Тема «Электронная цифровая подпись»
1. Понятие электронной цифровой подписи и ее техническое обеспечение
2. Организационное и правовое обеспечение электронной цифровой подписи.
1.Понятие электронной цифровой подписи и ее техническое
обеспечение
В мире электронных документов подписание файла с помощью графических символов теряет смысл, так как подделать и скопировать графический символ можно бесконечное количество раз. Электронная Цифровая Подпись (ЭЦП) является полным электронным аналогом обычной подписи на бумаге, но реализуется не с помощью графических изображений, а с помощью математических преобразований над содержимым документа.
Особенности математического алгоритма создания и проверки ЭЦП гарантируют невозможность подделки такой подписи посторонними лицами,
ЭЦП – реквизит электронного документа, предназначенный для защиты данного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП и позволяющий идентифицировать владельца ключа, а
также установить отсутствие искажения информации в электронном документе.
ЭЦП представляет собой определенную последовательность символов,
которая формируется в результате преобразования исходного документа (или любой другой информации) при помощи специального программного обеспечения. ЭЦП добавляется к исходному документу при пересылке. ЭЦП является уникальной для каждого документа и не может быть перенесена на другой документ. Невозможность подделки ЭЦП обеспечивается значительным количеством математических вычислений, необходимых для
её подбора. Таким образом, при получении документа, подписанного ЭЦП,
Применение ЭЦП обеспечивает: простое разрешение спорных ситуаций (регистрация всех действий участника системы во времени),
невозможность изменения заявки участника до даты окончания закупки.
Кроме того, ЭЦП способствует: снижению затрат на пересылку документов, быстрому доступу к торгам, проходящим в любой точке России.
Пользоваться электронной подписью достаточно просто. Никаких специальных знаний, навыков и умений для этого не потребуется. Каждому пользователю ЭЦП, участвующему в обмене электронными документами,
генерируются уникальные открытый и закрытый (секретный)
криптографические ключи.
Закрытый ключ – это закрытый уникальный набор информации объемом 256 бит, хранится в недоступном другим лицам месте на дискете,
смарт-карте, ru-token. Работает закрытый ключ только в паре с открытым
Открытый ключ - используется для проверки ЭЦП получаемых документов/файлов. Технически это набор информации объемом 1024 бита.
Открытый ключ передается вместе с Вашим письмом, подписанным ЭЦП.
Дубликат открытого ключа направляется в Удостоверяющий Центр, где создана библиотека открытых ключей ЭЦП. В библиотеке Удостоверяющего Центра обеспечивается регистрация и надежное хранение открытых ключей во избежание попыток подделки или внесения искажений.
Вы устанавливает под электронным документом свою электронную цифровую подпись. При этом на основе секретного закрытого ключа ЭЦП и содержимого документа путем криптографического преобразования вырабатывается некоторое большое число, которое и является электронно-
цифровой подписью данного пользователя под данным конкретным документом. Это число добавляется в конец электронного документа или сохраняется в отдельном файле.
В подпись, в том числе, записывается следующая информация: имя
файла открытого ключа подписи, информация о лице, сформировавшем подпись, дата формирования подписи.
Пользователь, получивший подписанный документ и имеющий открытый ключ ЭЦП отправителя на основании текста документа и открытого ключа отправителя выполняет обратное криптографическое преобразование, обеспечивающее проверку электронной цифровой подписи отправителя. Если ЭЦП под документом верна, то это значит, что документ действительно подписан отправителем и в текст документа не внесено никаких изменений. В противном случае будет выдаваться сообщение, что сертификат отправителя не является действительным.
Термины и Определения: Электронный документ - документ, в
котором информация представлена в электронно-цифровой форме.
Владелец сертификата ключа подписи - физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах
(подписывать электронные документы).
Средства электронной цифровой подписи - аппаратные и (или)
программные средства, обеспечивающие реализацию хотя бы одной из следующих функций - создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе, создание закрытых и открытых ключей электронных цифровых подписей.
Сертификат средств электронной цифровой подписи - документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям.
Сертификат ключа подписи - документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.
Пользователь сертификата ключа подписи - физическое лицо,
использующее полученные в удостоверяющем центре сведения о сертификате ключа подписи для проверки принадлежности электронной цифровой подписи владельцу сертификата ключа подписи.
Информационная система общего пользования - информационная система, которая открыта для использования всеми физическими и юридическими лицами и в услугах которой этим лицам не может быть отказано.
Корпоративная информационная система - информационная система, участниками которой может быть ограниченный круг лиц,
определенный ее владельцем или соглашением участников этой
информационной системы.
Удостоверяющий центр - юридическое лицо, выполняющее функции по: изготовлению сертификатов ключей подписей, созданию ключей электронных цифровых подписей по обращению участников информационной системы с гарантией сохранения в тайне закрытого ключа электронной цифровой подписи, приостановлению и возобновлению действие сертификатов ключей подписей, а также аннулированию их,
ведению реестра сертификатов ключей подписей, обеспечению его актуальности и возможности свободного доступа к нему участников информационных систем, проверке уникальности открытых ключей электронных цифровых подписей в реестре сертификатов ключей подписей и архиве удостоверяющего центра, выдаче сертификатов ключей подписей в форме документов на бумажных носителях и (или) в форме электронных
документов с информацией об их действии, осуществлению по обращениям пользователей сертификатов ключей подписей подтверждения подлинности электронной цифровой подписи в электронном документе в отношении выданных им сертификатов ключей подписей, предоставлению участникам информационных систем иных связанных с использованием электронных цифровых подписей услуг.
