какие способы хранения ключа электронной подписи допустимы

Как и где можно хранить электронную подпись

Защищенные носители для квалифицированной электронной подписи

Токен (eToken, Рутокен и др.)

Надежный и удобный носитель в виде USB-брелока. Подходит для большинства применений, кроме ЕГАИС. С его помощью можно отправить отчет в налоговую или Росстат, подписать договор и участвовать в электронных торгах. Чтобы подписывать документы с помощью токена, на компьютер нужно установить средство криптографической защиты информации (СКЗИ).

Токен со встроенным СКЗИ (Рутокен ЭЦП, Рутокен ЭЦП 2.0, JaCarta PKI/ГОСТ/SE)

Носитель, который похож на обычный токен, но обладает встроенным СКЗИ. Используя электронную подпись на таком носителе, вы сможете подписывать документы на любом компьютере без покупки дополнительного ПО. Рутокен ЭЦП подходит для дистанционного банковского обслуживания, работы на госпорталах, сдачи отчетности и документооборота. Он не предназначен для работы с торговыми площадками и ЕГАИС. Рутокен ЭЦП 2.0, как и JaCarta PKI/ГОСТ/SE, используются только для работы с ЕГАИС.

Дополнительная защита электронной подписи

Доступ к подписи по пин-коду

На каждом съемном носителе электронной подписи установлен пин-код — комбинация символов, после ввода которой вы получаете доступ к подписи. Вводится пин-код каждый раз при подписании документа или любом другом обращении к ЭП. По умолчанию код стандартный, но вы можете убрать его совсем или поменять на свой. Мы подготовили инструкцию по смене для Рутокен, eToken, JaCarta. Если нужно, обратитесь в УЦ, и наш специалист поможет сменить пин-код.

Защита подписи от копирования

Ключи электронной подписи по умолчанию разрешено копировать на другие носители. Если хотите, вы можете включить защиту от копирования. Для этого при оформлении заявки сообщите менеджеру, что вам нужен неэкспортируемый ключ электронной подписи. В этом случае скопировать подпись с носителя будет невозможно, так как при любой попытке экспорта файлов система будет выдавать ошибку.

Незащищенные носители для квалифицированной электронной подписи

Теоретически ЭП можно записать на любой съемный носитель. Но файлы на USB-диске, дискете или другом носителе никак не защищены. Если злоумышленники их украдут и расшифруют, то смогут подписывать любые документы. Поэтому мы не рекомендуем хранить файлы электронной подписи на подобных носителях.

Запись ЭП в реестр ноутбука — популярный, но тоже небезопасный вариант хранения подписи. Любой, кто получит доступ к системе, сможет подписывать документы или создать копию ключа. Если понадобится переехать на другое рабочее место, то для переноса ключа электронной подписи понадобится помощь квалифицированного специалиста. ЭП можно и вовсе потерять, если с компьютером что-то случится.

О чем нужно помнить при хранении квалифицированной ЭЦП

Один носитель — для одного сотрудника
Если записать ЭП разных сотрудников на один носитель, то нарушится конфиденциальность закрытых ключей. И по закону все подписи будут считаться недействительными.

Нельзя передавать свою ЭП другому человеку
Электронная подпись — это аналог собственноручной. Она служит идентификатором владельца. Если отдать ЭП другому человеку, а он подпишет документ, с которым вы не согласны, то оспорить это решение не удастся.

Нельзя хранить ЭП в открытом доступе
Квалифицированную электронную подпись нужно хранить в сейфе или другом защищенном месте. Носитель, который просто лежит на столе, легко украсть, чтобы подписать пару «лишних» документов. А когда вы это заметите, то даже в суде не сможете доказать свою непричастность.

При смене реквизитов меняйте и ЭП
Компания изменила свое название, владелец ЭП уволился или поменял должность? Меняйте подпись. Не затягивайте с этим, чтобы не столкнуться с пачкой платежек, подписанных неизвестно кем, и не нарушать п. 1 ст. 2 Федерального закона №63-ФЗ «Об электронной подписи», требующий обеспечить точную идентификацию владельца ЭП. Для замены электронной подписи обратитесь к менеджеру, который ее выдавал. Или свяжитесь с удостоверяющим центром «Тензор» удобным для вас способом.

