Простая и неквалифицированная электронная подпись (ЭП) могут храниться на любых носителях, так как в Федеральном законе №63-ФЗ «Об электронной подписи» нет никаких указаний на этот счет. К вопросу хранения квалифицированной ЭП нужно отнестись серьезнее. Эта подпись приравнена к собственноручной, она используется в электронных торгах и при заключении важных сделок с контрагентами. Поэтому безопаснее хранить ее на защищенном носителе, сертифицированном ФСБ.
Защищенные носители для квалифицированной электронной подписи
Токен (eToken, Рутокен и др.)
Надежный и удобный носитель в виде USB-брелока. Подходит для большинства применений, кроме ЕГАИС. С его помощью можно отправить отчет в налоговую или Росстат, подписать договор и участвовать в электронных торгах. Чтобы подписывать документы с помощью токена, на компьютер нужно установить средство криптографической защиты информации (СКЗИ).
Токен со встроенным СКЗИ (Рутокен ЭЦП, Рутокен ЭЦП 2.0, JaCarta PKI/ГОСТ/SE)
Носитель, который похож на обычный токен, но обладает встроенным СКЗИ. Используя электронную подпись на таком носителе, вы сможете подписывать документы на любом компьютере без покупки дополнительного ПО. Рутокен ЭЦП подходит для дистанционного банковского обслуживания, работы на госпорталах, сдачи отчетности и документооборота. Он не предназначен для работы с торговыми площадками и ЕГАИС. Рутокен ЭЦП 2.0, как и JaCarta PKI/ГОСТ/SE, используются только для работы с ЕГАИС.
Дополнительная защита электронной подписи
Доступ к подписи по пин-коду
На каждом съемном носителе электронной подписи установлен пин-код - комбинация символов, после ввода которой вы получаете доступ к подписи. Вводится пин-код каждый раз при подписании документа или любом другом обращении к ЭП. По умолчанию код стандартный, но вы можете убрать его совсем или поменять на свой. Мы подготовили инструкцию по смене для Рутокен , eToken , JaCarta . Если нужно, обратитесь в УЦ, и наш специалист поможет сменить пин-код.
Защита подписи от копирования
Ключи электронной подписи по умолчанию разрешено копировать на другие носители. Если хотите, вы можете включить защиту от копирования. Для этого при оформлении заявки сообщите менеджеру, что вам нужен неэкспортируемый ключ электронной подписи. В этом случае скопировать подпись с носителя будет невозможно, так как при любой попытке экспорта файлов система будет выдавать ошибку.
Незащищенные носители для квалифицированной электронной подписи
Теоретически ЭП можно записать на любой съемный носитель. Но файлы на USB-диске, дискете или другом носителе никак не защищены. Если злоумышленники их украдут и расшифруют, то смогут подписывать любые документы. Поэтому мы не рекомендуем хранить файлы электронной подписи на подобных носителях.
Запись ЭП в реестр ноутбука - популярный, но тоже небезопасный вариант хранения подписи. Любой, кто получит доступ к системе, сможет подписывать документы или создать копию ключа. Если понадобится переехать на другое рабочее место, то для переноса ключа электронной подписи понадобится помощь квалифицированного специалиста. ЭП можно и вовсе потерять, если с компьютером что-то случится.
О чем нужно помнить при хранении квалифицированной ЭП
Один носитель - для одного сотрудника
Если записать ЭП разных сотрудников на один носитель, то нарушится конфиденциальность закрытых ключей.
И по закону все подписи будут считаться недействительными.
Нельзя передавать свою ЭП другому человеку
Электронная подпись - это аналог собственноручной. Она служит идентификатором владельца. Если отдать ЭП другому
человеку, а он подпишет документ, с которым вы не согласны, то оспорить это решение не удастся.
Нельзя хранить ЭП в открытом доступе
Квалифицированную электронную подпись нужно хранить в сейфе или другом защищенном месте. Носитель, который
просто лежит на столе, легко украсть, чтобы подписать пару «лишних» документов. А когда вы это заметите,
то даже в суде не сможете доказать свою непричастность.
При смене реквизитов меняйте и ЭП
Компания изменила свое название, владелец ЭП уволился или поменял должность? Меняйте подпись. Не затягивайте
с этим, чтобы не столкнуться с пачкой платежек, подписанных неизвестно кем, и не нарушать п. 1 ст. 2 Федерального
закона №63-ФЗ «Об электронной подписи», требующий обеспечить точную идентификацию владельца ЭП. Для замены
электронной подписи обратитесь к менеджеру, который ее выдавал. Или свяжитесь с удостоверяющим центром «Тензор»
удобным для вас способом.
Вовремя продлевайте ЭП
Если не продлить электронную подпись, она станет недействительной. И вы не сможете подписать ни один электронный
документ, пока не получите новую ЭП в удостоверяющем центре. О том, как продлить электронную подпись, читайте
в нашей статье .
Защитите рабочее место
Антивирусное ПО защищает вас от любых неприятных сюрпризов. Вирусы способны имитировать поведение владельца
подписи, чтобы подписать несколько нужных злоумышленнику документов. И доказать, что подпись ставили не вы,
будет тяжело.
Не храните пароли на бумажках
Это правило - основа компьютерной безопасности. Оно относится не только к электронным подписям, но и ко всем
другим сферам. Пароль от токена, заботливо записанный на стикере возле компьютера, несказанно обрадует
злоумышленника.
На сегодняшний момент ЭЦП и ее аналоги все активнее внедряются в жизнь и используются в деловых процессах, несмотря на несовершенство законодательства. В оперативной работе ЭЦП удобна и эффективна, но долговременное хранение документов, подписанных электронной подписью, представляет собой серьезную проблему, которая до конца нигде в мире не решена. Поскольку технология еще очень молода, то и исследований в области обеспечения сохранности электронных документов с ЭЦП немного.
Российские государственные органы, регламентируя оперативную работу с электронными документами, не задумываются, что с ними будет происходить в дальнейшем. При установлении сроков хранения не учитываются их особенности, а зачастую вообще игнорируется их существование. Распространение установленных Законом «Об архивном деле в Российской Федерации» сроков ведомственного хранения на электронные документы неминуемо приведет к потере значительной части информации, поскольку требуется иная организация хранения. Позаботиться о длительном хранении электронных документов нужно в момент их создания.
