Внедрение электронной подписи в организации. Что такое электронная подпись — простым языком для новичков мира цифровой экономики Оформление трудовых отношений

В России в электронном документообороте можно использовать три вида подписи: простую, усиленную неквалифицированную и усиленную квалифицированную. Посмотрим, чем они отличаются друг от друга, при каких условиях равнозначны собственноручной и придают подписанным файлам юридическую силу.

Простая электронная подпись, или ПЭП

Простая подпись — это знакомые всем коды доступа из СМС, коды на скретч-картах, пары “логин-пароль” в личных кабинетах на сайтах и в электронной почте. Простая подпись создается средствами информационной системы, в которой ее используют, и подтверждает, что электронную подпись создал конкретный человек.

Где используется?

Простая электронная подпись чаще всего применяется при банковских операциях, а также для аутентификации в информационных системах, для получения госуслуг , для заверения документов внутри корпоративного электронного документооборота (далее — ЭДО).

Простую электронную подпись нельзя использовать при подписании электронных документов или в информационной системе, которые содержат гостайну.

Юридическая сила

Простая подпись приравнивается к собственноручной, если это регламентирует отдельный нормативно-правовой акт или между участниками ЭДО заключено соглашение, где прописаны:

• правила, по которым подписанта определяют по его простой электронной подписи.
• обязанность пользователя соблюдать конфиденциальность закрытой части ключа ПЭП (например, пароля в паре “логин-пароль” или СМС-кода, присланного на телефон).

Во многих информационных системах пользователь должен сначала подтвердить свою личность во время визита к оператору систему, чтобы его ПЭП в будущем имела юридическую силу. Например, для получения подтвержденной учетной записи на портале Госуслуг, нужно лично прийти в один из центров регистрации с документом, удостоверяющим личность.

Неквалифицированная электронная подпись, или НЭП

Усиленная неквалифицированная электронная подпись (далее — НЭП) создается с помощью программ криптошифрования с использованием закрытого ключа электронной подписи. НЭП идентифицирует личность владельца, а также позволяет проверить, вносили ли в файл изменения после его отправки.

Человек получает в удостоверяющем центре два ключа электронной подписи: закрытый и открытый. Закрытый ключ хранится на специальном ключевом носителе с пин-кодом или в компьютере пользователя — он известен только владельцу и его нужно держать в тайне. С помощью закрытого ключа владелец генерирует электронные подписи, которыми подписывает документы.

Открытый ключ электронной подписи доступен всем, с кем его обладатель ведет ЭДО. Он связан с закрытым ключом и позволяет всем получателям подписанного документа проверить подлинность ЭП.

То, что открытый ключ принадлежит владельцу закрытого ключа, прописывается в сертификате электронной подписи. Сертификат также выдается удостоверяющим центром. Но при использовании НЭП сертификат можно не создавать. Требования к структуре неквалифицированного сертификата не установлены в федеральном законе № 63-ФЗ “Об электронной подписи”.

Где используется?

НЭП можно использовать для внутреннего и внешнего ЭДО, если стороны предварительно договорились об этом.

Юридическая сила

Участникам ЭДО нужно соблюдать дополнительные условия, чтобы электронные документы, заверенные НЭП, считались равнозначными бумажным с собственноручной подписью. Сторонам нужно обязательно заключить между собой соглашение о правилах использования НЭП и взаимном признании ее юридической силы.

средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из функций:

создание ЭП с использованием закрытого ключа ЭИ

подтверждение с использованием открытого ключа ЭП

создание закрытого и открытого ключей ЭП.

4. Средства кодирования (ручные шифры)

Средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций.

5. Средства изготовления ключевых документов.

Независимо от вида носителя ключевой информации

6.Ключевые документы (независимо от вида носителя)

Компрометация криптографических ключей – хищение, утрата, разглашение, несанкционированное копирование и другие происшествия, в результате которых криптографические ключи могут стать доступными несанкционированным лицам и/или процессам.

Персональные данные (ПД) – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту ПД), в том числе его фамилия, имя, отчество, дата рождения, адрес, семейное, социальное, имущественное положение, образование, профессия и другая информация.

Оператор ПД – государственный орган или муниципальный орган, юридическое или физическое лицо, организующее и/или осуществляющее обработку ПД, а также определяющие цели и содержание обработки ПД.

