СЭД: удобство без опасности

Защите систем электронного документооборота сегодня уделяется не меньше внимания, чем их функциональным возможностям. С распространением мобильного доступа к корпоративным системам возникают новые риски, однако индустрия информационной безопасности развивается так же успешно и способна ответить на эти вызовы.

По данным недавно опубликованного глобального отчёта IDC, к 2017 году 87% подключенных к сети устройств будут представлять смартфоны и планшеты, а доля ПК сократится с 28,7 до 13%

За два десятка лет своего существования российский рынок систем электронного документооборота (СЭД; Enterprise Content Management, ECM) прошёл путь от простых систем регистрации и учёта до многофункциональных решений, объединяющих средства управления документами, бизнес-процессами и возможности коллективной работы. Потребности многих организаций не ограничиваются автоматизацией традиционных задач — СЭД используется для поддержки самых разных бизнес-процессов: управления закупками, тендерами, маркетинговыми кампаниями, нормативной документацией, договорами и т. д. Нередко это приложение является критически важным для организации.

СЭД И МОБИЛЬНОСТЬ

Мобильность становится одним из существенных средств повышения эффективности работы в компаниях разного профиля и с различной численностью сотрудников. Как сказывается "корпоративная мобильность" на системах электронного документооборота? Насколько подходит форм-фактор планшета/смартфона для задач СЭД?

"Поддержка мобильности в системах электронного документооборота весьма перспективна, поскольку такой подход очень удобен при выполнении определённых задач, — считает Алексей Александров, руководитель направления по работе с технологическими партнёрами компании "Аладдин Р.Д.". — Практически в каждой организации есть "мобильные" сотрудники, работающие вне офиса, и они тоже должны иметь доступ к актуальной информации и участвовать в рабочих процессах".

Перспективность развития мобильных интерфейсов к СЭД не подлежит сомнению, уверены специалисты Digital Design. При условии обеспечения информационной безопасности (ИБ) многие этапы процессов работы с документами будут переноситься на мобильные платформы. Сейчас сотрудники зачастую работают со своей электронной почтой, используя смартфоны и планшеты. Точно так же они смогут (и многие уже это делают) согласовывать документы и выполнять те или иные задачи при помощи мобильных устройств.

Однако форм-фактор планшетов и смартфонов удобен не всегда. Например, для руководителей высшего и среднего звена, отвечающих за постановку задач, контроль и исполнение поручений, согласование документов и т. д., он вполне приемлем, но для тех, кто занимается регистрацией документов, такой форм-фактор не подходит и вряд ли когда-либо станет пригодным, во всяком случае пока сохраняется традиционный подход к этому процессу. Официальные документы, подлежащие регистрации, содержат множество реквизитов, которые неудобно вносить с мобильного устройства. Кроме того, обычно для делопроизводителя специально оборудуется стационарное место, оснащённое, в частности, средствами ввода-вывода документов.

Считается, что сложные многофункциональные мобильные рабочие места требуют применения ноутбуков/ультрабуков. По мнению специалистов Digital Design, в действительности это зависит от того, кто использует СЭД/ ECM. Профессиональному делопроизводителю вряд ли необходимо мобильное рабочее место. Если же сотрудник обращается удалённо (в командировках или на выездах) к прочим корпоративным системам (например, системам учёта, проектного управления, CRM, BI и т. д.) или создаёт в процессе своей деятельности документы (спецификации, договоры, предложения, презентации), то, скорее всего, его рабочим инструментом является ноутбук или ультрабук, а не планшет. В этом случае ничто не мешает установить полнофункциональный клиент к СЭД, который предоставит максимум возможностей для работы с системой. Если же основные потребности ограничиваются работой с почтой, контролем задач и согласованием документов, причём сотрудник не пользуется постоянно ноутбуком, предпочитая планшет или телефон, то мобильного клиента СЭД вполне достаточно.

ОСНОВНЫЕ ПОЛЬЗОВАТЕЛИ

Какова сегодня ситуация с поддержкой мобильности в системах СЭД/ECM? Насколько широко компании используют мобильные рабочие места и какие задачи решаются с их помощью?

Спрос на мобильность есть — соответственно, есть и предложения от производителей СЭД и внедренцев: как стандартные "коробочные" варианты, так и заказные разработки, рассказывают в Digital Design. Сейчас при выборе СЭД практически каждая организация интересуется средствами мобильного доступа вне зависимости от того, будут ли они реально применяться. Таким образом, их наличие в портфеле предложений производителя становится обязательным.

