Защита электронного документооборота

Особенности защиты информации в системах электронного документооборота Текст научной статьи по специальности «Общие и комплексные проблемы технических и прикладных наук и отраслей народного хозяйства»

ОСОБЕННОСТИ ЗАЩИТЫ ИНФОРМАЦИИ В СИСТЕМАХ ЭЛЕКТРОННОГО ДОКУМЕНТООБОРОТА

Т.В. Мещерякова, к.ф.-м.н.

Воронежский институт МВД России,

М.Ф. Сизинцев

Воронежский государственный технический университет

Механизмы защиты информации систем электронного документооборота (СЭД) реализуются на принципах комплексного подхода к организации защиты и учитывают разнообразие возможные угроз информационной безопасности СЭД, а также величину возможных потерь от реализованных угроз. Защита информации в СЭД не сводится только лишь к защите электронных документов и разграничению доступа к ним. Актуальными задачами являются защита аппаратных средств и прочих устройств подсистем СЭД; защита сетевой среды, в которой функционирует СЭД, а так же защита каналов передачи данных и сетевого оборудования.

Построение системы электронного документооборота (СЭД), как докумен-тоориентированной информационной системы, осуществляется на сетевой платформе: как в виде локальной, так и в виде распределенной вычислительной сети (ЛВС и РВС, соответственно ).

Защищенная СЭД должна обеспечивать сохранность и подлинность документов, безопасный доступ и протоколирование действий пользователей в условиях потенциальных угроз информационной безопасности.

Сохранность документов должна обеспечиваться в период всего времени жизненного цикла документа, а в случае его непредвиденной потери или порчи, СЭД должна иметь возможность его быстрого восстановления.

Основным и практически единственным решением обеспечения подлинности документа в настоящее время является электронно-цифровая подпись (ЭЦП) . СЭД поддерживает два вида ЭЦП: визирующую и утверждающую. Визирующая подпись свидетельствует о том, что подписавший документ ознакомился с ним (завизировал его). Утверждающая подпись может быть поставлена ограниченным кругом лиц в рамках заданных полномочий и свидетельствует об окончательном утверждении документа. Подпись любого вида, поставленная на версии документа, защищает ее от изменений.

Безопасный доступ к данным СЭД обеспечивается аутентификацией и разграничением прав пользователя. Контроль и настройка прав доступа к информации СЭД, (полный доступ, изменение, просмотр, полное отсутствие доступа), обеспечивает защиту от несанкционированного доступа.

Протоколирование всех действий пользователей, позволяет быстро восстановить историю работы с документом и проконтролировать такие действия над документом, как просмотр, изменение, экспорт копии документа и другие.

Таким образом, объектами защиты информации в СЭД являются:

1. Аппаратное обеспечение — СВТ, серверы, элементы ЛВС и сетевое оборудование.

2. Системные файлы, файлы базы данных при их обработке.

3. Электронные документы.

К механизмам защиты информации в СЭД предъявляются следующие основные функциональные требования: высокая надежность, поддержка основных коммуникационных стандартов и протоколов, масштабируемость, совместимость со всеми подсистемами СЭД, возможность изменения логической конфигурации СЭД без изменения физической, управляемость.

СЭД, реализованная на платформе РВС, как правило, объединяет офисы, филиалы и другие структуры организации, находящиеся на удалении друг от друга. При этом узлы РВС могут располагаться в различных городах страны. Принципы, по которым строится такая сеть, отличаются от тех, что используются при создании ЛВС.

Основное отличие состоит в том, что РВС используют арендованные линии связи, арендная плата за использование которых составляет значительную часть в себестоимости всей сети и возрастает с увеличением качества и скорости передачи данных. Поэтому организация каналов связи является основной задачей, которую необходимо решать при создании СЭД на платформе РВС. Если в пределах одного города возможна аренда выделенных линий, в том числе высокоскоростных, то при переходе к географически удаленным узлам стоимость аренды каналов становится значительной, а их качество и надежность при этом могут быть невысокими. При этом существенно увеличивается уровень уязвимости СЭД к воздействию угроз информационной безопасности.

Возможным решением задачи организации каналов связи между удаленными узлами РВС СЭД является использование уже существующих глобальных частных сетей. В этом случае необходимо обеспечить каналы от филиалов организации до ближайших узлов глобальной частной сети. Частные сети могут содержать каналы связи разных типов: кабельные оптические и электрические, в том числе телефонные, беспроводные радио- и спутниковые каналы, имеющие различные пропускные способности.