ЭП – информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связанной с такой информацией и которая используется для определения лица, подписавшего информацию.

Сертификат ключа проверки ЭП – электронный документ или документ на бумажном носителе, выданные удостоверяющим центром или доверенным лицом УЦ, и подтверждающий принадлежность ключа проверки ЭП владельцу сертификата ключа проверки ЭП.

УЦ – юридическое лицо или индивидуальный предприниматель, осуществляющий функционирование по созданию и выдаче открытых ключей проверки ЭП, а также иные функции, связанные с ЭП и предусмотренные законодательством.

Аккредитация УЦ – признание федеральным органом исполнительной власти, уполномоченным в сфере использования ЭП, соответствия УЦ требованиям законодательства.

Средства УЦ – программные и/или аппаратные средства, используемые для реализации функций УЦ.

Средства ЭП – шифровальные или криптографические средства, используемые для реализации хотя бы 1 из функций:

создание ЭП

проверка ЭП

создание ключа ЭП

создание ключа проверки ЭП

Ключ ЭП – уникальная последоватедьность символов, предназначенная для создания ЭП. Ключ проверки ЭП - … однозначно связанная с ключом ЭП и предназначенная для проверки подлинности ЭП.

Квалифицированные сертификаты ключей проверки ЭП – сертификат ключа проверки ЭП, выдан аккредитованным УЦ или доверенным лицом аккредитованного УЦ или федеральным органом исполнительной власти, умолномоченным в сфере использования ЭП (уполномоченным федеральным органом)

ГОСТ Р 51275

ЗИ. Объекты информатизации. Факторы, воздействующие на информацию. Основные положения.

Область применения – Стандарт устанавливает классификацию и перечень факторов, воздействующих на результативность защиты информации в интересах обоснованных угроз безопасности информации к требованиям по ЗИ на объекте информатизации. Стандарт распространяется на объекты информатизации, создание и эксплуатирование в различных областях деятельности (оборона, экономика, наука и другие)

Выявление и учет факторов, воздействующих или тех, которые могут воздействовать на защищаемую информацию в конкретных условиях, составляют основу для планирования и осуществления эффективных мероприятий, направленных на ЗИ на объекте информатизации.

Полнота и достоверность выявляемых факторов достигается путем рассмотрения полного множества факторов, воздействующих на все элементы ОИ (технические и программные средства обработки информации, средства обеспечения ОИ и так далее) и на всех этапах обработки информации.

Выявление факторов, воздействующих на защищаемую информацию, должно осуществляться с учетом требований:

достаточность уровней классификации факторов, позволяющая формировать их полное множество;

гибкость классификации. Позволяющая рассматривать множество классифицируемых факторов, а также вносить изменения без нарушения структуры классификаций.

Факторы, воздействующие на информацию:

Объективные внутренние передача сигналов извлечение сигналов, функций, присущих техническим средствам ОИ побочные ЭМИ наличие акустоэлектрических преобразователей в элементах ТС ОИ дефекты, сбои, отказы, аварии ТС и систем ОИ дефекты, сбои, отказы

Объективные внешние явления техногенного характера природные явления, стихийные бедствия

Субъективные внутренние разглашение защищаемой информации лицами, имеющими к ней право доступа неправомерные действия со стороны лиц, имеющих право доступа к защищаемой информации НСД к защищаемой информации недостатки организации обеспечения ЗИ ошибки обслуживания персонала ОИ

Субъективные внешние доступ к защищаемой информации с применением ТС НСД к защищаемой информации блокирование доступа к защищаемой информации путем перегрузки технических средств обработки информации ложными заявками на ее обработку действия криминальных групп и отдельных преступных субъектов искажение, уничтожение или блокирование информации с применением ТС

В се больше российских предприятий внедряют у себя системы электронного документооборота, уже на собственном опыте оценивая преимущества данной технологии работы с документами. Электронный обмен данными осуществляется посредством информационных систем, компьютерных сетей, Интернета, электронной почты и множества других средств.

А электронная подпись - это реквизит электронного документа, предназначенный для защиты информации от подделки.

Использование электронной подписи позволяет:

• принимать участие в электронных торгах, аукционах и тендерах;
• выстраивать взаимоотношения с населением, организациями и властными структурами на современной основе, более эффективно, с наименьшими издержками;
• расширить географию своего бизнеса, совершая в удаленном режиме различные, в том числе экономические, операции с партнерами из любых регионов России;
• значительно сократить время, затрачиваемое на оформление сделки и обмен документацией;
• построить корпоративную систему обмена электронными документами (являясь одним из ее элементов).

