Организация защищенного документооборота

Содержание

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Введение

На сегодняшний день одной из важнейших проблем, стоящих как в государственных, так и в негосударственных структурах, является  проблема построения защищенного документооборота.

Под защищенным документооборотом (документопотоком) понимается контролируемое движение конфиденциальной документированной информации по регламентированным пунктам приема, обработки, рассмотрения, исполнения, использования и хранения в жестких условиях организационного и технологического обеспечения безопасности как носителя информации, так и самой информации.

Проблема защиты информационных ресурсов организации гораздо более сложная и многоплановая чем может показаться на первый взгляд, и для её успешного решения необходимо использовать не только силы и средства, имеющиеся в распоряжении службы информационных технологий, но и возможности и опыт, накопленный другими службами организации. С моей точки зрения на каждом предприятии должны защищаться все информационные ресурсы организации, в этой работе должны участвовать все сотрудники организации, и для достижения требуемого уровня безопасности должны активно применяться кадровая политика, разнообразные организационные меры, обучение и переподготовка персонала и т.п.

Сейчас в организациях вопросами управления и защиты информации занимается целый ряд служб. Служба информационных технологий  (ИТ) традиционно обеспечивает работоспособность, защиту электронных систем от несанкционированного доступа, в то время как служба Документационного обеспечения управления (ДОУ) - работает в основном с бумажными документами. Правда, в последние 10 лет, большинство крупных предприятий в г. Ижевске пытаются перейти на безбумажный документооборот, что получается пока далеко не у всех предприятий. Кроме того, есть ещё юридический отдел, отдел информационной безопасности. Различная подчинённость и статус этих служб, незнакомство с методами работы друг друга, отсутствие единой терминологии становятся серьёзной помехой в решении поставленных перед ними задач.

Целью написания данной работы является раскрытие темы «Защищенный документооборот». В этой работе будет рассмотрена организация документооборота не с точки зрения службы ИТ, а с точки зрения ДОУ. 

Данная цель будет  раскрыта в рамках конкретных задач:

• будут раскрыты теоретические основы построения защищенного документооборота;
• и методические основы и построения  и организации защищенного документооборота.

 

1. Теоретические основы  построения документооборота

1.1. Краткая теоретическая справка  о документообороте

Документооборот предприятия  определяется как «движение документов с момента их получения или создания до завершения исполнения, отправки или сдачи в дело».

Целью документооборота является обеспечение управленческой деятельности, процесса принятия решений ценной, полезной, своевременной, полной и достоверной информацией. Движение документированной информации  (на бумажных, магнитных или иных носителях) по линиям связи объективно сопровождает управленческую деятельность. Принципы и направления движения традиционных и электронных документов в аппарате управления едины при любых системах обработки и хранения документированной информации. Меняются методы работы с документами, но технологическая  взаимосвязь документооборота с процессом управления сохраняется. Это предпосылка создает объективную возможность для научного решения документоведческих и архивоведческих проблем безбумажного документооборота.

Все документы являются информационными материалами (информацией), но далеко не все информационные материалы имеют статус документа. Основной признак документа состоит в том что, содержание, обстоятельства создания и форма представления информационного материала фиксируются в определённый момент времени, и далее хранятся в неизменном виде. Кроме того, документ либо фиксирует какие-либо факты и события, либо служит основанием для принятия деловых решений и совершения действий.

С учетом всего сказанного можно дать определение конфиденциального документооборота как движение конфиденциальных документов с момента их учета до отправления, подшивки в дело или перевода на учет выделенного хранения поступивших и изданных  документов и отправления, уничтожения или передачи на архивное хранение документов выделенного хранения.

Вместе с тем, важной отличительной чертой и особенностью  конфиденциального документооборота является необходимость защиты документов от несанкционированного доступа к ним с целью предотвращения утечки конфиденциальной информации.

Стандарт ISO/IEC 17799 определяет информационную безопасность как обеспечение  конфиденциальности, целостности и  наличия информации. Что касается защиты электронных документов и электронного документооборота, - на данный момент данную функцию выполняет служба ИТ.

