Обсуждение статьи: Защита системы электронного документооборота - Форум по вопросам информационной безопасности

Подскажите, где-нибудь в субъекте РФ огранизован ЭДО между администрацией и министерствами субъекта РФ с использованием средств защиты информации?

SZI - гляньте на сайте МЕРТа - они что-то лепили...
кроме того администрация Питера и Пенсионный фонд

Существуют 3 уровня юридической значимости электронного документа.
Первый на уровне взаимодействия двух юрлиц.
По взаимной договоренности они обменялись электронными документами, осуществили поставки продукции и платежи, остались друг другом довольны и мирно расстались.
Второй уровень — это когда проявляет интерес третья сторона, например Налоговая служба.
Ее никакие договоренности не волнуют. Она озабочена тем, как они соотносятся с законодательной базой.
В законодательстве существуют жесткие требования, в частности, относительно счетов-фактур, которые должны быть пронумерованы, прошиты, и поставлена личная подпись руководителя организации.
Исполнить в электронном виде это требование невозможно — закон жестко ограничивает, даже если все готовы к этому.
Государство должно привести нормативную правовую базу в такой вид, чтобы использование электронных документов не противоречило ей. Более того, должны быть установлены правила, регламентирующие, как и в каком виде надо обмениваться документами, чтобы не возникало никаких проблем.
Существует и третий уровень юридической значимости электронного документа.
Это когда электронными документами обменялись, а потом кто-то решил, что его «караул, ограбили!», и обратился в суд. От того, будет ли суд рассматривать электронные документы в виде доказательства, зависит их юридическая значимость.

Одно дело — технически организовать обмен электронными сообщениями между организациями и физическими лицами. Юридически это сделать сложнее.
В ГК РФ есть статья, которая позволяет решить данные вопросы.
Но конкретный механизм реализации нигде не прописан.

Поэтому говорить о легитимности и юридической значимости электронного документа сложно.
Сначала документ создается в электронном виде, а потом распечатывается и подписывается.
Именно «подписывается» и является предметом юридической силы.
Государственный аппарат управления работает в соответствии с правилами и инструкциями по делопроизводству.
В них в общей форме указано, что электронный документ имеет такие же полномочия, что и бумажный. Но больше ничего нет.

Без законодательного решения или правительственного постановления реализовать электронный документооборот нельзя.

Но за решение этой проблемы никто не отвечает.

Ни один федеральный орган не имеет среди своих функций организацию и контроль работы с электронными документами, кроме архивного ведомства, ответственного за хранение документов, в том числе и электронных.

Не спасает положение и электронная цифровая подпись (ЭЦП), которую разрешено использовать как аналог собственноручной подписи при осуществлении сделок гражданско-правового характер.
Даже имеющаяся инфраструктура более 400 удостоверяющих ее центров не решает проблемы. Необходимо взаимное доверие.
Да и сам электронный документ — нечто мифическое. Что это такое, не вполне ясно, хотя ссылки в законодательстве на него имеются.

Поэтому сложно говорить о ЭДО "полного цикла" с приданием в нем всех трех уровней юридической значимости документов.

О чем еще спорить будем?
Но сторить ЭДО никто не запрещает...строим и дальше то, что просят заказчики и с ними не спорим по пустякам

Прохожий,
Рекомендую внимательнее изучить Закон об ЭЦП. Правовых оснований для организации юридически значимого электронного документооборота между любыми субъектами права сегодня достаточно.
Хотелось бы напомнить уважаемым участникам дискуссии тему - мы обсуждаем защиту СЭД. Поэтому предлагаю начать с формулировки возможных уязвимостей современных СЭД. Только не надо зацикливаться на теоретических фантазиях типа "овладения УЦ злым умышленником". Лучше поговорить о реальных вещах.
Для обсуждения предлагаю принять модель СЭД, построенной по клиент-серверной технологии. Организатор СЭД обеспечивает работу сервера ЭДО, ведение баз данных и справочников СЭД, работу ЦР. Участники СЭД используют тонкие клиенты на основе WEB. Имеется УЦ - самостоятельное юридическое лицо, которому доверяют все Участники СЭД.
Предлагаю начать конкурс на самый изящный способ нанесения ущерба Участникам СЭД.

