Алена, я конечно понимаю, что статья носит несколько "общеознакомительный" характер, но все же стоит более широко осветить список "достоинств и недостатков" каждого решения. Я ничуть не опровергаю конечный вывод о большей надежности smartcards, но потенциально они создают куда больше сложностей чем банальное "предполагает дополнительные расходы".
По ключам на локальном компьютере
Это не так. Используемый по умолчанию в Windows RSA-криптопровайдер хранит использует для хранения закрытых ключей папку C:\Users\
Т.е. располагает их в перемещаемой части профиля, а значит, если пользователь работает за разными машинами в пределах корпоративной сети, ему достаточно будет настроить перемещаемый профиль и устанавливать сертификаты на каждую машину нет нужды.
По использованию токенов
Тут нужно понимать, что у разных производителей данная функциональность реализуется по-разному. У одних клавиатура по вводу PIN-кода расположена прямо на самом устройстве, у дригих используется специализированное ПО на компьютере.
В первом случае устройство получается более громоздким, но более защищенным от перехвата PIN-кода, который может быть считан установкой программного или аппаратного кейлоггера на машине пользователя, в случае использования ПО ввода.
В частности Rutoken использует именно ПО для ввода PIN-кодов, а значит потенциально уязвим.
Верно, сертификаты устанавливать не надо, зато нужно устанавливать драйверы устройств, криптопровайдеры и другие модули.
А это дополнительное низкоуровневое ПО со своими специфическими особенностями и проблемами.
Да, это верно, но только при условии, что вы используете криптофункции самого устройства (т.е. все шифрование и подписание выполняет сам токен).
Это самый безопасный вариант, но у него есть ряд ограничений:
- релизуемые алгоритмы. Например, тот же Rutoken (если судить по их документации) аппаратно поддерживает только ГОСТ 28147-89. Все остальные алгоритмы, по всей видимости реализуются уже программно, т.е. с извлечением закрытого ключа из хранилища.
- скорость интерфейсов. Простые smartcards реализуют, как правило не самые быстрые аппаратные интерфейсы (скорее всего в целях упрощения и удешевления устройства), например USB 1.1. А так как для подписания/шифрования вам нужно передать на устройство весь файл, это может стать причиной неожиданных "тормозов".
Однако (опять-таки, судя по документации Rutoken) токены могут выступать и просто как шифрованные хранилища. Например, так они работают в связке с КриптоПро CSP. Ну а дальше вывод очевиден - раз одно ПО может получить доступ к ключам, значит это может сделать и другое.
Дополнительные вопросы
К списку выше нужно добавить еще некоторые вопросы, которые также следует учитывать при принятии решения о переходе на токены:
- каким образом реализуется обновление сертификатов? Например, ни на сайте Rutoken (в общих разделах и форуме), ни в документации я не нашел упоминания о поддержке Rutoken-ом службы распространения ключей Active Directory. Если это так (и сам Rutoken не предоставляет других механизмов массового обновления ключей), то все ключи нужно обновлять через администраторов, что порождает свои проблемы (т.к. операция не тривиальная).
- какое ПО, используемое на предприятии и требующее криптофункций:
- может работать через криптопровайдер (некоторое ПО использует собственную реализацию криптоалгоритмов и требует только доступа к ключам)
- может использовать криптопровайдеры, отличные от стандартных
- какое дополнительное ПО (помимо драйверов токена) потребуется установить на рабочих станциях и серверах. Например, стандартный центр сертификатов Microsoft не поддерживает создание ключей для алгоритмов GOST, (а с другими токен может и не работать).
ИНСТРУКЦИЯ
электронной цифровой подписи
ФГБУ ПГН
Термины и определенияАдминистратор безопасности информации – лицо, организующее, обеспечивающее и контролирующее выполнение требований безопасности информации при осуществлении обмена электронными документами. В штатной структуре ИВЦ ФГБУ ПГН
Электронная цифровая подпись (ЭЦП) – реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации и позволяющий идентифицировать владельца ключа, а также установить отсутствие искажения информации в электронном документе.
Закрытый ключ подписи – уникальная последовательность символов, известная владельцу сертификата и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств ЭЦП.
Открытый ключ подписи – уникальная последовательность символов, соответствующая закрытому ключу подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения подлинности ЭЦП в электронном документе.
Сертификат ключа подписи (сертификат) – документ на бумажном носителе или электронный документ, который включает в себя открытый ключ ЭЦП и который выдается удостоверяющим центром для подтверждения подлинности ЭЦП и идентификации владельца сертификата.
Носитель ключевой информации (ключевой носитель) – материальный носитель информации, содержащий закрытый ключ подписи или шифрования.
Шифрование – способ защиты информации от несанкционированного доступа за счет ее обратимого преобразования с использованием одного или нескольких ключей.
2. Общие положения
2.1. Настоящая Инструкция предназначена для пользователей автоматизированных систем , использующих средства электронной цифровой подписи (ЭЦП).
2.2. Электронно-цифровая подпись юридически равносильна живой подписи ее владельца.
2.3. Криптографические методы защиты позволяют обеспечить защиту целостности и авторства электронной информации применением ЭЦП. Невозможность ввода информации от чужого имени (невозможность подделки ЭЦП) гарантируется при сохранении в тайне закрытого ключа ЭЦП пользователей.
2.4. Инструкция содержит основные правила обращения с системами электронного документооборота и ключами ЭЦП, строгое выполнение которых необходимо для обеспечения защиты информации при обмене электронными документами.
