Защита коммерческой тайны

Функции инфраструктуры

Azure RMS предоставляет следующие возможности для поддержки ИТ-отделов и инфраструктурных организаций:

Примечание

Организации всегда могут прекратить использование службы Azure Rights Management без потери доступа к содержимому, которое ранее было защищено с помощью Azure Rights Management.

Дополнительные сведения см. в статье » Списание и деактивация Службы управления правами Azure».

Создание простых и гибких политик

Настраиваемые шаблоны защиты позволяют администраторам быстро и легко применять политики, а пользователям — применять нужный уровень защиты для каждого документа, чтобы доступ к нему имели только пользователи из вашей организации.

Например, чтобы предоставить общий доступ к корпоративному стратегическому документу для всех сотрудников, примените для всех внутренних сотрудников политику «только для чтения». Применительно к более конфиденциальному документу, например финансовому отчету, предоставьте доступ только руководителям.

Настройте политики маркировки на портале соответствия Требованиям Microsoft Purview. Дополнительные сведения см. в .

Простая активация

Для новых подписок активация проводится автоматически. В существующих подписках для включения службы Rights Management достаточно нескольких щелчков мышью на портале управления или двух команд PowerShell.

Аудит и мониторинг служб

Проводите аудит и контролируйте использование защищенных файлов даже после того, как они покидают пределы организации.

Например, если сотрудник компании Contoso, Ltd участвует в совместном проекте с тремя сотрудниками компании Fabrikam, Inc, он может отправить им документ, на который установлена защита и который разрешено только читать.

Функция аудита системы RMS Azure может предоставлять следующую информацию:

открывали ли партнеры из компании Fabrikam этот документ и в какое время;
совершали ли другие пользователи, которых вы не указали, неудачные попытки открыть документ. Это может произойти, если сообщение было переслано или сохранено в общем расположении.

Администраторы AIP могут отслеживать использование документов и отзывать доступ к файлам Office. При необходимости пользователи могут отзывать доступ к своим защищенным документам.

Возможность масштабирования в пределах организации

Azure Rights Management функционирует как облачная служба, которой присуща эластичность Azure (возможности вертикального увеличения и уменьшения масштаба), поэтому вам не нужно подготавливать или развертывать дополнительные локальные серверы.

ИТ-контроль над данными

Организации могут использовать возможности ИТ-управления, в том числе следующие:

Компонент	Описание
Управление ключом клиента	Используйте решения для управления ключом клиента, такие как создание собственных ключей (BYOK) и двойное шифрование ключей (DKE). Дополнительные сведения см. в следующих статьях:- Планирование и реализация ключа клиента AIP — DKE в документации по Microsoft 365.
Аудит и ведение журнала использования	Используйте функции аудита и ведения журнала использования для анализа бизнес-информации, отслеживания нарушений и проведения расследования при утечке информации.
Делегирование доступа	Делегированный доступ с использованием функции суперпользователя гарантирует, что ИТ-отдел всегда может получить доступ к защищенному содержимому, даже если документ был защищен сотрудником, который уже не работает в вашей организации. Для сравнения решения однорангового шифрования рискуют потерять доступ к корпоративным данным.
Синхронизация Active Directory	Синхронизация для поддержки стандартных удостоверений локальных учетных записей Active Directory, с помощью решения для управления гибридными удостоверениями, такого как Azure AD Connect.
Единый вход	Поддержка единого входа в облако без репликации паролей с помощью AD FS.
Переход с AD RMS	Если вы развернули службы Active Directory Rights Management (AD RMS), вы можете перейти на использование Azure Rights Management без потери доступа к данным, которые ранее были защищены с помощью AD RMS.

Агенты управления правами на доступ к данным

Функции IRM используют встроенные агенты транспорта, существующие в транспортной службе на серверах почтовых ящиков. Большинство встроенных агентов транспорта невидимы и неуправляемы командлетами управления агентами транспорта в командной консоли Exchange (*-TransportAgent).

