રશિયા અને વિશ્વમાં ક્લાઉડ ઇલેક્ટ્રોનિક હસ્તાક્ષર

શુભ બપોર, પ્રિય વાચક!
હું કેટલાક સમયથી ડિજિટલ ઈકોનોમી પ્રોગ્રામના અપડેટ્સ અને સમાચારોને સક્રિયપણે અનુસરી રહ્યો છું. EGAIS સિસ્ટમના આંતરિક કર્મચારીના દૃષ્ટિકોણથી, અલબત્ત, પ્રક્રિયા દાયકાઓ સુધી ચાલશે. વિકાસના દૃષ્ટિકોણથી, અને પરીક્ષણ, રોલબેક અને વધુ અમલીકરણના દૃષ્ટિકોણથી, તમામ પ્રકારની ભૂલોના અનિવાર્ય અને પીડાદાયક ગોઠવણો દ્વારા અનુસરવામાં આવે છે. તેમ છતાં, આ બાબત જરૂરી, મહત્વપૂર્ણ અને તાકીદની છે. આ બધી મજાનો મુખ્ય ગ્રાહક અને ડ્રાઇવર, અલબત્ત, રાજ્ય છે. ખરેખર, સમગ્ર વિશ્વની જેમ જ.
બધી પ્રક્રિયાઓ લાંબા સમયથી ડિજિટલમાં ખસેડવામાં આવી છે અથવા તેના માર્ગ પર છે. આ હજુ પણ અદ્ભુત છે. જો કે, ઉત્કૃષ્ટતા માટે મેડલના ડાઉનસાઇડ્સ છે. હું એક એવી વ્યક્તિ છું જે સતત ડિજિટલ હસ્તાક્ષર સાથે કામ કરું છું. હું કદાચ "ગઈકાલનો" સમર્થક છું, પરંતુ ટોકન્સનો ઉપયોગ કરીને ઇલેક્ટ્રોનિક હસ્તાક્ષરોને સુરક્ષિત કરવાની "જૂના જમાનાની" વિશ્વસનીય અને જીત-જીત પદ્ધતિઓનો સમર્થક છું. પરંતુ ડિજિટલાઇઝેશન આપણને બતાવે છે કે બધું લાંબા સમયથી "વાદળો" માં છે અને CEP પણ ત્યાં જરૂરી છે અને ખૂબ જ ઝડપથી જરૂરી છે.
મેં જ્યાં શક્ય હોય ત્યાં કાયદાકીય અને તકનીકી માળખાના સ્તરે, અહીં અને યુરોપમાં ક્લાઉડ ઇલેક્ટ્રોનિક હસ્તાક્ષરો સાથે વસ્તુઓ કેવી રીતે ઊભી થાય છે તે શોધવાનો પ્રયાસ કર્યો. હકીકતમાં, આ વિષય પર એક કરતાં વધુ વૈજ્ઞાનિક નિબંધો પ્રકાશિત થઈ ચૂક્યા છે. તેથી, અમે આ બાબતના વ્યાવસાયિકોને વિષયના વિકાસમાં જોડાવા પ્રોત્સાહિત કરીએ છીએ.
ક્લાઉડમાં CEP શા માટે આકર્ષક છે? હકીકતમાં, ત્યાં ફાયદા છે. આ ફાયદાઓ પર્યાપ્ત છે. તે ઝડપી અને અનુકૂળ છે. તે એક જાહેરાત સૂત્ર જેવું લાગે છે, તમે સંમત થશો, પરંતુ આ ક્લાઉડ ડિજિટલ હસ્તાક્ષરની ઉદ્દેશ્ય લાક્ષણિકતાઓ છે.
ટોકન્સ અથવા સ્માર્ટ કાર્ડ સાથે જોડાયેલા વિના દસ્તાવેજો પર સહી કરવાની ક્ષમતામાં ઝડપ રહેલ છે. અમને ફક્ત ડેસ્કટોપનો ઉપયોગ કરવા માટે બંધાયેલા નથી. કોઈપણ OS અને બ્રાઉઝર્સ માટે સો ટકા ક્રોસ-પ્લેટફોર્મ સ્ટોરી. આ ખાસ કરીને Appleપલ ઉત્પાદનોના ચાહકો માટે સાચું છે, જેમના માટે MAC સિસ્ટમમાં ઇલેક્ટ્રોનિક હસ્તાક્ષરોને સમર્થન આપવામાં કેટલીક મુશ્કેલીઓ છે. વિશ્વમાં ગમે ત્યાંથી બહાર નીકળો, CA (નોન-રશિયન પણ) ની પસંદગીની સ્વતંત્રતા. CEP હાર્ડવેરથી વિપરીત, ક્લાઉડ ટેક્નોલોજી તમને સોફ્ટવેર અને હાર્ડવેરની સુસંગતતા સાથે મુશ્કેલીઓ ટાળવા દે છે. જે, હા, અનુકૂળ છે, અને, હા, ઝડપી.