Есть несколько важных вопросов, которые организации придется решать при долговременном хранения документов с ЭЦП:
- Как обеспечить проверку ЭЦП на протяжении длительного периода времени, и нужно ли это? Как доказывать аутентичность, целостность и т.д. соответствующих электронных документов?
На вопрос о необходимости хранения документов с ЭЦП ответ дает действующее законодательство и нормативные акты, которые предусматривают как минимум среднесрочное (5-10 лет) сохранение электронных документов с возможностью проверки ЭЦП. На большую часть остальных вопросов ответов пока нет, но уже есть требования, которые нужно исполнять.
- Что делать с подписанными электронным образом документами постоянного срока хранения? В отличие от бумажных, которые могут веками лежать на архивных полках, электронные документы не могут храниться в неизменном виде более 7-10 лет. После этого срока или теряет надежность носитель информации, или устаревает оборудование, программное обеспечение или формат, в котором документ записан. Именно поэтому говорить о 75 годах хранения в организации электронных документов просто немыслимо — принимать на хранение будет уже нечего. Только немногие организации располагают кадрами, опытом и ресурсами, необходимыми для организации такой работы.
- ЭЦП не неуязвима, и со временем может быть скомпрометирована и/или подделана. Подделка «старых» ЭЦП может иметь не менее катастрофические последствия, чем подделка действующих. Уже сейчас законодательство допускает подписание цифровой подписью документов, имеющих существенное финансовое и юридическое значение. Нужно подумать о том, как защититься от появления через 10-20 лет массы подложных электронных документов, якобы относящихся к началу 21 века и заверенных «правильными» ЭЦП. Если не позаботиться о соответствующих организационных и иных мерах защиты сегодня, то впоследствии возможны крупные неприятности.
Требования к организации
делопроизводства и документооборота
Для того, чтобы интересы организации были должным образом защищены, необходимо заранее продумать, в каком объеме и каким образом информация об ЭЦП должна быть отражена в самом документе и его метаданных.
Национальные Архивы США еще в 2000 году включили в «Руководство по управлению документами для агентств, использующих электронные подписи» требования о том, что все подписанные электронным образом документы при выводе в человеко-читаемом виде (на бумагу или на экран монитора) должны содержать:
- имя отправителя или лица, который этот документ подписал,
- дату и время подписания,
- ясно сформулированные намерения подписавшего, т.е. текст типа:
- «одобряю»,
- «отправитель берет на себя ответственность за транзакцию»,
- «отправитель уполномочен подписать за кого-то еще» и т.п.
Эти требования нацелены на то, чтобы обеспечить удобство работы с документами в течение длительного времени, в том числе и тогда, когда уже не будет возможности осуществить проверку ЭЦП.
Многие наши организации, расшифровывая ЭЦП, тоже включают в печатный вариант документа данные о лице, его подписавшем, и дату подписания. Третье требование у нас, как правило, не применяется, а жаль — «электронная резолюция», из которой ясны намерения подписавшего, делает документ более «неотказуемым».
Требования к документообороту и к деятельности службы ДОУ направлены на то, чтобы обеспечить сохранение всех необходимых документов. Для этого служба ДОУ организации должна:
- включать в систему документооборота организации все документы, возникающие в процессе использования ЭЦП и инфраструктуры открытых ключей, а также сохранять метаданные, достаточные для поиска и работы с ними;
- сохранять данный набор документов в течение того же периода времени, что и сам документ с ЭЦП.
- не обеспечивается целостность документов, и они могут быть модифицированы пользователем;
- документы доступны только отдельным пользователям, и в результате они не становятся корпоративным ресурсом;
- возникают сложности с установлением для таких документов сроков хранения, проведением экспертизы ценности и выделением их на уничтожение.
Лучше всего организовать хранение всего комплекта документов, связанных с использованием ЭЦП, в системах электронного документооборота, поскольку такие системы позволяют:
- обеспечить защищенное хранение, контроль и протоколирование доступа к ним;
- назначить и отследить сроки хранения;
- провести контролируемое конфиденциальное уничтожение по истечении сроков хранения.
Американские специалисты отмечают, что технологии, связанные с использованием ЭЦП, пока еще очень молоды и не прошли «огонь и воду» судебных разбирательств. Поэтому рекомендуется подумать о том, как «подстелить соломку» и запастись достаточным комплектом документов на тот случай, если придется идти в суд:
- сообщение о том, что ЭЦП успешно проверена,
- дату и время проверки документа,
- идентификатор операции,
- ссылку на внутренние нормативные документы, регламентирующие работу (включая дату и версию документа),
- другую информацию, которую организация сочтет необходимым зафиксировать.
Документирование использования
электронно-цифровых подписей
в организации
Любое изменение в системе документооборота организации, как правило, влечет за собой изменение состава документации. Внедрение новых технологий не является исключением: в организациях возникает целый комплект новых, ранее не существовавших документов, которые тоже необходимо брать на учет и сохранять в строгом соответствии с законодательством, с тем, чтобы в любых спорных ситуациях организация могла доказать свою правоту.
В процессе передачи информации могут создаваться и сохраняться следующие документы:
- В организациях-отправителях и получателях:
- собственно передаваемый документ,
- сертификат ключа отправителя,
- запросы/ответы по проверке сертификатов,
- внутренние нормативные документы, регламентирующие порядок использования сертификатов ключей,
- соглашения или договора между участниками информационного обмена об использовании ЭЦП,
- уведомления об отзыве или компрометации сертификатов открытых ключей,
- квитанции о принятии документа либо об отказе в приеме документа,
- документы, фиксирующие конфигурацию используемого программного обеспечения,
- документы по тестированию и проверке программного обеспечения.
- В удостоверяющих центрах:
- внутренние нормативные документы удостоверяющего центра, определяющие правила работы с сертификатами ключей (в том числе порядок организации выдачи сертификатов и порядок хранения аннулированных сертификатов),
- реестры сертификатов ключей,
- списки отозванных и утративших силу сертификатов,
- документация взаимного удостоверения удостоверяющих центров,
- протоколы и журналы аудита информационной системы удостоверяющего центра.
Если ЭЦП используется в корпоративной информационной системе и владельцем удостоверяющего центра является одна из организаций — участников информационного обмена, то эта организация должна документировать деятельность своего удостоверяющего центра.
Перечисленные списки документов отражают наиболее простой вариант использования инфраструктуры открытых ключей. Если используются более сложные варианты, то, соответственно, количество документов возрастает.
