Администрирование электронной почты

То, как организация оперирует электронной почтой, также важно, как и использование системы. Правила безопасности и инструкции при подходящем случае становятся темой судебных процессов, основанием для жалоб и прочих хлопот, которые мешают работе организации или пользователей.

Другие аспекты работы с электронной почтой, будь то содержание посланий или их обработка, обычно не воспринимаются серьезно. А они являются реальными вопросами, так как находят порой отражение в скандальных делах и проблемах, связанных с электронной почтой и отражающихся на безопасности организации. Правила безопасности электронной почты должны устанавливать определенные обязанности и для пользователя, и для администратора.

Следует заметить, в этом разделе речь идет о том, что организация сама управляет собственными службами электронной почты. Если организация пользуется внешними услугами для обеспечения работы электронной почты, то следует проверить контракт, чтобы убедиться, что провайдер услуг управляет системами электронной почты в соответствии с принятыми в организации правилами. Однако, если организация пользуется онлайновыми услугами провайдера, такого как AOL (America Online), то правила будут регламентировать, в основном, пользование этими услугами и почти не затрагивать администрирование.

Введение права на контроль электронной почты

Самое распространенное приложение Internet может оказаться и самым опасным. Электронная почта может использоваться для пересылки секретных данных, оскорблений и создавать проблемы для службы безопасности. Все проблемы можно решить, если организация контролирует трафик электронной почты и содержимое посланий, а также архивирует сообщения, чтобы в будущем можно было разобраться в возникшей проблеме. Если в чем-то вы сомневаетесь, то необходимо проконсультироваться с юристом, чтобы выяснить, что законно, а что противопоказано в этой работе. Если этого не делать, то право на мониторинг, так же как весь режим работы электронной почты и архивирование сообщений пользователей, должно быть установлено правилами безопасности, а периодический просмотр электронной почты может быть основой контроля за их соблюдением.

Обработка электронной почты

Клиент стал беспокоиться о разработке правил эксплуатации электронной почты после того, как бывший служащий затеял судебный процесс против организации. Это была небольшая компания, насчитывающая менее 70 пользователей, и вопрос касался добавления в правила информации об архитектуре. После изучения этого запроса автор книги получил копию приказа о смещении с должности системного администратора. Юрист истца запрашивал, каким образом организация управляет маршрутизацией электронной почты, и записано ли это в правилах безопасности.

Автор книги просмотрел приказ об увольнении и другую вспомогательную документацию и пришел к выводу, что в системе, построенной на самой передовой архитектуре, можно найти детали, которые могут стать уликами против организации. Автору пришлось написать формулировку правил, которая позволяла бы организации разработать архитектуру системы, но такую, чтобы ее технические решения не могли стать зацепкой в суде. Она выглядела следующим образом.

Системные администраторы и администраторы безопасности должны совместно разработать архитектуру системы электронной почты таким образом, чтобы обеспечить надлежащую доставку сообщений как внутри организации, так и в Internet. Помимо всего прочего эта система должна допускать использование посреднических программ, переадресации, шлюзов и ручного вмешательства в управление этой службой.

Несмотря на то, что данная формулировка очень обобщенная, она удовлетворяет любое архитектурное решение и удовлетворит юристов организации.

Архивирование электронной почты

Не стоит легкомысленно относиться к хранению и обновлению заархивированной электронной почты, поскольку если бы компания Microsoft руководствовалась собственными правилами, то сообщений, используемых правительством, могло бы уже и не существовать. Это не означает, что автор книги поддерживает использование электронной почты для якобы незаконной деятельности. Но если организация собирается разработать правила, то следует позаботиться, чтобы они были реалистичными, и руководствоваться ими в работе.

Правила архивирования и хранения содержат два компонента. Во-первых, нужно декларировать, что электронная почта будет архивироваться. Во-вторых, необходимо установить временные параметры хранения электронной почты. Также, как это делалось при разработке других правил, лучше было бы перенести вопросы, касающиеся используемых типов памяти и объемов хранимой информации, в документы по внедрению. Однако, необходимо включить в правила некоторые указания.