2.5. Лица, допущенные к работам с ключами ЭЦП, несут персональную ответственность за безопасность (сохранение в тайне) закрытых ключей подписи и обязаны обеспечивать их сохранность, неразглашение и нераспространение, несут персональную ответственность за нарушение требований настоящей Инструкции.
2.6. Непрерывная организационная поддержка функционирования автоматизированных рабочих мест (АРМ) с ЭЦП предполагает обеспечение строгого соблюдения всеми пользователями требований администратора безопасности.
2.7. Работу с ключами ЭЦП и шифрования координирует администратор безопасности (лицо, ответственное за безопасность информации). Администратор безопасности проводит инструктаж с пользователями по правилам изготовления, хранения, обращения и эксплуатации ключей, о чем делается запись в соответствующем журнале (см. Приложение).
3. Порядок генерации ЭЦП
3.1. Порядок генерации ЭЦП регламентируется соответствующим Регламентом Удостоверяющего центра.
3.2. Владельцы ЭЦП и ответственные исполнители ЭЦП назначаются приказом директора института или приказом руководителей филиалов института (см. Приложение).
3.3. Пользователь, обладающий правом ЭЦП (ответственный исполнитель ЭЦП), вырабатывает самостоятельно или в сопровождении администратора безопасности личный открытый ключ подписи, а также запрос на получение сертификата открытого ключа (в электронном виде и на бумажном носителе).
3.4. Сертификаты ЭЦП и сами ЭЦП выдаются ответственному должностному лицу института, его филиалов и подразделений по доверенности, согласно соответствующего Регламента удостоверяющего центра.
3.5. Формирование закрытых ключей подписи и шифрования производится на учтенные съемные носители информации:
· дискета 3.5’’;
3.6. Закрытые ключи изготавливаются в 2-х экземплярах: эталонная и рабочая копии. В повседневной работе используется рабочая копия ключевого носителя. Срок действия ключей – 1 год с момента выдачи сертификата.
3.7. Ни при каких обстоятельствах нельзя хранить ключи ЭЦП на жестких дисках АРМ.
Порядок хранения и использования ЭЦП4.1. Право доступа к рабочим местам с установленным программным обеспечением средств ЭЦП предоставляется только тем лицам, которые по приказу директора института или приказу руководителей его филиалов назначены ответственными исполнителями ЭЦП (см. Приложение) и им предоставлены полномочия на эксплуатацию этих средств.
4.3. В обязательном порядке для хранения ключевых носителей в помещении должно использоваться металлическое хранилище (сейф , шкаф, секция) заводского изготовления, оборудованное приспособлением для его опечатывания. Опечатывание хранилища должно производиться личной печатью ответственного исполнителя ЭЦП или его владельца.
4.4. Хранение ключевых носителей допускается в одном хранилище с другими документами и ключевыми носителями, при этом отдельно от них и в упаковке, исключающей возможность негласного доступа к ним. Для этого ключевые носители помещаются в специальный контейнер, опечатываемый личной металлической печатью ответственного исполнителя или владельца ЭЦП.
4.5. Транспортирование ключевых носителей за пределы организации допускается только в случаях, связанных с производственной необходимостью. Транспортирование ключевых носителей должно осуществляться способом, исключающим их утрату, подмену или порчу.
4.6. На технических средствах, оснащенных средствами ЭЦП, должно использоваться только лицензионное программное обеспечение фирм-производителей.
4.7. Должны быть приняты меры по исключению несанкционированного доступа посторонних лиц в помещения, в которых установлены технические средства ЭЦП.
4.8. Запрещается оставлять без контроля вычислительные средства, на которых эксплуатируется ЭЦП после ввода ключевой информации. При уходе пользователя с рабочего места должно использоваться автоматическое включение парольной заставки.
4.9. Ответственные исполнители ЭЦП обязаны вести журнал учета ключевых документов и своевременно заполнять его (см. Приложение).
4.10. Ключевая информация содержит сведения конфиденциального характера, хранится на учтенных в установленном порядке носителях и не подлежит передаче третьим лицам (см. Приложение).
4.11. Носители ключевой информации относятся к материальным носителям, содержащим информацию ограниченного распространения и должны быть учтены по соответствующим учетным формам (см. Приложение).
4.12. Формирование закрытых ключей подписи и шифрования производится на учтенные съемные носители информации:
· дискета 3.5’’;
· идентификатор Touch-Memory DS1993 – DS1996;
· идентификатор Rutoken и т. д.
4.13. Закрытые ключи изготавливаются в 2-х экземплярах: эталонная и рабочая копии. В повседневной работе используется рабочая копия ключевого носителя. Срок действия ключей – 1 год с момента выдачи сертификата.
4.14. Ни при каких обстоятельствах нельзя хранить ключи ЭЦП на жестких дисках АРМ.
4.15. При физической порче рабочей копии ключевого носителя, пользователь немедленно уведомляет об этом администратора безопасности. Администратор безопасности в присутствии пользователя изготовляет очередную рабочую копию ключевого носителя с эталонной копии с отражением выполненных действий в соответствующих учетных формах.
4.16. Ключевой носитель извлекается из опечатанного контейнера только на время работы с ключами. Перед вскрытием контейнера необходимо проверить целостность печати и ее принадлежность. В нерабочее время опечатанный контейнер с ключевыми носителями должен находиться в хранилище.
4.17. При необходимости временно покинуть помещение, в котором проводятся работы с использованием ЭЦП, ключевой носитель должен быть вновь помещен в контейнер и опечатан.