С использованием электронной подписи работа по схеме «разработка проекта в электронном виде - создание бумажной копии для подписи - пересылка бумажной копии с подписью - рассмотрение бумажной копии» уходит в прошлое. Теперь все можно делать в электронном виде!

Разновидности электронной подписи

Установлены следующие виды , которые регулируются : простая электронная подпись и усиленная электронная подпись. При этом усиленная электронная подпись может быть квалифицированной и неквалифицированной.

Таблица

Чем различаются между собой 3 вида электронной подписи

Свернуть Показать

Любую электронную подпись подделать очень сложно. А с усиленной квалифицированной подписью (самой защищенной из трех) при современном уровне вычислительных мощностей и требуемых временных ресурсов это сделать просто невозможно.

Простые и неквалифицированные подписи на электронном документе заменяют бумажный документ, подписанный собственноручной подписью, в случаях, оговоренных законом или по согласию сторон . Усиленная квалифицированная подпись может рассматриваться как аналог документа с печатью (т.е. «сгодится» для любых случаев ).

Электронный документ с квалифицированной подписью заменяет бумажный документ во всех случаях, за исключением тех, когда закон требует наличия документа исключительно на бумаге. Например, с помощью таких подписей граждане могут обращаться в государственные органы для получения государственных и муниципальных услуг, а органы государственной власти могут отправлять сообщения гражданам и взаимодействовать друг с другом через информационные системы.

Закрытым ключом подписываем, открытым - проверяем электронную подпись

Чтобы иметь возможность подписывать документы электронной подписью, необходимо иметь:

• ключ ЭП (так называемый закрытый ключ) - с его помощью создается электронная подпись для документа;
• сертификат ключа проверки ЭП (открытый ключ ЭП) - с его помощью проверяется подлинность электронной подписи, т.е. подтверждается принадлежность ЭП определенному лицу.

Организации, которые осуществляют функции по созданию и выдаче сертификатов ключей проверки ЭП, а также ряд иных функций, называются удостоверяющими центрами .

В процессе создания сертификата ключа проверки ЭП каждому пользователю генерируются ключ ЭП и ключ проверки ЭП. Оба этих ключа хранятся в файлах. Для того чтобы никто, кроме владельца подписи, не мог воспользоваться ключом ЭП, его обычно записывают на защищенный ключевой носитель (как правило, совместно с ключом проверки электронной подписи). Его так же, как банковскую карточку, для дополнительной защиты снабжают PIN-кодом . И точно так же, как при операциях с картой, перед тем как воспользоваться ключом для создания электронной подписи, необходимо ввести правильное значение PIN-кода (см. Рисунок).

Защищенные ключевые носители изготавливаются различными производителями и обычно внешне напоминают флэш-карту. Именно обеспечение пользователем конфиденциальности своего ключа ЭП гарантирует отсутствие возможности у злоумышленников подписать документ от имени владельца сертификата.

Для обеспечения конфиденциальности ключа ЭП необходимо выполнять рекомендации по хранению и использованию ключа ЭП, содержащиеся в документации, как правило, выдаваемой пользователям в удостоверяющем центре, - и вы будете защищены от неправомерных действий, совершаемых с ключом электронной подписи от вашего имени. Лучше всего, если ваш закрытый ключ будет доступен исключительно вам. Эту идею очень важно донести до каждого владельца ключа. Лучше всего этого добиться путем издания инструктивных материалов на данный счет и ознакомления с ними сотрудников под подпись.

Рисунок

Программа запрашивает пароль (PIN-код) для того, чтобы подписать документ электронной подписью при помощи ключа ЭП, содержащегося на подключенной к компьютеру «флэшке»

Свернуть Показать

Пример 1

Фрагмент Руководства по обеспечению безопасности использования квалифицированной электронной подписи ОАО «Электронная Москва»

Свернуть Показать

При создании электронной подписи средства электронной подписи должны:

1. показывать лицу, подписывающему электронный документ, содержание информации, которую он подписывает;
2. создавать электронную подпись только после подтверждения лицом, подписывающим электронный документ, операции по созданию электронной подписи;
3. однозначно показывать, что электронная подпись создана.

