"Об организации защиты доступа к системам документооборота при применении ЭЦП"
Об организации защиты доступа к системам документооборота
при применении ЭЦП
Сабанов Алексей Геннадьевич,
к.т.н., коммерческий директор компании "Aladdin Software Security R.D."
Системы документооборота, как правило, содержат сведения, доступ пользователей к которым должен строго регламентироваться. Как и любая другая информационная система, автоматизированная система обработки и хранения документов не может рассматриваться отдельно от таких составляющих, как операционная система, система управления базами данных и т.д. Для обеспечения безопасного функционирования инфокоммуникационное пространство, в котором оперирует система документооборота, должно располагать необходимым набором сервисов безопасности. Применение электронно-цифровой подписи (ЭЦП) подразумевает наличие развитой инфраструктуры открытых ключей (ИОК). Попробуем рассмотреть существующие на рынке решения по поддержке ИОК и сервисов безопасности операционными системами, СУБД и прикладными программами применительно к задаче организации защищенного доступа к системам документооборота.
При создании систем документооборота и особенно в случае систем, обеспечивающих обмен документами между организациями (как правило, по открытым каналам связи, чаще всего с использованием Интернет) вопрос об информационной безопасности становится особенно актуальным. При этом с точки зрения защиты информации, содержащейся в документе, выделяют следующие основные задачи:
Конфиденциальность (защита документа от несанкционированного доступа);
Целостность (защита от внесения изменений) ;
Доступность документа для определенных пользователей;
Аутентичность (подтверждение авторства) документа и неотказуемость внесения изменений.
Указанные задачи должны успешно решаться на всех этапах жизненного цикла документа, начиная от создания и работы с документом, передаче, приемки его заданными адресатами, обработке и хранении. Задача сохранения конфиденциальности традиционно решается с помощью применения средств физической защиты, организационных мер и средств шифрования, как правило, с применением криптографических алгоритмов. При передаче документа из одной корпоративной сети в другую, как правило, применяют VPN (Virtual Private Network – виртуальная частная сеть) для передачи по открытым каналам связи. Для защиты рабочих мест, на которых документ может обрабатываться после его приема адресатом и расшифрования для обработки, применяются системы ограничения доступа к рабочим местам и рабочим каталогам и системы шифрования дисков на рабочих местах и серверах. Задачи сохранения целостности и аутентичности документа на современном уровне решают с помощью применения ЭЦП.
Все вышеперечисленные задачи успешно решаются при наличии систем управления доступом пользователей не только к системе документооборота и системам защиты, но и при достаточно полном использовании штатных систем информационной безопасности операционной системы и СУБД. При этом системы управления доступам этих составляющих инфокоммуникационное пространство документооборота включают в себя аутентификацию пользователей, их авторизацию и безопасное администрирование (ААА) в качестве одних из основных функциональных составляющих.
Известно, что наиболее надежным способом аутентификации на сегодня являются программно-аппаратные решения, или так называемые двухфакторные модели (пользователь должен иметь "нечто" и знать "нечто"). Другими словами, для проведения так называемой строгой аутентификации должны применяться технологии, например, смарт-карт-логона (СКЛ), основанного на использовании цифровых сертификатов. Это решение позволяет полностью отказаться от организации доступа пользователей по ненадежной схеме аутентификации по паролям. Такой подход обеспечивает проверку прав пользователя и истинность сервера (то, что сервер не подменен злоумышленником) с помощью криптографических методов. На сегодняшний день далеко не все пакеты системного программного обеспечения (СПО) готовы к проведению подобных операций. Из устанавливаемого СПО для корпоративного клиента на сегодняшний день в массовом порядке можно выделить корпоративные сети под управлением серверов Windows 2000/2003 и Novell Netware 6.x., на рабочих местах – недавно сертифицированную Гостехкомиссией версию Microsoft ХР с SP2.
Анализ существующих решений среди систем управления базами данных показал, что наиболее "продвинутой" в части поддержки инфраструктуры открытых ключей на сегодня является СУБД Oracle. В частности, в состав корпоративного пакета Oracle 9i входит модуль Oracle Advanced Security, позволяющий организовать доступ пользователей к виртуальным базам по предъявлению цифрового сертификата. Это позволяет уже сегодня строить решения по защищенному доступу к конфиденциальным документам с применением многоуровневых схем.
Одним из существенных преимуществ использования цифровых сертификатов являются некоторые возможности управления доступом пользователя. Например, в связи с увольнением или уходом в отпуск сотрудника, действие его цифрового сертификата "легким движением руки" можно:
приостановить;
отозвать;
признать недействительным.
При этом очень важно, чтобы закрытый (другими словами, секретный или приватный) ключ пользователя должен храниться в защищенном отчуждаемом личном носителе (персональном идентификаторе), имеющем вид смарт-карты или eToken’a, обеспечивающих полную сохранность данных, которые записываются в защищенную часть чипа.
Если пользователь забыл дома персональный идентификатор, предусматривается возможность восстановления параметров доступа путем выписывания временного цифрового сертификата, например, сроком действия на 8 рабочих часов.
Описанные выше некоторые преимущества организации доступа с применением цифровых сертификатов, безусловно, привлекательны для использования. Однако в реальных условиях всегда приходится выбирать между "быстро" и "правильно".