Встроенные агенты транспорта, связанные с IRM, описаны в этой таблице:

Имя агента	Управляемость	Событие SMTP или классификатора	Описание
Агент расшифровки отчетов журнала	Нет	OnCategorizedMessage	Предоставляет текстовую копию защищенных IRM сообщений, которые прикреплены к отчетам журнала.
Агент предварительного лицензирования	Нет	OnRoutedMessage	Присоединяет предварительную лицензию к сообщениям, защищенным службой IRM.
Агент расшифровки RMS	Нет	OnSubmittedMessage,	Расшифровывает защищенные IRM сообщения, чтобы предоставить доступ к их содержимому агентам транспорта.
Агент шифрования RMS	Нет	OnRoutedMessage	Применяет защиту IRM к сообщениям, помеченным агентом транспорта, и повторно шифрует расшифрованные сообщения транспорта.
Агент расшифровки протокола RMS	Нет	OnEndOfData	Расшифровывает защищенные IRM сообщения, чтобы предоставить доступ к их содержимому агентам транспорта.
Агент правил транспорта	Да	OnRoutedMessage	Помечает сообщения, соответствующие условиям в правиле защиты транспорта, для применения защиты IRM агентом шифрования RMS.

Дополнительные сведения об агентах транспорта см. в разделе Транспортные агенты в Exchange Server.

Атаки на возможности принудительного применения политик

В апреле 2016 года была опубликована предполагаемая атака на реализации RMS (включая Azure RMS), о которой было сообщено в Microsoft. Опубликованный код позволяет авторизованному пользователю, которому было предоставлено право просматривать документ, защищенный RMS, снять защиту и сохранить форматирование файла. Для такого рода манипуляций требуется, чтобы пользователю были предоставлены права на расшифровку содержимого, чтобы иметь возможность его просматривать. Хотя служба управления правами делает определенные утверждения безопасности относительно невозможности доступа неавторизованных пользователей к защищенному контенту, различие между различными правами использования для авторизованных пользователей считается частью ее возможностей по обеспечению соблюдения политик, которые, по утверждению Microsoft, будут реализованы как «максимальные усилия», поэтому Microsoft считает это не проблемой безопасности, а ограничением применения политики. Ранее RMS SDK принудительно подписывал код с использованием возможностей RMS, чтобы обеспечить определенный уровень контроля над тем, какие приложения взаимодействуют с RMS, но эта возможность была позже удалена из-за ее ограниченной способности ограничивать такое поведение, учитывая возможность писать приложения с использованием веб-сервисы напрямую для получения лицензий на расшифровку контента.

Кроме того, используя этот же метод, пользователь, которому предоставлены права на просмотр защищенного документа, может манипулировать содержимым документа, не оставляя следов манипуляции. Поскольку Azure RMS не является решением для предотвращения отказа от авторства и, в отличие от решений для подписи документов, не претендует на предоставление возможностей защиты от несанкционированного доступа, а поскольку изменения могут вносить только пользователи, которым предоставлены права на документ, Microsoft не учитывает Позже проблема станет реальной атакой на заявленные возможности RMS. Исследователи предоставляют инструмент проверки концепции, позволяющий оценить результаты с помощью GitHub.

Когда секретная информация защищена сама по себе

Есть несколько случаев, когда информацию нельзя разболтать или использовать в личных целях, даже если у компании нет режима коммерческой тайны и конфиденциальности:

О переговорах — п. 4 ст. 434.1 ГК
О НИОКР — ст. 771 ГК
О договоре подряда — ст. 727 ГК
О корпоративном договоре — п. 4 ст. 67.2 ГК

Переговоры. Если во время переговоров по сделке вы рассказали партнеру секретную информацию, он не имеет права передавать ее кому-то или использовать в личных целях, даже если договор в итоге не заключили.

Договор на научно-исследовательские и опытно-конструкторские работы. Если вы заказываете разработку детали для графического планшета, который хотите выпустить на рынок, или строительный план здания, где будет ваш офис, — партнеры обязаны сохранить в тайне предмет договора, особенности рабочего процесса и его результаты.

Договор подряда. Например, вы передали подрядчику конфиденциальную информацию, которая нужна для выполнения работ. Он не имеет права передавать ее кому бы то ни было без вашего разрешения. Даже заключать договор субподряда, раскрывая ключевые сведения вашего соглашения.

Корпоративный договор — это соглашение, которое учредители подписывают, когда открывают компанию. В нем они договариваются, как будут управлять компанией, как распоряжаться имуществом компании и как из нее выйти, прописывают правила приема новых учредителей. По общему правилу все, что написано в корпоративном договоре непубличного общества, конфиденциально.

Сценарии для защиты IRM

В этой таблице описаны сценарии отправки сообщений и указано, доступна ли защита IRM.

