Внедрение ЭЦП и системы электронного документооборота
19 сентября 2006
Рубрика: Обзоры и мнения.
Автор: Умид Исраилов.

pic
Об истории электронной подписи сказать особо нечего, что, впрочем, и неудивительно, ведь людям издавна хватало печати и росчерка пером, так что на ум приходит лишь папирус с сургучной печатью, и потому ограничимся современностью.

Помимо уже привычных задач по защите передаваемой информации от прочтения и искажения, электронный документооборот (ЭДО) породил и новые задачи, ранее решавшиеся только в «бумажных» технологиях — к примеру, формирование подписи под документом, получение уведомления об его вручении. Теперь эти задачи стало необходимо решать и в рамках ЭДО.

Представьте. У вас намечается выгодный контракт, но чтобы его получить, все документы необходимо представить раньше ваших конкурентов. Почта работает не быстро. Факс? Можно, но факсимильная копия не является юридическим документом. Послать человека в командировку? Может опоздать. Электронная почта доставит ваши документы за секунды. Надо лишь придать им юридическую силу и обеспечить безопасность.

Пользователю компьютера нередко приходится сталкиваться с проблемами защиты информации. Часто — в личных целях, когда человек не хочет, чтобы кто-то воспользовался его конфиденциальной информацией. Это могут быть и файлы, и пароли. Какой способ изберет он для обеспечения защиты — его право. Иное дело, когда речь идет о защите информации в государственных организациях, подтверждении документов электронной цифровой подписью (ЭЦП).

С помощью технологии ЭЦП становится возможным заключать сделки в Интернете, участвовать в тендерах и аукционах on-line, подписывать и передавать документы, заполнять декларации.

Именно поэтому ЭДО вводится в обращение во многих странах, а вопросы, связанные с ЭЦП, регулируются на государственном уровне соответствующими законами.
В соответствии с законом Республики Узбекистан «Об электронной цифровой подписи», принятым 11 декабря 2003 года и регламентирующим вопросы применения ЭЦП:

Электронная цифровая подпись — подпись в электронном документе, полученная в результате специальных преобразований информации данного электронного документа с использованием закрытого ключа электронной цифровой подписи и позволяющая при помощи открытого ключа электронной цифровой подписи установить отсутствие искажения информации в электронном документе и идентифицировать владельца закрытого ключа электронной цифровой подписи.

Коротко об ЭЦП — это подпись в электронном документе, позволяющая установить отсутствие искажения информации в электронном документе и идентифицировать владельца ЭЦП.

Способ, позволяющий шифровать сообщения, обмениваясь ключами по открытым каналам связи, появился в середине 70-х годов прошлого столетия, а в начале 80-х первый реализующий его алгоритм — RSA (Rivest — Shamir — Adleman).

Теперь пользователь может сгенерировать два связанных между собой ключа — ключевую пару. Причем один из них — закрытый ключ (англ. private key) — должен браться абсолютно случайно, например, с датчика случайных чисел, а другой — открытый (англ. public key) — вычисляться из закрытого таким образом, чтобы получить второй из первого было невозможно.

Открытый ключ по несекретным каналам рассылается всем, с кем пользователь хотел бы обмениваться сообщениями. Зная открытый ключ пользователя, можно зашифровать адресованное ему сообщение, но вот расшифровать его позволяет лишь вторая часть ключевой пары. При этом открытый ключ не дает «практической» возможности вычислить закрытый: такая задача, хоть и разрешима в принципе, но при достаточно большом размере ключа требует многих лет машинного времени.

Для обмена сообщениями с ЭЦП теоретически нужно проделать следующее. Каждый из пользователей должен иметь свои закрытый и открытый ключи:

• закрытый ключ остается у каждого пользователя, а открытыми обмениваются
• закрытым ключом подписывается письмо, а затем информация отправляется вместе с подписью.

ЭЦП представляет собой последовательность нескольких цифр. На первый взгляд она выглядит хаотично, на самом же деле вычисляется по определенной формуле.
Получив письмо, снабженное ЭЦП, адресат с помощью открытого ключа партнера проверяет ее подлинность. Результат проверки — один из ответов: «верна — неверна». ЭЦП подтверждает достоверность сообщения. Если в него в процессе пересылки были внесены какие-либо изменения, пусть даже совсем незначительные, то подмена обнаружится.