અને આવી સુંદરતા દ્વારા કોઈને કેવી રીતે આકર્ષિત ન કરી શકાય? શેતાન વિગતોમાં છે. ચાલો સલામતી વિશે વાત કરીએ.
રશિયામાં "ક્લાઉડ" CEP
ક્લાઉડ સોલ્યુશન્સની સુરક્ષા, અને ખાસ કરીને ડિજિટલ હસ્તાક્ષર, સુરક્ષા વ્યાવસાયિકો માટે મુખ્ય પીડા બિંદુઓમાંનું એક છે. મને બરાબર શું ગમતું નથી, વાચક મને પૂછશે, કારણ કે દરેક જણ લાંબા સમયથી ક્લાઉડ સેવાઓનો ઉપયોગ કરી રહ્યો છે, અને SMS દ્વારા બેંક ટ્રાન્સફર કરવા માટે તે વધુ વિશ્વસનીય છે.
ખરેખર, ફરીથી, ચાલો વિગતો પર પાછા જઈએ. ક્લાઉડ ડિજિટલ હસ્તાક્ષર એ ભવિષ્ય છે જેની સાથે દલીલ કરવી મુશ્કેલ છે. પણ હમણાં નહિ. આ કરવા માટે, નિયમનકારી અને કાનૂની ફેરફારો થવા જોઈએ જે ક્લાઉડ ડિજિટલ હસ્તાક્ષરના માલિકને સુરક્ષિત કરશે.
આજે આપણી પાસે શું છે? ડિજિટલ સિગ્નેચર, ઈલેક્ટ્રોનિક ડોક્યુમેન્ટ મેનેજમેન્ટ (EDF), તેમજ માહિતી સુરક્ષા અને ડેટા પરિભ્રમણ અંગેના કાયદાને વ્યાખ્યાયિત કરતા સંખ્યાબંધ દસ્તાવેજો છે. ખાસ કરીને, તમારે સિવિલ કોડ (રશિયન ફેડરેશનનો સિવિલ કોડ) ધ્યાનમાં લેવાની જરૂર છે, જે દસ્તાવેજોમાં ઇલેક્ટ્રોનિક હસ્તાક્ષરોના ઉપયોગને નિયંત્રિત કરે છે.
ફેડરલ લૉ નંબર 63-FZ "ઇલેક્ટ્રોનિક હસ્તાક્ષર પર" તારીખ 06.04.2011/XNUMX/XNUMX. મૂળભૂત અને ફ્રેમવર્ક કાયદો જે વિવિધ પ્રકારના વ્યવહારો કરતી વખતે અને સેવાઓ પ્રદાન કરતી વખતે ડિજિટલ હસ્તાક્ષરનો ઉપયોગ કરવાના સામાન્ય અર્થનું વર્ણન કરે છે.
ફેડરલ લૉ નંબર 149-FZ “માહિતી, માહિતી તકનીકો અને માહિતી સંરક્ષણ પર તારીખ 27.07.2006 જુલાઈ, XNUMX. આ દસ્તાવેજ ઇલેક્ટ્રોનિક દસ્તાવેજ અને તમામ સંબંધિત સેગમેન્ટ્સની વિભાવનાને સ્પષ્ટ કરે છે.
ત્યાં વધારાના કાયદાકીય અધિનિયમો છે જે EDI ના નિયમનમાં સામેલ છે
ફેડરલ લૉ 402-FZ "એકાઉન્ટિંગ પર" તારીખ 06.12.2011 ડિસેમ્બર, XNUMX. કાયદાકીય અધિનિયમ ઇલેક્ટ્રોનિક સ્વરૂપમાં એકાઉન્ટિંગ અને એકાઉન્ટિંગ દસ્તાવેજો માટેની આવશ્યકતાઓને વ્યવસ્થિત કરવાની જોગવાઈ કરે છે.
સહિત તમે રશિયન ફેડરેશનના આર્બિટ્રેશન પ્રોસિજરલ કોડને ધ્યાનમાં લઈ શકો છો, જે કોર્ટમાં પુરાવા તરીકે ઇલેક્ટ્રોનિક હસ્તાક્ષર દ્વારા હસ્તાક્ષરિત દસ્તાવેજોને મંજૂરી આપે છે.