Без поддержки мобильных мест СЭД уже не может считаться современной. В ряде рыночных ниш, например в органах государственного управления, необходимость в мобильных рабочих местах выражена довольно слабо, но и там есть руководители высшего ранга, для которых разрабатываются соответствующие АРМ. В корпоративном секторе практически все внедряемые СЭД обладают полноценными мобильными клиентами, поскольку их наличие — один из весомых критериев выбора системы.

По оценке Digital Design, в корпоративном секторе мобильные рабочие места имеются примерно у одной компании из пяти. При этом почти все работают с СЭД удалённо, подключаясь к ней по VPN или посредством терминального доступа. Есть и исключение — организации с закрытой для внешних пользователей корпоративной сетью передачи данных, например банки. Основными пользователями мобильных рабочих мест являются в первую очередь топ-менеджеры и уже затем — руководители среднего звена. И те и другие проводят довольно много времени вне своего офиса, и большинство типичных для таких пользователей задач СЭД — технически несложные действия, требующие быстрого выполнения (работа с согласованиями и задачами).

"Планшеты и смартфоны не могут полностью заменить ноутбуки или рабочие станции, но отлично подойдут потребителям контента. К таким пользователям относятся топ-менеджеры, от которых зависит оперативное принятие решений, — уверен Алексей Александров. — У руководителей, не находящихся постоянно в офисе, потребность в таких решениях действительно очень высока. Как правило, они не создают документы самостоятельно, скорее наоборот — читают, изучают, визируют уже готовые либо ставят задачи своим сотрудникам. Смартфон с мобильным клиентом СЭД прекрасно подходит для этих целей".

Таким образом, на сегодняшний день поддержка мобильных клиентов СЭД популярна в первую очередь именно среди руководителей организаций. Им нужно обеспечить безопасный доступ к оперативной информации и аналитике, предоставить возможность просматривать документы и принимать решения.

ГЛАВНЫЕ ТЕНДЕНЦИИ

"Мобильность перестала быть преимуществом и превратилась, скорее, в обязательный фактор в условиях всеобщей и всесторонней "мобилизации", — говорит Алексей Александров. — Поэтому без поддержки мобильности решение не будет современным. Основные разработчики СЭД озаботились написанием мобильных клиентов, так как это стало одним из самых распространённых требований заказчиков. Тем не менее некоторые организации не планировали и не планируют использовать мобильные клиенты из-за угроз утечки конфиденциальной информации. Причина — высокая оценка рисков либо чрезмерная стоимость действительно защищённых комплексных решений".

Наряду с мобильностью сегодня можно говорить о том, что в СЭД происходит смещение фокуса с документа на взаимодействие, коллективную работу для достижения результатов бизнеса. Данный процесс идёт уже давно, и наиболее ярко это проявляется в корпоративном секторе, отмечают в Digital Design. Применительно к задачам бизнеса коммерческие организации больше ориентированы на конечные результаты использования СЭД, а не на автоматизацию документооборота в классическом понимании, то есть процессы регистрации и учёта документов отходят на второй план. Концепция "документоориентированных" СЭД начинает размываться: в центре системы уже находятся непосредственно действия и достигнутые результаты.

Корпоративные шины поручений, коллективная работа, поддержка рабочих групп, сопровождение клиентов — передний край развития СЭД и наиболее обсуждаемые среди их производителей тенденции. За последнее время у многих лидирующих на рынке российских систем появились развитые функции соответствующего назначения, которые будут постоянно совершенствоваться.

ЭЦП И АУТЕНТИФИКАЦИЯ В СЭД

Очень важно обеспечить доверие к операциям, выполненным с мобильного устройства, и эта задача решается путём использования механизмов электронной подписи (ЭЦП), рассказывает Алексей Александров. Электронная подпись позволяет обеспечить неизменность подписанных документов и однозначно установить, кем они созданы (см. статью автора "Без росчерка пера" в ноябрьском номере "Журнала сетевых решений/LAN" за 2014 год).

"Функции электронной подписи нужны в первую очередь там, где необходимо выполнить требования законодательства и юридический статус подписи очень важен. В этих случаях для её создания используются сертифицированные криптографические средства", — поясняет Юрий Черкас, руководитель направления инфраструктурных ИБ-решений центра информационной безопасности компании "Инфосистемы Джет".