Сценарий	Поддерживается ли отправка сообщений с защитой IRM?	Требования
Отправка сообщений в одной локальной организации Exchange	Да	Сведения о требованиях см. в разделе далее в этом разделе.
Отправка сообщений между различными лесами Active Directory в локальной организации.	Да	Требования см. в статье Настройка AD RMS для интеграции с Exchange Server 2010 в нескольких лесах.
Отправка сообщений между локальной организацией Exchange и Microsoft 365 или Office 365 организацией в гибридном развертывании.	Да	Дополнительные сведения см. в разделе IRM в гибридных развертываниях Exchange.
Отправка сообщений внешним получателям	Нет	Exchange не включает решение для отправки защищенных IRM сообщений внешним получателям в не федеративных организациях. Сведения о создании федеративного доверия между двумя лесами Active Directory с помощью службы федерации Active Directory (AD FS) (AD FS) см. в статье Общие сведения о политиках доверия AD RMS.

Как программист К. выиграл суд у «Ренессанс Страхования»

Программист К. работал в «Ренессанс Страховании» с 2006 года. Он был знаком с положением о коммерческой тайне и подписал обязательство о неразглашении конфиденциальной информации. К коммерческой тайне работодатель отнёс:

технологические решения компании;
программное и аппаратное обеспечение;
содержание и логическую архитектуру баз данных и других информационных носителей;
ноу-хау;
компьютерные, телекоммуникационные и другие технологии.

В 2010 году в результате служебной проверки выяснилось, что сотрудники З. и К. разрабатывали информационную систему для конкурентов и при этом использовали ноу-хау «Ренессанс Страхования» — код В2В-системы.

В2В-система — это веб-приложение для расчёта стоимости продукта и формирования сопроводительных документов. Её применяют в интернет-продажах. Программу разработали сотрудники «Ренессанс Страхования» в 2007 году.

В итоге программиста К. уволили за разглашение коммерческой тайны. Он обратился в суд с требованием изменить формулировку на «увольнение по собственному желанию» и выплатить заработную плату за период вынужденного прогула, то есть с того момента, как его уволили, и до вступления в силу судебного решения.

Районный суд рассмотрел дело и пришёл к выводу: ответчик не представил доказательств того, что В2В-система вообще содержит коммерческую тайну и что истец разгласил секретную информацию третьим лицам.

Ответчик не указал основание в приказе об увольнении К. и не подтвердил, что принял меры по защите конфиденциальной информации в соответствии с требованиями закона «О коммерческой тайне». Поэтому суд принял решение в пользу К.

«Ренессанс Страхование» обжаловало судебное решение, но это не принесло результатов. Вышестоящие суды сослались на отсутствие доказательств того, что К. передал конкурентам сведения, которые относятся к коммерческой тайне.

По закону, чтобы ввести режим коммерческой тайны для определённой информации и возложить ответственность на работников, нужно выполнить следующие требования:

определить перечень такой информации;
ограничить к ней доступ — обычно принимают локальный нормативный акт, в котором определяют порядок обращения с информацией и контроля над ней;
учитывать работников, получающих доступ к информации, — например, вести журнал учёта;
регулировать отношения с этими работниками на основе трудовых договоров, а с контрагентами — на основе гражданско-правовых договоров;
нанести гриф «коммерческая тайна» и данные о правообладателе на материальные носители информации.

Если трудовые обязанности работника связаны с доступом к коммерческой тайне, работодатель должен:

ознакомить его под расписку с перечнем такой информации, установленным режимом коммерческой тайны и мерами ответственности за его нарушение;
создать условия для соблюдения этого режима, то есть защитить доступ к информации, которая относится к коммерческой тайне, внутри компании.

Если работодатель не выполнил какой-то из перечисленных пунктов, увольнение работника могут признать незаконным.

Понятие утечки информации

Утечка потенциально конфиденциальной информации может быть дорогостоящим для организации и иметь широкое влияние на организацию и ее бизнес, сотрудников, клиентов и партнеров. Местные и отраслевые правила все чаще регулируют хранение, передачу и защиту определенных типов информации. Чтобы избежать нарушения применимых правил, организации должны защитить себя от преднамеренной, случайной или случайной утечки информации.

Ниже приведены некоторые последствия утечки информации.

