Bezpieczne przechowywanie dokumentów: szyfrowanie i kontrola dostępu

Dokumenty firmy to dane, które trzeba chronić

W archiwum firmy leżą umowy, faktury, akta pracownicze i korespondencja z klientami, a w nich dane osobowe, tajemnice handlowe i zobowiązania. Bezpieczne przechowywanie dokumentów nie polega więc na tym, żeby je gdzieś odłożyć. Chodzi o to, żeby trafiały wyłącznie do osób, które ich potrzebują, i żeby nikt nie mógł ich odczytać z pominięciem systemu.

Zagrożenia rzadko wyglądają jak w filmie. Częściej jest to kopia bazy danych, która trafiła w niepowołane ręce, wymieniony dysk, konto z uprawnieniami szerszymi, niż wymaga praca, albo link do pliku, który działa latami. RODO wymaga od firmy odpowiednich środków technicznych i organizacyjnych, a jako przykład takiego środka wprost wymienia szyfrowanie danych osobowych (art. 32 RODO).

Dlatego ochrona dokumentów opiera się na dwóch warstwach, które się uzupełniają:

• szyfrowanie chroni dane wtedy, gdy ktoś sięga po nie z pominięciem systemu, na przykład przez kopię bazy danych;
• kontrola dostępu decyduje, kto i co może zobaczyć oraz zrobić w samym systemie.

Do tego dochodzi ślad, który pokazuje, kto sięgnął po dokument. Poniżej opisujemy, jak każda z tych warstw działa w CONTMAN Archive.

Szyfrowanie dokumentów: dane nieczytelne poza systemem

Szyfrowanie zamienia treść pliku w ciąg bajtów, z którego bez klucza nic nie da się odczytać. Działa w dwóch miejscach: na połączeniu, którym dokument wędruje między przeglądarką a serwerem, i tam, gdzie dokument jest zapisany. O jego skuteczności decydują klucze: jeśli leżą razem z danymi, kopia danych zawiera też sposób na ich odczytanie.

W CONTMAN Archive:

• Połączenie z archiwum jest szyfrowane (HTTPS). Logowanie w aplikacji działa wyłącznie w bezpiecznym połączeniu.
• Szyfrowanie plików włączasz w wybranej kategorii dokumentów. Od tej chwili każdy nowy plik w tej kategorii i wszystko, co z niego powstaje (podgląd PDF, miniatury, wyodrębniony tekst, raporty weryfikacji podpisu), jest przechowywane w postaci zaszyfrowanej algorytmem AES-256-GCM.
• Dla użytkownika nic się nie zmienia: plik pobiera się i ogląda jak zwykle, a jego treść nadal można przeszukiwać po całych słowach.
• Nowe pliki w teczkach pracowniczych CONTMAN HR są szyfrowane zawsze, tak jak imię, nazwisko, numer PESEL i numer dokumentu tożsamości w kartotekach osobowych pracowników.
• Pole opisu dokumentu możesz oznaczyć jako „Dane wrażliwe”. Jego wartości są wtedy przechowywane w bazie w postaci zaszyfrowanej, także w historii dokumentu.
• Kopia zapasowa nie zawiera klucza głównego instalacji: skrypt kopii zapisuje go osobno, a operator przechowuje go z dala od kopii baz danych.

Co to daje w praktyce? Zaszyfrowane pliki i dane są nieczytelne w zrzucie lub replice bazy danych, w kopii zapasowej, w kopii dysku czy magazynu plików wykonanej bez kluczy instalacji. Ważne są też granice: pliki zapisane przed włączeniem szyfrowania pozostają jawne, dopóki operator instalacji ich nie przekształci, a szyfrowanie nie chroni przed przejęciem samego serwera, na którym działa archiwum i na którym są klucze. Niczego też nie ukrywa przed uprawnionymi: kto ma prawo czytać dokument, widzi jego dane normalnie. Właśnie dlatego potrzebna jest druga warstwa.

Kontrola dostępu do dokumentów: każdy widzi tylko to, czego potrzebuje

Dobra kontrola dostępu opiera się na zasadzie najmniejszych uprawnień: każdy dostaje dokładnie tyle dostępu, ile wymaga jego praca, a domyślnie nie dostaje go wcale. Dostęp nadaje się punktowo, do rodzaju dokumentów i do konkretnej czynności, a nie „do całego archiwum”.

