КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации www.cryptopro.ru Электронно-цифровая подпись, Технические, правовые аспекты применения ЭЦП. - презентация

1 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Электронно-цифровая подпись, Технические, правовые аспекты применения ЭЦП

2 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Обеспечение технических условий применения ЭЦП в процессе деятельности Определение и закрепление правовых, организационных и технических условий применения ЭЦП Применение ЭЦП Особенности применения ЭЦП в отличии от собственноручной подписи

3 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации ЭЦП несет в себе не только информацию о лице, подписавшем документ, но и вместе с сертификатом ключа подписи информацию об отношениях, в которых участвует подписанный документ. удостоверяющий центр – это носитель субъективных прав и обязанностей, т.е. организация; владелец ключей подписи и сертификатов ключей подписи становится оным в соответствии с правоустанавливающими документами в процессе взаимодействия с удостоверяющим центром; применение электронных документов, заверенных ЭЦП, в информационной системе должно регулироваться соглашением участников системы или решением владельца системы. Правовые аспекты Основные утверждения, на которых базируются правовые аспекты:

4 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Регламент

5 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации

6 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Технические аспекты Предотвращение принятия документа, в котором содержится хотя бы одна ЭЦП, статус сертификата которой не может быть определен с установленной степенью надежности; Визуализация сертификата ключа подписи ЭЦП при проверке подписи на клиентских рабочих станциях для определения лица, подписавшего документ; Использование внутренних форматов электронного документа ЭЦП, обеспечивающую наибольшую простоту визуализации содержательной части документа. Основные утверждения, на которых базируются технические аспекты:

7 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Удостоверяющий центр Центр сертификации Центр регистрации Обслуживание юридических и физических лиц Корпоративный подчиненный УЦ корпоративный Центр регистрации Центр регистрации АРМ администратора корпоративного Центра регистрации

8 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации

9 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Практика: 1.Стадия внедрения системы электронного документооборота 2.Стадия эксплуатации системы 3.Инциденты «И опыт - сын ошибок трудных» А.С. Пушкин

10 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Внедрение: тип информационной системы Типообразующим признаком является наличие соглашения между участниками ИС, содержащего условие отказа в заключении соглашения, или решения владельца ИС Тип ИС Корпоративная ИСИС общего пользования «Электронное правительство» Система внутрикорпоративного документооборота предприятия Система документооборота между хозяйствующими субъектами Система типа «Банк-Клиент» Система документооборота органа власти Система типа «Налоговая отчетность по телекоммуникационным каналам связи» УЦ корпоративных ИС

11 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Внедрение: контур документооборота «И опыт - сын ошибок трудных» А.С. Пушкин Неясность целей порождает неразборчивость средств Евгений Смотрицкий «Глобализация и люмпенизация: социальные корни преступности» соглашение о порядке использования ЭЦП (п.2 ст.17 ФЗ «Об ЭЦП») в форме локального нормативного акта и/или договора Соглашение должно определять типы и виды документов, принимаемые к исполнению, а также их форматы

12 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Внедрение: Регламент управления ЭЦП Регламент создания ЭЦП Электронный документ Цифровая подпись Сертификат Доп. информация OCSP-ответ Штамп времени (TSP-ответ) h() Служба актуальных состояний «КриптоПро OCSP» Служба штампов времени «КриптоПро TSP»

13 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Удостоверение времени создания документа для последующего разрешения конфликтов, связанных с использованием электронного документа Продление срока действия ЭЦП в электронном документе. Цепочка штампов времени позволяет создавать системы архивного хранения электронных документов, обеспечивая актуальность ЭЦП в электронном документе. Служба меток времени КриптоПро TSP

14 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Позволяет по запросу предоставлять пользователям Удостоверяющего Центра информацию об аннулировании и приостановлении действия сертификатов Служба актуальных статусов сертификатов КриптоПро OCSP

