Безопасны ли современные сэд?

Информационная безопасность – одно из главных направлений на западном рынке систем электронного документооборота, которое развивается в соответствии с законодательно утвержденными стандартами. Российская практика еще далека от появления специализированных компаний, занимающихся разработкой систем ИБ в сфере управления документами.

Безопасность и защита данных являются неотъемлемой частью функционирования как систем управления контентом, так и решений для управления электронными документами. Система управления контентом отслеживает, какой пользователь обращался к определенному документу, какие изменения внес в него, появилась ли новая версия этого документа. Безопасность здесь осуществляется на уровне доступа авторизованного пользователя.

Система управления электронными документами должна отвечать строгим стандартам работы с информацией, принятым законодательно, но в России отдельного положения в этой области не существует. На данный момент разработчики руководствуются некоторыми западными требованиями, в частности, разработанным американским Министерством обороны стандартом Department of Defense 5015.2 regulations (DoD 5015.2) или более популярным в Европейском Союзе стандартом MoReq2. В России регуляторы предлагают участникам рынка также ряд ГОСТов, охватывающих основные аспекты работы с информацией: ГОСТ Р ИСО 15489-1-2007, ГОСТ Р ИСО/МЭК 17799-2005, ГОСТ Р ИСО/МЭК 27001-2006.

Безопасность сэд – внутренняя проблема пользователей

Современные системы ЕСМ/СЭД безопасны ровно настолько, насколько высока культура обращения с документами в организации, полагают опрошенные CNews эксперты. Пока документ, над которым ведется работа, размещен внутри защищенной среды СЭД, он в относительной безопасности. Когда сотрудники, находящиеся в конечных точках, придерживаются четко разработанной инструкции по работе с электронной документацией, компании следует перенести основную заботу о безопасности на защиту внешнего периметра сети. Александр Бейдер, директор по развитию направления ECM компании Terralink, считает, что современные СЭД более чем просто безопасны. "В случае, если работа с документами в организации происходит целиком в рамках промышленной ECM-системы, то отпадает даже необходимость в использовании ЭЦП. Проблемы возникают, когда пользователи начинают использовать электронную почту, печатать, копировать документы и/или пересылать их во внешние организации, - говорит он. - Призывы к культуре, лояльности и прочие воспитательно-полицейские мероприятия в этих случаях всегда обречены на провал. Нарушения всегда имеют место либо случайно, либо в результате злонамеренных действий пользователей".

Наталья Храмцовская, ведущий специалист компании ЭОС по управлению документацией, уверена, что ситуация в России примерно такая же, как и в остальном мире: "Системы и средства защиты совершенствуются по мере роста угроз; постепенно осознается, что одними техническими средствами безопасность не обеспечить – необходим подбор кадров и работа с ними, а также комплекс организационных мер".

Свое понимание ситуации с безопасностью систем управления данными озвучил и Максим Галимов, директор по перспективным исследованиям компании Directum: "ECM-система снижает риски за счет того, что, во-первых, обеспечивает защищенное хранение документа, во-вторых, предлагает проводить большую часть совместной работы над документом без вынесения его за пределы защищенной среды. Если культура согласования, обмена документами в электронном виде в рамках ECM-системы принимается организацией, то безопасность документооборота существенно повышается". По его мнению, люди в подавляющем большинстве недооценивают риски, пренебрегая ими. Наработки компании в этой области дают повод считать, что эффект от внедрения ЕСМ-системы в финансовом выражении сравним с эффектом, полученным от оптимизации процессов. "Риск утечки информации документа и его доступности нежелательным лицам хоть и не самый существенный в нашем списке, но довольно ощутимый", – полагает эксперт.