Не менее важное назначение ЭЦП — подтверждение авторства сообщения. В подпись, стоящую под сообщением или документом, копируются данные из секретного ключа и, прежде всего, сведения о его хозяине, что позволяет установить авторство. Значит, не потребуется запоминать, кто именно прислал открытый ключ, при проверке показавший, что ЭЦП верна, и это очень важно, ведь реально может быть не одна сотня открытых ключей. (Рис. 1)

pic

Как и любые криптографические алгоритмы с открытым ключом, ЭЦП удобны для распределения ключей «на лету», что особенно хорошо в Интернете — пользователь может послать свой открытый ключ любому адресату непосредственно перед отправкой ему подписанного сообщения или, что еще проще, разместить его на каком-либо ресурсе в Интернете.

Способ борьбы с подменой открытых ключей — это их сертификация (подтверждение подлинности ЭЦП).

В соответствии с законом об электронной цифровой подписи эта функция возлагается на Уполномоченный орган и центры регистрации ключей электронных цифровых подписей (далее — центры регистрации).

В соответствии с законодательством Уполномоченный орган:
• осуществляет государственную регистрацию центров регистрации ключей ЭЦП (далее — центр регистрации)
• ведет единый государственный реестр сертификатов ключей ЭЦП уполномоченных лиц центров регистрации и обеспечивает свободный доступ к нему юридических и физических лиц
• выдает сертификаты ключей ЭЦП уполномоченным лицам центров регистрации и осуществляет по обращениям юридических и физических лиц подтверждение подлинности ЭЦП уполномоченных лиц центров регистрации.

Центр регистрации:

• создает закрытые и открытые ключи ЭЦП, выдает сертификаты ключей ЭЦП юридическим и физическим лицам в форме электронных документов и в форме документов на бумажных носителях
• обеспечивает защиту закрытого ключа владельца ЭЦП
• ведет реестр сертификатов ключей ЭЦП, обеспечивает своевременное его обновление и возможность свободного доступа к нему юридических и физических лиц
• приостанавливает и возобновляет действие сертификатов ключей ЭЦП, а также аннулирует их
• обеспечивает по обращениям юридических и физических лиц выдачу копий сертификатов ключей ЭЦП, а также свободный доступ к данным о приостановленных и аннулированных сертификатах ключей ЭЦП
• осуществляет по обращениям юридических и физических лиц подтверждение подлинности ЭЦП в электронных документах.

В целях обеспечения организации деятельности центров регистрации на территории Республики Узбекистан в соответствии с законодательством правительством принято постановление от 26 сентября 2005 года № 215, в соответствии с которым Уполномоченным органом (Органом регистрации центров регистрации ключей ЭЦП) определено Узбекское агентство связи и информатизации (далее — УзАСИ).

Во исполнение данного решения правительства приказом УзАСИ от 10 октября 2005 г. № 241 Центр научно-технических и маркетинговых исследований (далее — ЦНТМИ) определен исполнительным органом УзАСИ в области использования электронных цифровых подписей.

Первым Центром регистрации ключей ЭЦП в сфере связи и информатизации зарегистрирован ЦНТМИ.

Для создания органа регистрации и Центра регистрации ключей ЭЦП в сфере связи и информатизации ЦНТМИ произведено:

• оснащение органа регистрации и центра регистрации
• разработка нормативных документов, необходимых для осуществления деятельности органа регистрации и центра регистрации.

Для выполнения органом регистрации своих функций утвержден УзАСИ от 28 декабря 2005г. «Регламент работы органа регистрации центров регистрации ключей ЭЦП по приему и рассмотрению документов на государственную регистрацию центров регистрации ключей ЭЦП».

Кроме этого, ЦНТМИ ведется разработка ряда нормативно-правовых актов, необходимых для организации и осуществления деятельности центра регистрации ключей ЭЦП.

Для установления требований, норм и условий по использованию ЭЦП разработаны, утверждены и зарегистрированы государственные стандарты: O‘zDST 1092:2005.

«Процессы формирования и проверки электронной цифровой подписи»; O’zDST 1105:2006. «Алгоритм шифрования данных»; O’zDST 1106:2006. «Функция хэширования».

pic

В целях реализации в практику указанных государственных стандартов ЦНТМИ совместно с местной компанией IntSoft Servis разработано и установлено программное обеспечение, позволяющее выдавать сертификаты ключей на основе отечественных стандартов криптографической защиты информации. Данные сертификаты предназначены для системы защищенной электронной почты E-XAT, а также для других систем, поддерживающих отечественные стандарты. В системе внедрен ряд механизмов обеспечения конфиденциальности и целостности информации. Для аутентификации пользователей используются, кроме традиционных логинов и паролей, также секретные ключи пользователей. Это исключает возможность подключиться к системе злоумышленникам.