Вовремя продлевайте ЭП
Если не продлить электронную подпись, она станет недействительной. И вы не сможете подписать ни один электронный документ, пока не получите новую ЭП в удостоверяющем центре. О том, как продлить электронную подпись, читайте в нашей статье.

Защитите рабочее место
Антивирусное ПО защищает вас от любых неприятных сюрпризов. Вирусы способны имитировать поведение владельца подписи, чтобы подписать несколько нужных злоумышленнику документов. И доказать, что подпись ставили не вы, будет тяжело.

Не храните пароли на бумажках
Это правило — основа компьютерной безопасности. Оно относится не только к электронным подписям, но и ко всем другим сферам. Пароль от токена, заботливо записанный на стикере возле компьютера, несказанно обрадует злоумышленника.

Источник

Как и где хранить сертификат электронной подписи

Безопасность и конфиденциальность использования ключа электронной подписи зависит от того, где вы будете его хранить. Фактически электронный сертификат можно записать на любой носитель (флешки, диски, токены) или хранить на компьютере в реестре Windows. Способ хранения выбирается в момент генерации подписи, но после большинство подписей можно самостоятельно пересохранить на другой носитель.

Самый безопасный и удобный способ, который рекомендуют удостоверяющие центры, — Токен (Token). Это USB-носитель, защищенный пин-кодом. Если вы используете подпись при работе на разных компьютерах, без него не обойтись. На одном Токене можно хранить сразу несколько подписей, но пароль для них будет общим. Поэтому не стоит использовать такой носитель для подписей разных владельцев.

Даже при краже Токена получить доступ к подписи невозможно, а попытки подобрать пин-код заблокируют Токен после трех неудачных вводов.

Если вы используете цифровую подпись только на одном компьютере, ее можно записать в реестр Windows. Главное — настроить использование по паролю, иначе любой сможет скомпрометировать вашу подпись, а доказать подделку будет очень сложно.

Флеш-карты и другие неспециализированные носители для хранения ЭП лучше не использовать — они дешевле, но их просто взломать.

Если вы потеряете носитель с электронным ключом — сразу обратитесь в удостоверяющий центр и аннулируйте подпись. То же нужно сделать, если сотрудник, который подписывал ваши электронные документы своей подписью, уволился.

Самый перспективный способ хранения электронных сертификатов — облачные технологии. В этом случае подпись находится на защищенном сервере удостоверяющего центра. Ее не потерять, и она привязана к личному кабинету пользователя системы электронного документооборота или электронной отчетности. А факт подписания дополнительно подтверждается отправкой кода на телефон владельца ключа. Подписывать документы облачной подписью можно с любого устройства, даже с телефона. Госорганы пока не признают легитимность облачной подписи, но для внутреннего документооборота компании она подходит.

Приобрести Токен для хранения и оформить электронную подпись для торгов, отчетности, ЕГАИС или документооборота можно в Удостоверяющем центре Такском. Представительства компании есть практически в каждом городе России, поэтому изготовление ключа займет у вас чуть больше одного часа.

Источник

Журналы учета электронных подписей: как вести и хранить

Статья будет полезна, если в вашей организации есть хотя бы один ключ электронной подписи — тогда вам, скорее всего, нужно вести журналы учета ключей подписи. Кто обязан это делать и как, расскажем в статье.

Что такое журналы учета ключей ЭП

Журналы учета средств криптографической защиты информации (СКЗИ) или ключей электронной подписи (ЭП или ЭЦП) помогают следить за перемещением средств криптозащиты и ключей подписи в организации. В них отражается кто получил ключ подписи, сдал ли его при переходе на другую должность или увольнении, знаком ли сотрудник с правилами работы со средствами электронной подписи. Журналы нужны предприятиям, которые используют ЭП и СКЗИ, например, КриптоПро CSP или ViPNet CSP.

Кому нужно вести журналы учета ключей ЭП

Лицензиаты ФСБ

Эти компании оказывают платные услуги, связанные с использованием СКЗИ: их разработкой, распространением, установкой, обслуживанием и т.д. Это могут быть удостоверяющие центры, которые выпускают сертификат электронных подписей, или, например, дистрибьюторы СКЗИ.

