Карта российского рынка программного обеспечения от TAdviser

👮‍♂️ Прокуратура Саратовской области в ГАУ СО «МФЦ» выявила нарушения законодательства о защите информации и персональных данных. Перечень выявленных нарушений:
🔸на жестких дисках автоматизированных рабочих мест (АРМ) обнаружены файлы, содержащие пароли и парольные фразы средств криптографической защиты информации, а также файлы закрытой части ключа электронно-цифровой подписи;
🔸одно из АРМ не оборудовано средствами контроля на предмет его вскрытия;
🔸отсутствует журнал поэкземплярного учета средств криптографической защиты информации.
⚠️ В отношении курирующего заместителя директора ГАУ СО «МФЦ» дело об административном правонарушении по ч. 6 ст. 13.12 КоАП РФ.

1 апреля посвящается:

Хороший рассказ про использование электронной подписи в ОАЭ с Хабра

В части Госключа есть небольшие неточности, всё-таки технология позиционирует себя, как мобильная подпись (по факту это гибрид мобильной и облачной).

Эта же компания делает сертифицированное СКЗИ ViPNet, с помощью которого выпускаются сертификаты и производится подпись.

Перепутали большой и маленький Инфотекс...

Зато в ОАЭ нет чата поддержки в телеграм, как у Госключа.

Банкам предложат использовать НЭП Госключа при удаленном обслуживании физлиц

Из заключения Комитета Госдумы по финансовому рынку:

В настоящее время при взаимодействии кредитных организаций с клиентами после проведения мероприятий, связанных с их идентификацией, документы и соглашения между этими лицами могут быть подписаны простой электронной подписью, ключ проверки которой получен при личной явке в соответствии с правилами использования простой электронной подписи при обращении за получением государственных и муниципальных услуг в электронной форме, установленными Правительством Российской Федерации.

С целью расширения способов взаимодействия банков с клиентами проектом федерального закона также предлагается предусмотреть, что документы и соглашения могут быть также подписаны с использованием усиленной неквалифицированной электронной подписи, сертификат ключа проверки которой создан и используется в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме (далее - УНЭП «Госключ»).

Никогда такого не было и вот опять

Установлено, что женщина была бухгалтером в коммерческой организации, занимающейся розничной торговлей. Имея доступ к электронной подписи руководителя, она заказала за счет фирмы продукты, сигареты, кондитерские изделия и другие товары. Их она передала своему мужу, который тот продал в своем магазине. Областная прокуратура уточняет, что о замысле жены мужчина не знал.

Кажется, что такие вопросы относительно полномочий из федерального классификатора нужно адресовать не операторам ЭДО, а оператору классификатора т.е. Минцифры. Количество полномочий в классификаторе уже превышает 2,1 тыс.

Клерк:

Сегодня бухгалтерским аутсорсингом в России пользуются более 1 млн компаний и ИП. Чтобы бухгалтер-аутсорсер мог отправлять сдавать отчетность, ему нужна КЭП, которая выдается директору в единственном экземпляре. И если директор отдаст ее бухгалтеру, то передаст ему все свои полномочия, а сам останется без подписи. К тому же существует опасность, что недобросовестные аутсорсеры могут воспользоваться подписью в корыстных целях.

Более миллиона компрометаций ключей ЭП, очень большое число.

Когда стоимость доверенности - ноль

Примером является следующая доверенность - "на получение ЭЦП".  К сожалению, нотариусы продолжают выдавать такие безграмотные доверенности (что не видят разницы между "сертификатом" и "ЭЦП" даже говорит не хочется, закон причитать им слишком сложно, для них это "птичий язык").
Получатели таких доверенностей не понимают, что это нотариусы не знают закон 63-ФЗ, который не содержит норм на получение сертификатов за другое лицо на основании доверенности.
В итоге в отказах, что им не "выдают ЭЦП", обвиняют удостоверяющие центры. Как УЦ могут отказать? Им же представили целую нотариальную доверенность.

Прихожу к мнению, что нотариус может выдать доверенность на представление интересов хоть на Марсе, без разницы, что это нереализуемо, главное оплатите услугу.

