Информационная безопасность и электронный документооборот
0 likes966 views
Павел Смирнов, заместитель начальника отдела разработок, КТН, Крипто Про. Сессия: Бизнес-фокусы. Конференция «Оптимизация бизнес-процессов межкорпоративного документооборота». Организатор: ООО «КОРУС Консалтинг СНГ», http://www.esphere.ru/ Дата проведения: 24 апреля 2015 года, пятница Место проведения: Санкт-Петербург, пл. Победы, д. 1, отель Park Inn by Radisson, Пулковская.
More Related Content
What's hot (20)
Viewers also liked (12)
Similar to Информационная безопасность и электронный документооборот (20)
More from Корус Консалтинг СНГ (20)
Информационная безопасность и электронный документооборот
- 1. ИБ и ЭДО Смирнов Павел Зам. начальника отдела разработок, к.т.н. ООО «КРИПТО-ПРО» © 2000-2015 КРИПТО-ПРО
- 2. Краеугольные камни ИБ © 2000-2015 КРИПТО-ПРО 2 Конфиденциальность ЦелостностьДоступность • Комплексный подход • Защита начинается на этапе проектирования
- 3. Характерные для ЭДО аспекты защиты © 2000-2015 КРИПТО-ПРО 3 • Угрозы: кража, перехват, перенаправление … • Ответ: защита от НСД, шифрование Конфиденциальность • Угрозы: искажение, уничтожение, отказ от авторства, юридическая ничтожность … • Ответ: защита от НСД, электронная подпись Целостность Защищаемый элемент - документ
- 4. Применение криптографии в ЭДО © 2000-2015 КРИПТО-ПРО 4 • Шифрование каналов связи • Шифрование документов • При передаче • При хранении • Электронная подпись документов
- 5. КриптоПро CSP © 2000-2015 КРИПТО-ПРО 5 • Наиболее распространённое в России сертифицированное средство ЭП Популярность • Windows, LSB Linux, ALT Linux, AIX, Solaris, Mac OS X, iOS, … Платформы • Флеш-диск, Rutoken, eToken, Jacarta, Магистра, другие смарт-карты, HDD, Touch-Memory, … Ключевые носители • С 2001 года, выпущено десять версий, получено более сорока сертификатов ФСБ Постоянное развитие • Более 20 продуктов нашей разработки, сотни продуктов партнёров Экосистема продуктов и решений
- 6. КриптоПро CSP Примеры интеграции © 2000-2015 КРИПТО-ПРО 6
- 7. Недостатки традиционного подхода © 2000-2015 КРИПТО-ПРО 7 “Каждая система безопасна настолько, насколько безопасно ее самое слабое звено.” Б.Шнайер, Н.Фергюсон “Практическая криптография” (2003) Основные слабости: • Утрата и кража ключевых носителей • Невозможность контроля среды функционирования криптосредства на рабочем месте клиента
- 8. «Облачная» ЭП – что хочется © 2000-2015 КРИПТО-ПРО 8 Исключить установку и использование средств ЭП на рабочем месте пользователя • Любой компьютер, в любой точке мира, на любой платформе • Массовый, неквалифицированный пользователь • Не требуется контроль среды функционирования криптосредства на рабочем месте клиента Исключить хранение ключа ЭП непосредственно у владельца • Не имею и не теряю • Невозможность компрометации ключа ЭП владельцем
- 9. «Облачная» ЭП. Требования к защите ключа © 2000-2015 КРИПТО-ПРО 9 Должна обеспечивать доверенное хранение и использование ключей электронных подписей • Доказываемое исключение из числа нарушителей любого сотрудника оператора «облачной» технологии, включая администраторов системы • Гарантированная защита от компрометации ключей по любым каналам атак • Доверенная среда функционирования средства ЭП, использующего ключи ЭП пользователей
- 10. «Облачная» ЭП. Требования к аутентификации © 2000-2015 КРИПТО-ПРО 10 Должна реализовывать надежную и оцениваемую систему аутентификации владельца сертификата • Доказываемая аутентификация в рамках принятой модели нарушителя и модели угроз • Несколько способов многофакторной аутентификации владельцев ключа электронной подписи • Использование резервных методов аутентификации
- 11. Структурная схема «КриптоПро DSS» © 2000-2015 КРИПТО-ПРО 11 HSM: СКЗИ и хранилище ключей ЭП Сервер электронной подписи КриптоПро УЦ Сервер системы ЭДО Подсистема взаимодейст вия с УЦ Подсистема аутентифика ции API интеграции с ЭДО Защищённость от нарушителя с возможностями Н5 (КВ2) Функционал рабочего места Оператора УЦ Стандартизованный интерфейс (веб-сервис) 1. ОТР по SMS с визуализацией подписываемого контента 2. Генератор одноразовых паролей 3. Токен или смарт-карта 4. Подключение других способов Подсистема защиты от НСД
- 12. Пример подписания документа с аутентификацией «OTP по SMS» © 2000-2015 КРИПТО-ПРО 12
- 13. Европейский опыт «облачной» ЭП: Законодательство © 2000-2015 КРИПТО-ПРО 13 Директива 1999/93/EC • Не затрагивает вопросы «удалённой» подписи • Отменяется с 1 июля 2016 года Постановление 910/2014 • Создание и использование ключей квалифицированной подписи можно доверить третьей стороне • Сервер квалифицированной подписи должен управляться аккредитованным поставщиком услуг
- 14. Европейский опыт «облачной» ЭП: Техническое регулирование © 2000-2015 КРИПТО-ПРО 14 Содержит требования и рекомендации к серверам электронной подписи • Уровень 1: усиленная ЭП. • Уровень 2: квалифицированная ЭП. “Security Requirements for Trustworthy Systems Supporting Server Signing” CEN TS 419241 (14 октября 2013г)
- 15. Европейский опыт «облачной» ЭП: Практическое применение © 2000-2015 КРИПТО-ПРО 15 Испания Норвегия Австрия Италия
- 16. Любые устройства Любые платформы Любые браузеры Безопасность Что нужно пользователю технологии ЭП? КриптоПро DSS!
- 17. КРИПТО-ПРО – ключевое слово в защите информации http://www.cryptopro.ru info@cryptopro.ru spv@cryptopro.ru Тел./факс: +7 (495) 995-48-20 СПАСИБО ЗА ВНИМАНИЕ!