Территория безопасности
Не ГОСТом единым или что не так с отечественным PKI

Редко получается откликнуться на приглашение выступить с презентацией, но в данном случае на вопрос от @alukatsky "А ты выступаешь на мероприятиях?" отказаться не смог.

Изучив повестку и поняв, как логически продолжить выступление предыдущего спикера (оно первое в секции, посмотрите обязательно), стал готовиться к выступлению 2 апреля на Территории безопасности, чтобы разбавить ИБ-шную повестку нашей сферой. РусКрипто к этому времени уже прошел, а проблемные вопросы озвучены далеко не все.

В рамках своего выступления поднял проблематики больше, чем на последних РусКрипто и PKI-Форуме вместе взятых. Если о проблемах не говорить они никогда не решатся, а их игнорирование приведет к появлению новых. На удивление в зале даже оказался подписчик канала, спасибо ему за вопрос✍️

🚀Об ЭП и УЦ

🔥МВД не услышало бизнес: 50 рублей за запрос остаются

Опубликована сводка предложений к проекту МВД о 50 руб. за каждый запрос к базам данных полиции. МВД ответило формальной отпиской на 81 % замечаний.

Статистика рассмотрения:
📊 Всего поступило: 53 предложения
🔴 Не учтено: 43 предложения (81%)
🟡 Частично учтено: 3
🟢 Учтено: 7 (и все 7 не содержат предложений по проекту акта).

❌ Что МВД отклонило:
🔹Бесплатность для обязательных проверок по 115-ФЗ, 126-ФЗ и 63-ФЗ. Разработчик ссылается на приоритет ст. 17 ФЗ "О полиции": "предоставляется за плату". Мнение РСПП, банков и операторов о том, что это "налог на исполнение закона", проигнорировано.
🔹Снижение тарифа. Вопросы о том, почему 50₽, а не 4.93₽ (как у Минцифры, которое также было изначально против всех предложений), переадресованы в Минфин. Расчеты МТС (9 млрд/год) и ВТБ (сотни млн) во внимание на этом этапе не приняты.
🔹На исключение для Удостоверяющих центров, а также такси, ЖКХ ответ дан формальный: "Вы не поименованы в отраслевых законах".

В связи с тем, что получатели квалифицированных сертификатов не относятся к категории участников информационного обмена в рамках единой системы межведомственного электронного взаимодействия, риски возложения финансовых издержек на них считаем необоснованными

- отмечается в сводке на предложение нашего канала.

"Цифровая экономика", РСПП, АБД, операторы "большой тройки", ВТБ и др. пытались доказать абсурдность платы за проверку паспортов. Бесполезно. Вся суть ответа разработчика сводится к одной фразе: "В законе "О полиции" написано "платно", значит платите, а остальное нас не касается". МВД описало техпроцесс (XML, SQL), но фактически отказалось вводить штрафы за некачественный ответ или задержку. Тарифицируется "завершенный сеанс" независимо от содержания ответа (даже если он с ошибкой).

Что это значит для рынка:
📌 Операторы связи: 9 млрд рублей в год только у МТС (126-ФЗ).
📌 Банки: или закладывать сотни миллионов в тарифы, или переходить на визуальную проверку паспортов «на глазок» (растут риски фрода).
📌 УЦ и ЭДО: с 1 сентября, когда введут обязательные электронные перевозки, каждая проверка паспорта водителя будет стоить 50 руб. Цифровизация грузоперевозок под угрозой срыва.

✅ Единственная тактическая уступка: срок оплаты перенесен с 10-го на 15-е число следующего месяца.

💡Проект прошел публичное обсуждение без концептуальных изменений. Единственный шанс на существенные изменения - отрицательное заключение Минфина по финансово-экономическому обоснованию или отрицательное заключение ОРВ от Минэкономразвития.

✍️"Об ЭП и УЦ"

В соответствии с предписанием Минцифры России от 15.04.2026 приостановлена аккредитация  удостоверяющего центра АО "Энергоцентр". Впервые с момента изменения процедуры аккредитации на двухуровневую была приостановлена аккредитация УЦ. В 2025 году Энергоцентр выдал около 11 тыс. квалифицированных сертификатов.

