Хранение эцп в организации. Хранение эцп. Организация хранения документов с ЭЦП

Алена, я конечно понимаю, что статья носит несколько "общеознакомительный" характер, но все же стоит более широко осветить список "достоинств и недостатков" каждого решения. Я ничуть не опровергаю конечный вывод о большей надежности smartcards, но потенциально они создают куда больше сложностей чем банальное "предполагает дополнительные расходы".

По ключам на локальном компьютере

Это не так. Используемый по умолчанию в Windows RSA-криптопровайдер хранит использует для хранения закрытых ключей папку C:\Users\\AppData\Roaming\Microsoft\Crypto\RSA.

Т.е. располагает их в перемещаемой части профиля, а значит, если пользователь работает за разными машинами в пределах корпоративной сети, ему достаточно будет настроить перемещаемый профиль и устанавливать сертификаты на каждую машину нет нужды.

По использованию токенов

Тут нужно понимать, что у разных производителей данная функциональность реализуется по-разному. У одних клавиатура по вводу PIN-кода расположена прямо на самом устройстве, у дригих используется специализированное ПО на компьютере.

В первом случае устройство получается более громоздким, но более защищенным от перехвата PIN-кода, который может быть считан установкой программного или аппаратного кейлоггера на машине пользователя, в случае использования ПО ввода.

В частности Rutoken использует именно ПО для ввода PIN-кодов, а значит потенциально уязвим.

Верно, сертификаты устанавливать не надо, зато нужно устанавливать драйверы устройств, криптопровайдеры и другие модули.

А это дополнительное низкоуровневое ПО со своими специфическими особенностями и проблемами.

Да, это верно, но только при условии, что вы используете криптофункции самого устройства (т.е. все шифрование и подписание выполняет сам токен).

Это самый безопасный вариант, но у него есть ряд ограничений:

• релизуемые алгоритмы. Например, тот же Rutoken (если судить по их документации) аппаратно поддерживает только ГОСТ 28147-89. Все остальные алгоритмы, по всей видимости реализуются уже программно, т.е. с извлечением закрытого ключа из хранилища.
• скорость интерфейсов. Простые smartcards реализуют, как правило не самые быстрые аппаратные интерфейсы (скорее всего в целях упрощения и удешевления устройства), например USB 1.1. А так как для подписания/шифрования вам нужно передать на устройство весь файл, это может стать причиной неожиданных "тормозов".

Однако (опять-таки, судя по документации Rutoken) токены могут выступать и просто как шифрованные хранилища. Например, так они работают в связке с КриптоПро CSP. Ну а дальше вывод очевиден - раз одно ПО может получить доступ к ключам, значит это может сделать и другое.

Дополнительные вопросы

К списку выше нужно добавить еще некоторые вопросы, которые также следует учитывать при принятии решения о переходе на токены:

• каким образом реализуется обновление сертификатов? Например, ни на сайте Rutoken (в общих разделах и форуме), ни в документации я не нашел упоминания о поддержке Rutoken-ом службы распространения ключей Active Directory. Если это так (и сам Rutoken не предоставляет других механизмов массового обновления ключей), то все ключи нужно обновлять через администраторов, что порождает свои проблемы (т.к. операция не тривиальная).
• какое ПО, используемое на предприятии и требующее криптофункций:
  • может работать через криптопровайдер (некоторое ПО использует собственную реализацию криптоалгоритмов и требует только доступа к ключам)
  • может использовать криптопровайдеры, отличные от стандартных
• какое дополнительное ПО (помимо драйверов токена) потребуется установить на рабочих станциях и серверах. Например, стандартный центр сертификатов Microsoft не поддерживает создание ключей для алгоритмов GOST, (а с другими токен может и не работать).

Электронная подпись сегодня используется для защиты документа, существующего в электронном виде, от подделки. На основании ФЗ №63 , ее возможно использовать для защиты электронной версии документов и при работе с различными государственными структурами. В этом законе прописано, как использовать ее и получать физическим и юридическим лицам. Как пользоваться электронной подписью

Электронная подпись является инструментом для установления отсутствия искажения в документах с момента подписи. Перед ее использованием пользователю требуется пройти процедуру соответствующего сертификата. Специальный сертификат является подтверждением принадлежности подписи физическому или юридическому лицу. Получить такой документ возможно только в специализированных удостоверяющих центрах или у их доверенных представителей. Существует два вида ключей для электронной подписи:

1. Закрытого типа.
2. Открытого типа.

