД.

Ключевые слова

СИСТЕМА ЭЛЕКТРОННОГО ДОКУМЕНТООБОРОТА, УГРОЗЫ СЭД, АУТЕНТИФИКАЦИЯ, ЭЛЕКТРОННО-ЦИФРОВАЯ ПОДПИСЬ

Текст научной работы

Внедрение системы электронного документооборота (СЭД), позволяет приобрести огромную гибкость в обработке и хранении информации. В то же время, СЭД порождает новые риски, и пренебрежения защитой обязательно приведет к новым угрозам конфиденциальности. Базовый элемент любой СЭД — документ, внутри системы это может быть файл, а может быть запись в базе данных. Говоря о защищенном документообороте, часто подразумевают именно защиту документов, защиту той информации, которую они в себе несут. В этом случае все сводится к уже банальной (хотя и не простой) задаче защиты данных от несанкционированного доступа. К защите системы электронного документооборота необходим комплексный подход, который подразумевает защиту на всех уровнях СЭД. Начиная от защиты физических носителей информации, данных на них, и заканчивая организационными мерами.

Угрозы для системы электронного документооборота достаточно стандартны и могут быть классифицированы следующим образом:

Угрозы для системы электронного документооборота
Рисунок 1. Угрозы для системы электронного документооборота

Защиту именно от этих угроз в той или иной мере должна реализовывать любая система электронного документооборота. При этом, с одной стороны, внедряя СЭД, упорядочивая и консолидируя информацию, увеличиваются риски реализации угроз, но с другой стороны, упорядочение документооборота позволяет выстроить более качественную систему защиты.

Возможна реализация угроз в разных классах: угрозы конфиденциальности, угрозы целостности. Любая СЭД должна предусмотреть механизм защиты от основных ее угроз: обеспечение сохранности документов, обеспечение безопасного доступа, обеспечение подлинности документов, протоколирование действия пользователей.

Безопасный доступ к данным внутри СЭД обеспечивается аутентификацией и разграничением прав пользователя. Процессы установления личности пользователя и процессы подтверждения легитимности пользователя на то или иное действие или информацию называется аутентификацией. Под аутентификацией понимается весь комплекс мероприятий, проводимых как на входе пользователя в систему, так и постоянно в течение его дальнейшей работы. Самый распространенный из них — парольный. Основные проблемы, которые сильно снижают надежность данного способа — это человеческий фактор.

Самый старый из известных миру способов аутентификации — имущественный. Существует множество решений для имущественной аутентификации пользователя: это всевозможные USB-ключи, смарт-карты, «таблетки» магнитные карты, в том числе используются и дискеты, и CD.

Максимально надежный для проведения идентификации и последующей аутентификации способ — биометрический, при котором пользователь идентифицируется по своим биометрическим данным (это может быть отпечаток пальца, сканирования сетчатки глаза, голос).

Еще один важный параметр аутентификации — количество учитываемых факторов. Процесс аутентификации может быть однофакторным, двухфакторным и т.д. Также возможно комбинирование различных методов: парольного, имущественного и биометрического. Так, например, аутентификация может проходить при помощи пароля и отпечатка пальца (двухфакторный способ).

В любой системе обязательно должно быть предусмотрено разграничение прав пользователя. Разграничение прав внутри системы технически устраивают по-разному: это может быть полностью своя подсистема, созданная разработчиками СЭД, или подсистема безопасности СУБД, которую использует СЭД. Иногда их разработки комбинируют, используя свои разработки и подсистемы СУБД. Такая комбинация предпочтительнее, она позволяет закрыть минусы подсистем безопасности СУБД.

Огромным преимуществом для конфиденциальности информации обладают криптографические методы защиты данных. Их применение позволят не нарушить конфиденциальность документа даже в случае его попадания в руки стороннего лица.

Сегодня основным и практически единственным предлагаемым на рынке решением для обеспечения подлинности документа является электронно-цифровой подписи (ЭЦП). Основной принцип работы ЭЦП основан на технологиях шифрования с ассиметричным ключом, т.е. ключи для шифрования и расшифровки данных различны. Имеется «закрытый» ключ, который позволяет зашифровать информацию, и имеется «открытый» ключ, при помощи которого можно эту информацию расшифровать, но с его помощью невозможно «зашифровать» эту информацию. Таким образом, владелец «подписи» должен владеть «закрытым» ключом и не допускать его передачу другим лицам, а «открытый» ключ может распространяться публично для проверки подлинности подписи, полученной при помощи «закрытого» ключа. Таким образом, подписать электронный документ с использованием ЭЦП может только обладатель «закрытого ключа», а проверить наличие ЭЦП — любой участник электронного документооборота, получивший «открытый ключ», соответствующий «закрытому ключу» отправителя. Подтверждение принадлежности «открытых ключей» конкретным лицам осуществляет удостоверяющий центр — специальная организация или сторона, которой доверяют все участники информационного обмена.

Основное отличие в системах защиты — это алгоритмы, применяемые в шифровании и ЭЦП. Практически все системы обладают парольной аутентификацией и разграничением доступа пользователей. Некоторые из них имеют также возможности интеграции с Windows-аутентификацией, что дает возможность пользоваться дополнительными средствами аутентификации, поддерживаемыми Windows. Не все из перечисленных решений имеют свою криптографическую защиту — шифрование документов или ЭЦП.

Подход к защите электронного документооборота должен быть комплексным. Защита СЭД не сводится только лишь к защите документов и разграничению доступа к ним. Остаются вопросы защиты аппаратных средств системы, персональных компьютеров, принтеров и прочих устройств; защиты сетевой среды, в которой функционирует система, защита каналов передачи данных и сетевого оборудования, возможно выделение СЭД в особый сегмент сети. Комплекс организационных мер играют роль на каждом уровне защиты.

Читайте также

Цитировать

Альшанская, Т.В. Особенности защиты электронного документооборота / Т.В. Альшанская, А.В. Захарова, Л.Р. Юмаева. — Текст : электронный // NovaInfo, 2014. — № 28. — URL: https://novainfo.ru/article/2747 (дата обращения: 29.09.2022).

Поделиться