|
|
Главная | Словарь | Книги | Контакты |
Электронная подпись предназначена для защиты электронного документа, передаваемого посредством различных сред или хранящегося в цифровом виде, от подделки и является атрибутом электронного документа. Она получается в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяет идентифицировать владельца сертификата ключа подписи, установить отсутствие искажения информации в электронном документе.
Электроная подпись (ЭП) - это программно-криптографическое средство, которое обеспечивает:
Электронная подпись используется физическими и юридическими лицами в качестве аналога собственноручной подписи для придания электронному документу юридической силы, равной юридической силе документа на бумажном носителе, подписанного собственноручной подписью правомочного лица и скрепленного печатью.
Электронный документ - это любой документ, созданный при помощи компьютерных технологий и хранящийся на носителях информации, обрабатываемых при помощи компьютерной техники, будь то письмо, контракт или финансовый документ, схема, чертеж, рисунок или фотография.
Использование ЭП позволяет:
Подделать ЭП невозможно - это требует огромного количества вычислений, которые не могут быть реализованы при современном уровне математики и вычислительной техники за приемлемое время, то есть пока информация, содержащаяся в подписанном документе, сохраняет актуальность. Дополнительная защита от подделки обеспечивается сертификацией Удостоверяющим центром открытого ключа подписи.
С использованием ЭП работа по схеме "разработка проекта в электронном виде - создание бумажной копии для подписи - пересылка бумажной копии с подписью - рассмотрение бумажной копии - перенос ее в электронном виде на компьютер" уходит в прошлое.
Электронные подписи разделяются законом 2011 г. на три вида.
Простые и неквалифицированные подписи заменяют подписанный бумажный документ в случаях, оговоренных законом или по согласию сторон. Например, простые подписи могут использовать граждане для отправки сообщений органам власти. Усиленная подпись также может рассматриваться как аналог документа с печатью.
Квалифицированные подписи заменяют бумажные документы во всех случаях, за исключением тех, когда закон требует наличие исключительно документа на бумаге. Например, с помощью таких подписей граждане могут получать госуслуги в электронном виде, а органы государственной власти могут отправлять сообщения гражданам и взаимодействовать друг с другом через информационные системы. Ранее выданные сертификаты ЭЦП и подписанные с их помощью документы приравниваются к квалифицированным подписям.
Иностранные электронные подписи приравниваются в России к тем видам подписей, которым они соответствуют.
Простая электронная подпись, в отличие от прежней электронно-цифровой подписи, не предназначена для защиты документа от подделки. Она не позволяет обнаружить возможное искажение содержания документа. Единственная ее функция — подтверждение факта формирования электронной подписи (а не самого документа!) определенным лицом.
Целям определения лица, подписавшего электронный документ, а также обнаружения факта внесения изменений в документ после его подписания служит усиленная электронная подпись. Именно эта подпись (в двух видах — неквалифицированная и квалифицированная) является аналогом прежней электронной цифровой подписи.
Поскольку простая электронная подпись требует использования кодов, паролей или иных средств, станет ясно, что можно считать электронной подписью, а что нет. Очевидно, что в случае электронного письма роль электронной подписи не может играть имя отправителя, вручную поставленное после текста, так как оно никак не зависит от пароля, используя который отправитель сформировал и отправил письмо. Информацией, указывающей на лицо, от имени которого был послан документ, может служить, вероятно, идентификатор сообщения в сочетании с IP-адресом компьютера отправителя, свидетельствующие о том, что сообщение было создано в результате доступа к почтовой системе, сопровождавшегося вводом пароля, принадлежащего определенному пользователю. Электронный адрес отправителя и имя отправителя можно считать подписью лишь в том случае, если оператор информационной системы обеспечивает их достоверность, ведь почтовый протокол позволяет указывать любое имя и любой обратный адрес, и некоторые почтовые системы не накладывают здесь никаких ограничений.
Средствами ЭЦП являются аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций:
В основе электронной подписи лежит криптография открытого ключа. С ее помощью формируется специальный сертификат пользователя. Он содержит данные о пользователе, открытый ключ и электронную подпись сертификата, ее можно проверить с помощью открытого ключа удостоверяющего центра. Алгоритм гарантирует, что произвести генерацию подписи может только удостоверяющий центр, который имеет секретный ключ шифрования и доверие к которому является основой для работы всей системы ЭЦП.
Доверие к удостоверяющим центрам основано на иерархическом принципе: сертификат удостоверяющего центра нижнего уровня заверяется электронной подписью удостоверяющего центра более высокого уровня. Высочайшим уровнем удостоверяющих центров является федеральный, который находится под управлением государственных органов. Вся система доверия, построенная на сертификатах, образует так называемую инфраструктуру открытых ключей (Public Key Infrastructure, PKI). При такой инфраструктуре требуется проверка не только легитимности ключа удостоверяющего центра, выдавшего сертификат, но и всех вышестоящих удостоверяющих центров. В частности, при формировании электронной транзакции необходимо проверить не только математическую корректность ЭЦП, но и валидность всей цепочки сертификатов, задействованных при изготовлении сертификата подписанта, на момент подписания им конкретного электронного документа.
В России сейчас создается система PKI, которая доступна практически всем желающим. Изначально она была создана агентством Росинформтехнологии на базе Общероссийского государственного информационного центра (ОГИЦ). Однако сейчас федеральный удостоверяющий центр передан в ведение «Ростелекома». Этот телекоммуникационный оператор активно предлагает развивать различные проекты с использованием PKI.
Электронная цифровая подпись в электронном документе равнозначна собственноручной подписи в документе на бумажном носителе при одновременном соблюдении следующих условий:
Область применения ЭЦП определяется идентификатором, называемым OID. У каждой области действия свой OID. Например, область применения, которая позволяет подписывать документы для постановки объектов на ГКН, имеет OID 1.2.643.5.1.24.2.1.3.1 «Формирование кадастровым инженером документов для получения услуг со стороны заявителя». ЭЦП с таким OID выдается только кадастровым инженерам, которые для получения предъявляют Аттестат кадастрового инженера.