Что такое электронная подпись

В случае с закрытым ключом или паролем к доступу для данной подписи, нельзя сообщать код никому. Пароль необходим для проверки подлинности подписи.

Согласно положениям , существует несколько видов ЭП:

1. Простая . Чаще всего используется физическими лицами. Ее можно поставить на документ путем введения специального кода, который предоставляется удостоверяющим центром.
2. Усиленная неквалифицированная . Ее можно получить в следствии криптографического преобразования информации. Она может выявить факт изменения данных после подписания, а также существует механизм идентификации личности, которая поставила подпись под электронным документом.
3. Усиленная квалифицированная . Аналогичная предыдущей, однако используются специальные коды шифрования, которые сертифицированы ФСБ.

Виды электронной подписи

Важно! Заверенные электронной подписью документы обладают аналогичной юридической силой с теми бумагами, которые подписываются лично. Использование усиленной квалифицированной подписи эквивалентно собственноручной подписи с заверением печати.

Область применения

Согласно ФЗ №63, существует несколько областей применения такого рода подписи. В частности, ее используют в следующих случаях:

Где используется	Простая ЭП	Неквалифицированная ЭП	Квалифицированная ЭП
Ведение внутреннего и внешнего документооборота	+	+	+
Арбитражный суд	+	+	+
Заключение договоров с физическими лицами	+	+	+
Работа с контрольно-ревизионными государственными структурами	+		+
Электронные торги			+

Общие понятия электронной подписи

Как начать пользоваться такой подписью

Перед тем, как начать ее использовать, требуется ее оформить. Сделать это можно путем обращения , который имеет лицензию на выдачу ЭП. Для оформления необходимо:

1. Иметь персональный компьютер.
2. Иметь лицензионное программное обеспечение для работы на компьютере.
3. Выбрать лицо, на которое будет оформляться электронная подпись.
4. Определить способ получения подписи и заключить договор с центром.
5. Оплатить услуги и получить ключ.

Как получить квалифицированную электронную подпись

В зависимости от центра, необходимы различные документы. Чаще всего требуется:

1. Заявка установленного образца, где будет минимальная необходимая информация о заявителе (компании в праве запрашивать расширенные анкетные данные).
2. Паспорт заявителя.
3. ИНН и СНИЛС заявителя.
4. Квитанция об оплате услуг удостоверяющего центра.

Если необходим квалифицированный сертификат, то потребуются:

1. Учредительные документы организации.
2. Выписка из ЕГРЮЛ.

Пути получения электронной подписи

Важно! Ключ действует в течение одного года, а при его оформлении обязательно личное присутствие заявителя. Далее требуется продление путем написания соответствующего заявления в удостоверяющий центр. При этом не обязательно личное присутствие в центре, достаточно отправить заявление по электронной почте или заказным письмом. Какие именно условия продления действуют в конкретно взятом центре необходимо уточнять у его специалистов. Чаще всего требуется только произвести оплату за следующий год и предоставить заявление.

Как правильно использовать электронную подпись

Получив желаемый ключ, не все знают, как правильно его использовать. На самом деле все достаточно просто:

1. Установите на свой ПК или ноутбук лицензионное ПО, полученное из удостоверяющего центра.
2. Установите библиотеки «Cadescom» и «Capicom».

Стоит рассмотреть данный момент более подробно.

1. В Word 2007 требуется нажать на значок офиса, выбрать «Подготовить» и «Добавить ЦП». После этого вы добавляете цель подписания документа и выбираете подпись. Нажав на кнопку «Подписать», вы получаете желаемый результат. Подпись документа в Word 2007
2. При работе в Word 2003 необходимо выбрать «Сервис» – «Параметры» – «Безопасность» – «ЦП» – «Сертификат» – «Ок». Подпись документа в Word 2003
3. Для работы с файлами в формате pdf существуют специальные программы типа Acrobat и Adobe reader. Необходимо приобрести полную их версию для работы с ЭП, так как вам требуется криптомодуль. Кнопка подписи документа Схема подписания документа
4. Подпись в HTML варианте также возможна. Современные браузеры приспособлены к работе с ЭП, поэтому у вас будет соответствующая кнопка для подписания документа. Однако необходимо, чтобы установлено все требуемое программное обеспечение на ПК.

Выглядеть данная подпись может по-разному. Чаще всего это небольшое изображение в виде штампа. У государственных организаций она имеет форму печати, где указывается, что электронная печать усилена квалифицированной подписью.

Что делать, если электронная подпись не работает

Существует несколько стандартных ситуаций, когда подпись не работает. Решить типичные проблемы не составляет труда без обращения в службу сервисной поддержки. Рассмотрим основные проблемы.