При проверке электронной подписи средства электронной подписи должны:

1. показывать содержание электронного документа, подписанного электронной подписью;
2. показывать информацию о внесении изменений в подписанный электронной подписью электронный документ;
3. указывать на лицо, с использованием ключа электронной подписи которого подписаны электронные документы.

Сертификат ключа проверки ЭП содержит всю необходимую информацию для проверки электронной подписи. Данные сертификата открыты и публичны. Обычно сертификаты хранятся в хранилище операционной системы в изготовившем его удостоверяющем центре бессрочно (точно так же, как и нотариус хранит всю необходимую информацию о человеке, выполнившем у него нотариальное действие). В соответствии с положениями Закона № 63-ФЗ удостоверяющий центр , изготовивший сертификат ключа проверки электронной подписи, обязан предоставлять безвозмездно любому лицу по его обращению информацию , содержащуюся в реестре сертификатов, в т.ч. информацию об аннулировании сертификата ключа проверки электронной подписи.

Свернуть Показать

Олег Комарский , IT-специалист

Удостоверяющий центр, выдавший электронную подпись, хранит сертификат ключа проверки этой ЭП бессрочно, точнее, в течение всего времени своего существования. Пока удостоверяющий центр работает, проблем нет, но т.к. центр является коммерческой организацией, он может прекратить свое существование. Таким образом, в случае прекращения деятельности УЦ возникает возможность потери информации о сертификатах, тогда электронные документы, подписанные электронными подписями, выданными закрывшимся УЦ, могут потерять свою юридическую значимость.

В связи с этим планируется создание своего рода государственного хранилища сертификатов (как действующих, так и отозванных). Это будет что-то вроде государственного нотариального центра, где будут храниться данные о всех сертификатах. Но пока такая информация хранится в УЦ бессрочно.

Что нужно учесть работодателю при оснащении своих сотрудников электронными подписями?

В сертификате ключа ЭП обязательно есть информация о Ф.И.О. его владельца , также есть возможность включения дополнительной информации, такой, как название компании и должность . Кроме того, в сертификате могут быть прописаны объектные идентификаторы (OID) , определяющие отношения, при осуществлении которых электронный документ, подписанный ЭП, будет иметь юридическое значение. Например, в OID может быть прописано, что работник имеет право размещать информацию на торговой площадке, но не может подписывать договоры. Т.е. с помощью OID можно разграничивать уровень ответственности и полномочий.

Существуют свои тонкости передачи полномочий при увольнении или переходе работников на другую должность. Их следует учитывать.

Пример 2

Свернуть Показать

При увольнении коммерческого директора Иванова, подписывавшего документы электронной подписью, для нового человека, сменившего Иванова в этом кресле, нужно заказывать новый ключевой носитель для работы с ЭП. Ведь не может Петров подписывать документы подписью Иванова (хоть и электронной).

Обычно при увольнении организуется перевыпуск ключей ЭП; как правило, для этого работники сами посещают удостоверяющий центр. Организация, оплачивающая выпуск ключей, тоже является владельцем ключа, поэтому она имеет право приостанавливать действие сертификата. Таким образом минимизируются риски: исключается ситуация, когда уволенный работник мог бы подписывать документы от имени прежнего работодателя.

Свернуть Показать

Наталья Храмцовская , к.и.н., ведущий эксперт по управлению документацией компании «ЭОС», эксперт ИСО, член ГУД и ARMA International

Эффективная деловая деятельность организации зависит от многих факторов. Одним из ключевых элементов всей системы управления является принцип взаимозаменяемости сотрудников. Следует заранее подумать о том, кто подменит сотрудников, временно не исполняющих свои должностные обязанности из-за болезни, командировки, отпуска и т.д. Если ваша организация имеет дело с подписанием документов электронными подписями, этот аспект нужно учитывать отдельно. Тот, кто пренебрежительно относится к данному организационному вопросу, рискует нарваться на серьезные неприятности.

Показательным в данном смысле является дело № А56-51106/2011, которое рассматривал Арбитражный суд города Санкт-Петербурга и Ленинградской области в январе 2012 года.

