Шифрование электронной почты: полное руководство для безопасного обмена данными

Ежедневно в мире отправляют и получают 300+ млрд электронных писем. По прогнозам, это число превысит отметку в 400 млрд. Из-за популярности мессенджеров наблюдается снижение личных писем, но общий рост сохранится за счет корпоративного сегмента.

Корпоративная почта для многих организаций и их сотрудников — самый популярный инструмент для коммуникаций. Она позволяет быстро обмениваться информацией, документами и файлами с коллегами, руководством и клиентами.

Однако 68% атак на компании начинаются с электронных писем. Хакеры взламывают электронную почту с целью похищения конфиденциальных данных и организации атак на финансовые и бухгалтерские подразделения компании.

Одновременно с этим, законодательство предъявляет строгие требования к защите персональных данных: за их передачу в незашифрованном виде предусмотрены серьезные штрафы.

В статье рассказали:

1. Как соответствовать требованиям законодательства о передаче конфиденциальных данных по электронной почте.

2. Как шифрование обеспечивает безопасность корпоративной почты.

3. Как защитить электронную почту с помощью шифрования.

Содержание

Требования законодательства при передаче персональных данных

В реалиях текущих законов РФ, юридическим лицам и индивидуальным предпринимателям следует в первую очередь учитывать, что передача персональных данных по электронной почте должна соответствовать требованиям Федерального закона 152-ФЗ «О персональных данных».

Сотрудники организаций стремятся избегать использования персональных данных при общении с клиентами и поставщиками, однако на деле это удается не всегда.

Что же происходит в таких ситуациях?

Правильно — существует риск утечки личных данных. Организация, выступающая в роли оператора персональных данных, и сотрудники, отвечающие за их безопасность, будут нести ответственность:

• дисциплинарную (пп. «в» п. 6 ч. 1 ст. 81 ТК РФ);

• гражданско-правовую (ст. 151 ГК РФ);

• административную (ч. 1 ст. 13.6, ч. 6 ст. 13.12, ст. 13.14, ч. 7 ст. 13.15 КоАП РФ);

• уголовную (ст. 137 УК РФ).

Про последнюю говорить не будем, это несомненно крайний случай, а вот административная ответственность по КоАП РФ Статья 13.14 за разглашение информации с ограниченным доступом предполагает штрафы:

• на граждан — от 5 000 до 10 000 ₽;

• на должностных лиц — от 40 000 до 50 000 ₽ или дисквалификацию на срок до 3-х лет;

• на юридических лиц — от 100 000 до 200 000 ₽.

Как избежать рисков разглашения конфиденциальной информации

Чтобы избежать эти риски, государственный регулятор в лице ФСТЭК России сообщает, что в соответствии с приказом от 18.02.2013 №21 оператор персональных данных при передаче (или подготовке) конфиденциальной информации по электронной почте должен принять меры безопасности:

АВЗ.1 Реализовать антивирусную защиту. Для соблюдения меры АВЗ.1 на рабочих станциях необходимо установить средства антивирусной защиты. Антивирусные средства успешно справляются со сканированием входящих писем, прикрепленных файлов и ссылок, на выявление зловредных программ и вирусов.

ЗИС.3 Обеспечить защиту персональных данных от раскрытия, видоизменения и навязывания при ее передаче по беспроводным и проводным каналам связи, которые выходят за границы контролируемой зоны.

Для реализации меры ЗИС.3 существуют два варианта:

1. Защита каналов связи, которые передают данные.

2. Использование сертифицированных ФСБ России средств криптографической защиты информации (СКЗИ) для защиты конфиденциальных данных.

Порядок передачи конфиденциальной информации по электронной почте с использованием СКЗИ, был определен и утвержден Приказом ФАПСИ от 13.06.2001 №152.

ОЦЛ.4 Обнаружить и отреагировать на поступление в ИСПДн незапрашиваемых email-сообщений (писем, документов) и других данных, которые не относятся к ИСПДн (защита от спама).

Защита от спама, требуемая для соблюдения меры ОЦЛ.4, чаще всего является встроенным модулем почтового сервера или предоставляется владельцем почтового сервиса.

Что такое шифрование электронной почты?

Шифрование электронной почты — метод маскировки содержимого email-сообщения с целью предотвращения его просмотра или изменения третьими лицами.

Шифрование маскирует содержимое письма путем кодирования — другими словами, с помощью криптографического ключа читаемый текст превращается в неразборчивые комбинации случайных символов. Даже если злоумышленники смогут перехватить сообщение, его содержимое останется недоступным без соответствующего ключа для расшифровки.

Используя ключ, получатель сообщения может расшифровать текст и раскрыть его содержание после безопасной доставки в свой почтовый ящик.

Ниже приведена схема того, как работает шифрование электронных писем.

