Электронная подпись (эп)

Хранение электронной документации

Срок действия сертификата ЭП составляет 1 год, а отчетность и прочая бухгалтерская документация хранится 5 лет. Даже при прошествии 1 года документ не потеряет своей силы, т. к. в момент подписания в него был занесен «штамп времени». Штамп замещает реквизит даты в документе. Он подтвердит, что на момент подписания документации сертификат был действителен.

Если вы не умеете работать со штампами, то добиться подтверждения даты можно при обращении в удостоверяющий центр, попросив отыскать сертификат в списке отозванных сертификатов.

Хранение электронной документации налаживается либо организовав локальное хранилище (т. е. выделив сервер в компании), либо на облаке (документация хранится в облачном хранилище компании, чьими услугами вы пользуетесь).

Виды ЭЦП

Существует два вида электронной подписи: простая ЭЦП и усиленная, которая может быть как квалифицированной, так и неквалифицированной.

Простая ЭЦП

К простой электронной подписи (ПЭП) можно отнести сочетание логина и пароля, которые пользователь вводит при входе в личный кабинет различных онлайн-сервисов, коды доступа, получаемые по SMS, а также коды на скретч-картах. ПЭП создается самой информационной системой, в которой используется такая электронная подпись, и подтверждает, что ее создал определенный человек.

Простую ЭП часто применяют при совершении банковских операций, для идентификации пользователя в разнообразных информационных системах, при получении услуг на портале «Госуслуги», также ПЭП можно заверить документы, но только внутри корпоративного электронного документооборота (ЭДО). Для придания подписанному ПЭП документу юридической значимости между подписантами должны быть заключены соответствующие соглашения, регламентирующие правила применения и признания ЭП.

Простая электронная подпись не может быть использована для подписания электронных документов, содержащих государственную тайну. Недостатком простой ЭП является низкая степень защиты. Она позволит определить автора документа, но не защитит файл от подделки.

Усиленная неквалифицированная ЭЦП

Усиленная неквалифицированная электронная подпись (НЭП) позволяет не только идентифицировать личность владельца документа, но и определить, были ли внесены в данный файл какие-либо изменения после того, как он был подписан. Такая ЭЦП создается при помощи специальных программ криптошифрования с применением закрытого ключа ЭП. Степень защиты такой подписи считается средней.

НЭП представляет собой два уникальных набора символов, идущих в определенной последовательности и связанных между собой. Одна из этих последовательностей является электронным ключом, а другая используется в качестве ключа проверки ЭЦП. Чтобы сформировать такую связку, применяют специальное программное обеспечение — СКЗИ (аббревиатура расшифровывается как «средства криптографической защиты информации»).

Сама по себе усиленная неквалифицированная электронная подпись не является полным аналогом собственноручной подписи, однако при подписании соглашения с конкретной организацией о признании ее таковой, может придавать документу юридическую значимость, но только в ЭДО с этой компанией и для внутреннего и внешнего электронного документооборота.

Усиленная квалифицированная ЭЦП

Усиленная квалифицированная электронная подпись (КЭП) обладает самой высокой степенью защиты, и любой подписанный такой подписью электронный документ считается аналогом бумажного документа, который подписан собственноручно. Этот вид ЭП позволяет точно сказать, кто именно подписал документ и не изменялся ли после этого данный файл.

В отличие от неквалифицированной, КЭП формируется с применением средств СКЗИ, прошедших сертификацию ФСБ РФ. А выдавать такие ЭЦП могут исключительно удостоверяющие центры, которые имеют соответствующую аккредитацию, полученную в Минкомсвязи России. Такой центр обеспечит человека или организацию, получающих КЭП, квалифицированным сертификатом ключа проверки ЭП, который находится на специальном USB-носителе. В некоторых случаях для его использования необходима установка дополнительного ПО.

Этот вид ЭЦП не требует подписания дополнительных соглашений — усиленная квалифицированная электронная подпись придает документам юридическую силу автоматически. КЭП позволяет организовать сдачу отчетности в любые контролирующие органы власти, принимать участие в электронных торгах, вести ЭДО как внутри организации, так и с ее внешними контрагентами и госструктурами.