Область применения, которая позволяет органу кадастрового учёта подтверждать документы – результаты кадастрового учета имеет OID - 1.2.643.5.1.24.2.1.2 «Формирование документов как результата оказания услуги со стороны органов кадастрового учета». ЭЦП с такими OID нами не выдается. И не может быть выдан без специальной аккредитации.
Основная статья: Удостоверяющие центры
Удостоверяющий центр (Центр сертификации) (англ. Certification authority, CA) — организация, выпускающая сертификаты ключей электронной цифровой подписи.
Основная статья: Электронная подпись в закупках
Для участия в закупочных процедурах необходимо наличие электронной подписи. Каких типов бывают ЭП, что влияет на стоимость подписи и какой пакет документов необходимо подготовить для её получения? Подробнее здесь.
8 июля 2019 года стало известно, что Министр экономического развития Максим Орешкин выступил за скорейшее принятие законопроекта, ужесточающего требования к удостоверяющим центрам электронной подписи. Соответствующее заявление министр сделал в ходе парламентских слушаний в Госдуме, посвященных вопросам Цифровой экономики.
В Госдуму были внесены сразу два законопроекта с поправками в Закон «Об электронной подписи». Первый из них разработан сенаторами Владимиром Кравченко, Любовью Глебовой и Михаилом Пономаревым, второй - сенатором Людмилой Боковой.
Закон «Об электронно-цифровой подписи» был принят в России в 2003 г. К документу было множество нареканий, и в 2011 г. его заменили новым Законом – «Об электронной подписи».
В законе упоминается электронная подпись трех видов: простая, усиленная и квалифицированная. Усиленная электронная подпись выдается удостоверяющим центром, квалифицированная – удостоверяющим центром, прошедшим аккредитацию в Минкомсвязи. Квалифицированная электронная подпись признается аналогом собственноручной. В числе прочего она необходима для участия в госзакупках.
Изначально закон требовал, что для аккредитованных удостоверяющих центров минимальный размер чистых активов должен составлять 1 млн руб., а минимальный размер финансового обеспечения для покрытия возможных убытков третьим лицам 1,5 млн руб.
В 2015 г. по инициативе Минкомсвязи законодатели увеличили минимальный размер чистых активов до 7 млн руб., а минимальный размер финансового обеспечения – до 30 млн руб. Но власти хотели и дальше ужесточать требования к удостоверяющим центрам. Так, в 2017 г. Минкомсвязи разработало законопроект о монополизации выдачи квалифицированных электронных подписей государством, однако данный документ был раскритикован отраслью и не получил дальнейшего развития.
В представленных законопроектах речь идет о дальнейшем ужесточении требований к аккредитованным удостоверяющим центрам. Согласно обоим документам, минимальный размер чистых активов предлагается увеличить до 1 млрд руб., либо, если у удостоверяющего центра есть филиалы в как минимум двух третях российских регионов, до 500 млн руб.
Минимальный размер финансовой гарантии предлагается увеличить до 200 млн руб. Если число мест осуществления лицензируемого вида деятельности превышает 10, то за каждое такое место необходима дополнительная финансовая гарантия в размере 500 тыс. руб., но не более 300 млн руб. в совокупности.
Срок аккредитации удостоверяющих центров сокращается с пяти до трех лет. За нарушения в работе удостоверяющих центров технического характера вводится административная ответственность.
За заведомо умышленные действия сотрудников удостоверяющих центров помимо административной, вводится еще и уголовная ответственность.
Также вводятся требования к деловой репутации руководителей удостоверяющих центров и лиц, владеющих в них не менее чем 10% капитала. Если аккредитация удостоверяющего центра была отозвана, то центр сможет обратиться за новой аккредитацией не ранее чем через три года. Кроме того, аккредитованные удостоверяющие центры должны владеть лицензиями на разработку шифровальных средств и обладать правами собственности на аппаратные средства электронной подписи.
Другое важное требование состоит в использовании юридическими лицами электронных подписей, причем здесь подходы обоих документов расходятся. Законопроект Кравченко, Глебовой и Пономарева предполагает обязать использовать только квалифицированные электронные подписи, выданные удостоверяющим центром Федеральной налоговой службы (ФНС). Дополнительно при заключении сделок будут применяться квалифицированные электронные подписи физических лиц, уполномоченных действовать от лица соответствующих юридических лиц.
В случаях с кредитными организациями, некредитными финансовыми организациями и платежными системами будут применять квалифицированные электронные подписи, выданные удостоверяющими центрами Центробанка. В случаях с органами государственной власти и местного самоуправления, а также их должностными лицами будут применяться квалифицированные электронные подписи, выданные удостоверяющими центрами Федерального казначейства.
Законопроект Боковой более либерален. Он позволит юридическим лицами продолжить использовать квалифицированные электронные подписи от любых аккредитованных удостоверяющих центров. ФНС сможет отзывать сертификаты электронных подписей юридических лиц и индивидуальных предпринимателей.
Аналогичным образом, Центробанк сможет отзывать сертификаты электронных подписей кредитных организаций, некредитных финансовых организаций и платежных систем. Как и в другом законопроекте, законопроект Боковой также требует от органов госвласти и их должностных лиц получать квалифицированные электронные подписи только в удостоверяющем центре Федерального казначейства.
В случае принятия обоих законопроектов они вступят в силу в течение 120 дней с момента их подписания. Сертификаты квалифицированных электронных подписей и аккредитации удостоверяющих центров, выданные до опубликования данного закона, будут действительны до конца срока их действия, но не более двух лет.
Норма законопроекта Кравченко, Глебовой и Пономарева об использовании юридическими лицами квалифицированных электронных подписей, выданных удостоверяющим центром ФНС и Центробанком, вступит в силу через два года после опубликования соответствующих законов. Норма законопроекта Боковой о возможности ФНС и Центробанка отзывать сертификаты квалифицированных электронных подписей также вступит в силу через два года после опубликования закона.
В то же время есть и некоторые послабления. Удостоверяющие центры смогут привлекать третьих лиц для приема заявлений на выдачу сертификатов электронных подписей и вручению данных сертификатов.