Организация должна сохранять и архивировать все сообщения электронной почты, которые проходят через ее сервер. Архив должен храниться на включенном в сеть запоминающем устройстве. Администраторы должны переносить архивированные сообщения на автономное запоминающее устройство каждые шесть месяцев, удаляя эти сообщения из оперативных запоминающих устройств.
Организация должна сохранять сообщения на этом автономном запоминающем устройстве, по крайней мере, два года, но может, по решению руководства, хранить его и дольше. Сообщения на автономном запоминающем устройстве должны быть стерты, или носитель должен быть уничтожен в соответствии с принятой для этого носителя технологией.

Некоторые более крупные организации, в особенности правительственные подрядчики, могут столкнуться с проблемами при создании единого правила для архивирования и хранения. От них, на основании контракта, могут потребовать руководствоваться правилами, отличными от тех, которые разработаны в организации. В таком случае организация может включить следующую формулировку в правила.

Организация должна дополнить правила, чтобы удовлетворить требования контракта, но без пересмотра правил. Данные изменения должны касаться только тех полъзователей, которые выполняют работу по настоящему договору, и организация должна уведомить этих пользователей о внесенных изменениях до их внедрения.

Сканирование электронной почты

Последние несколько лет электронная почта использовалась для распространения вирусов в Internet. Для борьбы с такими проблемами многие администраторы устанавливают в своих сетях средства сканирования вирусов. Это может оказаться хорошим решением, но существует ли правило для установки таких средств? В нашем противоречивом мире могут и не разрешить что-то делать с информацией, извлеченной без разрешения, записанного в официальном документе.

Правила сканирования содержимого позволяют организации просматривать содержимое сообщений. По разным причинам некоторым организациям необходим контроль содержимого электронной почты, чтобы предотвращать проблемы или утечку конфиденциальной информации. Проблема заключается в том, что правила сканирования содержимого задевают этические проблемы. Ощущение такое, словно организация заглядывает через плечо пользователям, поскольку она им не доверяет. В некоторых организациях, которые создавали в коллективе "семейную" атмосферу, было заметно, что коллектив не одобряет эту практику. В других организациях это воспринималось как необходимое зло.

Решение заключается в составлении формулировки правил, которая позволит организации сканировать всю электронную почту с учетом целей, которые поставлены успешным проведением бизнеса. Если организация проводит сканирование в поисках вирусов или других проблем, то это должно быть оговорено в правилах. Независимо от правил, если организация приняла решение сканировать электронную почту, то должно быть что-то вроде открытого доступного документа, в котором разъясняется, с какой целью проводится сканирование.

Для проведения сканирования в поисках вирусов формулировка правил может быть следующей.

Организация должна сканировать каждое сообщение электронной почты, которое проходит через сервер, чтобы проверить его на наличие компьютерных вирусов, "червей" или других исполняемых файлов, которые представляют угрозу безопасности сети. Инфицированная электронная почта не должна доставляться пользователю.
Администраторы должны разработать процедуры обработки инфицированных сообщений электронной почты.

Для сканирования содержимого формулировка может быть такой.

Организация имеет право сканировать содержимое каждого сообщения электронной почты, которое проходит через ее серверы, на основе заранее установленных критериев. Если сообщение не соответствует критериям, то оно не должно доставляться полъзователю.
Администраторы должны разработать процедуры для обработки забракованных сообщений. Руководство должно располагать средствами для внедрения таких правил, включая, помимо всего прочего, дисциплинарные меры для пользователей или правовые санкции для лиц, не являющихся пользователями.

И, наконец, к любому разделу можно добавить следующее.

Организация должна сделать доступным перечень того, что будет сканироваться на сервере.

Ограничение размеров сообщений электронной почты

Пользователи электронной почты сильно способствуют пользователям сети в создании изощренных сообщений и, тем самым, пересылке большого объема данных тем, что отправляют почту, присоединяя к сообщению файлы, хранящиеся в системе или сети. С каждым новым форматом файлов объем информации, заполняющей полосу пропускания сети, увеличивается. В одном хорошо известном университете установили, что больше половины сообщений электронной почты, проходящих через его серверы, содержали вложения, записанные в новейшем и популярном аудиоформате.

Это проблема не только университетов. В некоторых организациях было замечено, что пользователи посылали документы коллегам по электронной почте, не используя сетевые файловые серверы в качестве общего запоминающего устройства. Для управления ресурсами, используемыми электронной почтой, в некоторых организациях обновляют правила безопасности электронной почты, включая в них ограничения на размер пересылаемого файла.

