Выбор вида электронной подписи для использования в СЭД
Выход в начале 2011 года нового закона «Об электронной подписи» всколыхнул общественность, в том числе и профессиональное сообщество ECM. До сегодняшнего дня не утихают среди профессионалов споры о применимости того или иного вида электронной подписи.
Алексей Корепанов, руководитель проектов DIRECTUM
Выход в начале 2011 года нового закона «Об электронной подписи»
всколыхнул общественность, в том числе и профессиональное сообщество ECM. До
сегодняшнего дня не утихают среди профессионалов своего дела споры о
применимости того или иного вида электронной подписи в различных областях
электронного взаимодействия. Для многих представителей бизнеса этот аспект
работы с электронными документами остается непонятым. Предлагаю рассмотреть его
в разрезе работы в ECM-системе.
Итак, на текущий момент законодательно определены три вида электронной подписи – простая, неквалифицированная и квалифицированная.
Простая электронная подпись
Этот вид подписи формируется без использования каких-либо криптографических преобразований. Законодательно требуется лишь, чтобы сама подпись содержалась в подписываемом документе и позволяла определить лицо, подписавшее документ.
Из положительных сторон использования простой подписи можно выделить простоту реализации и отсутствие необходимости использовать специализированные средства установки электронной подписи. Но из такой простоты вытекает и основой недостаток – невозможность определения факта внесения изменений в документ.
Можно ли использовать простую электронную подпись в ECM-системе? С точки зрения законодательства документы с простой подписью имеют юридическую силу при наличии локальных нормативных актов (в том числе регламент использования электронной подписи). Но если учитывать требования бизнеса, то простая электронная подпись в ECM-системе не имеет смысла. Да, по истории изменений документа мы можем определить пользователя, который внес изменения в документ, но не сможем гарантированно восстановить состояние документа на момент подписания.
Но! Можно доработать ECM-систему таким образом, чтобы подписанная простой электронной подписью версия документа блокировалась от изменений. Такой вариант работы имеет право на жизнь и может использоваться для постановки юридически значимого электронного документооборота. К тому же использование простой электронной подписи упрощает задачу архивного хранения, т. к. отпадает вопрос с сохранением актуальности подписи (подробнее опишу ниже эту проблему). Но стоит помнить, что счета-фактуры должны подписываться исключительно квалифицированной подписью.
Неквалифицированная электронная подпись
Этот вид подписи формируется с использованием криптографических преобразований и позволяет определить лицо, подписавшее документ, а также факт внесения изменений в документ после его подписания. Примером неквалифицированной подписи может служить подпись, сформированная с использованием ключа, сгенерированного удостоверяющим центром Microsoft CA.
Единственное отличие неквалифицированной подписи от квалифицированной заключается в том, что ключ последней должен быть сгенерирован в удостоверяющем центре, прошедшем процедуру аккредитации в Уполномоченном федеральном органе (обязательное требование для прохождения аккредитации – использование исключительно сертифицированного программного обеспечения).
Итак, можно ли использовать неквалифицированную электронную подпись в ECM-системе? С точки зрения законодательства документы (за исключением счетов-фактур), подписанные неквалифицированной электронной подписью, имеют юридическую силу при условии наличия регламентирующих локальных нормативных актов. С точки зрения бизнеса этот вид подписи удовлетворяет всем требованиям.
Сложность состоит в организации архивного хранения электронных документов, подписанных неквалифицированной (или квалифицированной) электронной подписью. Для сохранения юридической значимости подписанного электронного документа необходимо, чтобы сертификат был действительным на момент проверки подписи. Чаще всего срок действия сертификата – 1 год. Тогда как же проверить действительность электронной подписи через 10–15 лет? Существует несколько вариантов, например, использовать службу штампов времени или каждый год переподписывать документы. Однако в регламентирующих документах необходимо четко описать механизм поддержания актуальности электронной подписи (сохранение юридической значимости подписанного электронного документа).
Квалифицированная электронная подпись
Этот вид подписи формируется с использованием криптографических преобразований и позволяет определить лицо, подписавшее документ, а также факт внесения изменений в документ после его подписания. Примером квалифицированной подписи может служить подпись, сформированная с использованием ключа, сгенерированного аккредитованным удостоверяющим центром, и с помощью сертифицированного программного обеспечения.
Безусловно, квалифицированная электронная подпись может использоваться в ECM-системе. При этом согласно законодательству электронный документ, подписанный квалифицированной подписью, имеет юридическую силу (приравнивается к бумажному документу с подписью), в том числе и счета-фактуры. И в отличие от случая с неквалифицированной подписью, не требуется разработка регламента использования электронной подписи в системе.
Резюме
Подведем итог. С некоторыми оговорками в ECM-системе можно использовать любой вид электронной подписи.
В случае обмена документами в электронном виде, за исключением счетов-фактур и документов, которые должны быть составлены исключительно на бумаге, можно использовать неквалифицированную электронную подпись или, при условии доработки системы, простую. Если же предполагается, что в электронном документообороте будут участвовать и счета-фактуры, необходимо использовать квалифицированную подпись (следует помнить, что на текущий момент нет формата электронного счета-фактуры, т. е. обмен в электронном виде невозможен).
