The feasibility study on implementation of technology of support of integrity and authenticity of information on paper carrier in case of aloof document handling

Borodin Andrey Viktorovich PhD in Economics Professor, Department of Computer Science and System Programming, Volga State University of Technology 424000, Russia, respublika Marii El, g. Ioshkar-Ola, pl. Lenina, 3 bor@mari-el.com Other publications by this author

Сегодня технологии электронной цифровой подписи (ЭЦП) распространены во всех сферах бизнеса и востребованы в основном юридическими лицами. Постепенно они внедряются и в практическую деятельность физических лиц. При наличии ЭЦП для физического лица открывается ряд новых и интересных возможностей ^[17]:

1) быстрый доступ к полному объему сервисов Единого портала государственных услуг,

2) дистанционная подача заявления на поступление в высшее учебное заведение,

3) участие в электронных торгах на поставку товаров и оказание услуг,

4) регистрация юридического лица или индивидуального предпринимателя,

5) быстрое дистанционное оформление заявки на получение патента на изобретение,

и т. п.

Этот список постоянно расширяется.

Однако использование ЭЦП требует от физического лица наличия определенной технической культуры и понимания основных принципов обеспечения безопасности в области информационных технологий. С другой стороны, если посмотреть на перечень субъектов обеспечения этих новых возможностей, то там оказываются в основном государственные структуры или организации, аффилированные с этими структурами, что связано, в частности, с особенностями правоприменения закона «Об электронной подписи» ^[11].

В этих условиях организации, чья экономическая деятельность связана с сетью Internet и которым требуется наличие механизма признания юридической силы соглашений (документов), подписанных контрагентами – физическими лицами, вынуждены использовать суррогатные технологии дистанционной подписи документов. Одной из таких технологий является подход, основанный на отправке клиенту соглашения об оказании услуг по каналам сети Internet с последующей распечаткой документа на стороне клиента, собственноручным подписанием соглашения клиентом и отправкой подписанного документа традиционной почтой ^[8]. При этом получение организацией файла, содержащего скан подписанного документа, может означать возможность оказания услуги клиенту в ограниченной форме. Получение подлинника по почте обеспечивает полномасштабное оказание услуги, являющейся предметом подписанного соглашения. Второй экземпляр бумажного подлинника после физического подписания ответственным сотрудником и заверения печатью может быть направлен обратно почтовым отправлением клиенту. Такая возможность может быть связана с необходимостью повышения доверия клиента к организации.

Описанная суррогатная технология несет определенные угрозы для организации, взаимодействующей таким образом со своими клиентами. В частности, подписываемое соглашение может содержать индивидуальные, существенные для клиента, условия, которые он может изменить в одностороннем порядке при переносе направленного ему по каналам Internet документа на бумажный носитель. В последствие, клиент может попытаться, ссылаясь на подписанный документ, оспаривать условия оказания ему услуг со стороны организации. При допущении возможной невнимательности ответственного сотрудника при реализации механизма возврата клиенту подписанного и заверенного печатью организации второго экземпляра подлинника описанная угроза может стать юридически существенной.

В настоящей статье представлены новые результаты, полученные автором в ходе онтологического анализа описанной ситуации. При проведении онтологического анализа была использована авторская методология, представленная в работах ^{[2, 5, 19]} и использующая нотацию IDEF5 ^[3]. Данная статья содержит уточнение и развитие идей, представленных в работах ^{[4, 8]}. На основе проведенного анализа предложены основные технические решения, проведено технико-экономическое обоснование внедрения разработанной технологии обеспечения целостности и подлинности информации на бумажном носителе при отчужденной обработке документов.

Онтологическая модель описанной проблемы представлена на рисунке 1. Словари элементарных угроз и противодействий приведены, соответственно, в таблицах 1 и 2.