Существует несколько вариантов работы с ЭЦП на мобильном устройстве, но наиболее безопасным является использование персонального средства для формирования подписи в виде отчуждаемого модуля. Например, в случае с платформой iOS таким устройством может быть смарт-карта, подключенная через контактный или беспроводной считыватель, а для Android-устройств — обычный USB-токен (подключенный через переходник) или компактный microUSB-токен.

С помощью смарт-карты или USB-токена руководитель может аутентифицироваться в мобильном приложении, устанавливать защищённое соединение до сервера или облака, а также проверять и формировать электронную подпись на документах. Кроме выполнения двухфакторной аутентификации, эти защищённые устройства могут безопасно хранить ключи шифрования для программных СКЗИ, установленных на смартфоне или планшете, и для шифрования конфиденциальной информации, сохраненной на мобильном устройстве (см. статью автора "ЭЦП и аутентификация: сделано в России" в сентябрьском номере "Журнала сетевых решений/LAN" за 2014 год).

Функции электронной подписи и обеспечения информационной безопасности при работе с мобильной СЭД/ECM считаются одними из самых востребованных. Однако практика показывает, что на мобильных устройствах ЭЦП пока мало популярна. Видимо, это связано с тем, что её использование в документообороте ещё не получило широкого распространения даже в крупных организациях, предполагают в Digital Design. Тем не менее ряд средств, таких как "КриптоПро CSP/JCP", позволяют обеспечить сквозную поддержку применения ЭЦП в процессах документооборота, в том числе посредством мобильных устройств.

Техническую проблему представляет оптимизация трафика между СЭД и мобильным устройством при передаче данных для подписания, ведь обычно СЭД предоставляет много ненужной мобильному клиенту информации. Однако модификация передаваемого для подписи содержимого невозможна, так как это сделает ЭЦП недействительной. Поэтому на подпись приходится передавать весь контент в неизменном виде, а для оптимизации трафика искать другие пути.

Кроме того, для полноценной проверки ЭЦП на планшете необходимо встроить в приложение дополнительные средства, интегрированные с мобильным криптопровайдером. Математические алгоритмы подписи обеспечиваются средствами криптопровайдера (например, "КриптоПро"), а построение цепочки доверия для сертификатов и управление ключами — это функции, которые реализуются непосредственно в защищённом мобильном клиенте.

В любом мобильном решении, где используется сертифицированная криптография, применяется двухфакторная аутентификация. Первый фактор — само мобильное устройство, второй — PIN- код. Что касается необходимости применения физических токенов, которые привносят третий фактор, то здесь выбор за заказчиком. Например, решения Digital Design поддерживают внешние ключевые носители (токены, смарт-карты), совместимые с "КриптоПро CSP".

"Как показывает практика, сейчас многие коммерческие организации создают системы документооборота, подразумевающие обязательное согласование документов. Это делается на базе порталов Microsoft SharePoint или на основе других специализированных Web- систем. Некоторые компании используют схемы доступа через Web-браузеры (что в большей степени востребовано в банковской отрасли), и в этом случае тоже не обойтись без двухфакторной авторизации, что позволяет бизнесу быть более мобильным, — считает Юрий Черкас. — Двухфакторная аутентификация уже стала стандартом де-факто в системах удалённого доступа, где имени и пароля недостаточно для обеспечения должного уровня безопасности. Дополнительно задействуются токены, одноразовые пароли, SMS-пароли и т. д. Конечно, принимается в расчёт критичность данных. Некоторые крупные компании при помощи второго фактора осуществляют защиту удалённого доступа к корпоративным ресурсам, в том числе к электронной почте".

JC-Mobile, электронная подпись для мобильных устройств, предлагаемая компанией "Аладдин Р.Д.", позволяет организовать безопасный доступ к корпоративным системам и сервисам с мобильных устройств и обеспечивает юридическую значимость подписываемых электронных документов и производимых операций. Заказчикам предлагается целый ряд функций: cтрогая взаимная двухфакторная аутентификация, формирование усиленной квалифицированной электронной подписи и безопасное хранение ключей и цифровых сертификатов на отчуждаемом модуле безопасности (смарт-карте или токене Secure MicroSD).

Крайне желательны также механизмы удаления конфиденциальной информации. Например, в приложениях Digital Design используется защита от взлома устройства (Jailbreak, Root), многократного неправильного ввода PIN-кода и нарушения целостности дистрибутивов. При наступлении этих событий все ключи и документы удаляются, приложение блокируется и не запускается.

