Администрирование электронной почты
То, как организация оперирует электронной почтой, также важно, как и использование системы. Правила безопасности и инструкции при подходящем случае становятся темой судебных процессов, основанием для жалоб и прочих хлопот, которые мешают работе организации или пользователей.
Другие аспекты работы с электронной почтой, будь то содержание посланий или их обработка, обычно не воспринимаются серьезно. А они являются реальными вопросами, так как находят порой отражение в скандальных делах и проблемах, связанных с электронной почтой и отражающихся на безопасности организации. Правила безопасности электронной почты должны устанавливать определенные обязанности и для пользователя, и для администратора.
Следует заметить, в этом разделе речь идет о том, что организация сама управляет собственными службами электронной почты. Если организация пользуется внешними услугами для обеспечения работы электронной почты, то следует проверить контракт, чтобы убедиться, что провайдер услуг управляет системами электронной почты в соответствии с принятыми в организации правилами. Однако, если организация пользуется онлайновыми услугами провайдера, такого как AOL (America Online), то правила будут регламентировать, в основном, пользование этими услугами и почти не затрагивать администрирование.
Архивирование электронной почты
Не стоит легкомысленно относиться к хранению и обновлению заархивированной электронной почты, поскольку если бы компания Microsoft руководствовалась собственными правилами, то сообщений, используемых правительством, могло бы уже и не существовать. Это не означает, что автор книги поддерживает использование электронной почты для якобы незаконной деятельности. Но если организация собирается разработать правила, то следует позаботиться, чтобы они были реалистичными, и руководствоваться ими в работе.
Правила архивирования и хранения содержат два компонента. Во-первых, нужно декларировать, что электронная почта будет архивироваться. Во-вторых, необходимо установить временные параметры хранения электронной почты. Также, как это делалось при разработке других правил, лучше было бы перенести вопросы, касающиеся используемых типов памяти и объемов хранимой информации, в документы по внедрению. Однако, необходимо включить в правила некоторые указания.
Организация должна сохранять и архивировать все сообщения электронной почты, которые проходят через ее сервер. Архив должен храниться на включенном в сеть запоминающем устройстве. Администраторы должны переносить архивированные сообщения на автономное запоминающее устройство каждые шесть месяцев, удаляя эти сообщения из оперативных запоминающих устройств.
Организация должна сохранять сообщения на этом автономном запоминающем устройстве, по крайней мере, два года, но может, по решению руководства, хранить его и дольше. Сообщения на автономном запоминающем устройстве должны быть стерты, или носитель должен быть уничтожен в соответствии с принятой для этого носителя технологией.
Некоторые более крупные организации, в особенности правительственные подрядчики, могут столкнуться с проблемами при создании единого правила для архивирования и хранения. От них, на основании контракта, могут потребовать руководствоваться правилами, отличными от тех, которые разработаны в организации. В таком случае организация может включить следующую формулировку в правила.
Организация должна дополнить правила, чтобы удовлетворить требования контракта, но без пересмотра правил. Данные изменения должны касаться только тех полъзователей, которые выполняют работу по настоящему договору, и организация должна уведомить этих пользователей о внесенных изменениях до их внедрения.
Цифровая подпись электронной почты
Еще одна особенность в использовании электронной почты заключается в том, что сообщение может быть сформировано, не показывая реального отправителя. Это называется спуфингом или имитацией соединения. Несмотря на то, что он используется теми, кто отправляет по собственной инициативе большое количество незатребованных сообщений (широковещательная рассылка сообщений), этот метод можно также использовать в качестве средства промышленного шпионажа. По такому сценарию сообщения отправляются пользователям организации так, будто они приходят из знакомого источника, пытаясь спровоцировать пользователей на отправку в ответ патентованной информации.
Пользователи могут установить контакт с подозрительным адресатом, запрашивающим информацию, чтобы убедиться в том, что запрос отправлен именно этим пользователем. Но культура электронной почты настолько доверительна, что такую операцию выполняют очень редко. Единственный способ гарантировать, что сообщение является корректным запросом, — сопроводить сообщение цифровой подписью. Цифровые подписи являются составной частью системы шифрования, которая использует криптографические алгоритмы для создания числовой величины, уникальной для вашего сообщения. Как и шифрование, правила управления цифровыми подписями лучше ввести в документы правил шифрования. Опять-таки, можно вставить дежурную формулировку в правила безопасности.
Любой запрос на патентованную информацию должен сопровождаться цифровой подписью, и зта подпись должна сверяться.
