Mis toimub?
E-alla allkiri sertifikaatide tõttu toimepandud pettuste teema on hiljuti laialdast ühiskondlikku kajastust saanud. Föderaalmeedia on endale seadnud reegli perioodiliselt rääkida hirmutavaid lugusid e-allkirja väärkasutamise juhtudest. Kõige levinum kuritegu selles valdkonnas on juriidilise isiku või füüsilisest isikust ettevõtja registreerimine Venemaa Föderatsiooni teadmata kodaniku nimele. Samuti on populaarne pettuse viis tehing, kus muudetakse omandiõigust kinnisvarale (see on siis, kui keegi müüb teie korterit teie nimel, ilma et te sellest teaks).
Kuid ärgem laskem end pidevalt petuskeemide kirjeldamisest häirida, et mitte inspireerida pettureid loovatele ideedele. Proovime paremini mõista, miks see probleem on selliseks mastaabiks kasvanud ja mida tegelikult tuleb selle likvideerimiseks teha. Selleks on meil vaja selgelt mõista, mis on sertifitseerimiskeskused, kuidas need täpselt töötavad ja kas nad tõeliselt on nii kohutavad, nagu ajakirjanduses ja huvitatud isikute väljendustes kujutatakse.
Kust tulevad allkirjad?
Nii et, te olete kasutaja. Teil on vaja digitaalset allkirja sertifikaati. Ükskõik, milliste ülesannete jaoks ja mis staatuses te olete (ettevõte, füüsiline isik, FIE) - sertifikaadi hankimise algoritm on standardne. Ja te pöördute sertifitseerimiskeskuse poole, et osta E-allkirja sertifikaati.
Sertifitseerimiskeskus on ettevõte, millele Venemaa seadusandlus esitab rea rangeid nõudeid.
Et omada õigust välja anda tugevdatud kvalifitseeritud digitaalset allkirja, peab sertifitseerimiskeskus läbima spetsiaalse akrediteerimise protseduuri Side- ja infosüsteemide ministeeriumis. Akrediteerimise protseduur eeldab mitme range reegli täitmist, mida suudab täita mitte iga ettevõte.
Eelkõige peab sertifitseerimiskeskusel olema litsents, mis annab talle õiguse krüpteerimise (kriptograafiliste) vahendite, teabe- ja telekommunikatsioonisüsteemide arendamise, tootmise ja levitamise tegevuseks. See litsents antakse välja FSB-lt pärast kandidaadi põhjalikku kontrollimist.
Sertifitseerimiskeskuse töötajatel peavad olema kõrgharidus infotehnoloogia või infokaitse alal.
Samuti kohustab seadus usaldusväärset keskkonda (УЦ) kindlustama oma vastutuse „kahjude eest, mis on põhjustatud kolmandate isikute usaldusest teabele, mis on märgitud elektroonilise allkirja sertifikaadis, mille on välja andnud selline УЦ, või teabele, mis on sisalduv sertifikaatide register, mida haldab selline УЦ“ vähemalt 30 miljoni rubla ulatuses.
Nagu näha, ei ole kõik nii lihtne.
Praeguseks on riigis ligikaudu 500 УЦ-d, kellel on õigus välja anda УКЭП (kvalifitseeritud elektroonilise allkirja sertifikaat). Siia kuuluvad mitte ainult erakapitali usaldusväärsed keskused, vaid ka riiklikud УЦ-d (sealhulgas FNS, PRF jne), pangad, kaubandusteenused, sealhulgas riiklikud.
Elektroonilise allkirja sertifikaat luuakse Venemaa Föderaalse Julgeolekuteenistuse (ФСБ) sertifitseeritud krüpteerimisalgoritmide abil. See võimaldab juriidilistel ja füüsilistel isikutel vahetada elektroonilisi õiguskohaseid dokumente. Üksikasjalike andmete põhjal väljastab üle 95% КЭП-idest juriidilistele isikutele, ülejäänud aga füüsilistele isikutele.