К лицензиатам предъявляется самый большой список требований по соблюдению инструкции. Они должны создать у себя орган криптографической защиты информации, разработать свой регламент по соблюдению инструкции и вести журналы учета ключей ЭП и СКЗИ. Орган криптозащиты контролирует, как организация соблюдает инструкцию из приказа ФАПСИ №152.

Организации, которые не являются лицензиатами ФСБ

Обязательно соблюдать приказ ФАПСИ №152 и вести журналы учета ключей ЭП должны предприятия, которые используют СКЗИ для защиты конфиденциальной информации, если такая информация по закону подлежит защите — например, для персональных данных или при передаче отчетности. В приказе их называют «обладатели конфиденциальной информации».

Если организации используют СКЗИ для защиты информации, не подлежащей обязательной защите, то требования инструкции ФАПСИ носят рекомендательный характер. Например, это касается компании, которая приобрела сертификат ЭП и средства криптозащиты только для внутреннего пользования — подписания внутренних документов, шифрования результатов своей работы.

Организациям, которые будут соблюдать требования приказа ФАПСИ №152, нужно создать регламент хранения и использования электронных подписей на основе утвержденной приказом инструкции и вести журналы учета. Сделать это можно одним из двух способов:

Какие журналы учета вести

Инструкция устанавливает два типа журналов:

Способ заполнения журнала отличается в зависимости от типа СКЗИ, от того кто ведет журнал: обладатель ключей ЭП или орган криптографической защиты. Подробно детали заполнения описаны в приказе ФАПСИ № 152.

Форма журнала поэкземплярного учета для органа криптографической защиты — для лицензиатов ФCБ:

Форма журнала поэкземплярного учета для обладателей конфиденциальной информации:

Типовая форма технического (аппаратного) журнала:

Чтобы скачать формы для заполнения журналов, перейдите по ссылке.

Что такое порядок использования и хранения ключей ЭП и СКЗИ

Кроме журналов учета инструкция также рекомендует организациям разработать и соблюдать свой регламент хранения и использования ключей ЭП. Для регламента нет единой типовой формы, поэтому компания может разработать документ самостоятельно. Для этого нужно изучить инструкцию и адаптировать требования именно под свою компанию.

Несмотря на то, что регламент в разных компаниях будет отличаться, есть общие требования — регламент должен указывать правила, по которым в организации:

Что будет, если не соблюдать инструкцию и не вести журналы учета

Источник

Как правильно хранить ЭЦП

Российское законодательство гласит о том, что держатель электронной цифровой подписи не имеет права придавать огласке информацию, касающуюся ключа ЭЦП. Существует ряд правил, разъясняющих, как нужно хранить электронную цифровую подпись.

Прежде всего, инструмент для заверки электронных документов запрещено передавать в руки третьим лицам во избежание преступного использования и подделки подписываемых файлов.

Все дело в том, что держатель ЭЦП не сможет в дальнейшем отказаться от сведений, содержащихся в завизированном документе, даже если он не подписывал их лично. На практике предприятия назначают держателями ЭЦП своих руководителей, а в случае привлечения третьих лиц необходим приказ об ответственном лице.

При выдаче сертификата ключа представители удостоверяющего центра подробно разъяснят клиенту, как хранить ЭЦП в организации, чтобы подпись не приобрела статус скомпрометированной, но в любом случае руководство предприятия устанавливает круг лиц, имеющих доступ к электронному документообороту, что подтверждается соответствующими внутренними распоряжениями.

На чем можно хранить ЭЦП?

Исходя из вышесказанного, становится понятно, что место хранения сертификата ключа должно быть закрыто для постороннего доступа. В то время как открытый ключ доступен для многих, его закрытая часть надежно зашифрована и хранится в регистрационной базе персональных данных.

Хотя закон не требует определенного места хранения ЭЦП после ее оформления, зато четко прописаны правила неразглашения конфиденциальных данных и назначения ответственных лиц. В большинстве случаев пользователи хранят данные на жестком диске компьютера, при этом к серверу должна быть применена надежная система защиты от несанкционированного доступа. Также владелец должен закрыть паролем рабочий ПК.