Кроме того, удостоверяющие центры смогут хранить ключи проверки электронных подписей, и по поручению их владельцев, создавать с их помощью электронные подписи. Как пояснил Орешкин, речь идет о возможности использования облачной электронной подписи.
Законопроект вводит понятие доверенной третей стороны. Она будет проверять подлинность электронной подписи в электронных документах в конкретный момент и проверять подлинность электронных подписей, выданных за рубежом. Доверенные третьи лица должны будут проходить аккредитацию в Минкомсвязи. Ожидается, что в России появится около 20 таких лиц.
В связи с этим вводится еще одно понятие – метка доверенного времени. Это достоверная информация в электронной форме о дате и времени подписания электронного документа электронной подписью, создаваемая и проверяемая доверенной третьей стороной, удостоверяющим центров либо операторов информационной системы.
Удостоверяющие центры должны будут выдавать сертификаты электронных подписей по цене, не превышающей установленное Правительством значение. Лицам, получившим сертификаты, безвозмездно должна быть предоставлена возможность зарегистрироваться в Единой системе идентификации и аутентификации. Кроме того, физическим лицам должны быть безвозмездно предоставлены технические средства для шифрованиябиометрических подписей.
Авторы законопроектов утверждают, что предложенные ими документы решат еще одну проблему. На июль 2019 года госведомства требуют наличия в сертификатах квалифицированных электронных подписей наличия тех или иных полномочий, закрепляемых за пользователем в рамках конкретной информационной системы. В результате сертификаты, выданные аккредитованными удостоверяющими центрами, не могут быть использованы в некоторых информационных системах, и удостоверяющие центры вынуждены предлагать квалифицированные электронные подписи для работы в конкретных информационных системах.
Уже этой осенью в России может начаться разработка плана по внедрению "облачной подписи" как механизма идентификации в Сети. Об этом 10 сентября 2018 года заявил спецпредставитель президента России по цифровому развитию Дмитрий Песков в преддверии Восточного экономического форума.
 |
Сегодня существует электронная подпись. Но это долго, сложно, дорого, неудобно. А нам нужна простая и понятная облачная подпись, с помощью которой человек мог бы регистрировать все свои действия винтернете, проводить сделки, — заявил Песков журналистам. |
 |
Идея, по его словам, состоит в том, чтобы у пользователя была возможность подписывать любые документы со своего мобильного устройства. Его цифровая подпись будет находиться не на носимом накопителе («флэшке»), а на удалённом «облачном» ресурсе.
Таким образом, пользователь проходит авторизацию в облачном ресурсе и дальше распоряжается своей электронной подписью, как считает нужным.
Но пока этому есть ряд препятствий. По словам Пескова, требуется ряд изменений в действующее законодательство.
|
|
...Надо окончательно легализовать электронные документы, электронные контракты. Здесь тоже ведется большая работа. Частично эту задачу нам помогает решить, в том числе, уже принятый законопроект по внедрению биометрии в банках, — отметил Песков. — Следующий шаг — это легализация смарт-контрактов, когда у вас нет посредников, когда заключенный контракт предоставляется в форме программного кода. |
|
|
|
Сразу возникают два вопроса: во-первых, как будет защищён облачный ресурс, на котором располагается цифровая подпись, и, во-вторых, насколько безопасным будет механизм обращения к «облачной» ЭЦП с локального мобильного устройства, — считает Дмитрий Гвоздев, генеральный директор компании "Информационные технологии будущего". — Возможная утечка множества ЭЦП с одного облачного ресурса будет представлять для конечных пользователей куда большую угрозу, чем утечка любых других персональных данных. Что касается мобильных устройств, то здесь потребуется отдельное защищённое приложение, изолированное от любых других, и двухфакторная авторизация — в качестве предохранителя от слабых паролей. |
|
Законопроект о легализации смарт-контрактов и документ по облачной подписи будет рассматриваться в Госдумеосенью 2018 года.
Правительство РФ решило позволить гражданам использовать простую электронную подпись для работы с порталом госуслуги. Соответствующее постановление (№996) 30 августа 2018 года опубликовано на сайте кабинета министров.
Ранее возможность отправлять заявки для получения услуг в электронном виде предоставлялась пользователям только при наличии у них так называемой усиленной электронной подписи, которая выдавалась на USB-носителе в удостоверяющих центрах. Услуга платная, но цена равна стоимости флэш-носителя.
Постановление правительства №996 вносит изменения в ряд нормативных правовых актов Правительства, чтобы предусмотреть возможность использования простой электронной подписи при обращении в электронной форме за получением госуслуг. Единственное условие — выдача ключа простой электронной подписи разрешается только после личного визита физического лица в удостоверяющий центр (для удостоверения личности).
|
|
Внесённые изменения позволят сократить расходы заявителей, связанные с выпуском физического носителя сертификата ключа электронной подписи, — говорится в публикации на сайте Правительства. |
|
В соответствии с действующим законодательством, электронные подписи в России подразделяются на три вида: простую и две усиленные — квалифицированную и неквалифицированную.
Усиленная квалифицированная электронная подпись подтверждается сертификатом от аккредитованного удостоверяющего центра и во всех случаях приравнивается к бумажному документу с ручной подписью.
Усиленная неквалифицированная подпись идентифицирует отправителя, а также гарантирует, что с момента подписания документ не претерпевал никаких изменений. Сообщение с простой или неквалифицированной электронной подписью может быть приравнено к бумажному документу с собственноручной подписью, но только по предварительной договоренности сторон и в специально предусмотренных законом случаях.
|
|
Постановление Правительства РФ снимает некоторые ограничения по использованию ЭЦП, — отметилДмитрий Гвоздев, генеральный директор компании "Информационные технологии будущего". — Фактически это означает дальнейшее расширение сферы применения электронной подписи, а соответственно, шаг вперёд в направлении цифрового документооборота, в частности, и оптимизации взаимодействия госучреждений с гражданами. |
|
Полный текст постановления Правительства РФ №996 от 27 августа 2018 года доступен здесь.
В начале апреля 2018 года появилась информация о том, что полномочия пользователей электронных цифровых подписей могут быть закреплены в едином сертификате проверки ключа усиленной квалифицированной ЭЦП. Минкомсвязи России опубликовало на портале проектов правовых актов соответствующий законопроект.