При подключении филиалов организации через глобальные частные сети удаленные пользователи не ощущают себя изолированными от информационных систем, к которым они осуществляют доступ, удаленные местоположения организации могут осуществлять обмен информацией незамедлительно, и вся передаваемая информация остается в секрете. Однако организация каналов связи через глобальные частные сети также может быть дорогостоящей.

Обеспечить многие преимущества частных сетей за меньшую стоимость позволяет технология виртуальных частных сетей (VPN, Virtual Private Network). VPN — это логическая частная сеть, организуемая поверх публичной сети, как правило, сети Интернет. Следуя тем же функциональным принципам, что и выделенные линии, VPN позволяет установить защищённое цифровое соединение между двумя удаленными местоположениями (или ЛВС) . При использовании в архитектуре РВС СЭД публичных сетей, информационный обмен между ее сегментами осуществляются при помощи небезопасных протоколов, но за счёт шифрования создаются закрытые информационные каналы, обеспечивающие безопасность передаваемых данных. В СЭД, реализованные

на платформе РВС встраивается подсистема защиты информации с интегрированными средствами криптографической защиты информации.

Виртуальные частные сети позволяют объединить географически распределенные филиалы организации в единую сеть и таким образом обеспечить единое адресное пространство СЭД, единую нумерацию телефонной связи, общую базу данных и т.д. Иными словами, организуется единая сетевая инфраструктура и информационное пространство организации, доступ к которому одинаково возможен из любой точки РВС.

СЭД, построенная на основе технологии VPN, является фундаментом для внедрения всех последующих дополнительных сервисов, таких как передача голоса по IP, видеоконференц-связь, технические приложения и сервисы, а также для организации оперативной и конфиденциальной связи со всеми филиалами организации и значительного уменьшения объема междугороднего и международного трафика за счет передачи телефонных звонков по каналам РВС.

Как отмечено выше, аппаратную основу любой СЭД составляет вычислительная сеть, обладающая возможностями автономного функционирования или с выходом во внешнюю информационную среду. В первом случае в качестве такой основы может использоваться сеть Intranet — вычислительная сеть с соответствующим программным обеспечением, позволяющая пользователям одной организации обмениваться информацией, электронной почтой, документами и совместно их использовать.

Сеть Intranet объединяет в единую защищенную сеть несколько распределенных филиалов одной организации и применяется для построения СЭД в автономном варианте. Intranet основана на приложении технологий Internet для частных локальных и глобальных сетей организаций. Современное программное обеспечение для сетей Intranet включает в себя модули координации совместной работы и управления документами.

Одновременно, с системами закрытого типа, пользоваться которыми могут только сотрудники одной организации, стали появляться сети Extranet. Extranet предназначена для сетей, к которым подключаются пользователи внешних организаций, уровень доверия к которым ниже, чем к основным пользователям сети, но взаимодействие между организациями осуществляется в рамках общей РВС.

Extranet позволяет организации пользоваться информацией совместно со своими партнерами непосредственно по самой сети Internet, что расширяет возможности взаимодействующих организаций. Основными функциями Internet остаются электронная почта и обмен информацией между распределёнными документоориентированными системами. Internet служит связующим звеном между отдельными сегментами РВС.

СЭД на платформе РВС обеспечивает автоматизацию формирования и обработки транзитных электронных документов, направляемых от отправителя к получателю через головной сервер РВС в «закрытом конверте».

Для обеспечения технологических процессов, связанных с управлением сертификатами ключей электронной подписи, в СЭД функционирует Центр управления сертификатами (ЦУС), который состоит из Центра сертификации (ЦС) и Центра регистрации. Центр сертификации обеспечивает: формирование

сертификатов ключей электронной подписи, формирование списка отозванных сертификатов (СОС), а также ведение реестра сертификатов ключей электронной подписи. Кроме сертификатов ЦС формирует и публикует список отозванных сертификатов с периодичностью, определенной регламентом СЭД. При этом ЦС отвечает за формирование политики использования сертификатов для подчиненных ему центров.

Центр регистрации обеспечивает взаимодействие в СЭД в процессе формирования криптографических ключей и сертификатов ключей электронной подписи; проводит плановую смену, а при необходимости и замену криптографических ключей СЭД; и публикацию сертификатов ключей электронной подписи, а также СОС в сетевых справочниках сертификатов ключей электронной подписи. Для обеспечения функционирования ЦУС в СЭД создается необходимая техническая инфраструктура, которая позволяет обеспечить круглосуточный доступ к сетевым справочникам сертификатов.