Преимущества шифрования электронной почты

Основные преимущества использования шифрования электронной почты:

1. Конфиденциальность. Шифрование электронных писем гарантирует, что только их получатели, у которых есть ключи для расшифрования, смогут прочитать их содержимое. Это обеспечивает защиту конфиденциальных данных от несанкционированного доступа.

2. Целостность данных. Шифрование почты вкупе с электронной подписью также помогает защитить электронные письма от изменений или повреждений в процессе передачи. Это гарантирует, что данные будут доставлены в том же виде, в каком они были отправлены.

3. Соответствие нормативным требованиям. Применение сертифицированных СКЗИ для защиты отправляемых по каналам электронной почты данных помогает организациям соблюдать стандарты безопасности и соответствовать требованиям законодательства по защите информации.

4. Снижение рисков утечек персональных данных. Шифрование электронной почты помогает снизить риски, связанные с утечкой и компрометацией персональных данных, в результате кибератак как на серверы организации, так и на серверы хостинг-провайдеров, где размещены почтовые серверы компании. Таким образом, важно знать, как зашифровать электронную почту, чтобы минимизировать эти риски.

Типы шифрования электронной почты

Программы для шифрования почтовых сообщений обычно применяют три типа шифрования:

1. PGP

PGP использует инфраструктуру открытых ключей (PKI) для шифрования сообщений электронной почты. Отправитель шифрует сообщение с помощью открытого ключа, а получатель расшифровывает его закрытым ключом.

Для передачи ключей применяется механизм сетей доверия WOT (англ. Web of Trust). Это один из первых методов, применяемых для передачи конфиденциальной информации по электронной почте.

2. SSL/TLS

Протоколы SSL/TLS обеспечивают защиту канала связи для передачи данных между узлами сети Интернет. Они используют асимметричное шифрование для аутентификации и симметричное для конфиденциальности.

Большинство современных почтовых серверов применяют TLS для защищенного канала электронной почты, а сервера, не поддерживающие этот протокол, считаются уязвимыми.

3. S/MIME

S/MIME шифрование — стандарт, применяющий электронную подпись и шифрование для защиты электронных писем. Главное отличие S/MIME от PGP — в нем для шифрования используются цифровые сертификаты, выданные удостоверяющими центрами (УЦ).

S/MIME позволяет проверить подлинность отправителя и получателя с помощью электронной подписи.

Использование S/MIME гарантирует, что конфиденциальные данные передается безопасно, с защитой целостности и аутентификацией сообщений. Этот подход широко применяется в деловой среде для обеспечения защиты корпоративной почты.

Почему понятие «СКЗИ» связано с передачей персональных данных и шифрованием почты?

Сертифицированное СКЗИ — это специальное программное или программно-аппаратное средство, которое делает криптографические преобразования, создает электронную подпись и выполняет шифрование данных, используя российские ГОСТ криптографические алгоритмы, прошедшее сертификационные испытания в ФСБ России.

Например, если возникает вопрос, как зашифровать электронную почту, операторы персональных данных, а это 99,9% всех организаций и индивидуальных предпринимателей, должны использовать сертифицированные ФСБ России СКЗИ для защиты персональных данных от раскрытия, модификации и навязывания ложной информации при их передаче по электронной почте.

ТОП-5 российских почтовых клиентов с шифрованием

Для использования в России рекомендуется приобретать почтовые программы, которые входят в Реестр отечественного программного обеспечения. Вот пять почтовых клиентов с шифрованием.

1. МойОфис Почта 3

Почтовый клиент для одноименного почтового сервера. В части защиты электронной переписки можно выделить интегрированный антиспам-фильтр. Также есть специальная версия почтового клиента «МойОфис Почта 3» с шифрованием по ГОСТ, которая обеспечивает:

• шифрование электронной почты с использованием российских криптографических алгоритмов;

• защиту канала связи между клиентом и сервером;

• возможность электронной подписи почтовых сообщений.

2. Samoware

Универсальное приложение, объединяющее разные виды корпоративных коммуникаций: телефонию, чаты, корпоративную почту в одном приложении. Защита писем организована на высоком уровне:

• сквозное шифрование;

• двухфакторная аутентификация;

• собственный протокол (XIMSS) для взаимодействия с почтовым сервером Communigate PRO.

3. Цифровой ямщик

Это не совсем самостоятельный почтовый клиент, а скорее плагин, который устанавливается на почтовые сервера (MS Outlook, Mozilla и пр.) и добавляет функции, обеспечивающие защищенную переписку:

• двухфакторная аутентификация;

• асимметричное шифрование;

• защищенный сервер генерации и хранения ключей.

4. Эпос

«Эпос» — почтовый клиент с шифрованием, предназначен для автоматизации формирования и обмена как открытой, так и конфиденциальной корреспонденцией в распределенной глобальной сети или любой закрытой сети, поддерживающей протоколы SMTP/POP3. Коротко о возможностях:

• электронная подпись письма;

• асимметричное шифрование.