Проблема	Решение
Сертификат не действителен	Требуется установить его, согласно инструкции специалиста центра, который выдавал сертификат
К сертификату нет доверия	Тогда вам требуется установить новые сертификаты. Обычно они предоставляются вместе с электронной подписью. Также их возможно скачать на официальном сайте центра или Ассоциации торговых площадок
Истек срок действия КриптоПро	Вам требуется ввести уникальный код КриптоПро, который вы получили вместе с электронной подписью
Не установлен Capicom	Скачайте его, закройте браузер и установите программу. Далее необходимо осуществит настройку в соответствии с требованиями площадки, в которой вы собираетесь работать
Несоответствие закрытого ключа заданному сертификату	Стоит обратиться в удостоверяющий центр для решения проблемы. Перед этим настоятельно рекомендуется проверить все закрытые контейнеры. Есть вероятность, что вы выбрали активным не тот
Действительные сертификаты не были обнаружены или не отображается выбор сертификата	Проверьте срок действия вашей лицензии. Если он истек, то обратитесь в центр. Если все в порядке, то переустановите его

Использование электронной подписи

Многие интересуются, можно ли взломать электронную подпись? На самом деле все выполнено таким образом, что подделать ее практически невозможно, если ее владелец умышленно не предоставил третьим лицам к паролям. Чтобы полностью защитить себя от факта мошенничества рекомендуется покупать квалифицированную электронную подпись. Ее возможно использовать при работе с любыми учреждениями.

Где хранится электронная подпись

Чтобы уточнить, какие именно сертификаты установлены на ПК, необходимо войти в свойства браузера. Заходим в свойства браузера

Потом потребуется войти во вкладку «Содержание», выбрав раздел «Сертификаты». Здесь и указана информация обо всех установленных сертификатах. Входим во вкладку «Содержание», выбрав раздел «Сертификаты»

Также возможно найти необходимые сертификаты в реестре. Обычно они расположены по следующему адресу: HKEYLOCAL_MACHINESOFTWAREWow6432NodeCrypto ProSettingsUsersS-1-5-23…Keys

Особенности хранения электронных документов

Согласно ГОСТ Р 51141-98, электронные документы необходимо хранить столько же, сколько бумажные. Однако существует несколько особенностей. Например, если закон требует хранить документ в течение пяти лет, подпись действует всего год. Согласно ФЗ-63, нет необходимости ставить подпись каждый год на архивных документах. Они продолжают иметь юридическую силу, несмотря на смену кода электронной подписи. Носитель ключа электронной подписи

Важно! при проставлении электронной подписи автоматически прописывается дата, таким образом, становится понятно, что штамп был действителен на момент его проставления. При возникновении различных спорных ситуаций, можно обратиться в удостоверяющий центр. Там, получив требуемые данные, есть возможность проверить, кто именно поставил подпись под текстом документа.

Таким образом, электронная подпись может использоваться наравне с обычной. Сфера ее применения подробно изложена в ФЗ-63. Она охватывает все сферы гражданско-правовых отношений, отношений между юридическими лицами и работу с государственными структурами.

Видео – Электронная цифровая подпись (ЭЦП): регистрация и использование

Видео – Как подписать электронной подписью (ЭЦП) документ Microsoft Word 2007

Электронная цифровая подпись (ЭЦП) - реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭЦП и проверить принадлежность подписи владельцу сертификата ключа ЭЦП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП.

В 1994 г. была принята первая часть Гражданского кодекса РФ (от 30.11.94 № 51-ФЗ), в котором в ст. 160 («Письменная форма сделки») была оговорена возможность использования при совершении сделок «электронно-цифровой подписи… в случаях и в порядке, предусмотренных законом, иными правовыми актами или соглашением сторон», а ст. 434 также предусматривала возможность заключения договора «путем обмена документами посредством… электронной или иной связи, позволяющей достоверно установить, что документ исходит от стороны по договору».

Немногим раньше письмом Высшего Арбитражного Суда РФ от 19.08.94 № С1-7/ОП-587 «Об отдельных рекомендациях, принятых на совещаниях по судебно-арбитражной практике» подтверждалась возможность принятия в качестве доказательств документов, изготовленных в электронном виде и подписанных электронной цифровой подписью, при наличии в договоре процедуры согласования разногласий и порядка доказательства подлинности договора и достоверности подписей.

