Спецпроекты

Строим вместе безопасную СЭД

Безопасность Интертраст Новости поставщиков
О том, как построить безопасную СЭД, на примере новой системы электронного документооборота CompanyMedia рассказывает Владимир Горностаев, директор Центра компетенции по защите информации, компания "ИнтерТраст".

В рамках инициативы "СЭД CompanyMedia – строим открыто!" компании "ИнтерТраст" пришло время поговорить о вопросах защиты информации.

Корпоративная информационная система электронного документооборота и делопроизводства CompanyMedia, разработанная компанией "ИнтерТраст", является программным средством общего назначения со встроенными средствами защиты информации от несанкционированного доступа и соответствует требованиям руководящих документов "Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей" – 4 уровню контроля, "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" – 5 классу защищенности.

Наличие сертификата соответствия № 1674/1, выданного 5 сентября 2009 г. ФСТЭК России, позволяет использовать CompanyMedia при создании автоматизированных систем до класса защищенности 1Г включительно и информационных систем персональных данных до 2 класса включительно.

Что понимается под безопасной СЭД?

Определимся с терминами - хотя бы в рамках этой публикации и планируемого бизнес-завтрака "Строим вместе безопасную СЭД".

В большинстве своем термин "система электронного документооборота" (СЭД) используется в нескольких значениях. Вот неполный обобщенный перечень: автоматизированная система, информационная система, программное обеспечение и даже информационная система персональных данных.

Действительно, одни определения СЭД близки к определению автоматизированной системы – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций (СЭД-АС). А подсистема управления сертификатами и ключами электронной подписи входит в состав СЭД? Если говорить об обеспечении юридической значимости в СЭД, то учитывать наличие этой подсистемы необходимо.

В другом значении термин СЭД подразумевает только комплекс программного обеспечения (СЭД-ПО), то есть один из элементов СЭД-АС.

Актуальным в настоящее время является вопрос, связанный с обработкой персональных данных, и 152-ФЗ определяет термин "информационная система персональных данных" (ИСПДн) как совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Владимир Горностаев, директор Центра компетенции по защите информации, компания "ИнтерТраст"

Таким образом CompanyMedia, разрабатываемая и производимая компанией "ИнтерТраст", относится к СЭД-ПО, которое используется заказчиками для создания СЭД-АС, ИСПДн или других информационных систем. Регулятор в руководящих документах определяет разную оценку соответствия: для разработчика – сертификация СЭД-ПО, для заказчика ­– сертификация или аттестация СЭД-АС или ИСПДн. Заказчику проще да и дешевле выполнить сертификацию или аттестацию своей системы, если входящее в нее программное обеспечение уже имеет сертификат по требованиям безопасности.

Безопасность СЭД-АС и безопасность СЭД-ПО - понятия разные, но зависимые и связанные. СЭД-АС и СЭД-ПО объединяет общий процесс – обработка данных, то есть информации, у которой защищаемые свойства – конфиденциальность, целостность и доступность.

При рассмотрении безопасности СЭД-ПО можно выделить два аспекта. Первый, это с точки зрения технологий и используемых средств создания программного обеспечения, а второй – наличие механизмов защиты.

Безопасность программного обеспечения обеспечивается использованием лицензированного программного обеспечения, аттестованных рабочих мест, а также организацией проектирования, разработки и производства программного обеспечения в соответствии с требованиями ГОСТ Р ИСО 9001.

В общем случае СЭД-АС – организационно-техническая система, представляющая собой совокупность программного, аппаратного, организационного и информационного обеспечения, реализующая электронный документооборот.

Безопасность СЭД-АС – состояние защищенности СЭД-АС от внутренних и внешних угроз, которое обеспечивается оператором СЭД-АС в соответствии с требованиями законодательства, нормативных актов или обладателя информации, обрабатываемой в СЭД-АС.

Система обеспечения безопасности СЭД-АС – система мер организационного, финансового, технического и иного характера по выявлению угроз безопасности, предотвращению и нейтрализации их реализации, пресечению, локализации и отражению, а также ликвидации последствий реализации угроз.

В общем случае при создании системы защиты необходимо определить объект защиты (актив) и его владельца, провести анализ и выделить уязвимости, присущие данному объекту защиты, а также определить угрозы и их источники. Результаты такой работы оформляются в виде модели угроз и модели нарушителя. Модель угроз содержит описание среды и процесса, существующие уязвимости и угрозы, а также ограничения и предположения в совокупности – исходные данные для проектирования подсистемы защиты. Для источников угроз -людей- разрабатывается модель нарушителя – формальное описание действий нарушителя, включающее виды нарушителей, которые могут воздействовать на объект защиты, цели нарушителя, его оснащение и возможности по воздействию на объект защиты, а также типовые сценарии возможных действий нарушителей, описывающие предполагаемую последовательность (алгоритм) их действий. Может разрабатываться один документ "Модель угроз и нарушителя".

При разработке моделей рекомендуется использовать нормативно-методические документы регуляторов, так как в дальнейшем это в значительной мере облегчит прохождение процедуры сертификации или аттестации.