· осуществлять несанкционированное администратором безопасности копирование ключевых носителей;
· разглашать содержимое ключевых носителей и передачу самих носителей лицам, к ним не допущенным, а также выводить ключевую информацию на дисплей и принтер;
· использовать ключевые носители в режимах, не предусмотренных правилами пользования ЭЦП, либо использовать ключевые носители на посторонних ПЭВМ;
· записывать на ключевые носители постороннюю информацию.
Порядок уничтожения ключей на ключевых носителях5.1. Приказом директора института или руководителей его филиалов и подразделений должна быть создана комиссия по уничтожению ключевой информации.
5.2. Ключи должны быть выведены из действия и уничтожены в следующих случаях:
· плановая смена ключей;
· изменение реквизитов ответственного исполнителя (владельца) ЭЦП;
· компрометация ключей;
· выход из строя (износ, порча) ключевых носителей;
· прекращение полномочий пользователя ЭЦП.
5.3. Уничтожение ключей может производиться путем физического уничтожения ключевого носителя, на котором они расположены, или путем стирания (разрушения) ключей без повреждения ключевого носителя. Ключи стирают по технологии, принятой для соответствующих ключевых носителей многократного использования (дискет, Touch Memory, Rutoken и т. п.). Непосредственные действия по стиранию ключевой информации регламентируются эксплуатационной и технической документацией.
5.4. Ключи должны быть уничтожены не позднее 10 суток после вывода их из действия (окончания срока действия). Факт уничтожения оформляется актом (см. Приложение) и отражается в соответствующих учетных формах (см. Приложение). Экземпляр акта должен быть передан в ИВЦ инженеру по защите информации не позднее 3 суток после уничтожения ключевой информации.
Действия при компрометации ключей6.1. Компрометация ключа – утрата доверия к тому, что используемые ключи обеспечивают безопасность информации.
6.2. К событиям, связанным с компрометацией ключей, относятся, включая, но не ограничиваясь, следующие:
· потеря ключевых носителей;
· потеря ключевых носителей с последующим обнаружением;
· нарушение правил хранения и уничтожения (после окончания срока действия ключа);
· возникновение подозрений на утечку информации или ее искажение;
· нарушение печати на контейнере с ключевыми носителями;
· случаи, когда нельзя достоверно установить, что произошло с ключевыми носителями (в т. ч. случаи, когда ключевой носитель вышел из строя и доказательно не опровергнута возможность того, что данный факт произошел в результате несанкционированных действий злоумышленника).
6.3. При компрометации ключа пользователь немедленно прекращает обмен электронными документами с другими пользователями и извещает о факте компрометации администратора безопасности и инженера по защите информации ИВЦ института.
6.4. По факту компрометации ключей должно быть проведено служебное расследование с оформлением уведомления о компрометации.
6.5. Факт компрометации закрытых ключей подписи должен быть подтвержден официальным уведомлением института в адрес Удостоверяющего центра о компрометации в письменном виде. Уведомление должно содержать идентификационные параметры сертификата, дату и время компрометации, характер компрометации, подпись владельца ключа подписи, подпись руководителя и печать института или его филиала.
6.6. Выведенные из действия скомпрометированные ключи уничтожаются (см. п.5.2 настоящей Инструкции), о чем делается запись в журнале учета ЭЦП (см. Приложение).
Обязанности Администратора безопасности информации7.1. Администратор безопасности проводит опечатывание системных блоков рабочих станций с установленным средством ЭЦП, исключающее возможность несанкционированного изменения аппаратной части рабочих станций. При этом номер пломбы заносится в Учетную карточку персонального компьютера и в Журнал заявок на ремонт персональных компьютеров и оргтехники.
7.2. Администратор безопасности инструктирует Пользователей систем электронного документооборота по правилам обращения с ЭЦП.
7.3. Администратор безопасности контролирует целостность аппаратных средств и программных продуктов, используемых для систем электронного документооборота, в которых используются ЭЦП.
7.4. Контроль за правильностью и своевременностью выполнения регламентных работ с ЭЦП осуществляет Администратор безопасности и уполномоченные лица Удостоверяющего центра.
7.5. Администратор безопасности осуществляет непрерывный контроль за всеми действиями Пользователей систем электронного документооборота, в которых используются ЭЦП.
7.6. Не реже чем 2 раза в год Администратор безопасности информации проводит проверки всех АРМ пользователей, используемых для систем электронного документооборота на предмет соблюдения требований действующих Регламентов Удостоверяющих центров и настоящей Инструкции.
Обязанности Ответственных исполнителей ЭЦП8.1. Ответственные исполнители ЭЦП при работе с ключевыми документами обязаны руководствоваться положениями соответствующего Регламента Удостоверяющего центра и настоящей Инструкции.
8.2. Ответственные исполнители ЭЦП обязаны организовать свою работу по генерации ЭЦП в полном соответствии с положениями соответствующего Регламента Удостоверяющего центра и п.3 настоящей Инструкции.
8.3. Ответственные исполнители ЭЦП обязаны организовать свою работу с ключевыми документами в полном соответствии с п.4 настоящей Инструкции.
8.4. Уничтожение ключевой информации с ключевого носителя может производится только в полном соответствии с положениями соответствующего Регламента Удостоверяющего центра и п.5 настоящей Инструкции.
8.5. В случае каких-либо изменений реквизитов ЭЦП (плановая смена ключей, изменение реквизитов владельцев или Ответственных исполнителей, генерация новой ЭЦП, и др.) в течении 3 суток Ответственные исполнители ЭЦП обязаны предоставить Администратору безопасности информации следующие документы:
◦ копию Приказа о назначении Владельцев и Ответственных исполнителей ЭЦП;
◦ копию Сертификата новой ЭЦП;
◦ копию Акта на уничтожение ключей ЭЦП (см. Приложение).
