Информационная безопасность документооборота

Документооборот на предприятии — основа бизнеса, на которой держится информационное обеспечение компании. Это цифровые и бумажные носители, системы электронного документооборота и другие средства, которые в совокупности обеспечивают передачу, фиксирование и хранение информации компании. В условиях цифровой трансформации бизнеса и роста объема обрабатываемых данных, защита информации в системах документооборота становится критически важной задачей, ведь нарушения безопасности документов могут привести к финансовым потерям, снижению уровня конфиденциальности и подрыву репутации компаний. Поэтому предлагаем исследовать в этой статье информационную безопасность документооборота.

План статьи:

1. Документооборот в бизнесе: из чего состоит

2. Формы документооборота в компании

3. Почему безопасность документооборота так важна?

4. Необходимость применения электронного документооборота в разрезе безопасности информации

5. Источники угроз для документооборота

6. Как обеспечить информационную безопасность документа?

7. Роль DLP-систем в обеспечении безопасности информации документооборота.  

Документооборот в бизнесе: из чего состоит

Документооборот в бизнесе сопровождает все процессы: начиная от создания реализуемой услуги или продукции до передачи прав собственности и подтверждения хранения активов. Аналогично этапам бизнес-процессов, для документооборота можно также выделить свои фазы развития.

Создание документа. Процесс, когда нужные данные комбинируются согласно тематике и фиксируются в цифровом или физическом виде.

Согласование и утверждение. Цепочка взаимосвязанных операций, необходимая для подтверждения легитимности данных.

Хранение и архивирование. Сохранение документов и их архивирование для защиты от несанкционированного доступа.

Передача и обмен. Это процесс пересылки документов как в пределах компании, так и за ее пределы.

Уничтожение. Еще один этап, связанный с удалением документов, срок хранения которых истек или которые более не актуальны.

Каждый из этих этапов требуют строгого соблюдения норм безопасности, так как каждая стадия подвержена различным угрозам.

Формы документооборота в компании

При создании системы обеспечения информационной безопасности в  документообороте необходимо учитывать особенности форм носителей информации. Как правило, документооборот в компании может быть представлен в двух основных формах: физический, включающий непосредственно бумажную форму хранения данных, и автоматизированный электронный документооборот, представленный всеми формами сохранности и передачи данных в цифровом виде. Каждая форма документооборота требует своего подхода к обеспечению ИБ и за редким исключением представлена комплексно в каждой компании.

Физический документооборот требует организации специальных мест хранения (физических хранилищ), использования защищенных сейфов и архивных помещений, а также обязательного контроля физического доступа.

Электронный документооборот также должен быть обеспечен высоким уровнем защиты от внешнего проникновения. Автоматизация документооборота, основанная на электронных форматах, требует защиты данных на уровне информационных систем, а также использования защищенных каналов передачи и хранения данных. 

Почему безопасность документооборота так важна?

Обеспечение безопасности документооборота важно, так как утечка данных или их порча могут привести к негативным последствиям: повлиять на репутацию компании, привести к значительным финансовым потерям, правовым последствиям и даже судебным тяжбам. 

Какие риски несет предприятие, не занимающееся информационной безопасностью документооборота?

• Потерять клиентскую базу вместе с цифровыми учетными данными клиентов, что негативно отразится на дальнейшей коммерческой эффективности предприятия.
• Допустить утечку персональной информации, за разглашение которой грозят штрафы, обязанность компенсации ущерба пострадавшим сторонам и даже уголовная ответственность виновникам.

Например в России согласно закону «О персональных данных» (ФЗ № 152), предусмотрены следующие меры ответственности:

Административные штрафы: для должностных лиц: от 10 000 до 50 000 рублей., для юридических лиц: от 60 000 до 100 000 рублей за первое нарушение. При повторном нарушении штрафы возрастают и могут достигать до 500 000 рублей для организаций.

Уголовная ответственность. В случае, если разглашение персональных данных приводит к серьезным последствиям, возможно привлечение к уголовной ответственности, особенно если оно связано с нарушением частной жизни граждан. Штраф может составлять до 200 000 рублей либо предусмотрены другие санкции, включая арест.

Компенсации пострадавшим. Пострадавшие физические лица могут требовать возмещения морального и материального ущерба в гражданско-правовом порядке.

• Разглашение конфиденциальной информации налогового характера или так называемой налоговой тайны, в состав которой входит вся информация о доходах и уплачиваемых налогах, передаваемая в налоговые органы и несанкционированное распространение которой запрещено федеральным законодательством.

В России в случае разглашения налоговой тайны предусмотрены следующие меры:

Административная ответственность. Штрафы за нарушение налоговой тайны установлены статьей 13.14 Кодекса РФ об административных правонарушениях. Сумма штрафа составляет: для граждан: от 1 000 до 2 000 руб., для должностных лиц: от 4 000 до 5 000 руб.