Что касается защиты передаваемых данных, то для устройств под управлением iOS разработчики Digital Design решают эту задачу как путём встраивания защиты в мобильное приложение, так и при помощи отдельного приложения "Защищённый туннель". Оба варианта используют реализацию протокола TLS, поставляемого в составе СКЗИ "КриптоПро CSP" для iOS. Этот протокол обеспечивает криптографическую двухстороннюю аутентификацию клиента и сервера, контроль целостности и шифрование данных в процессе информационного обмена. Применение "Защищённого туннеля" удобно тем, что позволяет защищать трафик сторонних СЭД-клиентов для iOS без какой-либо их модификации.

ГЛАВНЫЕ ПРЕПЯТСТВИЯ ДЛЯ МОБИЛЬНОСТИ

Какие технологические, организационные, законодательные проблемы препятствуют широкому распространению мобильности и, в частности, использованию мобильных устройств в системах документооборота?

Несмотря на то что многие производители систем документооборота представляют "коробочные" мобильные рабочие места, на практике стандартные мобильные клиенты подходят лишь для базовых сценариев работы и применимы в основном для небольших организаций, подчёркивают специалисты Digital Design. А для таких заказчиков стоимость мобильных клиентов может оказаться непомерно высокой — иногда она сопоставима со стоимостью СЭД в целом. Возможно, со временем удастся снизить цену стандартной функциональности до уровня ПО, продаваемого через магазины приложений, но пока — по причине невысокого спроса — разработка и поддержка таких мобильных клиентов весьма дороги.

В крупных организациях ситуация другая — там процессы документооборота существенно сложнее, СЭД обычно сильно кастомизированы, а мобильные рабочие места зачастую создаются в расчёте на конкретных топ-менеджеров, являющихся их основными пользователями. В итоге стоимость внедрения мобильных клиентов может быть довольно большой, что несколько ограничивает распространение таких решений.

Вопросы мобильной безопасности в корпоративном секторе также оказывают своё влияние: в некоторых организациях запрещается работать с корпоративной информационной системой с использованием мобильных устройств. Однако в этой области наблюдается определённый прогресс, поскольку по мере развития отечественных мобильных средств ИБ защищённость систем растёт, а риски утраты конфиденциальных данных снижаются.

"Причин, препятствующих массовому распространению мобильных клиентов в системах документооборота, может быть несколько, и в каждой организации они свои, — рассказывает Алексей Александров. — Чаще всего речь идёт о большом разнообразии устройств, их высокой стоимости, а также коротком жизненном цикле (когда каждые 8–10 месяцев выпускаются новые модели). Сюда же можно отнести вопросы обеспечения безопасности информации на мобильных устройствах и управления ими (MDM), поддержку мобильных платформ / операционных систем, наличие соответствующих сертификатов, выданных регуляторами".

УПРАВЛЕНИЕ МОБИЛЬНЫМИ УСТРОЙСТВАМИ

Насколько важна организация централизованного управления мобильными устройствами (MDM)? В Digital Design эту задачу считают очень важной, поскольку на мобильных устройствах сотрудников (особенно тех, у кого есть мобильные приложения, подключенные к информационным системам предприятия) находится множество конфиденциальных данных, в первую очередь корпоративная почта и служебные документы. Параметры и права доступа к защищённым ресурсам обычно хранятся там же.

Поэтому наличие мобильных устройств — это не только возможность эффективно работать вне офиса, но и большой риск для организации. Если раньше доступ к закрытым данным требовал проникновения в сеть компании, то сейчас немало такой информации находится "снаружи" — у сотрудников. А смартфоны и планшеты могут потеряться или быть украдены вместе со всем их содержимым. Поэтому консолидация в руках службы ИБ хотя бы таких функций, как блокировка доступа и удаление данных с мобильного устройства при его утере, может серьёзно снизить уровень угроз.

Ещё одна полезная функция централизованного управления — возможность синхронизации настроек, версий ПО и конфигурации корпоративных приложений. Устройства (если они находятся в личной собственности) меняются часто, и при замене можно сразу применить необходимые настройки и установить все нужные приложения, причём их актуальные версии.

"Если для работы с СЭД используются мобильные устройства, необходим комплексный подход, а значит, и MDM, — считает Алексей Александров. — Решение JC-Mobile, разработанное и предлагаемое компанией "Аладдин Р.Д.", — это только кубик в общей системе".