8.6. Ответственные исполнители ЭЦП обязаны выполнять требования Администратора безопасности информации в части, касающейся обеспечения информационной безопасности института, его подразделений и филиалов.
Обязанности Техников клиник9.1. Техники клиник не являются непосредственными участниками электронного документооборота и не могут быть допущены к ключевым документам.
9.2. В случае необходимости проведения технического обслуживания или других работ на АРМ Ответственных исполнителей ЭЦП, связанного с нарушением целостности пломбы на системных блоках, техники клиник в обязательном порядке делают отметку в Журнале заявок на ремонт персональных компьютеров и оргтехники о срыве пломбы с указанием ее номера. После проведения необходимых работ Техник опечатывает системный блок номерной пломбой с указанием ее номера в Журнале заявок на ремонт персональных компьютеров и оргтехники и Учетной карточке персонального компьютера.
9.3. Не реже чем 1 раз в месяц техники клиник обязаны проверять наличие обновленных сведений об ЭЦП в соответствующих Журналах учета ключевых документов (ведется Ответственными исполнителями ЭЦП, согласно п. 4.9 настоящей Инструкции) и информировать Администратора безопасности информации обо всех обновленных сведениях об ЭЦП.
Приложение
по правилам обращения с ключевыми документами
электронной цифровой подписи
на уничтожение ключей ЭЦП (шифрования)
"_____" ____________________ 200__г
Комиссия, __________________________________________________________________________
(наименование организации, номер и дата приказа)
в составе: председателя ______________________________________________________________,
и членов комиссии____________________________________________________________________
в присутствии пользователя КД по причине ______________________________________________
(окончание срока действия, прекращение полномочий, компрометация)
подготовила к уничтожению ключевые документы стиранием ключевой информации:
Таблица 1.*
Ключевой носитель | Учетный № | Экз. № | Реквизиты сертификата | |
Комиссия установила, что при подготовке данных информация с ГМД, указанных в табл. 2, не считывается. Перечисленные ГМД к дальнейшему использованию не пригодны и подлежат уничтожению измельчением магнитных дисков.
Таблица 2.*
Ключевой носитель | Учетный № | Экз. № | Реквизиты сертификата | Ф. И.О. владельца сертификата ключа ЭЦП |
Члены комиссии:
____________________________ __________________________________________ (подпись) (Ф. И.О)
«Разрешаю уничтожить»
____________________________________
(руководитель организации)
____________________________________
(подпись) (Ф. И.О.)
МП «_____» ____________200__г.
Ключевые документы, перечисленные в табл. 1, уничтожены стиранием ключевой информации двойным форматированием.
Ключевые документы, перечисленные в табл. 2, уничтожены методом измельчения магнитных дисков.
Члены комиссии:
____________________________ __________________________________________ (подпись) (Ф. И.О)
____________________________ __________________________________________ (подпись) (Ф. И.О)
Акт экз. №1 - в дело
Акт экз. №2 - в отдел РСиБИ УФК.
* Примечание: Таблица 1 заполняется при стирании ключевой информации с ГМД.
Таблица 2 заполняется при уничтожении ключевого носителя.
Приложение
по правилам обращения с ключевыми документами
электронной цифровой подписи
Форма Приказа о назначении Владельцев и Ответственных исполнителей ЭЦП
«____» ______________ 201 г. № _________
О назначении владельцев и ответственных исполнителей электронно-цифровой подписи
С целью обеспечения контроля за целостностью передаваемых электронных документов с применением электронно-цифровой подписи (ЭЦП) на ((наименование системы электронного документооборота))
ПРИКАЗЫВАЮ:
1. Назначить основным владельцем ЭЦП ((должность, ФИО владельца ЭЦП))
2. Назначить ответственным исполнителем и поручить исполнение обязанностей по постановке ЭЦП на электронных документах ((наименование системы электронного документооборота)), ((должность, ФИО ответственного исполнителя ЭЦП)).
3. Все действия должностных лиц, связанных с системой электронного документооборота ((наименование системы электронного документооборота)) в отношении этой системы организовать в строгом соответствии с действующим Регламентом Удостоверяющего центра и требованиями Инструкции по правилам обращения с ключевыми документами электронной цифровой подписи ФГУ «Пятигорский ГН».
4. Контроль за исполнением настоящего приказа оставляю за собой
Директор ((подпись)) ((ФИО директора))
Основным владельцем ЭЦП как правило назначается директор или его заместитель.
Защиту электронной документации, как, наверное, многим известно обеспечивает электронная цифровая подпись. Именно благодаря электронной подписи, документы хранящие в электронном виде обретают ту же самую юридическую силу, что и документы на бумажных носителях скрепленные печатью и собственноручной подписью. Именно поэтому хранение ЭЦП, от кражи или фальсификации, для владельца сертификата должно стать первостепенной задачей при организации всего электронного документооборота.
Как показывает практика, хранить ЭЦП на диске, флешке или реестре своего рабочего компьютера это не только далеко не безопасно, но и способно создать ряд лишних сложностей, так как шифрование ключа осуществляется непосредственно на пользовательском компьютере, а значит и информация практически никак не защищена, а доступ к ней может получить практически кто угодно. К тому же диски и флешки, как в принципе и любой другой носитель информации могут быть испорчены злоумышленниками, а вся информация, которая хранится на них, потеряна, в связи, с чем сегодня возникает острая необходимость в более безопасных и надежных носителях информации.