На рисунке 3 приведена схематичная структура системы защищенной электронной почты (ЗЭП).

pic

Система имеет простой, интуитивно понятный трехъязычный интерфейс.
Кроме того, вся исходящая почта шифруется и на каждое сообщение вставляется ЭЦП. В E-XAT также внедрена система обмена ключами, что позволяет отказаться от хранения всех секретных ключей партнеров. В связи с автоматизацией многих функций система легко управляема. Достаточно нажать только одну кнопку, и все процессы, связанные с запросом сертификата партнера, созданием общего секретного ключа, шифрованием, вставлением подписи и отправкой почты, происходят автоматически.

Для построения органа регистрации и центра регистрации использованы специализированный программно-аппаратный комплекс RSA Keon, а также программное обеспечение для центра регистрации и защищенной электронной почты на основе отечественных стандартов. В создании органа регистрации и центра регистрации ЦНТМИ участвовали российская компания «Техносерв А/С» и местная компания IntSoft Servis.

Технически Орган регистрации размещен в УзАСИ, а центр регистрации — в ЦНТМИ. Для взаимодействия органа регистрации и центра регистрации между УзАСИ и ЦНТМИ организован защищенный канал связи и обеспечен сетевой доступ пользователей через Интернет.

Пару лет назад даже профессионалы говорили о системах электронного документооборота (СЭД) как о будущем. Но жизнь оказалась стремительнее таких представлений. Рост объемов информации, необходимых для принятия решений, приводит к резкому увеличению числа документов. При этом традиционные методы работы с последними становятся малоэффективными.

На помощь приходят СЭД, которые позволяют создавать и обрабатывать документы электронными средствами. СЭД уже активно применяются на крупных и средних предприятиях, в государственных структурах, и, что самое главное, интерес к ним непрерывно растет. Однако СЭД без ЭЦП не будет являться системой, полностью обеспечивающей все функции и элементы оборота документов.
Зачем нужны СЭД?

В любой организации документооборот либо есть, либо его нет. Если организация может существовать в условиях неформального управления то, очевидно, никакого документооборота в ней нет.

pic

Если же вводится определенный формализм в управлении компанией и в организации бизнес-процессов, то рано или поздно возникает необходимость хотя бы часть управленческих механизмов переводить на упорядоченную документарную основу (например, собирать визы в договоре, регистрировать входящие и исходящие письма, чтобы потом можно было найти концы, и т. д.). В результате возникает документооборот. Если им не управлять, то через некоторое время начинаются проблемы. Например, теряются документы, а потом, когда они уже не нужны, обнаруживаются на самом видном месте. Ситуации, знакомые практически всем.
В рамках СЭД электронные версии документов могут существовать наряду с бумажными либо вместо них. Система, осуществляющая электронный документооборот, должна обеспечивать возможность легкого перевода документов из бумажной в электронную форму и быть оснащена средствами защиты документов (криптография, ЭЦП), согласно требованиям законодательства.

Обычно путают два термина: «делопроизводство» и «документооборот». Часто можно услышать фразу «это не система документооборота, а система делопроизводства». Или наоборот. Делопроизводство — это термин, применяемый в конторской практике для обозначения формального набора правил работы с документами. Существуют СЭД, которые можно настроить на необходимые правила делопроизводства. Но есть системы, которые изначально ставили своей целью поддержку именно этих правил и в этом смысле не обладают более общими функциями в достаточной мере для того, чтобы их можно было назвать системами документооборота.

На рисунке 5 показано распределение общего времени, затрачиваемого на обработку документа в системах бумажного и безбумажного (электронного) документооборота. Из рисунка видно, что непосредственно на работу с содержимым документа при бумажном документообороте затрачивается всего лишь 8% общего времени, в то время как при электронном документообороте этот показатель составляет 65%.

pic

Когда компания ставит перед собой все более сложные задачи и вдобавок растет в размерах, средств хранения информации, обеспечения взаимодействия и контроля выполнения поручений начинает не хватать. Возникает вопрос внедрения электронной системы.