Таким образом, защищенных СЭД, реализованных на сетевой технологической платформе обеспечивается как высокоэффективное информационное взаимодействие всех сегментов СЭД, так и высокий уровень информационной безопасности при обращении с электронными документами.

Список использованной литературы

1. Информатика: учебник для высших учебных заведений МВД России. Т. 2. Информатика: Средства и системы обработки данных / В.А. Минаев, С.В. Скрыль, С.В. Дворянкин, Н.С. Хохлов . — М.: Маросейка, 2008. — 544 с.

2. Основы криптографии: учебное пособие / А.П. Алфёров, А.Ю. Зубов, А.В. Черёмушкин . — М.: Гелиос АРВ, 2001. — 484 с.

3. Соколов А.В., Шаньгин В.Ф. Защита информации в распределенных корпоративных сетях и системах. — М.: ДМК Пресс, 2002. — 656 с.

ПРИМИНЕНИЕ МУЛЬТИМЕДИЙНЫХ ТЕХНОЛОГИЙ ПРИ ПРОВЕДЕНИИ ЛАБОРАТОРНЫХ ЗАНЯТИЙ НА КАФЕДРЕ ФИЗИКИ

Ю. В. Складчикова, к.т.н., доцент Е. В. Калач, к.т.н., старший преподаватель Н.Л. Сафонова, старший преподаватель Воронежский институт ГПС МЧС России, г. Воронеж

Важным направлением в применении современных информационных технологий является использование мультимедийных возможностей компьютерных технологий. Мультимедийные технологии позволяют сделать процесс обучения более эффективным и интересным для восприятия и понимания у слушателей изучаемого материала.

Шифрование электронного документооборота

Простейшим примером защиты данных является передача зашифрованной подателем информации с помощью специальных программ и ее дешифрация получателем.

Многие сетевые ресурсы используют этот несложный, но достаточно эффективный метод – любая электронная почта кодируется именно так. Раскодирование ключей происходит с помощью программ, встроенных в браузеры.

Для шифрования конкретного сообщения следует найти в электронной почте раздел Параметры и нажать кнопку Шифрование сообщения или вложения.

Если необходимо дополнительно кодировать всю информацию, исходящую из почтового ящика, нужно выбрать в меню Центр управления безопасностью и установить флажок Защита. У разных поставщиков этих услуг меню и обозначение команд может разниться, но разобраться в них несложно.

Закодировать возможно и любой документ, созданный в обычных текстовых программах: Word, Excel, Acrobat и пр. К примеру, для защиты электронного документа в Word 2007 достаточно зайти в меню и выбрать команды Файл – Подготовить – Зашифровать документ.

В первых версиях 2010 г. найти это меню можно командой Файл – Сведения. В более поздних вариантах Word 2010 эта команда перенесена из меню Файл в меню Защита данных. Так как теперь редактирование этого документа запрещено, не только прочесть, но и случайно или преднамеренно уничтожить эту информацию уже проблематично.

В зависимости от типа шифров и их ключей существует возможность значительно увеличить стойкость шифрования от криптоатак. Простейшее симметричное шифрование содержит только один ключ.

Министерство транспорта предоставляет не только базовую норму затрат на горючее и смазочные материалы, но и способ, указывающий как рассчитать расход топлива по норме, включающий формулу для произведения вычислений, а также, необходимые поправочные коэффициенты.

Эффективность внедрения на предприятии системы мониторинга за ГСМ достигается и за счет психологического воздействия на работников. О том как наладить контроль за расходом топлива читайте .

При перехвате злоумышленником информации, закодированной с помощью единственного ключа, он сможет как считывать документ, так и вносить в него правки. В более сложных случаях используют ассиметричное кодирование с помощью двух типов ключей – открытого и закрытого.

Так как шифрование каждого из элементов сообщения невозможно из-за огромного потребления энергоресурсов, симметричные и ассиметричные методы применяются только к его части – хэшу.

Любой электронный документ создается программой по определенному алгоритму наборами строк определенной длины. Каждая его часть нумеруется определенной циклической повторяющейся меткой, называемой хэш-кодом. Он и является уникальным идентификатором файла.

Вычислить, с помощью какой хеш-функции создан файл, обычным подбором невозможно, ибо для их создания используют огромные значения и сложнейшие алгоритмы. К примеру, только одно-единственное число, равное 128-битам, имеет количество комбинаций 2 в степени 128.

При изменении любого символа в документе хэш также изменяется.

Цифровая подпись в электронном документообороте

При получении документов по электронной почте их заверение обычными подписью и печатью невозможно, и требуется иной вид удостоверения их подлинности. Особенно актуален этот вопрос при электронном обмене юридическими документами.