Рис. 1. Онтологическая модель реализации политики безопасности для процессов отчужденной обработки информации

Таблица 1

Словарь элементарных угроз

Таблица 2

Словарь элементарных противодействий атакам

Проведенный онтологический анализ позволяет сформулировать основные этапы защищенной обработки документа, подвергаемого отчужденной обработке.

1) Согласование организацией содержания документа с клиентом. Формирование уникального идентификатора сделки. Фиксация времени сделки.

2) Выделение критической части документа. Критическая часть документа должна включать в себя уникальный идентификатор и время совершения сделки. Наличие в документе уникального идентификатора и времени совершения сделки обеспечат взаимно однозначное соответствие бумажного оригинала документа и его электронной копии (электронных копий) ^[10].

3) Формирование ЭЦП критической части документа с использованием секретного ключа ответственного за сделку сотрудника организации.

4) Внесение ЭЦП критической части документа в документ в формате QR-кода ^[9], а также включение в текстовую часть документа декларации об аутентичности документа лишь при условии сохранения возможности считывания QR-кода.

5) Отправка документа клиенту в электронном виде по каналам сети Internet.

6) Отчужденная обработка документа, включающая в себя печать документа на стороне клиента, его подписание клиентом и отправку бумажного оригинала организации с использованием классической почтовой связи.

7) Получение оригинала документа организацией. Двухэтапная проверка аутентичности документа на основе скана: визуальный контроль при наложении скана на исходное графическое изображение документа и автоматизированный контроль на основе распознавания QR-кода и проверки сохранности ЭЦП.

8) В случае успешной проверки, подтверждение юридической силы документа подписью ответственного сотрудника и традиционной "синей" печатью организации.

9) Отправка бумажного оригинала клиенту с использованием классической почтовой связи.

Перечисленные этапы обработки документа фактически составляют основу политики безопасности для решения поставленной задачи.

В ходе проработки технического решения, обеспечивающего поддержку предложенной политики безопасности, было введено понятие подписываемой части документа, включающей в себя случайный идентификатор документа, метку времени создания документа и собственно критическую часть, содержащую защищаемые данные исходного документа. Структурная модель документа, соответствующая такому разделению данных, приведена на рисунке 2.

Рис. 2. Структурная модель документа

На рисунке использованы следующие обозначения:

`m` – защищенный документ;

`"Substr"` – терм, обозначающий выделение из документа заданной части;

`m_0` – некритическая часть текста документа;

`<a, quad b, quad ... quad, quad c>` – обратимая конкатенация представлений объектов `a, quad b, quad ... quad, quad c` ;

`m_1` – подписываемая часть текста документа;

`j` – идентификатор документа;

`t` – метка времени события подписания документа `i` -м ответственным сотрудником компании;

`m_2` – критическая часть текста документа;

`h` – криптографическая хеш-функция;

`DS` – функция, реализующая асимметричное криптографическое преобразование;

`k_i^((priv))` – секретный ключ `i` -го ответственного сотрудника компании;

`QR` – функция, формирующая QR-код своего аргумента.

Структура документа, представленная на рисунке 2, позволяет в полном объеме реализовать политику безопасности, предложенную в предыдущем разделе. При этом реализация данной политики безопасности практически не потребует изменения документооборота компании. Изменения коснутся лишь сканирования подписанного клиентом документа и то, в основном, с точки зрения работы программного обеспечения. С точки зрения ответственного сотрудника компании изменения незначительны: с его стороны потребуется подтверждение типа (и, возможно, комментирование) события риска при обработке фальсифицированного документа.

Несмотря на простоту предлагаемой технологии документооборота, внедрение ее потребует определенных затрат на разработку и лицензирование программного обеспечения, на внедрение и поддержку, и т. п. Возникает вопрос целесообразности. Не проще ли сформировать резервный фонд на покрытие убытков от мошенничества, а персонал компании мотивировать премированием или депремированием по количеству событий выявления попыток мошенничества или фактов допущения невнимательности при проверке документа? Исследуем этот вопрос.

