Проблемы долговременного хранения действующих и исторических документов, подписанных электронно-цифровой

20 20 сентябрясентября 2011 2011 гг.. PKIPKI--форумфорум 11

Проблемы долговременного хранениядействующих и исторических

документов, подписанныхэлектронно – цифровой подписью

Храмцовская Наталья Александровнак.и.н., ведущий эксперт по управлению документацией

компании «Электронные Офисные Системы», член Гильдии Управляющих Документацией и ARMA International


ВопросыВопросы, , которыекоторые придетсяпридется решатьрешатьприпри долговременномдолговременном храненияхранения

документовдокументов сс ЭЦПЭЦП

�� КакКак обеспечитьобеспечить проверкупроверку ЭЦПЭЦП нана протяжениипротяжениидлительногодлительного периодапериода временивремени, , ии нужнонужно лили этоэто??

�� КакКак доказыватьдоказывать аутентичностьаутентичность, , целостностьцелостность ии тт..дд. . соответствующихсоответствующих электронныхэлектронных документовдокументов??

�� ЧтоЧто делатьделать сс подписаннымиподписанными электроннымэлектронным образомобразомдокументамидокументами постоянногопостоянного срокасрока храненияхранения? ?

�� ЭЦПЭЦП нене неуязвиманеуязвима, , ии сосо временемвременем можетможет бытьбытьскомпрометированаскомпрометирована ии//илиили подделанаподделана. . ЧтоЧто делатьделать??


ПрактикаПрактика

�� УжеУже шестьшесть летлет работаютработают полноценныеполноценныегосударственныегосударственные электронныеэлектронные архивыархивы. . ЭЦПЭЦПпроверяетсяпроверяется вв моментмомент поступленияпоступления документовдокументов нанаархивноеархивное хранениехранение..

�� ЛетЛет десятьдесять говорятговорят оо возможностивозможности переподписанияпереподписаниядокументовдокументов. . РеальноРеально работающейработающей, , признаннойпризнаннойзаконодательствомзаконодательством РоссииРоссии технологиитехнологии додо сихсих порпорнетнет. . СкандалСкандал вв ГерманииГермании припри попыткепопытке такуютакуютехнологиютехнологию ввестиввести..


ОтчетОтчет UNCITRAL UNCITRAL оо правовыхправовых проблемахпроблемах припри

использованиииспользовании средствсредств электроннойэлектронной

идентификацииидентификации ии подписиподписи, 2009 , 2009 гг..

�� ПроблемыПроблемы припри практическомпрактическомиспользованиииспользовании инфраструктурыинфраструктурыоткрытыхоткрытых ключейключей

««......ДолговременнаяДолговременная сохранностьсохранность ЭЦПЭЦПобычнообычно проблематичнапроблематична. .... ...ФактическиФактически, , ЭЦПЭЦП былибыли задуманызадуманы скореескорее длядляобеспеченияобеспечения безопасностибезопасности припри передачепередачеинформацииинформации, , чемчем длядля обеспеченияобеспечениядолговременнойдолговременной сохранностисохранностиинформацииинформации. . ПопыткиПопытки решитьрешить этуэтупроблемупроблему покапока чточто нене далидали какихкаких--тотореальныхреальных результатоврезультатов..»» ((пп.51 .51 стрстр.25.25--26)26)

http://www.uncitral.org/pdf/english/texts/electcom/08http://www.uncitral.org/pdf/english/texts/electcom/08--55698_Ebook.pdf55698_Ebook.pdf


ЕврокомиссияЕврокомиссия провелапровела онлайнонлайн--консультацииконсультации сс общественностьюобщественностью обоб ЭПЭП

�� ОпросОпрос общественногообщественного мнениямнения попоповодуповоду электронныхэлектронных подписейподписей ииэлектроннойэлектронной идентификацииидентификацииличностиличности (29 (29 вопросоввопросов) ) проходилпроходил ввфевралефеврале --апрелеапреле 2011 2011 гг..

