Использование ключа электронной подписи| Статьи

В границах единого пространства доверия организуется Система информационного взаимодействия между участниками информационного обмена ЮЗЭД.

Функции Участников Системы:

1. УЦ ФНС России:

– управление единым пространством доверия;

– обеспечение должностных лиц НО СКП.

2. Организатор сети ДУЦ:

– сопровождение ИРУЦ;

– координация работы ДУЦ.

От имени Организатора сети ДУЦ в едином пространстве доверия действует Администратор ИРУЦ.

3. Доверенные УЦ:

– обеспечение хозяйствующих субъектов СКП;

– формирование запросов на регистрацию (изменение регистрации) СКП в Системе;

– предоставление результатов обработки запросов хозяйствующим субъектам;

– занесение актуальных данных о статусах СКП в ИРУЦ.

От имени Доверенных УЦ в едином пространстве доверия действуют Операторы ИРУЦ.

4. Спецоператоры:

– обеспечение обмена электронными документами между хозяйствующими субъектами и НО;

– регистрация СКП хозяйствующих субъектов в Системе по поручению ДУЦ.

От имени Спецоператоров в едином пространстве доверия действуют Операторы ИРУЦ.

5. Налоговые органы:

– подтверждение, при обращении хозяйствующих субъектов, полноты и достоверности сведений для выпуска и регистрации СКП хозяйствующих субъектов в Системе.

Удостоверяющий центр, входящий в сеть доверенных УЦ, на основании договора с хозяйствующим субъектом об оказании услуг и в соответствии с регламентирующими документами данного Доверенного УЦ выдает хозяйствующему субъекту:

– СКП хозяйствующего субъекта;

– кросс-сертификат Доверенного УЦ;

– СКП Организатора сети ДУЦ;

– актуальный СОС Доверенного УЦ;

– актуальный СОС Организатора сети ДУЦ.

В удостоверяющих центрах, входящих в Сеть доверенных УЦ, организуются автоматизированные рабочие места Операторов ИРУЦ.

Количество Операторов ИРУЦ для Доверенных УЦ определяется по соглашению между Организатором сети ДУЦ и ДУЦ.

Операторы ИРУЦ выполняют функции по актуализации данных о СКП, публикации в ИРУЦ СОС и реестров СКП.

Администратор ИРУЦ выполняет функции по управлению данными о ДУЦ, Операторах ИРУЦ, СОС.

ИРУЦ предоставляет интерфейс работы Операторам и Администратору ИРУЦ, а также обеспечивает информационное взаимодействие УЦ, входящих в единое пространство доверия.

Подсистема автоматизированной регистрации СКП в Системе производит обработку запросов ИРУЦ на регистрацию (изменение регистрации) СКП в Системе, формирование результатов обработки запросов ИРУЦ и выдачу результатов обработки запросов в ИРУЦ.

Единое пространство доверия формирует ИРУЦ посредством регистрации в Системе СКП: хозяйствующих субъектов; должностных лиц НО; Операторов ИРУЦ; Администратора ИРУЦ; уполномоченных лиц УЦ ФНС России, Организатора сети ДУЦ, ДУЦ и Спецоператоров.

СКП содержит сведения о владельце открытого ключа – информацию, которая идентифицирует владельца. Таким образом, выдавая сертификат ключа подписи, издатель удостоверяет подлинность связи между открытым ключом субъекта и информацией, которая его идентифицирует.

Формат сертификата ключа подписи определен в рекомендациях ITU-T 1997 года X.509 и рекомендациях IETF 1999 года RFC 2459.

Для функционирования пространства доверия необходимо наличие следующих СКП:

– СКП хозяйствующих субъектов;

– СКП должностных лиц НО;

– СКП уполномоченных лиц УЦ ФНС России;

– СКП уполномоченных лиц Организатора сети ДУЦ;

– СКП уполномоченных лиц ДУЦ;

– СКП уполномоченных лиц Спецоператоров;

– СКП Операторов ИРУЦ;

– СКП Администратора ИРУЦ.

Функционирование единого пространства доверия обеспечивают Операторы ИРУЦ, Администратор ИРУЦ.

При этом: СКП хозяйствующих субъектов регистрируют Операторы ИРУЦ, СКП Администратора ИРУЦ регистрирует уполномоченный представитель Организатора сети ДУЦ, остальные СКП регистрирует Администратор ИРУЦ.

В процессе регистрации СКП производится проверка валидности СКП.