Специалисты советуют хранение ЭЦП осуществлять на специальных токенах, которые нужно сказать имеют большое количество неоспоримых достоинств. Внешне токиен похож на стандартную флешку, вот только объемом памяти он ее значительно превосходит. К тому же шифрование происходит непосредственно на токене, а доступ к информации, размещенной на нем возможен только после того как пользователь вводит PIN-код.
Взломать или подобрать Пин-код практически невозможно, к тому же все eToken имеют счетики неудачных попыток на ввод пароля, после того как заканчивается отведенный лимит, происходит блокировка PIN-кода. Пин ни когда не когда не передается вместе с данными по сети, а значит перехватить его невозможно. Такой токен может прослужить своему владельцу от пяти до двадцати лет. По внешнему виду он напоминает небольшой брелок, который подключаются к компьютерам через USB-порт и не требует проводов, блоков питания или специальных считывателей.
Помимо eToken хранение ЭЦП можно осуществлять на Rutoken, эти два носителя различаются между собой объемом защищенной памяти и производителем. Rutoken как понятно из названия производится в России и имеет в среднем около 32 гигабайт памяти, при желании на него можно сохранить до 7 ключей электронной подписи.
Любая утрата важной информации может обернуться самыми серьезными последствиями, именно поэтому хранить ключи ЭЦП необходимо долговечных, удобных и защищенных носителях, которые позволят избежать длительной процедуры создания нового сертификата и ключа электронной подписи.
Все
тарифы на электронные подписи Вы можете посмотреть
в разделе .
На сегодняшний момент ЭЦП и ее аналоги все активнее внедряются в жизнь и используются в деловых процессах, несмотря на несовершенство законодательства. В оперативной работе ЭЦП удобна и эффективна, но долговременное хранение документов, подписанных электронной подписью, представляет собой серьезную проблему, которая до конца нигде в мире не решена. Поскольку технология еще очень молода, то и исследований в области обеспечения сохранности электронных документов с ЭЦП немного.
Российские государственные органы, регламентируя оперативную работу с электронными документами, не задумываются, что с ними будет происходить в дальнейшем. При установлении сроков хранения не учитываются их особенности, а зачастую вообще игнорируется их существование. Распространение установленных Законом «Об архивном деле в Российской Федерации» сроков ведомственного хранения на электронные документы неминуемо приведет к потере значительной части информации, поскольку требуется иная организация хранения. Позаботиться о длительном хранении электронных документов нужно в момент их создания.
Есть несколько важных вопросов, которые организации придется решать при долговременном хранения документов с ЭЦП:
- Как обеспечить проверку ЭЦП на протяжении длительного периода времени, и нужно ли это? Как доказывать аутентичность, целостность и т.д. соответствующих электронных документов?
На вопрос о необходимости хранения документов с ЭЦП ответ дает действующее законодательство и нормативные акты, которые предусматривают как минимум среднесрочное (5-10 лет) сохранение электронных документов с возможностью проверки ЭЦП. На большую часть остальных вопросов ответов пока нет, но уже есть требования, которые нужно исполнять.
- Что делать с подписанными электронным образом документами постоянного срока хранения? В отличие от бумажных, которые могут веками лежать на архивных полках, электронные документы не могут храниться в неизменном виде более 7-10 лет. После этого срока или теряет надежность носитель информации, или устаревает оборудование, программное обеспечение или формат, в котором документ записан. Именно поэтому говорить о 75 годах хранения в организации электронных документов просто немыслимо — принимать на хранение будет уже нечего. Только немногие организации располагают кадрами, опытом и ресурсами, необходимыми для организации такой работы.
- ЭЦП не неуязвима, и со временем может быть скомпрометирована и/или подделана. Подделка «старых» ЭЦП может иметь не менее катастрофические последствия, чем подделка действующих. Уже сейчас законодательство допускает подписание цифровой подписью документов, имеющих существенное финансовое и юридическое значение. Нужно подумать о том, как защититься от появления через 10-20 лет массы подложных электронных документов, якобы относящихся к началу 21 века и заверенных «правильными» ЭЦП. Если не позаботиться о соответствующих организационных и иных мерах защиты сегодня, то впоследствии возможны крупные неприятности.
Требования к организации
делопроизводства и документооборота
Для того, чтобы интересы организации были должным образом защищены, необходимо заранее продумать, в каком объеме и каким образом информация об ЭЦП должна быть отражена в самом документе и его метаданных.
Национальные Архивы США еще в 2000 году включили в «Руководство по управлению документами для агентств, использующих электронные подписи» требования о том, что все подписанные электронным образом документы при выводе в человеко-читаемом виде (на бумагу или на экран монитора) должны содержать:
- имя отправителя или лица, который этот документ подписал,
- дату и время подписания,
- ясно сформулированные намерения подписавшего, т.е. текст типа:
- «одобряю»,
- «отправитель берет на себя ответственность за транзакцию»,
- «отправитель уполномочен подписать за кого-то еще» и т.п.
Эти требования нацелены на то, чтобы обеспечить удобство работы с документами в течение длительного времени, в том числе и тогда, когда уже не будет возможности осуществить проверку ЭЦП.
Многие наши организации, расшифровывая ЭЦП, тоже включают в печатный вариант документа данные о лице, его подписавшем, и дату подписания. Третье требование у нас, как правило, не применяется, а жаль — «электронная резолюция», из которой ясны намерения подписавшего, делает документ более «неотказуемым».
