Работа с эцп для чайников

Все больше российских предприятий внедряют у себя системы электронного документооборота, уже на собственном опыте оценивая преимущества данной технологии работы с документами. Электронный обмен данными осуществляется посредством информационных систем, компьютерных сетей, Интернета, электронной почты и множества других средств.

А электронная подпись — это реквизит электронного документа, предназначенный для защиты информации от подделки. Электронная подпись формируется путем криптографического преобразования информации и позволяет определить личность «подписанта«.¹

Использование электронной подписи позволяет:

• принимать участие в электронных торгах, аукционах и тендерах;
• выстраивать взаимоотношения с населением, организациями и властными структурами на современной основе, более эффективно, с наименьшими издержками;
• расширить географию своего бизнеса, совершая в удаленном режиме различные, в том числе экономические, операции с партнерами из любых регионов России;
• значительно сократить время, затрачиваемое на оформление сделки и обмен документацией;
• построить корпоративную систему обмена электронными документами (являясь одним из ее элементов).

С использованием электронной подписи работа по схеме «разработка проекта в электронном виде — создание бумажной копии для подписи — пересылка бумажной копии с подписью — рассмотрение бумажной копии» уходит в прошлое. Теперь все можно делать в электронном виде!

Разновидности электронной подписи

Установлены следующие виды электронных подписей², которые регулируются Федеральным законом № 63-ФЗ от 06.04.2011 «Об электронной подписи»³: простая электронная подпись и усиленная электронная подпись. При этом усиленная электронная подпись может быть квалифицированной и неквалифицированной.

Любую электронную подпись подделать очень сложно. А с усиленной квалифицированной подписью (самой защищенной из трех) при современном уровне вычислительных мощностей и требуемых временных ресурсов это сделать просто невозможно.

Простые и неквалифицированные подписи на электронном документе заменяют бумажный документ, подписанный собственноручной подписью, в случаях, оговоренных законом или по согласию сторон. Усиленная квалифицированная подпись может рассматриваться как аналог документа с печатью (т.е. «сгодится» для любых случаев).

Электронный документ с квалифицированной подписью заменяет бумажный документ во всех случаях, за исключением тех, когда закон требует наличия документа исключительно на бумаге. Например, с помощью таких подписей граждане могут обращаться в государственные органы для получения государственных и муниципальных услуг, а органы государственной власти могут отправлять сообщения гражданам и взаимодействовать друг с другом через информационные системы.

Закрытым ключом подписываем, открытым — проверяем электронную подпись

Чтобы иметь возможность подписывать документы электронной подписью, необходимо иметь:

• 
  ключ ЭП (так называемый закрытый ключ) — с его помощью создается электронная подпись для документа;
• 
  сертификат ключа проверки ЭП (открытый ключ ЭП) — с его помощью проверяется подлинность электронной подписи, т.е. подтверждается принадлежность ЭП определенному лицу.

Организации, которые осуществляют функции по созданию и выдаче сертификатов ключей проверки ЭП, а также ряд иных функций, называются удостоверяющими центрами.

В процессе создания сертификата ключа проверки ЭП каждому пользователю генерируются ключ ЭП и ключ проверки ЭП. Оба этих ключа хранятся в файлах. Для того чтобы никто, кроме владельца подписи, не мог воспользоваться ключом ЭП, его обычно записывают на защищенный ключевой носитель (как правило, совместно с ключом проверки электронной подписи). Его так же, как банковскую карточку, для дополнительной защиты снабжают PIN-кодом. И точно так же, как при операциях с картой, перед тем как воспользоваться ключом для создания электронной подписи, необходимо ввести правильное значение PIN-кода (см. Рисунок).

Защищенные ключевые носители изготавливаются различными производителями и обычно внешне напоминают флэш-карту. Именно обеспечение пользователем конфиденциальности своего ключа ЭП гарантирует отсутствие возможности у злоумышленников подписать документ от имени владельца сертификата.

Для обеспечения конфиденциальности ключа ЭП необходимо выполнять рекомендации по хранению и использованию ключа ЭП, содержащиеся в документации, как правило, выдаваемой пользователям в удостоверяющем центре, — и вы будете защищены от неправомерных действий, совершаемых с ключом электронной подписи от вашего имени. Лучше всего, если ваш закрытый ключ будет доступен исключительно вам. Эту идею очень важно донести до каждого владельца ключа. Лучше всего этого добиться путем издания инструктивных материалов на данный счет и ознакомления с ними сотрудников под подпись.

Сертификат ключа проверки ЭП содержит всю необходимую информацию для проверки электронной подписи. Данные сертификата открыты и публичны. Обычно сертификаты хранятся в хранилище операционной системы в изготовившем его удостоверяющем центре бессрочно (точно так же, как и нотариус хранит всю необходимую информацию о человеке, выполнившем у него нотариальное действие). В соответствии с положениями Закона № 63-ФЗ удостоверяющий центр, изготовивший сертификат ключа проверки электронной подписи, обязан предоставлять безвозмездно любому лицу по его обращению информацию, содержащуюся в реестре сертификатов, в т.ч. информацию об аннулировании сертификата ключа проверки электронной подписи.

Что нужно учесть работодателю при оснащении своих сотрудников электронными подписями?

В сертификате ключа ЭП обязательно есть информация о Ф.И.О. его владельца, также есть возможность включения дополнительной информации, такой, как название компании и должность. Кроме того, в сертификате могут быть прописаны объектные идентификаторы (OID), определяющие отношения, при осуществлении которых электронный документ, подписанный ЭП, будет иметь юридическое значение. Например, в OID может быть прописано, что работник имеет право размещать информацию на торговой площадке, но не может подписывать договоры. Т.е. с помощью OID можно разграничивать уровень ответственности и полномочий.