СОС регистрируются в ИРУЦ Администратором ИРУЦ.

В процессе работы Системы возможны рассогласования данных. Для устранения рассогласования по запросу Администратора ИРУЦ производится синхронизация данных. Эталонными считаются данные, размещенные в ИРУЦ.

За неисполнение либо ненадлежащее исполнение обязательств виновный Участник Системы несет ответственность в порядке и на основаниях, предусмотренных действующим законодательством Российской Федерации.

Участники Системы освобождаются от ответственности за частичное или полное неисполнение условий Порядка ведения ЕПД в случае, если такое неисполнение явилось следствием обстоятельств непреодолимой силы, то есть чрезвычайных и неотвратимых обстоятельств, не зависящих от воли Участников Системы, в том числе принятия органами государственной власти законодательных и нормативных актов, препятствующих исполнению условий настоящего Порядка ведения ЕПД.

Участник, ссылающийся на обстоятельства непреодолимой силы, обязан не позднее чем в 5-дневный срок с момента наступления известить заинтересованных Участников Системы о наступлении этих обстоятельств. Извещение должно содержать данные о характере обстоятельств и оценку их влияния на возможность исполнения Участником своих обязательств. Несвоевременное извещение Участником о наступлении обстоятельств, освобождающих его от ответственности, влечет за собой утрату права для этого Участника ссылаться на эти обстоятельства.

Все предоставленные Участниками Системы данные или любые сведения, отнесенные к конфиденциальной информации в соответствии с действующим законодательством Российской Федерации, являются исключительной собственностью Участников и не подлежат разглашению Участниками или передаче третьим лицам ни при каких обстоятельствах, кроме случаев, предусмотренных законодательством Российской Федерации.

Используемые во взаимоотношениях между Участниками электронные документы, заверенные ЭЦП, являются оригиналами, имеют юридическую силу, подлежат хранению в соответствии с законодательством Российской Федерации и могут использоваться в качестве доказательств в суде, а также при рассмотрении споров в досудебном порядке.

Участники признают, что применение в Системе сертифицированных средств ЭЦП и СКЗИ, которые реализуют формирование и проверку ЭЦП и шифрование, достаточно для обеспечения конфиденциальности информационного взаимодействия, а также подтверждения того, что электронный документ:

– исходит от Участника (подтверждение авторства документа);

– не претерпел изменений при информационном взаимодействии Участников в рамках Системы (подтверждение целостности и подлинности документа).

Оператор ИРУЦ несет ответственность за:

1. Достоверность электронных документов, переданных им в ИРУЦ.

2. За сохранность и поддержание в актуальном состоянии созданного им архива электронных и бумажных документов.

3. За своевременную регистрацию в ИРУЦ СОС, издаваемого Доверенным УЦ:

3.1. В случае планового размещения (в соответствии с Регламентом ДУЦ) новый СОС регистрируется в ИРУЦ за 1 день до истечения срока действия актуального СОС;

3.2. В случае отзыва СКП новый СОС должен быть издан и зарегистрирован в ИРУЦ в день отзыва СКП.

Администратор ИРУЦ несет ответственность за:

1. Достоверность электронных документов, переданных им в ИРУЦ.

2. Сохранность и поддержание в актуальном состоянии созданного им архива электронных и бумажных документов.

3. Работоспособность реестра СКП хозяйствующих субъектов, изготовленных Доверенными УЦ.

4. Работоспособность реестра СКП должностных лиц НО.

Доверенный УЦ не отвечает за последствия компрометации владельцем ключей ЭЦП используемых закрытых ключей ЭЦП и иных нарушений регламентирующих документов ДУЦ.

Одним из основных назначений единого пространства доверия является предупреждение и разрешение конфликтных ситуаций, касающихся авторства и целостности ЮЗЭД, циркулирующих в Системе.

Конфликтные ситуации, возникающие в ходе работы с ЮЗЭД, можно классифицировать следующим образом:

а) ситуации, связанные с содержанием ЭД:

– оспаривание содержания отправленного или полученного ЭД;

– оспаривание идентичности экземпляров ЭД и/или подлинника и копии ЭД на бумажном носителе;

– оспаривание целостности ЭД;

б) ситуации, связанные с авторством ЭД:

– подтверждение подлинности ЭЦП в ЭД (оспаривание авторства документа);

– оспаривание полномочий лица, заверившего ЭД ЭЦП;

– оспаривание действительности и правомочности использования СКП, для заверения ЭД (область действия СКП должна быть соответствующей);

в) ситуации, связанные с работой программно-технических средств:

– недоверие к технологиям и/или программно-техническим средствам передачи и защиты информации при обмене ЭД;

– недоверие к используемым структурам и форматам ЭД;

– оспаривание факта отправления и/или получения ЭД;

– оспаривание времени отправления и/или получения ЭД.

