रशिया आणि जगामध्ये क्लाउड इलेक्ट्रॉनिक स्वाक्षरी

शुभ दुपार, प्रिय वाचक!
मी काही काळापासून डिजिटल इकॉनॉमी प्रोग्रामच्या अपडेट्स आणि बातम्यांचे सक्रियपणे अनुसरण करत आहे. ईजीएआयएस सिस्टमच्या अंतर्गत कर्मचार्‍यांच्या दृष्टिकोनातून, अर्थातच, प्रक्रिया अनेक दशके टिकेल. दोन्ही विकासाच्या दृष्टिकोनातून आणि चाचणी, रोलबॅक आणि पुढील अंमलबजावणीच्या दृष्टिकोनातून, त्यानंतर सर्व प्रकारच्या बग्सचे अपरिहार्य आणि वेदनादायक समायोजन. तरीही, ही बाब आवश्यक, महत्त्वाची आणि निकडीची आहे. या सगळ्या गमतीचा मुख्य ग्राहक आणि चालक अर्थातच राज्य आहे. वास्तविक, संपूर्ण जगाप्रमाणेच.
सर्व प्रक्रिया डिजिटलमध्ये गेल्या आहेत किंवा त्याच्या मार्गावर आहेत. हे अजूनही अद्भुत आहे. तथापि, उत्कृष्टतेसाठी पदकांचे तोटे आहेत. मी सतत डिजिटल स्वाक्षरीने काम करणारी व्यक्ती आहे. मी कदाचित "काल" चा समर्थक आहे, परंतु टोकन वापरून इलेक्ट्रॉनिक स्वाक्षरी संरक्षित करण्याच्या "जुन्या पद्धतीच्या" विश्वासार्ह आणि विजयी पद्धतींचा. परंतु डिजिटलायझेशन आपल्याला दर्शविते की सर्व काही बर्याच काळापासून "ढगांमध्ये" आहे आणि CEP देखील तेथे आवश्यक आहे आणि खूप लवकर आवश्यक आहे.
येथे आणि युरोपमध्ये क्लाउड इलेक्ट्रॉनिक स्वाक्षरींसह गोष्टी कशा उभ्या आहेत, जेथे शक्य असेल तेथे विधायी आणि तांत्रिक चौकटीच्या पातळीवर मी शोधण्याचा प्रयत्न केला. खरं तर, या विषयावर एकापेक्षा जास्त वैज्ञानिक प्रबंध आधीच प्रकाशित झाले आहेत. म्हणून, आम्ही या प्रकरणातील व्यावसायिकांना विषयाच्या विकासात सामील होण्यासाठी प्रोत्साहित करतो.
क्लाउडमधील CEP आकर्षक का आहे? खरं तर, फायदे आहेत. हे फायदे पुरेसे आहेत. हे जलद आणि सोयीस्कर आहे. हे जाहिरातीच्या घोषवाक्यासारखे वाटते, तुम्ही सहमत व्हाल, परंतु ही क्लाउड डिजिटल स्वाक्षरीची वस्तुनिष्ठ वैशिष्ट्ये आहेत.
टोकन किंवा स्मार्ट कार्डला न बांधता कागदपत्रांवर स्वाक्षरी करण्याच्या क्षमतेमध्ये गती आहे. आम्हाला फक्त डेस्कटॉप वापरण्यास भाग पाडत नाही. कोणत्याही OS आणि ब्राउझरसाठी शंभर टक्के क्रॉस-प्लॅटफॉर्म कथा. Appleपल उत्पादनांच्या चाहत्यांसाठी हे विशेषतः खरे आहे, ज्यांच्यासाठी MAC सिस्टममध्ये इलेक्ट्रॉनिक स्वाक्षरींना समर्थन देण्यात काही अडचणी आहेत. जगातील कोठूनही बाहेर पडा, CA च्या निवडीचे स्वातंत्र्य (अगदी रशियन नसलेले देखील). CEP हार्डवेअरच्या विपरीत, क्लाउड तंत्रज्ञान आपल्याला सॉफ्टवेअर आणि हार्डवेअरच्या सुसंगततेसह अडचणी टाळण्याची परवानगी देतात. जे, होय, सोयीचे आहे, आणि, होय, जलद.
आणि अशा सौंदर्याने मोहात कसे पडू शकत नाही? सैतान तपशीलात आहे. चला सुरक्षिततेबद्दल बोलूया.
रशिया मध्ये "क्लाउड" CEP
क्लाउड सोल्यूशन्सची सुरक्षा, आणि विशेषतः डिजिटल स्वाक्षरी, सुरक्षा व्यावसायिकांसाठी मुख्य वेदना बिंदूंपैकी एक आहे. मला नक्की काय आवडत नाही, वाचक मला विचारतील, कारण प्रत्येकजण बर्याच काळापासून क्लाउड सेवा वापरत आहे आणि एसएमएसद्वारे बँक हस्तांतरण करणे अधिक विश्वासार्ह आहे.