Правильно задокументировать работу с ЭЦП — задача важная, но еще важнее организовать надежное хранение всех документов, в строгом соответствии с требованиями законодательства. Проблем здесь еще больше, и решить их очень и очень непросто.
Организация хранения документов с ЭЦП
Говорить о применении ЭЦП в отрыве от вопросов организации документооборота и архивного хранения документов, мягко говоря, нелогично, — но почему-то именно так принято поступать. Ни государственные мужи, ни специалисты информационных технологий, как правило, не задумываются о том, что документы нужны не только для оперативной деловой деятельности и управления. Они, помимо прочего, фиксируют разнообразные права и обязательства государства, частных лиц и организаций, произошедшие события, принятые решения и последствия совершенных действий. Такие документы подлежат постоянному или длительному хранению, и вот именно здесь ЭЦП из полезного для оперативной работы инструмента превращается в занозу.
Чем больше электронных документов использует в своей работе организация, тем раньше она сталкивается с проблемами в области документооборота и архивного хранения.
Организации необходимо учитывать требования, которые имеются в законодательных и нормативных актах , регулирующих работу с ЭЦП, по организации хранения ряда документов.
Фрагмент документа
|
Федеральный закон «Об электронной цифровой подписи» от 10.01.2002 г. № 1-ФЗ Статья 7. Срок и порядок хранения сертификата ключа подписи в удостоверяющем центре 1. Срок хранения сертификата ключа подписи в форме электронного документа в удостоверяющем центре определяется договором между удостоверяющим центром и владельцем сертификата ключа подписи. При этом обеспечивается доступ участников информационной системы в удостоверяющий центр для получения сертификата ключа подписи. 2. Срок хранения сертификата ключа подписи в форме электронного документа в удостоверяющем центре после аннулирования сертификата ключа подписи должен быть не менее установленного федеральным законом срока исковой давности для отношений, указанных в сертификате ключа подписи. По истечении указанного срока хранения сертификат ключа подписи исключается из реестра сертификатов ключей подписей и переводится в режим архивного хранения. Срок архивного хранения составляет не менее, чем пять лет. Порядок выдачи копий сертификатов ключей подписей в этот период устанавливается в соответствии с законодательством Российской Федерации. 3. Сертификат ключа подписи в форме документа на бумажном носителе хранится в порядке, установленном законодательством Российской Федерации об архивах и архивном деле. |
По правилам делопроизводства срок хранения устанавливается в зависимости от значимости документа и информации, которая в нем содержится, и не зависит от вида носителя и от наличия ЭЦП. Хранение документов, подписанных ЭЦП, должно быть организовано таким образом, чтобы гарантировать возможность проверки подлинности подписи, а удостоверяющий центр должен будет обеспечить такой же срок хранения своих документов, оборудования и программного обеспечения — и в рабочем состоянии!
Если организация сдает какую-либо отчетность в электронном виде , то необходимо определить порядок ее сохранения в организации, с тем, чтобы обеспечить целостность, подлинность и аутентичность электронных документов.
Фрагмент документа
|
Порядок представления налоговой декларации в электронном виде по телекоммуникационным каналам связи
2. 3. При представлении налоговой декларации в электронном виде налогоплательщик соблюдает следующий порядок электронного документооборота:
|
Пока еще не решен вопрос о том, как государство будет выполнять свои обязанности , вытекающие из ст.15 п.2 Закона об ЭЦП, в соответствии с которой при ликвидации негосударственных удостоверяющих центров их документация, а также обязанности по проверке «старых» подписей (см. ст.4 п.1) переходят к «уполномоченному федеральному органу исполнительной власти». Сейчас вопросами удостоверяющих центров занимается Федеральное агентство по информационным технологиям (ФАИТ) при Мининформсвязи.
В Положении «О Федеральном агентстве по информационным технологиям», утвержденном постановлением Правительства Российской Федерации от 30 июня 2004 г. № 319 в разделе о полномочиях этого органа исполнительной власти записано, что он должен организовывать:
- подтверждение подлинности электронных цифровых подписей уполномоченных лиц удостоверяющих центров в выданных ими сертификатах ключей подписей;
- ведение единого государственного реестра сертификатов ключей подписей удостоверяющих центров и реестра сертификатов ключей подписей уполномоченных лиц федеральных органов государственной власти, а также обеспечивает доступ к ним граждан, организаций, органов государственной власти и органов местного самоуправления.
Но вот кто будет отвечать за остальную документацию, кто будет ее хранить и, самое главное, подтверждать подлинность ЭЦП — неясно до сих пор!
В интернете чаще всего можно встретить оптимистические рассказы о том, как хорошо и удобно хранить документы, подписанные ЭЦП. Никаких проблем, одни удобства и сплошное удовольствие:
О практите применения электронной подписи при хранении электроных документов корреспонденту Клерк.Ру Льву Мишкину рассказал Иван Агапов, аналитик компании Synerdocs
Иван, вот уже целый год мы по закону можем обмениваться электронными документами. Но кроме передачи документов, нам необходимо их хранить и обеспечивать юридическую силу. Закон дает нам электронную подпись, как она помогает обеспечить юридическую значимость хранимых электронных документов?
Начнем с того, что документы имеют свой срок хранения - от пяти лет до нескольких десятилетий. И сам сертификат электронной подписи, который дается сотруднику компании, тоже имеет свой срок действия - как правило, один год. Закон требует, чтобы на момент проверки подписи сертификат либо был действующим, либо должно быть подтверждение, что в момент подписания он был таковым. Если делать проверку подписи спустя год, прямая проверка «в лоб» скажет, что подпись не действительна, поскольку срок сертификата истек.
Как раз этот вопрос и закрывает усовершенствованная электронная подпись. Во-первых, она позволяет доказать время подписания (штамп времени, в котором закреплен момент постановки подписи). Во-вторых, обеспечивает доказательство того, что в конкретное время сертификат действовал и ему можно доверять (списки отзывов, сертификаты из пути доверия).
Так решается принципиальная задача архивного хранения электронного документа - обеспечение юридической значимости документа, чей срок хранения превышает срок действия сертификата электронной подписи.
Сейчас при работе с электронными документами усовершенствованная электронная подпись - единственный гарант юридической силы? Как это отражается в сегодняшней практике, например, в суде?