Темп перехода сайтов госорганов на отечественные сертификаты безопасности от национального УЦ по-прежнему незначительный. Количество действующих TLS-сертификатов от национального УЦ составляет всего 0,26 %

Согласно рейтингу удостоверяющих центров количество выданных TLS сертификатов в доменной зоне .RU за 3 месяца увеличилось на 26 % - с 1 524 920 до 1 925 533 шт. (в зоне .РФ - с 199 906 до 228 637, в .SU - с 30 323 до 37 428). По сравнение с прошлым рейтингом появился новый УЦ от Google - GTS CA 1P5 (Google Trust Services) с долей 11 %:
🔹Let's Encrypt R3 - 1 531 312 шт. (79,53 %)
🔹GTS CA 1P5 - 211 982 (11,01 %)
🔹GlobalSign - 67 373 шт. (3,5 %)
🔹Let's Encrypt E1 - 64 196 шт. (3,33 %)
🔹AlphaSSL - 43 822шт. (2,28 %)
🔹Иные (в т.ч. НУЦ) - 6 848 (0,36 %)

Количество действующих TLS-сертификатов от национального УЦ ("отечественный RSA") составляет 4922 шт. т.е. всего 0,26 %.

На сертификат от НУЦ перешли сайты ФСТЭК, Казначейства России, Росреестра и др. А вот Минцифры и портал законодательной деятельности Госдумы нет, сайт Минцифры использует платный сертификат от GlobalSign, а СОЗД Госдумы - бесплатный трехмесячный сертификат от Let's Encrypt.

Источники - Интернет-ресурс «Домены России», CTlog

49 аккредитованных УЦ

В соответствии с решением Правительственной комиссии, уполномоченной на принятие решения об аккредитации удостоверяющих центров, аккредитацию впервые получил УЦ ООО "Сибирская интернет компания" (протокол от 01.04.2024 № 4пр)

Уровни доверия идентификации и аутентификации клиентов банков

Не мог пройти мимо Стандарта Банка России СТО БР БФБО-1.8-2024, которым установлен состав и содержание мер для обеспечения доверия к результатам идентификации и аутентификации клиентов при дистанционном банковском обслуживании (ДБО), всё-таки он затрагивает вопросы применения средств электронной подписи.

Использование СКЗИ и (или) средств электронной подписи при проведении идентификации и аутентификации должно осуществляться в соответствии с Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» [4], приказом ФСБ России от 09.02.2005 № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)» [10] и технической документацией на СКЗИ и (или) средство электронной подписи

Итак, для финансовых организаций устанавливаются три уровня доверия идентификации (УДИ), определяющих уверенность в результатах идентификации:
🔹низкий (УДИ 1) - может использоваться для предоставления информационных сервисов физлицам,
🔹средний (УДИ 2) - предоставление информационных сервисов юрлицам, не самые рисковые финансовые операции физлиц,
🔹высокий (УДИ 3) - высокорисковые финансовые операции физлиц, финансовые операции ЮЛ.

Примеры реализации процесса верификации в разрезе УДИ:
🔹УДИ 1 - подтверждение сведений через СМС; проверка паспорта по видеосвязи; проверка сведений о получателе поставщиком услуг; неподтвержденная УЗ ЕСИА.
🔹УДИ 2 - подтверждение сведений с использованием квалифицированного сертификата.
🔹УДИ 3 - подтвержденная УЗ ЕСИА+второй фактор аутентификации (например, СМС); подтверждение сведений посредством сервисов СМЭВ; подтверждение сведений с использованием загранпаспорта нового поколения; подтверждение с использованием ЕБС.

Не согласен с данным примером, что подтвержденная УЗ ЕСИА с СМС (второй фактор включили у всех по-умолчанию прошлой осенью) соответствует более высокому уровню, чем использование квалифицированного сертификата. Это даже 63-ФЗ противоречит, например, для удаленной идентификации с целью получения квалифицированного сертификата можно использовать: загранпаспорт нового поколения (да, технология доступна только для одного УЦ), связку ЕСИА+ЕБС, либо действующий квалифицированный сертификат. УЗ ЕСИА со вторым фактором использовать нельзя для получения сертификата, однако данный способ подтверждения личности отнесен к самому высокому уровню- УДИ 3.

Стандарт носит рекомендательный характер, вступает в силу с 01.07.2024.