Электронный архив – это совокупность цифровых документов, хранимых в централизованной системе и доступных пользователям через сеть. Для обеспечения конфиденциальности, целостности и доступности информации необходимо строго контролировать, кто и каким образом может получить доступ к архиву. Ниже представлена подробная схема проверки правомочности доступа, включающая юридические, организационные и технические аспекты.

Правовая база

Контроль доступа к электронным архивам регулируется рядом нормативных актов:

1. Федеральный закон № 152‑ФЗ «О персональных данных» – определяет требования к обработке и защите персональных данных.
2. Федеральный закон № 149‑ФЗ «Об информации, информационных технологиях и защите информации» – устанавливает общие принципы обеспечения информационной безопасности.
3. Приказ ФСТЭК России № 21 «Об организации защиты информации в государственных информационных системах» – описывает технические меры защиты.
4. Внутренние регламенты организации (политика доступа, регламент работы с архивом).

Основные понятия

• Аутентификация – процесс подтверждения личности пользователя (логин/пароль, сертификат, биометрия).
• Авторизация – определение прав и привилегий пользователя после успешной аутентификации.
• Аудит доступа – запись и анализ всех попыток доступа к архиву.
• Контроль целостности – проверка, что данные не были изменены без разрешения.

Этапы проверки правомочности доступа

Идентификация пользователя

На этом этапе система получает от пользователя уникальный идентификатор (например, user_id).

1. Ввод логина и пароля.
2. Предоставление токена двухфакторной аутентификации (SMS, OTP‑приложение).
3. При необходимости – проверка цифрового сертификата X.509.

Аутентификация

Система сравнивает полученные данные с хранимыми в базе:

• Проверка пароля (хеширование с солью, алгоритм bcrypt/argon2).
• Валидация токена 2FA (время жизни, одноразовость).
• Проверка статуса сертификата (отзыв, срок действия) через OCSP/CRL.

Если аутентификация прошла успешно, пользователь получает сессию с уникальным идентификатором (session_id).

Авторизация

После аутентификации система определяет, какие операции разрешены пользователю.

1. Определение роли (например, администратор, оператор, читатель).
2. Сопоставление роли с политикой доступа (RBAC – Role‑Based Access Control).
3. Проверка контекстных ограничений:
   • Время доступа (рабочие часы).
   • IP‑адрес или диапазон сети.
   • Уровень доверия устройства (registered device).

Проверка прав доступа к конкретному документу

Электронный архив обычно содержит метаданные, определяющие уровень доступа к каждому документу.

• Классификация документов (секретный, конфиденциальный, общедоступный).
• Сопоставление уровня доступа пользователя с уровнем классификации.
• Если пользователь имеет достаточный уровень, система формирует запрос к хранилищу.

Логирование и аудит

Каждое действие фиксируется в журнале аудита:

1. Идентификатор пользователя.
2. Время события (UTC).
3. Тип операции (просмотр, скачивание, изменение, удаление).
4. Идентификатор документа.
5. IP‑адрес и пользовательский агент.

Журналы хранятся в защищённом, неизменяемом хранилище (например, WORM‑диск) и регулярно проверяются средствами SIEM.

Оповещение о подозрительных действиях

Система может генерировать автоматические алерты при обнаружении:

• Неудачных попыток аутентификации более 5 раз за 10 минут.
• Доступа из неизвестных геолокаций.
• Попытки доступа к документам с уровнем выше, чем у пользователя.

Технические средства реализации

Пример пошагового сценария доступа

1. Пользователь вводит логин и пароль. Система проверяет хеш пароля в базе.
2. Запрашивается код 2FA. Пользователь вводит OTP, система проверяет его через TOTP‑алгоритм.
3. Создаётся сессия. В токене JWT записываются роли и ограничения.
4. Пользователь выбирает документ. Система читает метаданные документа (уровень классификации).
5. Сравнение ролей. Если роль пользователя ≥ уровня документа, доступ разрешён.
6. Запись в журнал. Информация о запросе сохраняеться в SIEM.
7. Оповещение. При отклонении доступа генерируется алерт для администратора.

Лучшие практики

• Минимальные привилегии. Пользователям предоставляются только те права, которые необходимы для выполнения их задач.
• Многофакторная аутентификация. Обязательно для всех пользователей, имеющих доступ к конфиденциальным документам.
• Регулярный аудит прав. Проводить ревизию ролей и прав доступа минимум раз в квартал.
• Шифрование данных. Хранить архив в зашифрованном виде (AES‑256) и использовать TLS для передачи.
• Обучение персонала. Проводить тренинги по информационной безопасности и правилам работы с архивом.

Процесс проверки правомочности доступа к электронному архиву – это комплексный набор действий, объединяющих правовые требования, организационные процедуры и технические средства. Правильная реализация аутентификации, авторизации, аудита и мониторинга обеспечивает:

• Защиту конфиденциальных данных от несанкционированного доступа;
• Соблюдение требований законодательства;
• Возможность быстро реагировать на инциденты безопасности.

Внедрение описанных выше механизмов и соблюдение лучших практик позволит организации эффективно управлять доступом к электронному архиву и минимизировать риски утечки информации.