Внедрение системы электронного документооборота давно является неотъемлемой частью бизнеса для любой крупной компании. Главный плюс СЭД состоит в том, что она значительно упрощает процесс документооборота, делает его более эффективным. Электронные документы не требуют особых условий хранения и утилизации, но в то же время являются уязвимыми с точки зрения информационной безопасности.

Отсутствие электронного документооборота зачастую приводит к тому, что процесс согласования нужных бумаг в организации затягивается на дни, а иногда и на недели. В отличие от бумажных электронные документы могут быть подписаны и отправлены мгновенно и на огромные расстояния, что серьезно облегчает работу компаний. Кроме того, СЭД открывает доступ к необходимому документу на любом этапе работы с ним – во время согласования и после него, а также обеспечивает более быстрый доступ к нему: чтобы найти нужный документ, сотруднику не нужно обращаться к обширным бумажным архивам – достаточно ввести в строку поиска ключевое слово.

Однако переходя в область информационного пространства, документооборот становится объектом кибератак, в результате которых может произойти утечка конфиденциальной информации, произведен подлог документов и даже нарушено функционирование СЭД, что приведет к полной остановке процесса документооборота и утере данных. Существует несколько способов избежать указанных проблем, только их комплексное применение способно обеспечить безопасность электронного документооборота.

Прежде всего необходимо обеспечить надежную защиту СЭД от проникновения неавторизованных пользователей. Для этого система должна обеспечивать их аутентификацию (ввод пароля). Аутентификация может как осуществляться встроенными средствами СЭД, так и быть интегрированной с уже существующей в организации технологией (например, Active Directory), чтобы аутентифицировать пользователя по доменным учетным данным без необходимости повторного ввода пароля.

Организация должна придерживаться политик безопасности, регламентирующих введение надежного пароля. Например, пароль должен состоять из не менее чем восьми символов, содержать буквы нижнего и верхнего регистров, цифры и спецсимволы. Выполнение этих рекомендаций значительно снижает риски подбора пароля и возможности его случайной компрометации.

У каждого пользователя СЭД должно быть разграничение прав на просмотр и согласование документов. «Приведу пример: допустим, я являюсь начальником отдела и имею право согласовывать определенный круг документов, при этом я не должен иметь доступ к просмотру или согласованию документов вышестоящего руководства», – рассказывает руководитель ИТ-подразделения крупного российского банка.

Для обеспечения безопасности СЭД необходимо вести протоколирование всех действий, совершаемых пользователями. Анализ протоколов может оказаться полезным при разборе проблем, связанных с неправомерными действиями, а также может использоваться для оперативного предупреждения последствий нарушений. Данные протокола могут создаваться как внутренними средствами СЭД, так и программным обеспечением сторонних производителей.

В зависимости от вида СЭД может потребоваться применение криптографических средств защиты, чтобы ставить ЭП на электронных документах либо шифровать их. «Например, в случае обмена электронными документами между разными организациями вам почти наверняка потребуется шифрование передаваемых данных, чтобы третьи лица или злоумышленники не смогли получить доступ к конфиденциальной информации. Также может потребоваться проставление электронных подписей, чтобы вы и ваш партнер могли удостовериться: общение ведется только между вами. Кроме того, ЭП гарантирует целостность передаваемых документов, это означает, что они не могут быть изменены после того, как вы поставили на них свою подпись», – комментирует требование к безопасности СЭД эксперт крупного российского банка.

Согласно требованиям ФСБ средства криптографической защиты информации, применяемые банками, должны производиться отечественными компаниями в соответствии с ГОСТ. Специалисты единодушно признают, что выполнение этих требований делает защиту электронного документооборота весьма стойкой по сравнению с западными аналогами.

Нельзя забывать и об элементарных средствах обеспечения безопасности в локальных вычислительных сетях (антивирусы, фаерволы и др.), которые способствуют надежности работы СЭД за счет блокирования внешних атак злоумышленников и борьбы с ними.

Также важно учитывать опасности возникновения сбоев в процессе функционирования хранилища данных. Необходимо производить резервирование документов системными и прикладными средствами (бэкап баз данных, stand by и прочие средства). В противном случае может сложиться ситуация, при которой ценная, а возможно, и жизненно важная для организации информация окажется безвозвратно утерянной.