Pärast seda, kui olete pöördunud УЦ poole, toimub järgmine:
- Tõenduskeskus kinnitab isiku identiteedi, kes on taotlenud elektroonilise allkirja sertifikaati;
Ainult pärast isiku tuvastamist ja kõigi dokumentide kontrollimist valmistab tõenduskeskus sertifikaadi, mis sisaldab sertifikaadi omaniku andmeid ja tema kontrollimise avalikku võtit; - Tõenduskeskus haldab sertifikaadi elutsüklit: tagab selle väljaandmise, peatamise (ka omaniku taotlusel), uuendamise, kehtivuse lõppu.
- Tõenduskeskuse veel üks funktsioon on teeninduslik. Sertifikaadi väljaandmine ei ole piisav. Kasutajad vajavad pidevalt erinevaid konsultatsioone allkirja väljaandmise ja kasutamise protseduuri, sertifikaadi tüübi valimise ja rakendamise kohta. Suured tõenduskeskused, nagu «Ärivõrk» tõenduskeskus, pakuvad tehnilist tuge, arendavad erinevat tarkvara, parandavad äriprotsesse, jälgivad muudatusi sertifikaatide kasutusvaldkondades jne. Konkurentsi tõttu töötavad tõenduskeskused IT-teenuste kvaliteedi parandamise nimel, arendades seda valdkonda.
Kasakule on postitatud!
Vaadake p. 1 eespool toodud elektroonilise allkirja saamise algoritmist. Mida tähendab inimese isikutuvastus, kes on pöördunud sertifikaadi saamiseks? See tähendab, et isik, kellele sertifikaat väljastatakse, peab isiklikult ilmuma kas RIK-i büroosse või RIK-iga partnerluse alusel töötavasse väljastamispunkti ning esitama seal oma dokumentide originaalid. Eelkõige – Venemaa kodaniku pass. Teatud juhtudel, kui on tegemist juriidiliste isikute ja füüsilisest isikust ettevõtjate allkirjadega, on isikutuvastus veelgi keerulisem ning nõuab täiendavate dokumentide esitamist.
Just selles etapis, st alguses, kui sertifikaadi allkirja eraldamiseni pole veel jõutud, peitubki peamine probleem. Ja võtmesõna siin on: „pass“.
Isiklike andmete lekkimine riigis on saavutanud tõeliselt tööstuslikud mõõtmed. On olemas veebivõrgud, kus saate väikese raha eest või isegi tasuta hankida skaneeritud koopiad Vene Föderatsiooni kodanike kehtivatest passidest. Igatahes saab meie riigis, mis on koormatud post-sovetlikku pärandisse stiilis „esitage dokumendid”, passide skane juppe koguda kodanikelt üle kogu maailma – mitte ainult pankades või muudes rahandustegevustes, vaid ka hotellides, koolides, ülikoolides, lennu ja raudtee piletikassades, lasteaias, mobiilside teeninduspunktides – igal pool, kus nendelt nõutakse passi esitamise teenuseid, seega praktiliselt igal pool. Digitaalsete tehnoloogiate arenguga on see ulatuslik juurdepääs isiklikele andmetele saanud kriminaalvaldkonna töötajate kontrolli alla.
Samuti on väga levinud konkreetselt isiklike andmete varguse „teenused”.
Lisaks on olemas terve armee nn „nominaale“ – inimesi, kes on reeglina väga noored, või väga vaesed ja väheharitud, või lihtsalt elus alla andnud, kellele kurjategijad lubavad tagasihoidlikku tasu selle eest, et nad oma passiga ilmuvad kasutuspunkti või väljastuspunkti ja tellivad seal oma nime all allkirja, näiteks firma direktorina. Tuleb tunnistada, et sellisel inimesel ei ole seejärel mingit seost firma tegevusega ning ta ei saa mingit tõelist abi anda uurimisele, kui skeem paljastub.