В пояснении к проекту закона указывается, что согласно текущему положению дел пользователи ЭЦП — физические и юридические лица, государственные органы и чиновники — не могут получить доступ к информационным системам различных ведомств, так как они требуют наличия в квалифицированном сертификате объектных идентификаторов (OID).
В то же время, сертификаты, выданные аккредитованными Минкомсвязи России удостоверяющими центрами, как отмечают авторы законопроекта, не могут использоваться для проверки электронной подписи в информационных системах таких отдельных ведомств.
OID отсутствуют в единых сертификатах, так что на рынке работает множество компаний, продающих квалифицированные сертификаты проверки ключа, предназначенные для работы с единственным ведомством и, соответственно, не позволяющие работать с другими.
|
|
По сути, это «убивает» смысл в ЭЦП: ключевая идея электронной подписи — в универсальности её использования, — убежден Олег Галушкин, эксперт по информационной безопасности компании SEC Consult Services. — Унификация процедуры проверки ЭЦП назрела давно, но теперь встаёт вопрос, чем будут заниматься удостоверяющие центры, и не придётся ли им сворачивать деятельность, за право вести которую они платили существенные деньги. |
|
Теперь Минкомсвязи предлагает ввести понятие «полномочный сертификат», в котором будут содержаться и OID пользователя, и сведения о его полномочиях. Тем самым проблема множества сертификатов — в случае принятия законопроекта — будет снята.
Ознакомиться с текстом законопроекта Минкомсвязи России «О внесении изменений в Федеральный закон "Об электронной подписи", Федеральный закон "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" и Федеральный закон "Об аккредитации в национальной системе аккредитации"» можно по ссылке.
Согласно исследованию, опубликованному в сентябре 2012 года аналитической компанией TechNavio, рынок двухфакторных средств аутентификации будет ежегодно расти на 20,8% в год в 2011–2015 гг. Двухфакторная аутентификация подразумевает, что для доступа к информации пользователю нужно не только ввести пароль, но также обладать неким устройством или программой, с помощью которой проводится подтверждение права доступа. Классическим примером является онлайн-банкинг, где для подтверждения операции необходимо не только ввести пароль, но также набрать разовый код, присланный по sms или сгенерированный специальной программой на компьютере.
По мнению аналитиков, следующим этапом развития данных технологий станет аутентификации с помощью мобильных телефонов, когда в "симку" аппарата "зашивается" электронно-цифровая подпись, с помощью которой пользователь может осуществлять юридически значимые действия. Например, такой механизм уже реализован в Эстонии. Другой вариант развития технологий – это создание смарт-карт, которые представляют собой электронные удостоверения личности.
Распространению технологии будет способствовать внедрение в телефоны беспроводной связи короткого радиуса действия NFC. Таким образом, мобильный телефон можно будет использовать вместо банковской карты при оплате товаров в магазине или на проходной к территории с ограниченным доступом. Однако развитие рынка будут тормозить соображения безопасности и действия регуляторов, которые предъявляют определенные требования к передаче и защите конфиденциальных данных.
Среди ведущих производителей решений двухфакторной аутентификации исследователи TechNavio называют Entrust, Gemalto, RSA Security и VASCO Data Security.
Среди разработчиков второго эшелона можно отметить ActivIdentity, CryptoCard, Deepnet security, Equifax, PhoneFactor, SecureAuth, SecurEnvoy и SafeNet Inc.
В России также ведутся разработки в данной области. Например, компания "Аладдин" разработала собственную смарт-карту со встроенным микропроцессором для аутентификации пользователей и хранения цифровых подписей, а государственный оператор "Ростелеком" реализует программу по оснащению sim-карт электронно-цифровой подписью. Партнером по исполнению технической части работ была выбрана компания "МегаФон". Ожидается, что прототип устройства будет продемонстрирован в декабре 2012 г., а первые устройства появятся на рынке в 2013 г. На данный момент можно получить ЭЦП на "флешке", для этого необходимо обратиться в офис "Ростелекома".
Правительство России 30 августа 2012 года утвердило изменения в Регламент об электронном документообороте в органах государственной власти, направленные на совершенствование информационно - технологического обеспечения деятельности Правительства Российской Федерации и федеральных органов исполнительной власти, сообщил в своем микроблоге министр связи и массовых коммуникаций Николай Никифоров.
Согласно его сообщению, Правительство утвердило проект изменений, внесенных Министерством связи и массовых коммуникаций. Таким образом, документация между органами государственной и исполнительной власти, а также аппаратом правительства будут вноситься в электронном виде с помощью электронной цифровой подписи.
Генеральный директор аналитического агентства Telecom Daily Денис Кусков в беседе в корреспондентом TAdviser сообщил, что создание внутренней защищенной системы электронного документооборота сильно бы облегчила жизнь ведомствам и министерствам.
"Если говорить о проекте с точки зрения ИТ, то разработка, внедрение, настройка системы подобного масштаба и сложности, а также с подобными требованиями безопасности может стоить не одну сотню миллионов рублей. Это включая ключи ЭЦП", - сказал Кусков. "Сейчас на рынке подобных систем довольно высокая конкуренция, поэтому государство может сократить расходы на проект довольно серьезно".
По мнению Кускова, приотсутствии каких-либо препятствий, то разработка, внедрение и отладка СЭД и ключей может занять около года.
Кусков уверен, что на каждое ведомство или учреждение необходимо будет максимум 20 ключей ЭЦП. Кабинет министров состоит из 21 члена.
В июле 2012 года стало известно, что осенью Совет Федерации намерен провести проверку подготовки нормативных актов, касающихся создания унифицированной электронно-цифровой подписи (ЭЦП). Как выяснили СМИ, в том случае, если сенаторы не будут удовлетворены итогами проверки, они выступят с законодательной инициативой о введении единой ЭЦП. (Ранее Правительство РФ продлило действие закона «Об электронной цифровой подписи» еще на год). Эксперты не уверены, что идея будет реализована: речь идет об огромном бизнесе, прикрывать который будет не выгодно ни удостоверяющим центрам, ни чиновникам .
