ღრუბლოვანი ელექტრონული ხელმოწერა რუსეთში და მსოფლიოში

შუადღე მშვიდობისა, ძვირფასო მკითხველო!
გარკვეული პერიოდის განმავლობაში აქტიურად ვადევნებ თვალს ციფრული ეკონომიკის პროგრამის განახლებებს და სიახლეებს. EGAIS სისტემის შიდა თანამშრომლის თვალსაზრისით, რა თქმა უნდა, პროცესი ათწლეულების განმავლობაში. და განვითარების თვალსაზრისით და ტესტირების თვალსაზრისით, უკან დაბრუნება და შემდგომი განხორციელება, რასაც მოჰყვება ყველა სახის შეცდომების გარდაუვალი და მტკივნეული კორექტირება. მიუხედავად ამისა, საკითხი აუცილებელია, მნიშვნელოვანი და დაგვიანებული. მთელი ამ გართობის მთავარი მომხმარებელი და მამოძრავებელი, რა თქმა უნდა, სახელმწიფოა. სინამდვილეში, როგორც მთელ მსოფლიოში.
ყველა პროცესი დიდი ხანია გადავიდა ციფრულში ან მისკენ მიმავალ გზაზე. მაინც მშვენიერია. თუმცა, განსხვავებისთვის მედლების საპირისპირო მხარეც არსებობს. მე ვარ ადამიანი, რომელიც მუდმივად ვმუშაობ ციფრული ხელმოწერით. მე ვარ მომხრე, შესაძლოა, "გუშინ", მაგრამ "მოძველებული" საიმედო და მომგებიანი მეთოდების დაცვა ელექტრონული ხელმოწერის ნიშნების გამოყენებით. მაგრამ დიგიტალიზაცია გვაჩვენებს, რომ ყველაფერი დიდი ხანია „ღრუბელებშია“ და CEP-საც სჭირდება იქ წასვლა და ძალიან სწრაფად სჭირდება.
ვცდილობდი გამერკვია, ჯერჯერობით საკანონმდებლო და ტექნიკური ბაზის დონეზე, სად იყო შესაძლებელი, როგორ არის საქმე Cloud ES-თან ჩვენს ქვეყანაში და ევროპაში. ფაქტობრივად, ამ თემაზე უკვე გამოქვეყნებულია ერთზე მეტი სამეცნიერო დისერტაცია. ამიტომ ამ საკითხში დადებით მხარეებს თემის განვითარებასთან დაკავშირებისკენ მოუწოდებენ.
რატომ არის CEP ღრუბელში მიმზიდველი? სინამდვილეში, არის დადებითი. ეს პლიუსები საკმარისია. ეს არის სწრაფი და მოსახერხებელი. ეს სარეკლამო სლოგანს ჰგავს, დამეთანხმებით, მაგრამ ეს არის ღრუბელზე დაფუძნებული EDS-ის ობიექტური მახასიათებლები.
სიჩქარე მდგომარეობს დოკუმენტების ხელმოწერის უნარში ტოკენებთან ან სმარტ ბარათებთან მიბმულობის გარეშე. ის არ გვავალდებულებს მხოლოდ დესკტოპის გამოყენებას. ასი პროცენტით ჯვარედინი პლატფორმის ისტორია ნებისმიერი OS და ბრაუზერისთვის. ეს განსაკუთრებით ეხება Apple-ის პროდუქტების თაყვანისმცემლებს, ვისთვისაც არსებობს გარკვეული სირთულეები MAC სისტემაში ES-ის მხარდაჭერაში. გასვლა მსოფლიოს ნებისმიერი ადგილიდან, CA-ს არჩევანის თავისუფლება (რუსულიც კი არა). CEP ტექნიკისგან განსხვავებით, ღრუბლოვანი გამოთვლა თავიდან აიცილებს პროგრამული უზრუნველყოფისა და აპარატურის თავსებადობის სირთულეს. რაც, დიახ, მოსახერხებელია და, დიახ, სწრაფი.
და როგორ არ უნდა ცდუნდეს ასეთი სილამაზე? ეშმაკი დეტალებშია. მოდით ვისაუბროთ უსაფრთხოებაზე.
"მოღრუბლული" CEP რუსეთში
ღრუბლოვანი გადაწყვეტილებების უსაფრთხოება და, კერძოდ, ციფრული ხელმოწერა, უსაფრთხოების ადამიანების ერთ-ერთი მთავარი ტკივილია. კონკრეტულად რა არ მომწონს, მკითხველი მკითხავს, ​​რადგან ყველა დიდი ხანია იყენებს ღრუბლოვან სერვისებს და SMS-ით კიდევ უფრო საიმედოა საბანკო გადარიცხვა.
