Строим вместе безопасную СЭД

В рамках инициативы "СЭД CompanyMedia – строим открыто!" компании "ИнтерТраст" пришло время поговорить о вопросах защиты информации.

Корпоративная информационная система электронного документооборота и делопроизводства CompanyMedia, разработанная компанией "ИнтерТраст", является программным средством общего назначения со встроенными средствами защиты информации от несанкционированного доступа и соответствует требованиям руководящих документов "Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей" – 4 уровню контроля, "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" – 5 классу защищенности.

Наличие сертификата соответствия № 1674/1, выданного 5 сентября 2009 г. ФСТЭК России, позволяет использовать CompanyMedia при создании автоматизированных систем до класса защищенности 1Г включительно и информационных систем персональных данных до 2 класса включительно.

Что понимается под безопасной СЭД?

Определимся с терминами - хотя бы в рамках этой публикации и планируемого бизнес-завтрака "Строим вместе безопасную СЭД".

В большинстве своем термин "система электронного документооборота" (СЭД) используется в нескольких значениях. Вот неполный обобщенный перечень: автоматизированная система, информационная система, программное обеспечение и даже информационная система персональных данных.

Действительно, одни определения СЭД близки к определению автоматизированной системы – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций (СЭД-АС). А подсистема управления сертификатами и ключами электронной подписи входит в состав СЭД? Если говорить об обеспечении юридической значимости в СЭД, то учитывать наличие этой подсистемы необходимо.

В другом значении термин СЭД подразумевает только комплекс программного обеспечения (СЭД-ПО), то есть один из элементов СЭД-АС.

Актуальным в настоящее время является вопрос, связанный с обработкой персональных данных, и 152-ФЗ определяет термин "информационная система персональных данных" (ИСПДн) как совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Таким образом CompanyMedia, разрабатываемая и производимая компанией "ИнтерТраст", относится к СЭД-ПО, которое используется заказчиками для создания СЭД-АС, ИСПДн или других информационных систем. Регулятор в руководящих документах определяет разную оценку соответствия: для разработчика – сертификация СЭД-ПО, для заказчика ­– сертификация или аттестация СЭД-АС или ИСПДн. Заказчику проще да и дешевле выполнить сертификацию или аттестацию своей системы, если входящее в нее программное обеспечение уже имеет сертификат по требованиям безопасности.

Безопасность СЭД-АС и безопасность СЭД-ПО - понятия разные, но зависимые и связанные. СЭД-АС и СЭД-ПО объединяет общий процесс – обработка данных, то есть информации, у которой защищаемые свойства – конфиденциальность, целостность и доступность.

При рассмотрении безопасности СЭД-ПО можно выделить два аспекта. Первый, это с точки зрения технологий и используемых средств создания программного обеспечения, а второй – наличие механизмов защиты.

Безопасность программного обеспечения обеспечивается использованием лицензированного программного обеспечения, аттестованных рабочих мест, а также организацией проектирования, разработки и производства программного обеспечения в соответствии с требованиями ГОСТ Р ИСО 9001.

В общем случае СЭД-АС – организационно-техническая система, представляющая собой совокупность программного, аппаратного, организационного и информационного обеспечения, реализующая электронный документооборот.

Безопасность СЭД-АС – состояние защищенности СЭД-АС от внутренних и внешних угроз, которое обеспечивается оператором СЭД-АС в соответствии с требованиями законодательства, нормативных актов или обладателя информации, обрабатываемой в СЭД-АС.

Система обеспечения безопасности СЭД-АС – система мер организационного, финансового, технического и иного характера по выявлению угроз безопасности, предотвращению и нейтрализации их реализации, пресечению, локализации и отражению, а также ликвидации последствий реализации угроз.

В общем случае при создании системы защиты необходимо определить объект защиты (актив) и его владельца, провести анализ и выделить уязвимости, присущие данному объекту защиты, а также определить угрозы и их источники. Результаты такой работы оформляются в виде модели угроз и модели нарушителя. Модель угроз содержит описание среды и процесса, существующие уязвимости и угрозы, а также ограничения и предположения в совокупности – исходные данные для проектирования подсистемы защиты. Для источников угроз -людей- разрабатывается модель нарушителя – формальное описание действий нарушителя, включающее виды нарушителей, которые могут воздействовать на объект защиты, цели нарушителя, его оснащение и возможности по воздействию на объект защиты, а также типовые сценарии возможных действий нарушителей, описывающие предполагаемую последовательность (алгоритм) их действий. Может разрабатываться один документ "Модель угроз и нарушителя".

При разработке моделей рекомендуется использовать нормативно-методические документы регуляторов, так как в дальнейшем это в значительной мере облегчит прохождение процедуры сертификации или аттестации.