W CONTMAN Archive:

• Uprawnienia nadajesz w rolach, osobno w każdej kategorii dokumentów. Każda kategoria ma 12 osobnych uprawnień, między innymi „Odczyt dokumentów”, „Edycja dokumentów”, „Usuwanie dokumentów”, „Pobieranie i podgląd plików” i „Udostępnianie dokumentów linkiem”. Możesz więc pozwolić komuś czytać opis umowy bez prawa do podglądu i pobrania jej pliku.
• Utworzenie nowej kategorii nie nadaje nikomu uprawnień. Kto ma do niej dostęp, wskazujesz w rolach.
• Wyszukiwarka respektuje uprawnienia. Kto nie ma prawa do kategorii, nie zobaczy jej dokumentów także w wynikach wyszukiwania: nie dostaje odmowy, po prostu ich tam nie ma.
• Logowanie opiera się na OpenID Connect, czyli na tym samym koncie, którym firma loguje się do innych systemów. Archiwum nie przechowuje haseł, a role przypisuje osobom usługa logowania Twojej organizacji.
• Zmiana ról, kategorii czy reguł przechowywania wymaga trybu administracyjnego, który włącza się, logując się ponownie w oknie „Potwierdź tożsamość”.
• Dokument przekażesz osobie bez uprawnień linkiem, ale pole „Ważny do” jest obowiązkowe, a link unieważnisz w każdej chwili, natychmiast i nieodwracalnie.

Rozliczalność: wiesz, kto, co i kiedy

Kontrola dostępu jest kompletna dopiero wtedy, gdy zostawia ślad. Pozwala on sprawdzić, kto sięgnął po dokument, i wykazać to przy kontroli lub audycie.

W CONTMAN Archive:

• Zakładka „Historia” dokumentu zapisuje między innymi jego otwarcia, wyświetlenia na liście, zmiany opisu, wgrania i pobrania pliku oraz udostępnienia, a przy każdym zdarzeniu widać, kto działał.
• Pobranie pliku i wczytanie podglądu trafiają do historii razem z numerem wersji, więc wiadomo, kto, kiedy i którą treść oglądał.
• Każde otwarcie i pobranie dokumentu przez link to osobny wpis w historii.
• „Dziennik uprawnień” pokazuje, kto, co i kiedy zmienił w rolach i uprawnieniach. Wpisy zapisuje system i nie można ich zmienić ani usunąć, a wpis powstaje w tej samej operacji co zmiana, więc zwykła praca w aplikacji nie zmieni uprawnień bez śladu.

Integralność: wersje, których nic nie nadpisuje

Bezpieczeństwo to także pewność, że dokument jest tym, czym był. CONTMAN niczego w przechowywanym pliku nie nadpisuje: każde wgranie, zastąpienie i przywrócenie pliku tworzy nową, niezmienną wersję, a numery wersji nigdy się nie zmieniają.

Lista kontrolna: o co zapytać dostawcę archiwum dokumentów

Wybierając system do przechowywania dokumentów, zadaj dostawcy kilka pytań:

• Czy połączenie z archiwum jest zawsze szyfrowane?
• Czy pliki i dane wrażliwe są zaszyfrowane także tam, gdzie są zapisane, i jakim algorytmem?
• Gdzie są klucze i czy kopię bazy danych da się odczytać bez nich?
• Czy uprawnienia nadaje się osobno dla rodzaju dokumentów i dla czynności, a nowy rodzaj dokumentów jest domyślnie zamknięty dla wszystkich?
• Czy wyszukiwarka pokazuje tylko dokumenty, do których dana osoba ma prawo?
• Czy każde otwarcie, podgląd i pobranie dokumentu zostaje w historii?
• Czy zmiany uprawnień trafiają do dziennika, którego nie da się zmienić?
• Czy linki do udostępnionych dokumentów wygasają i czy można je unieważnić?
• Czy pliki mają wersje, których nic nie nadpisuje?

Szyfrowanie i kontrola dostępu działają razem

Żadna z tych warstw nie wystarcza sama. Szyfrowanie bez kontroli dostępu chroni kopie, ale nie decyduje, kto zobaczy dokument w systemie. Kontrola dostępu bez szyfrowania pilnuje systemu, ale nie obroni kopii bazy, która wyszła poza niego. Dopiero razem, z historią każdego odczytu, dają archiwum, któremu można powierzyć umowy, faktury i akta pracownicze.

Więcej o tym, jak CONTMAN Archive łączy się z obiegiem dokumentów, podpisem i teczkami pracowniczymi, przeczytasz w tekście o systemie do zarządzania dokumentami CONTMAN. Umów prezentację CONTMAN Archive, a pokażemy, jak w praktyce wyglądają szyfrowanie kategorii, role i historia dokumentu.