Prynhawn da, annwyl ddarllenydd!
Rwyf wedi bod yn dilyn diweddariadau a newyddion rhaglen yr Economi Ddigidol ers peth amser. O safbwynt gweithiwr mewnol system EGAIS, wrth gwrs, bydd y broses yn para am ddegawdau. O safbwynt datblygiad, ac o safbwynt profi, dychwelyd a gweithredu pellach, ac yna addasiadau anochel a phoenus o bob math o fygiau. Serch hynny, mae'r mater yn angenrheidiol, yn bwysig ac yn frys. Prif gwsmer a gyrrwr yr holl hwyl hwn, wrth gwrs, yw'r wladwriaeth. A dweud y gwir, yn union fel ar draws y byd.
Mae pob proses wedi hen symud i ddigidol neu ar y ffordd iddo. Mae hyn yn dal yn fendigedig. Fodd bynnag, mae anfanteision i fedalau am ragoriaeth. Rwy'n berson sy'n gweithio'n gyson gyda llofnodion digidol. Rwy’n gefnogwr efallai i ddulliau “ddoe”, ond “hen ffasiwn” ddibynadwy ac ar eu hennill o ddiogelu llofnodion electronig gan ddefnyddio tocynnau. Ond mae digideiddio yn dangos i ni fod popeth wedi bod yn y “cymylau” ers talwm ac mae angen CEP yno hefyd a’i angen yn gyflym iawn.
Ceisiais ddarganfod, ar lefel y fframwaith deddfwriaethol a thechnegol, lle bo’n bosibl, sut mae pethau’n sefyll gyda llofnodion electronig cwmwl yma ac yn Ewrop. Mewn gwirionedd, mae mwy nag un traethawd hir gwyddonol eisoes wedi'i gyhoeddi ar y pwnc hwn. Felly, rydym yn annog gweithwyr proffesiynol yn y mater hwn i ymuno yn natblygiad y pwnc.
Pam mae CEP yn y cwmwl yn ddeniadol? Mewn gwirionedd, mae yna fanteision. Mae digon o'r manteision hyn. Mae'n gyflym ac yn gyfleus. Mae'n swnio fel slogan hysbysebu, byddwch yn cytuno, ond dyma nodweddion gwrthrychol llofnod digidol cwmwl.
Mae cyflymder yn gorwedd yn y gallu i lofnodi dogfennau heb fod ynghlwm wrth docynnau neu gardiau smart. Nid yw'n ein gorfodi i ddefnyddio'r bwrdd gwaith yn unig. Stori gant y cant traws-lwyfan ar gyfer unrhyw OS a phorwyr. Mae hyn yn arbennig o wir ar gyfer cefnogwyr cynhyrchion Apple, y mae rhai anawsterau wrth gefnogi llofnodion electronig yn y system MAC. Gadael o unrhyw le yn y byd, rhyddid i ddewis CAs (hyd yn oed rhai nad ydynt yn Rwsia). Yn wahanol i galedwedd CEP, mae technolegau cwmwl yn eich galluogi i osgoi anawsterau gyda chydnawsedd meddalwedd a chaledwedd. Sydd, ie, yn gyfleus, ac, ie, yn gyflym.
A sut na all un gael ei hudo gan y fath harddwch? Mae'r diafol yn y manylion. Gadewch i ni siarad am ddiogelwch.
"Cloud" CEP yn Rwsia
Mae diogelwch datrysiadau cwmwl, ac yn enwedig llofnodion digidol, yn un o'r prif bwyntiau poen i weithwyr diogelwch proffesiynol. Beth yn union nad wyf yn ei hoffi, bydd y darllenydd yn gofyn i mi, oherwydd mae pawb wedi bod yn defnyddio gwasanaethau cwmwl ers amser maith, a chyda SMS mae hyd yn oed yn fwy dibynadwy i wneud trosglwyddiad banc.
A dweud y gwir, unwaith eto, gadewch i ni fynd yn ôl at y manylion. Mae llofnod digidol cwmwl yn ddyfodol anodd dadlau ag ef. Ond nid nawr. I wneud hyn, rhaid i newidiadau rheoleiddio ddigwydd a fydd yn amddiffyn perchennog llofnodion digidol cwmwl.