Пользователи, пересылающие патентованную или секретную информацию, должны "подписывать" сообщения цифровой подписью, чтобы продемонстрировать получателю, что сообщение, легитимно и зарегистрировано.
Использование цифровой подписи должно осуществляться в соответствии с принятыми в организации правилами шифрования.
Использование электронной почты для конфиденциального обмена информацией
Не любого легко убедить, что сообщения электронной почты являются электронным эквивалентом почтовых открыток. Информация, которая передается через Internet, проходит в виде читабельных байтов, доступных каждому, кто может их считать. Поскольку трафик проходит от одной сети к другой, вероятность того, что кто-нибудь прочитает сообщение, увеличивается. Кроме того, если сообщение по ошибке попадает не в тот почтовый ящик, то можно непреднамеренно раскрыть информацию, которую раскрывать нельзя.
После того, как сообщение покидает систему, отправитель не может контролировать, кто может прочитать сообщение, и даже не знает, попало ли оно по назначению. По этой причине некоторые организации создают правила, которые не разрешают отправлять по электронной почте конфиденциальную или патентованную информацию. В других организациях принимают правила, разрешающие пользователям пересылать конфиденциальную информацию только внутри организации, но запрещающие отправлять такую информацию сторонним пользователям.
Обработка электронной почты
Клиент стал беспокоиться о разработке правил эксплуатации электронной почты после того, как бывший служащий затеял судебный процесс против организации. Это была небольшая компания, насчитывающая менее 70 пользователей, и вопрос касался добавления в правила информации об архитектуре. После изучения этого запроса автор книги получил копию приказа о смещении с должности системного администратора. Юрист истца запрашивал, каким образом организация управляет маршрутизацией электронной почты, и записано ли это в правилах безопасности.
Автор книги просмотрел приказ об увольнении и другую вспомогательную документацию и пришел к выводу, что в системе, построенной на самой передовой архитектуре, можно найти детали, которые могут стать уликами против организации. Автору пришлось написать формулировку правил, которая позволяла бы организации разработать архитектуру системы, но такую, чтобы ее технические решения не могли стать зацепкой в суде. Она выглядела следующим образом.
Системные администраторы и администраторы безопасности должны совместно разработать архитектуру системы электронной почты таким образом, чтобы обеспечить надлежащую доставку сообщений как внутри организации, так и в Internet. Помимо всего прочего эта система должна допускать использование посреднических программ, переадресации, шлюзов и ручного вмешательства в управление этой службой.
Несмотря на то, что данная формулировка очень обобщенная, она удовлетворяет любое архитектурное решение и удовлетворит юристов организации.
Ограничение размеров сообщений электронной почты
Пользователи электронной почты сильно способствуют пользователям сети в создании изощренных сообщений и, тем самым, пересылке большого объема данных тем, что отправляют почту, присоединяя к сообщению файлы, хранящиеся в системе или сети. С каждым новым форматом файлов объем информации, заполняющей полосу пропускания сети, увеличивается. В одном хорошо известном университете установили, что больше половины сообщений электронной почты, проходящих через его серверы, содержали вложения, записанные в новейшем и популярном аудиоформате.
Это проблема не только университетов. В некоторых организациях было замечено, что пользователи посылали документы коллегам по электронной почте, не используя сетевые файловые серверы в качестве общего запоминающего устройства. Для управления ресурсами, используемыми электронной почтой, в некоторых организациях обновляют правила безопасности электронной почты, включая в них ограничения на размер пересылаемого файла.
Правило ограничения размеров сообщений электронной почты может просто сводиться к тому, чтобы запретить отправлять сообщение, превышающее определенный размер. Однако, бывают случаи, когда необходимо сделать исключение. В одной из организаций, с которой сотрудничал автор книги, библиотекарю нужно было отправлять и получать объемные сообщения от клиентов. Организации необходимо было иметь более гибкие правила, а не просто установить для всех одинаковое ограничение размера сообщения. Поэтому они приняли решение разработать правило, включающее формулировку, в которой говорилось, что руководство может делать исключения. Формулировка выглядела следующим образом.
Размер сообщений электронной почты, отправляемых и получаемых пользователями, в целом, не должен превышать 40 Кбайт. Исключения делаются для пользователей, условия работы которых требуют больших размеров сообщений. Администратор должен расматриватъ и разрешать исключения индивидуально.
Правила безопасности электронной почты
Мы быстро внедряем новые технологии, если они служат улучшению коммуникаций. Бурное развитие электронной почты только подтверждает это. Но электронная почта не является панацеей для всех. Помимо того, что электронная почта облегчает обмен информацией между людьми, ее используют для пересылки конфиденциальной информации, она является источником беспокойства для других пользователей, вовлечения их в нелегальную деятельность, а также ее информация может служить уликами против компании в судебных процессах.