Уголовная ответственность. В случае тяжких последствий (например, если разглашение привело к крупным убыткам) может наступить и уголовная ответственность. Штрафы в этом случае варьируются и могут доходить до 1 миллиона рублей или предусматривать иные меры, такие как лишение свободы на срок до 5 лет в зависимости от последствий разглашения и масштабов нарушения.

Компенсации пострадавшим. Наряду с государственными санкциями, пострадавшие стороны (например, компании или физические лица) могут требовать возмещения ущерба в гражданско-правовом порядке.

• Инсайдерские утечки. Могут быть реализованы через документальные носители информации или цифровые. Внедренный сотрудник может сфотографировать или отсканировать  физический документ, либо отправить третьей стороне по ошибке или умышленно цифровой документ. При минимальной защите документооборота или ее отсутствии утечка может быть допущена легко.

Необходимость применения электронного документооборота в разрезе безопасности информации

Потребность современных компаний в обеспечении безопасности документооборота все еще велика, поскольку ежедневно растет число киберугроз, нацеленных на нарушение ИБ предприятия через существующие уязвимости. Как говорилось выше, существует две формы документооборота, с помощью физических документов и электронных. 

Цифровизация экономики и потребность перевода коммерческих отношений между субъектами в этот формат делает электронный документооборот более используемым и востребованным. Однако кроме актуальности существует предпосылка к его применению, обоснованная улучшением информационной безопасности предприятия. Использование электронного документооборота позволяет усилить систему безопасности в целом, благодаря:

1. возможности автоматизированного шифрования данных при передаче и хранении информации;
2. обеспечения аутентификации и авторизации доверенных пользователей для предотвращения несанкционированного доступа;
3. возможности сохранения и аудита версионности цифрового документа и последующего отслеживания всех осуществленных изменений;
4. возможности архивирования документов в защищенных хранилищах для снижения риска утраты данных;
5. применения систем электронного документооборота (СЭД) как специального программного обеспечения для управления информаций и автоматизации этого процесса.

Эти аргументы делают применение цифрового документа не только более безопасным, но и эффективным с точки зрения управления информацией. 

Источники угроз для документооборота

Рассмотрим основные угрозы информации в документообороте. Их также можно разделить в зависимости от типа (физического или цифрового).

Для физических документов возможны следующие угрозы.

• Инсайдерские атаки, когда доверенный пользователь внутри системы безопасности использует свое служебное положение для того, чтобы получить доступ к конфиденциальному документу с целью последующего распространения данных из него.
• Ошибки умышленные или по невнимательности в физическом документе могут привести к неправильной передаче и интерпретации информации.
• Проблемы хранения (несанкционированный доступ, низкое качество хранения), которые привели к уничтожению, сокращению срока эксплуатации или распространению данных с носителя и передаваемой информационной ценности. 
• У по вине сторонних организаций, партнеров, государственных органов. Информация может распространиться не только от первоисточника, но и через третьих лиц, которым с разными целями передаются документы компании. Халатное обращение с переданными документами может привести к утечке или необратимой порче носителей.
• Документы могут быть утеряны в случае халатного обращения с ними сотрудниками, что может спровоцировать случайное раскрытие информации.

Цифровой документооборот также имеет ряд особенностей, которые могут привести к следующим угрозам:

• Умышленные действия инсайдеров (сотрудников), которые заинтересованы в нанесении ущерба компании через порчу или слив информации. Например, используя каналы цифровой коммуникации, такие как email, социальные сети и мессенджеры, каналы корпоративной связи и др. 
• Внешние кибератаки с использованием вредоносного ПО. Сюда относятся программы-шифровальщики, которые блокируют доступ к цифровым документам, вирусы, которые наносят вред системам хранения цифровых данных либо нацеленные на похищение или изменение информации.
• Использование вредоносных скриптов и макросов в файлах, которые запускаются при открытии документа и заражают системы, что приводит к негативным последствиям для хранимой информации.
• Фишинг и социальная инженерия, когда злоумышленники могут обманом получить доступ к учетным данным пользователей через фальшивые сайты, электронные письма или сообщения.
• Нарушение хранения данных, в том числе несоблюдение установленных на законодательном уровне требований по хранению персональной, коммерческой, налоговой и др. типов информации.
• Недостаточная защита версионности документов. Отсутствие отслеживания изменений и контроля версий может привести к непреднамеренному или злонамеренному внесению неверных данных.
• Слабость защиты с помощью паролей и недостаточные меры аутентификации. Защита документов может пострадать в том случае, если в компании используются слабые или устаревшие пароли. Современное программное обеспечение может отследить использование таких некачественных комбинаций и обеспечить злоумышленникам несанкционированный вход в систему и воздействие на информацию.
• Кража физического носителя цифровых документов. Это может быть портативный носитель типа флеш-карты, съемного жесткого диска и др.  типов мобильного оборудования.
• Отсутствие мониторинга веб-активности пользователей корпоративной сети, что может привести к утечкам данных через межличностные коммуникации. 

