Directum RX позволяет шифровать документы, в которых содержится конфиденциальная информация, например договоры или проектные документы. Благодаря этому:

•содержимое документов шифруется физически сервисом хранилищ, поэтому системные администраторы, разработчики или даже злоумышленники – те, кто получил доступ к хранилищу документов или его резервным копиям, – не смогут расшифровать документы. Данные надежно защищены от утечки, например при краже оборудования. Подробнее см. в разделе «Схема шифрования документов»;

•сотрудники, входящие в предопределенные роли «Аудиторы» и «Администраторы», у которых обычно есть права на все объекты системы, в Directum RX не смогут работать с содержимым зашифрованных документов. Содержимое доступно этим сотрудникам, только если им явно выдать права доступа. При этом сотрудники работают с зашифрованными документами так же, как с обычными: создают версии, отправляют на согласование, подписывают и т.д. Для шифрования им нужны полные права доступа, и есть небольшие ограничения. Подробнее см. в разделе «Шифрование документов».

Примечание. Возможность шифрования доступна, если система установлена локально или в частном облаке. По умолчанию в Directum RX шифрование документов отключено.

Чтобы настроить шифрование документов:

1.Разверните сервис ключей. По умолчанию он не устанавливается со всеми компонентами. Настройки сервиса ключей задаются при развертывании, список параметров можно посмотреть в примере конфигурационного файла full_config.yml.example. Дополнительно в конфигураторе Directum Launcher на сервере, где установлен сервис хранилищ, необходимо задать параметр KEY_DERIVATION_SERVICE_ADDRESS для подключения к сервису ключей.

На компьютер с сервисом ключей устанавливаются также сертификаты для шифрования данных, настраивается папка для запиcи лог-файлов.

2.Выберите алгоритм, по которому будут шифроваться документы. Для этого добавьте параметр DATA_ENCRYPTION_ALGORITHM_OID и укажите в нем идентификатор нужного алгоритма.

важно. Для шифрования документов по ГОСТ-алгоритмам на сервисе хранилищ требуется установка КриптоПро CSP версии 5.0 и выше. Если вместе с ГОСТ-алгоритмом симметричного шифрования используются и ГОСТ-сертификаты для шифрования секретов сервиса, то на сервисе ключей также требуется установка КриптоПро CSP версии 5.0 и выше.

3.Определите, каким образом документы будут шифроваться в системе. Можно использовать один из перечисленных способов либо сразу оба:

•программное шифрование. Выполняется системой автоматически, вручную шифровать документы нельзя. Для этого разработчик в программном коде пишет логику, по которой определяется, какие документы и когда должны быть зашифрованы. В среде разработки для типов документов задается свойство IsEncrypted – признак того, что документ зашифрован;

•шифрование через интерфейс Directum RX. В этом случае сотрудник с полными правами на документ сам шифрует нужные документы.

Чтобы настроить, какие документы можно шифровать, на компьютере с веб-сервером в конфигураторе Directum Launcher в секции Общие настройки (common_config) добавьте параметр UI_ENCRYPTABLE_DOCUMENT_TYPES. В нем перечислите идентификаторы типов документов, для которых нужно разрешить шифрование. Подробнее см. в разделе «Как узнать идентификатор типа документа». В результате для таких документов на панели «Управление доступом» появится кнопка , по которой можно зашифровать документ.

Шифрование через интерфейс системы также можно настроить в среде разработки. Для этого в событии Выполнение/Возможность выполнения для типа документа необходимо переопределить логику работы действия ToggleEncryption – зашифровать или отключить шифрование документа.

4.При сопровождении работы системы используйте возможности:

•лог-файлы сервиса ключей <Имя компьютера>.KeyDerivationService.<Дата>.log. Для безопасности папка с лог-файлами должна размещаться вместе с сервисом ключей, и доступ на запись в папку должен быть строго ограничен. При расследовании инцидентов по лог-файлам можно отследить, кто и с какими документами работал;

•перешифрование данных. Система позволяет защитить данные и запустить перешифрование секретов сервиса, секретов данных и содержимого документов. Это может понадобиться, например при плановой замене сертификатов шифрования, когда истек срок действия, либо в аварийных ситуациях, когда был скомпрометирован один из сертификатов или секрет сервиса;

•восстановление содержимого документов. Это может потребоваться, например при рассинхронизации данных в базе данных и на сервисе хранилищ. Для восстановления содержимого используются данные из таблицы Sungero_Content_DocHistory.

СМ. ТАКЖЕ