Впервые вопрос о том, что действующий закон об ЭЦП необходимо дополнить поправками, позволяющими должностным лицам использовать одну подпись для всех информационных систем, поднимался сенаторами еще в апреле 2011 г. Совет Федерации в итоге предложение сенаторов одобрил, а правительство в свою очередь обещало, «что в нормативных актах о порядке применения электронной подписи данная новелла будет реализована», рассказал журналистам член комитета Совета Федерации по экономической политике Юрий Росляк. Однако почти за полтора года нормативные акты свет так и не увидели.
«На сегодня нормативные акты еще в разработке, поэтому по осени мы будем проверять, в каком виде все это реализовано. Если этот принцип не будет исполнен, то мы будем выходить с законодательной инициативой о законодательном побуждении правительства, в том числе Минкомсвязи, об использовании этой технологии – добавляет Ю. Росляк.
По мнению сенаторов, действующий закон об ЭЦП крайне неудобен: каждая информационная система требует индивидуальной цифровой подписи, поэтому госслужащим и бизнесменам приходится использовать сразу несколько ЭЦП.
Коммерческий директор B2B-Center Андрей Бойко сомневается, что инициатива Совфеда будет реализована. Так, стоимость одной ЭЦП варьируется от 4,5 тыс. до 7 тыс. руб., вдобавок приблизительно 50% этой суммы необходимо уплачивать за ежегодное переоформление сертификата ЭЦП.
«Это огромный бизнес. Прежде всего введение единой ЭЦП невыгодно для удостоверяющих центров, контролирующих органов, госплощадок. При этом к нам поставщики приходят со связкой ЭЦП – по 5-6 штук. Если введут унифицированную электронную подпись, это приведет к уменьшению оборота бизнеса в 4-5 раз. Сама по себе идея хорошая. Если она заработает, то это повлияет и на конкуренцию управляющих центров, и на стоимость услуг и их качество», – отмечает Ю. Бойко.
По словам руководителя группы по правовой защите информации компании «Пепеляев Групп» Андрея Слепова, в ряде случаев ЭЦП требует высокого уровня защищенности.
«В таком случае она вряд ли может подойти для каких-то более простых целей», – отмечает А. Слепов. В то же время проблему «конфиденциальности информации» можно решить путем введения «единообразных технологий», считает президент компании «Интернет и право» Антон Серго.
«Большое количество сетей ЭЦП первоначально это было стратегически важно, но в дальнейшем создавало только неудобства. Так что инициатива очень правильная», – добавляет А. Серго.
В Минкомсвязи пояснили, что согласно действующим нормативным актам если в квалифицированном сертификате, выданном юрлицу, не содержатся ограничения на его применение, то такой сертификат может использоваться в любом виде правоотношений, если это прямо не запрещено законодательством. «Это полностью воплощает в себе концепцию единой подписи юридического лица», – говорит источник в департаменте информации и общественных связей ведомства.
Только в системе госзаказа на июль 2012 года было выдано порядка 1 млн ЭЦП, по сдаче отчетностей в налоговые органы – более 1,5 млн ЭЦП, еще приблизительно по 500 тыс. было выдано юрлицам для участия в коммерческих торгах и для отчетностей в пенсионные фонды.
17 февраля 2012 г., был опубликован приказ ФСБ РФ от 27 декабря 2011 г. № 796 «Об утверждении требований к средствам электронной подписи и требований к средствам удостоверяющего центра». Ранее появился приказ от 27 декабря 2011 г. № 795 «Об утверждении требований к форме квалифицированного сертификата ключа проверки электронной подписи».
В соответствии с новыми нормами, средство подписи при подписании документа должно показать электронный документ лицу, которое его подписывает, дождаться подтверждения от этого лица, а после подписания - показать ему, что подпись создана. При проверке подписи средство должно показать электронный документ, а также информацию о внесении изменений в подписанный документ и указать на лицо, подписавшее его.
Формат квалифицированного сертификата существенно отличается от формата сертификатов ЭЦП, которые выпускаются в это время (в соответствии с федеральным законом № ФЗ-1). Например, в квалифицированный сертификат необходимо включать наименование средств электронной подписи и средств удостоверяющего центра, использовавшихся для генерации ключа подписи и ключа проверки (закрытого и открытого ключей соответственно), а также для создания самого сертификата.
По сравнению с сертификатами ЭЦП изменился способ представления полномочий владельца сертификата. В сертификат ЭЦП по заявлению владельца могли включаться любые сведения, подтверждаемые соответствующими документами, а в квалифицированный сертификат нестандартные реквизиты (например, регистрационный номер страхователя) могут включаться только в том случае, если требования к их назначению и расположению в сертификате определены в документах, предоставляемых для подтверждения соответствия средств удостоверяющего центра требованиям ФСБ.
За все время действия закона 2002 г. об ЭП в России было выдано 5-7 млн сертификатов ключей электронной подписи, приводит Минкомсвязи оценки экспертов. Действовать они будут до 1 июля 2012 г., затем их придется менять на новые.
В 2011 году в России начинает формироваться рынок услуг по выдаче носителей электронной подписи гражданам. Стоят они не дороже 500 руб., но оценить спрос в это время было трудно: еще не было решено, для каких документов какая подпись годится.
Подпись самого высокого уровня, защищенная от подделки, — так называемая усиленная квалифицированная. Средства, с помощью которых документы заверяются такой подписью, выдают специальные удостоверяющие центры, прошедшие сертификацию в ФСБ. По данным Минкомсвязи, Единый госреестр сертификатов ключей подписей содержит 284 таких центра.
Средства для оформления более простых подписей — усиленной неквалифицированной и простой — можно приобрести на рынке, обращаться в удостоверяющий центр для этого не придется.