Финансовый ущерб. В зависимости от размера, отрасли и местных правил утечка информации может привести к финансовым последствиям из-за потери бизнеса или из-за штрафов и штрафов, налагаемых судами или контролирующими органами. Государственные компании также могут рисковать потерять рыночную капитализацию из-за негативного освещения в средствах массовой информации.
Ущерб имиджу и авторитету: утечка информации может нанести ущерб имиджу организации и доверию к клиентам. Кроме того, в зависимости от характера общения утечка сообщений электронной почты может стать источником смущения для отправителя и организации.
Потеря конкурентного преимущества: одной из самых серьезных угроз от утечки информации является потеря конкурентного преимущества в бизнесе. Раскрытие стратегических планов или раскрытие информации о слиянии и приобретении может привести к потере доходов или рыночной капитализации. Другие угрозы включают потерю исследовательской информации, аналитических данных и другой интеллектуальной собственности.

Правила обращения с профессиональной тайной

К профессиональным тайнам можно отнести данные, которые человек получает в ходе исполнения своих трудовых, договорных либо служебных обязанностей. Условия обращения с информацией, которая содержит разные виды профессиональной тайны, определены в ряде законодательных актов. Чаще всего это законы, которые регулируют коммерческие и гражданские взаимоотношения в определенных сферах.

Так, закон «Об адвокатуре» разъясняет понятие «Адвокатская тайна». Любые данные, которые имеет адвокат в результате работы с доверителем после предоставления ему юридических услуг, являются адвокатской тайной. Адвоката нельзя допрашивать в качестве свидетеля в тех же судебных производствах, в которых он оказывал юридическую помощь.

Нотариусам и работникам нотариальных контор нельзя предавать огласке сведения или документы, к которым они получили доступ в ходе совершения нотариальных действий. Более того, нотариус находится под действием такого запрета даже если ушел из профессии и отказался от нотариальной практики. Запрет распространяется и на бывших сотрудников нотариальных контор. Справочные сведения, оригиналы и копии документов, связанных с информацией о нотариальных актах, могут получить исключительно клиенты, от имени которых были совершены такие действия.

Законодательство РФ предписывает особое обращение с данными, в которых содержится врачебная тайна. К таким данным относятся:

факт обращения в медицинское учреждение. Это в равной степени относится к клиникам и практикам всех форм собственности;
общие данные о состоянии здоровья человека, его биологических характеристиках и анамнезе;
диагноз заболевания, предыдущие диагнозы и сведения о методах лечения;
любой иной комплекс данных, который был получен в ходе диагностики и лечения.

Закон запрещает разглашение подобных данных врачами, медработниками и персоналом учреждений здравоохранения. Запрет касается также лиц, обладающих такой информацией в результате учебной, профессиональной или любой другой законной деятельности.

Закон «О почтовой связи» предусматривает ряд правил и средств защиты корреспонденции. Соблюдение этих правил способствует сохранности личной информации во время ее обработки. Закон защищает тайну корреспонденции, в том числе почтовых посылок, телеграмм и сообщений. Под действие ограничений, связанных с тайной связи, подпадают данные:

об имени и месте проживания клиентов почтовых сервисов;
о времени оформления почтовых посылок и адресах получателей;
о факте получения или пересылки почтовых переводов. Не подлежат разглашению и получаемые или отправляемые суммы;
о времени пересылки и содержании телеграмм, обрабатываемых представителем сервиса связи.

Выдачу посылки, переведенных средств, телеграмм и прочих сообщений до востребования работник отделения обязан производить только адресатам или их законным представителям. Нарушение тайны связи согласно ст. 138 УК Российской Федерации карается штрафными санкциями либо лишением свободы на срок до 5 лет.

Настройка IRM при гибридном развертывании

Служба IRM в системе Exchange основана на службе управления правами Active Directory, развернутой в лесу Active Directory, в котором находится сервер Exchange. Конфигурации AD RMS не будут автоматически синхронизированы между локальной организацией и Exchange Online. Необходимо вручную экспортировать конфигурации AD RMS, известные в качестве доверенного домена публикации (TPD), из локального сервера AD RMS, и импортировать эти настройки в организации Exchange Online. Доверенный домен содержит конфигурации AD RMS, включая шаблоны, которые организация Exchange Online должна использовать для управления правами на доступ к данным.

Дополнительные сведения см. в разделе Особенности доверенного домена публикации службы управления правами Active Directory.

Помимо применения локальной конфигурации AD RMS к Exchange Online организации, необходимо убедиться в том, что серверы AD RMS и клиенты ActiveSync вне локальной сети могут контактировать Outlook. Это необходимо, чтобы для этих клиентов стали доступными сообщения с защищенными правами на доступ за пределами локальной сети.