�� ПолученоПолучено 434 434 отзываотзыва, , изиз нихних 417 417 ––черезчерез сайтсайт, , ии ещёещё 17 17 –– попоэлектроннойэлектронной почтепочте

�� 45% 45% респондентовреспондентов считаютсчитают вопросвопросдолговременногодолговременного храненияхранения важнымважным


ГерманияГермания: : сокращениесокращениеиспользованияиспользования УКЭПУКЭП, 2011 , 2011 годгод

�� ЗакрытиеЗакрытие системысистемы ELENA ELENA длядля сдачисдачи работодателямиработодателямиэлектроннойэлектронной отчетностиотчетности оо выплачиваемойвыплачиваемойсотрудникамсотрудникам зарплатезарплате

�� СС 1 1 июляиюля 2011 2011 годагода электронныеэлектронные счетасчета ии счетасчета--фактурыфактуры нене обязательнообязательно подписыватьподписыватьквалифицированнойквалифицированной электроннойэлектронной подписьюподписью

�� СкандалСкандал вокругвокруг ТехническогоТехнического руководстваруководства 03125 03125 ««СохранениеСохранение доказательнойдоказательной силысилы документовдокументов, , подписанныхподписанных сс использованиемиспользованием криптографическихкриптографическихметодовметодов»» (TR(TR--ESOR)ESOR)


МетодикаМетодика организацииорганизациидолговременногодолговременного храненияхранения

�� ПервыйПервый методметод:: ОрганизацияОрганизация можетможет предпочестьпредпочестьсохранятьсохранять возможностьвозможность перепроверятьперепроверять цифровыецифровыеподписиподписи

�� ВторойВторой методметод:: РегулярноеРегулярное переподписаниепереподписание документовдокументовуполномоченнымуполномоченным лицомлицом илиили органоморганом

�� ТретийТретий методметод:: СохраняетсяСохраняется документациядокументация, , подтверждающаяподтверждающая подлинностьподлинность документадокумента, , собраннаясобранная вововремявремя илиили вскоревскоре послепосле подписанияподписания документадокумента


КакиеКакие проблемыпроблемы могутмогут возникнутьвозникнуть

�� ВозможностьВозможность взломавзлома алгоритмаалгоритма цифровойцифровой подписиподписичерезчерез 1010--15 15 летлет ии компрометациикомпрометации ЭЦПЭЦП

�� НеобходимостьНеобходимость организоватьорганизовать долговременноедолговременноехраненияхранения нене толькотолько самогосамого документадокумента, , ноно ии всехвсехподдерживающихподдерживающих егоего документовдокументов нана протяжениипротяжениивсеговсего срокасрока храненияхранения

�� НеобходимостьНеобходимость сохранениясохранения, , причемпричем вв рабочемрабочемсостояниисостоянии всехвсех техническихтехнических ии программныхпрограммныхсредствсредств, , использовавшихсяиспользовавшихся припри подписанииподписаниидокументадокумента


ЗащитаЗащита нана случайслучай компрометациикомпрометацииЭЦПЭЦП вв будущембудущем

�� ДокументированиеДокументирование фактафакта успешнойуспешной проверкипроверкиподписиподписи вв периодпериод временивремени, , когдакогда онаона заведомозаведомо ненебылабыла взломанавзломана илиили скомпрометированаскомпрометирована

�� ПредоставлениеПредоставление доказательствдоказательств, , чточто документдокументпостояннопостоянно хранилсяхранился вв защищённойзащищённой системесистеме, , гарантирующейгарантирующей егоего целостностьцелостность ии аутентичностьаутентичность

�� ВедениеВедение учётаучёта документовдокументов, , подписанныхподписанных ЭЦПЭЦП. . НаНаоснованииосновании этихэтих данныхданных вв рядеряде случаевслучаев можноможно будетбудетдоказатьдоказать илиили опровергнутьопровергнуть подлинностьподлинность документовдокументов


ПоПо истеченииистечении срокасрока действиядействия сертификатовсертификатов, ,

««обычныеобычные»» приложенияприложения ведутведут себясебя вотвот тактак::

Microsoft Outlook

Adobe Acrobat


ДляДля проверкипроверки ««историческихисторических»» подписейподписейприходитсяприходится делатьделать заказныезаказные доработкидоработки

�� ФирмаФирма ««JohnsonJohnson &&JohnsonJohnson»» создаласоздаласобственнуюсобственную системусистемупроверкипроверки историческихисторическихподписейподписей (Outlook, (Outlook, Acrobat)Acrobat)

�� ДляДля этогоэтого созданосозданохранилищехранилище CRLCRL--списковсписковии сертификатовсертификатов

�� РешениеРешение прошлопрошлосертификациюсертификацию ууконтролирующегоконтролирующегоорганаоргана ((FDA)FDA)

Microsoft Outlook


ДляДля проверкипроверки ««историческихисторических»» подписейподписейприходитсяприходится делатьделать заказныезаказные доработкидоработки

Были созданы дополнения для Adobe Acrobat


ОпытОпыт фирмыфирмы ««Johnson & JohnsonJohnson & Johnson»»((свышесвыше 75 75 тыстыс. . действующихдействующих ЭЦПЭЦП))

�� ИспользованыИспользованы двадва решениярешения::

