Зарубежные системы электронного документооборота и проблемы информационной безопасности при их эксплуатации в России

В нашей стране электронный документ по своей силе действия идентичен бумажному. Его легитимность подтверждается следующими нормативно-правовыми актами:

Государственная система документационного обеспечения управления (ГСДОУ). В ней собраны основные принципы и нормы, определяющие общие требования к документационному обеспечению управления и обеспечения работы с документами в организациях.

Федеральный закон «Об архивном деле в Российской Федерации» от 22.10.2004 г. № 125-ФЗ регулирует отношения в сфере организации хранения, комплектования, учета и использования архивных документов.

Федеральный закон «О порядке рассмотрения обращений граждан Российской Федерации» от 02.05.2006 г. № 59-ФЗ устанавливает порядок рассмотрения обращений граждан государственными органами, органами местного самоуправления и должностными лицами, в том числе обработку подобных обращений в электронном виде.

Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 №149-ФЗ дает определение электронного документа и смежных с ним областей.

Федеральный закон «Об организации предоставления государственных и муниципальных услуг» от 27 июля 2010 г. № 210-ФЗ регулирует возникающие в связи с предоставлением государственных и муниципальных услуг соответственно федеральными органами исполнительной власти, органами государственных внебюджетных фондов, исполнительными органами государственной власти субъектов Российской Федерации, а также местными администрациями и иными органами местного самоуправления, осуществляющими исполнительно-распорядительные полномочия.

Федеральный закон «Об электронной подписи» (от 06.04.2011 г. №63-ФЗ) прописывает правила применения электронной подписи.

1.3 Преимущества и недостатки СЭД

3.1.1 Проблемы ИБ при использовании СЭД в целом

Проблема внутреннего нарушителя, который может появиться из-за того, что переквалифицировать персонал к работе с новым форматом ведения документооборота довольно сложно. Довольно сложно перестроиться на новый формат работы, проработав много лет с бумагами. К тому же в начале внедрения СЭД объем работы резко увеличивается, так как необходимо перенести все возможные бумажные документы в электронную форму и вести бумажный документооборот, пока организация или предприятие не будут полностью переведены на СЭД (во многих организациях и предприятиях полностью не переходят на СЭД, а некоторые документы остаются в бумажном формате)

Возможность доступа к документам третьих лиц

Проблема защиты документов от копирования и изменения при их пересылке

Уязвимость серверов, на которых хранятся документы, к хакерским атакам и вирусам

Проблемы ИБ, возникающие при использовании зарубежных СЭД в России

Проблема адаптации СЭД (Проблема перевода грифов и прочих реквизитов на русский язык, проблема структурирования в организации и очередности проверки и подписи документов)

Проблема локализации (Сервер СЭД находится в другой стране, поэтому в случае неполадок или падения сервера понадобится долгое время, чтобы руководство узнало об этих проблемах и предприняло необходимые меры по их решению. Так же проблема локализации касается законов, то есть возможно различным госслужбам другой страны, в которой расположен сервер, могут быть доступны документы организации или предприятия, которые обслуживаются определенной СЭД. В следствие этого, мы не можем быть абсолютно уверена в полном обеспечении безопасности наших документов, содержащих конфиденциальные или секретные сведения.)

3.2 Пути решения проблем ИБ

3.2.1 Пути решения общих проблем ИБ, связанных с использованием СЭД в организации или на предприятии

Программная защита информации - система специальных программ, включаемых в состав ПО, которые реализуют функции защиты информации. Защитный программный код может выступать как в качестве отдельного защитного программного продукта, так и включаться в состав других, многофункциональных программ, с целью защиты обрабатываемых ими данных или самозащиты от вредоносного кода. Так как защитные функции многофункциональных программ зачастую даже не имеют существенных средств самозащиты и по определению проигрывают специализированному защитному программному обеспечению, любая значимая компьютерная система требует развёртывания и полноценной интеграции программных средств защиты информации на всех или хотя бы самых уязвимых элементах системы.

Программные средства защиты информации делятся на типы так:

Контроль доступа

Анти-кейлоггеры

Анти-шпионы (аnti-spywаre)

Анти-эксплуататоры (аnti-subversiоn)

Анти-модификаторы (аnti-tаmpering)

Антивирусы

Шифрование

Брандмауэры (firewаll)

Системы обнаружения вторжений

Системы предотвращения вторжений

Песочница

Полноценная программная защита информации на сервере или рабочем компьютере требует комбинирования различных типов защитных программ или специализированных защитных решений, например, установку антивирусного ПО, сетевого экрана и обеспечение резервного копирования информации.

Еще нельзя забывать об обязательном разграничении доступа к документам. Данный способ защиты является необходимым, так как позволяет разделять пользователей, их полномочия и круг данных, с которыми они могут работать. Данная защита может быть установлена как стандартными средствами операционной системы, так и специальными модулями, включенными в СЭД.

Криптографические методы защиты

Криптографические методы защиты информации - это специальные методы шифрования, кодирования или иного преобразования информации, в результате которого ее содержание становится недоступным без предъявления ключа криптограммы и обратного преобразования. Криптографический метод защиты, безусловно, самый надежный метод защиты, так как охраняется непосредственно сама информация, а не доступ к ней (например, зашифрованный файл нельзя прочесть даже в случае кражи носителя). Данный метод защиты реализуется в виде программ или пакетов программ.

Современная криптография включает в себя четыре крупных раздела:

Симметричные криптосистемы. В симметричных криптосистемах и для шифрования, и для дешифрования используется один и тот же ключ. (Шифрование - преобразовательный процесс: исходный текст, который носит также название открытого текста, заменяется шифрованным текстом, дешифрование - обратный шифрованию процесс. На основе ключа шифрованный текст преобразуется в исходный);

Криптосистемы с открытым ключом. В системах с открытым ключом используются два ключа - открытый и закрытый, которые математически связаны друг с другом. Информация шифруется с помощью открытого ключа, который доступен всем желающим, а расшифровывается с помощью закрытого ключа, известного только получателю сообщения. (Ключ - информация, необходимая для беспрепятственного шифрования и дешифрования текстов.);

Электронная подпись. Системой ЭП называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и подлинность сообщения.

Управление ключами. Это процесс системы обработки информации, содержанием которых является составление и распределение ключей между пользователями.

Основные направления использования криптографических методов - передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде. Процесс криптографического закрытия данных может осуществляться как программно, так и аппаратно. Аппаратная реализация отличается существенно большей стоимостью, но ей присущи некоторые преимущества: высокая производительность, простота, защищенность и т.д.

3.2.2 Пути решения проблем ИБ, связанных с использованием зарубежных СЭД в России

Необходимость обеспечить нечто вроде горячей линии или круглосуточного оповещения от пользователей СЭД, чтобы люди, обслуживающие сервер, могли за короткое время узнать о проблемах с ним

Проблему адаптации надо решать в самом начале разработке русских версий СЭД, причем необходимо, чтобы переводил на русский язык и писал структуру предприятия человек, который хорошо знает правила Российского документооборота.

Заключение