Статус: Активный участник
Группы: Администраторы
Зарегистрирован: 29.12.2007(UTC) Сообщений: 1,036  Откуда: КРИПТО-ПРО Поблагодарили: 36 раз в 25 постах
|
Sergey M. Murugov написал:Извините что вмешиваюсь, однако мне кажется, что основная задача УЦ – это идентификация субъектов обмена и указание в сертификате чего либо ещё – ролевых признаков просто неудачная формулировка ФЗ-1, что и понятно, поскольку совершенно не технологично разрешаются ситуации замещения должностей, отпуска, болезни сотрудников, т.е. все то что разруливается приказами в отделе кадров на работе и по идее все это не имеет отношения к ФЗ-1 и УЦ. Но поскольку в ФЗ-1 Ст. 6 п.1 все же есть эта фраза «… об сведеньях в отношении …» и глубина детализации слава богу не определена, то вполне достаточно указать в политике например вот так: «Целостность и авторство (включая неотрекаемость автора) данных, используется при защите электронных документов и сообщений. Данная политика не детализирует правомочность владельца сертификата вырабатывать ЭЦП на конкретном электронным документе, выступая лишь признаком идентификационного элемента субъекта гражданскоправовых взаимоотношений и выполнения должностных обязанностей в соответствии с действующим законодательством.» Т.с. развести в сторону вопросы идентификации и роли конкретного субъекта в конкретный момент времени в конкретной ситуации. Например, в рамках конкретной ИС её организатор детализирует полномочия и навешивает на субъекта всю необходимую информацию, например, ИНН для ФНС, номер страховки для ПФ ...... но иными способами и технологиями (и такие технологии есть и работают), нежели указание всего этого в СКП.
А в части должностных обязанностей организация ведет актуальный (+ история) реестр должностей из которых вытекают права и обязанности. А это означает, повторюсь, элегантное решение проблем болезни, отпуска, замещения сотрудников на работе и все это без переиздания сертификата ключа подписи :-)
При любых разборах полетов, все прозрачно, кто на основании чего что делал и где это зафиксировано.
Уважаемый Сергей! Не в ту степь пошли, однако. Ваше решение ещё хуже, чем мысли в организации, сотрудником которой является Ananda (Владимир Андреев). Повторяю, контрагент не примет документ (электронный или бумажный) если не подтверждена правомочность лица, чья подпись стоит в документе!!! Поэтому, правомочность нужно доказывать. При заключении договоров в традиционной бумажной форме, с нас требуют эти документы, подтверждающие правомочность. Если, Сергей, Вы не заключали договоров, то Вам это возможно неизвестно. Я не скажу, что все поголовно контрагенты требуют эти документы. Но более или менее солидная организация такое требует. Мы заключаем порядка 1500 договоров в год. Из них порядка 300 требуют с нас заверенные копии документов, подтверждающие правомочность. И это правильно!!!! Поэтому в Вашей схеме до разбора полетов просто не дойдет, потому что договор заключен не будет! :-))) Или Вам придется каждому контрагенту высылать кипу заверенных копий. Да нафиг нужен такой электронный документооборот! А хуже Ваше решение тем, что предложенная Вами формулировка увеличит риск непринятия документа в качестве доказательства, т.к. черным по белому написано "не детализирует правомочность владельца сертификата вырабатывать ЭЦП", что трактуется как отсутствие правомочности. Что не указано, то не разрешено! Это я перефразировал пессимистическую гипотезу, на которой основывается криптография. |