खरं तर, पुन्हा, तपशीलांकडे परत जाऊया. क्लाउड डिजिटल स्वाक्षरी हे एक भविष्य आहे ज्याशी वाद घालणे कठीण आहे. पण आता नाही. हे करण्यासाठी, नियामक बदल होणे आवश्यक आहे जे क्लाउड डिजिटल स्वाक्षरीच्या मालकाचे संरक्षण करेल.
आज आपल्याकडे काय आहे? डिजिटल स्वाक्षरी, इलेक्ट्रॉनिक दस्तऐवज व्यवस्थापन (EDF), तसेच माहिती संरक्षण आणि डेटा अभिसरण यासंबंधीचे कायदे परिभाषित करणारे अनेक दस्तऐवज आहेत. विशेषतः, आपल्याला सिव्हिल कोड (रशियन फेडरेशनचा नागरी संहिता) विचारात घेणे आवश्यक आहे, जे दस्तऐवजांमध्ये इलेक्ट्रॉनिक स्वाक्षरी वापरण्याचे नियमन करते.
फेडरल लॉ क्र. 63-FZ "इलेक्ट्रॉनिक स्वाक्षरीवर" दिनांक 06.04.2011/XNUMX/XNUMX. मूलभूत आणि फ्रेमवर्क कायदा जो विविध प्रकारचे व्यवहार करताना आणि सेवा प्रदान करताना डिजिटल स्वाक्षरी वापरण्याच्या सामान्य अर्थाचे वर्णन करतो.
फेडरल लॉ क्र. 149-FZ “माहिती, माहिती तंत्रज्ञान आणि माहिती संरक्षण यावर दिनांक 27.07.2006 जुलै XNUMX. हा दस्तऐवज इलेक्ट्रॉनिक दस्तऐवज आणि सर्व संबंधित विभागांची संकल्पना निर्दिष्ट करतो.
ईडीआयच्या नियमनामध्ये अतिरिक्त कायदे आहेत
फेडरल लॉ 402-एफझेड 06.12.2011 डिसेंबर XNUMX रोजी "अकाऊंटिंगवर" विधान कायदा इलेक्ट्रॉनिक स्वरूपात लेखा आणि लेखा दस्तऐवजांच्या आवश्यकतांचे पद्धतशीरीकरण प्रदान करतो.
समावेश आपण रशियन फेडरेशनचा लवाद प्रक्रियात्मक संहिता विचारात घेऊ शकता, जे न्यायालयात पुरावा म्हणून इलेक्ट्रॉनिक स्वाक्षरीद्वारे स्वाक्षरी केलेल्या दस्तऐवजांना परवानगी देते.
आणि इथेच मला सुरक्षेच्या मुद्द्याचा सखोल अभ्यास करावासा वाटला, कारण क्रिप्टो-संरक्षण साधनांसाठी आमची मानके FSB द्वारे प्रदान केली जातात आणि अनुरूपतेचे प्रमाणपत्र जारी करणे सुनिश्चित करते. 18 फेब्रुवारी रोजी, नवीन GOST मानके सादर करण्यात आली. अशा प्रकारे, क्लाउडमध्ये संग्रहित की थेट FSTEC प्रमाणपत्रांद्वारे संरक्षित नाहीत. स्वतः चाव्या सुरक्षित करणे आणि "क्लाउड" मध्ये सुरक्षित प्रवेश करणे हे कोनशिले आहेत जे आम्ही अद्याप सोडवलेले नाहीत. पुढे, मी युरोपियन युनियनमधील नियमनाचे उदाहरण पाहू, जे स्पष्टपणे अधिक प्रगत सुरक्षा प्रणाली प्रदर्शित करेल.
क्लाउड डिजिटल स्वाक्षरी वापरण्याचा युरोपियन अनुभव
चला मुख्य गोष्टीपासून प्रारंभ करूया - क्लाउड तंत्रज्ञान, केवळ डिजिटल स्वाक्षरींचे स्पष्ट मानक नाही. युरोपियन टेलिकम्युनिकेशन स्टँडर्ड्स इन्स्टिट्यूट (ETSI) चा क्लाउड स्टँडर्ड कोऑर्डिनेशन (CSC) गट हा आधार आहे. तथापि, विविध देशांमध्ये डेटा संरक्षण मानकांमध्ये अजूनही फरक आहेत.
सर्वसमावेशक डेटा संरक्षणाचा आधार म्हणजे माहिती सुरक्षा व्यवस्थापन प्रणालीसाठी ISO 27001:2013 नुसार प्रदात्यांसाठी अनिवार्य प्रमाणपत्र (संबंधित रशियन GOST R ISO/IEC 27001-2006 या मानकाच्या 2006 आवृत्तीवर आधारित आहे).
ISO 27017 हे ISO 27002 मधून गहाळ असलेल्या क्लाउडसाठी अतिरिक्त सुरक्षा घटक प्रदान करते. या मानकाचे पूर्ण अधिकृत नाव आहे “क्लाउड सेवांसाठी ISO/IEC 27002 वर आधारित माहिती सुरक्षा नियंत्रणांसाठी सराव संहिता.” क्लाउड सेवांसाठी ISO/IEC 27002 ").
