К вопросу повышения защищенности существующих и перспективных автоматизированных систем электронного документооборота Текст научной статьи по специальности «Компьютерные и информационные науки»

УДК 681.3

К ВОПРОСУ ПОВЫШЕНИЯ ЗАЩИЩЕННОСТИ СУЩЕСТВУЮЩИХ И ПЕРСПЕКТИВНЫХ АВТОМАТИЗИРОВАННЫХ СИСТЕМ ЭЛЕКТРОННОГО

ДОКУМЕНТООБОРОТА

П.В. Зиновьев

Проведен анализ открытых литературных источников, связанных с автоматизированными системами электронного документооборота (АСЭД). Приведена структурная модель программных систем защиты информации (ПСЗИ) в соответствии с нормативными документами, связанными с информационной безопасностью (ИБ) автоматизированных систем (АС). Концептуально показан перспективный путь разработки ПСЗИ в АСЭД, связанный с критериями эффективности этих систем. Обоснован набор критериев эффективности ПСЗИ.

Ключевые слова: система электронного документооборота, программные системы защиты информации, эффективность

Развитие информационных и коммуникационных технологий привело к тому, что обмен электронными документами находит все более широкое применение в Российской Федерации. На федеральном уровне подготовлен ряд нормативно-правовых актов, регламентирующих вопросы использования информационных и коммуникационных технологий в органах государственной власти и органах местного самоуправления.

Основополагающим документом, который обязывает решить задачу правового, финансового и кадрового обеспечения создания электронного документооборота, является федеральная целевая программа «Электронная Россия (2002-2010 годы)», утвержденная постановлением Правительства Российской Федерации № 65 от 28 января 2002 года. В дальнейшем постановлением Правительства Российской Федерации №502 от 15 августа 2006 года были внесены изменения в федеральную целевую программу «Электронная Россия (2002-2010 годы)».

Для реализации федеральной целевой программы проектируются, разрабатываются и внедряются системы электронного документооборота (СЭД). Основными целями СЭД являются:

- повышение эффективности и упорядочение работы органов государственной власти, организации или предприятия;

- интеграции процессов документационного обеспечения управления учреждением в рамках единой корпоративной информационной системы;

- повышение производительности, эффективности труда руководства и сотрудников органов государственной власти, организации или предприятия;

- интеграции информационных процессов в рамках кооперации органов государственной власти, организаций и предприятий.

Для достижения данных целей СЭД разрабатывается как автоматизированная система (АС). Будучи автоматизированной системой, СЭД обладает свойствами АС. Одним из важнейших свойств АС в настоящее время является защищенность.

Зиновьев Павел Владимирович - ВГТУ, соискатель, тел. 8-920-212-44-70

Разработчики СЭД, например «Контур-Экстерн», вопросы защиты содержимого конфиденциальных документов от несанкционированного доступа, обеспечения проверки целостности и авторства электронного документа решают путем создания подсистемы управления доступом и внедрения криптографических средств защиты.

Однако, в соответствии с руководящими документами ФСТЭК, программные средства защиты информации (ПСЗИ) должны содержать следующие подсистемы [1]: управления доступом; регистрации и учета; криптографическую; обеспечения целостности.

В системном плане ПСЗИ представляет собой сложную организационно-техническую систему, характеризующуюся большим количеством разнородных параметров. Анализ возможностей, функций, организации рассмотренных и других ПСЗИ позволил построить структурную и функциональную модель типовой современной ПСЗИ, рассматриваемой как объект проектирования, который представляет собой сложную организационнотехническую систему, характеризующуюся большим количеством разнородных параметров. Маршрут проектирования таких СЗИ характеризуется многоэтапностью, включает в себя целый ряд процедур синтеза и анализа, характерных как для разработки различных ПТК в целом, так и решающих специфические задачи создания средств ИБ.

К базовым процедурам данного маршрута относятся процедуры моделирования и анализа параметров, а также комплексной оценки эффективности как специально проектируемых ПСЗИ, так и существующих, выбираемых для включения в создаваемые системы защиты. Задача создания моделей, алгоритмов и ПО для реализации таких процедур весьма сложна, основной причиной является необходимость учета всех основных параметров ПСЗИ, процессов их функционирования, а также множества характеризующих эти параметры как количественных, так и качественных показателей.

