При использовании электронной почты, как канала передачи важной, конфиденциальной информации, возникает ряд проблем, связанных с надежной защитой такой информации от несанкционированного просмотра. Специалисты по информационной безопасности во всем мире сталкиваются с проблемой безопасной пересылки данных и документов, прикладываемых к электронным сообщениям.

Какие решения предлагает рынок? Что подойдет крупным и средним организациям, а что мелким и частным лицам?

В мире существует ряд компаний, предлагающих различные решения по защите сообщений и вложений электронной почты от несанкционированного просмотра и использования. В данной статье будут рассмотрены некоторые из них с последующими оценками по нескольким параметрам.

Что предлагает рынок

Условно все предложения на рынке можно разделить на корпоративные системы (Тип 1) и веб-сервисы (Тип 2).

Анализ предложений

1. Первоочередной задачей является защита e-mail сообщений и вложений от несанкционированного просмотра. Для этого применяется шифрование информации и ее привязка к определенному объекту. Предполагается, что при отсутствии объекта привязки информацию прочитать невозможно. Все корпоративные системы реализуют такой функционал. Что же касается веб-сервисов, то некоторые из них отправляют получателю письмо в незашифрованном виде. Проверка получателя осуществляется по логину и паролю, дающим доступ на скачивание защищенного сообщения к себе в почтовый клиент.

2. Чрезвычайно важно иметь возможность отправлять письмо в сторонние организации, неизвестным получателям. В этом случае становится невозможно использовать стандартные DLP системы предприятий, а сама защита должна быть встроена в письмо. Это позволяют сделать все корпоративные системы защиты электронной почты и почти все веб-сервисы.

3. Возможность отправлять защищенный ответ практически не встречается в предлагаемых рынком системах.

4. Если компания не хочет использовать сторонние почтовые сервера, а желает развернуть систему на своих мощностях, то такой функционал предусматривают только некоторые корпоративные системы, но не веб-сервисы. В то время, как для частных лиц и мелких компаний, скорее всего, будет интересным предложение воспользоваться внешним сервером защиты почты и не тратить время и деньги на установку такого сервера к себе.

5. Возможность отслеживать статистику использования защищенного сообщения может быть интересна в маркетинговых целях или в условиях, когда полного доверия адресату нет. В этом случае отправитель увидит кто, когда и где получил доступ к письму и может использовать эту информацию для защиты своих интересов.

6. С предыдущим пунктом тесно связана возможность накладывать определенные ограничения на использования защищенного сообщения и вложения. Например, отправитель желает чтобы письмо было доступно только в течении 1 часа с момента первого открытия. Или необходимо ограничить регион распространения только одной страной.

7. Защищенная информация не может быть просмотрена стандартными средствами, до тех пор, пока не встроены специальные модули, расшифровывающие сообщения и вложения. В этом случае, разработчики сервисов защиты предусмотрели возможность воспользоваться сторонними средствами просмотра. Такие средства могут идти вместе с защищенным письмом в качестве вложения или помещаться в само тело письма в виде ссылки на скачивание. На первый взгляд это покажется неудобным, но при ближайшем рассмотрении оказывается, что данный функционал чрезвычайно полезен:

• Если информация хранится у получателя в незащищенном виде, то при попадании информации третьим лицам она будет доступна им полностью. Для того чтобы хранить информацию в защищенном виде и не опасаться ее изучения даже в случае кражи, она не должна расшифровываться в процессе открытия письма. Если так, то просмотреть такую информацию позволит только специальная программа просмотра.
• Средствами специальной программы просмотра можно ограничивать такие функции как печать, скриншот и т.д.

В большинстве случаев программу просмотра необходимо установить только один раз при первом открытии письма.

8. Поддержка мобильных устройств является важной составляющей системы защиты электронных писем и вложений. Ведь в современном бизнесе все чаще используется мобильные устройства для доступа к корпоративной и конфиденциальной информации удаленно. И первый и второй тип систем предлагают специальные приложения, совместимые с мобильными ОС для просмотра защищенной почты на экране планшета или смартфона.

9. У всех систем первого типа есть поддержка Microsoft Outlook, а у некоторых, но не всех поддержка Lotus Notes. Что касается веб-сервисов, то все они без исключения позволяют просматривать защищенные сообщения только в браузере.

10. Нередко отправитель посылает вместе с сообщением вложение. И именно это вложение содержит конфиденциальную информацию. Таким образом, тело письма не нуждается в защите, а нуждается именно вложение. В большинстве случаем такая опция предлагается системами, однако не всеми. Что касается веб-сервисов, то они действуют так же как и с защитой тела письма, т.е. вложение хранится в защищенном виде на сервере провайдера, но при загрузке к клиенту оно становится незащищенным и доступно для просмотра всеми.

11. К письму прикладывают файлы различных форматов. Одно не все форматы поддерживаются для защиты. Наиболее распространенный формат pdf, так как именно он универсален и может нести в себе как текст и графику, так и мультимедийную составляющую. Таким образом, pdf является поддерживаемым форматом вложения по умолчанию для всех систем. У корпоративных систем редко встречается поддержка еще каких-либо форматов, а у веб-сервисов такой поддержки нет вообще.

12. Защита от печати и грабберов экрана (снятие скриншотов) есть только там, где существует своя программа просмотра. Веб-сервисы такого не предоставляют, а корпоративные системы предоставляют редко.

13. Так же малоиспользуемым, хотя и необходимым в ряде случаев, предложение является защита от просмотра сообщения или вложения при доступе к компьютеру получателя удаленно. Веб-сервисы не предоставляют такой возможности, а корпоративные системы делают это крайне редко.

14. Все корпоративные системы предполагают коммерческое использование. Что касается веб-сервисов, то некоторые из них предоставляют возможность бесплатного использования, но только для частных лиц и с ограниченным функционалом.

15. Для отечественного клиента важным может явиться наличие технической поддержки и справки на русском языке. У корпоративных систем это встречается редко, а у веб-сервисов нет вообще.

Мнение специалиста

Директор по маркетингу компании StarForce Technologies, Мадина Юнусова:

При разработке собственного решения мы проанализировали рынок и пришли к заключению какие методы позволяют достичь максимального эффекта для клиента:

• Простая и быстрая интеграция решения в уже существующую информационную систему организации
• Внедрение DRM функционала для удаленного контроля и защиты сообщений и вложений
• Высокая сопротивляемость взлому
• Применение контроля печати, запрет скриншотов, защита почтовых вложений – обязательны.
• Для эффективного контроля электронной корреспонденции необходимо определять политику ее использования и получать статистику просмотров.

В решениях своей компании мы применяем все вышеперечисленные инструменты.

Заключение

Все предложения значительно разнятся по функционалу, однако корпоративные системы больше подходят для использования в крупных и средних организациях, тогда как веб-сервисы скорее направлены на частных клиентов или мелкие компании. Количество предлагаемых опций способно удовлетворить даже самых «маниакальных» клиентов. Хотя, в современном мире маниакальный подход к защите информации скорее является залогом спокойствия и уверенности в будущем, нежели отрицательной чертой характера.