Виды угроз  конфиденциальных документов в документопотоках организации можно разделить на несколько групп:

1. Несанкционированный доступ постороннего лица к документам, делам, базам данных за счет его любопытства или обманных, провоцирующих действий, а так же случайных или умышленных ошибок персонала фирмы;
2. Утрата документа или его отдельных частей (листов, приложений, схем, копий, экземпляров, фотографий и др.), носителя чернового варианта документа или рабочих записей за счет кражи, утери, уничтожения;
3. Утрата информацией конфиденциальности за счет ее разглашения персоналом или утечки по техническим каналам, считывания данных в чужих массивах, использования остаточной информации на копировальной ленте, бумаге, дисках и дискетах, ошибочных действий персонала;
4. Подмена документов, носителей и их отдельных частей с целью фальсификации, а также  сокрытия факта утери, хищения;
5. Случайное или умышленное уничтожение ценных документов и баз данных, несанкционированная модификация и искажение текста, реквизитов, фальсификация документов;
6. Гибель документов в условиях экстремальных ситуаций.

Для электронных документов угрозы особенно реальны, так как факт кражи информации практически трудно обнаружить. В отношении конфиденциальной информации, обрабатываемой и хранящейся в компьютерах, условия возникновения угроз, по мнению ряда специалистов, классифицируется по степени риска следующим образом:

• Непреднамеренные ошибки пользователей, операторов, референтов, управляющих делами, системных администраторов и других лиц, обслуживающих информационные системы;
• Кражи и подлоги информации;
• Стихийные ситуации внешней среды;
• Заражение вирусами.

В соответствии с характером указанных выше угроз формируется задачи обеспечения защиты информации в документопотоках, направленные на предотвращение или ослабление этих угроз.

Главным направлением защиты документированной информации от возможных опасностей является формирование защищенного документооборота и использование в обработке и хранении документов специализированной технологической системы, обеспечивающей безопасность информации на любом типе носителя.

Таким образом, безопасность – это не только защита от преступных посягательств, но и обеспечение сохранности (особенно электронных) документов и информации, а также меры по защите важнейших документов, и обеспечению непрерывности и/или восстановлению деятельности в случае катастроф.

 

1.2. Информационная безопасность  электронного документооборота

С XX века во многих странах мира стали активно внедряться различные системы электронного документооборота. Защита электронного документооборота от несанкционированного доступа стала одной из главных проблем, находящихся на сегодняшний день в сфере бизнеса. В связи с этим можно выделить три группы проблем, которые возникают при обеспечении информационной безопасности электронного документооборота:

• Трудности, связанные с недостаточной поддержкой государством внедрения систем электронного документооборота (СЭД). Пока государство и суды не признают электронные документы, бизнес может использовать СЭД только для поддержки оперативной деятельности. Хотя с недавнего времени на некоторых предприятиях стала активно внедряться электронно-цифровая подпись (ЭЦП). Но она применяется далеко не на всех предприятиях  и государством более признаются «бумажные» документы», т.е. данная отрасль является неразвитой.
• Отсутствие нормативной базы, необходимой для полноценного использования электронных документов. Так, не установлен порядок признания юридической силы электронных документов государственными органами и судами; отсутствует официально признаваемая методика работы с электронными документами, обеспечивающая признание их юридической силы; отсутствуют методики экспертизы ценности электронных документов, передачи их на архивное хранение, уничтожения электронных документов, работы с «грифованными» электронными документами, и т.д.

Перечисленные проблемы напрямую связаны с информационной безопасностью. Пока что электронные документы – вроде и не документы вовсе, и во многих организациях с ними поступают, как хотят. Часто отсутствует даже элементарный учёт имеющихся в организации программных средств и баз данных, а в результате электронные документы и информация либо утрачиваются, либо их становится невозможно ни найти, ни использовать. Уничтожение увольняющимися сотрудниками «своих» электронных богатств – самое обычное явление, с которым невозможно бороться.

