Законные барьеры

Алексей Лукацкий, менеджер по развитию бизнеса Cisco: «Бюджетникам — медицинским и образовательным учреждениям, различным ФГУП — придется немало повозиться, приводя свои информационные системы в соответствие с требованиями законодательства»

Российское государство, реализуя ряд международных соглашений, накладывает на информационные системы все более сложные ограничения, которые приходится выполнять и бюджетным организациям. При этом требования законов в некоторых случаях являются настолько жесткими, что это приводит к дополнительным расходам бюджетов разных уровней и тормозит развитие информационных систем.

Наиболее серьезные проблемы вызвали в бюджетной сфере требования двух законов: «Об электронно-цифровой подписи» (ФЗ-1) и «О персональных данных» (ФЗ-152).

Они устанавливают порядок обработки данных в информационных системах практически всех российских предприятий. Бюджетным организациям приходится труднее всего, поскольку они должны внедрять специальные средства защиты, а с другой стороны — то же государство не выделяет бюджетным организациям достаточного количества ресурсов для выполнения собственных требований.

Неисполнимый ФЗ-1

Закон «Об ЭЦП» был принят в 2002 году. Его разработчики вроде бы ставили перед собой важные задачи — обеспечить компании и организации инструментарием для юридически значимого электронного документооборота. Однако требования закона удалось реализовать не сразу — около шести лет пришлось выстраивать необходимую для него инфраструктуру. Кроме того, исполнению ФЗ-1 препятствовал ряд проблем.

Например, ЭЦП является атрибутом электронного документа, но юридически закрепленного понятия об электронном документе на момент принятия ФЗ-1 не было.

Планировалось принять соответствующий закон «Об электронном документе», однако это до сих пор не сделано. В результате трактовка понятия ЭЦП как атрибута электронного документа вызывает разногласия у юристов.

В тексте закона также указано, что ЭЦП является аналогом собственноручной подписи, хотя на самом деле это не так. Дело в том, что собственноручную подпись может поставить только сам человек, и все подделки можно выявить с помощью экспертизы. В то же время ЭЦП может поставить любой человек, имеющий доступ к секретной части подписи, и такую подделку эксперт выявить не в состоянии.

Поэтому эксперты МВД считают электронную подпись не собственноручной, называя ее электронной формой печати.

Закон предписывает субъекту, за которым закрепляется ЭЦП, самостоятельно обеспечить сохранность секретной части сертификата, что на практике реализовать очень сложно. Большинство людей, которым по долгу службы требуется работать с электронной подписью, не представляют себе, как можно защитить подпись, и даже не понимают, как она работает. Поэтому граждане часто передают право на распоряжение секретной информацией специалистам по ИТ, что создает существенные законодательные проблемы и возможность признания ЭЦП недействительной.

Для реализации ФЗ-1 нужно было развернуть инфраструктуру публичных ключей, которая создавалась очень долго и сформировалась только в последнее время. Важным элементом этой инфраструктуры является корневой удостоверяющий центр, который был создан агентством Росинформтехнологии в рамках проекта Общероссийского государственного информационного центра (ОГИЦ). Сейчас ответственным за инфраструктуру электронного правительства и за корневой УЦ также назначена компания «Ростелеком». Она, кроме того, является ответственным исполнителем целевой программы «Электронная Россия» и других программ автоматизации бюджетной сферы и государственных органов России.

В целом же влияние ФЗ-1 на рынок безопасности оказалось отрицательным, поскольку позиция сертифицирующих органов в отношении зарубежных алгоритмов шифрования до сих пор остается непреклонной: ни одно средство защиты, использующее такие алгоритмы, не пройдет процедуру сертификации. Из-за этого бюджетным организациям и предприятиям приходится внедрять инструменты генерации ЭЦП, разработанные отечественными специалистами, и эти разработки стоят дороже иностранных аналогов, хотя имеют меньший функционал. Фактически ФЗ-1 торпедировал возможность применения зарубежных коммерческих систем защиты электронных документов в госсекторе.