При возникновении спора о наличии документов, подписанных электронно-цифровой подписью, стороны должны предъявить выписку из договора, в котором указана процедура порядка согласования разногласий. Всего через несколько месяцев был принят Федеральный закон от 20.02.95 № 24-ФЗ «Об информации, информатизации и защите информации» (В настоящее время данный закон утратил силу, принят Федеральный закон от 27.07.06 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»), в котором утверждалось: «Юридическая сила документа, хранимого, обрабатываемого и передаваемого с помощью автоматизированных информационных и телекоммуникационных систем, может подтверждаться электронной цифровой подписью (далее – ЭЦП).

В России юридически значимый сертификат электронной подписи выдаёт удостоверяющий центр. Правовые условия использования электронной цифровой подписи в электронных документах регламентирует федеральный закон от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи», ст. 3.

Юридическая сила электронной цифровой подписи признается при наличии в автоматизированной информационной системе программно-технических средств, обеспечивающих идентификацию подписи, и соблюдении установленного режима их использования». В соответствии с законом было выпущено еще одно письмо Высшего Арбитражного Суда РФ от 07.06.95 № С1-7/03-316, в котором уже на основании формулировок нового закона говорилось, что при подтверждении юридической силы документа с электронной цифровой подписью такой документ может признаваться в качестве доказательства по делу, рассматриваемому арбитражным судом. Использование документов в электронной форме регулировалось и ведомственными нормативными документами.

Пример — Временное положение от 12.03.98 № 20-П «О правилах обмена электронными документами между Банком России, кредитными организациями (филиалами) и другими клиентами Банка России при осуществлении расчетов через расчетную сеть Банка России» (Указание ЦБ РФ от 11.04.00 № 774-У).

Однако все законодательные и нормативно-методические документы предусматривали признание юридической силы ЭЦП только на уровне двусторонних соглашений при условии предварительного заключения между договаривающимися сторонами соглашения о взаимном признании документов, подписанных ЭЦП. То есть организации должны были сначала заключить в письменном виде договор о взаимном признании электронных документов, чтобы потом уже начинать ими обмениваться. Это позволило организовать работу систем типа «клиент — банк», но не дало возможности перевести электронные документы в сферу публичных взаимоотношений. Нужна была технология, позволяющая приравнять возможности использования электронных и обычных документов.

Для решения этой задачи был принят Федеральный закон от 10.01.02 № 1-ФЗ «Об электронной цифровой подписи» (далее – Закон «Об ЭЦП»), целью которого как раз было «обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе».

Согласно ст. 3 ФЗ «Об электронно-цифровой подписи» от 10 января 2001 г. № 1-ФЗ:

– электронный документ — документ, в котором информация представлена в электронно-цифровой форме;

– электронная цифровая подпись — реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе;

– средства электронной цифровой подписи — аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций — создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе, создание закрытых и открытых ключей электронных цифровых подписей;

– сертификат средств электронной цифровой подписи — документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям;

Согласно ст. 16 ФЗ «Об электронно-цифровой подписи» использование электронной цифровой подписи в сфере государственного управления:

После становления ЭЦП при использовании в электронном документообороте между кредитными организациями и кредитными бюро в 2005 году активно стала развиваться инфраструктура электронного документооборота между налоговыми органами и налогоплательщиками. Начал работать приказ Министерства по налогам и сборам РФ от 2 апреля 2002 г. № БГ-3-32/169 «Порядок представления налоговой декларации в электронном виде по телекоммуникационным каналам связи». Он определяет общие принципы информационного обмена при представлении налоговой декларации в электронном виде по телекоммуникационным каналам связи.

В Законе РФ от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи» прописаны условия использования ЭЦП, особенности её использования в сферах государственного управления и в корпоративной информационной системе.

Благодаря ЭЦП теперь, в частности, многие российские компании осуществляют свою торгово-закупочную деятельность в Интернете, через «Системы электронной торговли», обмениваясь с контрагентами необходимыми документами в электронном виде, подписанными ЭЦП. Это значительно упрощает и ускоряет проведение конкурсных торговых процедур.

Юридическую силу электронно-цифровой подписи подтвердил Федеральный закон от 27.07.06 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», ст. 11 которого гласит, что «электронное сообщение, подписанное электронной цифровой подписью или иным аналогом собственноручной подписи, признается электронным документом, равнозначным документу, подписанному собственноручной подписью, в случаях, если федеральными законами или иными нормативными правовыми актами не устанавливается или не подразумевается требование о составлении такого документа на бумажном носителе».