Как правило, сразу перейти на применение цифровых сертификатов не готов ни один даже самый обеспеченный ресурсами заказчик. Всегда имеется набор устаревшей техники, многообразие унаследованных систем, в том числе и средств защиты информации. К быстрому переходу не готов и персонал. Поэтому, как и любой процесс, переход к новым технологиям аутентификации пользователей требует разбиения на этапы. Как правило, сначала это находит свое отражение в концепции защиты информации. Прежде чем начинать внедрение на выделенном сегменте сети, обычно проводятся научно-исследовательские работы по тестированию возможных решений для обоснованного выбора того или иного решения. Затем начинается поэтапное внедрение с увязкой со смежными системами. При этом каждый этап внедрения требует документирования и утверждения инструкций пользователям, администраторам прикладных систем, сотрудникам службы безопасности в соответствии с политиками безопасности.
В качестве решений для переходного этапа от парольной защиты к использованию цифровых сертификатов ("быстро") имеется набор готовых и промежуточных решений, основанных на технологии password replacement и применению встроенных механизмов защиты, реализованных с технологией СКЛ. Если выбрана стратегия перехода к применению цифровых сертификатов, то для сотрудников подразделений информационных технологий и службы безопасности становится естественным обоснование проведения апгрейда техники и перехода на новые версии СПО, в которых производители предусматривают повышение безопасности с помощью применения цифровых сертификатов. Таким образом, идет постепенное движение к реализации подхода "правильно".
Несмотря на возможности современных технологий в настоящее время в абсолютном большинстве корпораций не развита система доступа к системам документооборота, построенная на применении цифровых сертификатов. До сих пор подавляющее число политик безопасности использует пары "логин - пароль". Это создает дополнительные трудности предоставления, мониторинга и отключения доступа пользователей к ресурсам как системным администраторам, так и сотрудникам внутренних служб безопасности. Предлагаемый подход поэтапного строительства системы защиты информации основан на разворачивании центров сертификации (СА) на базе инфраструктуры открытых ключей и интеграции полученных решений с разворачивающейся системой Удостоверяющих центров. При этом наиболее острая проблема хранения закрытого ключа, образующегося при формировании ключевой пары (открытого и закрытого ключа), решается на аппаратном уровне: закрытый ключ никогда не покидает чипа смарт-карты или электронного USB- ключа eToken, который имеет российский и международные сертификаты как надежное и удобное хранилище ключевого материала.
Организация делопроизводства - это отрасль по разработке и оформлению официальных документов, организации их движения, учета и хранения. Делопроизводство непосредственно связанно с созданием документов, рассматривает вопросы движения и учета документов. Ведение и организация делопроизводства осуществляется должностными лицами, которые несут ответственность за его организацию, учет и сохранность документов. Организация делопроизводства состоит из этапов: 1) первичная обработка поступивших документов; 2) предварительное рассмотрение документов; 3) регистрация; 4) рассмотрение документов руководством; 5) направление на исполнение; 6) контроль исполнения; 7) формирование дел; 8) оформление дел; 9) передача дел в архив.
Документационное обеспечение управления
В соответствии с ГОСТом Р 51141-98 "Делопроизводство и архивное дело. Термины и определения" документационное обеспечение управления (ДОУ)– это отрасль деятельности, обеспечивающая документирование и организацию работы с официальными документами. Термины делопроизводство и документационное обеспечение управления в соответствии с ГОСТом Р 51141-98 употребляются как синонимы, однако между ними все-таки существуют некоторые различия. Первый из них, делопроизводство, преимущественно используется при описании организационной стороны и традиционных приемов работы с документами. Второй – документационное обеспечение управления подчеркивает информационно-технологическую составляющую в современной организации делопроизводства и его лучше употреблять, когда речь идет о компьютерных технологиях работы с документами.
Курсы повышения квалификации секретарей-референтов, помощников руководителя (« курсы секретаря », « курсы секретарей и помощников руководителя »)
Цель курсов повышения квалификации секретарей-референтов (« курсы секретаря », « курсы секретарей и помощников руководителя ») - предоставление современной и точной информации по делопроизводству, научной организации труда и коммуникационным навыкам. Полноценные « курсы секретаря », « курсы секретарей и помощников руководителя » (72 учебных часа) – это возможность приобрести новые знания и навыки. Профессия секретаря востребована на каждом предприятии, как правило, секретарь отвечает за оформление деловых бумаг и документооборот в секретариате руководителя. Предлагаемые « курсы секретаря », « курсы секретарей, помощников руководителя » позволят соответствовать абсолютно всем современным требованиям, которые только могут предъявить современные работодатели.
Курсы повышения квалификации специалистов в области ДОУ (« курсы делопроизводства » и « курсы документооборота »)
« Курсы делопроизводства » и « курсы документооборота » включают в себя организацию делопроизводства, с учетом лингвистических особенностей служебного документа, основы кадрового документоведения и архивирования, этикет и психологию делового общения, включая имидж сотрудника службы ДОУ. « Курсы делопроизводства » и « курсы документооборота » позволяют получить необходимые навыки составления и оформления документов предприятий всех видов собственности. Прослушавшие « курсы делопроизводства » и « курсы документооборота » специалисты получают свидетельство государственного образца.
Семинары, круглые столы, мастер-классы по проблемам делопроизводства (« Семинары делопроизводства »)
Предлагаемые программы семинаров, круглых столов, мастер-классов по проблемам делопроизводства (« семинары делопроизводства ») – это интегрированные информационно-консультационные образовательные мероприятия для специалистов в области ДОУ, сочетающие в себе отрасли знаний отдельно по проблемам в сфере делопроизводства, научной организации труда, бизнес-этикета и методики овладения профессиональными навыками. « Семинары делопроизводства » рассчитаны на руководителей и специалистов секретариатов, канцелярий, делопроизводственных и архивных служб коммерческих и государственных структур. « Семинары делопроизводства » носят практический характер, тематика программ подбирается с учетом актуальности и потребности предприятий и учреждений различных форм собственности, численности работающих, сферы деятельности.