3. Забезпечення електронного документообігу

Електронний документообіг (обіг електронних документів) – це сукупність процесів створення, оброблення, відправлення, передавання, одержання, зберігання, використання та знищення електронних документів, які виконуються із застосуванням перевірки цілісності та у разі необхідності з підтвердженням факту одержання таких документів. Порядок електронного документообігу визначається державними органами, органами місцевого самоврядування, підприємствами, установами та організаціями всіх форм власності згідно з законодавством.

Відправлення та передавання електронних документів здійснюються автором або посередником в електронній формі за допомогою засобів інформаційних, телекомунікаційних, інформаційно-телекомунікаційних систем або шляхом відправлення електронних носіїв, на яких записано цей документ. Якщо автор і адресат у письмовій формі попередньо не домовилися про інше, датою і часом відправлення електронного документа вважаються дата і час, коли відправлення електронного документа не може бути скасовано особою, яка його відправила. У разі відправлення електронного документа шляхом пересилання його на електронному носії, на якому записано цей документ, датою і часом відправлення вважаються дата і час здавання його для пересилання.

Вимоги підтвердження факту одержання документа, встановлені законодавством у випадках відправлення документів рекомендованим листом або передавання їх під розписку, не поширюються на електронні документи. У таких випадках підтвердження факту одержання електронних документів здійснюється згідно з вимогами Закону України «Про електронні документи та електронний документообіг». Електронний документ вважається одержаним адресатом з часу надходження авторові повідомлення в електронній формі від адресата про одержання цього електронного документа автора, якщо інше не передбачено законодавством або попередньою домовленістю між суб’єктами електронного документообігу. Якщо попередньою домовленістю між суб’єктами електронного документообігу не визначено порядок підтвердження факту одержання електронного документа, таке підтвердження може бути здійснено в будь-якому порядку автоматизованим чи іншим способом в електронній формі або у формі документа на папері. Зазначене підтвердження повинно містити дані про факт і час одержання електронного документа та про відправника цього підтвердження.

У разі ненадходження до автора підтвердження про факт одержання цього електронного документа вважається, що електронний документ не одержано адресатом. Якщо автор і адресат у письмовій формі попередньо не домовилися про інше, електронний документ вважається відправленим автором та одержаним адресатом за їх місцезнаходженням (для фізичних осіб – місцем проживання), у тому числі якщо інформаційна, телекомунікаційна, інформаційно-телекомунікаційна система, за допомогою якої одержано документ, знаходиться в іншому місці. Місцезнаходження (місце проживання) сторін визначається відповідно до законодавства.

Необхідним реквізитом електронного документа є електронний цифровий підпис. У багатьох випадках такі підписи повинні мати посилені сертифікати відкритих ключів. Наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 13.01.2005 № 3 (у редакції наказу ДСТСЗІ від 10.05.2006 р. № 50 затверджено Правила посиленої сертифікації, які розроблені на виконання постанови Кабінету Міністрів України від 13 липня 2004 року № 903 «Про затвердження Порядку акредитації центру сертифікації ключів* та визначають організаційні, технічні і технологічні вимоги до акредитованих центрів сертифікації ключів (далі – акредитовані центри) під час обслуговування ними посилених сертифікатів відкритих ключів (далі – сертифікат) та забезпечення їх використання. У цих Правилах організаційні, технічні і технологічні умови діяльності акредитованих центрів під час обслуговування ними сертифікатів мають назву політика сертифікації.

Сертифікати, сформовані відповідно до вимог політики сертифікації, використовуються для підтримки електронного цифрового підпису, який задовольняє вимогам щодо підпису, застосованого до даних в електронній формі, у такий же спосіб, як власноручні підписи задовольняють вимогам стосовно документа на папері.

Акредитований центр повинен мати Регламент роботи, що визначає порядок та процедури обслуговування сертифікатів. У Регламенті роботи повинно бути визначено:

а) загальні положення (ідентифікаційні дані акредитованого центру – повне найменування, код за ЄДРПОУ, місцезнаходження, номери телефонів, електронна адреса електронного інформаційного ресурсу);

б) перелік суб’єктів, задіяних в обслуговуванні і використанні сертифікатів та їх функції;

в) сфера використання сертифіката:

• перелік сфер, у яких дозволяється використання сертифікатів, сформованих акредитованим центром;

• обмеження щодо використання сертифікатів, сформованих акредитованим центром;

г) порядок розповсюдження (публікації) інформації акредитованим центром:

• перелік інформації, що публікується акредитованим центром на електронному інформаційному ресурсі;

• час і порядок публікації сертифікатів та списків відкликаних сертифікатів;

ґ) порядок ідентифікації та автентифікації:

• механізми підтвердження володіння підписувачем особистим ключем, відповідний якому відкритий ключ надається для сертифікації;

• умови встановлення юридичної особи (представника юридичної особи) або фізичної особи – підписувачів (інформація, що надається заявником під час реєстрації, види документів, на підставі яких встановлюється підписувач, необхідність особистої присутності підписувача в акредитованому центрі тощо);

• механізми автентифікації для підписувачів, які мають чинний сертифікат, сформований в акредитованому центрі;

• механізми автентифікації під час звернення до акредитованого центру щодо відкликання (блокування і скасування) та поновлення сертифіката;

д) умови, процедури та механізми, пов’язані із формуванням, блокуванням, скасуванням та використанням сертифіката:

• процес подання запиту на сертифікацію (перелік суб’єктів, уповноважених здійснювати запит на сертифікацію, порядок подачі та оброблення запиту на сертифікацію, строки оброблення запиту на сертифікат тощо);

• надання сформованого сертифіката підписувану та визнання сертифіката його власником;

• публікація сформованого сертифіката акредитованим центром;

• використання сертифіката та особистого ключа (відповідальність підписувача – власника сертифіката під час використання особистого ключа та сертифіката, відповідальність користувачів під час використання сертифіката);

• процедура подачі запиту на сертифікацію для підписувачів, які мають чинний сертифікат ключа, сформований акредитованим центром;

• скасування (блокування, поновлення) сертифіката (обставини скасування (блокування, поновлення) сертифіката; перелік суб’єктів, уповноважених здійснювати запит на скасування (блокування та поновлення) сертифіката; процедура подання запиту на скасування (блокування, поновлення) сертифіката; час оброблення запиту на скасування (блокування, поновлення) сертифіката; частота формування списку відкликаних сертифікатів та строки його дії; можливість та умови надання інформації про статус сертифіката у режимі реального часу);

• закінчення строку чинності сертифіката підписувача;

е) управління та операційний контроль:

• фізичне середовище (опис спеціального приміщення, механізми контролю доступу до нього);

• процедурний контроль (перелік посад безпосередньо задіяних в обслуговуванні сертифікатів, їх функції та відповідальність з урахуванням режиму роботи акредитованого центру);

• ведення журналів аудиту автоматизованої системи акредитованого центру (типи подій, що фіксуються у журналі аудиту, частота перегляду, строки зберігання журналів аудиту, захист та резервне копіювання журналів аудиту, перелік посад, що можуть здійснювати перегляд журналів аудиту);

• ведення архівів (типи документів та даних, що підлягають архівуванню, строки зберігання архівів, механізми та порядок зберігання і захисту архівів);

є) управління ключами:

• генерація ключів (процес, порядок та умови генерації ключів акредитованого центру та підписувачів);

• процедури надання особистого ключа після генерації акредитованим центром його власнику;

• механізм надання відкритого ключа акредитованому центру для сертифікації;

ж) забезпечення захисту особистого ключа:

• порядок захисту та доступу до особистого ключа акредитованого центру;

• резервне копіювання особистого ключа акредитованого центру, порядок та умови збереження, доступу та використання резервної копії.

Обслуговування акредитованим центром сертифікатів передбачає:

• реєстрацію;

• сертифікацію;

• розповсюдження;

• управління статусом сертифіката;

• розповсюдження інформації про статус сертифіката.

Додатково акредитований центр може надавати засоби ЕЦП.

Реєстрація підписувача здійснюється наступним чином. Встановлення юридичної особи здійснюється за її установчими документами (положення, статут юридичної особи тощо) або копіями таких документів, які нотаріально посвідчені відповідно до законодавства. Крім цього, акредитований центр встановлює представника юридичної особи та його повноваження. Встановлення фізичної особи здійснюється за паспортом або іншими документами відповідно до законодавства. У разі, якщо під час реєстрації встановлюється підписувач – фізична особа як представник юридичної особи, заявник повинен додатково надати до акреди- тованого центру відомості щодо належності підписувача до цієї юридичної особи.

Заявник повинен надати свою адресу, телефон або іншу інформацію, що дозволяє зв’язатися з ним. Реєстрація підписувачів може здійснюватися через відокремлені пункти реєстрації, які виконують свої функції згідно з Регламентом роботи. У разі, якщо особистий та відкритий ключі були згенеровані не акредитованим центром, під час реєстрації повинно бути забезпечено перевірку щодо володіння підписувачем особистим ключем, який відповідає відкритому ключу, наданому для формування сертифіката. Перевірка виконується без розкриття особистого ключа підписувача.

