- Порядок проведения открытых торгов в электронной форме при продаже имущества (предприятия) должников в ходе процедур, применяемых в деле о банкротстве,
- Требования к электронным площадкам и операторам электронных площадок при проведении открытых торгов в электронной форме при продаже имущества (предприятия) должников в ходе процедур, применяемых в деле о банкротстве,
- Порядок подтверждения соответствия электронных площадок и операторов электронных площадок установленным требованиям.
«Требования к электронным площадкам и операторам электронных площадок при проведении открытых торгов в электронной форме при продаже имущества (предприятия) должников в ходе процедур, применяемых в деле о банкротстве» (утв. Приказом Минэкономразвития России от 15 февраля 2010 года № 54)Это уже не первый нормативный документ, в котором для документов по электронным аукционам и торгам устанавливается десятилетний срок хранения. Учитывая, что все электронные документы должны подписываться электронно-цифровыми подписями, это создает для организаторов площадок серьёзные проблемы, поскольку вопрос обеспечения длительной сохранности юридически-значимых электронных документов с ЭЦП до сих до конца не решён.
II. Требования к операторам электронных площадок
2.1.10. Обеспечивать создание, обработку и хранение в электронной форме заявок на участие в открытых торгах и иных документов, представляемых заявителями, участниками торгов, а также протоколов о результатах проведения открытых торгов в соответствии с Порядком. Обеспечивать хранение в электронной форме указанных документов в течение десяти лет с даты утверждения протокола о результатах проведения открытых торгов.
2.1.11. Обеспечивать защиту информации, содержащейся в заявках на участие в открытых торгах, иных документах, представляемых участниками торгов, в том числе сохранность этой информации, предупреждение и пресечение уничтожения информации, ее несанкционированные изменение и копирование, нарушения штатного режима обработки информации, включая технологическое взаимодействие с другими информационными системами.
2.1.21. Обеспечивать электронный документооборот на электронной площадке согласно следующим правилам:
а) все документы и сведения, связанные с получением регистрации на электронной площадке и проведением открытых торгов, направляются участником торгов, организатором торгов, оператором электронной площадки либо размещаются ими на электронной площадке в форме электронных документов;
б) документы и сведения, направляемые в форме электронных документов либо размещаемые указанными лицами на электронной площадке в форме электронных документов, должны быть подписаны электронной цифровой подписью соответственно участника торгов, организатора торгов, оператора электронной площадки;
в) с момента размещения информации, связанной с проведением открытых торгов, в Едином федеральном реестре сведений о банкротстве и на электронной площадке такая информация должна быть доступна для ознакомления на указанном Едином реестре и на электронной площадке без взимания платы.
Источник: Кодекс
http://www.kodeks.ru/index?tid=633200094&frame=noframe&where=LegRFsearch&script=d&nd=902199911
Добрый день, Наташа.
ОтветитьУдалитьМне вывод не нравится.
Технически всё может строится по следующей схеме на выбор:
1. уже сейчас можно сделать ЭЦП которая будет способна к проверки в течении 30 лет (это следствие того что открытый ключ для ГОСТ 34.10-2001 может иметь период действия 30 лет и у ряба производителей СКЗИ это явно написано в документации). Тут может возникнуть вопрос, а что делать со стойкостью самого 34.10 ведь 30 лет большой срок. Ответ крайне простой, стойкость национального крипта определяют соответствующие органы и в это время "Ч" сотрудникам архива придется переподписать все ЭД, или выпустить штампы времени или зафиксировать квитки факта проверки подписи с ЭЦП уже на новой крипте.
2. При размещении в архиве, на все входящие документы получать квитанцию по проверке ЭЦП на входе в архив, снимать подпись с документа и строить дерево хэшей в архиве чтобы обеспечить целостность хранимых документов (насколько помню на эту тему даже несколько RFC мне попадались). А далее уже если это нужно продлевать не подписи на самих документах а подписи на квитанциях, которые подтверждают истинность ЭЦП в момент размещения в архиве.
----------------------
Собственно вопрос: что не устраивает в таком подходе?