Для придания передаваемом договорам, контрактам, счет-фактурам и пр. юридической силы используют метод так называемой электронной цифровой подписи (ЭЦП).

В России ее законность официально была подтверждена в январе 2002 г. и уточнена в апреле 2011 г. с момента принятия соответствующих законов (в европейских странах и США это произошло в 1996-1997 гг.). Законодательно в это время были установлены и права, а также обязанности держателя электронной цифровой подписи.

Добавить обычную цифровую подпись возможно во многих программах, к примеру, в той же офисной Word. Однако использовать ее возможно лишь внутри одной компании или при обмене обычных документов.

Юридическую же силу будет иметь только сертифицированные на государственном уровне ЭЦП. Их выдачей в настоящее время занимаются многие компании, имеющие на это соответствующее разрешение.

Для получения официальной цифровой подписи необходимо предъявить:

  • документ, удостоверяющий личность;
  • заявление клиента и его разрешение на обработку своих персональных данных;
  • свидетельство о получении ИНН.

Любая организация, заверяющая цифровую подпись, обязана вносить ее в реестр сертификации ключей. При выдаче цифровой подписи дубликат электронного открытого ключа передается вместе с письмом клиента, подписанным ЭЦП, в специальную библиотеку открытых ключей Удостоверяющего центра.

Проверку контрагента по ИНН рекомендуют делать просто для того, чтобы избежать обмана мошенников. Ведь именно с этой проверкой Вы можете убедиться, что контрагент действительно собирается выполнить свои обязательства по сделке.

Законодательством не предусмотрена обязанность проверять партнеров на добросовестности, но все же, безопаснее и разумнее уделить внимание выбору своих бизнес-партнеров. О том как проверить контрагента на узнайте в этой статье.

Второй ключ хранится у клиента на диске или флеш-карте в недоступном для посторонних месте. Все выданные электронные подписи действительны лишь в течение года.

Возможно и получение ЭЦП онлайн, к примеру, на едином портале ЭП www.iecp.ru.

Официально заверенная цифровая подпись может применяться при:

  • участии в аукционах-онлайн;
  • ведении документооборота в системах классов В2В и В2С;
  • передаче отчетности в налоговую, а также в Пенсионный фонд;
  • работе со спецресурсами, например, в системе «Клиент-банк»;
  • сдаче таможенных деклараций;
  • обмене данными между крупными подразделениями и филиалами единой организации и пр.

Способы обмена электронными документами

Для обмена электронной документацией можно использовать два способа.

Обмен напрямую – при наличии официально зарегистированной электронной подписи пересылка информации происходит с помощью обычной электронной почты; при отсутствии заверенной ЭЦП следует заключить предварительное соглашение с партнером с полным описанием условий и порядка обмена;

Обмен через оператора – при передаче особо важных документов пользуются услугами операторов, имеющих наилучшие технические и правовые возможности для обеспечения конфиденциальности обмена; наличие предварительно зарегистрированной электронной подписи в этом случае обязательно.

Пользование услугами оператора значительно повышает доверие к электронному документу и его владельцу. Более того, обмен онлайн счетами-фактурами согласно Приказу Минфина №А 50гн возможен только с помощью подобного электронного документооборота (ЭДО).

Для подключения к платной услуге компании, предоставляющей этот сервис, необходимо приобрести идентификатор участника обмена электронными документами.
Данные о каждом участнике ЭДО вносятся в базу налоговой инспекции. Причем предприятие, не подключенное к подобной услуге, не имеет права предоставлять первичные документы в налоговый орган в электронном виде без предоставления бумажных оригиналов.

Проблемы

Несмотря на актуальность и значимость ведения делопроизводства и отчетности с помощью IT-технологий, многие их механизмы еще не отлажены. На данный момент принята лишь часть важнейших ключевых законов и официальной терминологии в области ЭДО.

Недостаточно полно определены и правоотношения между субъектами электронного документооборота. По настоящее время эти пробелы пока восполняют локальные нормативные акты, и на территории РФ их уже действует свыше 200.

Пробелов еще множество. К примеру, если для бумажных аналогов существует понятие подлинника, то в рассматриваемом случае подобное понятие законодательно никак не закреплено. Юридические сложности возникают и при преобразовании форматов документа для записи в разных программах и т.д. и т.п.

Не только Россия, но и весь мир находится лишь в самой начальной стадии перехода на электронные сервисы.

Однако практика показывает, что данный метод является не только весьма эффективным и действенным, но и вполне надежным способом хранения и передачи информации, за которым, очевидно, огромное будущее.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *