По нашим наблюдениям, в текущей ситуации организации могут выбрать для себя несколько путей. Забегая вперед можно сказать, что идеального варианта на текущий момент нет. Вот наиболее реалистичные:
Сценарий 1. Использование обезличенной УКЭПСамый популярный сценарий — использовать новый вид УКЭП — обезличенную электронную подпись, в сертификате которой не указывается конкретное физлицо в качестве владельца. По данным ФНС России, для получения «обезличенного» сертификата необходимо являться лицом, действующим от имени юридического лица без доверенности, или индивидуальным предпринимателем и представить в налоговую службу:
- Письмо на официальном бланке с приложением копии распорядительного документа о создании информационной системы, либо иного документа на основании которого данное юридическое лицо или индивидуальный предприниматель осуществляет функции оператора информационной системы;
- Основной документ, удостоверяющий личность заявителя (паспорт);
- Сведения о страховом номере индивидуального лицевого счета;
- Сведения об идентификационном номере налогоплательщика — юридического лица и (или) физического лица.
- Сертифицированный носитель ключевой информации (USB-А) для записи на него ключевой информации.
Сегодня такой вид подписи поддерживает как система мониторинга ГИС МТ, так и МДЛП. Некоторые компании отпугивает необходимость разработки собственной информационной системы для получения такой УКЭП, однако по данным наших клиентов, это требование достаточно легко соблюсти, поэтому многие игроки рынка выбирают именно этот путь при работе с МЧД.
Среди основных минусов обезличенных УКЭП можно отметить привязку к физическому ключу электронной подписи. Он неэкспортируемый, а значит если у бизнеса стоит облачная track&trace-система, ответственная за взаимодействие с "Честным Знаком", то в этом случае физически вставить токен с обезличенной УКЭП на сервер невозможно. Есть опция вынести компонент облачной системы, отвечающий за подписание, из облака на сервер клиента (или арендовать физический сервер в "облаке"), тогда USB-носитель можно будет вставить в сервер. Но если в облачных системах есть функция георезервирования, которая может защитить от материальных угроз — например, пожара в дата-центре, то при проблемах с "железным" токеном всю процедуру по заказу подписи в ФНС нужно будет запускать заново, ведь обезличенный УКЭП выдается только в единственном экземпляре. Несмотря на то, что сроки выпуска УКЭП занимают всего пару дней, эти задержки могут быть критичны для бизнеса.
Проблема также может встать в полный рост, например, для крупных холдингов с несколькими юридическими лицами и своей ИТ-инфраструктурой — каждое юридическое лицо в таком случае закажет свой обезличенный УКЭП, разместит его на своем сервере, а облачная система будет определять, к какому серверу подключаться. Также нужно будет озаботиться обеспечением безопасности такого доступа извне к серверу подписания. Мы провели уже несколько удачных пилотных проектов по созданию таких решений, поэтому на собственном опыте убедились в работоспособности такого сценария.
Сценарий 2. Использовать УКЭП физлица своего сотрудникаНаиболее традиционный сценарий — выпуск УКЭП физлица для ответственного за подписание сотрудника, загрузка в систему L4 и оформление на него МЧД. Сегодня электронные подписи надежно защищены шифрованием, поэтому применение личного УКЭП не должно создавать риски информационной безопасности для человека. В то же время сотруднику необходимо разъяснить, где именно с точки зрения ИТ-ландшафта компании будет храниться его подпись, как она будет использоваться, а в идеале прописать в трудовом договоре ответственность компании перед сотрудником, механизм возмещения ущерба в случае компрометации МЧД или индивидуальные финансовые условия за риски.
По такому пути пошел один из наших клиентов — крупная компания в сегменте FMCG. Организация согласует новую схему со службой информационной безопасности, а также готовит большую информационную кампанию для сотрудников. Руководство будет разъяснять пользователям смысл всех нововведений и механизмы безопасной работы — такой подход позволит повысить уровень доверия к нововведениям среди команды. В компании считают, что важно обеспечить процесс загрузки УКЭП в информационную систему самим владельцем, чтобы не передавать его токен системному администратору или другим лицам.
Юристы FMCG-производителя также советуют ответственным за подписание сотрудникам запретить сбор биометрических данных о себе и оформить в МФЦ заявление о разрешении транзакций, например, на заключение сделок с недвижимостью, только при условии их физического присутствия.
В случае, если система L4, в которую загружена электронная подпись, является облачной, важно убедиться, что оператор системы L4 несет ответственность за безопасное хранение и целевое использование УКЭП.
Сценарий 3. Использования УКЭП сотрудника поставщика решения по маркировкеПрава на подписание отчетов о маркировке продукции можно передать и сторонним организациям, например, поставщику track&trace системы. В таком случае подписание будет осуществляться УКЭПом физического лица поставщика. Сотрудники таких компаний хорошо понимают бизнес-процесс по маркировке, доверяют системе, в которой хранится их УКЭП, а в их трудовом договоре поставщик может прописать механизм возмещения ущерба в случае компрометации или индивидуальные финансовые условия за риск.
Чтобы применить такой сценарий, нужно выпустить МЧД на сотрудника компании, предоставляющей такую услугу, и использовать его УКЭП для входа в личный кабинет «Честного знака». В дополнительном соглашении с поставщиком нужно прописать зоны взаимной ответственности, предусмотреть санкции на случай нарушений, а также позаботиться о том, чтобы процесс не приостановился в случае ухода сотрудника из компании-представителя track&trace системы. Клиент также может напрямую подписать соглашение о неразглашении с конкретным сотрудником подрядчика, так как сотрудник при таком подходе получает доступ в личный кабинет клиента в «Честном знаке».