То есть во всех случаях, когда в законодательстве прямо не указано, что документ должен быть составлен на бумаге, мы имеем право использовать электронные документы. Также в ст. 11 говорится: «В целях заключения гражданско-правовых договоров или оформления иных правоотношений, в которых участвуют лица, обменивающиеся электронными сообщениями, обмен электронными сообщениями, каждое из которых подписано электронной цифровой подписью или иным аналогом собственноручной подписи отправителя такого сообщения, в порядке, установленном федеральными законами, иными нормативными правовыми актами или соглашением сторон, рассматривается как обмен документами».

Если при использовании подписи на бумажном документе его юридическая сила может быть уточнена сверкой имеющейся подписи под документом с другими образцами подписи этого человека, а в случае судебного разбирательства — с помощью графологической экспертизы, то при внедрении технологии ЭЦП было необходимо обеспечить систему, позволяющую при получении (открытии) любого электронного документа, подписанного ЭЦП, однозначно идентифицировать подписавшего документ, а также установить отсутствие искажения информации в электронном документе после подписания.

Технически система подписания предусматривает использование криптографической технологии (шифрования) с подписанием документа с помощью закрытого (секретного) ключа и проверки подписи с помощи общедоступного (публичного) или, как еще его называют, открытого ключа.

Применение этой технологии предусматривает наличие удостоверяющих центров, которые будут выдавать закрытые ключи для подписания документов и поддерживать общедоступную базу открытых ключей, служащих для проверки подписи.

Во многом Закон «Об ЭЦП» является как раз законом об удостоверяющих центрах – им посвящена глава 3. Считаем, что именно задержками с созданием единой сети удостоверяющих центров и объясняется промедление с массовым распространением электронно-цифровой подписи, т. к. широкое применение электронно-цифровой подписи требует организации соответствующей инфраструктуры массовой выдачи закрытых ключей (для подписания документов) и распространения открытых ключей (для проверки достоверности электронно-цифровой подписи).

Для обозначения инфраструктуры распространения ключей часто используется английская аббревиатура PKI (public key infrastructure). В соответствии с постановлением Правительства РФ от 30.06.04 № 319 «Об утверждении положения о Федеральном агентстве по информационным технологиям» организация подтверждения подлинности «электронных цифровых подписей уполномоченных лиц удостоверяющих центров в выданных ими сертификатах ключей подписей», «ведение единого государственного реестра сертификатов ключей подписей удостоверяющих центров и реестра сертификатов ключей подписей уполномоченных лиц федеральных органов государственной власти», а также «обеспечение доступа к ним граждан, организаций, органов государственной власти и органов местного самоуправления» было возложено на Федеральное агентство по информационным технологиям.

Необходимость центральной структуры обусловлена следующим. Дело в том, что, получив документ, подписанный электронно-цифровой подписью, следует обратиться в удостоверяющий центр, выдавший данному лицу подпись для получения сертификата ключа подписи, т. е. открытого ключа для проверки правильности подписи.

Однако возникает вопрос: можно ли доверять этому удостоверяющему центру, была ли проверена личность заявителя перед выдачей ему сертификата? Тут деятельность удостоверяющих центров чем-то напоминает деятельность нотариусов.

Поэтому и возникает в ст. 10 Закона уполномоченный федеральный орган, который «ведет единый государственный реестр сертификатов ключей подписей, которыми удостоверяющие центры, работающие с участниками информационных систем общего пользования, заверяют выдаваемые ими сертификаты ключей подписей, обеспечивает возможность свободного доступа к этому реестру и выдает сертификаты ключей подписей соответствующих уполномоченных лиц удостоверяющих центров».

Задержка с внедрением ЭЦП в сферу публичных взаимоотношений произошла во многом из-за неурегулированности вопросов создания корневого (головного) удостоверяющего центра, который должен регистрировать все удостоверяющие центры.

Так, например, распоряжение правительства Москвы «О создании московского головного регионального удостоверяющего центра» появилось еще 10.04.03 (№ 568-РП), а открытие Головного удостоверяющего центра г. Москвы (ГУЦ) состоялось только 01.12.06. Удостоверяющий центр по заявлению организации или физического лица создает для заявителя ключ, предназначенный для подписания документов, и сертификат ключа подписи, включающий открытый ключ для проверки электронно-цифровой подписи. Сертификат ключа подписи может включать как фамилию, имя, отчество, так и должность (с указанием наименования и местонахождения организации, в которой установлена эта должность) и квалификацию владельца сертификата ключа подписи, а также иные сведения, подтверждаемые соответствующими документами.