Перед укладенням договору із заявником щодо надання послуг ЕЦП акредитований центр повинен ознайомити заявника із умовами обслуговування сертифікатів. Акредитований центр може надати таку інформацію через електронний інформаційний ресурс або в інший спосіб.

Договір акредитованого центру та заявника про надання послуг ЕЦП повинен включати:

• обов’язки сторін, у тому числі щодо обов’язковості використання надійних засобів ЕЦП;

• умови надання доступу користувачам до сертифіката підписувача (умови публікації сертифіката).

Договір акредитованого центру та заявника про надання послуг ЕЦП може бути у формі електронного документа. Акредитований центр повинен взяти на облік укладені договори із заявниками, а також документи (посвідчені в установленому порядку копії документів), що використовуються під час реєстрації. Акредитований центр повинен забезпечити захист персональних даних підписувача відповідно до законодавства.

Формування сертифіката підписувачу здійснюється акредитованим центром на підставі даних, отриманих від заявника під час реєстрації. Формат сертифіката, що відповідає вимогам Закону України «Про електронний цифровий підпис», визначається відповідними технічними специфікаціями форматів представлення базових об’єктів національної системи ЕЦП.

У разі, якщо центр сертифікації ключів акредитується засвідчувальним центром та надає послуги ЕЦП в межах інформаційної системи з обмеженим колом користувачів, що визначене власником інформаційної системи або відповідними угодами користувачів цієї системи, такий акредитований центр може використовувати формат сертифіката, визначений засвідчувальним центром. Акредитований центр повинен забезпечити унікальність розпізнавального імені підписувача та реєстраційного номера сертифіката в межах акредитованого центру.

Для фізичної особи обов’язковими реквізитами розпізнавального імені є прізвище, ім’я та по батькові, а для юридичної особи

• повна назва юридичної особи відповідно до статуту (положення) та ідентифікаційний код за ЄДРПОУ. Додаткові дані підписувача (належність до певної організації, посада тощо) вносяться у сертифікат за бажанням заявника або відповідно до вимог нормативно-правових актів, що встановлюють особливості застосування ЕЦП у відповідній сфері.

В акредитованому центрі повинно бути передбачено можливість резервування усіх сформованих ним сертифікатів. Всі події, пов’язані із формуванням, переформуванням, блокуванням, поновленням та скасуванням сертифікатів, виданих акредитованим центром, повинні протоколюватися в акредитованому центрі із забезпеченням захисту протоколів від несанкціонованого доступу.

Розповсюдження умов обслуговування та використання сертифіката здійснюється наступним чином. Акредитований центр повинен надати вільний доступ користувачам до інформації щодо умов, пов’язаних з використанням сертифіката, зокрема:

• положень політики сертифікації, визначеної у цих Правилах;

• обмежень при використанні сертифіката;

• зобов’язань та підстав відповідальності підписувачів стосовно використання сертифіката, у тому числі щодо використання надійних засобів ЕЦП;

• інформації щодо порядку перевірки чинності сертифіката, у тому числі умов перевірки статусу сертифіката;

• строків зберігання акредитованим центром даних про підписувачів, що були отримані ним під час реєстрації;

• порядку розв’язання спорів;

• законодавства в сфері ЕЦП;

• підстав відповідальності акредитованого центру.

Зазначена інформація може надаватися через електронний

інформаційний ресурс або в інший спосіб, що дає можливість з нею ознайомитися і повинна бути вільно доступна для користувачів цілодобово.

Розповсюдження сертифікатів здійснюється наступним чином. Після формування сертифікат повинен бути доступний заявнику та/або підписувану, для якого цей сертифікат був сформований. Доступ до сформованого сертифіката для користувачів надається у разі згоди на це заявника, якщо для державних органів інше не передбачене правилами їх систем електронного документообігу.

Законодавство України передбачає випадки скасування посилених сертифікатів ключів. Акредитований центр сертифікації ключів негайно скасовує сформований ним посилений сертифікат ключа у разі:

• закінчення строку чинності сертифіката ключа;

• подання заяви власника ключа або його уповноваженого представника;

• припинення діяльності юридичної особи – власника ключа;

• смерті фізичної особи – власника ключа або оголошення його померлим за рішенням суду;

• визнання власника ключа недієздатним за рішенням суду;

• надання власником ключа недостовірних даних;

• компрометації особистого ключа.

Центральний засвідчувальний орган негайно скасовує посилений сертифікат ключа центру сертифікації ключів, засвідчуваль- ного центру у разі:

• припинення діяльності з надання послуг електронного цифрового підпису;

• компрометації особистого ключа.

Центральний засвідчувальний орган, засвідчувальний центр, акредитований центр сертифікації ключів негайно блокують посилений сертифікат ключа:

• у разі подання заяви власника ключа або його уповноваженого представника;

• за рішенням суду, що набрало законної сили;

• у разі компрометації особистого ключа.