• Сохранение аутентичности и целостности электронных документов. На сегодняшний день электронные документы мало признаются судами – отсюда следует вывод: если сегодня не начать архивировать электронные документы в строгом соответствии с известными международными стандартами, то завтра, когда электронные документы будут признаны на деле, организация не сможет доказать подлинность своих документов. Для компаний, ведущих международную деятельность, это уже «горящая» проблема, поскольку, к примеру, в большинстве развитых стран сообщения электронной почты признаются деловыми документами и могут быть предъявлены в качестве доказательства в суде.

Проблема обеспечения  аутентичности электронных документов особенно обостряется, если их нужно  хранить долго – более 5-7 лет. В этом случае, вследствие устаревания компьютерных систем и/или форматов данных, может потребоваться перенос документов в другую компьютерную систему и/или преобразование в новые форматы. Более того,  каждый  шаг переноса документов и преобразование из в новые форматы должен быть тщательно задокументирован для того, чтобы аутентичность документов не могла быть подвергнута сомнению.

Но даже при обычном  сканировании документов для помещения  их в электронный архив требуется  не только документировать все действия и обеспечить техническую защиту полученных образов документов, но и избегать операций, которые могут поставить аутентичность документов под сомнение.

 

 

 

 

1.3. Взаимоотношение ДОУ и ИТ

При внедрении систем электронного документооборота на уровне отдельной организации особую остроту приобретает проблема взаимоотношений и взаимопонимания между службой ИТ с одной стороны, и службой ДОУ, юридическим отделом и деловыми подразделениями – с другой.

Прежде всего, это проблема «делового  статуса». ИТ-специалисты стоят на более высокой ступени в иерархии организации, имеют большую зарплату, пользуются гораздо большим влиянием на руководство. В коммерческих структурах денег на развитие современных технологий не жалеют, в то время как отделы ДОУ получают средства на свое развитие по остаточному принципу. Кроме того, специалисты ДОУ жалуются на то, что служба ИТ определяет требования к управлению документами, не консультируется с ДОУ при выборе и закупке систем электронного документооборота.

Именно продолжающееся внедрение  информационных технологий в процесс  документооборота, в сочетании с  усиливающимся давлением со стороны законодательства и контролирующих органов, потихоньку приводит к изменению положения ДОУ в лучшую сторону – поскольку ряд знаний и навыков, обычных для сотрудников нашей службы и остро необходимых сейчас в электронном документообороте, не распространены среди специалистов ИТ.

 К ним относятся:

1. Понимание жизненного цикла документа, который может включать такие стадии, как создание, временное хранение в соответствии с требованиями законодательства и контролирующих инстанций, экспертизу ценности, постоянное хранение или уничтожение в установленном порядке;
2. Понимание того, что вся информация организации должна управляться по единым правилам;
3. Привычка веси строгий учёт документов, их выдачи и возврата;
4. В отличие от большинства программистов, сотрудники ДОУ вынуждены продумывать свою работу как минимум на пять лет вперёд (столько времени, по закону, должны храниться документы бухгалтерского учёта). Они понимают, что нужно не просто сохранить соответствующие электронные документы, но сохранить их так, чтобы их целостность и аутентичность могла быть доказана.

Именно специалисты  службы ДОУ лучше других видят проблемы, возникающие при внедрении. Особенное беспокойство вызвало то, что сотрудники ИТ и деловых подразделений плохо понимают роль электронного документооборота в обеспечении соответствия деятельности организации законодательству и нормативным требованиям.

Для успешного  внедрения электронных систем и  их надёжной защиты необходимо тесное сотрудничество специалистов ИТ, ДОУ и других заинтересованных сторон: деловых подразделений, юридической службы, службы информационной безопасности. В перспективе, одним из разумных решений может быть переход службы ДОУ в подчинение ИТ, и создание единого подразделения, управляющего всеми информационными ресурсами в организации. Подобные единые структуры уже существуют как за рубежом, так и в ряде организаций нашей страны.

 

2. Методические основы  построения и организации защищенного  документооборота

2.1. Организация документооборота

Установление порядка  движения документов или управление документацией организации заключается в создании условий, обеспечивающих хранение необходимой документной информации, ее быстрый поиск и снабжение ею потребителей в установленные сроки и с наименьшими затратами. Она включает: