Есть такие организации как операторы электронного документооборота - «организации, предоставляющие услуги по обмену открытой и конфиденциальной информацией по телекоммуникационным каналам связи в рамках электронного документооборота счетов-фактур между продавцом и покупателем».

Для обеспечения юридической значимости документов используются ключи электронной подписи выданные аккредитованными УЦ. Эти УЦ в большей своей части используют КриптоПРО CSP. Т.е. пользователи систем электронного документооборота фактически используют КриптоПРО CSP.
Вот. Это все была преамбула.

Недавно наша компания перешла на электронный документооборот (система Диадок). И мы столкнулись с проблемой информационной безопасности. В нашей компании внедрена политика информационной безопасности согласно которой все ключи электронной подписи должны быть записаны на защищенные носители (например Рутокен) и иметь ПИН-код. В ходе использования системы электронного документооборота выяснилось что в силу технических причин использовать ПИН-код от контейнера КриптоПРО CSP нереально. В силу особенностей служебного трафика системы на каждую входящую счет-фактуру необходимо проставить три ЭП и соответственно ввести три раза ПИН-код. Получается что если через систему ЭДО к нам поступит 30 счетов фактур, то руководителю после входа в систему придется просто непрерывно набивать 90 раз ПИН-код. Соответственно ПИН-код для всех руководителей пришлось сохранить. В итоге понижение уровня информационной безопасности. Техподдержка СКБ Контур отправляет в КриптоПРО ссылаясь на утвержденный ФНС регламент обмена электронными документами. При этом ссылаясь на то что все клиенты системы работают по такой схеме (все сохраняют ПИН-коды от контейнеров). Я понимаю что формально и КриптоПРО и Контур могут ответить что это не их проблема, но так быть не должно. В таком виде эта система имеет серьезные проблемы с безопасностью.

Отредактировано пользователем 28 ноября 2017 г. 13:37:09(UTC)  | Причина: Не указана

Простой пример из "бумажной" жизни:

"Печать" есть только у директора и он часто отсутствует в офисе.
Проблема: накапливаются документы.

Варианты:
а) директор, когда приезжает - сам ставит печати. Безопасность максимальна? А удобство?
б) директор, идя на риски, "передает печать" сотруднику... эти же вопросы - риторические.

Мое руководство готово самостоятельно ставить ЭП. и даже требует это. тем более что для этого не обязательно находится на рабочем месте. но бесконечное подписывание служебного трафика вынуждает сохранять пароли.
Потом, при массовом подписание документов (например 20 документов) почему бы не сделать однократное требование ввода пин-кода. Я думаю все это возможно и решаемо. главное желание с вашей стороны)

Это реализовать может прикладное ПО - требовать пароль на контейнер, хранить его "у себя где-то\в памяти" и подставлять при подписании. Вы же понимаете уровень "безопасности"?

Всяко лучше чем сохраненные пароли. с сохраненным паролем всегда есть вероятность что кто то незаметно скопирует контейнер. та же самая уборщица