Seega, passi skaneerimine – ei ole probleem. Kuid identiteedi kinnitamiseks on vaja originaalpassi, kuidas siis nii, küsib tähelepanelik lugeja? Selle probleemi vältimiseks on maailmas eksisteerivad ebasiired väljastuspunktid. Hoolimata rangest valikuprotseduurist saavad aeg-ajalt väljastuspunkti staatuse kuritegelikud tegelased ja hakkavad seejärel toime panema õigusrikkumisi kodanike isikuandmetega.
Need kaks tegurit koos annavad meile kogu selle kuritegevuse probleemi, millega me praegu silmitsi seisame, seoses elektroonilise allkirja kasutamise kuritarvitamisega.
Üks ei ole sõdalane?
Kogu see, ilma liialdamata, petturite armee filtreeritakse praegu ainult tunnustamisettevõtete poolt. Igas tunnustamisettevõttes on oma julgeolekuteenused. Kõiki, kes taotlevad allkirja, kontrollitakse hoolikalt isikusamasuse tõendamise etapis. Kõiki, kes soovivad koostööd konkreetse tunnustamisettevõtte väljastuspunktina, kontrollitakse samuti hoolikalt nii partnerluse lepingu sõlmimise etapis kui ka hiljem äritegevuse käigus.
Teisti ei saa olla, sest hea usuga tõendamine võib tuua tunnustamisettevõttele sulgemise – seadusandlus selles valdkonnas on karm.
Kuid kõike ei saa hõlmata, ja osa ebaausatest väljastuspunktidest suudab ikkagi «läbida» partneriteks tunnustamisettevõtetele. Ja «nominaalil» ei pruugi üldse olla põhjust sertifikaadi väljastamisest keelduda – sest ta pöördub tunnustamisettevõtte poole täiesti seaduslikult.
Samuti, juhul kui avastatakse pettus, mis on allkirjastatud konkreetse isiku nimele, aitab probleemile lahenduse leida ainult sertifitseerimiskeskus. Sertifitseerimiskeskus tühistab sel juhul allkirja sertifikaadi, viib läbi teenistusliku uurimise, jälgides kogu sertifikaadi väljastamise ahelat, ja võib esitada kohtule vajalikud dokumendid ebaausate toimingute kohta, mis toimusid elektroonilise allkirja võtme väljastamisel. Ainult sertifitseerimiskeskuse materjalid aitavad kohtus ajada asja tegelikult kannatada saanud poole kasuks: inimese, kelle nimele on pettusega allkiri väljastatud.
Kuid üldine digitaalne harimatuse probleem ei mängi siin kannatanute kasuks. Mitte kõik ei käi lõpuni oma huve kaitsmas. Aga vastutustundlikud toimingud E-signatuuriga tuleb kindlasti kohtus vaidlustada. Ja sertifitseerimiskeskused on selles osas peamine toeks.
Kas tappa kõik UЦ-d?
Ja nii otsustati meie riigis teha muudatusi UЦ-de töökorra ja nende nõuete osas. Rühma saadikute ja senaatorite poolt töötati välja vastav seadusettepanek, mis juba 7. novembril 2019. aastal aktsepteeritud riigiduumas esimeses lugemises.
Dokument sisaldab ulatuslikku reformi elektrooniliste allkirjade sertifikaadite süsteemis. Eelkõige nähakse ette, et juriidilised isikud ja füüsilised isikud (FIE) saavad tugevdada kvalifitseeritud elektroonilist allkirja (UKEP) ainult FNS-ist, samas kui finantsasutused saavad seda teha vaid CB-st. Akrediteeritud ministeeriumi kommunikatsiooni tunnustuskeskused (UC), mis praegu väljastavad EÜ-d, saavad neid väljastada ainult füüsilistele isikutele.
