Электронный документооборот

2. Использование систем защиты от несанкционированного доступа (ЗНСД)

Нет необходимости в специальных  мерах по защите ключей в том случае, если используется система ЗНСД, блокирующая  доступ на компьютер неавторизованных пользователей, либо использующая прозрачное шифрование информации на компьютере абонента.

В том случае, если используются персональные дискеты с централизованной генерацией ключей абонентов, использование систем ЗНСД все же необходимо для защиты ЦРК.

1.3.4 Виртуальные частные сети

Другое решение проблемы защиты электронного документооборота – построение виртуальных частных сетей (VPN – Virtual Private Network). VPN представляет собой  защищенную корпоративную сеть, использующую любую ГВС (в частности, Internet) для  передачи защищенных данных между сегментами VPN. Сегментами VPN могут быть как ЛВС  предприятия или его удаленного подразделения, так и мобильные  или удаленные пользователи, клиенты  или ЛВС предприятий-партнеров.

Защита сегментов VPN происходит, например, с помощью межсетевых экранов. Межсетевой экран представляет собой выделенный компьютер, который производит следующие  действия: фильтрует передаваемую через него информацию согласно определенным правилам и таблицам адресов пользователей VPN; обеспечивает шифрование передаваемой информации на определенном ключе, шифрование информации может происходить и на конкретном рабочем месте абонента сети; при получении информации из внешней сети – проверяет ее целостность, расшифровывает и передает конкретному абоненту сети; позволяет изолировать внутреннее адресное пространство путем замены внутренних адресов сети в заголовках передаваемых пакетов.

Защита документооборота с удаленными или мобильными пользователями происходит путем шифрования передаваемой информации, обычно на парно-связном ключе удаленного пользователя и адресата (или отправителя).

Использование VPN имеет следующие  преимущества:

- обмен только защищенной информацией между авторизованными пользователями;

- изолированность от ГВС внутренней сети и ее топологии;

- прозрачность для абонентов сети.

К недостаткам использования VPN можно  отнести некоторое замедление передачи информации в ГВС.

1.3.5 Использование криптосервера

Шифрование информации в различных  системах документооборота производится как программными, так и аппаратными  средствами. Аппаратные средства шифрования имеют ряд преимуществ по сравнению  с программными (защищенность и неизменность алгоритма шифрования, возможность  загрузки ключей шифрования непосредственно  в устройство криптографической  защиты данных (УКЗД), возможность одновременного использования УКЗД в системе  ЗНСД). К недостаткам же аппаратных средств можно отнести несколько  более низкую скорость обработки  данных и более высокую стоимость.

Использование криптосервера решает ряд проблем, связанных с выбором  шифратора. Криптосервер представляет собой отдельный компьютер в  ЛВС, оснащенный аппаратным шифратором и используемый для шифрования информации для абонентов сети по их запросам. Зашифрованная информация может  впоследствии использоваться абонентом  по его усмотрению, в том числе, для передачи по ГВС. Информация абонента может быть также автоматически  подписана криптосервером. Порядок работы криптосервера может быть, например, таким:

- абонент направляет на криптосервер открытые данные;

- происходит взаимная аутентификация абонента и криптосервера. Для идентификации абонента используется его персональная SC, содержащая используемые для аутентификации СК абонента и ОК криптосервера;

- после успешной аутентификации криптосервер зашифровывает данные на персональном ключе абонента (выбираемом из хранящейся на сервере таблицы ключей абонентов) и подписывает их;

- абонент получает зашифрованные и подписанные данные.

Преимущества использования криптосервера: использование одного шифратора вместо нескольких (по числу абонентов); хранение всех ключей для предачи документов в ГВС только на криптосервере; упрощение администрирования – все полномочия абонентов определяются администратором и хранятся только на криптосервере; использование микропроцессорной SC в качестве носителя ключей аутентификации – исключает возможность несанкционированного использования хранящихся на криптосервере ключей.