При этом удостоверяющий центр должен обладать необходимыми материальными и финансовыми возможностями, позволяющими ему нести гражданскую ответственность перед пользователями сертификатов ключей подписей за убытки, которые могут быть понесены ими вследствие недостоверности сведений, содержащихся в сертификатах ключей подписей.
2. Организационное и правовое обеспечение электронной
цифровой подписи.
Правовое обеспечение электронной цифровой подписи следует понимать не только как совокупность нормативно-правовых актов,
обеспечивающих правовой режим ЭЦП и средств ЭЦП. Это гораздо более широкое понятие. Оно лишь начинается с государственного закона об электронной цифровой подписи, но развивается далее и впоследствии охватывает все теоретические и практические вопросы, связанные с электронной коммерцией вообще.
Первый в мире закон об электронной цифровой подписи был принят в марте 1995 г. Законодательным собранием штата Юта (США) и утвержден Губернатором штата.
Закон получил название Utah Digital Signature Act. Ближайшими последователями штата Юта стали штаты Калифорния, Флорида, Вашингтон,
где вскоре тоже были приняты соответствующие законодательные акты.
В качестве основных целей первого закона об электронной подписи были провозглашены:
Минимизация ущерба от событий незаконного использования и подделки электронной цифровой подписи;
обеспечение правовой базы для деятельности систем и органов сертификации и верификации документов, имеющих электронную природу;
правовая поддержка электронной коммерции (коммерческих операций, совершаемых с использованием средств вычислительной техники);
придание правового характера некоторым техническим стандартам,
ранее введенным Международным союзом связи (ITU - International Telecommunication Union) и Национальным институтом стандартизации США (ANSI - American National Standards Institute), а также рекомендациям Наблюдательного совета Интернета (IAB - Internet Activity Board),
выраженным в документах RFC 1421 - RFC 1424.
Закон состоит из пяти частей:
В первой части вводятся основные понятия и определения, связанные с использованием ЭЦП и функционированием средств ЭЦП. Здесь же рассматриваются формальные требования к содержательной части электронного сертификата, удостоверяющего принадлежность открытого ключа юридическому или физическому лицу.
Вторая часть закона посвящена лицензированию и правовому регулированию деятельности центров сертификации.
Прежде всего, здесь оговорены условия, которым должны удовлетворять физические и юридические лица для получения соответствующей лицензии, порядок ее получения, ограничения лицензии и условия ее отзыва. Важным моментом данного раздела являются условия признания действительности сертификатов, выданных нелицензированными удостоверителями, если участники электронной сделки выразили им совместное доверие и отразили его в своем договоре. Фактически здесь закрепляется правовой режим сетевой модели сертификации, рассмотренной нами выше.
В третьей части закона сформулированы обязанности центров сертификации и владельцев ключей. В частности, здесь рассмотрены:
порядок выдачи сертификата;
порядок предъявления сертификата и открытого ключа;
условия хранения закрытого ключа;
действия владельца сертификата при компрометации закрытого
порядок отзыва сертификата;
срок действия сертификата;
условия освобождения центра сертификации от ответственности за неправомерное использование сертификата и средств ЭЦП;
порядок создания и использования страховых фондов,
предназначенных для компенсации ущерба третьим лицам, возникшего в результате неправомочного применения ЭЦП.
Четвертая часть закона посвящена непосредственно цифровой подписи.
Ее основное положение заключается в том, что документ, подписанный цифровой подписью, имеет ту же силу, что и обычный документ,
подписанный рукописной подписью.
В пятой части закона рассмотрены вопросы взаимодействия центров сертификации с административными органами власти, а также порядок функционирования так называемых репозитариев - электронных баз данных, в которых хранятся сведения об изданных и отозванных сертификатах.
В целом закон об ЭЦП штата Юта отличается от других аналогичных правовых актов высокой подробностью.
Германский закон об электронной подписи (Signaturgesetz) был введен в действие в 1997 г. и стал первым европейским законодательным актом такого рода. Целью закона объявлено создание общих условий для такого применения электронной подписи, при котором ее подделка или фальсификация подписанных данных могут быть надежно установлены.
В Законе прослеживаются следующие основные направления:
установление четких понятий и определений;
подробное регулирование процедуры лицензирования органов сертификации и процедуры сертификации открытых ключей пользователей средств ЭЦП (правовой статус, порядок функционирования центров
сертификации, их взаимодействие с государственными органами и другими центрами сертификации, требования к сертификату открытого ключа электронной подписи);
Рассмотрение вопросов защищенности цифровой подписи и данных,
подписанных с ее помощью, от фальсификации;
Порядок признания действительности сертификатов открытых ключей.
По своему духу германский Закон об электронной подписи является регулирующим.
В отличие от аналогичного закона Германии, Федеральный Закон об электронной подписи США является координирующим правовым актом. Это связано с тем, что ко времени его принятия соответствующее регулирующее законодательство уже сложилось в большинстве отдельных штатов.
Как видно из названия Закона (Electronic Signatures in Global and National Commerce Act), его основное назначение состоит в обеспечении правового режима цифровой электронной подписи в электронной коммерции. Подписание Закона Президентом США состоялось в день национального праздника - 4 июля 2000 г. (День независимости), что должно придать этому законодательному акту особое значение. По мнению обозревателей принятие данного закона символизирует вступление человечества в новую эру - эру электронной коммерции.