Конечно, такая подпись - не единственный юридический фактор. Тут стоит вернуться к общей теории признания электронных документов юридически значимыми. Есть много мнений, но мы используем, так сказать, классическую цепочку приоритетов.
Например, у нас есть электронный документ, который мы собираемся использовать в суде, потому следует определить, имеет ли он юридическую значимость. Первое, что суд должен выяснить - может ли он вообще по закону создаваться и существовать в электронном виде. Второе, документ должен содержать все требуемые реквизиты. Третье, суд должен быть уверен, что лицо, которое его подписало, имело право документ подписывать, согласно Уставу, доверенности т.п. Все это фактически является правовым полем документа. И только потом выясняется, действительна ли электронная подпись.
На практике спорный вопрос действительности электронной подписи возникает не часто. Например, суд легко решает проблему с юридической значимостью документа в электронном виде, если стороны ранее заключили соглашение об обмене подписанными электронными документами и даже обменивались ими до возникновения спора. Суд проверяет, прежде всего, наличие факта соглашения об обмене электронными документами, которое фактически закрепляет юридическую силу документа. И только в исключительных случаях суд проверяет действительность самой электронной подписи.
Вернемся к вопросу о хранении электронных документов. Полностью ли электронная подпись решает проблемы обеспечения юридической значимости хранимых данных или какие-то риски сохраняются?
Решает, но не полностью. Закон обязывает нас иметь доказательства, но какие они могут быть - не определено. В нашей практике есть международные стандарты, но это все до сих пор не закреплено законом, потому присутствует потенциальный риск, что в определенный момент государство примет новый стандарт, и текущие технологии придется в корне менять.
Хотя мы склонны считать, что такой риск маловероятен, потому что есть международный опыт и стандарты, которые переделывать не целесообразно. Подтверждением служит и то, что последние предлагаемые поправки в ФЗ-63 «Об электронной подписи» говорят, что законодатели не идут вразрез с практикой.
Плюс к этому у нас сохраняются риски, связанные с самим электронным документом, как таковым. Его тоже нужно как-то хранить, а здесь уже всплывают классические проблемы электронного документа - это носители, это средства хранения и воспроизведения, это форматы и их поддержка. Естественно, что для документов со сроком хранения 5 или 10 лет это не особо актуально, но если мы говорим про документы со сроком хранения в несколько десятков лет, то очень сложно предугадать, что мы будем иметь спустя это время.
В России очень незначительная практика хранения электронных документов. Это не смотря на то, что с 2002 года действует ФЗ-1 «Об ЭЦП» и можно сдавать отчетность в электронном виде, то есть, получается, с электронными архивами мы имеем дело уже больше 10 лет. Правда, отчетность - это специфическая задача, в рамках которой сроки хранения незначительны.
Мы видим, что в практике сохраняется множество противоречий. Что с этим делать операторам электронного документооборота? Возможно, они имеют какое-то решение?
Могу отвечать только за нашу практику. У нас при передаче через сервис документа с электронной подписью, подпись проверяется и доводится до усовершенствованного формата - то есть, мы добавляем штамп времени и другие необходимые параметры. Таким образом, мы обеспечиваем решение задачи обеспечения юридической силой документов с длительным сроком хранения. И в данный момент это единственное подходящее решение.
Даже в этом случае вопрос не решается полностью. Технология электронной подписи тоже имеет свои ограничения, у сертификатов есть сроки действия. Поэтому придется регулярно повторять процедуру подтверждения сертификатов.
А по поводу документов с длительными (например, 50 лет) или постоянными сроками хранения можно вновь сослаться на Европу. Зарубежная практика идет по пути изменения подхода к сохранению в них юридической значимости. Например, упрощаются механизмы обеспечения целостности массива документов. Либо может даже идти речь о переводе в бумажный вид для хранения.
Получается, что по-прежнему главным сдерживающим фактором развития практики хранения электронных документов является законодательство. Помимо обозначенных проблем, каких еще решений вы ждете?
На самом деле все довольно оптимистично. Сегодня у нас уже есть предлагаемые поправки к ФЗ-63, которые несут полезный и позитивный характер, в частности, требования по использованию штампа времени в электронной подписи, вводится понятие о едином пространстве доверия. Это уже хорошо, это уже конкретика. Это влияет на развитие инфраструктуры использования электронной подписи, чтобы пользователь не ломал голову, какой сертификат лучше применять, а приступил к решению своих конкретных задач.
Сейчас сложилась такая ситуация, что зачастую электронная подпись привязана к определенной услуге. С учетом роста разнообразия сервисов, это становится неудобно пользователям. Им нужен один сертификат с максимально широким полем использования. При том, что мы ожидаем взрывной рост сервисов и областей применения электронной подписи, и если у нас не будет единого пространства доверия, то мы рискуем столкнуться с мощным системным кризисом.
Ну и, самое главное, не решен вопрос с регулированием архивов электронных документов. ФЗ-125 «Об архивном деле» уже устарел, в нем нет практически ничего про электронный документ. Там есть сроки хранения, но ни технологий, ни рекомендаций по электронным документам нет. При том, рынку будет достаточно хотя бы общих принципов и рекомендуемых стандартов, а уже над реализацией он подумает сам. В общем, мы ждем новостей по новому закону, который давно уже всем очень нужен.
Положение разрабатывалось с учетом:
Федерального закона «Об электронной цифровой подписи»
«Временного положения о цифровой электронной подписи (ЭЦП) в системе межрегиональных электронных платежей ЦБ РФ в период проведения эксперимента», утвержденного 16 августа 1995 г. Первым Заместителем Председателя ЦБ РФ А.В.Войлуковым
Временных требований ЦБ РФ № 60 от 03 апреля 1997 г. «По обеспечению безопасности технологии обработки электронных платежных документов в системе Центрального банка Российской Федерации»
Положения ЦБ РФ № 20-П от 12 марта 1998 г. «О правилах обмена электронными документами между Банком России, кредитными организациями (филиалами) и другими клиентами Банка России при осуществлении расчетов через расчетную сеть Банка России» в редакции Указания Банка России № 774-У от 11.04.2000 г.
2. Общие положения
2.1. Настоящее Положение разработано для операторов, абонентов и уполномоченных абонентов Систем криптозащиты информации (СКЗИ), осуществляющих электронные взаимодействия со сторонними организациями с использованием носителей ключевой информации (НКИ).
