Поправки в закон об электронной подписи: облачная ЭП, цифровой нотариус и выдача сертификатов по новым правилам — Бухонлайн

Ты «гуру сертификации» и профессиональный мотиватор для многих коллег. в чем твой секрет? как управлять своим рабочим временем, чтобы сбалансировать проектную и непроектную деятельность?

Навыки тайм-менеджмента и планирования играют решающую роль, и это не так сложно, как вы думаете. С этим справится любой. Начните со стратегического планирования, а затем откалибруйте шаги. Правило простое: если вы не ставите цели и не стремитесь к их достижению, вы рискуете потратить месяцы и даже годы на второстепенные задачи.

Также очень выгодно «соответствовать» ритму программы, в которой вы участвуете. Например, в одно время мне потребовалось 9 месяцев, чтобы завершить свои программы сертификации Azure, GCP и Kubernetes — я сдавал экзамены каждые шесть недель.

Подводя итог, можно сказать, что успешная сдача сертификационного экзамена состоит из трех составляющих, независимо от предмета:

Например, на подготовку к экзамену по Azure было выделено всего 4 недели. Соответственно, я разделил свою рабочую неделю на часы, которые мог посвятить подготовке. Обычно у меня было два часа в день до и после работы над проектом плюс несколько часов в выходные. Иногда я даже учился в рабочее время, если у меня не было срочных задач.

Тем, кто все ещё сомневается, с чего начать изучение облачных технологий, я бы порекомендовал начать с основных принципов работы с облаком, которые описывают, что такое облако и ключевые принципы работы с ним. Затем вы можете решить, какое облако лучше соответствует вашим амбициям.

Двигайтесь вперед и никогда не останавливайтесь на пути к своей мечте!

Почему ты решил получить сертификат google cloud?

На то было несколько причин. У меня было желание попасть на проект с облачными технологиями и профессионально развиваться в этом стеке. Какое-то время я был на бенче и искал новые проекты, я просматривал открытые вакансии в EPAM и понял, что получить новую роль на проекте мне поможет опыт в облачных технологиях.

Затем я прочитал историю успеха о нашем коллеге, который получил ряд профессиональных сертификатов GCP, благодаря чему попал на новый интересный проект. Думаю, это послужило толчком для меня, я подал заявку на ещё одну сертификацию GCP и получил сертификат GCP Cloud Engineer (Associate).

Но это еще не конец истории. Поскольку я был на «волне самообразования», я также решил изучить Kubernetes и, наконец, сдал экзамен на Kubernetes Application Developer (CKAD).

Ты присоединился к epam anywhere в качестве devops инженера. почему ты решил развиваться в облачных технологиях?

Как и многие коллеги из моей области, я начал свою карьеру в ИТ в качестве системного администратора, а затем постепенно переходил к методологиям DevOps.

Работая над одним из предыдущих проектов, я заинтересовался облачными технологиями и занялся самообразованием. Я понял, что изучение облачных технологий и всех связанных с ними услуг может стать правильным следующим шагом для моего карьерного роста. И эта экспертиза, я думаю, будет востребована в ИТ-индустрии ещё долгое время. Поэтому я старался использовать каждую возможность, чтобы глубоко погрузиться в облачные технологии.

Когда я присоединился к EPAM Anywhere, у меня был небольшой опыт работы с облачными технологиями и несколько сертификатов в моем портфолио, с одной стороны, и сильное профессиональное стремление стать экспертом по облачным технологиям с другой.

Что такое квалифицированная оэп?

На сайте компании «КриптоПро», которая занимается разработкой и внедрением программ и приложений для работы с ЭП дается формулировка ОЭП, которая, по нашему мнению, наиболее соответствует действительности:

«Электронная подпись в облаке (облачная электронная подпись) – это вычислительная система, предоставляющая через сеть доступ к возможностям создания, проверки ЭП и интеграции этих функций в бизнес-процессы других систем».

Эта формулировка не исключает возможности для ОЭП использовать и локальное средство ЭП. Например, используя КриптоПро DSS Lite, пользователь через веб-браузер может подписывать электронный документ с помощью средства ЭП, установленного на его компьютер или планшет.

Другой вариант облачной ЭП получается при использовании средства ЭП, хранящегося на облаке. Чтобы не путать это понятие с первым, назовем такую цепочку «полностью облачной ЭП». В среде специалистов до сих пор не утихают споры по поводу ее безопасности, так как информация передается на облако.

Известно, что ЭП должна принадлежать одному собственнику. Записанную на носитель подпись владелец может хранить, например, в сейфе, чтобы ограничить доступ к ней третьих лиц. А как обеспечивается безопасность на облаке? Могут ли его взломать мошенники? Как сами разработчики гарантируют конфиденциальность информации, размещенной на облаке, и имеют ли сами доступ к ней?

Вопросами защищенности облака занимаются «безопасники» и консультирующие их юристы. Сведения должны не просто попасть на облако, но и быть обработаны и сохранены. С локальным средством все понятно: ЭП находится в защищенном пространстве пользователя.

Некоторые пользователи не доверяют надежности облака, так как не до конца понимают механизмы его действия. На облако передается ключ ЭП, а это информация, которая конфиденциальна и принадлежит конкретному человеку – собственнику. Защищенность ключа зависит от уровня безопасности средств, которые используются при аутентификации, и от ответственности владельца.

Разработчики КриптоПРО внедрили программу КриптоПро DSS, которая в тестовом режиме испытывалась экспертами. В этот сервер передаются ключи и сертификаты пользователей, а чтобы получить к ним доступ, необходимо пройти аутентификацию, которая возможна только для одного лица – владельца.

Что, по-твоему, является самой сложной частью процесса сертификации и как с ней справиться?

Во-первых, важно понимать процесс: с чего начать подготовку, какие этапы, каковы сроки для каждого этапа, какие учебные ресурсы следует изучить и так далее. Очень важным аспектом является организационная часть, так как придется управлять своим личным расписанием и планировать свою рабочую нагрузку в соответствии с ним.

Мне повезло, так как я участвовал в очень полезной сессии по сертификации GCP с нашими коллегами из EPAM, и я знал некоторые нюансы этого процесса. Например, я знал, что перед экзаменом мне нужно пройти определенные курсы на Coursera, затем пройти внутреннюю программу обучения и только после этого перейти к основному этапу подготовки.

Итак, один из моих лайфхаков — общаться с коллегами и не недооценивать профессиональное сообщество. Существуют специальные группы, где вы можете задать любые возникающие вопросы, поделиться своими идеями или инициировать дискуссии по интересующей теме.

В EPAM ещё есть возможность присоединиться к внутренним программам наставничества, которые предоставляют все необходимые ресурсы для подготовки к экзамену (учебные материалы, полезные ссылки и обзоры реальных случаев). Я бы также посоветовал присоединиться к дополнительным онлайн-сеансам под руководством наставников, чтобы получить более профессиональные идеи и советы.

Доверенная третья сторона (поправки действуют с января 2021 года)

С января 2021 года в Законе об электронной подписи появилось понятие «доверенная третья сторона» (ДТС). Это юридическое лицо, которое проверяет правильность применения электронной подписи при совершении той или иной сделки. По сути, на ДТС возложены функции цифрового нотариуса.

ДТС создает «метку доверенного времени» — информацию о дате и времени подписания документа электронной подписью. Такая метка служит дополнительным подтверждением того, что документ подписан законно. Например, сообщает, что в момент подписания сертификат электронной подписи был действителен..

Функции ДТС чем-то напоминают полномочия оператора электронного документооборота, через которого сдается налоговая отчетность или происходит обмен юридически значимыми электронными счетами-фактурами. Оператор ЭДО тоже фиксирует время отправки отчета или дату подписания счета-фактуры.

В настоящее время привлечение ДТС является добровольным. Предположительно доверенная третья сторона будет участвовать в следующих видах сделок.

1. Экспортные и импортные операции. Ожидается, что власти РФ заключат международные соглашения о взаимном признании квалифицированной электронной подписи или ее аналогов. Тогда ДТС станут подтверждать достоверность электронного документооборота с иностранными контрагентами.
2. Внутрироссийские операции, при которых стороны предъявляют повышенные требования к качеству оформления электронных документов.

Обмениваться с контрагентами юридически значимой «первичкой» через интернет

Входящие бесплатно

Полномочия и условия аккредитации ДТС прописаны в новых статьях 18.1 и 18.2 Закона об электронной подписи.

Закрытие небольших уц (с июля 2021 года) и окончание срока действия их сертификатов (с января 2022 года)

С июля 2020 года удостоверяющим центрам (УЦ) стало труднее получить аккредитацию. Теперь от них требуют более высокую сумму капитала (в общем случае до 1 млрд руб.) и страховой ответственности (составляет от 100 млн до 200 млн руб.).

УЦ, которые не смогут соответствовать новым требованиям, продолжат выпускать сертификаты электронной подписи до конца июня 2021 года включительно. Начиная с июля, воспользоваться услугами данных центров не получится.

Квалифицированные сертификаты, которые выданы потерявшим аккредитацию удостоверяющими центрами, будут действовать до конца декабря 2021 года. С января 2022 года подписывать документы с их помощью нельзя.

Такие правила установлены в пунктах 3 и 4 статьи 3 Закона № 476-ФЗ.

Организациям и предпринимателям следует заранее выяснить, планирует ли обслуживающий их УЦ получить аккредитацию по новым требованиям. И если не планирует, то советуем подобрать другой удостоверяющий центр.

Заказать электронную подпись в крупном УЦ, который соответствует новым требованиям

Получить через час

Как ип и организации будут получать сертификаты подписей с января 2022 года

Закон № 476-ФЗ внес серьезные изменения в порядок подписания электронных документов (включая отчетность), созданных юридическим лицом или ИП.

Сейчас подписать документы организации может либо ее руководитель, либо уполномоченное лицо. Делается это с помощью сертификата усиленной квалифицированной электронной подписи, в которой указан руководитель или уполномоченное лицо, а также данные организации, от имени которой подписывается документ.

Начиная с 1 января 2022 года, будут применяться правила, прописанные в новых статьях 17.2 и 17.3 Закона об электронной подписи. Их суть заключается в следующем:

• руководитель организации или ИП получает единственный экземпляр сертификата подписи на юрлицо или на предпринимателя. Пользоваться такой подписью может только один человек — сам руководитель или ИП (он будет вписан в сертификат). Такие сертификаты выдает Федеральная налоговая служба и ее доверенные удостоверяющие центры;
• сотрудники и другие лица, уполномоченные подписывать документы организации или ИП (например, бухгалтеры), получает в коммерческом удостоверяющем центре сертификат физлица на свое имя;

Получить сертификат электронной подписи физлица

Получить через час

• документы подписывает либо руководитель компании (ИП) с помощью хранящейся у него электронной подписи юрлица (ИП), либо сотрудник своей квалифицированной ЭП. В последнем случае к документу нужно приложить электронную машиночитаемую доверенность, подписанную  квалифицированной подписью юрлица или ИП.

Как работает оэп?

Рассмотрим пример, характерный для участников торгов. Допустим, поставщик направляет свое предложение на участие в тендере. До появления ОЭП подписать документ невозможно было без установленного на компьютер пользователя плагина. Этот плагин и софт локального средства сообщались друг с другом и работали в неразрывной связке.

Теперь вытащим из этой схемы флеш-накопитель: софт подключается к облачному хранилищу по защищенному каналу.

Одной из первых площадок, которая оценила возможности новых технологий и внедрила в свои процессы использование облачной ЭП, стала федеральная торговая площадка «Росэлторг».

Как стали использовать облачные электронные подписи (оэп)?

Использование электронных подписей прочно вошло во многие сферы нашей жизни. В различных компаниях сотрудников переводят на электронный документооборот (ЭДО), что делает все процессы удобными и быстрыми. Для подписания документов (договоров, актов, ведомостей, бухгалтерских отчетов и т.д.) требуется наличие электронной подписи. С помощью нее также осуществляется вход в личный кабинет пользователя ЭДО.

В своей работе применяют ЭП онлайн-специалисты и фрилансеры, которые ведут свою деятельность легально и заключают договора с заказчиками. Физические лица могут приобрести ЭП и пользоваться услугами государственных учреждений: записываться на прием в ФНС, к врачу районной больницы, подавать заявления, справки, заходить на «Госуслуги».

Наши читатели – это, в основном, участники торгов и заказчики, которые такие торги организовывают. Они тоже пользуются ЭП для входа в личный кабинет ЕИС, на электронную торговую площадку, при непосредственном участии в торгах.

Мы уже привыкли к электронной цифровой подписи (ЭЦП), которая записана на рутокен (флеш-накопитель), принадлежит одному конкретному владельцу и обеспечивает безопасность данных о нем. Сегодня аббревиатура ЭЦП уже не используется, так говорить неправильно.

На смену понятию электронной подписи, записанной на цифровой носитель, пришло понятие облачной электронной подписи (ОЭП), которая реализована с помощью современных технологий. Она не требует записи сертификата и ключа на какой-либо носитель, а хранится на специальном облаке, в связи с чем у пользователей возникает вопрос о ее надежности. В статье максимально подробно постараемся на него ответить.

Для ЭП на носителе необходима установка специальных программ на компьютер пользователя (СКЗИ) и дополнительных надстроек. В связи с тем, что на смену таким приложениям пришли облачные приложения, у IT-разработчиков появилось желание внедрить их в работу с ОЭП.

Как установить оэп и начать работать?

Для работы на локальном компьютере потребуется:

Чтобы пользоваться ОЭП на мобильном устройстве, оно должно работать на базе операционных систем не ниже Android 7.0 или iOS 8/9/10/11. Кроме этого, нужно установить приложение MyDss

Установка и настройка на смартфоне приложения MyDss

1. Зайдите в приложение Play Market или Apple Store (зависит от устройства, которое Вы используете).
2. В поисковую строку вбейте «MyDss» и запустите установку приложения.
3. После завершения скачивания нажмите кнопку «Открыть».

4. Для начала работы система уведомит вас о необходимости сканирования QR-кода. Предоставьте камере доступ к этому действию.

5. Считайте QR-код с сертификата, который получили в УЦ.

6. Придумайте имя для сохраняемого ключа, например, «ОЭП для торгов».

7. Выберите способ авторизации (с паролем, без пароля, отпечаток пальца, Face ID).

8. Программа готова к использованию.

Установка СКЗИ КриптоПро CSP 5

Чтобы пользоваться облачной ЭП потребуется наличие операционной системы Windows 7, 8, 8.1 или 10. Проверьте, что Ваша ОС подходит для работы с ОЭП. Для этого откройте «Центр обновлений Windows» и запустите поиск и обновления компонентов Windows.

Облачные электронные подписи (поправки действуют с января 2021 года)

Облачные электронные подписи (ОЭП) применялись и ранее, до 2021 года. Но при этом в законе не было норм, регулирующих использование таких подписей.

Заказать усиленную квалифицированную электронную подпись (КЭП)

Получить через час

Теперь в Законе об электронной подписи предусмотрены положения, посвященные ОЭП. В частности, оговорено следующее:

• чтобы получить аккредитацию для работы с ОЭП, удостоверяющий центр должен иметь финансовое обеспечение ответственности за убытки, причиненные в результате компрометации или несанкционированного использования хранимых им ключей.   В общем случае сумма обеспечения составляет не менее 200 млн руб.;
• УЦ, как хранитель ключа, обязан информировать владельца сертификата об использовании этого ключа;
• владелец сертификата может потребовать, чтобы УЦ предоставил историю использования ОКЭП. Что должно входить в историю использования, пока не ясно — эти детали должны уточнить подзаконные нормативно-правовые акты.