Как обеспечить информационную безопасность документа?

Поскольку на предприятиях встречается как физический документооборот, так и электронный, это значит, что и обеспечение информационной безопасности должно базироваться на принципах комплексности. То есть компания не должна ограничивать свои меры безопасности исходя только из одного типа документов. Рассмотрим  основные способы защиты документооборота, как физического, так и электронного.

1. Ограничение доступа к физическим архивам через внедрение замков, сейфов, включая контроль доступа с помощью пропускной системы и видеонаблюдения.
2. Ограничение на печать, копирование и вынос документов за пределы офиса.
3. Автоматизация шифрования данных на всех уровнях, в том числе с применением криптографических принципов шифрования.
4. Аутентификация и авторизация сотрудников для предоставления доверенного доступа к документам.
5. Антивирусная защита и межсетевые экраны для предотвращения доступа со стороны вредоносного ПО.
6. Резервное копирование данных для минимизации ущерба в случае сбоев.
7. Использование DLP-системы для предотвращения утечек данных.
8. Обучение и информирование сотрудников о правилах информационной безопасности и обращения с носителями информации в разных формах.
9. Обязательная разработка политики безопасности, фиксирующей последовательность работы с документами и зоны ответственности за сохранность данных в них.
10. Инвестиции в собственную информационную безопасность и технологии защиты информации, включающие покупку современных программных и физических продуктов типа антивирусных и антиспам-решений, системы мониторинга активности сотрудников, аудио- и видеонаблюдения и другие варианты защиты.
11. Проведение периодических аудитов, как общего аудита систем защиты информации, так и отдельных этапов мониторинга системы документооборота для выявления потенциальных уязвимостей.
12. Осуществление регулярного резервного копирования для предотвращения вероятных потерь данных.

Роль DLP-систем в обеспечении безопасности информации документооборота

DLP-системы (Data Loss Prevention) — это современные системы мониторинга и предотвращения утечек конфиденциальных данных. Они играют значительную роль как для физического, так и для электронного документооборота, поскольку помогают отслеживать перемещение документов внутри организации, проверяют файлы, отправленные на печать, фиксируют инциденты, связанные с попыткой осуществления несанкционированного копирования конфиденциальных данных и даже блокируют их передачу через сеть за пределы компании.

То есть с помощью DLP-системы можно отследить весь путь документа и попыток его распространения.

На примере SecureTower Falcongaze обеспечение информационной безопасности документооборота может осуществляться с помощью следующих функций.

Контроля по цифровым отпечаткам

В SecureTower реализован контроль утечек данных с использованием цифровых отпечатков, что позволяет системе распознавать конфиденциальные документы, пересылаемые за пределы компании. Безопасность достигается за счет того, что DLP-система в потоке веб-данных определит не только передачу целого конфиденциального документа, но и отправку частей текста из него. SecureTower анализирует передаваемый трафик, сверяя его с образцами и при совпадении отправляя уведомление специалисту по безопасности. Система может учитывать постоянные точные комбинации данных (например, имя, должность и email), чтобы минимизировать ложные срабатывания, обеспечивая строгий контроль информационных потоков компании.

Разнообразия каналов перехвата

Falcongaze SecureTower 7 Helium контролирует утечку конфиденциальной информации по множеству каналов, включая электронную почту, мессенджеры, веб-сайты, облачные хранилища и переносные устройства (USB-накопители и проч.). Система анализирует пересылаемые файлы, текстовые сообщения и вложения, автоматически выявляя документы с важными данными и предотвращая их несанкционированную передачу. SecureTower отслеживает активность сотрудников, включая использование корпоративных приложений и работу с файлами на устройствах, что помогает быстро обнаружить подозрительную передачу данных и принять меры для защиты корпоративной информации.

Контроля документов, отправленных на печать

Falcongaze SecureTower используется для защиты от утечек данных, в том числе по такому параметру, как контроль документов, отправляемых на печать. Документы, отправленные на печать, проверяются на соответствие правилам безопасности, что предотвращает утечку информации и нецелевое использование принтеров, например для личной печати. SecureTower анализирует содержимое печатных документов с помощью различных методов, включая лингвистический анализ и цифровые отпечатки, и сохраняет перехваченные документы в PDF-формате для дальнейшего анализа. Система также фиксирует данные о пользователе и устройстве, что помогает быстро реагировать на инциденты.

Заключение

Информационная безопасность документооборота — это важнейшая часть стратегии управления бизнесом в современном мире. Защита физического и электронного документооборота требует внедрения комплексных мер, ориентированных как на технологии, так и на человеческий фактор. Обеспечение безопасности данных и контроль документооборота помогают снизить риск утечек, поддерживая доверие клиентов и партнеров.