ფაქტობრივად, ისევ დეტალებს დავუბრუნდეთ. Cloud EDS არის მომავალი, რომელზეც ძნელია კამათი. Მაგრამ არა ახლა. ამისათვის უნდა იყოს მარეგულირებელი და სამართლებრივი ცვლილებები, რომლებიც დაიცავს Cloud EDS-ის მფლობელს.
რა გვაქვს დღეს? არსებობს მთელი რიგი დოკუმენტები, რომლებიც განსაზღვრავს ES-ის, ელექტრონული დოკუმენტების მართვის (EDF) კონცეფციას, ასევე კანონებს ინფორმაციის დაცვისა და მონაცემთა მიმოქცევის შესახებ. კერძოდ, აუცილებელია გავითვალისწინოთ სამოქალაქო კოდექსი (რუსეთის ფედერაციის სამოქალაქო კოდექსი), რომელიც არეგულირებს ES-ის გამოყენებას დოკუმენტებში.
ფედერალური კანონი No63-FZ "ელექტრონული ხელმოწერის შესახებ" 06.04.2011 წლის XNUMX აპრილი. ძირითადი და ჩარჩო კანონი, რომელიც აღწერს ელექტრონული ხელმოწერის გამოყენების ზოგად მნიშვნელობას სხვადასხვა ხასიათის ტრანზაქციებსა და მომსახურების მიწოდებაში.
ფედერალური კანონი No149-FZ „ინფორმაციის, საინფორმაციო ტექნოლოგიებისა და ინფორმაციის დაცვის შესახებ“ 27.07.2006 წლის XNUMX ივლისს. ეს დოკუმენტი განსაზღვრავს ელექტრონული დოკუმენტის კონცეფციას და ყველა მასთან დაკავშირებულ სეგმენტს.
არის დამატებითი საკანონმდებლო აქტები, რომლებიც ჩართულია EDF-ის რეგულირებაში
ფედერალური კანონი 402-FZ "ბუღალტრული აღრიცხვის შესახებ" 06.12.2011 წ. საკანონმდებლო აქტი ითვალისწინებს სააღრიცხვო და სააღრიცხვო დოკუმენტების მოთხოვნების სისტემატიზაციას ელექტრონული ფორმით.
ჩათვლით თქვენ შეგიძლიათ გაითვალისწინოთ რუსეთის ფედერაციის საარბიტრაჟო საპროცესო კოდექსი, რომელიც საშუალებას აძლევს ES-ის მიერ ხელმოწერილ დოკუმენტებს სასამართლოში მტკიცებულებად.
და სწორედ აქ მომივიდა აზრად ჩავუღრმავდი უსაფრთხოების საკითხს, რადგან ჩვენი სტანდარტები კრიპტოდაცვითი ხელსაწყოებისთვის არის მოწოდებული FSB-ის მიერ და უზრუნველყოფს შესაბამისობის სერთიფიკატების გაცემას. 18 თებერვლიდან შემოიღეს ახალი GOST-ები. ამრიგად, ღრუბელში შენახული გასაღებები პირდაპირ არ არის დაცული FSTEC სერთიფიკატებით. თავად გასაღებების დაცვა და "ღრუბელში" უსაფრთხო შესვლა არის ის ქვაკუთხედი, რომლის შესახებაც ჩვენ ჯერ არ გადაგვიწყვეტია. შემდეგ განვიხილავ ევროკავშირში რეგულირების მაგალითს, რომელიც ნათლად აჩვენებს უსაფრთხოების უფრო მოწინავე სისტემას.
ევროპული გამოცდილება ღრუბლოვანი ES-ის გამოყენებაში
დავიწყოთ მთავარი - ღრუბლოვანი ტექნოლოგიები და არა მარტო ES-ს აქვს მკაფიო სტანდარტი. ევროპის სატელეკომუნიკაციო სტანდარტების ინსტიტუტის (ETSI) Cloud Standard Coordination (CSC) ჯგუფის საფუძველი. თუმცა, კვლავ არსებობს განსხვავებები მონაცემთა დაცვის სტანდარტებში სხვადასხვა ქვეყნებში.
მონაცემთა ყოვლისმომცველი დაცვის საფუძველია პროვაიდერებისთვის სავალდებულო სერტიფიცირება ISO 27001:2013-ის მიხედვით ინფორმაციის უსაფრთხოების მართვის სისტემებისთვის (შესაბამისი რუსული GOST R ISO / IEC 27001-2006 ეფუძნება ამ სტანდარტის 2006 წლის ვერსიას).
ISO 27017 უზრუნველყოფს ღრუბლისთვის უსაფრთხოების დამატებით ელემენტებს, რომლებიც არ არის ISO 27002-ში. ამ სტანდარტის სრული ოფიციალური სახელწოდებაა „ინფორმაციის უსაფრთხოების კონტროლის პრაქტიკის კოდექსი, რომელიც დაფუძნებულია ISO/IEC 27002-ზე ღრუბლოვანი სერვისებისთვის“ („ინფორმაციის უსაფრთხოების პრაქტიკის კოდექსი“ კონტროლი ISO/IEC 27002-ზე დაფუძნებული ღრუბლოვანი სერვისებისთვის").