Правило ограничения размеров сообщений электронной почты может просто сводиться к тому, чтобы запретить отправлять сообщение, превышающее определенный размер. Однако, бывают случаи, когда необходимо сделать исключение. В одной из организаций, с которой сотрудничал автор книги, библиотекарю нужно было отправлять и получать объемные сообщения от клиентов. Организации необходимо было иметь более гибкие правила, а не просто установить для всех одинаковое ограничение размера сообщения. Поэтому они приняли решение разработать правило, включающее формулировку, в которой говорилось, что руководство может делать исключения. Формулировка выглядела следующим образом.

Размер сообщений электронной почты, отправляемых и получаемых пользователями, в целом, не должен превышать 40 Кбайт. Исключения делаются для пользователей, условия работы которых требуют больших размеров сообщений. Администратор должен расматриватъ и разрешать исключения индивидуально.

Использование электронной почты для конфиденциального обмена информацией

Не любого легко убедить, что сообщения электронной почты являются электронным эквивалентом почтовых открыток. Информация, которая передается через Internet, проходит в виде читабельных байтов, доступных каждому, кто может их считать. Поскольку трафик проходит от одной сети к другой, вероятность того, что кто-нибудь прочитает сообщение, увеличивается. Кроме того, если сообщение по ошибке попадает не в тот почтовый ящик, то можно непреднамеренно раскрыть информацию, которую раскрывать нельзя.

После того, как сообщение покидает систему, отправитель не может контролировать, кто может прочитать сообщение, и даже не знает, попало ли оно по назначению. По этой причине некоторые организации создают правила, которые не разрешают отправлять по электронной почте конфиденциальную или патентованную информацию. В других организациях принимают правила, разрешающие пользователям пересылать конфиденциальную информацию только внутри организации, но запрещающие отправлять такую информацию сторонним пользователям.

Шифрование электронной почты

Третьим вариантом является разработка правила, требующего шифровать перед отправлением конфиденциальную и патентованную информацию. Зашифрованное сообщение может быть прочитано только тем получателем, кому оно предназначено. Однако, использовать шифрование и оперировать им нужно обдуманно. Существует много вопросов, таких как распределение ключей, возврат ключей и ограничение пересылки ключей, которые выходят за рамки правил работы с электронной почтой. Несмотря на то, что правила шифрования будут рассмотрены позже (см. главу 9 "Шифрование"), в правила безопасности электронной почты можно включить формулировку, подобную следующей.

Патентованная информация, отправляемая сторонним пользователям, должна шифроваться перед отправлением. Использовать шифрование нужно, руководствуясь действующими в организации правилами шифрования информации.

Цифровая подпись электронной почты

Еще одна особенность в использовании электронной почты заключается в том, что сообщение может быть сформировано, не показывая реального отправителя. Это называется спуфингом или имитацией соединения. Несмотря на то, что он используется теми, кто отправляет по собственной инициативе большое количество незатребованных сообщений (широковещательная рассылка сообщений), этот метод можно также использовать в качестве средства промышленного шпионажа. По такому сценарию сообщения отправляются пользователям организации так, будто они приходят из знакомого источника, пытаясь спровоцировать пользователей на отправку в ответ патентованной информации.

Пользователи могут установить контакт с подозрительным адресатом, запрашивающим информацию, чтобы убедиться в том, что запрос отправлен именно этим пользователем. Но культура электронной почты настолько доверительна, что такую операцию выполняют очень редко. Единственный способ гарантировать, что сообщение является корректным запросом, — сопроводить сообщение цифровой подписью. Цифровые подписи являются составной частью системы шифрования, которая использует криптографические алгоритмы для создания числовой величины, уникальной для вашего сообщения. Как и шифрование, правила управления цифровыми подписями лучше ввести в документы правил шифрования. Опять-таки, можно вставить дежурную формулировку в правила безопасности.

Любой запрос на патентованную информацию должен сопровождаться цифровой подписью, и зта подпись должна сверяться.
Пользователи, пересылающие патентованную или секретную информацию, должны "подписывать" сообщения цифровой подписью, чтобы продемонстрировать получателю, что сообщение, легитимно и зарегистрировано.
Использование цифровой подписи должно осуществляться в соответствии с принятыми в организации правилами шифрования.

Сообщения электронной почты являются эквивалентом

---