Следует учесть, что, как и у любого другого дешевого решения, у криптосервера  есть некоторые недостатки. Прежде всего, это необходимость защиты такой сети от попыток доступа  из ГВС, поскольку информация посылается на криптосервер в незащищенном виде. Во-вторых, криптосервер обязательно  должен быть защищен системой ЗНСД, поскольку он содержит все ключевые элементы пользователей такой ЛВС.

1.3.6 Организационные мероприятия

Следует учесть, что использование  любых систем защиты документооборота будет недостаточным без введения некоторых организационных мер.

Использование протоколирования всех операций, совершенных с помощью  системы защиты. Протоколирование (ведение  журналов операций) во многих системах ведется автоматически; оно должно быть обязательным на особо важных рабочих местах, например, ЦРК, СЦ, рабочее  место администратора по безопасности.

Предотвращение получения злоумышленниками ключевых дискет и их тиражирования  владельцами. Для этого, помимо простого введения паролей, можно использовать в качестве ключевых носителей микропроцессорные SC.

Разграничение доступа на рабочие  места, как административными мерами (напр., разграничение доступа в  помещения), так и с использованием различных систем ЗНСД, что особенно актуально для тех же ЦРК и  СЦ.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

2 ЭЛЕКТРОННО-ЦИФРОВАЯ ПОДПИСЬ.  СИСТЕМЫ ЭЛЕКТРОННОГО ДОКУМЕНТООБОРОТА

2.1 Электронная цифровая подпись (ЭЦП) в электронном документообороте. Удостоверяющий центр, выдача и поддержка электронной подписи

2.1.1 Назначение  электронно-цифровой подписи

Электронная цифровая подпись (ЭЦП) необходима для защиты от подделок и сохранения целостности электронного документа, защиты авторских прав (подтверждение авторских прав) и является неотъемлемым атрибутом любого электронного документа. ЭЦП делается в виде специально закодированной строки при помощи новейших технических средств.

Электронная цифровая подпись состоит  из трех частей: сертификат, открытый ключ, закрытый ключ.

Ключи, как правило, состоят из закодированных символов, а в сертификате находится  краткая информация о владельце.

Электронная подпись была разработана для проведения электронных сделок между различными юридическими лицами в интерактивном режиме, а также для ведения документооборота и обмена различной информацией. Сама работа с электронной цифровой подписью очень проста. Электронный документ с цифровой подписью придает значимость документу с юридической точки зрения. За счет специального преобразования документа (криптографические преобразования) он становится набором символов, которые образуются при помощи программного обеспечения, создающего ЭЦП. Такой документ сможет открыть только тот пользователь, которому он адресован.

Когда происходит пересылка любого документа с электронной подписью, гарантируется сохранность информации и авторства, а в случае попытки изменить что-то в документе, подпись автоматически аннулируется и становится недействительной. Поэтому электронная цифровая подпись дает гарантию, что авторство документов и их содержание никто не сможет подделать и изменить, так как подделка подписи невозможна.

2.1.2 Юридическая значимость ЭЦП

Электронная цифровая подпись (ЭЦП) приравнивается к ручной подписи и может быть использована при проведении различных сделок, по законодательству России это возможно, единственное исключение составляют документы, которые по тем или иным причинам необходимо составлять на бумажном носителе, в этом случае электронная цифровая подпись не будет действительной.

2.1.3 Удостоверяющие центры

Электронную цифровую подпись нельзя использовать, если ее не поддерживает специальный удостоверяющий центр, который следит за сохранностью и неизменностью подписей пользователей.

2.1.4 Преимущества электронной подписи

Снижается финансовый риск при проведении интерактивных операций и ведение различного вида товарооборота.

Время на оформление документов затрачивается намного меньше, чем  при оформлении документов на бумаге, так как исключается бумажная «волокита».

Открывается участие в  электронных торгах, есть возможность  сдавать различные отчеты, в том  числе в государственные органы в электронном виде, не прибегая к использованию бумажных документов и не тратя время на их оформление, посещая различные организации.