Какие бывают электронные подписи

Электронная подпись на документе — это аналог собственноручного автографа, оставленного на бумажном носителе. Закон №63-ФЗ определяет два вида электронной подписи (ЭП):

1. простая электронная подпись имеет минимальную степень защиты,
2. усиленная электронная подпись представляет собой шифрованный файл с двумя ключами и сертификатом для проверки.

Что такое простая электронная подпись

Простая электронная подпись (ПЭП) представляет собой несложное буквенно-цифровое обозначение, позволяющее пользователю авторизоваться в той или иной информационной системе, совершать в ней разрешенные операции. Чаще всего ПЭП представлена парой логин-пароль, где логином является электронный адрес или телефонный номер, а пароль сгенерирован самим пользователем или системой, с которой он намеревается взаимодействовать.

Сама по себе ПЭП не имеет юридической силы. К собственноручной подписи её можно приравнять, если об этом заключено специальное соглашение на сайте, внутри корпорации или между деловыми партнерами. Так, онлайн-банк одобрит перевод денег со счета, если получит подтверждение в виде цифрового кода, присланного на телефон или электронную почту клиента. Особое соглашение с клиентом позволяет приравнять сочетание «номер телефона + СМС-код» к личной подписи клиента. Кроме банковских операций, простую ЭП применяют:

• при обороте электронной документации внутри компании;
• для аутентификации и просмотра информации на государственных сайтах;
• для общения между деловыми партнерами, если между ними есть соглашение.

В системе ЕСИА подача запросов и доступ к электронным услугам на сайтах разрешается лишь после того, как получатель ключа ПЭП лично явится с паспортом в МФЦ, где будет идентифицирована его личность.

Что такое усиленная неквалифицированная электронная подпись (НЭП)

Усиленная ЭП – это созданный в дополнение к документу специальный файл с шифром. Его назначение – удостоверить личность автора и гарантировать неизменность информации в источнике. В отличие от ПЭП усиленную электронную подпись подделать практически невозможно: она генерируется специалистами, получившими от ФСБ лицензию на работу с программами шифрования. Без специального ключа открыть документ с такой подписью не удастся. Усиленную ЭП используют для подписи документов, которые на бумажном носителе должны иметь печать.

Усиленная подпись может быть неквалифицированной (НЭП) и квалифицированной (КЭП). Разница между ними – в степени доверия государства. НЭП генерируется для внутреннего электронного документооборота по произвольному криптографическому алгоритму, она действительна только для тех корреспондентов корпорации, с которыми имеется договор о признании юридической силы данной подписи. Без предъявления такого договора арбитражный суд признает контракт, подписанный НЭП, недействительным.  Сервис Налоговой инспекции генерирует для своих пользователей НЭП для подписания документов по налоговой отчетности из личного кабинета на сайте.  Не используется НЭП на портале Госуслуг, на ресурсах ПФР и ФСС, Росреестр, Росстат и др.

Для чего нужна электронная подпись

Чем больше процессов уходит в интернет, тем более затруднительными становятся офлайн-технологии. И дело здесь даже не в растущей степени бюрократизации процессов, а исключительно в том, что электронные технологии информационной диспетчеризации и документооборота просто намного более эффективны:

• они требуют меньше времени на свою реализацию;
• они практически не нуждаются в обслуживающем персонале (например, в курьерах, которые переносят документы, а уж тем более, в целых почтовых службах);
• на их реализацию требуется на порядок (а то и на 2-3 порядка) меньше затрат времени.

Представьте себе такую ситуацию: клиент вашей фирмы подал на вас в местный суд в связи с затяжкой сроков по валидации оборудования, которую проводила ваша компания. И пусть этот клиент территориально располагается на значительном удалении от вас – предположим, в Красноярске, в то время как ваш офис находится в Калининграде. Если решать вопрос традиционно, то это означает неминуемую командировку в Красноярск юридических специалистов вашей фирмы, которые будут вести процесс. Это один уровень затрат (зафиксируем его мысленно).