"Потребность в MDM зависит от сценария доступа. Если используются Web- технологии и на мобильном устройстве документы не сохраняются, то без внедрения MDM вполне можно обойтись, — уверен Юрий Черкас. — При наличии конфиденциальных документов на самом устройстве создание шифрованного и управляемого контейнера обязательно, и в этом случае активно используются решения MDM. Этот подход относительно легко реализовать, когда речь идёт о контроле мобильных устройств, принадлежащих сотрудникам одной компании. Однако управлять сторонними устройствами, например при поддержке мобильного банкинга, гораздо сложнее даже на организационном уровне".

Централизованное управление мобильными устройствами — очень важная задача, подтверждает Андрей Арефьев, менеджер по развитию продуктов компании InfoWatch. Использование такого оборудования при работе с электронными документами "размывает" защищённый периметр организации и создаёт предпосылки для утечки данных, которую практически невозможно отследить. Сложность состоит в огромном разнообразии версий операционных систем, аппаратных платформ и их сочетаний. То есть разработчику системы защиты мобильных устройств нужно обеспечивать поддержку большого количества версий операционных систем (Windows Phone, Android, iOS) и моделей смартфонов (Nokia, Samsung, iPhone, HTC, Blackberry и т. д.).

Есть три подхода к решению этой проблемы. В первом случае компания централизованно приобретает и раздаёт сотрудникам корпоративные мобильные устройства (Choose Your Own Device, CYOD). Сотрудники могут пользоваться только ограниченным спектром мобильных устройств с установленными на них решениями по защите информации. Детализировав правила пользования такими устройствами в корпоративной политике ИБ и настроив на них систему мониторинга, можно значительно снизить риски. Второй вариант — заказная разработка ПО под корпоративный стандарт отдельного заказчика. Третий — просто выдать (без возможности выбора) мобильные устройства с предустановленным защитным ПО.

КАЖДОМУ ПО ПОТРЕБНОСТЯМ

Как привести возможности предлагаемых решений в соответствие с реальными потребностями заказчиков? "Практика показывает, что универсального решения нет. В СЭД применяются типовые сценарии, однако есть и нюансы, и особенности. Это касается бизнес-процессов, ИТ- и ИБ-инфраструктуры, принятой у каждого отдельного заказчика, а также всех мобильных устройств, используемых сотрудниками", — поясняет Алексей Александров.

Чтобы корпоративные мобильные клиенты соответствовали реальным, а не "стандартным" (предполагаемым производителем) потребностям заказчиков, при внедрении они подвергаются кастомизации для нужд электронного документооборота, что является весьма распространённой практикой, рассказывают в Digital Design. Чаще всего адаптируется интерфейс клиента. Коннекторы же для мобильных клиентов от производителей СЭД сохраняются и могут поддерживать измененную логику бизнес-процессов СЭД.

Кроме того, существуют универсальные мобильные клиенты, потенциально подходящие к любой СЭД и уже имеющие продуманный и удобный интерфейс. В этом случае они кастомизируются на технологическом уровне — в части разработки коннекторов к определённой СЭД.

ЗАКЛЮЧЕНИЕ

В Digital Design считают, что многофункциональные мобильные АРМ весьма востребованы. Классические задачи документооборота, сводная аналитическая отчётность, предоставление данных для совещаний, контроль исполнения могут быть объединены в одном мобильном автоматизированном рабочем месте руководителя. При этом комплексное АРМ может быть реализовано посредством либо одного приложения, либо их набора, как, например, решение "Защищённая мобильность" от Digital Design. Консолидация различных функций на базе мобильных клиентов СЭД вполне логична, поскольку в корпоративном секторе давно применяются полноценные многофункциональные мобильные клиенты СЭД.

Что касается реальной потребности в мобильных СЭД среди различных групп пользователей (топ-менеджеров, руководителей подразделений и проектов, а также рядовых сотрудников), то всё зависит от их мобильности, поставленных задач и структуры самой организации. Немалое значение имеет и функциональность СЭД, которую необходимо использовать удалённо.

Кроме того, защищать нужно не отдельно взятую систему, а всю корпоративную информационную инфраструктуру. Проблему безопасности лучше решать на уровне архитектуры предприятия, а не перегружать СЭД непрофильными для неё задачами. Считается также, что основные угрозы для СЭД — внутренние, в частности утечки данных по вине допущенных к документам сотрудников. Это требует соответствующих организационных мер, реализация которых подчас оказывается эффективнее, чем внедрение многоступенчатых процедур по управлению доступом или сложных технических решений DLP.