У нас в гостях Вячеслав Леонидович Носевич, эксперт в сфере электронного документо­оборота, с 1998 по 2019 год являлся директором Белорусского научно-исследовательского центра электронной документации.

Что обсудили:

1. Как получить электронную цифровую подпись (далее – ЭЦП).
2. Что делать с ЭЦП, если работник уволился или находится в отпуске.

– Какие ЭЦП бывают?

– Согласно Закону документ может быть подписан ЭЦП физического или юридического лица (организации). Разницу можно определить по прилагаемым сертификатам, которые отображаются при проверке ЭЦП (эту процедуру обеспечивает сертифицированное средство ЭЦП, в составе которого есть специальная программа – менеджер сертификатов). Если имеется только сертификат открытого ключа, в котором указаны персональные и паспортные данные владельца, то перед нами ЭЦП физического лица.

Если в сертификате открытого ключа указаны данные организации, это ЭЦП юридического лица. В настоящее время выдаются сертификаты, в которых одновременно указаны данные как организации, так и конкретного работника, на имя которого выдан сертификат. Это тоже ЭЦП юрлица, но пользоваться ею может только один работник, указанный в сертификате.

В скором времени можно будет получать сертификаты с указанием только данных организации, но не конкретного работника. Согласно ст. 23 Закона такие ЭЦП юрлица могут применяться совместно с ЭЦП физлица работников и выполнять роль оттиска печати организации. Они же могут применяться для создания и (или) подписания электронных документов посредством автоматизированных информационных систем без участия физлица.

ЭЦП различаются и в зависимости от того, каким образом оформлены сама ЭЦП и подписанные данные. В Законе эти данные определяются как общая часть электронного документа, а ЭЦП включается в особенную часть. Технически ЭЦП может представлять отдельный файл со специальным расширением (например, .sgn), тогда как общая часть содержит файл в одном из распространенных форматов: .doc, .pdf и т.п. В этом случае содержание общей части доступно и без проверки ЭЦП, для которой необходимо сертифицированное средство. Такая ЭЦП называется отделенной. Согласно Закону обе части являются неотъемлемыми, т.е. электронный документ в этом случае состоит как минимум из двух файлов.

Но можно включать общую и особенную части электронного документа в один файл. Форматы XML и PDF позволяют добавлять набор символов, составляющий ЭЦП, в «хвост» файла, не меняя его расширение. Такая ЭЦП называется вложенной. Для нее существуют международные стандарты, именуемые соответственно XAdES и PAdES. Проверить вложенные подписи позволяют приложения, рассчитанные на работу с указанными форматами. Но важно помнить, что согласно Закону действительной признается только ЭЦП, созданная и проверяемая с помощью сертифицированного средства. Стандартные приложения для работы с XML и PDF таковыми не являются. Поэтому применять вложенные ЭЦП станет возможным только после появления информационных систем, в которые интегрированы сертифицированные в нашей стране средства ЭЦП, поддерживающие стандарты XAdES и PAdES.

Возможен и такой вариант, при котором при включении ЭЦП и общей части в один файл меняется его расширение (например, весь документ получает расширение .sgn). После этого он становится недоступен для стандартных приложений, и получить доступ к его содержанию можно только после успешной проверки ЭЦП сертифицированным средством. В таком случае ЭЦП именуется обертывающей. Этот вариант можно применять в информационных системах, в которых обращаются документы, не предназначенные для архивного хранения. В случае выгрузки из такой системы и помещения в архив документы с обертывающей подписью могут оказаться недоступными.

Различают также мобильную ЭЦП, которая может быть только отделенной. Ее можно выработать удаленно, с помощью мобильного телефона с особой sim-картой. Подписываемый документ находится на портале электронных услуг. При подписании контрольная сумма этого документа пересылается на мобильное устройство в виде sms-сообщения. ЭЦП вырабатывается sim-картой и также в виде sms возвращается на портал, где приобщается к подписанному файлу.

– Где получить ЭЦП и куда обращаться за получением?