Для количественного анализа политик безопасности автором был разработан подход, в котором взаимодействие организации и злоумышленника описывается в нотации сетей Петри ^{[1, 7]}. Если переходы сети Петри, соответствующие действиям сторон, охарактеризовать их материальными и временными затратами, то при моделировании на терминальных вершинах дерева состояний можно получить оценки выигрышей (убытков) сторон.

В случае, когда политика безопасности представлена в терминах онтологий, возможен автоматизированный синтез, по крайней мере, части сети Петри, описывающей взаимодействие организации и злоумышленника ^[3]. Так для онтологической модели, представленной на рис. 1, авторская методика позволяет автоматически сформировать базовую часть сети Петри, моделирующей действие политики безопасности (так называемой триггерной подсети), см. рисунок 3.

Рис. 3. Триггерная подсеть моделирующей сети Петри

На рисунке использованы следующие обозначения:

`t(P_i)` – переход, срабатывание которого моделирует реализацию противодействия `P_i, quad i=1, quad 2, quad 3, quad 4, quad 5, quad 6`;

`t(U_i)` – переход, срабатывание которого моделирует реализацию угрозы `U_i, quad i=0, quad 1, quad 2, quad 3, quad 4` ;

`q_1` – позиция, маркировка которой означает наступление условий для реализации противодействия `P_6`;

`q_2` – позиция, маркировка которой означает наступление условий для реализации противодействия `P_5`;

`q_3` – позиция, маркировка которой означает реализацию противодействия `P_6`;

`q_4` – позиция, маркировка которой означает реализацию противодействия `P_5`;

`q_5` – позиция, маркировка которой означает реализацию противодействия `P_4` ;

`t_001` – переход, срабатывание которого исключает возможность реализации угрозы `U_4`;

`q_6` – позиция, маркировка которой означает возможность реализации угрозы `U_1`;

`q_7` – позиция, маркировка которой означает возможность реализации угрозы `U_2`;

`q_8` – позиция, маркировка которой означает возможность реализации угрозы `U_3`;

`q_9` – позиция, маркировка которой означает возможность реализации угрозы `U_4`;

`q_10` – позиция, маркировка которой означает возможность реализации угрозы `U_0`;

`q_11` – позиция, маркировка которой означает реализацию угрозы `U_1`;

`q_12` – позиция, маркировка которой означает реализацию угрозы `U_2`;

`q_13` – позиция, маркировка которой означает наступление условий для реализации угрозы `U_0`;

`t_002` – переход, срабатывание которого означает факт совместной реализации угроз `U_1` и `U_2`.

Остается добавить к триггерной подсети элементы, описывающие характер взаимодействия противоборствующих сторон (синхронный, асинхронный, смешанный, там, где это не задано триггерной подсетью).

Будем предполагать, что компания начинает эксплуатацию готового решения, или использующего предложенную политику безопасности в полном объеме, или не использующего ее вовсе (2-шаговая синхронная игра). Для этого случая полная модель взаимодействия сторон представлена на рисунке 4.

Рис. 4. Сеть Петри, описывающая взаимодействие сторон

К переходам, моделирующим противодействия в триггерной подсети, на рисунке 4 добавлен переход `t(P_0)`, соответствующий бездействию `P_0` , иначе – не использованию предложенной политики безопасности. Соответственно переход `t_0` соответствует стратегии организации «не внедрять предлагаемую политику безопасности», а переход `t_1` – «внедрять». Позиция `p` – стартовая позиция, в момент начала моделирования она маркирована одним маркером. Маркировка позиций `p_i` соответствуют возможности реализации противодействий `P_i, quad i=0, quad 1, quad ... quad , quad 6`. Подсеть `N_0` моделирует процесс массового обслуживания клиентов в условиях реализуемости угрозы `U_0` . Подсеть `N_0` можно описать следующим образом:

(1)