Таким образом, поскольку сертификат ключа подписи создается по письменному заявлению, личность заявителя и другие вносимые сведения подтверждаются соответствующими документами — это гарантирует соответствие личности подписавшего документ сведениям, указанным в сертификате ключа подписи. При этом в соответствии с п. 4 ст. 9 Закона «услуги по выдаче участникам информационных систем сертификатов ключей подписей, зарегистрированных удостоверяющим центром, одновременно с информацией об их действии в форме электронных документов оказываются безвозмездно».

Организационное обеспечение электронной цифровой подписи (ЭЦП) осуществляется в соответствии с законодательством государства, на территории которого используется данное средство ЭЦП. При отсутствии такого законодательства правовое регулирование в области применения средств ЭЦП осуществляется на основе нормативных актов административных органов.

Согласно ст. 3 ФЗ «ОБ электронно-цифровой подписи» от 10 января 2001 г. № 1-ФЗ:

электронный документ — документ, в котором информация представлена в электронно-цифровой форме;

электронная цифровая подпись — реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе;

средства электронной цифровой подписи — аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций — создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе, создание закрытых и открытых ключей электронных цифровых подписей;

сертификат средств электронной цифровой подписи — документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям;

Согласно ст. 16 ФЗ «Об электронно-цифровой подписи» использование электронной цифровой подписи в сфере государственного управления

1. Федеральные органы государственной власти, органы государственной власти субъектов Российской Федерации, органы местного самоуправления, а также организации, участвующие в документообороте с указанными органами, используют для подписания своих электронных документов электронные цифровые подписи уполномоченных лиц указанных органов, организаций.

2. Сертификаты ключей подписей уполномоченных лиц федеральных органов государственной власти включаются в реестр сертификатов ключей подписей, который ведется уполномоченным федеральным органом исполнительной власти, и выдаются пользователям сертификатов ключей подписей из этого реестра в порядке, установленном настоящим Федеральным законом для удостоверяющих центров.

3. Порядок организации выдачи сертификатов ключей подписей уполномоченных лиц органов государственной власти субъектов Российской Федерации и уполномоченных лиц органов местного самоуправления устанавливается нормативными правовыми актами соответствующих органов.

Владелец информационной системы, в которой применяется
электронная цифровая подпись при создании электронных документов,
обязан:

обеспечить соответствие применяемого программного и аппаратного обеспечения требованиям, определенным производителем средств электронной цифровой подписи и требованиям, содержащимся в
регламентах удостоверяющих центров;

обеспечить соблюдение требований действующего законодательства об электронной цифровой подписи при выполнении в информационной системе действий с электронными документами, требующими использования электронной цифровой подписи.

Владелец сертификата ключа подписи обязан выполнять требования действующего законодательства в области электронной цифровой подписи, нормативные правовые акты Правительства Москвы, нормативные акты организации — владельца информационной системы, в которой он применяет электронную цифровую подпись, Регламент удостоверяющего центра, правомерные требования и распоряжения администраторов взаимодействующих информационных систем, а также настоящий порядок.

Владельцы информационных систем, удостоверяющие центры, должностные лица, участники информационного обмена и иные лица несут предусмотренную действующим законодательством ответственность за причинение вреда их действиями или бездействием в случае несоблюдения ими требований настоящего порядка.

То есть для проверки подлинности подписи поступившего документа никаких расходов не требуется. Еще одна проблема — вопрос хранения открытых ключей, служащих для проверки подлинности электронно-цифровой подписи. В соответствии со ст. 7 Закона срок хранения открытого ключа в удостоверяющем центре не может быть меньше установленного законодательством срока исковой давности по документам, подписанным ЭЦП, после чего открытый ключ переводится в режим архивного хранения.

Законом установлен срок архивного хранения не менее пяти лет, т. е., например, суммарный срок хранения открытых ключей для документов временного (5 лет) срока хранения должен составить 10 лет.

С точки зрения делопроизводства имеется ряд нововведений по сравнению с традиционными технологиями работы с документами. В первую очередь это связано с тем, что в файл документа, подписанного ЭЦП, нельзя вносить изменения.

Контрольная сумма («хэш-сумма») по документу является основной составной частью ЭЦП и гарантирует, говоря языком Закона, «отсутствие искажения информации в электронном документе после подписания». Из этого вытекает ряд изменений. Если раньше при работе с бумажным документом сотрудник, обнаружив после его подписания опечатку, мог аккуратно исправить документ ручкой, что-то замазать, а в многостраничном документе с подписью только на последней или первой странице — даже заменить отдельные листы документа, то при использовании ЭЦП это уже невозможно — любое внесение изменений в документ приведет к тому, что ЭЦП документа будет недействительна.