ответственных за функционирование ее инфраструктуры. Не сосредоточиваясь на конкретных правах и обязанностях центров сертификации, которым уделяется особое внимание в законодательствах других стран, Федеральный Закон США относит их к понятию инфраструктура ЭЦП и в самых общих чертах оговаривает взаимодействие элементов этой структуры с правительственными органами.
В России с основными положениями Федерального Закона об
электронной подписи можно познакомиться на примере проекта. Согласно проекту, Закон состоит из пяти глав и содержит более двадцати статей.
В первой главе рассмотрены общие положения, относящиеся к Закону.
Как и аналогичные законы других государств, российский законопроект опирается на несимметричную криптографию. Основной целью Закона провозглашается обеспечение правовых условий для применения ЭЦП в электронном документообороте и реализации услуг по удостоверению ЭЦП участников договорных отношений.
Во второй главе рассмотрены принципы и условия использования электронной подписи. Здесь, во-первых, выражена возможность, а во-вторых,
приведены условия равнозначности рукописной и электронной подписи.
Кроме того, особо акцентировано внимание на характерных преимуществах ЭЦП:
лицо может иметь неограниченное количество закрытых ключей ЭЦП, то есть, создать себе разные электронные подписи и использовать их в разных условиях;
все экземпляры документа, подписанные ЭЦП, имеют силу оригинала.
Проект российского Закона предусматривает возможность ограничения сферы применения ЭЦП. Эти ограничения могут накладываться федеральными законами, а также вводиться самими участниками электронных сделок и отражаться в договорах между ними.
Интересно положение статьи о средствах ЭЦП, в которой закрепляется утверждение о том, что «средства ЭЦП не относятся к средствам,
обеспечивающим конфиденциальность информации». На самом деле это не совсем так. По своей природе средства ЭЦП, основанные на механизмах несимметричной криптографии, конечно же, могут использоваться для защиты информации. Возможно, это положение включено для того, чтобы избежать коллизий с другими нормативными актами, ограничивающими применение средств криптографии в обществе.
Важным отличием от аналогичных законов других государств является
положение российского законопроекта о том, что владелец закрытого ключа несет ответственность перед пользователем соответствующего открытого ключа за убытки, возникающие в случае ненадлежащим образом организованной охраны закрытого ключа.
Еще одной отличительной чертой российского законопроекта является список требований к формату электронного сертификата. Наряду с общепринятыми полями, рассмотренными нами выше, российский законодатель требует обязательного включения в состав сертификата наименования средств ЭЦП, с которыми можно использовать данный открытый ключ, номер сертификата на это средство и срок его действия,
наименование и юридический адрес центра сертификации, выдавшего данный сертификат, номер лицензии этого центра и дату ее выдачи. В
зарубежном законодательстве и в международных стандартах мы не находим требований столь подробного описания программного средства ЭЦП, с
помощью которого генерировался открытый ключ. По-видимому, это требование российского законопроекта продиктовано интересами безопасности страны.
Массовое применение программного обеспечения, исходный код которого не опубликован и потому не может быть исследован специалистами, представляет общественную угрозу. Это относится не только к программным средствам ЭЦП, но и вообще к любому программному обеспечению, начиная с операционных систем и заканчивая прикладными программами.
В третьей главе рассмотрен правовой статус центров сертификации (в
терминологии законопроекта - удостоверяющих центров открытых ключей электротой подписи). В России оказание услуг по сертификации электронной подписи является лицензируемым видом деятельности, которым могут заниматься только юридические лица. Удостоверение электронной подписи государственных учреждений могут осуществлять только государственные удостоверяющие центры.
По своему характеру структура органов сертификации -
М.Г. Мошкович, юрист
Кто ответит за электронную подпись?
Изучаем последствия передачи своей ЭП другим сотрудникам
Рассмотренные в статье судебные решения можно найти: раздел «Судебная практика» системы КонсультантПлюсИспользование электронной подписи (ЭП) получило широкое распространение в хозяйственной практике. Однако ЭП воспринимается скорее как удобный инструмент документооборота, нежели как личная подпись конкретного лица. Ее получение стоит недешево, поэтому, вместо того чтобы оформить электронную подпись нескольким сотрудникам, ЭП одного лица нередко передают в пользование другому. И даже иногда оформляют этот факт приказом (к примеру, когда руководитель или главбух уходит в отпуск либо по иным причинам отсутствует в офисе).
Рассмотрим, насколько это законно и каковы могут быть последствия таких действий.
Что говорит закон
Согласно ГК РФ электронная подпись - это аналог собственноручной подпис ип. 2 ст. 160 ГК РФ . А руку свою вы передать никому не можете, равно как и право пользования ею. Таким образом, передача электронной подписи другому лицу - это нонсенс. Законно использовать ЭП может только тот, на кого она оформлена.
Именной характер ЭП исключает и оформление доверенности на ее использование. Можно уполномочить другого человека сделать что-то в ваших интересах, для чего ему понадобится подписываться за вас. Но представитель, конечно же, будет ставить свою подпись на документах, а не вашу.
Казалось бы, все очевидно, но у нас есть еще и Закон об электронной подписи. Его формулировки довольно противоречивы и многих ввели в заблуждение.