– ЭЦП – это набор символов, уникальный для каждого документа. Поэтому выражение «получить ЭЦП» неправильное. Получить можно только сертификат открытого ключа и, при необходимости, атрибутный сертификат. При этом сам открытый ключ, как и связанный с ним личный ключ, вырабатываются сертифицированным средством ЭЦП при непосредственном участии будущего владельца. Только в этом случае можно гарантировать, что соблюдается тайна личного ключа. Ведь если личный ключ «получен» от кого-то, этот кто-то может сохранить его копию и использовать в собственных целях.

Чтобы приобрести пару ключей и получить прилагаемые к ним сертификаты, нужно обратиться лично в специальную организацию – удостоверяющий или регистрационный центр. Удостоверяющий центр (УЦ) может принадлежать организации или корпорации, создающей и эксплуатирующей собственные информационные системы. В частности, УЦ функционируют в коммерческих банках в рамках системы «Банк – клиент». Но сертификаты, выданные такими УЦ, действительны только в рамках корпоративных систем. Организации, не являющиеся абонентами такой системы, не обязаны их признавать.

Для того чтобы подписанный ЭЦП электронный документ признавался без ограничений, создана Государственная система управления открытыми ключами (ГосСУОК). Информация о ней доступна на сайте.

Оптимальный вариант – создавать и пересылать электронные документы в рамках информационных систем, поддерживающих сертификаты ГосСУОК (например – Системы межведомственного элект­ронного документооборота государственных органов, СМДО). Полный перечень систем, поддерживающих сертификаты ГосСУОК, можно найти на том же сайте.

Для выработки ключей и получения сертификатов ГосСУОК необходимо обратиться в ближайший из ее регистрационных центров или непосредственно в Республиканский удостоверяющий центр (РУЦ), расположенный в Минске по адресу: пр. Машерова, 25.

– Можно ли получить ключ ЭЦП для юрлица и потом предоставить право отдельным работникам им пользоваться? Или же владельцем ЭЦП должно быть конкретное физлицо?

– Если в сертификате на ключ юрлица указаны данные конкретного работника, то пользоваться ключом может только он. Если такой ключ будет передаваться из рук в руки в пределах организации, то невозможно будет установить, кто же ответственен за содержание конкретного документа.

Ключ, в сертификате которого указаны только данные организации, в принципе может быть передан в распоряжение любого ее работника. Но он может применяться без второго ключа, принадлежащего физлицу, только в двух случаях: в качестве аналога оттиска печати (штампа) на документах, которые не требуют подписи, и при автоматическом подписании электронных документов, когда ключ юрлица загружен в информационную систему. Таким способом можно удостоверять, например, квитанции, счета-фактуры и т.п.

Во всех остальных случаях, в т.ч. для управленческих электронных документов, предполагается применение ключа юридического лица лишь совместно с ключом физического (должностного) лица. Организация может вместо этого приобрести атрибутные сертификаты для работников, уже имеющих ключи физлица. Тогда ключ юрлица вообще не понадобится.

– Какие правила пользования ключом ЭЦП должен соблюдать владелец и что грозит, если ими пренебречь?

– Прежде всего у владельца должно иметься защищенное устройство – съемный носитель ключевой информации. Это может быть особая флэшка (токен) или смарт-карта, а для мобильных ЭЦП – особая sim-карта. Обычно именно этот носитель в просторечии именуют ключом (что допустимо) или ЭЦП (что совсем уж неправильно). Носитель можно приобрести заранее, но обычно он приобретается в регистрационном центре непосредственно перед выработкой личного и открытого ключей. При обновлении ключей для того же владельца может использоваться прежний носитель.

Для создания ключей владелец должен лично сгенерировать с помощью программного средства, предоставленного ему регистрационным или удостоверяющим центром, случайную последовательность битов. Обычно для этого требуется случайным образом перемещать курсор по экрану. Носитель ключевой информации имеет встроенный процессор, который превратит эту случайную последовательность в личный ключ и парный к нему открытый ключ. После этого УЦ выдает владельцу сертификат открытого ключа. Он обычно записывается на тот же носитель и затем с помощью менеджера сертификатов загружается в информационную систему, в которой будет осуществляться подписание документов. Но возможны и иные способы, например размещение сертификата в общедоступном облачном хранилище.