Требования к документообороту и к деятельности службы ДОУ направлены на то, чтобы обеспечить сохранение всех необходимых документов. Для этого служба ДОУ организации должна:
- включать в систему документооборота организации все документы, возникающие в процессе использования ЭЦП и инфраструктуры открытых ключей, а также сохранять метаданные, достаточные для поиска и работы с ними;
- сохранять данный набор документов в течение того же периода времени, что и сам документ с ЭЦП.
- не обеспечивается целостность документов, и они могут быть модифицированы пользователем;
- документы доступны только отдельным пользователям, и в результате они не становятся корпоративным ресурсом;
- возникают сложности с установлением для таких документов сроков хранения, проведением экспертизы ценности и выделением их на уничтожение.
Лучше всего организовать хранение всего комплекта документов, связанных с использованием ЭЦП, в системах электронного документооборота, поскольку такие системы позволяют:
- обеспечить защищенное хранение, контроль и протоколирование доступа к ним;
- назначить и отследить сроки хранения;
- провести контролируемое конфиденциальное уничтожение по истечении сроков хранения.
Американские специалисты отмечают, что технологии, связанные с использованием ЭЦП, пока еще очень молоды и не прошли «огонь и воду» судебных разбирательств. Поэтому рекомендуется подумать о том, как «подстелить соломку» и запастись достаточным комплектом документов на тот случай, если придется идти в суд:
- сообщение о том, что ЭЦП успешно проверена,
- дату и время проверки документа,
- идентификатор операции,
- ссылку на внутренние нормативные документы, регламентирующие работу (включая дату и версию документа),
- другую информацию, которую организация сочтет необходимым зафиксировать.
Документирование использования
электронно-цифровых подписей
в организации
Любое изменение в системе документооборота организации, как правило, влечет за собой изменение состава документации. Внедрение новых технологий не является исключением: в организациях возникает целый комплект новых, ранее не существовавших документов, которые тоже необходимо брать на учет и сохранять в строгом соответствии с законодательством, с тем, чтобы в любых спорных ситуациях организация могла доказать свою правоту.
В процессе передачи информации могут создаваться и сохраняться следующие документы:
- В организациях-отправителях и получателях:
- собственно передаваемый документ,
- сертификат ключа отправителя,
- запросы/ответы по проверке сертификатов,
- внутренние нормативные документы, регламентирующие порядок использования сертификатов ключей,
- соглашения или договора между участниками информационного обмена об использовании ЭЦП,
- уведомления об отзыве или компрометации сертификатов открытых ключей,
- квитанции о принятии документа либо об отказе в приеме документа,
- документы, фиксирующие конфигурацию используемого программного обеспечения,
- документы по тестированию и проверке программного обеспечения.
- В удостоверяющих центрах:
- внутренние нормативные документы удостоверяющего центра, определяющие правила работы с сертификатами ключей (в том числе порядок организации выдачи сертификатов и порядок хранения аннулированных сертификатов),
- реестры сертификатов ключей,
- списки отозванных и утративших силу сертификатов,
- документация взаимного удостоверения удостоверяющих центров,
- протоколы и журналы аудита информационной системы удостоверяющего центра.
Если ЭЦП используется в корпоративной информационной системе и владельцем удостоверяющего центра является одна из организаций — участников информационного обмена, то эта организация должна документировать деятельность своего удостоверяющего центра.
Перечисленные списки документов отражают наиболее простой вариант использования инфраструктуры открытых ключей. Если используются более сложные варианты, то, соответственно, количество документов возрастает.
Правильно задокументировать работу с ЭЦП — задача важная, но еще важнее организовать надежное хранение всех документов, в строгом соответствии с требованиями законодательства. Проблем здесь еще больше, и решить их очень и очень непросто.
Организация хранения документов с ЭЦП
Говорить о применении ЭЦП в отрыве от вопросов организации документооборота и архивного хранения документов, мягко говоря, нелогично, — но почему-то именно так принято поступать. Ни государственные мужи, ни специалисты информационных технологий, как правило, не задумываются о том, что документы нужны не только для оперативной деловой деятельности и управления. Они, помимо прочего, фиксируют разнообразные права и обязательства государства, частных лиц и организаций, произошедшие события, принятые решения и последствия совершенных действий. Такие документы подлежат постоянному или длительному хранению, и вот именно здесь ЭЦП из полезного для оперативной работы инструмента превращается в занозу.
Чем больше электронных документов использует в своей работе организация, тем раньше она сталкивается с проблемами в области документооборота и архивного хранения.
Организации необходимо учитывать требования, которые имеются в законодательных и нормативных актах , регулирующих работу с ЭЦП, по организации хранения ряда документов.
Фрагмент документа
|
Федеральный закон «Об электронной цифровой подписи» от 10.01.2002 г. № 1-ФЗ Статья 7. Срок и порядок хранения сертификата ключа подписи в удостоверяющем центре 1. Срок хранения сертификата ключа подписи в форме электронного документа в удостоверяющем центре определяется договором между удостоверяющим центром и владельцем сертификата ключа подписи. При этом обеспечивается доступ участников информационной системы в удостоверяющий центр для получения сертификата ключа подписи. 2. Срок хранения сертификата ключа подписи в форме электронного документа в удостоверяющем центре после аннулирования сертификата ключа подписи должен быть не менее установленного федеральным законом срока исковой давности для отношений, указанных в сертификате ключа подписи. По истечении указанного срока хранения сертификат ключа подписи исключается из реестра сертификатов ключей подписей и переводится в режим архивного хранения. Срок архивного хранения составляет не менее, чем пять лет. Порядок выдачи копий сертификатов ключей подписей в этот период устанавливается в соответствии с законодательством Российской Федерации. 3. Сертификат ключа подписи в форме документа на бумажном носителе хранится в порядке, установленном законодательством Российской Федерации об архивах и архивном деле. |
По правилам делопроизводства срок хранения устанавливается в зависимости от значимости документа и информации, которая в нем содержится, и не зависит от вида носителя и от наличия ЭЦП. Хранение документов, подписанных ЭЦП, должно быть организовано таким образом, чтобы гарантировать возможность проверки подлинности подписи, а удостоверяющий центр должен будет обеспечить такой же срок хранения своих документов, оборудования и программного обеспечения — и в рабочем состоянии!