5. КриптоАРМ ГОСТ

Приложение для электронной подписи с интегрированным почтовым клиентом. Поддерживает шифрование по ГОСТ 34.12-2018 (ГОСТ 34.12-2015) для безопасного обмена файлами.

Применяется для сдачи отчетности в госорганы, электронного документооборота и конфиденциальной передачи данных по электронной почте.

Преимущества КриптоАРМ ГОСТ:

• два в одном:

  • автоматизированное рабочее место (АРМ) для ЭДО;

  • почтовый клиент с поддержкой шифрования по стандарту S/MIME.

• удаление копий писем с почтового сервера, что снижает угрозу утечки данных;

• имеет сертификацию ФСБ России в составе СКЗИ «КриптоПро CSP»;

• электронная подпись, обеспечивающая авторство и неизменность документов.

КриптоАРМ ГОСТ — это эффективное решение для тех, кто ищет программу для защиты электронной почты, которая обеспечивает высокую степень безопасности и соответствует российским криптографическим стандартам.

Как зашифровать электронную почту

На примере приложения КриптоАРМ ГОСТ покажем, как зашифровать почтовое сообщение:

1. Создаем новое письмо.

2. Заполняем его, прикрепляем документы.

3. Выбираем получателя (поле «Кому»).

4. Нажимаем на кнопку «Безопасность», чтобы включить функции защиты.

5. Активируем переключатель «Подписать» — письмо перед отправлением будет подписано электронной подписью.

6. Активируем переключатель «Зашифровать» — текст сообщения и все вложения будут зашифрованы сертификатом контакта.

❗ Важно: чтобы письмо было зашифровано, к контакту необходимо прикрепить сертификат открытого ключа. Сделать это можно в разделе «Контакты»:

1. Перейти в детальную карточку контакта.

2. Нажать на кнопку в «Добавить сертификат».

Шесть правил безопасного обмена сообщениями по E-mail

Важно отметить, что шифрование электронной почты не обеспечивает полной защиты от несанкционированного доступа. Определенные виды атак (Related Message Attacks, Broadcast attack) способны обходить системы шифрования, предоставляя злоумышленникам доступ к данным. Поэтому, помимо использования шифрования, необходимо соблюдать и другие меры информационной безопасности:

1. Игнорируйте сомнительные адреса

При получении писем с временных электронных адресов надо понимать, что пишут анонимы. Даже если они представляются кем-либо, у получателя нет возможности это проверить. Поэтому не отвечайте и тем более не отправляйте никаких данных, если есть сомнения в действительности почтового адреса и его владельца.

2. Установите антивирус на устройство

Всегда проверяйте на вирусы письма и файлы. Не открывайте письмо до его проверки антивирусной программой. Некоторые вредоносные программы могут активизироваться через специальные скрипты в момент открытия письма. Проверенные же антивирусной программой письма можно открывать, не опасаясь неприятных последствий.

3. Блокируйте отправителей спама

Стандартные программы для защиты электронной почты или фильтры могут автоматически блокировать спам, но не всегда делают это эффективно.

Определяйте такие письма самостоятельно: настойчивые рекламные предложения, провокационные заголовки или подозрительные ссылки часто говорят о спаме. Никогда не отвечайте на такие письма.

4. Используйте VPN, электронную подпись и шифрование

Когда работаете в публичных сетях Wi-Fi, обязательно подключайте VPN перед отправкой данных. Это поможет защитить вашу информацию от перехвата.

Для большей безопасности используйте почтовый клиент с функцией S/MIME, который обеспечит надежное шифрование передаваемой информации.

5. Применяйте сертифицированные ФСБ России СКЗИ

Для безопасной передачи персональных данных по незащищенным каналам связи следует использовать только сертифицированные СКЗИ. Например, КриптоАРМ ГОСТ 3 имеет действующий сертификат ФСБ России на СКЗИ по классам защиты КС1 и КС2, и может применяться для защиты данных ограниченного доступа при передаче их по электронной почте.

Программа обеспечивает защиту переписки и документов, содержащих персональные данные или любую другую конфиденциальную информацию, при использовании электронной почте, в соответствии с требованиями законодательства (152-ФЗ).

6. Обучайте сотрудников правилам безопасного обмена ПД

Внутренние инструкции по защите корпоративной почты должны быть задокументированы и доведены до всех сотрудников. Важно регулярно проводить обучение, чтобы каждый сотрудник знал, как правильно зашифровать почту.

Пользуйтесь почтой безопасно!

Рекомендуем использовать почтовые клиенты, которые:

• поддерживают шифрование писем и электронную подпись;

• сертифицированы ФСБ России СКЗИ.

Почтовые клиенты с шифрованием обеспечат безопасный и конфиденциальный обмен данными по электронной почте.

Кроме того, вы сможете соответствовать требованиям регуляторов и действующему законодательству, избежав возможных штрафов за нарушение правил обработки и передачи персональных информации.

Реклама ООО "Цифровые технологии"