...уже сейчас можно сделать ЭЦП которая будет способна к проверке в течении 30 лет
ОтветитьУдалитьЧто ж так скромно, где 30 - там и 100... А ведь придумать структуру ЭЦП мало - сначала придётся решить кучу технических проблем, включая меры при копрометации/замене криптоалгоритмов, корневых сертификатов, по сохранению базы списков отозванных сертификатов, разного рода документации УЦ. по поддержанию в работоспособном состоянии сертифицированного ПО для проверки исторических ЭЦП. Эатем будут проблемы организационные: за 30 лет будут ликвидированы не только первичные УЦ, но и их правопреемники. И достаточно будет одного не то что неверного - плохо задокументированного шага, и в суде ЭЦП будут успешно оспорены.
Разговоров ходит много, а вот реальных систем, способных перепроверять ЭЦП десятилетней давности, в мире известны единицы.
...сотрудникам архива придется переподписать все ЭД, или выпустить штампы времени или зафиксировать квитки факта проверки подписи с ЭЦП
Технически это возможно, но (пока что) это будет совершенно бесполезное упражнение, поскольку под него нет правовой базы. Не говоря уже о том, что нет правовой базы под использование для переподписания автоматов, а переподписывать архив вручную - ну, это будет забавно.
Вы сами себе - только честно - ответьте: когда соответствующие средства могут появиться у владельцев электронных площадок, если пока что их нет вообще? Моя оптимистическая оценка - лет через 3-5, когда для многих документов будет уже поздно.
Собственно вопрос: что не устраивает в таком подходе?
Главное - что в течение ближайших нескольких лет ничего работоспособного и опирающегося при этом на закон в плане длительного хранения документов с ЭЦП не будет. А варианты светлого будущего я и сама придумывать умею.
Несколько не соглашусь со следующим:
ОтветитьУдалить1. Про 30 лет - это не выдумка, именно эта циферка написана в сопроводительной документации на СКЗИ КриптоПРО. Почему не 100 - мне ответить трудно - надо спросить криптографов из ФСБ.
2. Проблемы конечно есть, именно поэтому лично мне более нравится второй способ, а именно на входе в архив фиксируется факт положительной проверки ЭЦП (пока она ещё не устарела и есть средства её проверить и УЦ не закрылся ...) формируется квитанция и далее хранится и при надобности пролонгируется.
3. На тему когда такие средства могут появиться - да хоть сейчас - вот картинка с реального экрана аж года или два тому назад http://www.top-cross.ru/Pki/RMS-picture-tree.gif в нижней части экрана цепочка из DVC-квитанций - это и есть пролонгация. На этой системе конкретно мы строим системы сбора и хранения данных аудита в сложных ИС, что по сути и есть архив ЭД.
4. Что касается нормативки и законов. Всё что применяется не противоречит ни чему и доказательно в суде, с другой стороны, никто вам не мешает разработать стандарт предприятия в рамках ФЗ О техрегулировании.
Вот Вы опять пишете - "да хоть сейчас". "можно разработать"... Можно, конечно. И законодательно-нормативную базу можно создать. Это как с полётом человека на Марс: всё можно сделать, и даже известно, как :) Остаются лишь сущие пустяки - взять и слетать.
ОтветитьУдалитьВы лучше назовите имеющиеся на рынке продукты (я даже не произношу страшного слова "сертифицированные"), способные хотя бы проверять исторические подписи - после того, как истекут сроки действия соответствующих сертификатов :)
А если Вы знаете имеющиеся на рынке системы, поддерживающие хотя бы один из методов обеспечения долговременной сохранности документов с ЭЦП (скажем, переподписание), то буду крайне признательна за любую информацию такого рода.
Всё что применяется не противоречит ни чему и доказательно в суде
Почитайте как-нибудь, как в суде разбираются споры, связанные с использованием ЭЦП (посмотрите, например, в базе решений арбитражных судов, http://ras.arbitr.ru/). Очень поучительно, и, что называется, "из первых рук". Суть же такая: всё, что не зафиксировано в нормативной базе (как минимум, на корпоративном уровне) или в договорах - не признается.
1. я не пишу "можно разработать" - я пишу, что мы уже сейчас и в прошлом году использовали и сейчас используем систему (скан которой я приводил ранее) как фактофиксирующую систему событий в сложной ИС для сбора доказательной значимой базы для аудита этой самой ИС.
ОтветитьУдалить2. Исторические подписи проверяются в соответствии с ФЗ-1 а именно предъявлением доказательств момента подписания. Именно это мы и делаем когда ещё при "жизни" ЭЦП и сертификатов получаем DVC-квитанцию о факте действительности ЭЦП, и закрепляем через хэшь целостность исходного документа с подписью.