После настройки локальной сети и экспорта данных, необходимо настроить Exchange Online организацию с помощью импорта TPD данных и включения IRM доверенного домена.

Примечание.

Всякий раз, когда вы изменяете локальную конфигурацию AD RMS, необходимо вручную применить новую конфигурацию в организации Exchange Online. Для этого экспортируйте данные TPD с локального сервера AD RMS и импортируйте их в организацию Exchange Online.

Что позволяет сделать AD RMS?

Служба управления правами ActiveDirectory (AD RMS; ее роль появилась в
Windows Server 2008, ранее Rights Management Services были доступны как
отдельный компонент) – одно из самых доступных IRM-решений, так как идет в
составе довольно популярной в компаниях ОС и замечательно интегрируется с
остальными компонентами. То есть для внедрения ADRMS не требуются дополнительные
финансовые вливания и работа с напильником для интеграции в существующую
инфраструктуру. Например, при работе с Share Point нет необходимости вручную
назначать разрешения на каждый документ, так как разрешения применяются на
уровне библиотеки. Кроме того, Windows Server 2008 R2 включает в себя File
Classification Infrastructure, что позволяет автоматизировать классификацию
файлов на основании местоположения, владельца или создателя файла, содержимого,
размера и других параметров.

AD RMS позволяет задавать следующие разрешения на работу с файлами: Full
Control, View, Edit, Save, Extract, Export, Print, Allow Macros, Forward, Reply,
Reply All, View Rights. AD RMS по умолчанию может работать со следующими типами
документов:

Документы Word, Excel, PowerPoint и InfoPath, начиная с 2003 версии
офиса. В версиях офиса, кроме Microsoft Office Ultimate 2007,
OfficeEnterprise 2007, Office Professional Plus 2007 и Office 2003
Profession, можно только читать, но нельзя создавать документы, защищенные с
помощью AD RMS.
Файлы Microsoft XML Paper Specification (XPS).

Кроме этого партнеры MS регулярно добавляют поддержку новых типов документов:

Создание и работа с защищенными pdf-файлами с помощью Foxit PDF Security
Suite, GigaTrust Enterprise, решений от компаний Liquid Machines и Secure
Islands. Продукты Foxit ориентированы только на работу с pdf-файлами и
неплохо интегрируются с Microsoft Office Share Point Server. Преимущество же
решения GigaTrust в том, что оно блокирует несколько сотен приложений по
захвату экрана и предоставлению файлов в общий доступ.
Вышеперечисленные компании предлагаю решения и для защиты CAD-файлов и
некоторых других форматов.
Для поддержки любых типов фалов можно использовать ADRMS Software
Development Kit (SDK), который позволяет программно шифровать и
расшифровывать документы, ассоциировать права с содержимым файлов и
взаимодействовать со службами ADRMS.

В процессе работы с ADRMS генерируется большое количество сертификатов и
лицензий, которые, по сути, тоже являются сертификатами.

На рисунке перечислены основные сертификаты и их содержимое.

Далее изображен процесс создания и работы с защищенным документом, который
состоит из следующих шагов:

Автор единожды, при первой попытке создать защищенный документ,
получает RAC и CLC от кластера AD RMS.
С помощью приложения, поддерживающего работу с AD RMS, автор создает
файл и задает набор разрешений на использование файла. Приложение шифрует
файл симметричным ключом, который, в свою очередь, шифруется открытым ключом
AD RMS сервера. Зашифрованный ключ помещается в «publishing license»,
которая привязывается к файлу. Лицензию может выдать только AD RMS кластер,
к которому принадлежит автор. Если кластер автору недоступен, то копия
симметричного ключа шифруется с помощью CLC.
Файл любым способом доставляется от автора получателю. На компьютере
получателя должен быть RAC. Если его нет, то он издается AD RMS кластером.
Для работы с файлом клиентское приложение отправляет запрос на «use
license» кластеру AD RMS, издавшему «publishing license». В запросе
отправляется сертификат учетной записи получателя и «publishing license»,
которая содержит ключ шифрования защищенного файла.
Сервер проверяет, что получатель авторизован для работы с документом.
Затем расшифровывает ключ шифрования файла своим закрытым ключом,
перешифровывает его с использованием открытого ключа получателя и отправляет
пользователю «use license», в которую могут быть включены дополнительные
ограничения (например, версия ОС или срок действия).
На стороне клиента происходит проверка сертификатов, списков отзыва,
цепочек доверия сертификатов, и если все проверки проходят успешно, то
пользователь получает доступ к файлу.