Порядок разрешения конфликтных ситуаций определяется регламентирующими документами Организатора сети ДУЦ, согласованными с ФНС России.

Для разрешения конфликтных ситуаций налоговым органом, в пределах компетенции которого возникла конфликтная ситуация, создается комиссия (по факту или на постоянной основе), в которую включаются:

– представители УЦ ФНС России (только в случае, если конфликтная ситуация связана с ЭЦП/СКП должностного лица НО);

– представители заинтересованных Участников;

– представители Организатора сети ДУЦ;

– представители ДУЦ, выдавшего СКП, если конфликтная ситуация связана с ЭЦП/СКП.

Дополнительно могут привлекаться авторитетные независимые специалисты в области криптографической защиты информации.

Результатом работы комиссии является акт, который заверяется всеми членами комиссии.

При компрометации ключей подписи Оператора ИРУЦ Оператор ИРУЦ приостанавливает взаимодействие с ИРУЦ и немедленно уведомляет Администратора ИРУЦ о факте компрометации, сообщая следующую информацию (по телефону/факсу/электронной почте):

– серийный номер скомпрометированного сертификата ключа подписи оператора ИРУЦ;

– парольную фразу (выданную при изготовлении СКП оператора ИРУЦ);

– идентификационные данные уведомителя (ФИО, телефон, e-mail);

– время, когда стало известно о компрометации ключей.

Администратор ИРУЦ организует отзыв СКП, выданного Оператору ИРУЦ, и в течение 1 рабочего дня, используя инструментарий ИРУЦ, организует рассылку СОС, содержащего отозванный СКП.

Оператор ИРУЦ или уполномоченное лицо Доверенного УЦ оформляет заявление на отзыв СКП Оператора ИРУЦ в бумажном виде с указанием причин, вызвавших компрометацию, заверяет его подписью руководителя и печатью ДУЦ и передает его в течение 1 рабочего дня Организатору сети ДУЦ (почта/курьерская доставка), предпринимает меры к устранению причин компрометации.

Оператор ИРУЦ или уполномоченное лицо Доверенного УЦ оформляет заявление на выдачу СКП Оператору ИРУЦ и направляет его Организатору сети ДУЦ.

При компрометации ключей подписи уполномоченного лица ДУЦ Оператор ИРУЦ выполняет следующее:

1) уведомляет Администратора ИРУЦ о факте компрометации (по телефону/факсу/электронной почте), при этом сообщает следующую информацию:

– серийный номер скомпрометированного СКП;

– идентификационные данные уведомителя (ФИО, телефон, e-mail);

– время, когда стало известно о компрометации ключей;

2) приостанавливает издание новых СКП;

3) уведомляет о факте компрометации всех Участников;

4) отзывает все СКП, изданные ДУЦ;

5) публикует свой список отозванных сертификатов в ИРУЦ.

Администратор ИРУЦ блокирует использование СКП ДУЦ и всех СКП, изданных ДУЦ, в ИРУЦ и Системе.

Руководство ДУЦ предпринимает действия к восстановлению работоспособности ДУЦ и передает необходимую информацию Организатору сети ДУЦ.

9.4.6. Компрометация ключей ЭЦП должностных лиц НО

При компрометации ключей подписи должностных лиц НО лицо, ответственное за применение СКП, выполняет следующее:

1) уведомляет Администратора ИРУЦ о факте компрометации (по телефону/факсу/электронной почте), при этом сообщает следующую информацию:

– серийный номер скомпрометированного СКП;

– идентификационные данные уведомителя (ФИО, телефон, e-mail);

– время, когда стало известно о компрометации ключей;

2) останавливает применение СКП.

Администратор ИРУЦ блокирует использование СКП должностных лиц НО в ИРУЦ и Системе.

Лицо, ответственное за применение СКП должностных лиц НО, оформляет заявление на отзыв СКП в бумажном виде, оформляет Заявку на выпуск СКП взамен скомпрометированных, заверяет их подписью руководителя и печатью УФНС и передает его в течение 1 рабочего дня УЦ ФНС.