В 2011 году удостоверяющие центры, тарифы которых изучил корреспондент «Ведомостей», берут за выдачу ЭП 2000-10 000 руб. (в зависимости от количества сопутствующих сервисов — например, за 10 000 руб. можно еще и поучаствовать в семинаре по использованию такой подписи). Но цена должна радикально снизиться, обещал пресс-секретарь министра связи Елена Лашкина, по сути, она сведется к стоимости носителя. За носитель усиленной ЭП, сертифицированной ФСБ, нужно будет заплатить 500-600 руб., а в перспективе — 300 руб. Для неквалифицированной усиленной ЭП можно купить любую USB-флешку (от 100 руб.).
6 апреля 2011 года президент России Дмитрий Медведев подписал закон «Об электронной подписи» (ЭП), одобренный Госдумой и Советом Федерации в марте. Документ придет на смену принятому в 2001 г. закону «Об электронно-цифровой подписи» (ЭЦП), который содержал слишком серьезные требования к ЭЦП и сильно ограничивал возможности по применению электронных документов. В нем допускалось применение единственной технологии — ассиметричных электронных ключей, требующей обязательного наличия сертификата от удостоверяющего центра.
Необходимость нового закона была обусловлена тем, что положения действующего закона об электронной подписи (ФЗ-1) не соответствовали современным принципам регулирования электронных подписей, которые действуют в европейских государствах.
Выделяются три вида электронной подписи - простая электронная подпись, неквалифицированная электронная подпись и квалифицированная электронная подпись.
Квалифицированной электронной подписью является электронная подпись, которая:
Кроме того, ключ проверки такой подписи указан в квалифицированном сертификате, а для создания и проверки электронной подписи используются средства, получившие подтверждение соответствия требованиям, установленным в соответствии с федеральным законом.
Перед началом использования ЭЦП центр должен был передать в бумажном и электронном виде копии сертификата уполномоченному органу. Сами удостоверяющие центры подлежали обязательному лицензированию и должны были быть выстроены в единую иерархическую структуру. Хотя закон вступил в силу в начале 2002 г., уполномоченный госорган (тогда это было Федеральное агентство по информационным технологиям) появился лишь в 2004 г., а корневой удостоверяющий центр, без которого невозможна работы всех остальных — в 2005. Лицензирование удостоверяющих центров вообще не заработало из-за противоречий с принятым позже законом «О лциензировании отдельных видов деятельности».
В результате, как отмечается в пояснительной записке к закону «Об ЭП», в России ЭЦП пользуются практические только юридические лица, а число выданных сертификатов составляет не более 0,2% от общего числа населения. В принятом сейчас законе от удостоверяющих центрах не требуется лицензирования - они могут пройти аккредитацию и то лишь на добровольной основе. Аккредитацией будет заниматься назначенный правительством уполномоченный орган, он же организует работу корневого центра.
Для аккредитации российское или иностранное юрлицо обязано обладать чистыми активами на сумму не менее 1 млн руб. и финансовыми гарантиями для выплат компенсаций пострадавшим клиентам в размере 1,5 млн руб., иметь не менее двух ИТ-специалистов с высшим профессиональным образованием и пройти процедуру подтверждения в ФСБ. Центры обязаны обеспечить свободный доступ любому лицу к реестрам действующих и аннулированных сертификатов, обязательная передача реестра сертификатов в корневой центр будет происходить только в случае прекращения аккредитации центра. Удостоверяющий центр также может организовать вокруг себя систему центров, по отношению к которым он будет корневым.
План подготовки правовых актов в целях реализации федеральных законов «Об электронной подписи» и «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона «Об электронной подписи» утвержден распоряжением Правительства Российской Федерации от 12 июля 2011 г. №1214-р. План устанавливает сроки разработки правовых актов Правительства РФ и правовых актов федеральных органов исполнительной власти, связанных с использованием электронной подписи. Минкомсвязи России является одним из ответственных исполнителей разработки правовых актов, большинство из которых будет разрабатываться совместно с ФСБ России, Минэкономразвития России, а также заинтересованными федеральными органами исполнительной власти.
Согласно плану, до 30 июля 2011 г. будет назначен федеральный орган исполнительной власти, уполномоченный в сфере использования электронной подписи, до 31 августа – утверждены требования к форме квалифицированного сертификата ключа проверки электронной подписи, требования к средствам электронной подписи, требования к средствам удостоверяющего центра и порядок аккредитации удостоверяющих центров. До 31 октября должны быть приняты постановления Правительства о видах электронной подписи, которые госорганы используют при организации электронного взаимодействия между собой, о видах электронной подписи, которые используются при обращении за госуслугами, и о порядке использования простой электронной подписи при оказании государственных и муниципальных услуг. До 30 ноября должен быть утвержден порядок использования электронной подписи при обращении за получением государственных и муниципальных услуг. Последний планируемый документ будет подписан в марте 2012 г.
В законе 2011 г. появилась возможность подписывать электронной подписью документы, обращение которых не регламентировано законами прямого действия, отмечает замруководителя Росреестра Сергей Сапельников. Под регламентацию подпадают немногие документы: выписки из кадастра недвижимости и Единого госреестра прав, счета-фактуры и др. Новый же закон в теории позволит заверять у нотариусов в электронном виде и выписки из свидетельства о браке, доверенности и т. п. Правда, пока не ясно, подписи какого из трех форматов будут принимать госструктуры и какие конкретно документы можно ими подписывать. Закон не установил, какой тип подписи может использовать то или иное ведомство, в каком формате должен подписываться гендиректор компании, в каком — главный бухгалтер, а в каком — гражданин, говорит Сапельников. Для органов власти виды ЭП определит правительство, а для делового и бытового общения граждане и юридические лица вправе сами выбирать вид подписи, говорит сотрудник Минкомсвязи.
30 марта 2011 г. на заседании Совета Федерации было решено внести поправки в закон об электронной цифровой подписи (ЭЦП), не приостанавливая действия закона в действующей редакции. Сейчас в документе не прописано правило о том, что ЭЦП у конкретного лица должна быть одна, так же как и его графическая личная подпись. Из-за этого чиновники и бизнесмены вынуждены в разных информационных системах использовать разные подписи.
«У нас каждая информационная система требует, чтобы должностное лицо оформляло для каждой конкретной системы индивидуальную цифровую подпись. Мы считаем это категорически недопустимым: во-первых, это дополнительный бюрократический барьер, во-вторых, это большая потеря времени и денег», – отметил один из инициаторов поправок, член комитета Совета Федерации по экономической политике Юрий Росляк.