В правой части равенства (1) находится `n` -я степень сети Петри со стохастическим поведением, `n inZZ_0^+` , где `ZZ_0^+` – множество неотрицательных целых чисел. Основание степени здесь – это модель обслуживания одного клиента, степень `n` – это количество обслуженных клиентов. Операцию возведения в степень здесь следует понимать в смысле алгебраической теории риска ^[13], как произвольно синхронизированный (или вовсе не синхронизированный) поток подсетей, совпадающих с основанием, общее количество которых равно `n` . В модели обслуживания клиента использованы следующие обозначения:

`p_00` – начальная позиция;

`q_01` и `q_02` – первая стохастическая группа позиций (вероятность единичной маркировки позиции `q_01` соответствует доле добросовестных клиентов, а вероятность единичной маркировки позиции `q_02` – доле недобросовестных клиентов);

`t_01` – переход, соответствующий нормальному течению сеанса обслуживания;

`t_02` – переход, соответствующий реализации какого-либо сценария мошенничества со стороны клиента;

`q_21`, `q_22` и `q_23` – вторая стохастическая группа позиций (вероятность единичной маркировки позиции `q_21` соответствует доле неудачных попыток мошенничества, вероятность единичной маркировки позиции `q_22` – доле мошенничеств, связанных с развитием угрозы `U_3`, а вероятность единичной маркировки позиции `q_23` – доле мошенничеств, связанных с развитием `U_1` и `U_2`);

`t_21` – переход, соответствующий факту обнаружения мошенничества;

`t_22` – переход, соответствующий реализации угрозы использования контрагентом (клиентом) нелегитимного документа на основе повторного использования образца жесткой связи «критическая часть документа» – «контрольная информация»;

`t_23` – переход, соответствующий реализации угрозы использования контрагентом (клиентом) документа с несанкционировано модифицированной критической частью (при этом факт данной модификации не был выявлен в ходе учетно-контрольных процедур организации).

`p_03` – конечная позиция.

Если переходы `t_0` и `t_1` охарактеризовать издержками на обслуживание некоторого количества клиентов `n` ; переходы `t(P_i)` охарактеризовать затратами на реализацию противодействий `P_i`, `i=0, quad 1, quad ... quad , quad 6`; переход `t_21` – средними издержками на обработку одного события риска; а переходы `t_22` и `t_23` – средними убытками от реализации соответствующих угроз со стороны одного клиента; то интерпретация сети Петри, представленной на рисунке 4, позволит получить для заданного количества обслуженных клиентов случайную величину совокупной стоимости владения ^[21] в зависимости от стратегии организации (срабатывание перехода `t_0` или `t_1`). Сравнение этих двух величин позволит дать ответ на вопрос об экономической эффективности предлагаемой технологии документооборота (в терминах совокупной стоимости владения).

Если переходы `t_0` и `t_1` охарактеризовать доходом от обслуживания некоторого количества клиентов `n` ; переходы `t(P_i)` снова охарактеризовать затратами на реализацию противодействий `P_i`, `i=0, quad 1, quad ... quad, quad 6`; переход `t_21` – средними издержками на обработку одного события риска; а переходы `t_22` и `t_23` – средними убытками от реализации соответствующих угроз со стороны одного клиента, увеличенными на среднюю величину недополученного от этого клиента дохода; то интерпретация сети Петри, представленной на рисунке 4, позволит получить для заданного количества обслуженных клиентов случайную величину доходности проекта в зависимости от стратегии организации (срабатывание перехода `t_0` или `t_1` ). Сравнение этих двух величин также позволит дать ответ на вопрос об экономической эффективности предлагаемой технологии документооборота, но уже в терминах доходности проекта на некоторый момент закрытия позиции.

В целом интерпретация моделирующей проект сети Петри может быть осуществлена в автоматизированной системе стоимостного анализа политик безопасности объектов информатизации (АС «САПБ-ОИ») ^[7]. При этом при вычислении случайной величины – результата интерпретации `n` -й степени сети Петри, описывающей единичный акт обслуживания клиента, `N_0` может быть использован пакет прикладных программ «МультиМИР» ^[14-16], основанный на идеях алгебраической теории риска ^[12].