Если разработка моделей носит формальный характер, то вся дальнейшая работа будет бесполезной и не позволит сформулировать необходимые требования для технического задания, а в будущем может привести к необоснованным тратам. Чем точнее сделан прогноз (составлены модель угроз и модель нарушителя), тем ниже риски реализации угроз при минимальных затратах.

Большинство систем электронного документооборота обрабатывают информацию, которая не относится к государственной тайне. Следовательно, система электронного документооборота (СЭД-АС) должна соответствовать требованиям по защите от несанкционированного доступа к информации по классу защищенности 1Г или 1Д. Средства вычислительной техники (СЭД-ПО), применяемые в таких системах электронного документооборота, должны соответствовать требованиям по защите от несанкционированного доступа к информации не ниже пятого класса защищенности, а для ИСПДн - по четвертому уровню контроля отсутствия недекларированных возможностей. Это позволит выполнить основные требования регулятора, но будет ли СЭД безопасной, это вопрос.

С учетом жизненного цикла любой системы можно выделить основные категории уязвимостей: проектирования, разработки и эксплуатации. Эти этапы относятся как к СЭД-ПО, так и СЭД-АС и ИСПДн.

Что значит "Строим вместе"?

Тезис "Строим вместе" предполагает разработку СЭД-ПО с последующей возможностью создания СЭД-АС или ИСПДн с учетом специфики условий и требований заказчика.

Необходимо учитывать, что обеспечение безопасности СЭД не ограничивается применением набора технических и программных средств, закрывающих известные уязвимости, а может обеспечиваться путем применения организационных и административных мер, которые в некоторых случаях дешевле и эффективнее.

Существующая подсистема защиты информации CompanyMedia состоит из следующих подсистем: управления доступом, регистрации и учета, обеспечения целостности и базируется на существующих механизмах платформы Lotus Notes/Domino, механизмов CompanyMedia, а также внешних криптографических средств, имеющих интерфейс MS Crypto API 2.0., в том числе использующих российские криптографические алгоритмы и сертифицированных ФСБ России. Расширена подсистема управления правами доступа путем добавления возможностей с использованием ролей, ограничивающих выполнение некоторых функций, а подсистема регистрации и учета дополнительно регистрирует события, связанные с действия пользователей при использовании средств электронной подписи (подписание и проверка электронных документов), а также событий, связанных с действиями администраторов по созданию и изменению критичных настроек.

В перспективной реализации планируется значительно улучшить подсистему управления правами доступа за счет расширенной классификации объектов доступа и полномочий пользователей или их групп по операциям с ними, в том числе определения новых ролей с необходимым набором полномочий.

Существенные изменения затронут систему идентификации и аутентификации. Будет доступен весь арсенал средств от базовой аутентификации до использования сертификатов. При работе пользователя через веб-клиента безопасность соединения обеспечивается использованием протокола https.

Использование электронной подписи как средства обеспечения авторства, целостности и подлинности электронных документов доступно на любом рабочем месте пользователя CompanyMedia и реализовано в соответствии с требованиями 63-ФЗ. При этом электронный документ может быть представлен как совокупность полей электронной формы и файлов. Набор полей является настраиваемым параметром и определяется заказчиком самостоятельно при эксплуатации системы. Технически могут быть использованы все виды электронных подписей, определенных в 63-ФЗ, в том числе и с использованием служб штампов времени и актуальных статусов сертификатов.

Необходимость и область использования электронной подписи определяется заказчиком в зависимости от своих потребностей и возможностей, при этом значительно расширятся возможные варианты и конфигурации инфраструктуры открытых ключей – от собственной до ее аутсорсинга.

Однако существует не разрешенное на данный момент противоречие, связанное с требованиями к средствам электронной подписи при ее создании и проверке, сформулированными в статье 12 63-ФЗ. Как правило, пользователь взаимодействует со средствами электронной подписи с использованием интерфейса клиентского приложения, в то время как функции по отображению содержания подписываемой информации при создании электронной подписи и отображению содержания электронного документа при проверке электронной подписи отнесены к функциям средства электронной подписи.

Если система электронного документооборота успешно прошла проверку и испытания в системе сертификации средств защиты информации по требованиям безопасности информации и получила сертификат соответствия, то уровень доверия к ней возрастает, и она может использоваться в организациях, которые должны применять сертифицированное программное обеспечение или работают с информацией ограниченного распространения.

Стала при этом СЭД безопасной? Конечно, нет, это только предпосылки и возможности, и как ими распорядится, зависит от многих факторов, в том числе и от владельца СЭД.

Есть вопросы? С удовольствием ответим на них подробнее на бизнес-завтраке "Строим вместе безопасную систему электронного документооборота", посвященном вопросам обеспечения безопасности систем электронного документооборота и средствам электронной подписи.

Владимир Горностаев

Короткая ссылка на материал: //cnews.ru/link/a3014