Beth sydd gennym ni heddiw? Mae yna nifer o ddogfennau sy'n diffinio'r cysyniad o lofnod digidol, rheoli dogfennau electronig (EDF), yn ogystal â chyfreithiau ar ddiogelu gwybodaeth a chylchrediad data. Yn benodol, mae angen i chi ystyried y Cod Sifil (Cod Sifil Ffederasiwn Rwsia), sy'n rheoleiddio'r defnydd o lofnodion electronig mewn dogfennau.
Cyfraith Ffederal Rhif 63-FZ “Ar Llofnodion Electronig” dyddiedig 06.04.2011/XNUMX/XNUMX. Y gyfraith sylfaenol a fframwaith sy'n disgrifio ystyr cyffredinol defnyddio llofnodion digidol wrth wneud trafodion o wahanol fathau a darparu gwasanaethau.
Cyfraith Ffederal Rhif 149-FZ “Ar wybodaeth, technolegau gwybodaeth a diogelu gwybodaeth dyddiedig Gorffennaf 27.07.2006, XNUMX. Mae'r ddogfen hon yn nodi'r cysyniad o ddogfen electronig a'r holl segmentau cysylltiedig.
Mae yna ddeddfau deddfwriaethol ychwanegol sy'n ymwneud â rheoleiddio EDI
Cyfraith Ffederal 402-FZ “Ar Gyfrifo” dyddiedig Rhagfyr 06.12.2011, XNUMX. Mae'r ddeddf ddeddfwriaethol yn darparu ar gyfer systemateiddio gofynion ar gyfer dogfennau cyfrifyddu a chyfrifyddu ar ffurf electronig.
gan gynnwys. Gallwch ystyried Cod Trefniadol Cyflafareddu Ffederasiwn Rwsia, sy'n caniatáu dogfennau wedi'u llofnodi gan lofnod electronig fel tystiolaeth yn y llys.
Ac yma y digwyddodd i mi ymchwilio'n ddyfnach i fater diogelwch, oherwydd bod ein safonau ar gyfer dulliau amddiffyn cript yn cael eu darparu gan yr FSB ac yn sicrhau bod tystysgrifau cydymffurfio yn cael eu cyhoeddi. Ar Chwefror 18, cyflwynwyd safonau GOST newydd. Felly, nid yw allweddi sy'n cael eu storio yn y cwmwl yn cael eu diogelu'n uniongyrchol gan dystysgrifau FSTEC. Diogelu'r allweddi eu hunain a mynediad diogel i'r “cwmwl” yw'r conglfeini nad ydym wedi'u datrys eto. Nesaf, edrychaf ar yr enghraifft o reoleiddio yn yr Undeb Ewropeaidd, a fydd yn dangos yn glir system ddiogelwch fwy datblygedig.
Profiad Ewropeaidd o ddefnyddio llofnodion digidol cwmwl
Gadewch i ni ddechrau gyda'r prif beth - technolegau cwmwl, nid yn unig llofnodion digidol sydd â safon glir. Y sail yw grŵp Cloud Standard Coordination (CSC) y Sefydliad Safonau Telathrebu Ewropeaidd (ETSI). Fodd bynnag, mae gwahaniaethau o hyd mewn safonau diogelu data ar draws gwahanol wledydd.
Y sail ar gyfer diogelu data cynhwysfawr yw ardystiad gorfodol ar gyfer darparwyr yn unol ag ISO 27001: 2013 ar gyfer systemau rheoli diogelwch gwybodaeth (mae'r GOST R ISO / IEC 27001-2006 cyfatebol Rwsia yn seiliedig ar fersiwn 2006 o'r safon hon).
Mae ISO 27017 yn darparu elfennau diogelwch ychwanegol ar gyfer y cwmwl sydd ar goll o ISO 27002. Enw swyddogol llawn y safon hon yw “Cod ymarfer ar gyfer rheolaethau diogelwch gwybodaeth yn seiliedig ar ISO/IEC 27002 ar gyfer gwasanaethau cwmwl.” ISO/IEC 27002 ar gyfer gwasanaethau cwmwl ").