Самым изящным способом ущерб такому СЭД нанесет ФСБ. Ребята по понятным причинам не любят подтверждать корректность встраивания криптографии в системы со скриптовым кодом :)

Для того, чтобы обсуждать реальную угрозу, нужно сперва определить, что защищаем и какую ценность этот объект представяет для нарушителя. Из вашей модели совершенно непонятно, закчм кому-то этой системе угрожать :)

Умные люди, подскажите. Насколько я понимаю, электронным документом является текст (например) при условии использования электронной цифровой подписи, при которой она в документе признается равнозначной собственноручной подписи в документе на бумажном носителе. Теперь рассмотрим вариант, когда нет самой ЭЦП при подготовке документа. По моему мнению, это не электронный документ, а просто текстовый (буквенно-цифровой) файл, который не позволяет идентифицировать разработчика (утвердившего или подписавшего) документа (владельца сертификата ключа пользователя), а также установить осуствие искажений (подмены) информации в тексте. В субъекте РФ организован ЭДО без использования ЭЦП, мне кажется это не ЭДО, а персылка текстовых файлов от одного пользователя ПЭВМ к другому, пусть даже при этом в программном продукте реализованы функции "типа" ЭДО: быстрый поиск документов, отслеживание движения докуметов, контрольи отчет по исполнению резолюций, согласования документов и т.д. Прав ли я, что при организации ЭДО необходимо использование ЭЦП?

CZI, неправильно понимаете. Читайте определение электронного документа в 1-ФЗ или в учебниках. Электронная подпись не является обязательным атрибутом электронного документа. Необходимость применения ЭЦП при организации ЭДО определяется организатором СЭД исходя из целей организации ЭДО, перечня решаемых задач и т.д. Рекомендую внимательно почитать закон об ЭЦП, в частности, статью 2 и другие документы, регламентирующие применение ЭЦП.
P.S. как я понял, ломать СЭД пока никому не интересно.

Вся проблема в отсутствии реальных правил для СЭД - ЭДО изложенных в федеральных законах (вводящих технические регламенты).
Их ведь до сих пор нет.
Злые вороги полностью своротили одну из лучших аборигенных систем стандартизации чтобы протащить свои правила.
Что и было с успехом сделано с принятием
антиРоссийского закона о ТехРег.
А юридически безупречного понятия _ электронный документ - не существует! (есть эрзацы - отсюда и все проблемы!)

А ЭЦП+ЭлДок это совсем не электронный, юридически значимый для всей страны документооборот

Уважаемый Прохожий, не понятно, о чем Вы пишете, какую мысль пытаетесь провести?
Во-первых, понятие электронного документа юридически определено. Безупречного ничего не бывает. Тем не менее, существующего понятия достаточно для организации юридически значимого ЭДО.
Во-вторых, что такое "реальные правила для СЭД"? Правила электронного документооборота должен разрабатывать на основании действующих нормативно-правовых актов организатор системы электронного документооборота.
В-третьих, может все таки поговорим об организационно-технических аспектах защиты ЭДО. Или на этом форуме специалистов нет? Только "злые вороги" с "антиРоссийскими законами о ТехРег"? Бред какой-то...

Мысль проста.
Для Каждого ЭДО требуется независимый нотариат с решениями, обязательными для всех участвующих в нем.
Иначе - профанация.
Для все страны требуются технические регламенты (стандарты) - читай законы по ИБ.

Электронная подпись, криптозащита, электронные документы, взятые совместно, требуют введения института хранителей ключей (электронных нотариатов) и соответствующего законодательного определения разделения рисков между сторонами.

Введение электронных документов для тех записей, которые должны существовать в единственном экземпляре, приводит к необходимости регулирования учетных институтов (реестродержателей и депозитариев).

Это регулирование важно разработать для организаций, учитывающих записи данных, удостоверяющие какие-либо права (в том числе права собственности).

Без учета вышеизложенного любой ЭДО - дорогая игрушка ограниченной функциональности, дублирующая бумажный документооборот