Samas plaanitakse selliste UC-de nõudeid tõsiselt karmistada. Akrediteeritud autentimiskeskuse minimaalne netovarade suurus peab tõusma 7 miljonilt rublalt 1 miljardi rublani, samas kui minimaalne finantskatte suurus peab tõusma 30 miljonilt rublalt 200 miljoni rublani. Kui autentimiskeskusel on filiaalid vähemalt kahe kolmandiku Venemaa piirkondades, võib minimaalne netovarade suurus langeda 500 miljoni rubla peale.
Autentimiskeskuste akrediteerimistähtaeg lüheneb viielt aastalt kolmele aastale. Autentimiskeskuste tehnilise iseloomuga rikkumiste eest kehtestatakse haldusvastutus.
See peaks, see all. See, see, see. See.
Misleading. What then?
As can be easily seen, the new bill does not address the issue of criminal use of documents by Russian citizens and data theft. It doesn't matter who issues the signature—whether it's a certification authority (CA) or the Federal Tax Service (FTS)—the identity of the signature owner still needs to be verified, and the bill does not include any innovations regarding this matter. If an unscrupulous issuing point operated through criminal schemes for a regular CA, what would prevent the same for a government one?
The current version of the bill does not specify who will be held accountable for issuing qualified electronic signatures (QES) if they are used in fraudulent acts. Moreover, there is no suitable article in the Criminal Code that would allow for criminal liability for issuing a certificate of electronic signature based on stolen personal data.
Eraldi probleem on riiklike sertifitseerimiskeskuste ülekoormus, mis kindlasti tekib uute reeglite korral ja muudab teenuste osutamise kodanikele ja juriidilistele isikutele väga aeglaseks ja keeruliseks.
Sertifitseerimiskeskuste teenindusfunktsioon ei ole seadusandlikus algatuses üldse käsitletud. Kas riiklikes suuremates sertifitseerimiskeskustes luuakse klienditeeninduse osakondi, kui kaua see aega võtab ja kui palju materiaalseid investeeringuid see nõuab, ning kes tegeleb klientide teenindamisega, kuni selline infrastruktuur luuakse – ei ole selge. On ilmselge, et konkurentsi kadumine selles valdkonnas võib kergesti viia tööstuse stagnatsioonini.
See tähendab, et tulemusena saame turu monopoliseerimise riiklike struktuuride poolt, nende struktuuride ülekoormuse, mis aeglustab kogu elektroonne dokumenteerimise tegevust, lõppkasutaja toetuse puudumise pettuste korral ning täieliku olemasoleva sertifitseerimiskeskuste turu ja infrastruktuuri hävimise (see hõlmab umbes 15 000 töökohta kogu riigis).
Kuidas nad kannatavad? Sellise seaduseelnõu vastuvõtmisel kannatavad samad, kes kannatavad ka praegu, st lõppkasutajad ja tõenduskeskused.
Ärimees, mis õitseb isikuandmete varguste tõttu, jätkab õitsemist. Kas ei oleks aeg õiguskaitseorganitel ja seadusandjatel sellele probleemile tähelepanu pöörata ning tõsiselt reageerida digitaalajastu väljakutsetele? Isikuandmete varguste võimalused ja nende kuritegelik rakendamine on viimase 10-15 aasta jooksul kasvanud kordades. On suurenenud ka kurjategijate ettevalmistustase. Sellele tuleb reageerida, kehtestades ranged vastutuse meetmed kõigi seadusvastaste tegevuste eest, mis puudutavad teiste isikuandmeid, nii ettevõtete ja nende töötajate kui ka erasektori jaoks. Probleemi lahendamiseks, kus elektrooniliste allakirjutamise sertifikaatide kuritegelikku kasutamist käsitletakse, on vajalik luua seadusandlik akt, mis näeb ette vastutuse, sealhulgas kriminaalvastutuse, selliste tegevuste eest. Mitte seadus, mis lihtsalt jaotab rahavooge ümber, muudab lõppkasutaja protseduuri keerulisemaks ja ei paku kellelegi lõpuks mingit kaitset.
Allikas: habr.com