Аккредитованный УЦ должен соблюдать требования, на соответствие которым он аккредитован, в течение всего срока его аккредитации. В случае выявления несоблюдения аккредитованным УЦ указанных требований должностное лицо Минцфиры обязано выдать этому удостоверяющему центру предписание об устранении нарушений в установленный срок и приостановить действие аккредитации на данный срок. Минцифры принимает решение о возобновлении действия аккредитации, при этом вправе проверять фактическое устранение ранее выявленных нарушений и в случае их неустранения в установленный предписанием срок досрочно прекращает аккредитацию УЦ.

Т.е. старые сертификаты действуют, новые сертификаты во время приостановленной аккредитации выдавать нельзя.

Совпадение? Наблюдаем дальше.

✍️"Об ЭП и УЦ"

Новую редакцию проекта модельного закона «Об электронной подписи» направят на рассмотрение в парламенты государств Содружества. Документ на заседании Постоянной комиссии Межпарламентской Ассамблеи СНГ по экономике и финансам представил доцент кафедры коммерческого права юридического факультета Санкт-Петербургского государственного университета Александр Алексеенко, сообщает портал Ассамблеи.

Снова юристы что-то готовят своё, а экспертное сообщество по электронной подписи не было в планах привлечь к подготовке данного модельного закона?

✍️"Об ЭП и УЦ"

🔐 Минюстом России 16.04.2026 № 86084 зарегистрирован приказ Минцифры России от 17.02.2026 № 98 "Об утверждении Административного регламента Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации по предоставлению государственной услуги "Аккредитация удостоверяющих центров".

Документ проходил общественное обсуждение осенью прошлого года. Ранее действовавший 559 приказ утрачивает силу.

✍️"Об ЭП и УЦ"

✍️Приостановка не Прекращение аккредитации УЦ

Согласно части 5 ст. 17 63-ФЗ:

в случае досрочного прекращения или истечения срока аккредитации удостоверяющего центра квалифицированный сертификат, выданный аккредитованным удостоверяющим центром заявителю, прекращает свое действие

Закончилась аккредитация УЦ или была досрочно прекращена - все квалифицированные сертификаты прекращают своё действие (противоречия сама по себе норма, попытки её исправить были, но к успеху не привели).

Последние УЦ, аккредитация которых была досрочно прекращена, это Солар и Сервер Центр. С момента изменения процедуры аккредитации на двухуровневую досрочных прекращений аккредитаций не было.

А что с приостановкой действующей аккредитации?
Это не досрочное прекращение и не истечение срока действия аккредитации, при которых действующие сертификаты прекращают своё действие. Сертификаты продолжают работать, УЦ свои функции продолжает выполнять - публикует CRL, например, но с приостановленной аккредитацией не может выдавать новые сертификаты. 

Первая в новой истории приостановка аккредитации произошла 15 апреля 2026 в отношении УЦ Энергоцентр.
17 апреля обновляется TSL-список и информация на портале ГУЦ, статус в отношении всех подчинённых сертификатов - приостановлен. Госуслуги, портал ГУЦ перестали считать ранее выданные сертификаты квалифицированными, их владельцы столкнулись с ошибками аутентификации по сертификатам на Госуслугах. Иные сервисы, которые строят цепочку доверия не по TSL-списку, а цепочке до ГУЦ - ошибки не показывают, ведь в CRL подчинённые не были добавлены, но владельцев сертификатов (а их около 11 тыс.) это мало обрадует, т.к. с действующими квалифицированными сертификатами они не могут работать на тех же Госуслугах и иных системам с аутентификацией через ЕСИА.

Данный случай, когда сервисом ГУЦ перестают проверяться сертификаты, которые должны успешно проходить проверки, а сертификаты, действие которых прекращено вместе с окончанием аккредитации УЦ, продолжают успешно проверяться иными сервисами, вполне заслуживает отдельного доклада в рамках PKI-Форума 2026🔐.

Готов ли Программный комитет Форума внести его в рабочую программу? Если проблемные вопросы не поднимать на открытых площадках, то для чего все эти форумы и конференции?

✍️"Об ЭП и УЦ"

ФГИС по общим лекалам

В прошлом году в 149-ФЗ была внесена норма, что Правительство устанавливает требования к актам Правительства, на основании которых создаются федеральные госсистемы. Такая вот тавтология, но она понятна - разработчики НПА разные ведомства и чтобы от них не было зоопарка дают единые требования, которые должны быть в НПА.

Проект постановления в марте проходил общественное обсуждение. Положение о ФГИС должно включать 8 обязательных разделов:
🔹общие положения о системе;
🔹структура, задачи и основные функции системы;
🔹участники системы и их полномочия;
🔹состав и порядок размещения  и предоставления информации;
🔹порядок обеспечения доступа к системе;
🔹правовой режим информации, содержащейся в системе, и программно-технических средств системы;
🔹обеспечение юридической значимости электронных документов, формируемых в системе, и подтверждение в системе совершения юридических значимых действий;
🔹информационное взаимодействие с иными информационными системами.

Рассмотрим, что должно быть в разделе про юрзначимость:
🔹для исходящих документов - КЭП, либо в предусмотренных законодательством случаях - НЭП Госключа, ПЭП ЕСИА.
🔹для внутренних электронных документов - КЭП, НЭП или ПЭП системы;
🔹электронные документы, формируемые автоматически -  КЭП оператора системы (автоподпись).

Вступление в силу - 1 сентября 2026.

✍️"Об ЭП и УЦ"

Проект федерального закона № 1068268-8 «О внесении изменений в Федеральный закон «Об электронной подписи» планируется рассмотреть в первом чтении 21 апреля 2026 года, соответствующая информация размещена в карточке законопроекта. Докладчиком выступит заместитель Министра цифрового развития И.В. Лебедев.

Законопроект концептуальных возражений Правового управления не вызывает, но есть ряд юридических замечаний и нестыковок, которые нужно поправить ко второму чтению, главное из заключения:
🔹 Порядок идентификации иностранцев для получения квалифицированных сертификатов требует согласования с уже действующими нормами закона (ст. 17 и 18 63-ФЗ).
🔹 Действующая редакция  закона не предусматривает, чтобы владельцем сертификата было обособленное подразделение российского юрлица.
🔹 В предлагаемой норме о прекращении действия сертификата при сложении полномочий нотариуса прописать, кто именно (уполномоченное лицо или сам нотариус) вправе обратиться в УЦ для прекращения действия сертификата.
🔹 Вводится возможность использования дополнительных форм МЧД (от Банка России, ФНП, операторов ГИС), но неясен порядок их применения вместе с Единой формой МЧД.
🔹Привести к единообразию нормы о том, кто именно указывается владельцем сертификата у представительств международных структур.

✍️Заключение ответственного комитета по фин.рынку также содержит предложения к редакции законопроекта.

Up. Законопроект 21 апреля не рассматривался, перенос на 22 апреля.

✍️"Об ЭП и УЦ"

📣 Комедийное онлайн-шоу про ИИ, ЭДО и бизнес-процессы: Low-stress Show

ELMA запускает необычный формат — без слайдов и «душных» докладов, но с юмором, стендапом и живыми ситуациями из работы с документами и процессами.

В программе:
✔️ комики из ТВ и стендап-проектов (ТНТ, VK, Голос) — Даниил Сологуб, Виктор Федькин и др.
✔️ формат вечернего шоу с экспертами
✔️ музыкальная комедия про внедрение ИИ в бизнес-процессы

На сцене — комики и эксперты ELMA (про ЭДО, AI и цифровую трансформацию).
В зале — CIO, IT-директора и руководители процессов.

Можно смотреть одному или собрать команду — как лёгкий тимбилдинг вместо очередного вебинара.

📅 6 мая, 16:00 МСК
🎟 Онлайн, участие бесплатное

Зарегистрироваться ⬅️

erid: 2SDnjdYdY8A