–– СозданаСоздана БДБД списковсписков отозванныхотозванных сертификатовсертификатов ииразработаныразработаны средствасредства проверкипроверки ЭЦПЭЦП, , созданныхсозданных вв недавнемнедавнемпрошломпрошлом

–– СозданСоздан долговременныйдолговременный архивархив ии службаслужба ««электронногоэлектронногонотариатанотариата»» длядля сохранениясохранения объектовобъектов PKI PKI дажедаже послепослеустареванияустаревания криптоалгоритмовкриптоалгоритмов

�� ««ВВ подобныхподобных возможностяхвозможностях ужеуже сегоднясегодня остроостро нуждаютсянуждаются

многиемногие компаниикомпании –– хотяхотя покапока ещееще нене осознаютосознают этогоэтого»»

Rich Rich GuidaGuida, Peter , Peter HesseHesse, Carl Wallace , Carl Wallace ««Digital Signatures Over TimeDigital Signatures Over Time»» ((презентацияпрезентация нана конференцииконференции RSARSA--2007), 2007), httphttp://geminisecurity.com/wp://geminisecurity.com/wp--content/uploads//ASECcontent/uploads//ASEC--302%20Guida,Hesse,Wallace.pdf302%20Guida,Hesse,Wallace.pdf


РекомендацииРекомендации FDA FDA -- АгентстваАгентства попо

контролюконтролю заза пищевымипищевыми продуктамипродуктами ии

лекарственнымилекарственными препаратамипрепаратами ((СШАСША))

�� ФормыФормы FDA (FDA (напримернапример, 356h) , 356h) ии документыдокументы должныдолжныбытьбыть подписаныподписаны. FDA . FDA допускаетдопускает следующиеследующие методыметодыподписанияподписания::

–– ОтсканированныеОтсканированные подписиподписи

–– ЭлектронныеЭлектронные цифровыецифровые подписиподписи ((рекомендуетсярекомендуетсяиспользоватьиспользовать средствасредства подписанияподписания Adobe Acrobat)Adobe Acrobat)

–– РасшифрованныеРасшифрованные ЭЦПЭЦП ((Flattened digital signaturesFlattened digital signatures))

�� АгентствоАгентство нене проверяетпроверяет электронныеэлектронные//цифровыецифровыеподписиподписи, , заза исключениемисключением случаевслучаев целевыхцелевыхпроверокпроверок, , охватывающихохватывающих подачуподачу документовдокументов

http://www.fda.gov/cder/regulatory/ersr/Gatewayhttp://www.fda.gov/cder/regulatory/ersr/Gateway--andand--ValidationValidation--Duggan.pdfDuggan.pdfоктябрьоктябрь 2008 2008 годагода


ПримерПример допускаемойдопускаемой FDAFDA««расшифрованнойрасшифрованной ЭЦПЭЦП»»

�� ««РасшифрованнаяРасшифрованная»» ЭЦПЭЦП должнадолжна содержатьсодержать1.1. ИмяИмя подписантаподписанта

2.2. ДатуДату ии времявремя подписанияподписания

3.3. НамерениеНамерениеhttphttp://www.fda.gov/esg/userguide/webhelp/Digital_Signatures.htm://www.fda.gov/esg/userguide/webhelp/Digital_Signatures.htm


ИнтересныйИнтересный подходподход ккархивацииархивации документовдокументов сс ЭЦПЭЦП, ,

2009 2009 гг..

�� httphttp://www.evfrat.ru/file/docs/evfrat_ecp.pdf://www.evfrat.ru/file/docs/evfrat_ecp.pdf


ЭЦПЭЦП -- полезноеполезное средствосредство длядляоперативнойоперативной работыработы, , ноно::

�� СоздаетСоздает массумассу проблемпроблем припри необходимостинеобходимостидолговременногодолговременного храненияхранения документовдокументов

�� СуществующаяСуществующая законодательнозаконодательно--нормативнаянормативная базабаза ненесодержитсодержит нормнорм, , допускающихдопускающих переподписаниепереподписаниедокументовдокументов

�� СуществующаяСуществующая законодательнозаконодательно--нормативнаянормативная базабаза ненесодержитсодержит нормнорм, , необходимыхнеобходимых длядля работыработы электронныхэлектронныхархивовархивов

�� ПроблемаПроблема долговременногодолговременного храненияхранения документовдокументов, , подписанныхподписанных ЭЦПЭЦП дажедаже болееболее актуальнаактуальна, , чемчем проблемапроблемаинтероперабельностиинтероперабельности, , ии еюею нужнонужно заниматьсязаниматься


Вопросы?

Business

Проблемы долговременного хранения действующих и исторических документов, подписанных электронно-цифровой