અને તે અહીં હતું કે મને સુરક્ષાના મુદ્દામાં વધુ ઊંડાણપૂર્વક વિચારવાનું થયું, કારણ કે ક્રિપ્ટો-પ્રોટેક્શન માધ્યમો માટેના અમારા ધોરણો FSB દ્વારા પ્રદાન કરવામાં આવે છે અને અનુરૂપતા પ્રમાણપત્રો જારી કરવાની ખાતરી આપે છે. 18 ફેબ્રુઆરીના રોજ, નવા GOST ધોરણો રજૂ કરવામાં આવ્યા હતા. આમ, ક્લાઉડમાં સંગ્રહિત કીઓ FSTEC પ્રમાણપત્રો દ્વારા સીધી રીતે સુરક્ષિત નથી. ચાવીઓને પોતાને સુરક્ષિત કરવી અને "ક્લાઉડ" માં સુરક્ષિત પ્રવેશ એ એવા પાયાના પથ્થરો છે જે આપણે હજી ઉકેલ્યા નથી. આગળ, હું યુરોપિયન યુનિયનમાં નિયમનનું ઉદાહરણ જોઈશ, જે સ્પષ્ટપણે વધુ અદ્યતન સુરક્ષા પ્રણાલીનું નિદર્શન કરશે.
ક્લાઉડ ડિજિટલ સિગ્નેચરનો ઉપયોગ કરવાનો યુરોપિયન અનુભવ
ચાલો મુખ્ય વસ્તુથી પ્રારંભ કરીએ - ક્લાઉડ તકનીકો, માત્ર ડિજિટલ હસ્તાક્ષરોમાં સ્પષ્ટ ધોરણ નથી. યુરોપિયન ટેલિકોમ્યુનિકેશન સ્ટાન્ડર્ડ ઇન્સ્ટિટ્યૂટ (ETSI) ના ક્લાઉડ સ્ટાન્ડર્ડ કોઓર્ડિનેશન (CSC) જૂથનો આધાર છે. જો કે, વિવિધ દેશોમાં ડેટા સંરક્ષણ ધોરણોમાં હજુ પણ તફાવત છે.
માહિતી સુરક્ષા વ્યવસ્થાપન સિસ્ટમ્સ માટે ISO 27001:2013 અનુસાર પ્રદાતાઓ માટે વ્યાપક ડેટા સુરક્ષાનો આધાર ફરજિયાત પ્રમાણપત્ર છે (અનુરૂપ રશિયન GOST R ISO/IEC 27001-2006 આ ધોરણના 2006 સંસ્કરણ પર આધારિત છે).
ISO 27017 ક્લાઉડ માટે વધારાના સુરક્ષા તત્વો પૂરા પાડે છે જે ISO 27002 માંથી ખૂટે છે. આ ધોરણનું સંપૂર્ણ સત્તાવાર નામ છે "ક્લાઉડ સેવાઓ માટે ISO/IEC 27002 પર આધારિત માહિતી સુરક્ષા નિયંત્રણો માટેની પ્રેક્ટિસ કોડ." ક્લાઉડ સેવાઓ માટે ISO/IEC 27002 ").
2014 ના ઉનાળામાં, ISO એ ક્લાઉડમાં વ્યક્તિગત ડેટાને સુરક્ષિત કરવા માટે ISO 27018:2015 માનક પ્રકાશિત કર્યું, અને 2015ના અંતમાં, ISO 27017:2015 ક્લાઉડ સોલ્યુશન્સ માટે માહિતી સુરક્ષા નિયંત્રણો પર.
2014 ના પાનખરમાં, યુરોપિયન સંસદ નંબર 910/2014 નો નવો ઠરાવ, જેને eIDAS કહેવાય છે, અમલમાં આવ્યો. નવા નિયમો વપરાશકર્તાઓને માન્યતાપ્રાપ્ત વિશ્વસનીય સેવા પ્રદાતા, કહેવાતા TSP (ટ્રસ્ટ સર્વિસ પ્રોવાઇડર) ના સર્વર પર EPC કીને સંગ્રહિત કરવા અને તેનો ઉપયોગ કરવાની મંજૂરી આપે છે.