2.2. Данное Положение включает:
организационные мероприятия по работе с НКИ;
порядок использования НКИ в системе электронных взаимодействий;
порядок изготовления, учета, регистрации ключей ЭЦП и ключей шифрования в системе электронных взаимодействий;
порядок действий при компрометации ключевых материалов;
порядок обеспечения режима безопасности при работе с НКИ.
2.3. Основные термины:
Носитель ключевой информации – носитель информации (дискета, флэш-память, и прочие носители) на которых храниться электронный ключ, предназначенный для защиты электронных взаимодействий.
ЦУКС - центр управления ключевыми системами место изготовления носителя ключевой информации НКИ.
Секретный (закрытый) ключ подписи - ключ предназначенный для формирования им электронной цифровой подписи электронных документов.
Открытый (публичный) ключ подписи - ключ, автоматически формируется при изготовлении секретного ключа подписи и однозначно зависящий от него. Открытый ключ предназначен для проверки корректности электронной цифровой подписи электронного документа. Открытый ключ считается принадлежащим участнику электронных взаимодействий, если он был сертифицирован (зарегистрирован) установленным порядком.
Ключ шифрования - ключ предназначенный для закрытия электронного документа при электронных взаимодействиях.
Шифрование - специализированный метод защиты информации от ознакомления с ней третьих лиц, основанный на кодировании информации по алгоритму ГОСТ 28147-89 с использованием соответствующих ключей.
Компрометация ключевой информации - утрата, хищение, несанкционированное копирование или подозрение на копирование носителя ключевой информации НКИ или любые другие ситуации, при которых достоверно не известно, что произошло с НКИ. К компрометации ключевой информации также относится увольнение сотрудников, имевших доступ к ключевой информации.
Сертификация ключа - процедура заверения (подписания) открытой части регистрируемого ключа электронной цифровой подписью.
Заявка на регистрацию ключа - служебное сообщение, содержащее новый открытый ключ, подписанное электронной цифровой подписью.
3. Организация работы с носителями ключевой информации
Лица, имеющие доступ к носителям ключевой информации, несут за нее персональную ответственность. Список лиц, имеющих доступ к дискетам с ключевой информацией, составляется Начальником Отдела информационной безопасности и фиксируется в приказе по Банку.
В целях обеспечения идентификации отправителей и получателей информации, защиты ее от несанкционированного доступа:
3.1. Председатель Правления Банка назначает ответственных за осуществление электронных взаимодействий со сторонними организациями из руководителей подразделений и наделяет ответственных сотрудников правом установки электронной подписи отправляемых документов приказом по Банку.
3.2. Начальник Отдела информационной безопасности, по согласованию с Начальником Управления информационных технологий назначает сотрудников УИТ ответственных за установку на рабочих станциях ответственных сотрудников, назначенных в п.2.1., соответствующих средств для обеспечения электронных взаимодействий и СКЗИ.
3.3. Сотрудники ОИБ, совместно с сотрудниками УИТ, назначенные в п.2.2. должны провести обучение ответственных сотрудников подразделений, участвующих в электронных взаимодействиях со сторонними организациями, работе со средствами обеспечения электронного документооборота и СКЗИ.
3.4. Контроль за электронными взаимодействиями и использованием носителей ключевой информации осуществляют сотрудники Отдела информационной безопасности, Службы внутреннего контроля и Управления экономической защиты.
4. Порядок ввода в эксплуатацию, хранения и использования носителей ключевой информации
4.1. Порядок изготовления, учета и использования носителей ключевой информации
4.2.1. Порядок изготовления и учета носителей ключевой информации
Персональный ключевой носитель (чаще всего - дискета) обычно изготавливается в центре управления ключевыми системами (ЦУКС). Если ЦУКС обслуживается сторонней организацией, то ключевые дискеты получаются сотрудником Отдела информационной безопасности или назначенным приказом по банку Уполномоченным абонентом СКЗИ. В случае, когда ключевые дискеты изготавливаются в Банке, то это осуществляется на основании заявки, подписанной руководителем подразделения пользователя НКИ.
Генерация уникальной ключевой информации и ее запись на дискету осуществляется на специально оборудованном автономном «АРМ генерации ключей», программное обеспечение которого выполняет функции, регламентированные технологическим процессом формирования ключей электронной цифровой подписи, уполномоченными сотрудниками управления информационных технологий в присутствии самого пользователя НКИ, маркируется, учитывается в «Журнале учета НКИ» и выдается ему под роспись. Оснащение «АРМ генерации ключей» должно гарантировать, что уникальная секретная ключевая информация исполнителя записывается только на его персональный носитель.
Для обеспечения возможности восстановления ключевой информации пользователя НКИ в случае выхода ключевой дискеты из строя, обычно создается ее рабочая копия. Для того чтобы при копировании с оригинала на рабочую копию ключевой дискеты ее содержимое не попадало на какой-либо промежуточный носитель, копирование должно осуществляться только на «АРМ генерации ключей».
Ключевые дискеты должны иметь соответствующие этикетки, на которых отражается: регистрационный номер дискеты (по «Журналу учета НКИ»), дата изготовления и подпись уполномоченного сотрудника подразделения обеспечения информационной безопасности, изготовившего дискету, вид ключевой информации - ключевая дискета (оригинал) или ключевая дискета (копия), фамилия, имя, отчество и подпись владельца-исполнителя.
4.2.2. Порядок использования носителей ключевой информации
Каждому сотруднику (исполнителю), которому в соответствии с его функциональными обязанностями предоставлено право постановки на ЭД цифровой подписи, согласно п.2.1., выдается персональный носитель ключевой информации (например, дискета), на который записана уникальная ключевая информация («секретный ключ ЭЦП»), относящаяся к категории сведений ограниченного распространения.
Персональные ключевые дискеты (рабочие копии) пользователь должен хранить в специальном пенале, опечатанном личной печатью.
В подразделении учет и хранение персональных ключевых дискет исполнителей должен осуществляться ответственным за информационную безопасность (при его отсутствии - руководителем подразделения) или самим исполнителем (при наличии у него сейфа или металлического шкафа). Ключевые дискеты должны храниться в сейфе ответственного за информационную безопасность подразделения или исполнителя в индивидуальных пеналах, опечатанных личными печатями исполнителей. Пеналы извлекаются из сейфа только на время приема (выдачи) рабочих копий ключевых дискет исполнителям. Оригиналы ключевых дискет исполнителей хранятся в Отделе информационной безопасности в опечатанном пенале и могут быть использованы только для восстановления установленным порядком рабочей копии ключевой дискеты при выходе последней из строя. Наличие оригиналов ключевых дискет в пеналах проверяется сотрудниками ОИБ при каждом вскрытии и опечатывании пенала.