Если вы хотите знать, как правильно хранить ЭЦП, то ответ будет таким: для подобных целей лучше всего использовать специализированные хранилища, в роли которых выступают носители сертификата ключа электронной цифровой подписи Рутокен и е-токен, выполненные в виде привычной флешки.

Доступ к таким ресурсам осуществляется исключительно путем введения Пин-кода. Подобные хранилища отличаются компактными габаритами, поэтому с их переноской и хранением не возникнет никаких трудностей и неудобств.

Помимо прочего наши клиенты, ведущие электронный документооборот с контрагентами, задаются вопросом, как хранить документы с электронной подписью, ведь с каждым годом оборудование претерпевает существенные изменения, совершенствуется и принимает новые формы, поэтому возникает риск, что по истечении пары лет носитель, на котором хранится электронный документ, просто не на чем будет прочесть.

Во избежание подобных ситуаций рекомендуем периодически переписывать информацию со старых источников на новые, более современные. Если говорить о ПО, то его разработчики, как правило, поддерживают формат предыдущих версий при разработке новых софтов, а значит, проблем с тем, как хранить документы, подписанные ЭЦП, не возникнет.

Источник

Как хранить юридически значимые электронные документы?

Переходя на электронный документооборот с контрагентами, организации нужно подумать о том, как в дальнейшем вести архив. На каких носителях хранить документы в электронном виде и как подтвердить их юридическую значимость?

В каком формате и на каких носителях хранить документы

В чем проблема?

Различные бухгалтерские, хозяйственные и кадровые документы организации должны хранить от несколько лет до нескольких десятилетий. Например, бухгалтерские первичные документы придется хранить пять лет после года, в котором их в последний раз использовали для бухгалтерской отчетности.

Электронный документ должен быть доступен для чтения и через несколько лет после создания. Проблема в том, что компьютерная техника и программное обеспечение устаревают, а у редакторов и ридеров появляются новые версии.

Велика вероятность, что документ, который создан несколько лет назад, невозможно будет прочитать из-за отсутствия нужного устройства или программы. Например, сегодня сложно прочитать информацию с 3,5 дюймовой дискеты, хотя 10 лет назад это был распространенный носитель информации.

Хранить документ нужно в формате, в котором он был создан. Если поменять формат, электронная подпись не будет соответствовать документу. Соответственно, доказать его подлинность будет уже невозможно.

Как решить?

Решить эту проблему поможет периодическая перезапись информации с устаревших носителей на более современные. Что касается программного обеспечения, все крупные разработчики при разработке новых версий своих продуктов поддерживают форматы предыдущих версий.

Если обмен велся через сервис оператора ЭДО, то документы будут доступны в любой момент. Крупные операторы бессрочно хранят документы в «облаке» и позволяют просматривать их, выгружать и получать данные о сертификате электронной подписи (ЭЦП), с помощью которого они были подписаны. Нужен только доступ в интернет.

Как подтвердить юридическую значимость документов

В чем проблема?

Электронная подпись используется для определения лица, подписывающего документ, и защищает документа от изменений после подписания. Но сертификат электронной подписи имеет срок действия — максимум 15 месяцев, а подтвердить действительность электронной подписи может потребоваться через несколько лет.

Как решить?

Эту проблему решает сервис метки времени, который предлагают удостоверяющие центры и некоторые информационные системы. К электронной подписи в момент ее создания добавляется дополнительный атрибут — штамп, или метка времени.

Также сервис прикрепляет к подписанному документу список отозванных на этот момент сертификатов. Подписывая список электронной подписью, сервис подтверждает, что подпись является действительной на момент подписания.

Подлинность подписи в этом случае можно будет подтвердить и после окончания срока действия самого сертификата. Электронная подпись с меткой времени называется усовершенствованной. Такая подпись не только упрощает архивное хранение электронных документов, но и является условием для электронного документооборота с информационными системами некоторых государственных служб (например, ГИС ГМП, ФТС) и электронными торговыми площадками (Фабрикант, ТЭК-Торг).

Источник