Yn ystod haf 2014, cyhoeddodd ISO safon ISO 27018:2015 ar ddiogelu data personol yn y cwmwl, ac yn hwyr yn 2015, ISO 27017:2015 ar reolaethau diogelwch gwybodaeth ar gyfer datrysiadau cwmwl.
Yn ystod cwymp 2014, daeth Penderfyniad newydd Senedd Ewrop Rhif 910/2014, o'r enw eIDAS, i rym. Mae'r rheolau newydd yn caniatáu i ddefnyddwyr storio a defnyddio'r allwedd EPC ar weinydd darparwr gwasanaeth dibynadwy achrededig, yr hyn a elwir yn TSP (Trust Service Provider).
Ym mis Hydref 2013, mabwysiadodd y Pwyllgor Safoni Ewropeaidd (CEN) fanyleb dechnegol CEN / TS 419241 “Gofynion Diogelwch ar gyfer Systemau Dibynadwy sy'n Cefnogi Arwyddo Gweinyddwr”, sy'n ymroddedig i reoleiddio llofnodion digidol cwmwl. Mae'r ddogfen yn disgrifio sawl lefel o gydymffurfio â diogelwch. Er enghraifft, mae cydymffurfiad “lefel 2” sy'n ofynnol i gynhyrchu llofnod electronig cymwys yn gofyn am gefnogaeth ar gyfer opsiynau dilysu defnyddwyr cryf. Yn ôl gofynion y lefel hon, mae dilysu defnyddwyr yn digwydd yn uniongyrchol ar y gweinydd llofnod, mewn cyferbyniad, er enghraifft, â'r dilysiad a ganiateir ar gyfer “lefel 1” mewn rhaglen sy'n cyrchu'r gweinydd llofnod ar ei ran ei hun. Hefyd, yn unol â'r fanyleb hon, rhaid storio allweddi llofnod defnyddiwr ar gyfer cynhyrchu llofnod electronig cymwys er cof am ddyfais ddiogel arbenigol (modiwl diogelwch caledwedd, HSM).
Rhaid i ddilysiad defnyddiwr mewn gwasanaeth cwmwl fod o leiaf ddau ffactor. Fel rheol, yr opsiwn mwyaf hygyrch a hawdd ei ddefnyddio yw cadarnhau mewngofnodi trwy god a dderbyniwyd mewn neges SMS. Er enghraifft, mae'r rhan fwyaf o gyfrifon RBS personol banciau Rwsia wedi'u gweithredu. Yn ogystal â'r tocynnau cryptograffig arferol, gellir defnyddio cymhwysiad ar ffôn clyfar a generaduron cyfrinair un-amser (tocynnau OTP) fel ffordd o ddilysu hefyd.
Am y tro, gallaf ddod i gasgliad interim ynghylch y ffaith bod CEPs cwmwl yn dal i gael eu ffurfio ac mae'n rhy gynnar i symud i ffwrdd o galedwedd. Mewn egwyddor, mae hon yn broses naturiol, a barhaodd hyd yn oed yn Ewrop (oh, gwych!) tua 13-14 mlynedd nes bod safonau mwy neu lai cywir wedi'u datblygu.
Hyd nes y byddwn yn datblygu safonau GOST da sy'n rheoleiddio ein gwasanaethau cwmwl, mae'n rhy gynnar i siarad am roi'r gorau i atebion caledwedd yn llwyr. Yn hytrach, byddant nawr, i'r gwrthwyneb, yn dechrau symud tuag at “hybrids”, hynny yw, gweithio gyda llofnodion cwmwl hefyd. Mae rhai enghreifftiau sy'n bodloni safonau Ewropeaidd ar gyfer gweithio gyda Cloud eisoes wedi'u rhoi ar waith. Ond byddwn yn siarad am hyn ychydig yn fwy manwl mewn deunydd newydd.
Ffynhonnell: hab.com