А теперь представьте, что вы сможете, сидя на рабочем месте в Калининграде:

• написать ответ на исковое требование;
• приложить все первичные документы, а главное, график выполнения работ по валидации (из которого, к примеру, видно, что задержка произошла по вине самого клиента);
• подписать весь этот комплект документов электронной цифровой подписью и отправить ответ на иск в суд.

Причем сделать это можно буквально, в режиме онлайн, без потери времени (можно даже отзвониться в канцелярию суда и уточнить, получили ли они пересланные документы и все ли у них «открывается»). Все манипуляции с ЭЦП не требуют никаких материальных затрат. Для того, чтобы быть уверенным в ходе слушаний, можно нанять для ведения дел в суде местного юриста (с почасовой оплатой).

А теперь сравним стоимость билетов и командировочных, исчисляемых днями и неделями, для специалиста компании и стоимость почасовой оплаты услуг стороннего юриста. Невооруженным взглядом видно, что затраты в первом случае будут больше. Причем больше, как минимум, на порядок!

Итак, ЭЦП используется во всех тех же случаях, что и обычная подпись. Только при этом присутствуют такие ценные внешние эффекты, как экономия времени и денег. Перечислим же случаи, которые предусматривают возможность использования ЭЦП на современном этапе развития отечественного общества (цифровой экономики):

заключение хозяйственных договоров между физическими или юридическими лицами на расстоянии;

• покупка различных дорогостоящих предметов на расстоянии (например, автомобиля) с оформлением цифровой подписью первичных бухгалтерских документов;
• осуществление открытия банковских счетов, лицевых счетов в брокерских и иных управляющих компаниях;
• принятие участия (на расстоянии) в общих собраниях акционеров и дольщиков с возможностью визирования протоколов решений;
• подача любых судебных документов (исков, ответов на исковые заявления, апелляционных или кассационных жалоб и других документов, требующих личной подписи заявителя или ответчика).

Принцип работы ЭЦП

Механизм работы электронной подписи можно объяснить простыми словами: при подписании документа добавляется блок данных, который и называется ЭЦП. Процесс его получения происходит в два этапа. С помощью ПО и математической функции происходит вычисление отпечатка сообщения, обладающего некоторыми особенностями:

• По отпечатку сообщения невозможно восстановить тело документа;
• Отпечаток уникален для каждого сообщения и имеет фиксированную длину.

На втором этапе ПО и ключ шифрует отпечаток, расшифровать который можно будет только открытым личным ключом электронной подписи.

Как работает ЭЦП при получении электронного документа:

• При помощи ПО адресат расшифровывает подписанный документы для получения отпечатка исходного документа;
• При помощи ПО и функции хэширования вычисляется отпечаток полученного документа;
• Во время проверки сравниваются отпечатки полученного и исходного электронного документа.

Если отпечатки равны, то ЭЦП подтверждает целостность и верность документа. Если во время пересылки в тело документы были внесены изменения и нарушена его целостность, то это будет отображено.

Еще один важный момент в работе ЭЦП — отметка времени подписания документа. Она позволяет точно определить момент создания файла и не дает вносить изменения даже автору документа. При необходимости дополнить электронный документ после установления отметки, его требуется заново подписать с установлением нового времени. Отметка синхронизируется со Всемирным координированным временем.

Функция хэширования и ЭЦП

Электронная подпись предназначена для аутентификации документов, пересылаемых через Интернет. А система ЭЦП состоит из двух процессов: формирования ЭЦП и проверки ЭЦП. Во время формирования ПО использует закрытый ключ электронной цифровой подписи, а при проверке — открытый ключ отправителя. Однако при формировании документа происходит еще один важный теневой процесс — хэширование. Хэш-функция необходима для сжатия исходного документа в короткое число, которое содержит весь текст документа и представляет собой фиксированное количество битов. Хэш-значение — это двоичное сжатое представление тела основного документа, формируемое хэшированием. Функция представляет собой преобразовательный процесс, который переводит сообщение переменной длины в строку с фиксированной.

Нужно это для того, чтобы даже объемные документы без проблем проходили по электронной почте с ограниченным объемом для одного сообщения. Хэш-функция обладает рядом важных свойств:

Ее можно использовать для аргументов любого размера;

• Получаемое на выходе число имеет фиксированный размер;
• Скорость вычисления функции не превышает скорость выработки и проверки ЭЦП;
• Чувствительность к выбросам, вставкам, перестановкам и т.п. внутри документа;
• Однонаправленность;
• Уникальность — вероятность того, что хэш-функции двух разных документов совпадут очень мала.

Хэширование служит и для обнаружения изменений в теле документа, т.е. используется для образования криптографической контрольной суммы. Это позволяет контролировать целостность пересылаемого документа на стадии формирования и проверки ЭЦП. Шифрование при помощи односторонней хэш-функции применяется также для соблюдения правил информационной безопасности. Своеобразность этого метода шифрования в том, что оно не сопровождается обратной процедурой. На основе хэширования и отправитель, и получатель применяют для работы с документом одинаковую процедуру шифрования.

Хэширование имеет несколько алгоритмов:

• По ГОСТУ РФ P34.11—94 функция вычисляет хэш, объемом 32 байта;
• В 16 байтное число преобразует информацию алгоритм MD (Message Digest), используемый в большинстве стран мира;
• Функция SHA-1 (Secure Hash Algorithm) универсальна.

Применяется алгоритм SHA-1 (Secure Hash Algorithm) во всем мире, а также в большинстве сетевых протоколов защиты информации. Во время работы функции информация преобразуется в 160-битный код.

Что такое усиленная квалифицированная электронная подпись

Квалифицированная ЭП генерируется в удостоверяющих центрах, аккредитованных Министерством коммуникаций и связи; для её кодировки используется алгоритм, соответствующий государственным стандартам.  Этой подписи доверяют все государственные органы, включая арбитражные суды. Документ, заверенный УКЭП, имеет безусловную юридическую силу, подпись может быть использована во всех операциях электронного документооборота.  

Представленная ниже сравнительная таблица пояснит, чем отличаются оба вида усиленной ЭП.

Квалифицированная электронная подпись состоит из следующих элементов:

• сертификат закрытого ключа – код для формирования зашифрованной подписи электронного документа;
• сертификат открытого ключа – код для расшифровки документа с ЭП;
• сертификат ключа проверки – содержит сведения о сроках использования КЭП и персональные данные её собственника.

Усиленная электронная подпись – это созданный специальной программой файл в формате doc.sig, который прикрепляется к основному документу. Программное обеспечение – средство криптографической защиты информации – приобретается вместе с сертификатом КЭП и устанавливается на компьютер для работы с электронными документами. 

При подписании документа программное обеспечение сканирует всю содержащуюся в нем информацию и добавляет к нему электронную подпись — шифрованный файл, созданный с помощью закрытого ключа. Код ключа усиленной ЭП – длинная последовательность цифр и символов с объемом информации до 32 байт, которая хранится на токенах (защищенных паролем флэшках) или смарт-картах.

При открытии документа программа СКЗИ проверяет неизменность содержащейся в нем информации – если она идентична исходнику, документ имеет силу. Расшифровать подпись можно с помощью открытого ключа – файла, в котором заключена информация о владельце подписи и его полномочиях. Сертификат открытого ключа доступен всем участникам документооборота: если с его помощью открывается документ, значит, он подписан именно владельцем этой КЭП.

В сертификате проверки ключа проставляются даты начала и окончания действия подписи («штамп времени»).  Документы, подписанные в этот период, сохраняют юридическую силу на неограниченных срок. Для подписания более поздних документов необходимо получить КЭП с новым сертификатом.

Получение УКЭП – платная услуга (см. ниже подробности).

Понятие ЭП

Электронная подпись является технически сложной информационно-юридической категорией и выступает в таких основных проявлениях:

• является обязательным реквизитом официального документа, созданного и используемого в бездокументарной форме;
• представляет собой некий пласт технически зашифрованной информации, который, в зависимости от используемой технологии:
  • вносится непосредственно в заверяемый документ;
  • логически к нему прикрепляется;
• формируется в результате предельно сложных математических вычислений посредством криптографических методов.