Так, Закон обязывает владельцев ключа ЭП сохранять его конфиденциальность и не использовать ключ в случае ее нарушени яподп. 2 п. 2 ст. 9 , пп. 1, 3 ст. 10 Закона от 06.04.2011 № 63-ФЗ (далее - Закон № 63-ФЗ) . Что такое конфиденциальность? Это сохранение секретности информации от других лиц, исключение ее утечки. Значит, никто, кроме вас, не должен иметь доступа к ключу.
Закон также говорит, что ЭП должна позволять определить конкретное лицо, подписывающее докумен тп. 1 ст. 2 Закона № 63-ФЗ . Если ЭП пользуется ее владелец, то это условие выполняется. А если иное лицо? Пользователь электронного документа все равно видит только данные владельца, понять, кто его «замещает», нет возможности. Следовательно, пользователь получит неверную информацию, проще говоря, будет обманут.
Однако прямого запрета на передачу ключа электронной подписи в Законе нет.
Больше того, в качестве разъяснения правила о конфиденциальности Закон об электронной подписи требует не допускать использование ключа усиленной ЭП без согласия его владельц ап. 1 ст. 10 Закона № 63-ФЗ . Что и порождает ошибочное мнение о законности передачи ЭП, если ее владелец не возражает против этого.
Что происходит на практике
Так, даже Минкомсвязи, уполномоченный орган в сфере использования ЭПп. 1 Положения, утв. Постановлением Правительства от 02.06.2008 № 418 , не видит проблемы в передаче электронной подписи, оформленной на одно лицо, другому лицу. Пресс-служба ведомства сообщила нам следующее.
ИЗ АВТОРИТЕТНЫХ ИСТОЧНИКОВ
Пресс-служба Минкомсвязи
“ Участники электронного взаимодействия обязаны не допускать использование принадлежащих им ключей электронной подписи без их согласи яст. 10 Закона № 63-ФЗ . То есть в принципе использование ключа ЭП, принадлежащего одному лицу, другим лицом допускается, прямого запрета на это в законе нет.
При этом передавать сертификат ключа проверки электронной подписи другому сотруднику организации можно исключительно в случае наделения его полномочиями действовать от имени компании в том же объеме, что и сотрудник - владелец квалифицированного сертификата. Предоставление полномочий оформляется приказом руководителя организации, также необходимо получить согласие владельца сертификата ключа проверки на использование этого сертификата другим лицо м” .
Аналогичное мнение высказал и специалист Федеральной налоговой службы.
ИЗ АВТОРИТЕТНЫХ ИСТОЧНИКОВ
Советник государственной гражданской службы РФ 2 класса
“ При использовании усиленных электронных подписей участники электронного взаимодействия обязаны обеспечивать конфиденциальность ключей ЭП, в частности не допускать использование принадлежащих им ключей ЭП без их согласи яп. 1 ст. 10 Закона № 63-ФЗ . Таким образом, при наличии волеизъявления участник электронного взаимодействия может допустить использование ключа ЭП третьим лицо м” .
А вот разработчик программного обеспечения, к которому мы обратились за консультацией, сомневается в законности передачи ключа ЭП.
ИЗ АВТОРИТЕТНЫХ ИСТОЧНИКОВ
Ведущий разработчик программных продуктов компании «Бухсофт.ру»
“ Использование любого вида электронной подписи должно так или иначе говорить о том, что подпись сделана конкретным лицо мст. 5 Закона № 63-ФЗ . Для этого в Законе и прописана обязанность обеспечить конфиденциальность ключей. Поэтому смысл издания приказа о передаче ключа считаю спорны м” .
Возможные риски передачи ЭП
Поскольку нормативного запрета нет, люди часто рассуждают таким образом: ну да, использовать чужую ЭП неправильно, но мы же для дела, никому от этого хуже не будет, а пользователи нашей электронной документации ничего не узнают. Однако это не всегда так. Прежде всего, когда вы доверяете свою ЭП другим людям, контроль за конфиденциальностью ключей неизбежно снижается. Ваш «заместитель» может просто проявить невнимательность и допустить, чтобы ЭП воспользовался посторонний, либо неосторожно словить вирус, который скачает информацию. В результате ЭП попадет к жуликам и организация потеряет деньги или информацию. Но есть и другие опасности.
Рассмотрим судебную практику из различных сфер применения ЭП.
Банки
Как правило, сотрудники банков в курсе, что ЭП не всегда использует то лицо, на которое она оформлена. Что не означает, будто банк признает это законным. Просто риски, связанные с нарушением конфиденциальности ЭП, несет клиент. Это следует из Закон ап. 1 ст. 854 , п. 1 ст. 845 , п. 3 ст. 847 ГК РФ и всегда четко прописывается в договоре. Поэтому если со счета организации с помощью вашей ЭП незаконно спишут деньги, убытки с банка взыскать не получитс яПостановления АС ЗСО от 20.02.2015 № А27-5335/2013 ; ФАС МО от 05.08.2014 № А40-82734/2013 . Суды считают, что банк обязан исполнять платежное поручение, подписанное корректной ЭПп. 1 ст. 845 ГК РФ . Возмещение понесенного ущерба можно требовать только со злоумышленников, каким-либо образом получивших доступ к ЭП сотрудника. Но для этого их надо сначала установить.
Важно отметить, что выявляемые в суде факты передачи ЭП другим лицам всегда оцениваются как нарушение договора со стороны клиента банка.
Так, во время внезапного отключения компьютера, на котором стояла программа «Клиент-Банк», с расчетного счета ООО было списано более 1,7 млн руб. Спор с банком о взыскании убытков общество проиграло. Судьи указали, что платежное поручение было подписано действующей ЭП директора, а ООО нарушило условия договора с банком об обеспечении конфиденциальности. В частности, носитель с главным ключом и ЭП директора ООО был передан главному бухгалтеру, у которого он хранился в сейф еПостановление ФАС ЦО от 03.09.2013 № А35-10589/12 .
В другом случае 96 тыс. руб. «ушли» со счета ООО на основании платежного поручения, подписанного ЭП уже уволенного директора (о назначении нового в банк не сообщали). А пользовался этой ЭП, как установило следствие, вообще бухгалтер. Суд отметил, что ООО не обеспечило режим секретности ключа ЭП и передало его в пользование третьему лицу, чем нарушило требования Закона об ЭП. Во взыскании денег с банка было отказан оПостановление ФАС ЗСО от 05.12.2011 № А21-8586/2010 .
Контрагенты
Если документ, с которым не согласна организация, подписан действующей ЭП ее сотрудника, то отвертеться от документа вряд ли удастся. Так, суд принял решение о взыскании с ООО задолженности по договору поставки, хотя организация утверждала, что не получала спорного товара. При этом в наличии была товарная накладная, подписанная ЭП работника компании. По мнению организации, этой ЭП воспользовалось некое неуполномоченное лицо. В процессе разбирательства было установлено, что договор ООО с поставщиком предусматривал использование ЭП при составлении первички, в том числе и формы № ТОРГ-12. ЭП ответственного лица признали действительно йПостановление ФАС ВВО от 11.08.2010 № А43-5226/2010 .
Если спора нет, но контрагент узнал, что ЭП руководителя применил другой сотрудник, к примеру, при подписании контракта, это не так страшно. По правилам ГК РФ организация может направить письмо другой стороне о том, что она одобряет сделку, совершенную неуполномоченным лицом, и таким образом снять проблем уп. 1 ст. 183 ГК РФ .
Госзакупки
Довольно неприятные последствия использования чужой ЭП могут быть у организаций, участвующих в госзакупках. В судебной практике есть случай, когда ООО в результате на 2 года оказалось в реестре недобросовестных поставщиков. А дело было так: генеральный директор подписал госконтракт по результатам открытого аукциона электронной подписью своего предшественника (собственную ЭП на момент подписания ему не успели оформить). Когда сведения о дате назначения нового директора появились на сайте электронной торговой площадки, нестыковку заметил заказчик. Он направил жалобу в УФАС, указав, что контракт подписан неуполномоченным лицом. В результате антимонопольщики пришли к выводу о том, что ООО уклонялось от заключения госконтракта, и наказали организаци юПостановление ФАС ЦО от 05.03.2012 № А23-2637/2011 .
ИФНС
Как показывает практика, подписание деклараций неуполномоченным лицом иногда может создать проблемы для организации. К примеру, в Новосибирске налоговики заблокировали счет компании, случайно узнав из допроса директора, что его ЭП при подписании ранее поданной декларации использовал другой сотрудник. Инспекторы решили, что такую декларацию следует считать неподанной, однако за организацию заступился суд. Дело в том, что декларацию нельзя не принять по ТКС, если она соответствует формат уп. 4 ст. 80 НК РФ . А раз она была принята, значит, блокировка незаконн аПостановление ФАС ЗСО от 21.06.2011 № А45-20993/2010 .
Справедливости ради отметим, что инспекторы и сами не придают значения информации о том, кто пользовался ЭП руководителя, если это в их интересах. Так, они приняли декларации, подписанные ЭП бывшего директора (хотя данные о прекращении его полномочий уже были внесены в ЕГРЮЛ), и исчислили на их основании недоимку, пени и штрафы. В процессе по делу о банкротстве этой организации конкурсный кредитор пытался исключить требования ИФНС из реестра, доказывая, что такие декларации недействительны, но суд ему отказа лПостановление ФАС УО от 04.08.2014 № Ф09-6411/12 . Не смог оспорить действия налоговиков и сам бывший директор, заявивший в суде о применении его ЭП другими лицами. Суд решил, что ИФНС обязана была принять декларации, подписанные действующей ЭПАпелляционное определение Судебной коллегии по гражданским судам Челябинского облсуда от 07.04.2014 № 11-3065/2014 .
Как видим, суды не рассматривали вопрос о правомерности использования ЭП директора другим сотрудником, а просто исходили из оснований отказа в приеме декларации. Как будет решаться вопрос, если налоговики также случайно (к примеру, из приказа о передаче полномочий) узнают о том, что ЭП главбуха при подписании электронных счетов-фактур применял другой сотрудник, сказать сложно. По крайней мере, возможность отказа в возмещении НДС вашим контрагентам исключать нельз япп. 2 , 6 ст. 169 НК РФ .
Нужен ли приказ о передаче ЭП
РАССКАЗЫВАЕМ РАБОТНИКУ
Ответственным за использование ЭП, оформленной на имя работника, всегда остается он сам, даже при наличии приказа о передаче права пользования ЭП другому лицу.