По этой же причине в документе, подписываемом ЭЦП, недопустимо наличие автоматически обновляемых полей, часто присутствующих в шаблонах документов, например «дата печати документа», «местонахождение файла документа» и т. п. Автоматическое обновление поля в документе также приведет к тому, что документ изменится и ЭЦП аннулируется. Еще одно существенное изменение технологий связано с тем, что обычно после подписания бумажный документ передается в службу ДОУ (канцелярию, общий отдел, секретариат), где он регистрируется и на нем проставляется регистрационный номер.

Так как в файле документа после его подписания изменений допускать нельзя, значит, регистрационная информация должна вноситься только в регистрационную карточку на документ. Таким образом, только в регистрационной карточке (базе данных по документу) хранятся резолюции и другие реквизиты, которые раньше традиционно наносились на бумажный документ.

Соответственно, если традиционный документ — это лист бумаги со всеми имеющимися на нем реквизитами, отражающими жизненный цикл документа (дата, подпись, регистрационный номер, отметка о получении, резолюция, отметка об исполнении и направлении в дело и т. п.), то электронный документ — это файл с ЭЦП, открытый ключ для проверки подписи и запись в базе данных, т. е. электронная карточка, прикрепленная к документу и содержащая все необходимые реквизиты и сведения о его жизненном цикле.

Для работы с юридически значимыми электронными документами необходимо специализированное программное обеспечение, система электронного делопроизводства (СЭД), поэтому в этой ситуации на первый план по значимости выходит вопрос выбора и внедрения такой системы, обеспечивающей работу с электронными документами и ЭЦП для всех сотрудников организации.

Поскольку единого стандарта для обмена документами в электронной форме и передачи их в государственные архивы между организациями пока не существует (хотя в настоящее время ВНИИ документоведения и архивного дела (ВНИИДАД) уже разрабатывает методические рекомендации по организации работы с электронными документами), то здесь можно посоветовать ориентироваться на наиболее массовые программные продукты, которые в дальнейшем могут быть легко доработаны, как только соответствующие нормативно-методические документы будут приняты.

Электронная цифровая подпись, может применяться юридическими и физическими лицами для сдачи налоговой отчетности (налоговых деклараций) в электронном виде, получения необходимых справок, сдачи отчётности в ПФР и ФСС, ответов на вопросы из государственных органов и организаций, участия в конкурсах государственного и муниципального заказов и электронных торгах. Вне зависимости от места их проведения и места нахождения участника, а также для организации собственного (внутри предприятия) электронного документооборота, при взаимодействии с партнерами, для решения других прикладных задач.

Электронная цифровая подпись применяется также для идентификации в системах санкционированного доступа в помещения, в информационных системах и пр.

Технология применения системы ЭЦП предполагает наличие сети абонентов, посылающих друг другу подписанные электронные документы. Для каждого абонента генерируется пара ключей: закрытый и открытый.

Закрытый ключ хранится абонентом в тайне и используется им для формирования ЭЦП. Открытый ключ известен всем другим пользователям и предназначен для проверки ЭЦП получателем подписанного электронного документа.

Электронная цифровая подпись используется для подтверждения подлинности документов, передаваемых по телекоммуникационным каналам. Функционально она аналогична обычной подписи и обладает ее основными достоинствами:

удостоверяет, что подписанный текст исходит от лица, поставившего подпись;

не дает самому этому лицу возможности отказаться от обязательств, связанных с подписанным текстом;

гарантирует целостность подписанного текста.

Электронная цифровая подпись представляет собой относительно небольшое количество дополнительной цифровой информации, передаваемой вместе с подписанным текстом.

ЭЦП основана на достижениях современной криптографии. С помощью ЭЦП устанавливается однозначная взаимная связь между содержимым сообщения, самой подписью и парой ключей. Изменение хотя бы одного из этих элементов приводит к нарушению этой связи, а ее сохранение является подтверждением подлинности цифровой подписи и, следовательно, самого сообщения. ЭЦП реализуется при помощи асимметричных алгоритмов шифрования и хэш-функций.

Пользование ЭЦП включает две процедуры:

– формирование цифровой подписи;

– проверку цифровой подписи.

Есть два варианта генерации (создания) ЭЦП:

– генерирование закрытого ключа в УЦ;

– генерирование закрытого ключа на стороне пользователя.