Тайна судебного и следственного производства

Недопустимость разглашения данных следствия прямо установлена статьей 161 УПК РФ. Эта статья запрещает опубликование информации, полученной следователями на этапе предварительного расследования. В исключительных случаях такие сведения могут быть раскрыты общественности с согласия прокурора либо следователя. Подобное раскрытие возможно только в объеме, который:

существенно не повлияет на ход расследования;
не будет негативно влиять на объективность расследования;
не нарушает интересы лиц, участвующих в следственном производстве.

К предварительному следственному процессу может быть привлечен довольно широкий круг гражданских лиц — свидетели, понятые, эксперты в различных областях знания. Каждого из них предупреждают о запрете разглашения конфиденциальных сведений, которые стали ему известны в ходе исполнения следственных мероприятий. Если раскрытие информации состоялось по вине предупрежденного лица без санкции прокурора либо следователя, это влечет уголовную ответственность.

Главное

Защищать можно любую информацию, которая может принести вашей компании прибыль, если это не запрещено законом.

Для защиты ценной информации:

Введите в компании режим коммерческой тайны.
Заключите с сотрудниками договоры, по которым все права на разработанные продукты принадлежат вам.
Защитите право собственности на интеллектуальные объекты: товарный знак, изобретения, компьютерные программы, литературные произведения и другое.
Введите режим конфиденциальности с партнерами.

За незаконное распространение коммерческой информации нарушителя могут уволить, назначить штраф до 1 500 000 ₽ или посадить в тюрьму на срок до 7 лет.

Продажа коммерческой тайны третьим лицам карается уголовно

Два сотрудника ЗАО, имеющих доступ к коммерческой тайне, по сговору решили продать через Интернет конфиденциальные сведения компании за 28 тыс. рублей. Преступление до конца доведено не было, так как мужчин задержала полиция.

Суд признал их виновными в совершении преступления, предусмотренного ч. 3 ст. 183 УК РФ — незаконные получение и разглашение сведений, составляющих коммерческую тайну из корыстной заинтересованности. Осужденных приговорили к лишению свободы на 2 года условно с испытательным сроком. Мужчины обжаловали приговор в вышестоящем суде. В основу апелляционной жалобы они положили тот факт, что корпоративные данные не являлись коммерческой тайной и находились в свободном доступе, также на них отсутствовала пометка «коммерческая тайна».

Однако вышестоящий суд не нашел нарушений при рассмотрении дела и оставил приговор в силе. Судьи учли, что мужчины ознакомились под подпись с тем, что информация по товарообороту, которую они пытались продать, относится к коммерческой тайне и ее распространение запрещено. При этом ссылки, что эти сведения были в открытом доступе, не подтвердились.

Агенты управления правами на доступ к данным

В Exchange 2013 функции IRM включены с помощью агентов транспорта в транспортной службе на серверах почтовых ящиков. Агенты IRM устанавливаются программой установки Exchange на сервере почтовых ящиков. Вы не можете управлять агентами IRM с помощью задач управления для агентов транспорта.

Примечание.

В Exchange 2013 агенты IRM являются встроенными агентами. Встроенные агенты не включены в список агентов, возвращаемых командлетом Get-TransportAgent. Дополнительные сведения см. в разделе Агенты транспорта.

В следующей таблице перечислены агенты IRM, реализованные в транспортной службе на серверах почтовых ящиков.

Агенты IRM в транспортной службе на серверах почтовых ящиков

Агент	Событие	Функция
Агент расшифровки RMS	OnEndOfData (SMTP) и OnSubmittedMessage	Расшифровывает сообщения, чтобы разрешить доступ к агентам транспорта.
Агент правил транспорта	OnRoutedMessage	Помечает сообщения, соответствующие условиям правила в правиле защиты транспорта, для защиты IRM агентом шифрования RMS.
Агент шифрования RMS	OnRoutedMessage	Применяет защиту IRM к сообщениям, помеченным агентом правил транспорта, и повторно шифрует расшифрованные сообщения транспорта.
Агент предварительной лицензий	OnRoutedMessage	Присоединяет предварительную лицензию к сообщениям, защищенным службой IRM.
Агент расшифровки отчета журнала	OnCategorizedMessage	Расшифровывает защищенные IRM сообщения, присоединенные к отчетам журнала, и внедряет версии cleartext вместе с исходными зашифрованными сообщениями.