За последние годы действительно было несколько судебных процессов, которые основывались на доказательствах, извлеченных из архивов электронной почты. Недавно в антимонопольном судебном процессе Соединенные Штаты против компании Microsoft государственные юристы использовали заархивированную электронную почту администрации Microsoft в качестве улики против компании Microsoft. Это заставило многих сфокусировать внимание на правилах использования и обработки отправленной и принятой электронной корреспонденции.
Электронное послание является эквивалентом почтовой карточки. По этой причине требуются особые подходы к электронной почте. При разработке правил безопасности электронной почты организация должна рассмотреть массу вопросов, начиная с архивного хранения и заканчивая инструкциями по оформлению содержимого посланий.
Правила использования электронной почты
Электронная почта появилась одновременно с Internet. Сообщения отправляются практически в реачьном времени и совершенно ненавязчиво. Получатель не должен немедленно читать сообщение, потому что это не телефонный звонок. Такой подход даст отправителю возможность тщательно сформулировать сообщение.
Но эта "освященная веками" пересылка информации накладывает определенную ответственность, о чем не должны забывать разработчики правил безопасности. При создании правил безопасности электронной почты рекомендуется, чтобы основные правила работы и инструкции, которыми должны руководствоваться пользователи, были изложены в правилах безопасности электронной почты в первую очередь. Один клиент решил, что для привлечения внимания пользователей ему стоит включить "Десять заповедей использования электронной почты". Использование формулировок правил безопасности такого типа представляет собой творческий путь создания впечетляющих правил, предписания которых будут выполняться. Хотя пришлось их подредактировать, чтобы соблюсти конфиденциальность клиента, ниже представлены эти заповеди.
1. Вы должны оказывать то же уважение, что и при устном общении.
2. Вы должны проверять правописание, грамматику и трижды перечитывать свое сообщение перед отправлением.
3. Вы не должны участвовать в рассылке посланий, пересылаемых по цепочке (чаще всего это письма религиозно-мистического содержания).
4. Вы не должны по собственной инициативе пересылать по произвольным адресам незатребованную информацию.
5. Вы не должны рассылатъ сообщения, которые являются зловредными, раздражающими или содержащими угрозы.
6. Вы не должны отправлять никаких сообщений противозаконного или неэтичного содержания.
7. Вы должны помнить, что электронное послание является эквивалентом почтовой открытки и не должно использоваться для пересылки секретной информации.
8. Вы не должны использовать широковещательные возможности электронной почты за исключением выпуска уместных объявлений.
9. Вы должны свести к минимуму количество электронных посланий личного характера.
10. Вы должны неукоснительно соблюдать правила и инструкции и помогать администраторам бороться с нарушителями правил.
Сообщения электронной почты являются эквивалентом
Сообщения электронной почты являются эквивалентом почтовых открыток. По этой причине требуются особые подходы при разработке правил безопасности электронной почты. При разработке правил безопасности электронной почты организация должна рассмотреть массу вопросов, начиная с архивного хранения и заканчивая инструкциями по оформлению содержимого посланий.
1. Правила использования электронной почты.
Правила должны быть разработаны так, чтобы они способствовали ответственному подходу при пользовании электронной почтой, которая способствует достижению целей организации и отвечает требованиям бизнеса.
Некоторые положения, которые необходимо включить в правила, касаются культуры пользования, содержания сообщений, общего отношения к электронной почте и подчинения правилам безопасности.
2. Администрирование электронной почты.
Правила, описывающие администрирование электронной почты, определяют действия организации при управлении системой электронной почты.
Правила администрирования должны устанавливать право сканирования сообщений, проходящих через систему электронной почты. Это сканирование может проводиться для поиска вирусов или проверки содержимого сообщений. Независимо от типа сканирования необходимо сформулировать правило, в котором говорится, что организация проводит сканирование.
Правила эксплуатации электронной почты могут включать в себя механизмы по ограничению размеров сообщений, чтобы не допустить перегрузки серверов и полосы пропускания сети.
Чтобы смягчить другие проблемы, организация может захотеть включить в правила положения, позволяющие использовать программы-посредники, шлюзы и другие средства поддержки пересылки сообщений. В этих правилах не должно быть указания на то, что сообщения фильтруются или сохраняются.
Если сообщения электронной почты архивируются, необходимо это отметить в правиле, в котором будут отражены основные детали того, как будет проводиться архивирование. В данном правиле также должны быть обозначены сроки хранения и потенциальные исключения из правил.