2014 च्या उन्हाळ्यात, ISO ने क्लाउडमधील वैयक्तिक डेटाचे संरक्षण करण्यासाठी ISO 27018:2015 मानक प्रकाशित केले आणि 2015 च्या उत्तरार्धात, क्लाउड सोल्यूशन्ससाठी माहिती सुरक्षा नियंत्रणांवर ISO 27017:2015 प्रकाशित केले.
2014 च्या शरद ऋतूत, युरोपियन संसद क्रमांक 910/2014 चा नवीन ठराव, ज्याला eIDAS म्हणतात, अंमलात आला. नवीन नियम वापरकर्त्यांना मान्यताप्राप्त विश्वसनीय सेवा पुरवठादार, तथाकथित TSP (ट्रस्ट सर्व्हिस प्रोव्हायडर) च्या सर्व्हरवर EPC की संग्रहित आणि वापरण्याची परवानगी देतात.
ऑक्टोबर 2013 मध्ये, युरोपियन कमिटी फॉर स्टँडर्डायझेशन (CEN) ने CEN/TS 419241 "क्लाउड डिजिटल स्वाक्षरींच्या नियमनासाठी समर्पित, विश्वसनीय सिस्टम सपोर्टिंग सर्व्हर साइनिंगसाठी सुरक्षा आवश्यकता" हे तांत्रिक तपशील स्वीकारले. दस्तऐवज सुरक्षा अनुपालनाच्या अनेक स्तरांचे वर्णन करतो. उदाहरणार्थ, पात्र इलेक्ट्रॉनिक स्वाक्षरी व्युत्पन्न करण्यासाठी आवश्यक असलेल्या “स्तर 2” अनुपालनासाठी मजबूत वापरकर्ता प्रमाणीकरण पर्यायांसाठी समर्थन आवश्यक आहे. या स्तराच्या आवश्यकतांनुसार, वापरकर्ता प्रमाणीकरण थेट स्वाक्षरी सर्व्हरवर होते, याउलट, उदाहरणार्थ, स्वतःच्या वतीने स्वाक्षरी सर्व्हरवर प्रवेश करणार्‍या ऍप्लिकेशनमध्ये “लेव्हल 1” साठी परवानगी असलेल्या प्रमाणीकरणासाठी. तसेच, या विनिर्देशानुसार, पात्र इलेक्ट्रॉनिक स्वाक्षरी तयार करण्यासाठी वापरकर्त्याच्या स्वाक्षरी की एका विशेष सुरक्षित उपकरणाच्या (हार्डवेअर सुरक्षा मॉड्यूल, HSM) मेमरीमध्ये संग्रहित केल्या पाहिजेत.
क्लाउड सेवेमध्ये वापरकर्ता प्रमाणीकरण किमान दोन-घटक असणे आवश्यक आहे. नियमानुसार, एसएमएस संदेशात प्राप्त झालेल्या कोडद्वारे लॉगिनची पुष्टी करणे हा सर्वात प्रवेशयोग्य आणि वापरण्यास सोपा पर्याय आहे. उदाहरणार्थ, रशियन बँकांच्या बहुतेक वैयक्तिक आरबीएस खात्यांची अंमलबजावणी केली गेली आहे. नेहमीच्या क्रिप्टोग्राफिक टोकन्स व्यतिरिक्त, स्मार्टफोनवरील अॅप्लिकेशन आणि वन-टाइम पासवर्ड जनरेटर (OTP टोकन) देखील प्रमाणीकरणाचे साधन म्हणून वापरले जाऊ शकतात.
आत्तासाठी, मी एक अंतरिम निष्कर्ष काढू शकतो की क्लाउड सीईपी अद्याप तयार होत आहेत आणि हार्डवेअरपासून दूर जाणे खूप लवकर आहे. तत्वतः, ही एक नैसर्गिक प्रक्रिया आहे, जी युरोपमध्ये (ओह, छान!) कमी-अधिक अचूक मानके विकसित होईपर्यंत सुमारे 13-14 वर्षे टिकली.
जोपर्यंत आम्ही आमच्या क्लाउड सेवांचे नियमन करणारी चांगली GOST मानके विकसित करत नाही तोपर्यंत, हार्डवेअर सोल्यूशन्सच्या पूर्णपणे त्याग करण्याबद्दल बोलणे खूप लवकर आहे. त्याउलट, ते आता त्याउलट, "हायब्रीड्स" कडे वाटचाल करू लागतील, म्हणजेच क्लाउड स्वाक्षरीसह देखील कार्य करतील. क्लाउडसह कार्य करण्यासाठी युरोपियन मानकांची पूर्तता करणारी काही उदाहरणे आधीच लागू केली गेली आहेत. परंतु आम्ही याबद्दल एका नवीन सामग्रीमध्ये थोडे अधिक तपशीलवार बोलू.

स्त्रोत: www.habr.com