Если разработка моделей носит формальный характер, то вся дальнейшая работа будет бесполезной и не позволит сформулировать необходимые требования для технического задания, а в будущем может привести к необоснованным тратам. Чем точнее сделан прогноз (составлены модель угроз и модель нарушителя), тем ниже риски реализации угроз при минимальных затратах.

Большинство систем электронного документооборота обрабатывают информацию, которая не относится к государственной тайне. Следовательно, система электронного документооборота (СЭД-АС) должна соответствовать требованиям по защите от несанкционированного доступа к информации по классу защищенности 1Г или 1Д. Средства вычислительной техники (СЭД-ПО), применяемые в таких системах электронного документооборота, должны соответствовать требованиям по защите от несанкционированного доступа к информации не ниже пятого класса защищенности, а для ИСПДн - по четвертому уровню контроля отсутствия недекларированных возможностей. Это позволит выполнить основные требования регулятора, но будет ли СЭД безопасной, это вопрос.

С учетом жизненного цикла любой системы можно выделить основные категории уязвимостей: проектирования, разработки и эксплуатации. Эти этапы относятся как к СЭД-ПО, так и СЭД-АС и ИСПДн.

Что значит "Строим вместе"?

Тезис "Строим вместе" предполагает разработку СЭД-ПО с последующей возможностью создания СЭД-АС или ИСПДн с учетом специфики условий и требований заказчика.

Необходимо учитывать, что обеспечение безопасности СЭД не ограничивается применением набора технических и программных средств, закрывающих известные уязвимости, а может обеспечиваться путем применения организационных и административных мер, которые в некоторых случаях дешевле и эффективнее.

Существующая подсистема защиты информации CompanyMedia состоит из следующих подсистем: управления доступом, регистрации и учета, обеспечения целостности и базируется на существующих механизмах платформы Lotus Notes/Domino, механизмов CompanyMedia, а также внешних криптографических средств, имеющих интерфейс MS Crypto API 2.0., в том числе использующих российские криптографические алгоритмы и сертифицированных ФСБ России. Расширена подсистема управления правами доступа путем добавления возможностей с использованием ролей, ограничивающих выполнение некоторых функций, а подсистема регистрации и учета дополнительно регистрирует события, связанные с действия пользователей при использовании средств электронной подписи (подписание и проверка электронных документов), а также событий, связанных с действиями администраторов по созданию и изменению критичных настроек.

В перспективной реализации планируется значительно улучшить подсистему управления правами доступа за счет расширенной классификации объектов доступа и полномочий пользователей или их групп по операциям с ними, в том числе определения новых ролей с необходимым набором полномочий.

Существенные изменения затронут систему идентификации и аутентификации. Будет доступен весь арсенал средств от базовой аутентификации до использования сертификатов. При работе пользователя через веб-клиента безопасность соединения обеспечивается использованием протокола https.

Использование электронной подписи как средства обеспечения авторства, целостности и подлинности электронных документов доступно на любом рабочем месте пользователя CompanyMedia и реализовано в соответствии с требованиями 63-ФЗ. При этом электронный документ может быть представлен как совокупность полей электронной формы и файлов. Набор полей является настраиваемым параметром и определяется заказчиком самостоятельно при эксплуатации системы. Технически могут быть использованы все виды электронных подписей, определенных в 63-ФЗ, в том числе и с использованием служб штампов времени и актуальных статусов сертификатов.

Необходимость и область использования электронной подписи определяется заказчиком в зависимости от своих потребностей и возможностей, при этом значительно расширятся возможные варианты и конфигурации инфраструктуры открытых ключей – от собственной до ее аутсорсинга.

Однако существует не разрешенное на данный момент противоречие, связанное с требованиями к средствам электронной подписи при ее создании и проверке, сформулированными в статье 12 63-ФЗ. Как правило, пользователь взаимодействует со средствами электронной подписи с использованием интерфейса клиентского приложения, в то время как функции по отображению содержания подписываемой информации при создании электронной подписи и отображению содержания электронного документа при проверке электронной подписи отнесены к функциям средства электронной подписи.

Если система электронного документооборота успешно прошла проверку и испытания в системе сертификации средств защиты информации по требованиям безопасности информации и получила сертификат соответствия, то уровень доверия к ней возрастает, и она может использоваться в организациях, которые должны применять сертифицированное программное обеспечение или работают с информацией ограниченного распространения.

Стала при этом СЭД безопасной? Конечно, нет, это только предпосылки и возможности, и как ими распорядится, зависит от многих факторов, в том числе и от владельца СЭД.

Есть вопросы? С удовольствием ответим на них подробнее на бизнес-завтраке "Строим вместе безопасную систему электронного документооборота", посвященном вопросам обеспечения безопасности систем электронного документооборота и средствам электронной подписи.

Владимир Горностаев

Стратегия месяца

Уже появляются российские эквиваленты западных решений для банков

Сергей Пегасов

CIO Промсвязьбанка

Профиль месяца

Нужно ли локализовывать иностранное ПО

Александр Шохин

президент Российского союза промышленников и предпринимателей