Такие дополнения содержатся в новой части 2.2 статьи 15 и новой редакции части 3.1 статьи 16 Закона об электронной подписи.

Ответы на самые распространенные вопросы

А можно без софта на локальном компьютере?

Да, это возможно, если на ЭТП есть  дополнительный сервер, который обрабатывает входящую информацию и выступает в роли этого самого локального средства. В этом случае пользователь может использовать любой браузер. 

В чем отличие стандартной ЭП от облачной?

Оба эти варианта имеют общее ядро с сертификатом и уровнем безопасности. По своей сути, они аналогичны, просто меняется схема внутреннего API-шифрования при кодировке информации. В первом случае ключ извлекается из локального средства, а во втором – с виртуального (удаленного).

Для использования облачной ЭП тоже нужна авторизация?

Да. Однако теперь авторизация имеет два уровня защиты, и нет привязки к компьютеру. При этом авторизация для пользователя не вызовет никаких сложностей:

Первые шаги в облаке

Первой платформой, которую я изучал, была Amazon Web Services. Это был основной поставщик облачных услуг на рынке в то время. Когда я начал работать с ним, я обнаружил, что моих практических навыков недостаточно для реализации даже несложных функций, поскольку мои знания были в основном теоретическими.

Преимущества

1. Владелец стандартной ЭП на USB-носителе при утере флешки должен будет получить новый ключ. Владелец облачной ЭП просто поменяет пароль.
2. Мобильность пользователя. Раньше нужно было находиться поблизости к компьютеру, на который установлены все программы и надстройки. Теперь при использовании ОЭП привязка к рабочему месту не нужна.
3. Нет привязки к браузеру: раньше это был IE, а это вызывало трудности еще на этапе выбора ОС: Linux-админы находили пути обхода, а вот на Mac-устройствах это невозможно.
4. Нет территориальной привязки. Пользователь не обязательно должен находиться в РФ. Раньше владельцы должны были находиться внутри страны, ввиду особенностей защиты подписей на носителях.
5. Двухуровневая защита обеспечивает более надежную сохранность информации о пользователе.
6. Возможность подписывать документы через приложение на смартфоне.

Сколько сертификатов сейчас в твоём портфолио?

Девять завершенных программ, но я продолжаю обучение.

Часть сертификатов ты получил самостоятельно, а остальные через epam global certification, верно?

Да, так и есть. Я предполагал, что один сертификат — это всего лишь отправная точка длинного пути. Образование никогда не заканчивается, независимо от предмета. Все отрасли, особенно информационные технологии, развиваются; следовательно, каждый ИТ-специалист может постоянно расти и совершенствовать свои знания, чтобы соответствовать ожиданиям рынка и быть востребованным.

В результате я прошел сертификацию AWS Cloud Practitioner и AWS Developer (Associate) до работы в EPAM, потом, будучи в EPAM, успешно сдал экзамен на AWS DevOps Engineer (Professional).

Помимо программы сертификации AWS, я принял участие в программе сертификации Microsoft Azure для сотрудников EPAM и прошел четыре сертификации: Azure Fundamentals; Azure Developer (Associate) и после небольшого перерыва архитектор решений Azure (Azure Solutions Architect Expert). Недавно я сертифицировался на Azure Data Scientist Associate.

Чем утверждены изменения

Поправки внесены в Федеральный закон от 06.04.11 № 63-ФЗ «Об электронной подписи» (далее — Закон об электронной подписи). Новая редакция утверждена Федеральным законом от 27.12.19 № 476-ФЗ (далее — Закон № 476-ФЗ) и Федеральным законом от от 08.06.2020 № 166-ФЗ.

Некоторые изменения вступили в силу с января 2021 года, другие нужно будет применять с июля 2021 года. Есть новшества, которые начнут действовать через год — с начала 2022 года. Расскажем обо всех этих изменениях подробнее.