Дополнительные сведения об агентах транспорта см. в разделе Транспортные агенты.

Третий вид — криптографическая защита информации

Специальные средства осуществляют криптографическое преобразование защищаемой информации. Даже если она будет перехвачена, с расшифровкой возникнут проблемы. Расчеты показывают, что, например, для расшифровки ключа длиной 128 бит потребуются миллионы лет. Такие средства могут быть программными или аппаратно-программными. С их помощью шифруются документы, управляющие сигналы, подписи и другая важная информация. Реализовать криптографическую защиту информации можно с помощью ЭЦП, криптопровайдеров, специализированных браузерных плагинов, эмуляторов доверенной среды и прочих средств.

Права доступа к диспетчеру управления службами

Ниже приведены конкретные права доступа для SCM.

Право доступа	Описание
SC_MANAGER_ALL_ACCESS (0xF003F)	Включает STANDARD_RIGHTS_REQUIRED, помимо всех прав доступа в этой таблице.
SC_MANAGER_CREATE_SERVICE (0x0002)	Требуется для вызова функции CreateService для создания объекта службы и добавления его в базу данных.
SC_MANAGER_CONNECT (0x0001)	Требуется для подключения к диспетчеру управления службами.
SC_MANAGER_ENUMERATE_SERVICE (0x0004)	Требуется для вызова функции EnumServicesStatus или EnumServicesStatusEx для перечисления служб, входящих в базу данных. Требуется для вызова функции NotifyServiceStatusChange для получения уведомлений при создании или удалении любой службы.
SC_MANAGER_LOCK (0x0008)	Требуется для вызова функции LockServiceDatabase для получения блокировки базы данных.
SC_MANAGER_MODIFY_BOOT_CONFIG (0x0020)	Требуется для вызова функции NotifyBootConfigStatus .
SC_MANAGER_QUERY_LOCK_STATUS (0x0010)	Требуется для вызова функции QueryServiceLockStatus для получения сведений о состоянии блокировки для базы данных.

Ниже приведены универсальные права доступа для SCM.

Право доступа	Описание
GENERIC_READ
GENERIC_WRITE
GENERIC_EXECUTE
GENERIC_ALL

Процесс с правильными правами доступа может открыть дескриптор SCM, который можно использовать в функциях OpenService, EnumServicesStatusEx и QueryServiceLockStatus . Только процессы с правами администратора могут открывать дескрипторы SCM, которые могут использоваться функциями CreateService и LockServiceDatabase .

Система создает дескриптор безопасности для SCM. Чтобы получить или задать дескриптор безопасности для SCM, используйте функции QueryServiceObjectSecurity и SetServiceObjectSecurity с дескриптором для объекта SCManager.

Windows Server 2003 и Windows XP: в отличие от большинства других защищаемых объектов дескриптор безопасности для SCM нельзя изменить. Это поведение изменилось с Windows Server 2003 с пакетом обновления 1 (SP1).

Предоставляются следующие права доступа.

Учетная запись	Права доступа
Удаленные пользователи, прошедшие проверку подлинности
Локальные пользователи, прошедшие проверку подлинности (включая LocalService и NetworkService)
локальная система;
Администраторы

Обратите внимание, что удаленные пользователи, прошедшие проверку подлинности по сети, но не вошли в систему, могут подключаться к SCM, но не выполнять операции, требующие других прав доступа. Для выполнения этих операций пользователю необходимо войти в систему в интерактивном режиме или служба должна использовать одну из учетных записей службы

Windows Server 2003 и Windows XP: удаленным пользователям, прошедшим проверку подлинности, предоставляются права доступа SC_MANAGER_CONNECT, SC_MANAGER_ENUMERATE_SERVICE, SC_MANAGER_QUERY_LOCK_STATUS и STANDARD_RIGHTS_READ. Эти права доступа ограничены, как описано в предыдущей таблице по состоянию на Windows Server 2003 с пакетом обновления 1 (SP1)

Если процесс использует функцию OpenSCManager для открытия дескриптора для базы данных установленных служб, он может запрашивать права доступа. Система выполняет проверку безопасности по дескрипторов безопасности для SCM перед предоставлением запрошенных прав доступа.