3. Использование электронной почты для конфиденциального обмена информацией.
Правило обмена конфиденциальной информацией включает в себя предписание шифровать сообщения перед их пересылкой и "подписывать" их цифровыми подписями.
Правила шифрования фактически не относятся к правилам безопасности электронной почты. Поэтому в правила безопасности электронной почты должна быть включена формулировка, адресующая пользователя к предписаниям принятых в организации правил шифрования.
Шифрование электронной почты
Третьим вариантом является разработка правила, требующего шифровать перед отправлением конфиденциальную и патентованную информацию. Зашифрованное сообщение может быть прочитано только тем получателем, кому оно предназначено. Однако, использовать шифрование и оперировать им нужно обдуманно. Существует много вопросов, таких как распределение ключей, возврат ключей и ограничение пересылки ключей, которые выходят за рамки правил работы с электронной почтой. Несмотря на то, что правила шифрования будут рассмотрены позже (см. главу 9 "Шифрование"), в правила безопасности электронной почты можно включить формулировку, подобную следующей.
Патентованная информация, отправляемая сторонним пользователям, должна шифроваться перед отправлением. Использовать шифрование нужно, руководствуясь действующими в организации правилами шифрования информации.
Сканирование электронной почты
Последние несколько лет электронная почта использовалась для распространения вирусов в Internet. Для борьбы с такими проблемами многие администраторы устанавливают в своих сетях средства сканирования вирусов. Это может оказаться хорошим решением, но существует ли правило для установки таких средств? В нашем противоречивом мире могут и не разрешить что-то делать с информацией, извлеченной без разрешения, записанного в официальном документе.
Правила сканирования содержимого позволяют организации просматривать содержимое сообщений. По разным причинам некоторым организациям необходим контроль содержимого электронной почты, чтобы предотвращать проблемы или утечку конфиденциальной информации. Проблема заключается в том, что правила сканирования содержимого задевают этические проблемы. Ощущение такое, словно организация заглядывает через плечо пользователям, поскольку она им не доверяет. В некоторых организациях, которые создавали в коллективе "семейную" атмосферу, было заметно, что коллектив не одобряет эту практику. В других организациях это воспринималось как необходимое зло.
Решение заключается в составлении формулировки правил, которая позволит организации сканировать всю электронную почту с учетом целей, которые поставлены успешным проведением бизнеса. Если организация проводит сканирование в поисках вирусов или других проблем, то это должно быть оговорено в правилах. Независимо от правил, если организация приняла решение сканировать электронную почту, то должно быть что-то вроде открытого доступного документа, в котором разъясняется, с какой целью проводится сканирование.
Для проведения сканирования в поисках вирусов формулировка правил может быть следующей.
Организация должна сканировать каждое сообщение электронной почты, которое проходит через сервер, чтобы проверить его на наличие компьютерных вирусов, "червей" или других исполняемых файлов, которые представляют угрозу безопасности сети. Инфицированная электронная почта не должна доставляться пользователю.
Администраторы должны разработать процедуры обработки инфицированных сообщений электронной почты.
Для сканирования содержимого формулировка может быть такой.
Организация имеет право сканировать содержимое каждого сообщения электронной почты, которое проходит через ее серверы, на основе заранее установленных критериев. Если сообщение не соответствует критериям, то оно не должно доставляться полъзователю.
Администраторы должны разработать процедуры для обработки забракованных сообщений. Руководство должно располагать средствами для внедрения таких правил, включая, помимо всего прочего, дисциплинарные меры для пользователей или правовые санкции для лиц, не являющихся пользователями.
И, наконец, к любому разделу можно добавить следующее.
Организация должна сделать доступным перечень того, что будет сканироваться на сервере.
Введение права на контроль электронной почты
Самое распространенное приложение Internet может оказаться и самым опасным. Электронная почта может использоваться для пересылки секретных данных, оскорблений и создавать проблемы для службы безопасности. Все проблемы можно решить, если организация контролирует трафик электронной почты и содержимое посланий, а также архивирует сообщения, чтобы в будущем можно было разобраться в возникшей проблеме. Если в чем-то вы сомневаетесь, то необходимо проконсультироваться с юристом, чтобы выяснить, что законно, а что противопоказано в этой работе. Если этого не делать, то право на мониторинг, так же как весь режим работы электронной почты и архивирование сообщений пользователей, должно быть установлено правилами безопасности, а периодический просмотр электронной почты может быть основой контроля за их соблюдением.