Для сохранения тайны личного ключа необходимо, чтобы он никогда не передавался со съемного носителя в память компьютера. Наоборот, контрольные характеристики подписываемых документов должны передаваться из компьютера на носитель, шифроваться там и возвращаться уже в зашифрованном виде – это и будет ЭЦП. Для дополнительной защиты предусматривается необходимость при каждом обращении к личному ключу вводить пароль (пин-код). Носитель также должен полностью исключать перезапись ключа на другое устройство.

В остальном владельцу остается лишь хранить носитель с ключом так, чтобы он не был доступен для посторонних, а также чтобы никто не знал пин-код для доступа к нему.

Если пренебрегать этими правилами, рано или поздно кто-то, имевший доступ к ключу, может поддаться искушению и подписать документ от имени владельца в собственных интересах. Все последствия, включая возможную уголовную ответственность или возмещение финансового ущерба, понесет владелец ключа – ведь на него согласно ст. 25 Закона возлагается возмещение вреда, причиненного вследствие ненадлежащего исполнения своих обязанностей.

– Может ли ключом, закрепленным за одним работником, пользоваться другой (заменяющий его, например)?

– Это может быть допустимо (хотя и нежелательно) только в случае, когда ключ юрлица применяется как аналог оттиска печати, без указания в сертификате данных конкретного работника.

Если в сертификате на ключ юрлица указаны данные работника или ключ принадлежит физлицу, право пользования таким ключом не может передаваться. В т.ч. его нельзя передавать собственному заместителю или секретарю для подписания документов в свое отсутствие. Каждое лицо, имеющее право подписи, должно иметь собственный ключ.

– Что надо сделать с ключом, если работник уволился?

– Если ключ принадлежит работнику на правах физлица, он вправе унести его с собой и применять на новом месте работы. В этом случае организация должна отозвать атрибутный сертификат, если он выдавался на имя уволенного работника. Если ЭЦП работника на правах физлица каждый раз подтверждалась ЭЦП юрлица, никакие действия в случае его увольнения не требуются.

При увольнении работника, данные которого указаны в сертификате на ключ юрлица, такой ключ и сертификат к нему должны быть отозваны.

Если в распоряжении работника был ключ юрлица без указания в сертификате данных этого работника (в т.ч. если он контролировал его применение в качестве администратора информационной системы, в которой документы подписывались автоматически), отзывать ключ не нужно. Ответственность за применение этого ключа должна быть возложена на другого работника.

– Как работать с ЭЦП в электронных документах?

– Для выработки и проверки ЭЦП применяется сертифицированное средство, которое обычно встраивается в систему электронного документооборота или иную информационную систему. Конкретная последовательность действий, совершаемых работником, определяется эксплуатационной документацией (руководством пользователя) на эту систему, которую обязан предоставить разработчик.

Организационные вопросы (например, кто и когда должен проверять ЭЦП на входящих документах, кто имеет право ставить ЭЦП на электронных копиях бумажных документов) отражаются в инструкции по делопроизводству и должностных инструкциях работников.

– Как аннулировать ЭЦП?

– Очевидно, имеется в виду процедура отзыва сертификата открытого ключа или атрибутного сертификата в случае увольнения работника или нарушения тайны личного ключа. Для этого нужно обратиться в тот УЦ, который выдал сертификат. Он публикует сведения об отзыве в списке отозванных сертификатов, который регулярно обновляется всеми абонентами информационной системы. Сертифицированное средство ЭЦП при каждой проверке подписи обязательно сверяется со списком отозванных сертификатов. Если сертификат отозван, подписанный соответствующим ключом электронный документ считается недействительным.

ЭТО ВАЖНО!

Все документы, поступившие абонентам системы до того, как УЦ внес сертификат в список отозванных, будут признаны действительными и приняты к исполнению, поэтому отзыв нужно производить незамедлительно.

Помимо отзыва, действие сертификата может быть приостановлено на время, например на период отпуска работника.

Если же требуется разово аннулировать ошибочно подписанный документ с ЭЦП, это можно сделать только путем издания нового документа, отменяющего первоначальный.

Документ:

Закон Республики Беларусь от 28.12.2009 № 113-З «Об элект­ронном документе и электронной цифровой подписи» (Закон).