Во-первых, организация в принципе не вправе решать, кто будет пользоваться ЭП. Владельцем ЭП является физическое лицо. Просто когда ЭП оформлена для сотрудника компании, то пользователь электронного документа видит его ф. и. о., должность и название организаци ип. 3 ст. 14 Закона № 63-ФЗ . Таким образом, ЭП всегда персонифицирована и принимать решение о том, кому ее доверить, может только сам сотрудник - владелец ЭП.
Неперсонифицированную ЭП может получить только госорган для использования при оказании госуслуг. При этом сертификат ключа проверки ЭП оформляется на имя госоргана, а пользователи ЭП определяются его распорядительным акто мп. 3 ст. 14 Закона № 63-ФЗ .
Во-вторых, ответственность за использование ЭП лежит на ее владельце, независимо от оформления приказов, доверенностей или каких-либо других документов. Электронные документы, подписанные вашей ЭП, признаются равными бумажным документам, подписанным вами лично своей руко йп. 2 ст. 6 Закона № 63-ФЗ . И в случае, к примеру, несанкционированного списания денег со счета именно вам придется пережить неприятные моменты: вызов к следователю, представление объяснений и т. д.
ИЗ АВТОРИТЕТНЫХ ИСТОЧНИКОВ
“ Непосредственно за передачу ключа ЭП другому лицу ответственности нет. Могут быть последствия нарушения конфиденциальности - в зависимости от того, какой документ, кем и для чего подписан. При этом электронный документ, подписанный ключом ЭП, по умолчанию признается подписанным лицом, за которым «числится» этот ключ. Поэтому в случае недоразумений или конфликтов доказывать факт несанкционированного использования ключа придется именно этому лицу” .
Конечно, приказ подтверждает, что передачу ЭП одного сотрудника другому санкционировало руководство. Так что, с одной стороны, он нужен сотрудникам для подстраховки:
- владельцу ЭП - чтобы в случае чего претензий к нему не возникло у самой компании;
- временному пользователю ЭП - чтобы компания не обвинила его в том, что он использует чужую ЭП самовольно.
С другой стороны, расписываясь в таком приказе, владелец ЭП допускает нарушение конфиденциальности ключа. А по Закону это обязывает вас немедленно обратиться в удостоверяющий центр для прекращения действия сертификат ап. 6 ст. 17 Закона № 63-ФЗ . Так что лучше просто не доверять вашу ЭП никому.
Использование ЭП работниками предпринимателя
Свою электронную подпись нередко передают работникам в пользование и индивидуальные предприниматели. Это связано не только с отсутствием прямого запрета на передачу ЭП, но и с другими причинами. Вот некоторые из них.
Не урегулировано получение ЭП работниками предпринимателя
Отдельных правил по оформлению ЭП для работников предпринимателя в Законе нет. В результате создается впечатление, что физическое лицо может получить ЭП только какпп. 2, 3 ст. 14 Закона № 63-ФЗ :
- <или> обычный гражданин;
- <или> работник организации.
Тем не менее предприниматель вправе оформить ЭП своему работнику. Это нам подтвердили и специалисты.
ИЗ АВТОРИТЕТНЫХ ИСТОЧНИКОВ
“ Если индивидуальный предприниматель хочет оформить ЭП для своего работника, то ему нужно представить в удостоверяющий центр документы, подтверждающие право этого физического лица действовать от имени предпринимателя (доверенность, договор). Из документов должны следовать также ограничения использования такого сертификата (то есть объем полномочий, в рамках которого будет действовать физическое лицо - владелец сертификата). Указанная информация будет внесена в сертификат ключа проверки ЭПп. 2 ст. 14 Закона № 63-ФЗ ” .
Пресс-служба Минкомсвязи
ИЗ АВТОРИТЕТНЫХ ИСТОЧНИКОВ
“ В квалифицированный сертификат можно включать дополнительную информацию о владельце сертификат ап. 17 Приказа ФСБ от 27.12.2011 № 795 . Не запрещается включать и сведения о должности работника индивидуального предпринимателя. Важно, чтобы система электронного документооборота, с которой предполагается использовать сертификат с дополнительными реквизитами, смогла правильно этот сертификат воспринять и не посчитать ошибочным из-за «лишней» информации, а также показать соответствующее поле для сертификата физического лица. Эти подробности может подсказать разработчик конкретной системы. Включение информации в тот или иной сертификат обсуждается с удостоверяющим центром, который будет этот сертификат формироват ь” .
Ведущий разработчик программных продуктов компании «Бухсофт.ру»
Электронный счет-фактура, подписанный ЭП представителя предпринимателя, может повлечь отказ в вычете НДС
С 1 июля 2014 г. в НК были внесены поправки: представителям ИП разрешили подписывать счета-фактуры по доверенност ип. 6 ст. 169 , п. 3 ст. 29 НК РФ . Однако специальные нормы в отношении электронных счетов-фактур остались прежними: тут требуется усиленная квалифицированная подпись самого ИП.
Скорее всего, это просто очередная недоработка законодателя. Тем более что подзаконный акт допускает подписание электронных счетов-фактур по доверенности от ИПподп. «а» п. 2.1 Порядка, утв. Приказом Минфина от 25.04.2011 № 50н , а судебная практика и ранее была в этом вопросе на стороне предпринимател яп. 24 Постановления Пленума ВАС от 30.05.2014 № 33 . Но мало кому хочется судиться.
Резюмируя, можно сказать так: для организации и ИП безопасней, чтобы ЭП была у каждого сотрудника, которому необходимо ею пользоваться. Если этот вариант по каким-то причинам не годится, то можно сделать незаменимому сотруднику удаленный доступ к сервису электронного документооборота с тем, чтобы он мог подписать документ откуда угодно.