Существуют свои тонкости передачи полномочий при увольнении или переходе работников на другую должность. Их следует учитывать.

Обычно при увольнении организуется перевыпуск ключей ЭП; как правило, для этого работники сами посещают удостоверяющий центр. Организация, оплачивающая выпуск ключей, тоже является владельцем ключа, поэтому она имеет право приостанавливать действие сертификата. Таким образом минимизируются риски: исключается ситуация, когда уволенный работник мог бы подписывать документы от имени прежнего работодателя.

Получение работником организации ключа ЭП, обеспечение его сохранности и действия с ним обычно регламентируются приказом по организации с утверждением инструктивных материалов. В них определяется порядок применения ключей ЭП для подписания документов, получения, замены, аннулирования сертификата ключа проверки ЭП, а также действия, выполняемые при компрометации ключа ЭП. Последние аналогичны действиям, выполняемым при потере банковской карты.

Как выбрать удостоверяющий центр?

Законом № 63-ФЗ предусмотрено разделение удостоверяющих центров⁴ на прошедших и не прошедших процедуру аккредитации (сейчас ее осуществляет Министерство связи и массовых коммуникаций РФ). Аккредитованному удостоверяющему центру выдается соответствующее свидетельство, и для получения квалифицированного сертификата ключа проверки ЭП необходимо обращаться именно в такой УЦ. Неаккредитованные УЦ могут выдавать только другие виды подписей.

При выборе УЦ следует учитывать, что не каждый из них использует все возможные криптопровайдеры. То есть, если партнерам, организующим электронный документооборот, нужны электронные подписи, сгенерированные с использованием конкретного криптопровайдера, то следует выбирать удостоверяющий центр, работающий именно с данным средством криптографической защиты информации (СКЗИ).

Процедура получения ЭП и необходимые документы

Чтобы организовать обмен электронными документами между организациями, необходимо выполнить следующие действия:

• определить цели и специфику документооборота между вашей и другой организацией. Это должно быть оформлено в виде соглашения или договора, в котором определяются и регламентируются операции и состав документов с электронной подписью, передаваемых в электронном виде (такие типовые договоры подписывают, например, банки с клиентами, разрешая пользоваться системой клиент-банк);
• совершить обмен сертификатами ключей проверки ЭП лиц, документы за подписью которых будут передаваться между организациями. Понятно, что получить такие сертификаты партнеры могут не только друг от друга, но и от удостоверяющего центра, осуществившего выпуск данных сертификатов;
• выпустить внутренние инструкции, регламентирующие порядок передачи и приема электронных документов другой организации, включая порядок проверки электронной подписи полученных документов и действия в случае выявления факта внесения изменений в документ после подписания его электронной подписью.

Для изготовления ключей электронной подписи и сертификатов ключей проверки ЭП пользователи должны предоставить в удостоверяющий центр заявительные документы, документацию, подтверждающую достоверность информации, подлежащую включению в сертификат ключа проверки ЭП, а также соответствующие доверенности.

Для обеспечения должного уровня идентификации пользователя процедура получения сертификатов ключей проверки ЭП требует личного присутствия его владельца.

Правда, есть и исключения. Например, сегодня для сотрудников государственных и бюджетных организаций, а также работников органов исполнительной власти города Москвы удостоверяющим центром ОАО «Электронная Москва» разработана система массовой выдачи сертификатов ключей проверки электронной подписи (СКПЭП), которая при сохранении высокого уровня достоверности идентификации пользователя позволяет сделать необязательным посещение удостоверяющего центра каждым сотрудником лично, что существенно сокращает денежные и временные затраты организации по сравнению с выдачей СКПЭП, организованной по традиционной схеме.

Сколько стоит электронная подпись?

Ошибочно считать, что удостоверяющий центр просто продает носители для хранения ключей и сертификатов, услуга является комплексной, и носитель с ключевой информацией является одной из составляющих. Стоимость полного пакета электронной подписи зависит от:

• региона;
• ценовой политики удостоверяющего центра;
• разновидности подписи и области ее применения.

Как правило, в этот пакет входят:

• услуги удостоверяющего центра по изготовлению сертификата ключа проверки ЭП;
• передача прав использования соответствующего программного обеспечения (СКЗИ);
• обеспечение получателя необходимым программным средством для работы;
• поставка защищенного ключевого носителя;
• техническая поддержка пользователей.

В среднем стоимость варьируется от 3 000 до 20 000 рублей на полный пакет с одним носителем ключевой информации. Понятно, что при заказе организацией десятка или сотни сертификатов ключей для своих сотрудников цена на одного «подписанта» будет существенно ниже. Перевыпуск ключей осуществляется через год.

В настоящее время в России обращение электронных документов с использованием электронной подписи стремительно набирает обороты. Электронную подпись широко внедряют как в государственных организациях, так и на предприятиях частного бизнеса. При этом необходимо учитывать, что разные виды ЭП имеют разную стоимость, что документ, заверенный ЭП, является юридически значимым, поэтому передача ключевых носителей вместе с PIN-кодом другим лицам недопустима.

Самое важное: электронная подпись существенно экономит время, избавляя от бумажной волокиты, что крайне актуально в условиях жесткой конкуренции и при удаленном расположении партнеров.

Проблема пока остается только в плоскости подтверждения подлинности такой подписи и документа с ней на протяжении его длительного срока хранения.

Источник

• http://www.delo-press.ru/articles.php?n=12140