По его словам, сейчас у чиновника, работающего в системе казначейства, имеется семь разных ЭЦП. «Может дойти до абсурда, когда у человека может быть 10–12 ЭЦП для того, чтобы не ограничивать свою дееспособность», – добавил он. По его словам, унифицированная цифровая подпись должна оформляться в системе удостоверяющих центров. Действовать она должна во всех публичных информационных системах, которые существуют в России. Столь же очевидно, что данный тезис не имеет ничего общего с идентификацией в закрытых информационных системах.
«Сейчас ведется работа по согласованию конструкции: в какую именно главу включить эту поправку. Я думаю, что в течение месяца мы эту работу закончим и согласительные процедуры начнем как минимум в начале июня», – поясняет Ю. Росляк.
В марте 2011 года Госдума РФ одобрила в последнем чтении проект Федерального закона «Об электронной подписи», который призван заменить существующий с 2002 года №1-ФЗ «Об электронной цифровой подписи». Закон призван «регулировать отношения по использованию электронных подписей при совершении гражданско-правовых сделок, оказании государственных и муниципальных услуг, исполнении государственных и муниципальных функций, а также при совершении иных юридически значимых действий».
В соответствии со ст. 5 законопроекта определено три новых вида электронной подписи: простая, неквалифицированная и квалифицированная (наиболее защищенная). Использующиеся на данный момент сертификаты ключей ЭЦП приравниваются к квалифицированным сертификатам электронной подписи.
Законом регулируется выдача и использование сертификатов ключа подписи, проверка подлинности подписей, аккредитация и оказание услуг удостоверяющих центров, которые будут осуществлять выдачу сертификатов ключей электронной подписи. До 1 июля 2012 года такие центры продолжат работать в прежнем режиме, однако должны будут пройти обязательную аккредитацию в уполномоченном органе. Начиная с лета 2012 года право выдачи квалифицированных подписей предоставляется исключительно аккредитованным удостоверяющим центрам.
Ситуация с ЭЦП в Российской Федерации обстоит таким образом, что любому пользователю для работы с информационными системами, требующими применения электронно-цифровой подписи, приходится практически для каждой из них заводить отдельную ЭЦП. Для разрешения данной ситуации Совет Федерации РФ готовит поправку к закону «Об электронной цифровой подписи», которая призвана облегчить жизнь пользователям ЭЦП. В результате она должна стать единой для всех информационных систем и не ограничивать дееспособность их держателей.
В феврале 2011 года премьер-министр России Владимир Путин подписал распоряжение № 176-р «Об утверждении плана мероприятий по переходу федеральных органов исполнительной власти на безбумажный документооборот при организации внутренней деятельности». Данный документ утвердил план мероприятий по переходу федеральных органов власти на безбумажный документооборот и установил, что реализация мероприятий по переходу на безбумажный документооборот осуществляется «за счет средств, предусмотренных в федеральном бюджете».
К июню 2011 года планируется обеспечить «должностных лиц федеральных органов исполнительной власти средствами электронной цифровой подписи в целях использования в электронном документообороте», создать или модернизировать СЭД министерств и ведомств. С 1 января 2012 г., согласно плану, безбумажный документооборот должен заработать во всех федеральных органах власти.
В августе 2010 г. Минэкономразвития подготовило доклад президенту о приоритетах внедрения госуслуг в электронном виде. Один из приоритетов — электронные цифровые подписи (ЭЦП) для граждан и организаций. На западе технология, позволяющая удостоверить автора электронных документов и обеспечить их неизменность (при любом изменении документа ЭЦП станет недействительна) не снискала большой популярности: слишком сложна. Российское Минкомсвязи тоже не верит в массовость ЭЦП — это ведомство объявило конкурс на разработку альтернатив. Но, несмотря на это, повсеместное распространение электронных подписей в нашей стране все же состоится.
Проект доклада Минэкономразвития президенту России о приоритетах предоставления госуслуг в электронном виде был представлен в правительство 2 августа 2010. Один из приоритетов, отмеченных в нем, — использование «электронной цифровой подписи, доступной большинству граждан и организаций при получении услуг». Субъекты федерации должны создать условия для повсеместного использования ЭЦП. И все это — за счет собственных средств, «в рамках текущего финансирования».
Для человека, хорошо знакомого с компьютером, использование электронной цифровой подписи не составит большой проблемы. Но вряд ли эту технологию смогут освоить все россияне, рассказывал на Тверском экономическом форуме министр связи и массовых коммуникаций Игорь Щёголев. В качестве альтернативы его ведомство решило создать специальную защищенную электронную почту для общения государства с гражданами. На эти цели выделили 10 млн руб. Право разработать проект выиграл Санкт-Петербургский государственный университет телекоммуникаций имени Бонч-Бруевича.
«На Западе ЭЦП не нашла широкого применения, — отмечается в заявке одного из конкурсантов, компании „Ашманов и партнеры`. — Она оказалась неудобна... Средний гражданин после некоторых колебаний предпочитал „по старинке` идти в присутственные места лично, чем обзаводиться программным обеспечением, сертификатом, изучать особенности ЭЦП и т. д. Ни западные государственные институты, ни коммерческие предприятия массового обслуживания не стали использовать ЭЦП в существенных масштабах именно из-за неприятия гражданином/клиентом».
В России, судя по всему, будут параллельно развивать несколько дублирующих систем доступа к электронному правительству. Копия доклада Минэкономразвития была направлена в Минкомсвязи, но позиция этого ведомства «до настоящего времени не выражена», отмечает в сопроводительном письме к проекту доклада временно исполняющий обязанности министра экономического развития Андрей Клепач.