Как возникла проблема:

• ООО «Сбытовое Объединение «Тверьнефтепродукт» в июле 2011 года подало единственную заявку на участие в открытом аукционе в электронной форме на поставку бензина по топливным картам для Верхне-Волжского отделения Федерального государственного бюджетного научного учреждения «Государственный научно-исследовательский институт озерного и речного рыбного хозяйства» (ФГНУ «ГосНИОРХ»). Аукционная комиссия заказчика приняла решение о заключении государственного контракта с единственным участником аукциона.
• Проект государственного контракта был направлен заказчиком оператору электронной площадки 12 июля 2011 года, а тот передал его в ООО. В установленный законодательством срок ООО не направило оператору электронной площадки проект контракта, подписанный электронной подписью лица, имеющего право действовать от имени участника размещения заказа, т.к. это должностное лицо было на больничном.
• В июле 2011 года Санкт-Петербургским Управлением Федеральной антимонопольной службы (УФАС) были рассмотрены представленные заказчиком сведения об уклонении ООО от заключения контракта и было принято решение о включении того в реестр недобросовестных поставщиков.

Не согласившись с решением УФАС, ООО обратилось в суд. Все три судебные инстанции сочли ООО виновным в уклонении от заключения контракта. А в последней инстанции в октябре 2012 года выплыло, что ООО обращалось к заказчику 10 августа 2011 года и в качестве причины неподписания контракта называло не болезнь своего сотрудника, а его халатность.

Другой интересный случай произошел при подписании государственного контракта электронной подписью неуполномоченного лица. Это дело Арбитражный суд Калужской области рассматривал в сентябре 2011 года (дело №А23-2637/2011).

Обстоятельства были таковы:

• В марте 2011 года ООО «СЭЛ ТЕХСТРОЙ» было признано победителем открытого аукциона. К этому моменту в ООО произошла смена генерального директора: прежний гендир В. стал заместителем нового гендиректора П. Но новому генеральному директору еще не успели оформить ЭЦП. Поэтому 14.03.2011 решили «упростить себе жизнь» и подписать госконтракт при помощи ЭЦП ушедшего со своего поста В. Однако главная ошибка была в том, что В. подписал документ как генеральный директор ООО «СЭЛ ТЕХСТРОЙ».
• Сведения об освобождении от должности генерального директора В. и назначении генеральным директором П., а также доверенность на осуществление действий от имени участника размещения заказа, выданная В. уже как заместителю генерального директора, были размещены на сайте электронной торговой площадки только 24.03.2011, т.е. после подписания и направления контракта заказчику.
• Эту оплошность заметил заказчик, посчитав, что контракт подписан неуполномоченным лицом, и в апреле 2011 года обратился в УФАС. В результате УФАС включило ООО в реестр недобросовестных поставщиков сроком на 2 года из-за уклонения от заключения госконтракта.

При рассмотрении данного дела в первой судебной инстанции суд отметил, что новый генеральный директор общества П. в своих объяснениях УФАС, во-первых, подтвердил готовность к подписанию госконтракта, во-вторых, признал допущенную ошибку, не оспаривая при этом полномочий В., указанных в доверенности. Кроме того, факт размещения доверенности на официальном сайте электронной площадки, пусть и с опозданием, был расценен судом как активные действия общества по устранению допущенной ошибки. В результате Арбитражный суд обязал УФАС исключить ООО из реестра недобросовестных поставщиков. В декабре 2011 года Двадцатый арбитражный апелляционный суд поддержал позицию суда первой инстанции.

Но Федеральный арбитражный суд Центрального округа в марте 2012 года рассудил иначе. По его мнению, 14.03.2011 В. использовал ЭЦП с нарушением положений ст. 4 Федерального закона «Об электронной цифровой подписи» и условий, указанных в сертификате ключа подписи (ведь электронный документ с ЭЦП, не соответствующей условиям, внесенным в сертификат, не имеет юридического значения). В итоге суд сделал вывод о том, что государственный контракт был подписан неуполномоченным лицом, и признал правомерным решение УФАС о признании ООО недобросовестным поставщиком.

Аналогичные дела часто рассматриваются судами. То директор, обладающий сертификатом ключа ЭП и имеющий право подписывать документы от имени общества, увольняется, а новый директор не успевает изготовить себе ЭП и вовремя подписать контракт. То пытаются подписать документы подписью уже уволившегося сотрудника (или переведенного на иную должность в той же организации). То возникают проблемы с халатностью сотрудников или их болезнью (как в первом из описанных случаев), и опять вовремя не успевают делегировать полномочия другому лицу и оформить ему ЭП. А результат один - организация попадает в список недобросовестных поставщиков и лишается права заключения контрактов, финансируемых из бюджета.