Исходные данные для характеризации переходов сети Петри могут быть получены на основе анализа книги продаж (аналитического баланса) и базы данных событий риска (БДСР). Исходные данные для формирования вероятностей внутри стохастических групп позиций сети Петри могут быть получены также при анализе БДСР.

Результаты вычислительного эксперимента, проведенного в терминах совокупной стоимости владения для некоторого реального процесса обслуживания клиентов, приведены на рисунке 5.

Рис. 5. Распределения для случайной величины совокупной стоимости владения при срабатывании перехода `t_0` (а) и `t_1` (б)

На рисунке оси абсцисс всех графических представлений распределений случайной величины совокупной стоимости владения приведены к одной шкале. На каждом графике красная метка на оси абсцисс – это мера риска «Value at Risk» (VaR), бирюзовая метка – среднее, желтым выделен отрезок, соответствующий разбросу в пределах стандартного отклонения. Светло-бирюзовая линия на левой половине рисунка (а) показывает линейный характер изменения среднего значения случайной величины (как одной из простейших мер риска) для случая срабатывания перехода `t_0` , светло-коричневая линия на этой же половине показывает линейный характер изменения одноточечного носителя вырожденной случайной величины в случае срабатывания перехода `t_1` (перенесена в левую часть с правой половины рмсунка).

Легко видеть, что при использованных исходных данных уже при `n>95` стратегия внедрения предложенной технологии с точки зрения анализа совокупной стоимости владения в терминах среднего, как меры риска, становится более привлекательной.

Экономический эффект при использовании простейшей меры риска (среднего) определится разностью

`E(TCO(t_0, quad n))-E(TCO(t_1, quad n))`,

где `TCO(t, quad n)` – случайная величина совокупной стоимости владения при срабатывании перехода `t` и при количестве обслуженных клиентов, равном `n` ;

`E` – функционал, возвращающий среднее случайной величины.

Несколько более информативным оказывается анализ экономической эффективности в терминах доходности. Результаты соответствующего вычислительного эксперимента приведены на рисунке 6.

Рис. 6. Распределения для случайной величины чистой приведенной стоимости проекта при срабатывании перехода `t_0` (а) и `t_1` (б)

На рисунке оси абсцисс всех графических представлений распределений случайной величины чистой приведенной стоимости проекта также приведены к единой шкале. Снова на каждом графике красная метка на оси абсцисс – это мера риска «Value at Risk», бирюзовая метка – среднее, желтым – выделен отрезок, соответствующий разбросу в пределах стандартного отклонения. Светло-бирюзовая линия на левой половине (а) показывает линейный характер изменения среднего значения случайной величины для случая срабатывания перехода `t_0` , светло-коричневая линия на правой половине (б) показывает линейный характер изменения одноточечного носителя вырожденной случайной величины в случае срабатывания перехода `t_1` .

Если использовать среднее, как меру риска, то из условия

`E(NPV(t_0, quad n)) - E(NPV(t_1, quad n)) > 0`,

где `NPV(t, quad n)` – случайная величина чистой приведенной стоимости проекта при срабатывании перехода `t` и при количестве обслуженных клиентов, равном `n` , можно получить количество клиентов при котором проект внедрения новой технологии рентабелен:

`n>70`.

Снижение порога рентабельности по сравнению с предыдущей оценкой связано с тем, что добросовестный клиент приносит прибыль и эта прибыль увеличивает разброс NPV по отношению к TCO в положительную сторону, смещая тем самым в положительную сторону и среднее.