3. Системы такие знаем и пользуемся - переподписание исходных данных не практикуем, зато пролонгацию квитанций (выпуск новой квитанции на квитанцию старую) пользуем и именно это написано в RFC.
The DVCS signing key MUST be of a sufficient length to allow for a sufficiently long lifetime. Even if this is done, the key will have a finite lifetime. Since data validation certificates are just another type of signed documents, they can be validated using (another) DVCS.
4. Про разборы в суде спасибо почитаю, но насколько видится, суд может запросить мнение экспертов (в этой части у нас всё логично и безопасно о чем я пишу), но суд может и не прислушаться к мнению экспертов - так что по жизни на выходе суда может быть всё что угодно.
Всё это очень интересно (правда!), но есть ли у Вас опыт судебных споров? RFC для судьи не аргумент, и если про саму ЭЦП и про сертификат ключа судья знает, то про DVC-квитанцию Вам придётся его просвещать, а затем попытаться убедить его, что этот механизм вписывается в закон об ЭЦП.
ОтветитьУдалитьКстати: Название "Фактофиксирующая система событий в сложной ИС" IMHO звучит как-то страшновато, и оно, по-моему, логически некорректно. Нет, чтобы сказать по-русски - "система протоколирования событий" :)
Исторические подписи проверяются в соответствии с ФЗ-1
Закон говорит о том, что нужно доказать правильность ЭЦП на момент подписания. Если я буду Вашим противником в суде, я потребую повторно проверить саму ЭЦП, и суд мне не откажет, поскольку технически это принципиально возможно, и законодательство не содержит оснований для отказа в такой проверке.
Ну а если Вы используете службу, создающую DVC-квитанции, без моего предварительного согласия, то им вообще грош цена - ФЗ-1 их не предусматривает, а ст.160 ГК тоже будет неприменима.
А вообще, мне кажется, что наша дискуссия подошла к тому моменту, когда ответ уже должна дать практика :))
Доброе утро, мне кажется у вас не совсем правильные посылы.
ОтветитьУдалить1. У нас нет судебного опыта, что плохо конечно, но ему не откуда взяться поскольку мы не эксплуатирующая организация а разработчики.
2. Все эти ужасы про DVC и ЭЦП придется не судью убеждать а экпертную комиссию, поскольку чтобы это всё понимать надо лет 20 сначала в PKI покрутиться и такого опыта у судьи точно нет и за 5 минут убеждений не обретётся.
3. про исторические подписи. ФЗ-1 говорит несколько не то, там сказано что если сертификат на ключах которого выработана ЭЦП истёк по времени, то помимо того чтобы ЭЦП проверилась математически требуется ещё дополнительно представить доказательства факта подписания ЭД (что хоть когда давно эта ЭЦП при ещё действующем сертификате проверялась). Так вот проверить ЭЦП математически очень просто - это простая формула и суду это можно продемонстрировать очень легко хоть повторно хоть третий раз. А вот как быть с подтверждением факта подписания? Для этого предлагается в самом начале когда ещё сертификат автора был действительный, взять и проверить эту самую ЭЦП и факт проверки оформить документально в виде ЭД с ЭЦП проверяющего и в этот ЭД сложить и статус проверки и штамп времени, причем из хорошего эталона (типа GPS/ГЛОНАСС) и всю доказательную базу (списки CRL, квитки OCSP) - весь этот перечень описан в RFC и всё вместе это называется DVC-квитанция. Так попробуйте возразить что это ни есть факт проверки ЭЦП при жизни сертификата автора и именно не это подразумевает ФЗ-1?
На этом дискуссию заканчиваю и будем ждать практики :-)
...у вас не совсем правильные посылы. 1. У нас нет судебного опыта...
ОтветитьУдалитьИ, как следствие, чересчур много уверенности.
Все эти ужасы про DVC и ЭЦП придется не судью убеждать а экспертную комиссию, поскольку чтобы это всё понимать надо лет 20 сначала в PKI покрутиться и такого опыта у судьи точно нет и за 5 минут убеждений не обретётся.