Для работника же (директора или бухгалтера) лучше не соглашаться на передачу права пользования своей ЭП другим лицам - не придется отвечать за чужие ошибки или за что похуже. Это все равно что оставить коллегам стопку чистых листов со своей подписью. Главное, помните - передавать ЭП без вашего согласия организация не имеет права.
Госдума приняла в третьем, окончательном чтении закон "Об электронной цифровой подписи". При необходимых 226 голосах за принятие данного документа проголосовали 367 депутатов, передает РИА "Новости".
Проект был одобрен правительством Российской Федерации в марте этого года, в июне правительственный вариант был принят Госдумой - в первом чтении. Теперь закон направлен на рассмотрение Совета Федерации.
Закон об электронной цифровой подписи (ЭЦП) ставит целью "обеспечение правовых условий для использования электронных цифровых подписей в процессах обмена электронными сообщениями, при соблюдении которых электронная цифровая подпись признается равнозначной собственноручной подписи" в документе на бумажном носителе. Требовалось также обеспечение правовых условий предоставления услуг по удостоверению электронных цифровых подписей.
Электронная цифровая подпись определяется в документе как "реквизит электронного документа, предназначенный для его защиты от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи". Это последовательность символов, которая позволяет пользователю открытого ключа ЭЦП, установить целостность и неизменность этой информации, а также владельца закрытого ключа ЭЦП.
Менее формально цифровую подпись можно определить как алгоритм, с помощью которого автор сообщения (официально он именуется владельцем ЭЦП) "подписывает" сообщение. По подписи получатель сообщения может удостовериться, что сообщение подписал именно автор, а не кто-то другой. Кроме того, подписанный таким образом документ уже невозможно изменить. ЭЦП гарантирует, что подписанный электронный документ нельзя ни подделать, ни изменить.
Реализация механизма ЭЦП использует два криптографических ключа - открытый и закрытый, которые генерирует автор сообщения.
Открытый ключ ЭЦП - это общедоступная последовательность символов, предназначенная для проверки электронной подписи. Получатель документа, используя "открытый" ключ, проверяет ЭЦП. Открытый ключ позволяет только проверять существующую ЭЦП, но не позволяет "расписаться". Создание ЭЦП возможно только с помощью закрытого ключа, который имеется только у владельца подписи.
Закрытый ключ ЭЦП - последовательность символов, предназначенная для выработки ЭЦП и известная только правомочному лицу - владельцу. Владелец использует этот ключ для создания своей подписи под каждым документам.
Для того, чтобы использовать ЭЦП требуется получить сертификат открытого ключа ЭЦП (сертификат ключа подписи) - документ, выданный и заверенный удостоверяющим центром, подтверждающий принадлежность открытого ключа ЭЦП определенному лицу. Открытый ключ указывается в сертификате, и как уже говорилось выше, доступен каждому.
Cертификат выдается на имя владельца, который может быть как физическим, так и юридическим лицом, и которое владеет закрытым ключом ЭЦП, соответствующим открытому ключу.
Планируется создание центров по удостоверению подлинности ЭЦП (так называемых удостоверяющих центров) - юридических лиц (или их подразделений), обладающих правомочиями на удостоверение принадлежности конкретного открытого ключа ЭЦП владельцу сертификата.
Сертификаты будут удостоверять соответствие необходимым требованиям т.н. "средства ЭЦП", то есть программ для создания и чтения подписей, - проще говоря, будут гарантировать качество электронных "бумаги и чернил".
Реализация проекта потребует учреждения специальных фирм, обладающей лицензией, оборудованием и программным обеспечением, позволяющим создавать и проверять ЭЦП.
Предполагается, что применение ЭЦП ускорит развитие электронного делооборота и торговли в интернете и обеспечит их безопасность.
Законы об электронной подписи, аналогичные американскому, приняли на сегодняшний момент многие страны мира, включая Европейский Союз, Таиланд и Белоруссию.
Все больше новых технологий и терминов приходят в нашу жизнь. И далеко не все успевают эти технологии освоить и даже понять, для чего они. Сегодня мы поговорим об электронной подписи - новой технологии и явлении, с каждым днем получающим все более широкое распространение.
По своей сути, электронная подпись - это аналог обычной подписи человека, призванный идентифицировать его или закрепить его авторство в виртуальной среде. Чаще всего электронные подписи применяются в электронной почте, а также в банковской сфере и бухгалтерском электронном документообороте, являясь дополнительной защитой при проведении транзакций и пересылке важных документов.
Создание электронной подписи получается в результате криптографического преобразования информации с использованием закрытого ключа. Еще одна важная составная часть технологии - сертификат электронной подписи , выдаваемый уполномоченной организацией и позволяющий подтвердить подлинность подписи, исключив ее подделку.
В отличие от рукописного текста, электронный документ очень легко подделать, причем, незаметно для получателя. Вы просто удаляете отдельные слова или целые абзацы и вставляете новые - догадаться, что документ в процессе, например, пересылки был изменен, практически невозможно. Электронная подпись же дает гарантию, что подписанный документ изменить нельзя. То есть, помимо прочего, это еще и защита информации от изменения и подделки. В то же время, человек, подписавший документ электронной подписью, не сможет отказать от авторства документа, ведь электронная подпись - сугубо конфиденциальная информация, которая должна быть доступна только одному человеку.