Если организация сдает какую-либо отчетность в электронном виде , то необходимо определить порядок ее сохранения в организации, с тем, чтобы обеспечить целостность, подлинность и аутентичность электронных документов.
Фрагмент документа
|
Порядок представления налоговой декларации в электронном виде по телекоммуникационным каналам связи
2. 3. При представлении налоговой декларации в электронном виде налогоплательщик соблюдает следующий порядок электронного документооборота:
|
Пока еще не решен вопрос о том, как государство будет выполнять свои обязанности , вытекающие из ст.15 п.2 Закона об ЭЦП, в соответствии с которой при ликвидации негосударственных удостоверяющих центров их документация, а также обязанности по проверке «старых» подписей (см. ст.4 п.1) переходят к «уполномоченному федеральному органу исполнительной власти». Сейчас вопросами удостоверяющих центров занимается Федеральное агентство по информационным технологиям (ФАИТ) при Мининформсвязи.
В Положении «О Федеральном агентстве по информационным технологиям», утвержденном постановлением Правительства Российской Федерации от 30 июня 2004 г. № 319 в разделе о полномочиях этого органа исполнительной власти записано, что он должен организовывать:
- подтверждение подлинности электронных цифровых подписей уполномоченных лиц удостоверяющих центров в выданных ими сертификатах ключей подписей;
- ведение единого государственного реестра сертификатов ключей подписей удостоверяющих центров и реестра сертификатов ключей подписей уполномоченных лиц федеральных органов государственной власти, а также обеспечивает доступ к ним граждан, организаций, органов государственной власти и органов местного самоуправления.
Но вот кто будет отвечать за остальную документацию, кто будет ее хранить и, самое главное, подтверждать подлинность ЭЦП — неясно до сих пор!
В интернете чаще всего можно встретить оптимистические рассказы о том, как хорошо и удобно хранить документы, подписанные ЭЦП. Никаких проблем, одни удобства и сплошное удовольствие:
Электронная подпись сегодня используется для защиты документа, существующего в электронном виде, от подделки. На основании ФЗ №63 , ее возможно использовать для защиты электронной версии документов и при работе с различными государственными структурами. В этом законе прописано, как использовать ее и получать физическим и юридическим лицам. Как пользоваться электронной подписью
Электронная подпись является инструментом для установления отсутствия искажения в документах с момента подписи. Перед ее использованием пользователю требуется пройти процедуру соответствующего сертификата. Специальный сертификат является подтверждением принадлежности подписи физическому или юридическому лицу. Получить такой документ возможно только в специализированных удостоверяющих центрах или у их доверенных представителей. Существует два вида ключей для электронной подписи:
- Закрытого типа.
- Открытого типа.
В случае с закрытым ключом или паролем к доступу для данной подписи, нельзя сообщать код никому. Пароль необходим для проверки подлинности подписи.
Согласно положениям , существует несколько видов ЭП:
- Простая . Чаще всего используется физическими лицами. Ее можно поставить на документ путем введения специального кода, который предоставляется удостоверяющим центром.
- Усиленная неквалифицированная . Ее можно получить в следствии криптографического преобразования информации. Она может выявить факт изменения данных после подписания, а также существует механизм идентификации личности, которая поставила подпись под электронным документом.
- Усиленная квалифицированная . Аналогичная предыдущей, однако используются специальные коды шифрования, которые сертифицированы ФСБ.
Важно! Заверенные электронной подписью документы обладают аналогичной юридической силой с теми бумагами, которые подписываются лично. Использование усиленной квалифицированной подписи эквивалентно собственноручной подписи с заверением печати.
Область применения
Согласно ФЗ №63, существует несколько областей применения такого рода подписи. В частности, ее используют в следующих случаях:
| Где используется | Простая ЭП | Неквалифицированная ЭП | Квалифицированная ЭП |
|---|---|---|---|
| Ведение внутреннего и внешнего документооборота | + | + | + |
| Арбитражный суд | + | + | + |
| Заключение договоров с физическими лицами | + | + | + |
| Работа с контрольно-ревизионными государственными структурами | + | + | |
| Электронные торги | + |
Как начать пользоваться такой подписью
Перед тем, как начать ее использовать, требуется ее оформить. Сделать это можно путем обращения , который имеет лицензию на выдачу ЭП. Для оформления необходимо:
- Иметь персональный компьютер.
- Иметь лицензионное программное обеспечение для работы на компьютере.
- Выбрать лицо, на которое будет оформляться электронная подпись.
- Определить способ получения подписи и заключить договор с центром.
- Оплатить услуги и получить ключ.
В зависимости от центра, необходимы различные документы. Чаще всего требуется:
- Заявка установленного образца, где будет минимальная необходимая информация о заявителе (компании в праве запрашивать расширенные анкетные данные).
- Паспорт заявителя.
- ИНН и СНИЛС заявителя.
- Квитанция об оплате услуг удостоверяющего центра.