Блажен, кто верует… Это экспертной комиссии придется доказывать судье «все эти ужасы про DVC и ЭЦП», - при этом противоположная сторона всячески будет стараться скомпрометировать и опровергнуть все то, в результатах комиссии ей не понравится. Делать это будет грамотный юрист, умеющий говорить с судьей на одном языке – он ему в 5 минут всё как надо по полочкам-то и разложит :)
Так попробуйте возразить что это не есть факт проверки ЭЦП при жизни сертификата автора и именно не это подразумевает ФЗ-1?
Доказательством признается документ, оформленный в установленном законодательством, договорами, обычаями и т.д. порядке. Законы ничего не подразумевают. Суды положения законодательства читают дословно. В некоторых других юрисдикциях Ваши аргументы могли бы пройти, но у нас – нет, и если ничего про Ваши квитанции не написано ни в ФЗ, ни в договорах – всё, свободны!
1. Уверенность только в том что вы до сих пор не привели не единой логической не стыковки, а апеллируете к заведомой тупости судей и т.п.
ОтветитьУдалить2. Замените слова DVC, квитанция и всё что вас пугает на слова электронное сообщение (или документ) защищенное ЭЦП. И сразу всё станет понятней.
3. По поводу дословного чтения законов, давайте почитаем ФЗ-1 про "историческую " проверку: среди прочего ключевым является фраза "... при наличии доказательств ...". Вы говорите что доказательством может выступать документ. Ни где не написано что этот документ не может быть электронным с подписью, чем собственно DVC-квитанция и является. Теперь осталось понять до какой степени DVC-квитанция есть документ "оформленный в установленном порядке ...." начнем с того что сам сервис работает в соответствии с регламентом который по факту есть публичная оферта (т.е. договор который акцептируется при использовании), в соответствии с технической спецификацией определенной международными стандартами и рекомендациями ... ну вот как то так видимо будет строится линия защиты ...
Это не апеллирование к «заведомой тупости» судей, а практика, судья назначит экспертизу, результат экспертизы и положит в основу решения, а что будет написано в этой экспертизе одному богу известно. По стройкам экспертизы проходят без единой ссылки на СНиПы, ГОСТы, основываясь только на личном «опыте» эксперта, и если ваша линия защиты не будет отражена в этой экспертизе, то ничего вы никому не докажите.
ОтветитьУдалитьНу так это нормально.
ОтветитьУдалитьЯ пытался рассказать только о том что в приведенных комментариях присутствует логически связанная причинно-следственная цепь и не более, и здравомыслящему эксперту будет сложно это опровергнуть. Но совсем другое дело что касается судов, мое глубокое предчувствие в том, что судья даже во внимание может не взять то, что написано в заключении эксперта, считая это не существенным и не заслуживающим внимания. Но в этом я не специалист - это поляна для юристов.
А я вам как юрист и говорю, что суд будет обосновывать свое решение Судебной экспертизой, и даже если там написана полнейшая чушь, признать ее недопустимым доказательством почти невозможно, только назначением повторной экспертизы или опросом эксперта, только эксперт никогда не признает, что составил «неправильно», за это уголовное ответственность предусмотрена.
ОтветитьУдалитьМы что то по моему уже не о том говорим :-(
ОтветитьУдалитьПро судью, экспертную комиссию и эксперта это всё понятно. Я всего лишь на всего писал о том, что если стоит задача хранить долго ЭД с ЭЦП да причём так чтобы они оставались юрсильными, то можно использовать вот такую вот методику (даже две)описанную выше. Писал, что есть такие продукты на рынке и даже уже не первый год как используются. С точки зрения технаря приведенная методика вполне логична и опирается на международные стандарты (что много лучше чем если бы она вообще ни на что не опиралась). Как к этому отнесётся эксперт я предугадать не берусь, да думаю и никто не сможет предсказать. Но если эксперт не полный .... или не купленный, то ему будет очень сложно найти техническую не стыковку в процедурах по выполнению "исторической" проверке ЭЦП.
С интересом слежу за Вашим разговором, коллеги. Как мне кажется, Анастасии удалось более убедительно сказать о том, как работает суд.
ОтветитьУдалитьПопробую, со своей стороны, ещё раз подчеркнуть: я не оспариваю того, что существуют вполне реализуемые, логичные, подкрепленные (не нашими) стандартами технические методы, которые можно было бы использовать для решения целевой задачи. Но эти методы будут в России ржаветь без дела (либо применяться на собственный страх и риск), пока не будет создана хотя бы минимальная поддерживающая их законодательно-нормативная база. Опережающее обучение судей тоже бы не повредило!