В процессе автоматизации документооборота можно условно выделить четыре стадии (рисунок 6): бумажный документооборот, бумажный документооборот с использованием автономных ПК, смешанный и безбумажный документооборот.

pic

Бумажный документооборот (1) означает, что все этапы документ проходит в бумажной форме. Еще полтора десятка лет назад данный вид документооборота был доминирующим. Для регистрации бумажных документов использовались большие журналы или листы большого формата, в которые вписывались вновь зарегистрированные документы. По истечении определенного срока журналы и листы сдавались в архив.

Когда появились компьютеры, они заменили журналы и листы, положив начало бумажному документообороту с использованием автономных ПК.

Бумажный документооборот с использованием автономных ПК (2) означает, что ПК используется для подготовки и регистрации документов. Собственно, на данном этапе и возникает понятие электронного документа, то есть такого документа, который хранится исключительно в компьютере, или, как говорят, «на машинных носителях». Однако преимущества электронного документа при отсутствии локальной сети могут быть реализованы лишь в незначительной степени. Передача, согласование и утверждение документов на этой стадии осуществляются в бумажном виде.

Смешанный документооборот (3) предполагает, что компьютеры, объединенные в локальную сеть, служат для подготовки, передачи и хранения документов, однако юридическую силу документ имеет только в бумажном виде. Согласование и утверждение финансовых и юридических документов осуществляется в бумажном виде. Типичная схема такого документооборота показана на рисунке 7.

pic

Подготовка проекта документа ведется в электронном виде (пункт 1), затем документ поступает секретарю, который регистрирует его, распечатывает и передает руководителю на утверждение (пункт 2). Руководитель вносит правку и отдает документ исполнителю на доработку (пункт 3). После того как документ утвержден, он рассылается по локальной сети всем исполнителям (пункт 4).

Безбумажный документооборот (4) означает, что все операции с документами производятся в электронном виде.

Потребность в эффективном управлении электронными документами привела к созданию СЭД в структуре Узбекского агентства связи и информатизации.
Принимая во внимание задачи, которые должна выполнять СЭД, первоначально внедрена продукция лидера в области решений для корпоративного документооборота компании IBM — Lotus Domino, отвечающей требованиям функциональности, интегрируемости и защищенности документооборота в сети.
IBM Lotus Domino обладает следующими достоинствами: практическая неограниченность размера электронного архива; встроенная поддержка полнотекстовой индексации; поддержка версий и подверсий документов; возможность хранения документов в архиве в исходном формате; возможность ведения журналов действий пользователей; имеет развитые среды разработки приложений.

Система состоит из следующих логических компонентов (которые могут располагаться как на одном, так и на нескольких серверах): хранилища атрибутов документов (карточек); хранилища документов; сервисы полнотекстовой индексации.

Конечной целью этого процесса является организация СЭД как в каждом отдельном ведомстве, так и между ведомствами. Второе реализовать гораздо сложнее. То же самое можно сказать и про документооборот между компаниями и госструктурами. Это в США, Канаде и Сингапуре граждане и компании могут подавать налоговые декларации и отчитываться о своей деятельности по электронной почте.
В нашей республике также эффективно начали реализовывать проект электронного документооборота с элементами ЭЦП в налоговых органах. В настоящее время создана система дистанционной сдачи налоговой отчетности и уже подключены к ней более 5000 хозяйствующих субъектов. Реализация данного проекта позволит юридическим лицам сэкономить время и средства на сдачу налоговой отчетности и повысить эффективность, оперативность работы работников налоговых органов и самой системы приема отчетности.

В настоящее время ЦНТМИ и IntSoft Servis разрабатывают СЭД, поддерживающей отечественные стандарты криптографической защиты информации.
По оценкам аналитиков, важность внедрения эффективных СЭД для успешного ведения бизнеса очень велика, и в обозримом будущем их значимость будет только усиливаться.

Эффект от реализации СЭД между организациями в масштабе города, области и всей республики огромен. С появлением СЭД внутри компаний бумажный документооборот между организациями выглядит анахронизмом, требующим огромных затрат времени и ресурсов.

Выигрывают не те, кто пытается игнорировать и остановить прогресс в расчете на текущую конъюнктуру, а те, кто пытается воспользоваться его плодами. Как только появится что-то вроде «электронной бумаги», никакие производители принтеров ее не остановят.

Orphus system
В Telegram
В Одноклассники
ВКонтакте