ઓક્ટોબર 2013 માં, યુરોપિયન કમિટી ફોર સ્ટાન્ડર્ડાઇઝેશન (CEN) એ ક્લાઉડ ડિજિટલ હસ્તાક્ષરના નિયમન માટે સમર્પિત, તકનીકી સ્પષ્ટીકરણ CEN/TS 419241 "વિશ્વાસપાત્ર સિસ્ટમ્સ સપોર્ટિંગ સર્વર સાઇનિંગ માટે સુરક્ષા આવશ્યકતાઓ" અપનાવી હતી. દસ્તાવેજ સુરક્ષા અનુપાલનના અનેક સ્તરોનું વર્ણન કરે છે. ઉદાહરણ તરીકે, લાયક ઇલેક્ટ્રોનિક હસ્તાક્ષર જનરેટ કરવા માટે જરૂરી “સ્તર 2” અનુપાલન માટે મજબૂત વપરાશકર્તા પ્રમાણીકરણ વિકલ્પો માટે સમર્થનની જરૂર છે. આ સ્તરની આવશ્યકતાઓ અનુસાર, વપરાશકર્તા પ્રમાણીકરણ સીધા હસ્તાક્ષર સર્વર પર થાય છે, તેનાથી વિપરીત, ઉદાહરણ તરીકે, તેના પોતાના વતી સહી સર્વરને ઍક્સેસ કરતી એપ્લિકેશનમાં "લેવલ 1" માટે માન્ય પ્રમાણીકરણ માટે. ઉપરાંત, આ સ્પષ્ટીકરણ અનુસાર, યોગ્ય ઈલેક્ટ્રોનિક હસ્તાક્ષર જનરેટ કરવા માટેની વપરાશકર્તાની સહી કીઓ વિશિષ્ટ સુરક્ષિત ઉપકરણ (હાર્ડવેર સુરક્ષા મોડ્યુલ, HSM) ની મેમરીમાં સંગ્રહિત હોવી જોઈએ.
ક્લાઉડ સેવામાં વપરાશકર્તા પ્રમાણીકરણ ઓછામાં ઓછું બે-પરિબળ હોવું આવશ્યક છે. નિયમ પ્રમાણે, સૌથી વધુ સુલભ અને ઉપયોગમાં સરળ વિકલ્પ એ છે કે SMS સંદેશમાં પ્રાપ્ત કોડ દ્વારા લોગિનની પુષ્ટિ કરવી. ઉદાહરણ તરીકે, રશિયન બેંકોના મોટાભાગના વ્યક્તિગત આરબીએસ એકાઉન્ટ્સ લાગુ કરવામાં આવ્યા છે. સામાન્ય ક્રિપ્ટોગ્રાફિક ટોકન્સ ઉપરાંત, સ્માર્ટફોન પરની એપ્લિકેશન અને વન-ટાઇમ પાસવર્ડ જનરેટર (OTP ટોકન્સ)નો પણ પ્રમાણીકરણના સાધન તરીકે ઉપયોગ કરી શકાય છે.
હમણાં માટે, હું એ હકીકત વિશે વચગાળાનું નિષ્કર્ષ દોરી શકું છું કે ક્લાઉડ CEPs હજુ પણ રચાઈ રહ્યા છે અને હાર્ડવેરથી દૂર જવાનું ખૂબ જ વહેલું છે. સૈદ્ધાંતિક રીતે, આ એક કુદરતી પ્રક્રિયા છે, જે યુરોપમાં પણ (ઓહ, મહાન!) લગભગ 13-14 વર્ષ સુધી ચાલી હતી જ્યાં સુધી વધુ કે ઓછા સચોટ ધોરણો વિકસિત ન થયા.
જ્યાં સુધી અમે અમારી ક્લાઉડ સેવાઓનું નિયમન કરતા સારા GOST ધોરણો વિકસિત ન કરીએ ત્યાં સુધી હાર્ડવેર સોલ્યુશન્સના સંપૂર્ણ ત્યાગ વિશે વાત કરવી ખૂબ જ વહેલું છે. તેના બદલે, તેઓ હવે, તેનાથી વિપરીત, "સંકર" તરફ જવાનું શરૂ કરશે, એટલે કે, ક્લાઉડ સિગ્નેચર સાથે પણ કામ કરશે. ક્લાઉડ સાથે કામ કરવા માટે યુરોપીયન ધોરણોને પૂર્ણ કરતા કેટલાક ઉદાહરણો પહેલેથી જ લાગુ કરવામાં આવ્યા છે. પરંતુ અમે નવી સામગ્રીમાં આ વિશે થોડી વધુ વિગતમાં વાત કરીશું.

સોર્સ: www.habr.com