Проблемы долговременного хранения документов, подписанных электронно-цифровой подписью или ее аналогами

• сообщение о том, что ЭЦП успешно проверена,
• дату и время проверки документа,
• идентификатор операции,
• ссылку на внутренние нормативные документы, регламентирующие работу (включая дату и версию документа),
• другую информацию, которую организация сочтет необходимым зафиксировать.

Документирование использования
электронно-цифровых подписей
в организации

Любое изменение в системе документооборота организации, как правило, влечет за собой изменение состава документации. Внедрение новых технологий не является исключением: в организациях возникает целый комплект новых, ранее не существовавших документов, которые тоже необходимо брать на учет и сохранять в строгом соответствии с законодательством, с тем, чтобы в любых спорных ситуациях организация могла доказать свою правоту.

В процессе передачи информации могут создаваться и сохраняться следующие документы:

• В организациях-отправителях и получателях:
  • собственно передаваемый документ,
  • ЭЦП,
  • сертификат ключа отправителя,
  • запросы/ответы по проверке сертификатов,
  • внутренние нормативные документы, регламентирующие порядок использования сертификатов ключей,
  • соглашения или договора между участниками информационного обмена об использовании ЭЦП,
  • уведомления об отзыве или компрометации сертификатов открытых ключей,
  • квитанции о принятии документа либо об отказе в приеме документа,
  • документы, фиксирующие конфигурацию используемого программного обеспечения,
  • документы по тестированию и проверке программного обеспечения.
• В удостоверяющих центрах:
  • внутренние нормативные документы удостоверяющего центра, определяющие правила работы с сертификатами ключей (в том числе порядок организации выдачи сертификатов и порядок хранения аннулированных сертификатов),
  • реестры сертификатов ключей,
  • списки отозванных и утративших силу сертификатов,
  • документация взаимного удостоверения удостоверяющих центров,
  • протоколы и журналы аудита информационной системы удостоверяющего центра.

Если ЭЦП используется в корпоративной информационной системе и владельцем удостоверяющего центра является одна из организаций — участников информационного обмена, то эта организация должна документировать деятельность своего удостоверяющего центра.

Перечисленные списки документов отражают наиболее простой вариант использования инфраструктуры открытых ключей. Если используются более сложные варианты[3], то, соответственно, количество документов возрастает.

Правильно задокументировать работу с ЭЦП — задача важная, но еще важнее организовать надежное хранение всех документов, в строгом соответствии с требованиями законодательства. Проблем здесь еще больше, и решить их очень и очень непросто.

Организация хранения документов с ЭЦП

Говорить о применении ЭЦП в отрыве от вопросов организации документооборота и архивного хранения документов, мягко говоря, нелогично, — но почему-то именно так принято поступать. Ни государственные мужи, ни специалисты информационных технологий, как правило, не задумываются о том, что документы нужны не только для оперативной деловой деятельности и управления. Они, помимо прочего, фиксируют разнообразные права и обязательства государства, частных лиц и организаций, произошедшие события, принятые решения и последствия совершенных действий. Такие документы подлежат постоянному или длительному хранению, и вот именно здесь ЭЦП из полезного для оперативной работы инструмента превращается в занозу.

Чем больше электронных документов использует в своей работе организация, тем раньше она сталкивается с проблемами в области документооборота и архивного хранения.

Организации необходимо учитывать требования, которые имеются в законодательных и нормативных актах, регулирующих работу с ЭЦП, по организации хранения ряда документов.

Фрагмент документа

По правилам делопроизводства срок хранения устанавливается в зависимости от значимости документа и информации, которая в нем содержится, и не зависит от вида носителя и от наличия ЭЦП. Хранение документов, подписанных ЭЦП, должно быть организовано таким образом, чтобы гарантировать возможность проверки подлинности подписи, а удостоверяющий центр должен будет обеспечить такой же срок хранения своих документов, оборудования и программного обеспечения — и в рабочем состоянии!

Если организация сдает какую-либо отчетность в электронном виде, то необходимо определить порядок ее сохранения в организации, с тем, чтобы обеспечить целостность, подлинность и аутентичность электронных документов.

Фрагмент документа

Пока еще не решен вопрос о том, как государство будет выполнять свои обязанности, вытекающие из ст.15 п.2 Закона об ЭЦП, в соответствии с которой при ликвидации негосударственных удостоверяющих центров их документация, а также обязанности по проверке «старых» подписей (см. ст.4 п.1) переходят к «уполномоченному федеральному органу исполнительной власти». Сейчас вопросами удостоверяющих центров занимается Федеральное агентство по информационным технологиям (ФАИТ) при Мининформсвязи.

В Положении «О Федеральном агентстве по информационным технологиям», утвержденном постановлением Правительства Российской Федерации от 30 июня 2004 г. № 319 в разделе о полномочиях этого органа исполнительной власти записано, что он должен организовывать:

• подтверждение подлинности электронных цифровых подписей уполномоченных лиц удостоверяющих центров в выданных ими сертификатах ключей подписей;
• ведение единого государственного реестра сертификатов ключей подписей удостоверяющих центров и реестра сертификатов ключей подписей уполномоченных лиц федеральных органов государственной власти, а также обеспечивает доступ к ним граждан, организаций, органов государственной власти и органов местного самоуправления.

Но вот кто будет отвечать за остальную документацию, кто будет ее хранить и, самое главное, подтверждать подлинность ЭЦП — неясно до сих пор!

В интернете чаще всего можно встретить оптимистические рассказы о том, как хорошо и удобно хранить документы, подписанные ЭЦП. Никаких проблем, одни удобства и сплошное удовольствие:

Пример 1