Контроль за обеспечением безопасности технологии обработки электронных документов, в том числе за действиями пользователей НКИ, выполняющих свою работу с применением персональных ключевых дискет, осуществляется ответственными за информационную безопасность подразделений в пределах своей компетенции и сотрудниками Отдела информационной безопасности.
«Открытые» ключи ЭЦП исполнителей установленным порядком регистрируются специалистами ЦУКС или УИТ в справочнике «открытых» ключей, используемом при проверке подлинности документов по установленным на них ЭЦП.
5. Права и обязанности пользователя носителей ключевой информации
5.1. Права пользователя носителей ключевой информации
Пользователь НКИ должен иметь право обращаться к ответственному за информационную безопасность своего подразделения за консультациями по вопросам использования ключевой дискеты и по вопросам обеспечения информационной безопасности технологического процесса.
Пользователь НКИ имеет право требовать от ответственного за информационную безопасность своего подразделения и от своего непосредственного руководителя создания необходимых условий для выполнения перечисленных выше требований.
Пользователь НКИ имеет право представлять свои предложения по совершенствованию мер защиты на своем участке работы.
5.2. Обязанности пользователя носителей ключевой информации
Пользователь НКИ, которому в соответствии с его должностными функциями предоставлено право постановки на ЭД цифровой подписи, несет персональную ответственность за сохранность и правильное использование вверенной ему ключевой информации и содержание документов, на которых стоит его ЭЦП.
Пользователь носителей ключевой информации обязан:
Лично присутствовать в при изготовлении своей ключевой информации (если ключи изготавливаются в ОИБ на «АРМ генерации ключей»), чтобы быть уверенным в том, что содержание его ключевых дискет (оригинала и копии) не компрометировано.
Под роспись в «Журнале учета НКИ» получить рабочую копию ключевой дискеты, убедиться, что она правильно маркирована и на ней установлена защита от записи. Зарегистрировать (учесть) их у ответственного за информационную безопасность своего подразделения, положить их в пенал, опечатать его своей личной печатью и передать пенал на хранение ответственному за информационную безопасность установленным порядком или убрать в свой сейф.
Использовать для работы только рабочую копию своей ключевой дискеты.
В случае хранения НКИ у ответственного за информационную безопасность подразделения, в начале рабочего дня получать, а в конце рабочего дня сдавать ответственному за информационную безопасность свою ключевую дискету. При первом вскрытии пенала, они оба обязаны убедиться в целостности и подлинности печати на пенале. Если печать на пенале нарушена, то дискета считается скомпрометированной.
В случае хранения персональной ключевой дискеты в сейфе исполнителя, доставать ключевую дискету из сейфа по необходимости и при первом вскрытии пенала убедиться в целостности и подлинности печати на пенале. Если печать на пенале нарушена, то дискета считается скомпрометированной.
КАТЕГОРИЧЕСКИ ЗАПРЕЩАЕТСЯ оставлять ключевую дискету в компьютере. После использования персональной ключевой дискеты для подписи или шифрования исполнитель должен убрать дискеты в сейф, а в случае хранения НКИ у ответственного за информационную безопасность подразделения, сдавать свою персональную ключевую дискету на временное хранение ответственному за информационную безопасность в подразделении.
По окончании рабочего дня убрать ключевую дискету в пенал, который должен быть опечатан и убран в сейф.
В случае порчи рабочей копии ключевой дискеты (например при ошибке чтения дискеты) исполнитель обязан передать ее уполномоченному сотруднику ОИБ, который должен в присутствии пользователя НКИ или ответственного за информационную безопасность подразделения сделать новую копию ключевой дискеты с имеющегося в ОИБ оригинала и выдать ее последнему взамен старой (испорченной) ключевой дискеты.
Испорченная рабочая копия ключевой дискеты должна быть уничтожена установленным порядком в присутствии исполнителя. Все эти действия должны быть зафиксированы в «Журнале учета НКИ».
5.3. Пользователю носителей ключевой информации запрещается
оставлять персональную ключевую дискету без личного присмотра где бы то ни было;
передавать свою персональную ключевую дискету другим лицам (кроме как для хранения ответственному за информационную безопасность в опечатанном пенале);
делать неучтенные копии ключевой дискеты, распечатывать или переписывать с нее файлы на иной носитель информации (например, жесткий диск ПЭВМ), снимать с дискеты защиту от записи, вносить изменения в файлы, находящиеся на ключевой дискете;
использовать персональную ключевую дискету на заведомо неисправном дисководе и/или ПЭВМ;
подписывать своим персональным «секретным ключом ЭЦП» любые электронные сообщения и документы, кроме тех видов документов, которые регламентированы технологическим процессом;
сообщать кому-либо вне работы, что он является владельцем «секретного ключа ЭЦП» для данного технологического процесса.
6. Порядок действий при компрометации носителей ключевой информации
К событиям, связанным с компрометацией ключевой информации должны быть отнесены следующие события:
утрата ключевых дискет;
утрата ключевых дискет с последующим обнаружением;
увольнение сотрудников, имевших доступ к ключевой информации;
возникновение подозрений на утечку информации или ее искажения в системе связи;
нерасшифровывание входящих или исходящих сообщений у абонентов;
нарушение печати на сейфе или контейнере с ключевыми дискетами.
Первые три события должны трактоваться как безусловная компрометация действующих ключей ЭЦП. Три следующих события требуют специального рассмотрения в каждом конкретном случае. При компрометации ключей ЭЦП и шифрования Участника обмена электронными документами предусмотрены следующие мероприятия:
прекращает передачу информации с использованием скомпрометированных ключей ЭЦП или шифрования;
сообщает о факте компрометации в Отдел информационной безопасности.
Участник обмена электронными документами немедленно:
Сотрудник Отдела информационной безопасности на основании извещения Участника обмена ЭД исключает из электронной базы открытых ключей скомпрометированный ключ ЭЦП или исключает криптографический номер Участника обмена электронными документами из списка абонентов.