Характеристики

Это юридическая категория, которая:

• имеет определенную сферу использования;
• обладает признаком юридической значимости;
• верифицирует (подтверждает) данные, которые содержатся в заверенном ею документе;
• выступает механизмом для обеспечения безопасности.

Исходя из законодательного определения, следует отнести к признакам ЭП также следующее:

• создается в результате видоизменения данных посредством криптографических алгоритмов с помощью закрытого личного ключа подписанта;
• обеспечивает выявление внесенных изменений в заверенный файл после формирования подписи хозяином сертификата ключа;
• устанавливает принадлежность ЭП владельцу сертификата ключа подписи.

Откуда пришло понятие

Термин «электронная подпись» был привнесен в отечественное делопроизводство из зарубежных технических стандартов. Новая редакция профильного закона РФ «Об ЭП» еще больше приблизила требования, нормативное регулирование и правила обращения с ЭП к международным стандартам.

Для стран-членов Евросоюза Директива Европарламента и совета ЭС 1999/93/ЕС от 1999 года «О порядке использования ЭП в ЕС» является определяющим документом, который дает исчерпывающий ответ на вопрос, что это — электронная подпись?

В названном документе ЭП определена как любые оцифрованные сведения, которые добавлены или другим способом ассоциированы с данными в электронной форме и служат подтверждением их подлинности. Интересно, что международные правовые документы трактуют понятие электронной подписи гораздо шире, чем отечественные.

При этом цифровой подписью могут быть признаны:

• простые пароли, которые создаются при помощи кодов или иных некриптографических методов;
• биометрические данные человека;
• фото или даже запись голоса владельца ЭП.

Таким образом, понятие ЭП в Евросоюзе никак не привязано к определенной технологии ее создания. В РФ наоборот, технология четко определена:

• простая подпись формируется с помощью кодов чисел либо паролей;
• усиленная – с использованием криптографических механизмов шифрования;
• квалифицированная – теми же методами, что и усиленная, если они проверены и одобрены ФСБ.

Новые возможности

С мобильных устройств можно подписывать абсолютно любые документы: требующие как простой, так и усиленной подписи; внешние или внутрикорпоративные. При этом в случае простой подписи пользователю даже не понадобится токен.

Во внутреннем документообороте мобильная электронная подпись может стать оптимальным решением для крупных предприятий. Представим ситуацию: работнику производства нужно подписать документ – приказ на командировку или авансовый отчет. На его рабочем месте вообще нет компьютера, поэтому для подписания бумаг ему нужно идти в офис. Это отвлекает от работы и сотрудника, и его коллег из офиса. И если таких работников на производстве много, ситуация может постоянно повторяться, снова и снова замедляя работу компании.

Однако в последнее время мобильная подпись все чаще используется и во внешнем документообороте. Документы, которыми компания обменивается с контрагентами, как правило, подписывают ее ключевые лица – генеральный директор, его заместитель или другие топ-менеджеры. Такие сотрудники часто находятся в разъездах и командировках, не имея доступа к своему компьютеру в офисе. К тому же, работу сильно изменила пандемия, сместив акцент на ее дистанционные или комбинированные форматы. И сегодня в принципе не всегда удается застать сотрудников на их офисном рабочем месте.

В результате возможность подписать документ со смартфона заметно ускоряет этот процесс – время сделки становится короче, оплата со стороны контрагентов проводится оперативнее. А это значит, и бизнес в целом быстрее получает деньги.

Алгоритм получения УКЭП в ФНС России

В мае 2021 года ФНС разъяснила, кто и как может получить бесплатную КЭП. Ведомство предупредило, что с 1 января 2022 года оно начнет выпускать такую подпись для юрлиц (гендиректоров, которые действуют от лица компании без доверенности), ИП и нотариусов.

Удостоверяющий центр ФНС России является аккредитованным Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации, также для него необходим документ “Порядок оказания услуг аккредитованного удостоверяющего центра…” (далее — Порядок).