15 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Внедрение: Регламент управления ЭЦП Регламент проверки ЭЦП Служба актуальных состояний «КриптоПро OCSP» Список отозванных сертификатов Проверка ЭЦП

16 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Внедрение: Регламент управления ЭЦП Преимущества данного регламента управления ЭЦП Наличие доказательной базы момента подписи и статуса сертификата на момент подписи; Уменьшение трафика в сети за счет того, что ЭЦП создается один раз, а проверяется неограниченно много раз и, следовательно, на неограниченно много раз снижается транспортировка CRL по сети; Повышается производительность и надежность серверных компонент ИС за счет отсутствия сетевых обращений к CDP или серверу «КриптоПро OCSP»; При архивном хранении документов не требуется переподписывание электронных документов.

17 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Эксплуатация: контролирующие органы «О соль земли, не становись испорченной, ибо если соль испортится, то не будет исцеления от этого» Иса (а.с) (Ибн аль- Мубарак, Китаб аз- Зухд (283) и Абу Нуайм в аль-Хилья (5/7).) У каждого участника ИС должны быть подготовлены для предъявления: копия соглашения между участниками ИС, копия ФЗ «Об ЭЦП», копия средств ЭЦП (СКЗИ), копия инструкции по проверке ЭЦП. У каждого участника ИС должна быть инструкция по предъявлению сотруднику контролирующего органа документов в электронной форме, содержащая указания о порядке предъявления, ответы на часто задаваемые вопросы, телефоны экспертов, которые готовы ответить на вопросы, возникающие у сотрудника контролирующего органа В случае, если документы представлены в сложном (отличном от простого текстового) формате (например, XML), сотруднику контролирующего органа должно передавать программное средство для визуализации содержательной части документа в привычной форме на рабочем месте сотрудника контролирующего органа. Об этом нужно позаботиться на стадии внедрения.

18 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Инциденты ООО «КРИПТО- ПРО» и ее сотрудники принимали участие в более чем 10 инцидентах, которые разрешались в судебном и/или в досудебном порядке или находились в производстве у дознавателя (следователя). Вопросы перед экспертами: Какие электронные документы содержатся на предоставленном на экспертизу оптическом (или магнитном) носителе? Имеет ли место подлинность электронной цифровой подписи такого-то лица в электронных документах, содержащихся на представленном на экспертизу оптическом (или магнитном) носителе в некотором временном периоде (дата, время)? В каком временном периоде (дата, время) были подписаны электронные документы содержатся на предоставленном на экспертизу оптическом (или магнитном) носителе? Вопросы перед УЦ: Какое лицо является собственником и/или владельцем сертификата ключа подписи, идентифицирующегося по следующим данным? Какой статус сертификата ключа подписи, идентифицирующегося по следующим данным, был в некотором временном периоде (дата, время)?

19 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации Выводы по инцидентам 1.Нужно забыть такие понятия как «Центр ключей», «Центр сертификатов» и т.д. и нужно перестать относится к удостоверяющему центру как к некоторому комплексу программных и технических средств, а организовать его работу так, что бы была полная доказательная база факта обладания ключами и сертификатами ключей подписи конкретными лицами, а также статуса их сертификатов. 2.Для автоматизации деятельности удостоверяющего центра нужно использовать не средства, предоставляющие возможность изготовить сертификат ключа подписи, а средства позволяющие управлять сертификатами ключей подписи на всем протяжении их жизненного цикла, позволяющие поддерживать необходимую бизнес-логику деятельности и имеющие необходимую методологию, организационно-распорядительный набор документации. 3.Нужно регламентировать применение ЭЦП так, что бы обеспечивалось наличие доказательной базы момента создания подписи. 4.Нужно начать проводить аудит действующих и перспективных ИС на предмет корректности использования ЭЦП как с точки зрения технических решений, так и сточки зрения правовых требований.

20 КОМПАНИЯ КРИПТО-ПРО ключевое слово в защите информации ВОПРОСЫ? Подготовил студент I-го курса ЭФ БГУ Будник Александр