2014 წლის ზაფხულში ISO-მ გამოაქვეყნა ISO 27018:2015 ღრუბელში პერსონალური მონაცემების დაცვის შესახებ, ხოლო 2015 წლის ბოლოს ISO 27017:2015 ღრუბლოვანი გადაწყვეტილებების ინფორმაციის უსაფრთხოების კონტროლის შესახებ.
2014 წლის შემოდგომაზე ძალაში შევიდა ევროპარლამენტის ახალი რეგულაცია No910/2014, სახელწოდებით eIDAS. ახალი წესები მომხმარებლებს საშუალებას აძლევს შეინახონ და გამოიყენონ CEP გასაღები აკრედიტებული სანდო სერვისის პროვაიდერის, ე.წ. TSP (Trust Service Provider) სერვერზე.
სტანდარტიზაციის ევროპულმა კომიტეტმა (CEN) 2013 წლის ოქტომბერში მიიღო ტექნიკური სპეციფიკაცია CEN / TS 419241 "უსაფრთხოების მოთხოვნები სანდო სისტემებისთვის, რომლებიც მხარს უჭერენ სერვერის ხელმოწერას", რომელიც ეძღვნება ღრუბლოვან EDS-ის რეგულირებას. დოკუმენტი აღწერს უსაფრთხოების დაცვის რამდენიმე დონეს. მაგალითად, „მე-2 დონის“ დაცვა, რომელიც საჭიროა კვალიფიციური ელექტრონული ხელმოწერის ფორმირებისთვის, ნიშნავს მომხმარებლის ავტორიზაციის ძლიერი ვარიანტების მხარდაჭერას. ამ დონის მოთხოვნების მიხედვით, მომხმარებლის ავთენტიფიკაცია ხდება უშუალოდ ხელმოწერის სერვერზე, განსხვავებით, მაგალითად, ავთენტიფიკაციისგან, რომელიც დაშვებულია "დონე 1" აპლიკაციაში, რომელიც თავისი სახელით წვდება ხელმოწერის სერვერს. ასევე, ამ სპეციფიკაციის შესაბამისად, მომხმარებლის ხელმოწერის გასაღებები კვალიფიციური ES-ის ფორმირებისთვის უნდა ინახებოდეს სპეციალიზებული უსაფრთხო მოწყობილობის მეხსიერებაში (ტექნიკის უსაფრთხოების მოდული, HSM).
ღრუბლოვან სერვისში მომხმარებლის ავთენტიფიკაცია უნდა იყოს მინიმუმ ორფაქტორიანი. როგორც წესი, ყველაზე ხელმისაწვდომი და ადვილად გამოსაყენებელი ვარიანტია SMS შეტყობინებაში მიღებული კოდის მეშვეობით შესვლის დადასტურება. ასე, მაგალითად, რუსული ბანკების RBS-ის პირადი ანგარიშების უმეტესობა განხორციელდა. ჩვეულებრივი კრიპტოგრაფიული ნიშნების გარდა, სმარტფონზე აპლიკაცია და ერთჯერადი პაროლის გენერატორები (OTP ჟეტონები) ასევე შეიძლება გამოყენებულ იქნას ავტორიზაციის საშუალებად.
შუალედური შედეგის შეჯამება შემიძლია ამ დროისთვის, რაც შეეხება იმას, რომ ღრუბლოვანი CEP-ები ჯერ კიდევ იქმნება ჩვენს ქვეყანაში და ჯერ კიდევ ნაადრევია რკინისგან თავის დაღწევა. პრინციპში, ეს ბუნებრივი პროცესია, რომელიც ევროპაშიც კი (ოჰ, მშვენივრად!) დაახლოებით 13-14 წელი გაგრძელდა, სანამ მეტ-ნაკლებად ზუსტი სტანდარტები არ შემუშავდებოდა.
სანამ არ შევიმუშავებთ კარგ GOST-ებს, რომლებიც არეგულირებენ ჩვენს ღრუბლოვან სერვისებს, ნაადრევია ვისაუბროთ ტექნიკის გადაწყვეტილებების სრულ უარყოფაზე. პირიქით, ახლა ისინი დაიწყებენ სვლას „ჰიბრიდებისკენ“, ანუ ღრუბელ ხელმოწერებთანაც იმუშავებენ. რამდენიმე მაგალითი, რომელიც შეესაბამება Cloud-თან მუშაობის ევროპულ სტანდარტებს, უკვე დანერგილია. მაგრამ მეტი ამის შესახებ ახალ სტატიაში.

წყარო: www.habr.com