В случае крайней необходимости Участник обмена электронными документами после компрометации может продолжить работу на резервных ключах, о чем делается запись в «Журнале учета НКИ».
Участник обмена Электронными документами подает заявку на изготовление нового ключа и получает новые ключи ЭЦП и шифрования с регистрацией в «Журнале учета НКИ».
Производится обмен тестовыми сообщениями на новых ключах ЭЦП и шифрования.
7. Обеспечение информационной безопасности при работе с носителями ключевой информации
Порядок размещения, специального оборудования, охраны и режима в помещениях, в которых находятся средства криптографической защиты и носители ключевой информации:
средства криптографической защиты для обслуживания носителей ключевой информации размещаются в помещениях Серверной Банка и Отдела информационной безопасности;
размещение, специальное оборудование и режим в помещениях, в которых размещены средства криптографической защиты и носители ключевой информации, обеспечивают безопасность информации, средств криптографической защиты и ключевой информации, сведение к минимуму возможности неконтролируемого доступа к средствам криптографической защиты, просмотра процедур работы со средствами криптографической защиты посторонними лицами;
порядок допуска в помещения определяется внутренней инструкцией, которая разработана с учетом специфики и условий функционирования Кредитной организации;
окна помещений оборудованы металлическими решетками и охранной сигнализацией, препятствующими несанкционированному доступу в помещения. В этих помещениях прочные входные двери, на которые установлены надежные замки;
для хранения ключевых дискет, нормативной и эксплуатационной документации, инсталляционных дискет помещения обеспечены сейфами;
установленный порядок охраны помещений предусматривает периодический контроль технического состояния средств охранной и пожарной сигнализации и соблюдения режима охраны;
размещение и установка средств криптографической защиты осуществляется в соответствии с требованиями документации на средства криптографической защиты;
системные блоки ЭВМ с средствами криптографической защиты оборудованы средствами контроля их вскрытия.
Порядок обеспечения безопасности хранения ключевых дискет:
все ключи шифрования, ключи ЭЦП и инсталляционные дискеты берутся в Банке на поэкземплярный учет в выделенных для этих целей «Журнале учета НКИ» и «Журнале учета СКЗИ»;
учет и хранение носителей ключей шифрования и инсталляционных дискет, непосредственная работа с ними поручается сотрудникам ОИБ или ответственным сотрудникам, назначенных приказом по Банку. На этих сотрудников возлагается персональная ответственность за сохранность ключей шифрования;
учет изготовленных для пользователей ключей шифрования, регистрация их выдачи для работы, возврата от пользователей и уничтожение ведется сотрудником ОИБ;
хранение ключей шифрования, ключей ЭЦП, инсталляционных дискет допускается в одном хранилище с другими документами при условиях, исключающих их непреднамеренное уничтожение или иное, непредусмотренное правилами пользования систем криптозащиты, применение;
наряду с этим предусмотрена возможность безопасного раздельного хранения рабочих и резервных ключей, предназначенных для использования в случае компрометации рабочих ключей в соответствии с правилами пользования средств криптографической защиты;
действующий закрытый ключ ЭЦП, записанный на магнитный носитель (дискету), должен хранится в личном, опечатываемом сейфе (контейнере) ответственного лица. Возможность копирования и несанкционированного использования ЭЦП посторонним лицом должна быть исключена;
резервный ключ ЭЦП должен хранится так же, как и действующий, но обязательно в отдельном опечатанном контейнере.
Требования к сотрудникам, осуществляющим эксплуатацию и установку (инсталляцию) средств криптографической защиты и носителей ключевой информации:
к работе со средствами криптографической защиты и носителям ключевой информации допускаются только сотрудники, знающие правила его эксплуатации, владеющие практическими навыками работы на ПЭВМ, изучившие правила пользования и эксплуатационную документацию по средствам криптографической защиты;
сотрудник должен иметь представление о возможных угрозах информации при ее обработке, передаче, хранении, методах и средствах защиты информации.
Уничтожение ключевой информации и дискет:
уничтожение ключевой информации с дискет должно производиться путем двойного безусловного переформатирования дискеты командой ДОС «FORMAT A: /U»;
уничтожение ключевой дискеты, пришедшей в негодность должно производиться путем расплавления на огне (сожжения) или измельчения гибкого магнитного диска, извлеченного из корпуса.
Электронная подпись сегодня используется для защиты документа, существующего в электронном виде, от подделки. На основании ФЗ №63 , ее возможно использовать для защиты электронной версии документов и при работе с различными государственными структурами. В этом законе прописано, как использовать ее и получать физическим и юридическим лицам. Как пользоваться электронной подписью
Электронная подпись является инструментом для установления отсутствия искажения в документах с момента подписи. Перед ее использованием пользователю требуется пройти процедуру соответствующего сертификата. Специальный сертификат является подтверждением принадлежности подписи физическому или юридическому лицу. Получить такой документ возможно только в специализированных удостоверяющих центрах или у их доверенных представителей. Существует два вида ключей для электронной подписи:
- Закрытого типа.
- Открытого типа.
В случае с закрытым ключом или паролем к доступу для данной подписи, нельзя сообщать код никому. Пароль необходим для проверки подлинности подписи.
Согласно положениям , существует несколько видов ЭП:
- Простая . Чаще всего используется физическими лицами. Ее можно поставить на документ путем введения специального кода, который предоставляется удостоверяющим центром.
- Усиленная неквалифицированная . Ее можно получить в следствии криптографического преобразования информации. Она может выявить факт изменения данных после подписания, а также существует механизм идентификации личности, которая поставила подпись под электронным документом.
- Усиленная квалифицированная . Аналогичная предыдущей, однако используются специальные коды шифрования, которые сертифицированы ФСБ.
Важно! Заверенные электронной подписью документы обладают аналогичной юридической силой с теми бумагами, которые подписываются лично. Использование усиленной квалифицированной подписи эквивалентно собственноручной подписи с заверением печати.
Область применения
Согласно ФЗ №63, существует несколько областей применения такого рода подписи. В частности, ее используют в следующих случаях:
| Где используется | Простая ЭП | Неквалифицированная ЭП | Квалифицированная ЭП |
|---|---|---|---|
| Ведение внутреннего и внешнего документооборота | + | + | + |
| Арбитражный суд | + | + | + |
| Заключение договоров с физическими лицами | + | + | + |
| Работа с контрольно-ревизионными государственными структурами | + | + | |
| Электронные торги | + |
Как начать пользоваться такой подписью
Перед тем, как начать ее использовать, требуется ее оформить. Сделать это можно путем обращения , который имеет лицензию на выдачу ЭП. Для оформления необходимо:
- Иметь персональный компьютер.