Если необходим квалифицированный сертификат, то потребуются:
- Учредительные документы организации.
- Выписка из ЕГРЮЛ.
Важно! Ключ действует в течение одного года, а при его оформлении обязательно личное присутствие заявителя. Далее требуется продление путем написания соответствующего заявления в удостоверяющий центр. При этом не обязательно личное присутствие в центре, достаточно отправить заявление по электронной почте или заказным письмом. Какие именно условия продления действуют в конкретно взятом центре необходимо уточнять у его специалистов. Чаще всего требуется только произвести оплату за следующий год и предоставить заявление.
Как правильно использовать электронную подпись
Получив желаемый ключ, не все знают, как правильно его использовать. На самом деле все достаточно просто:
- Установите на свой ПК или ноутбук лицензионное ПО, полученное из удостоверяющего центра.
- Установите библиотеки «Cadescom» и «Capicom».
Стоит рассмотреть данный момент более подробно.
- В Word 2007 требуется нажать на значок офиса, выбрать «Подготовить» и «Добавить ЦП». После этого вы добавляете цель подписания документа и выбираете подпись. Нажав на кнопку «Подписать», вы получаете желаемый результат. Подпись документа в Word 2007
- При работе в Word 2003 необходимо выбрать «Сервис» – «Параметры» – «Безопасность» – «ЦП» – «Сертификат» – «Ок». Подпись документа в Word 2003
- Для работы с файлами в формате pdf существуют специальные программы типа Acrobat и Adobe reader. Необходимо приобрести полную их версию для работы с ЭП, так как вам требуется криптомодуль. Кнопка подписи документа Схема подписания документа
- Подпись в HTML варианте также возможна. Современные браузеры приспособлены к работе с ЭП, поэтому у вас будет соответствующая кнопка для подписания документа. Однако необходимо, чтобы установлено все требуемое программное обеспечение на ПК.
Выглядеть данная подпись может по-разному. Чаще всего это небольшое изображение в виде штампа. У государственных организаций она имеет форму печати, где указывается, что электронная печать усилена квалифицированной подписью.
Что делать, если электронная подпись не работает
Существует несколько стандартных ситуаций, когда подпись не работает. Решить типичные проблемы не составляет труда без обращения в службу сервисной поддержки. Рассмотрим основные проблемы.
| Проблема | Решение |
|---|---|
| Сертификат не действителен | Требуется установить его, согласно инструкции специалиста центра, который выдавал сертификат |
| К сертификату нет доверия | Тогда вам требуется установить новые сертификаты. Обычно они предоставляются вместе с электронной подписью. Также их возможно скачать на официальном сайте центра или Ассоциации торговых площадок |
| Истек срок действия КриптоПро | Вам требуется ввести уникальный код КриптоПро, который вы получили вместе с электронной подписью |
| Не установлен Capicom | Скачайте его, закройте браузер и установите программу. Далее необходимо осуществит настройку в соответствии с требованиями площадки, в которой вы собираетесь работать |
| Несоответствие закрытого ключа заданному сертификату | Стоит обратиться в удостоверяющий центр для решения проблемы. Перед этим настоятельно рекомендуется проверить все закрытые контейнеры. Есть вероятность, что вы выбрали активным не тот |
| Действительные сертификаты не были обнаружены или не отображается выбор сертификата | Проверьте срок действия вашей лицензии. Если он истек, то обратитесь в центр. Если все в порядке, то переустановите его |
Многие интересуются, можно ли взломать электронную подпись? На самом деле все выполнено таким образом, что подделать ее практически невозможно, если ее владелец умышленно не предоставил третьим лицам к паролям. Чтобы полностью защитить себя от факта мошенничества рекомендуется покупать квалифицированную электронную подпись. Ее возможно использовать при работе с любыми учреждениями.
Где хранится электронная подпись
Чтобы уточнить, какие именно сертификаты установлены на ПК, необходимо войти в свойства браузера. Заходим в свойства браузера
Потом потребуется войти во вкладку «Содержание», выбрав раздел «Сертификаты». Здесь и указана информация обо всех установленных сертификатах. Входим во вкладку «Содержание», выбрав раздел «Сертификаты»
Также возможно найти необходимые сертификаты в реестре. Обычно они расположены по следующему адресу: HKEYLOCAL_MACHINESOFTWAREWow6432NodeCrypto ProSettingsUsersS-1-5-23…Keys
Особенности хранения электронных документов
Согласно ГОСТ Р 51141-98, электронные документы необходимо хранить столько же, сколько бумажные. Однако существует несколько особенностей. Например, если закон требует хранить документ в течение пяти лет, подпись действует всего год. Согласно ФЗ-63, нет необходимости ставить подпись каждый год на архивных документах. Они продолжают иметь юридическую силу, несмотря на смену кода электронной подписи. Носитель ключа электронной подписи
Важно! при проставлении электронной подписи автоматически прописывается дата, таким образом, становится понятно, что штамп был действителен на момент его проставления. При возникновении различных спорных ситуаций, можно обратиться в удостоверяющий центр. Там, получив требуемые данные, есть возможность проверить, кто именно поставил подпись под текстом документа.
Таким образом, электронная подпись может использоваться наравне с обычной. Сфера ее применения подробно изложена в ФЗ-63. Она охватывает все сферы гражданско-правовых отношений, отношений между юридическими лицами и работу с государственными структурами.
Видео – Электронная цифровая подпись (ЭЦП): регистрация и использование
Видео – Как подписать электронной подписью (ЭЦП) документ Microsoft Word 2007