Порядок поучения подписи ФНС:

• Записаться на приём в УЦ ФНС России;
• Заполнить заявление на выдачу квалифицированного сертификата;
• Приобрести носитель ключевой информации, сертифицированный ФСТЭК России или ФСБ России;
• Руководителю необходимо лично посетить налоговую по месту регистрации в указанный час с пакетом документов, в который входит заявление, паспорт и СНИЛС, и носителем информации для прохождения процедуры идентификации личности и получения сертификата ЭЦП.

Чтобы получить УКЭП в удостоверяющем центре ФНС России следует для начала составить и отправить заявление.

С 1 июля 2021 года лица, которые имеют право действовать без доверенности от имени организации, и индивидуальные предприниматели могут подать заявление с помощью «Личного кабинета налогоплательщика – физического лица», либо лично в территориальном налоговом органе и «в иных информационных системах», согласно п. 22 Порядка.

В заявлении заполняются следующие данные (п. 23 Порядка): ФИО заявителя, наименование заявителя, реквизиты документа, удостоверяющего личность заявителя, ИНН заявителя (физического лица, имеющего право действовать без доверенности от имени юридического лица), ИНН юридического лица (для юридических лиц), СНИЛС заявителя, номер ОГРН или ОГРНИП, адрес электронной почты.

Заявление подписывается лицом, направившим обращение за получением УКЭП, согласно п. 24 Порядка.

Подписанное заявление нужно направить в пункт выдачи удостоверяющего центра ФНС. В момент подачи заявления осуществляется процесс идентификации личности заявителя.

Идентификация личности производится одним из нескольких способов (п. 25 Порядка):

• При личном присутствии по документу, удостоверяющему личность заявителя.
• Без личного присутствия с использованием действующей УКЭП и биометрических персональных данных.

При первичном получении УКЭП в УЦ ФНС России идентификация личности заявителя осуществляется только при его личном присутствии в месте получения (п. 25 Порядка).

В результате приёма заявления на приобретение УКЭП вся информация, перечисленная в заявлении, проходит проверку в ведомственных системах ФНС, ПФР и МВД. Только после прохождения положительных проверок УЦ ФНС предоставит сертификат УКЭП в течение 5 календарных дней (п. 26 Порядка).

К заявлению следует приложить сертифицированных защищённый носитель для УКЭП, который удовлетворяет требованиям ФНС России (п. 22 Порядка). Квалифицированный сертификат записывается на предложенный заявителем носитель ключевых данных, прошедший сертификацию ФСТЭК России или ФСБ России. УЦ ФНС России поддерживает ключевые носители формата USB Тип-А, например: Рутокен ЭЦП 2.0, Рутокен S, Рутокен Lite, JaCarta ГОСТ, JaCarta-2 ГОСТ, JaCarta LT, ESMART Token, ESMART Token ГОСТ и прочие, согласующиеся с требованиями.

На защищённый носитель заявитель самостоятельно записывает ключи электронной подписи либо на своём рабочем месте, либо в пункте выдачи на “специальном компьютере” (п. 11 Порядка) после процедуры идентификации личности (п. 12 Порядка).

В результате проверки, подтверждения данных в заявлении и идентификации личности (п. 26 Порядка) УЦ ФНС России предоставляет сертификат УКЭП в течение 15 минут и выдаёт его заявителю (п. 27 Порядка).

При получении сертификата УКЭП заявитель знакомится с руководством по обеспечению безопасности пользования УКЭП, согласно п. 29 Порядка.

Пользователи, которые получили КЭП в УЦ ФНС России, имеют возможность обращения в Службу технической поддержки или по телефону Единого контакт-центра ФНС России: 8-800-222-2222.

Заключение договоров с помощью ЭП

С учетом условий использования ЭП, для заключения новых договоров в электронной форме участникам электронного документооборота требуется:

1. Для квалифицированной ЭП: предварительный обмен квалифицированными сертификатами, либо выпуск ЭП;
2. Для простой ЭП: предварительное заключение соглашения между контрагентами, например, об организации электронного документооборота. 

Очевидно, что ЭП должна принадлежать лицу, которое подписывает договор. Если договор подписывается с физическим лицом, должна быть использована ЭП физического лица.

Для подписания документов лучше использовать квалифицированную ЭП. Данный вид ЭП исключает риски, связанные с доказыванием подписания договора конкретным лицом.