Нередко пользователь самостоятельно генерирует закрытый ключ (на своем рабочем месте), после чего генерирует запрос в УЦ на изготовление сертификата ключа подписи (СКП) и регистрацию этого СКП в реестре УЦ. При этом сертификат ключа подписи пользователя в электронном виде подписывается ключом УЦ, и при открытии соответствующей вкладки на сертификате можно увидеть, каким ключом подписан данный СКП. Таким образом, уполномоченное лицо УЦ (это сотрудник, который получил соответствующее образование в области информационной безопасности) заверяет сертификат пользователя своим сертификатом, его еще называют корневым. Удостоверяющий центр своей подписью подтверждает все создаваемые им подписи.

Если закрытый ключ генерируется в УЦ, то уполномоченный сотрудник идет в УЦ, где в обязательном порядке предъявляет документ, удостоверяющий личность (как правило, паспорт) и передает администратору УЦ полный пакет документов, требуемый его регламентом. После этого администратор генерирует закрытый и открытый ключи клиента в специально оборудованном помещении. Далее администратор выдает единственный ключ, который должен обязательно выдаваться на защищенном носителе, и регистрирует сертификат, т.е. вносит его в реестр действующих СКП УЦ.

Согласно ст. 5 ФЗ «Об Электронной цифровой подписи» № 1-ФЗ от 10.01.2002 г.:

1. Создание ключей электронной цифровой подписи осуществляется:

– для использования в информационной системе общего пользования — пользователем или по его обращению — удостоверяющим центром;

– для использования в корпоративной информационной системе — в порядке, установленном в этой системе.

2. При создании ключей ЭЦП для использования в информационной системе общего пользования должны применяться только сертифицированные средства ЭЦП. Возмещение убытков и вреда, возникших в связи с созданием ключей ЭЦП несертифицированными средствами ЭЦП, может быть возложено на создателей и распространителей таких ключей.

3. В корпоративных информационных системах федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации и органов местного самоуправления использование несертифицированных средств ЭЦП и созданных ими ключей ЭЦП не допускается.

4. Сертификация средств ЭЦП осуществляется в соответствии с законодательством Российской Федерации о сертификации продукции и услуг.»

Рассмотрим особенности хранения ЭЦП

Защищенный носитель оснащен системой безопасности - пин — кодом, защитой от взлома, защитой от несанкционированного копирования изнутри, например, во время подписания. Но часто используются незащищенные носители, с которых ключи легко копируются, также есть возможность использования ЭЦП с компьютера, если она установлена на нем. С точки зрения безопасности, это в корне не правильно, возникает риск завладения ЭЦП третьими лицами. Кроме того, владелец ЭЦП может скопировать свою подпись и с защищенного носителя.

Как показала практика, руководители предприятий предпочитают получать ЭЦП на свое имя, но, как правило, самостоятельно не работают на торговых площадках и копируют подпись для своих сотрудников. Следует учитывать, что, если вы копируете подпись для нескольких подчиненных, в случае судебного разбирательства документы, подписанные данными ЭЦП, будут иметь полную юридическую силу. Соответственно, если кто-то подписал какой-либо документ ЭЦП руководителя, руководитель несет полную ответственность за действия, которые совершаются с помощью этой подписи. Например, если секретарь или уборщица по незнанию или по злому умыслу подписали какой-либо договор или контракт, то он имеет полную юридическую силу.

В этом случае, во-первых, непонятно, кто и где подписывает документы, во-вторых, появляется возможность действий со стороны третьих лиц от имени организации без ведома руководства. Правильнее выдать обычную бумажную доверенность уполномоченному лицу на получение еще одной ЭЦП, после получения которой он работает на торговой площадке от своего имени. Если допущена какая-либо ошибка, сразу понятно, кто ее совершил. В доверенности указываются все полномочия, которыми наделен сотрудник: например, он может совершать все действия по подаче заявки и участию в аукционе, но не имеет права подписывать государственный контракт. Таким образом, сотрудник может совершать все действия по участию в размещении заказа, но право подписи контракта остается только у руководителя предприятия.

При невнимательной работе с доверенностями возможен вариант наделения сотрудника слишком обширными полномочиями. Например, правами генерального директора. В этом случае сотрудник получает полномочия на любые действия от имени организации, в том числе на подписание любых документов и управления расчетным счетом. ЭЦП с такими правами должна храниться только в месте с ограниченным доступом (например, в сейфе).

Возможен вариант отсутствия у сотрудника полномочий на совершение конкретных юридических действий. То есть если у лица, которое подписывает электронные документы или контракты, нет прав подписи конкретных документов, контракт является юридически ничтожным, и его можно расторгнуть.

Тест

1. Какое из аппаратных средств относится к ЭЦП