Снижается стоимость подготовки документов и гарантируется их подлинность.

Возможность участия в  международных сделках и обмена документацией, так как российская электронная подпись действительна и за рубежом.

Электронная подпись полностью  заменяет подпись рукописную и является более значимой, что касается подделки, так как рукописную можно подделать.

Корпоративный бизнес претерпевает значительные изменения в лучшую сторону при работе с электронной  цифровой подписью.

Электронная цифровая подпись - это новое веяние в бизнесе и помогает значительно сократить время, отказавшись от почты и курьерских служб, которые доставляют документацию значительно дольше, ведь зачастую документы или информацию приходится отправлять за многие сотни километров, а это значительная трата времени.

Документы с электронной  подписью приходят к адресату в считанные секунды. Благодаря ЭЦП границы между участниками, обменивающимися информацией или заключающим сделки практически стираются, так как расстояние перестает влиять на сроки доставки нужной документации. Участники обмена информацией выступают в роли равнозначных партнеров.

Подделка ЭЦП  практически невозможна, так декодировать документ очень трудно и займет большое количество времени (за это время станет ясно, что документ попал не адресу и его пытаются изменить).

Удостоверяющий  центр - это дополнительная защита подписи и возможность застраховать ЭЦП.

При работе с ЭЦП меняется порядок работы, которая становится намного быстрее и эффективнее.

Работа корпорации, использующей ЭЦП полностью меняется. Если раньше приходилось делать электронный  проект, переносить его на бумагу, согласовывать, делать исправления, заново переносить на бумагу, утверждать или подписывать  и создавать электронную копию, то при использовании ЭЦП многие звенья из цепи выпадают. А это позволяет  намного повысить производительность труда и сократить время на согласования различных документов или подписания различного вида контрактов или договоров.

2.1.5 Правила пользования ЭЦП

Использование ЭЦП не требует каких  либо технических навыков и знаний, всем участникам, ведущим документооборот, специально генерируются закрытые и  открытые ключи для обмена информацией. 
Основой считается секретный ключ, именно при его помощи происходит шифрование документов. Секретный ключ хранится у участников на любом электронном носителе информации (дискета, флешка ит.д.), но в недоступном другим месте.

Подлинность ЭЦП проверяет удостоверяющий центр, в котором хранятся копии  ключей в специальном хранилище. Удостоверяющий центр имеет в  своем распоряжение библиотеку, где  хранятся открытые ключи пользователей  и сертификаты, все они зарегистрированы в установленном порядке и  дают гарантию пользователю, что его  подпись не будет подделана или  искажена, что гарантирует подлинность  всех подписанных документов при  помощи электронной цифровой подписи.

Допустим, вы отправляете какой-то документ и подписываете его ЭЦП, при помощи секретного числа происходит криптографические изменения в  очень большое число, оно то и  является вашей подписью. Она добавляется  к вашему документу отдельным  файлом. Этот файл сможет открыть только пользователь у которого есть открытый ключ, в результате произойдет дешифровка всего документа.

ЭЦП содержит информацию: название файла, где хранится открытый ключ; краткую информацию о том кто подписал документ; дату, когда сделана подпись.

Участник переписки, получивший документ при помощи своего открытого ключа  производит дешифровку документа (криптографические  преобразования). Если подпись верна, то документ открывается в оригинале, и он не претерпел каких либо изменений. Если же документ пытались подделать, вы увидите надпись, что сертификат отправившего документ является недействительным.

2.2 Системы управления электронным документооборотом

Система управления электронным документооборотом (СУЭД) предназначена для следующих целей:

- интеграции процесс повышение информированности руководства и специалистов за счёт увеличения объёмов информационного хранения, централизированной обработки информации, уменьшения времени поиска документов и, соответственно, подготовки отчётов и докладов, а также за счёт повышения полноты и достоверности отчётов;

- уменьшения стоимости документационного обеспечения управления предприятием за счёт перехода от бумажного делопроизводства к электронному, снижения стоимости копирования и передачи бумажных документов;