- Иметь лицензионное программное обеспечение для работы на компьютере.
- Выбрать лицо, на которое будет оформляться электронная подпись.
- Определить способ получения подписи и заключить договор с центром.
- Оплатить услуги и получить ключ.
В зависимости от центра, необходимы различные документы. Чаще всего требуется:
- Заявка установленного образца, где будет минимальная необходимая информация о заявителе (компании в праве запрашивать расширенные анкетные данные).
- Паспорт заявителя.
- ИНН и СНИЛС заявителя.
- Квитанция об оплате услуг удостоверяющего центра.
Если необходим квалифицированный сертификат, то потребуются:
- Учредительные документы организации.
- Выписка из ЕГРЮЛ.
Важно! Ключ действует в течение одного года, а при его оформлении обязательно личное присутствие заявителя. Далее требуется продление путем написания соответствующего заявления в удостоверяющий центр. При этом не обязательно личное присутствие в центре, достаточно отправить заявление по электронной почте или заказным письмом. Какие именно условия продления действуют в конкретно взятом центре необходимо уточнять у его специалистов. Чаще всего требуется только произвести оплату за следующий год и предоставить заявление.
Как правильно использовать электронную подпись
Получив желаемый ключ, не все знают, как правильно его использовать. На самом деле все достаточно просто:
- Установите на свой ПК или ноутбук лицензионное ПО, полученное из удостоверяющего центра.
- Установите библиотеки «Cadescom» и «Capicom».
Стоит рассмотреть данный момент более подробно.
- В Word 2007 требуется нажать на значок офиса, выбрать «Подготовить» и «Добавить ЦП». После этого вы добавляете цель подписания документа и выбираете подпись. Нажав на кнопку «Подписать», вы получаете желаемый результат. Подпись документа в Word 2007
- При работе в Word 2003 необходимо выбрать «Сервис» – «Параметры» – «Безопасность» – «ЦП» – «Сертификат» – «Ок». Подпись документа в Word 2003
- Для работы с файлами в формате pdf существуют специальные программы типа Acrobat и Adobe reader. Необходимо приобрести полную их версию для работы с ЭП, так как вам требуется криптомодуль. Кнопка подписи документа Схема подписания документа
- Подпись в HTML варианте также возможна. Современные браузеры приспособлены к работе с ЭП, поэтому у вас будет соответствующая кнопка для подписания документа. Однако необходимо, чтобы установлено все требуемое программное обеспечение на ПК.
Выглядеть данная подпись может по-разному. Чаще всего это небольшое изображение в виде штампа. У государственных организаций она имеет форму печати, где указывается, что электронная печать усилена квалифицированной подписью.
Что делать, если электронная подпись не работает
Существует несколько стандартных ситуаций, когда подпись не работает. Решить типичные проблемы не составляет труда без обращения в службу сервисной поддержки. Рассмотрим основные проблемы.
| Проблема | Решение |
|---|---|
| Сертификат не действителен | Требуется установить его, согласно инструкции специалиста центра, который выдавал сертификат |
| К сертификату нет доверия | Тогда вам требуется установить новые сертификаты. Обычно они предоставляются вместе с электронной подписью. Также их возможно скачать на официальном сайте центра или Ассоциации торговых площадок |
| Истек срок действия КриптоПро | Вам требуется ввести уникальный код КриптоПро, который вы получили вместе с электронной подписью |
| Не установлен Capicom | Скачайте его, закройте браузер и установите программу. Далее необходимо осуществит настройку в соответствии с требованиями площадки, в которой вы собираетесь работать |
| Несоответствие закрытого ключа заданному сертификату | Стоит обратиться в удостоверяющий центр для решения проблемы. Перед этим настоятельно рекомендуется проверить все закрытые контейнеры. Есть вероятность, что вы выбрали активным не тот |
| Действительные сертификаты не были обнаружены или не отображается выбор сертификата | Проверьте срок действия вашей лицензии. Если он истек, то обратитесь в центр. Если все в порядке, то переустановите его |
Многие интересуются, можно ли взломать электронную подпись? На самом деле все выполнено таким образом, что подделать ее практически невозможно, если ее владелец умышленно не предоставил третьим лицам к паролям. Чтобы полностью защитить себя от факта мошенничества рекомендуется покупать квалифицированную электронную подпись. Ее возможно использовать при работе с любыми учреждениями.
Где хранится электронная подпись
Чтобы уточнить, какие именно сертификаты установлены на ПК, необходимо войти в свойства браузера. Заходим в свойства браузера
Потом потребуется войти во вкладку «Содержание», выбрав раздел «Сертификаты». Здесь и указана информация обо всех установленных сертификатах. Входим во вкладку «Содержание», выбрав раздел «Сертификаты»
Также возможно найти необходимые сертификаты в реестре. Обычно они расположены по следующему адресу: HKEYLOCAL_MACHINESOFTWAREWow6432NodeCrypto ProSettingsUsersS-1-5-23…Keys
Особенности хранения электронных документов
Согласно ГОСТ Р 51141-98, электронные документы необходимо хранить столько же, сколько бумажные. Однако существует несколько особенностей. Например, если закон требует хранить документ в течение пяти лет, подпись действует всего год. Согласно ФЗ-63, нет необходимости ставить подпись каждый год на архивных документах. Они продолжают иметь юридическую силу, несмотря на смену кода электронной подписи. Носитель ключа электронной подписи
Важно! при проставлении электронной подписи автоматически прописывается дата, таким образом, становится понятно, что штамп был действителен на момент его проставления. При возникновении различных спорных ситуаций, можно обратиться в удостоверяющий центр. Там, получив требуемые данные, есть возможность проверить, кто именно поставил подпись под текстом документа.
Таким образом, электронная подпись может использоваться наравне с обычной. Сфера ее применения подробно изложена в ФЗ-63. Она охватывает все сферы гражданско-правовых отношений, отношений между юридическими лицами и работу с государственными структурами.
Видео – Электронная цифровая подпись (ЭЦП): регистрация и использование
Видео – Как подписать электронной подписью (ЭЦП) документ Microsoft Word 2007