Получение работником организации ключа ЭП, обеспечение его сохранности и действия с ним обычно регламентируются приказом по организации с утверждением инструктивных материалов. В них определяется порядок применения ключей ЭП для подписания документов, получения, замены, аннулирования сертификата ключа проверки ЭП, а также действия, выполняемые при компрометации ключа ЭП. Последние аналогичны действиям, выполняемым при потере банковской карты.

Как выбрать удостоверяющий центр?

Законом № 63-ФЗ предусмотрено разделение удостоверяющих центров на прошедших и не прошедших процедуру аккредитации (сейчас ее осуществляет Министерство связи и массовых коммуникаций РФ). Аккредитованному удостоверяющему центру выдается соответствующее свидетельство, и для получения квалифицированного сертификата ключа проверки ЭП необходимо обращаться именно в такой УЦ. Неаккредитованные УЦ могут выдавать только другие виды подписей.

При выборе УЦ следует учитывать, что не каждый из них использует все возможные криптопровайдеры. То есть, если партнерам, организующим электронный документооборот, нужны электронные подписи, сгенерированные с использованием конкретного криптопровайдера, то следует выбирать удостоверяющий центр, работающий именно с данным средством криптографической защиты информации (СКЗИ).

Процедура получения ЭП и необходимые документы

Чтобы организовать обмен электронными документами между организациями, необходимо выполнить следующие действия:

• определить цели и специфику документооборота между вашей и другой организацией. Это должно быть оформлено в виде соглашения или договора, в котором определяются и регламентируются операции и состав документов с электронной подписью, передаваемых в электронном виде (такие типовые договоры подписывают, например, банки с клиентами, разрешая пользоваться системой клиент-банк);
• совершить обмен сертификатами ключей проверки ЭП лиц, документы за подписью которых будут передаваться между организациями. Понятно, что получить такие сертификаты партнеры могут не только друг от друга, но и от удостоверяющего центра, осуществившего выпуск данных сертификатов;
• выпустить внутренние инструкции, регламентирующие порядок передачи и приема электронных документов другой организации, включая порядок проверки электронной подписи полученных документов и действия в случае выявления факта внесения изменений в документ после подписания его электронной подписью.

Для изготовления ключей электронной подписи и сертификатов ключей проверки ЭП пользователи должны предоставить в удостоверяющий центр заявительные документы, документацию, подтверждающую достоверность информации, подлежащую включению в сертификат ключа проверки ЭП, а также соответствующие доверенности.

Для обеспечения должного уровня идентификации пользователя процедура получения сертификатов ключей проверки ЭП требует личного присутствия его владельца.

Правда, есть и исключения. Например, сегодня для сотрудников государственных и бюджетных организаций, а также работников органов исполнительной власти города Москвы удостоверяющим центром ОАО «Электронная Москва» разработана система массовой выдачи сертификатов ключей проверки электронной подписи (СКПЭП), которая при сохранении высокого уровня достоверности идентификации пользователя позволяет сделать необязательным посещение удостоверяющего центра каждым сотрудником лично, что существенно сокращает денежные и временные затраты организации по сравнению с выдачей СКПЭП, организованной по традиционной схеме.

Сколько стоит электронная подпись?

Ошибочно считать, что удостоверяющий центр просто продает носители для хранения ключей и сертификатов, услуга является комплексной, и носитель с ключевой информацией является одной из составляющих. Стоимость полного пакета электронной подписи зависит от:

• региона;
• ценовой политики удостоверяющего центра;
• разновидности подписи и области ее применения.

Как правило, в этот пакет входят:

• услуги удостоверяющего центра по изготовлению сертификата ключа проверки ЭП;
• передача прав использования соответствующего программного обеспечения (СКЗИ);
• обеспечение получателя необходимым программным средством для работы;
• поставка защищенного ключевого носителя;
• техническая поддержка пользователей.

В среднем стоимость варьируется от 3 000 до 20 000 рублей на полный пакет с одним носителем ключевой информации. Понятно, что при заказе организацией десятка или сотни сертификатов ключей для своих сотрудников цена на одного «подписанта» будет существенно ниже. Перевыпуск ключей осуществляется через год.