Это привело к необходимости поиска новых направлений оценки эффективности ПСЗИ, обеспечивающих учет всех основных параметров процессов их функционирования. Как показывает анализ состояния вопроса одним из наиболее перспектив-

ных путей решения данной задачи является интегрирование показателей (параметров), характеризующих различные свойства ПСЗИ в один - комплексный критерий (показатель) эффективности. Вместе с тем, процесс интегрирования показателей, в этом плане, имеет ряд особенностей, и, прежде всего, наличие иерархии показателей эффективности ЗИ применительно к зонам защиты, отдельным состояниям носителей информации, источникам угроз и видам обрабатываемой информации.

Для постановки и определения путей решения рассмотренной задачи необходимо рассмотреть построение, функции и особенности современных ПСЗИ, влияющие на поведение оценки и анализа их эффективности.

Одной из основных задач ПСЗИ является управление доступом пользователей к информационным ресурсам АС с помощью процедур идентификации и аутентификации пользователей с целью предотвращения доступа злоумышленника к конфиденциальной информации. Управление доступом к информации должно обеспечиваться, и в самых неблагоприятных условиях функционирования АС, в смысле угроз ИБ, и с малой вероятностью проникновения злоумышленника в систему. Тогда реализация других функций ПСЗИ позволит достигнуть еще более высокого уровня защищенности информации, не нарушая требуемой эффективности функционирования АС по прямому назначению.

Процедуры управления доступом в общем случае обеспечивают санкционированный доступ пользователей в АС, но все же существует вероятность использования злоумышленником параметров аутентификации санкционированных пользователей при доступе в систему, замещения злоумышленником штатного пользователя в процессе его работы в АС. Все это предопределяет актуальность введения дополнительных сервисных функций ЗИ от НСД в состав существующих ПСЗИ (например, в подсистему регистрации и учета процедуры оперативного анализа регистрируемых событий в системе), повышающих защищенность АС.

Критериями эффективности проектируемых функций ПСЗИ являются:

- оперативность;

- достоверность;

- ресурсоемкость.

Оперативность проектируемых функций опре-

деляется двумя показателями: время анализа событий, время реакции на регистрируемые события. Время анализа событий зависит от производительности системы, на платформе которой функционирует ПСЗИ и от оптимальности алгоритма анализа. Критерием является минимизация данного показателя. Допускается также в качестве критерия сравнение с максимально допустимым временем анализа событий. Максимально допустимое время анализа событий определяется исходя из степени защищенности АС. Время реакции зависит от производительности каналов связи управляющего узла с конечным оборудованием. Критерием является минимизация данного показателя.

Достоверность - показатель, определяющий точность принятого решения. При анализе используются различные методы: обнаружение НСД: по сигнатурам, методы, использующие экспертные оценки, методы, базирующиеся на нейронных сетях, статистические методы. Все данные методы в результате анализа выдают информацию о свершившемся НСД. При использовании статистического анализа и нейронных сетей возникает ситуация, при которой факт НСД может быть упущен в ходе анализа (система воспримет события как отклоняющиеся от нормы но в пределах допустимых значений) и ситуация обнаружения системой НСД без самого нарушения правил доступа к ресурсам АС (система воспримет НСД по свершившимся событиям без превышения прав доступа). Данные ситуации описываются показателями: вероятность необнаруже-ния Рн и вероятность ложного обнаружения Рл. Данные показатели необходимо минимизировать, чтобы они не превышали максимально допустимых значений.

Ресурсоемкость характеризуется формированием минимально необходимых системных, энергетических, экологических, экономических, людских ресурсов для функционирования аналитической подсистемы ПСЗИ. При этом критерием является минимизация этих показателей.

Литература

1. Сборник руководящих документов по защите информации от несанкционированного доступа, Москва 1998 г.

Воронежский государственный технический университет

TO THE QUESTION OF INCREASING PROTECTION OF EXISTING AND PROSPECTIVE AUTOMATED ELECTRONIC DOCUMENT MANAGEMENT SYSTEM

P.V. Zinovjev

The analysis of the open literature relating to automated electronic document management systems (EDMS) is given. The structural model of software security systems in accordance with the regulations related to information security (IS) automated systems (AS) is shown. A promising way to develop software security systems in EDMS, associated with the criteria of the effectiveness of these systems is conceptually shown. Set of performance criteria of software security systems is made

Key words: electronic document management system, software security systems, effectiveness