В практике финансового менеджмента, однако, не принято ограничиваться такими рассуждениями. Действительно, если посмотреть на рисунок 6, то можно заметить, что имеется достаточная вероятность, когда `NPV(t_0, quad n) < 0`. Считается, что вероятность такого события не должна превышать `0.01 quad ... quad 0.02` ^[20]. Для оценки порога, ниже которого значение случайной величины может опуститься с вероятностью не более заданного уровня, существует мера риска «Value at Risk» ^{[20, 22]}. Эта мера, фактически, может определять величину резерва на потери при возникновении неблагоприятных обстоятельств, в нашем случае – величину резерва на потери от мошенничества.

Постулируя необходимость резервирования средств на компенсацию потерь от мошенничества в размере квантильной меры на заданном уровне вероятности, мы приходим к необходимости использования новой меры риска вида

`E(NPV(t_0, quad n))+{(VaR_alpha(NPV(t_0, quad n)) if VaR_alpha(NPV(t_0, quad n))<0), (0 if NPV_alpha(NPV(t_0, quad n))>=0) :}` ,

где `VaR_alpha` – функционал меры риска «Value at Risk» на уровне вероятности `alpha` .

График изменения этого функционала с увеличением количества клиентов на фоне изменения `E(NPV(t_1, quad n))` при `alpha=0.01` приведен на рисунке 7.

Рис. 7. Зависимость некоторых мер риска от количества клиентов

На рисунке 7 наглядно видно, что положительный финансовый результат при отказе от внедрения новой технологии документооборота:

`E(NPV(t_0, quad n))+({(VaR_(0.01)(NPV(t_0, quad n)) if VaR_(0.01)(NPV(t_0, quad n))<0),(0 if VaR_(0.01)(NPV(t_0, quad n))>=0):}) quad >0`

достигается при

`n>63`,

в то время как положительный финансовый результат при внедрении новой технологии:

`E(NPV(t_1, quad n))>0` (2)

достигается при

`n>54` (3)

и растет быстрее, то есть в данном случае порог рентабельности новой технологии определяется соотношением (3).

Эти последние рассуждения важны, так как ситуация может быть иной, если затраты на внедрение новой технологии окажутся больше, например в два раза, см. «Ряд3» на рисунке 7. В этом случае порогом рентабельности внедрения новой технологии было бы условие `n>112`, а старая технология с резервированием средств на покрытие возможных убытков была бы наиболее приемлемой при `63<n<=112`. Данный пример показывает многообразие возможных ситуаций в задаче определения порога рентабельности при различных исходных данных.

Во всех ранее рассмотренных случаях имело место соотношение

`E(NPV(t_0, quad 1))>0` .

Если `E(NPV(t_0, quad 1))<0` , то

`AA n (n>1) quad [ E(NPV(t_0, quad n))<0]`

и, таким образом, критерием рентабельности внедрения новой технологии документооборота становится единственное неравенство (2).

В качестве результатов представленного исследования можно выделить следующие составляющие:

1) предложено конкретное техническое решение, обеспечивающее контроль аутентичности документа в условиях, когда процесс переноса содержания документа из электронного представления на бумажный носитель отчужден от одной из заинтересованных сторон;

2) на основе предложенного технического решения разработана технология документооборота, обеспечивающая защиту целостности и подлинности документа;

3) для конкретных исходных данных выявлены пороги рентабельности внедрения разработанной технологии документооборота, как в терминах совокупной стоимости владения системой, так и в терминах доходности проекта;

4) продемонстрирован приоритетный характер технико-экономического обоснования проекта в терминах чистой приведенной стоимости, связанный с возможностью использования дополнительной информации (о доходности) для уточнения, как порога рентабельности, так и собственно экономического эффекта;

5) показано многообразие сочетаний факторов, влияющих на порог рентабельности проекта.

Предложенная технология документооборота, а также механизмы формирования электронного документа и последующей проверки бумажного документа организацией были апробированы на базе расширения функциональности экспериментальной системы электронного документооборота ^[6]. В дальнейшем данная разработка предполагается к использованию в подсистеме розничных платежей одного из российских операторов услуг платежной инфраструктуры. Также рассматривается возможность использования предложенной технологии в рамках развития услуг электронного депонирования документов ^[18].