Можно и комбинировать указанные выше варианты, т. е. счета-фактуры подписываются квалифицированной подписью и отправляются через специализированного оператора контрагенту, а другие договорные документы подписываются другим видом подписи и отправляются контрагенту. Такой вариант технологически и организационно сложнее, но позволяет сократить затраты на постановку юридически значимого электронного документооборота. Выбор как всегда за вами.
Приглашаю всех читателей ECM-Journal 30 ноября на онлайн-семинар по юридически значимому документообороту. Как докладчик, буду рад пообщаться с вами по вопросам ЭЦП и другим темам (пожалуйста, зарегистрируйтесь заранее).
Источник: Эксклюзивно для ECM-Journal
Комментарии 23
Что имеется в виду, что после подписания документа его могут поменять? Так для того и существует СЭД чтобы такого не допустить! (собственно об этом вы и пишите ниже).
Другой вопрос, что документ может использоваться не только внутри, но и во вне СЭД.
Еще несколько замечаний/дополнений к статье.
Ну и общий вывод напрашивается практически сам собою:самая выигрышная стратегия - использовать принцип максимальной простоты: везде где это возможно использовать простую электронную подпись, если есть необходимость криптографической защиты (передача по публичным каналам, сложность заключения предварительных договоренностей между участниками обмена, ...) пользовать неквалифицированной ЭЦП и только в исключительных случаях (пока кроме обмена документами с государственными органами я ничего придумать не могу) - квалифицированную подпись.
Да ради бога. Проблема не в том, что мы используем для квалифицированной подписи стандарт GOST, а в том, что никакие другие стандарты и алгоритмы для нее применять нельзя.
Ну да - здесь мы смотрим на вещи одинаково :)
Однако, я все-таки вернусь к исходному своему комментарию. А его посыл (по крайней мере мне хотелось чтобы он был понят так, но я увлекся и мысль размазалась) был в следующем:
Выбор типа используемой подписи внутри СЭД зависит в первую очередь от того, как с документами и их подписями будут работать вне СЭД.
Т.е. начинать надо не с вопроса "какой подписью мы будем подписывать документы в СЭД", а с блока вопросов типа:
Вот когда мы поймем как будет работать внешний документооборот и процессы eDiscovery, мы можем подумать и о том, что придется менять внутри (я касаюсь только вопросов подписания - все остальное можно и нужно развивать параллельно).
При чем здесь страна? Данные стандарты были предложены компниями КриптоПро и КриптоКом, это (я надеюсь) частные, а не государтсвенные компании.
А что касается фразы "никому небыло дела" так это просто констатация факта, что указанные RFC-стандарты были приняты практически без обсуждения, просто по истечении времени обсуждения, процедура RFC это позволяет...
Да, я хотел поправиться - не требовать сертификации криптосредств для того, чтобы считать подпись квалифицированной.
Думаю, что принципиально ничего.
Увы, это очень малая часть протоколов. Но это половина беды. Вторая проблема никто из крупных вендоров ПО (таких как Microsoft или Oracle) не спешит их поддерживать...
В результате возникают все описанные в нашей дискуссии проблемы.
Что значит "не смогут сделать это на должном уровне"?
Microsoft в свое время озвучивала свою позицию в отношении региональных стандартов - они не могут поддерживать их все (даже их мощностей не хватает). Поэтому оставляют на откуп партнерам.
Кстати сразу еще вопрос: я ведь правильно понимаю что квалифицированной считается подпись сделанная сертификатом, выданным аккредитованным центром (который и обязан использовать сертифицированное ПО и АО). При этом никаких требований к ПО/АО на местах подписания не предъявляется (ну кроме того, что они должны поддерживать работу с выданными сертификатами, а это автоматически определяет требуемые алгоритмы)?
Или и для подписания должны использоваться сертифицированные средства?
Думаю, дело даже не в способности/неспособности - дело в экономической целесообразности и политике работы.
Например, что случится если Microsoft решит-таки реализовать поддержку российских криптоалгоритмов:
Так что операция для них скорее бессмысленная.
А если не обобщать на всю область безопасности, а ограничиться только вопросами ЭЦП: чем полезна для конечного пользователя сертификация производящего ЭЦП ПО?
Ну и вытекающие вопросы:
Воля ваша, конечно, но пока мы ходим вокруг да около. Если вы можете дать ссылку где освещается вопрос "чем замечательна квалифицированная ЭЦП?" будет замечательно.
А вообще, данный журнал (если говорить за весь ресурс) как раз и создавался в том числе с целью ликбеза для людей занимающихся вопросами СЭД (в том числе для только начинающих). Так что, это вполне его формат.
В некоторых случаях "понять" значит "привыкнуть". Поэтому мы с вами в любом случае идем к тому, что понятия ЭП/ЭЦП устоятся. И даже технические вопросы разрешатся, в том или ином виде, по мере расширения использования цифровых подписей. Надеюсь в споре, даже оставшись каждый при своем мнении, оппоненты смогли услышать суть и почерпнуть полезное. ;) Комментари уже тянут на отдельные посты с изложением разной точки зрения на вопрос.
Один из критериев действительности ЭП - сертификат действителен на момент подписания электронного документа (при наличии достоверной информации о моменте подписания электронного документа) или на день проверки действительности указанного сертификата, если момент подписания электронного документа не определен.