Электронная цифровая подпись наиболее активно используется в сфере финансов – этому способствует и рост проникновения систем интернет-банкинга, и инициативность Федеральной налоговой службы, подразделения которой принимают отчетность в электронном виде. Кроме того, Президент РФ Дмитрий Медведев недавно подписал Федеральный закон от 27.07.2010 № 229-ФЗ, который предусматривает внесение изменений в первую и вторую часть Налогового кодекса РФ. Среди них – возможность выставления счетов-фактур в электронном виде по взаимному согласию сторон сделки и при наличии у сторон совместимых технических средств и возможностей для приема и обработки счетов-фактур. Одним из обязательных условий такого процесса является подписание счетов-фактур с помощью ЭЦП.
По мнению экспертов рынка, создание любой финансовой документации и ведение отчетности – это один из самых простых примеров отрасли, где использование ЭЦП может принести прибыль. Сейчас организациям для хранения финансовой отчетности зачастую приходится арендовать склады – срок хранения документов может составлять 5 лет и даже более. На это тратятся достаточно существенные средства. Кроме того, у каждого обычного частного лица дома тоже есть своеобразный склад, в котором хранятся документы. Если все эти документы перенести в электронную форму, это существенно облегчит жизнь человека или компании и обеспечит большую сохранность документов – ведь бумажные документы не скопировать так просто, как электронные.
Использование ЭЦП при оказании госуслуг может сэкономить не только время гражданам, но и средства государства – за счет сокращения штата сотрудников, осуществляющих прием документов, минимизации ошибок и потерь при обработке и так далее.
Стоит заметить, что для документоемких информационных систем средства защиты кажутся дополнительной нагрузкой, поскольку добавочные вычислительные мощности требуются как на аутентификацию, так и на дешифрацию данных. Тем не менее, в некоторых случаях, они, наоборот, могут сэкономить ресурсы, блокируя доступ к процессам тем пользователям, кто может ими злоупотребить. Если же в системе обрабатывается информация для ограниченного круга применения, то внедрение систем шифрования и надежной аутентификации вполне оправдано.
Кроме того, на уровне законодательства требуется защита систем документооборота в случае обработки персональных данных или транзакций международных платежных систем. Все технологические составляющие подобной защиты уже реализованы и внедряются, важно в ходе их использовании соблюсти требования по сохранению юридической значимости электронных документов при обработке в документоемких информационных системах.
В новой версии закона, по мнению экспертов рынка, сняты некоторые ограничения, наложенные первым законом, – например, необязательным становится использование сертифицированного криптосредства. Это облегчает жизнь многим организациям и частным лицам в регионах. Дело в том, что сертифицированное криптосредство должно передаваться либо по защищенному каналу, либо на неизменяемом носителе – например, на диске. Между тем, защищенный канал сам должен быть защищен сертифицированным криптосредством, так что возникает патовая ситуация. И это далеко не все нюансы, которые должны быть учтены в новой версии закона об ЭЦП.
На российском рынке (2010 год) существует несколько криптопровайдеров, которые друг с другом не совместимы. Таким образом, складывается ситуация, когда каждому пользователю, чтобы послать письмо с ЭЦП другому пользователю, необходимо сначала удостовериться в том, что адресат сможет проверить ЭЦП. Хотя, казалось бы, используется фактически один и тот же алгоритм, а применение ЭЦП регламентирует один и тот же закон, реализация у работающих на этом рынке компаний разная.
Первым законом, регулирующим правила пользования электронной цифровой подписью, в России был Закон РФ от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи». Основной претензией к 1-ФЗ являлась его неоднозначность, расплывчатость. В частности, даже определения ЭЦП и электронного документа в целом дают возможности для неоднозначной трактовки. Оставляет возможности для разночтений и такое понятие, как доказательства, определяющие момент подписания – ими можно считать и штамп времени, входящий в подпись, и время, проставленное в самом документе. Вызывает вопросы и то, как определять не утративший силу на момент проверки сертификат. Сейчас взаимодействующие друг с другом с использованием ЭЦП компании и организации решают все эти проблемы с помощью подписания дополнительных регламентов, иначе – договоров о присоединении, однако это серьезно усложняет процесс обмена электронными документами.
Летом 2000 года вступил в силу национальный закон США об электронной подписи — с этого дня росчерк на бумаге и в цифровом документе равнозначны. По крайней мере, по федеральному закону. Закон не перевернул технологическую реальность, зато создал отдельный сегмент рынка — управление цифровыми транзакциями (digital transaction management, DTM). Согласно исследованию Aragon Research, этот быстро растущий сегмент к 2020 году достигнет впечатляющего объема в 30 млрд долларов.
В США UETA и национальный закон об ЭП придают электронным документам тот же вес, что имеют традиционные бумажные обязательства, подписанные от руки.
Эти законодательные акты определяют ЭП как «электронный звук, символ или процесс, прилагаемый или логически связанный с контрактом или другой записью, присоединяемый к ней лицом с намерением подписать данную запись». Таким образом, любая деловая транзакция может быть выполнена электронным способом.
«В США люди используют электронные подписи во всех аспектах, касающихся их повседневной жизни. Вы можете оформить в электронном виде ипотеку или страховку в составе автокредита», — говорит Стивен Бисби (Stephen Bisbee), президент балтиморской компании eOriginal, которая владеет патентом на процесс создания, подписи и передачи документов электронным способом.
Наиболее прогрессивные предприятия больше не задаются вопросом, пользоваться ли электронной подписью — они сосредоточены на том, чтобы наилучшим образом встроить ее применение в собственные бизнес-процессы.
Следующим шагом станет управление любым «цифровым» бизнесом в режиме online. «Это движение вперед — от простых подписей к сложным финансовым операциям в электронной форме», — считает Бисби и предсказывает, что перелом в этой области произойдет в течение ближайших четырех лет.
В Россию электронно-цифровая подпись пришла в 1994 году, когда был принят первый российский стандарт ЭЦП – ГОСТ Р 34.10-94, который в 2002 году был заменен на ГОСТ Р 34.10-2001.
США можно считать родиной ЭП: в 1976 году американскими криптографами Уитфилдом Диффи и Мартином Хеллманом было впервые предложено понятие «электронная цифровая подпись», хотя они всего лишь предполагали, что схемы ЭЦП могут существовать. Но уже в 1977 году был разработан криптографический алгоритм RSA, который без дополнительных модификаций можно использовать для создания примитивных электронных подписей.