Вот пример, иллюстрирующий различие между техникой и правом: с технической точки зрения, от ЭЦП отказаться невозможно. С правовой - можно: достаточно, например, доказать, что в момент подписания человек уже ушёл в мир иной, лежал в больнице в бессознательном состоянии и т.д. и т.п...
Про "ржаветь" - плохие слова, надо пробовать, работать, подтягивать государство ....
ОтветитьУдалитьВ конце не совсем корректная иллюстрация. Дело в том, что технически неотказуемость ЭЦП основано на предположении, что закрытый ключ (который есть считай случайное число) с использованием которого вырабатывается ЭЦП известен только автору ЭЦП. И другое лицо его не знает. Про стойкость алгоритма сейчас говорить не будем, но остается ещё малюсенькая вероятность просто угадать закрытый ключ или украсть. И вот в этом случае чтобы разрулить конфликтную ситуация точно также как и с подписью на бумаге придется "доказать, что в момент подписания человек уже ушёл в мир иной, лежал в больнице в бессознательном состоянии и т.д. и т.п...". Поскольку в техническом мире "поддельных" подписей не бывает и на экспертизу сдавать не чего. Так что электронный мир не сильно поперёк привычной бумаге, хотя в некоторых случаях сильно отличается, например ((с) Сабанов), нельзя выработать ЭЦП на пустом файле, а потом в файл вложить контекст, а с бумагой такое вполне возможно - подписать пустой лист, а потом набить текст.
Добрый день, Наташа ещё раз прочитал твой последний пост и вот что не могу понять.
ОтветитьУдалить1. Почему ты считаешь что стандарты не наши, например ЭЦП вырабатывается именно по нашим стандартам на сертифицированном СКЗИ (что требует наш закон), другое дело структура самой DVC-квитанции соответствует международным рекомендациям, поскольку у нас в РФ аналогичных рекомендаций просто нет, однако тот же ФЗ-1 не накладывает ни каких ограничений на структуру документа и DVC-квитанция соответствует определению ЭД из ФЗ-1, поэтому я не вижу ни одного препятствия считать DVC-квитанцию НЕ документом защищенным ЭЦП.
2. Все рассуждения о действительности "исторической" ЭЦП полностью соответствуют ФЗ-1.
3. Описать в регламенте методику пролонгации квитанции на квитанцию для сбора действительной доказательной базы (в соответствии с ФЗ-1) для "протухших" подписей. Поскольку на эту методику ну точно ФЗ не будут выпускать.
Тогда вопрос: что означает фраза "создана хотя бы минимальная поддерживающая их законодательно-нормативная база" если не затруднит можно перечислить кроме общих слов какая нормативка нужна, её статус и назначение?
Минимальная нормативная база для переподпиания IMHO следующая:
ОтветитьУдалить- Если применение корпоратиное: регламент корпоративной системы, соответствующие положения в договоре с каждым участником (или положения о присоединении участника к корпоративной системе), в т.ч. в тексте правил разбора конфликтных ситуаций.
- В отношении неопределенного круга лиц. Скорее всего, нужны будут положения в ФЗ об ЭЦП (либо в ФЗ об ЭП, если он будет принят), о порядке оказания доверенной третьей стороной подобной услуги (услуг); и уточняющее порядок/правила оказания таких услуг Постановление Правительства.
NB Не могу не отметить, что Вы избегаете слова "нотариат" - и это грамотно. Это слово, сказанное в суде, тут же сделает всю подобную деятельность противозаконной - поскольку ничего подобного закон о нотариате не допускает.
1. Итак, с корпоративным уровнем уяснили - ничего нового или специального для узаконивания "исторической" проверки ЭЦП через пролонгацию DVC-квитанций не требуется. Поскольку все указанные выше положения и так должны быть описаны в договорах "присоединения" просто исходя из логики составления договора на ИТ-услуги.
ОтветитьУдалить2. Неопределенный круг лиц. в ФЗ-1 существует Ст. 10 п.1 самый последний абзац: УЦ "может предоставлять участникам ИС иные связанные с использованием ЭЦП услуги". Вопрос, почему надо ещё что то нормативно создавать, когда на лицо явная "услуга связанная с ЭЦП" ?