В настоящее время в России обращение электронных документов с использованием электронной подписи стремительно набирает обороты. Электронную подпись широко внедряют как в государственных организациях, так и на предприятиях частного бизнеса. При этом необходимо учитывать, что разные виды ЭП имеют разную стоимость, что документ, заверенный ЭП, является юридически значимым, поэтому передача ключевых носителей вместе с PIN-кодом другим лицам недопустима.

Самое важное: электронная подпись существенно экономит время, избавляя от бумажной волокиты, что крайне актуально в условиях жесткой конкуренции и при удаленном расположении партнеров.

Проблема пока остается только в плоскости подтверждения подлинности такой подписи и документа с ней на протяжении его длительного срока хранения.

Сноски

Свернуть Показать

Стандарты ЭЦП в нашей стране устанавливаются законодательством. Требования, предъявляемые к электронным подписям, содержатся в Федеральном законе №63-ФЗ, и в Приказе ФСБ РФ №796. Они определяют структуру и содержание требований к средствам электронной подписи.

Требования к безопасности ЭЦП

Стандарты защиты указывают на то, что электронная подпись должна создаваться с применением устойчивых к взлому алгоритмов. Прежде всего, это требование касается подбора ключа или возможности воздействия на него с помощью программных либо аппаратных средств. Кроме того, ЭЦП не должна быть чувствительной к атакам, затрагивающим среду функционирования - например, повреждающим BIOS.

Хотя в стандартах и не содержится сведений об использовании внешних ключей, их применение - это один из немногих способов обеспечить требуемый уровень защиты. При этом нужно помнить, что все компоненты ЭЦП не могут располагаться на физическом , обычно представленном USB-ключом. Требование законодательства в этом случае однозначно - шифрование должно производиться установленной на компьютере программой, использующей внешний носитель в качестве подтверждения подлинности. Стандарты также не позволяют выполнять кодирование с помощью облачных сервисов, не имеющих подтвержденного государственными органами уровня безопасности.

Процедура использования электронной подписи

В отношении процесса заверения документа и считывания ЭЦП предъявляются похожие требования:

1. Пользователь должен видеть содержание подписываемого документа.
2. Пользователь должен подтвердить подписание документа.
3. Средства ЭП должны однозначно показать, что подпись создана.

Независимо от типа, в сертификате ЭП должны быть «зашиты» сведения о владельце сертификата подписи. Это значительно облегчает разбор спорных ситуаций, при взаимодействии с государственными органами или контрагентами, обрабатывающими большой поток документооборота в день.  

1. Для создания и проверки электронной подписи, создания ключа электронной подписи и ключа проверки электронной подписи должны использоваться средства электронной подписи, которые:

1) позволяют установить факт изменения подписанного электронного документа после момента его подписания;

2) обеспечивают практическую невозможность вычисления ключа электронной подписи из электронной подписи или из ключа ее проверки;

3) позволяют создать электронную подпись в формате, устанавливаемом федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, и обеспечивающем возможность ее проверки всеми средствами электронной подписи.

2. При создании электронной подписи средства электронной подписи должны:

1) показывать самостоятельно или с использованием программных, программно-аппаратных и технических средств, необходимых для отображения информации, подписываемой с использованием указанных средств, лицу, осуществляющему создание электронной подписи, содержание информации, подписание которой производится;

2) создавать электронную подпись только после подтверждения лицом, подписывающим электронный документ, операции по созданию электронной подписи;

3) однозначно показывать, что электронная подпись создана.

3. При проверке электронной подписи средства электронной подписи должны:

1) показывать самостоятельно или с использованием программных, программно-аппаратных и технических средств, необходимых для отображения информации, подписанной с использованием указанных средств, содержание электронного документа, подписанного электронной подписью;

(см. текст в предыдущей редакции)

2) показывать информацию о внесении изменений в подписанный электронной подписью электронный документ;

3) указывать на лицо, с использованием ключа электронной подписи которого подписаны электронные документы.

4. Средства электронной подписи, предназначенные для создания электронных подписей в электронных документах, содержащих сведения , составляющие государственную тайну, или предназначенные для использования в информационной системе, содержащей сведения, составляющие государственную тайну, подлежат подтверждению соответствия обязательным требованиям по защите сведений соответствующей степени секретности в соответствии с законодательством Российской Федерации. Средства электронной подписи, предназначенные для создания электронных подписей в электронных документах, содержащих информацию ограниченного доступа (в том числе персональные данные), не должны нарушать конфиденциальность такой информации.