Чаще всего ключ электронной подписи хранится на специальной флешке (как на снимке в начале статьи), которую нельзя ни скопировать, ни использовать каким-либо другим образом. Такие флешки есть у директоров и главных бухгалтеров компаний, подписывающих личными электронными подписыми банковские документы и бухгалтерскую отчетность, которая сегодня чаще всего передается в налоговые инспекции в электронном виде с помощью специальных систем.
Процесс подписания документа электронной подписью выглядит следующим образом: с помощью специального программного кода программы, используемой для подписи документа, создается специальная функция, так называемая хэш-функция, которая идентифицирует содержимое документа. Затем автор документа шифрует содержание хэш-функции своим персональным закрытым ключом - подписывает документ электронной подписью. Зашифрованная хэш-функция помещается в то же сообщение, что и сам документ. Полученное сообщение можно сохранить на любом носителе, пересылаться по электронной почте или, например, с помощью системы Клиент-банк. Хэш-функция имеет небольшой размер, поэтому практически не влияет на вес сообщения.
При получении, подписанного электронной подписью документа, пользователь имеет возможность убедиться в ее подлинности. Алгоритм подтверждения электронной подписи состоит в следующем: с помощью собственной программы, работающей с электронными подписями, получатель сообщения создает собственный вариант хэш-функции подписанного документа. Затем происходит расшифровка хеш-функции, которая содержится в сообщении и сравнение двух хэш-функций - отправленной и полученной. Их совпадение гарантирует подлинность содержимого документа и одновременно его авторство.
Можно ли подделать электронную подпись?
Теоретически, возможно все. Однако, трудозатраты на подделку электронной подписи, наложенную даже не сертифицированными средствами, то есть простыми программами, не прошедшими сертификацию, слишком велики. У хакеров существует масса более простых способов взлома системы, чем подделка электронной цифровой подписи. Так что электронная подпись считается достаточно надежным средством защиты информации.
Последние советы раздела «Наука & Техника»:
Зачем нужна рация
Что значит статическое электричество в нашей жизни
Что такое коптер
Как жить вечно
Любопытной и, можно сказать, детективной историей поделился с нашими читателями директор коммерческой фирмы.
Компания сдала декларацию по НДС за 1 квартал 2016, где налог к уплате был 300 тыс. рублей. Налог уплатила. Однако на следующий день некто сдает от имени компании уточненную декларацию, где налог к уплате уже только 5 тыс. рублей. Уточненный расчет отправлен через другого спецоператора и подписан ЭЦП руководителя, которая, как выяснилось, оформлена по его паспорту с вклеенной туда фотографией другого человека. Подпись на доверенности на получение ЭЦП тоже поддельная.
Кто эти люди и зачем им это было нужно? Таким вопросом задался руководитель компании. Обращение в полицию направлено, заявление об отказе от «левой» ЭЦП написано. Но вопрос о цели этих манипуляций, предпринятых посторонними людьми, не дает покоя директору.
Сейчас спустя год, видимо под закрытие года, из налоговой приходит заявление о том, что у нас не соответствуют данные по декларации, так как у нас есть уточненка по декларации за 1й квартал 2016г! Ну мы значит, начинаем выяснять что? кто? зачем? после какого корпоратива??... выясняется интересный и даже я бы сказал удивительный факт, оказывается, что у моей организации две ЭЦП (Об этом нам сообщила налоговая) у двух разных операторов. Ну про одного то мы в курсе работаем с ним несколько лет все ок, но вот кто второй??? Второго нам назвала налоговая.
Звоним. Там милая девушка, находит нашу ООО по ИНН, и сообщает, что мы работаем, что есть ЭЦП и что у неё даже есть документы от ген. дира на заявление об открытии этой самой ЭЦП. Ну я значит, так украткой, прошу мне их предоставить, на что она без проблем отправляет мне сканы документов... Что я вижу? Поддельный паспорт с вклеенной фоткой другого человека, доверенность на получение этой ЭЦП с поддельными подписями и ни на одном документе нет печати. Вобщем 100% подделка к бабке не ходи. Ну оператор этот с равнодушием вздыхая, приглашает меня к себе в офис, чтобы я написал заявление об отказе от этой подписи, от чего я отказался и написал заявление в полицию. Но речь не о том, что мне делать - все действия я уже выполнил и с налоговой и с полицией и тд., у меня к Вам другой вопрос:
Значит я, сдаю декларацию по НДС за 1й квартал 2016г 24.04.2016г. налог к уплате у меня около 300 000р. , кто-то, оформляет, практически за один два дня, по абсолютно левым документам ЭЦП от моего имени, в конторе с которой я ни когда не имел ни каких дел и внимание 25.04.2016г. сдает от моей ООО уточненку почти на 110 000 млн. р. , налог к уплате у меня получается около 5 т.р.
Соответственно я то не вижу этого, плачу налоги по своей нормальной декларации и вот спустя год всплывает эта тема. Вопрос в чем здесь умысел?? Ради чего это кому то понадобилось сделать??
- Alexander1982
Участники обсуждения предположили, что возможно злоумышленники хотели получить переплату на подставной расчетный счет, но что-то им помешало. Коллеги, следуя традициям детективного жанра, высказывают свои предположения по поводу мистера Икс, который владел информацией и имел мотив для совершения таких действий.
Присоединиться к обсуждению можно в теме форума « »