Скасування і блокування посиленого сертифіката ключа набирає чинності з моменту внесення до реєстру чинних, скасованих і блокованих посилених сертифікатів із зазначенням дати та часу здійснення цієї операції. Центральний засвідчувальний орган, засвідчувальний центр, акредитований центр сертифікації ключів негайно повідомляють про скасування або блокування посиленого сертифіката ключа його власника.

Блокований посилений сертифікат ключа поновлюється:

• у разі подання заяви власника ключа або його уповноваженого представника;

• за рішенням суду, що набрало законної сили;

• у разі встановлення недостовірності даних про компрометацію особистого ключа.

Відповідно до Правил посиленої сертифікації блокування та скасування сертифікатів здійснюється наступним чином. Акредитований центр повинен визначити у Регламенті роботи умови та процедури відкликання сертифіката, зокрема:

• хто може звернутися до акредитованого центру щодо блокування або скасування сертифіката;

• порядок звернення до акредитованого центру щодо блокування або скасування сертифіката;

• умови підтвердження звернення щодо скасування або блокування сертифіката;

• причини, за якими сертифікат може бути заблокований;

• механізми (методи), що використовуються акредитованим центром для розповсюдження інформації про статус сертифіката;

• максимальний час між отриманням звернення щодо скасування або блокування сертифіката та зміною його статусу, інформація про який доступна користувачам.

Особа, яка звертається до акредитованого центру щодо скасування сертифіката, повинна бути встановлена, а також перевірено законність такого звернення. Вимоги щодо підтвердження запиту на скасування сертифіката встановлюються акредитованим центром. Підписувач, сертифікат якого був заблокований або скасований, повинен бути проінформований про зміну статусу сертифіката. Скасований сертифікат не може бути в подальшому поновлений.

У разі, якщо для розповсюдження інформації про статус сертифіката акредитованим центром використовується механізм списку відкликаних сертифікатів, повинно бути забезпечено такі умови:

• кожний список відкликаних сертифікатів повинен містити час видання наступного списку, якщо інше не передбачено Регламентом роботи;

• новий список відкликаних сертифікатів може бути опублікований до визначеного часу видання наступного списку;

• список відкликаних сертифікатів повинен бути підписаний за допомогою особистого ключа акредитованого центру.

Формат списку відкликаних сертифікатів визначається відповідними технічними специфікаціями форматів представлення базових об’єктів національної системи ЕЦП. Управління статусом сертифіката та розповсюдження інформації про статус сертифіката повинні бути вільнодоступні цілодобово.

Звернення щодо скасування сертифікатів фіксуються та зберігаються в акредитованому центрі. Акредитований центр повинен забезпечити цілісність та автентичність інформації щодо статусу сертифікатів.

Порядок обов’язкової передачі документованої інформації, затверджений постановою Кабінету Міністрів України від 28 жовтня 2004 р. № 1454 визначає механізм обов’язкової передачі на зберігання центральному засвідчувальному органу або засвідчувальному центру посилених сертифікатів відкритих ключів (далі – сертифікати), документованої інформації акредитованим центром сертифікації ключів (далі – акредитований центр) у разі припинення його діяльності. Метою зазначеної передачі є забезпечення можливості перевірки електронного цифрового підпису, накладеного на електронний документ підпису- вачем, відкритий ключ якого засвідчений в акредитованому центрі, що припиняє діяльність.

Акредитований центр, що засвідчив свій відкритий ключ у центральному засвідчувальному органі або засвідчувальному центрі, здійснює передачу центральному засвідчувальному органу або засвідчувальному центру такої документованої інформації: електронні документи – сертифікати, що були сформовані акредитованим центром, електронний реєстр сертифікатів, електронні документи, на підставі яких були сформовані, скасовані, блоковані та поновлені сертифікати підписувачів (якщо такий спосіб передбачений регламентом роботи акредитованого центру), список відкликаних сертифікатів;

документи на папері – договори, на підставі яких підписува- чам надавалися послуги електронного цифрового підпису, оригінали документів, що посвідчують фізичних та юридичних осіб – підписувачів, оригінали документів, на підставі яких бу- ли сформовані, скасовані, блоковані та поновлені сертифікати підписувачів, або засвідчені в установленому порядку їх копії, а також засвідчені в установленому порядку копії рішень (ухвал) судів щодо відшкодування збитків, понесених внаслідок неналежного виконання акредитованим центром своїх обов’язків.

Електронні документи передаються у двох примірниках. Електронний реєстр сертифікатів містить такі дані:

• унікальний реєстраційний номер сертифіката;

• основні дані (реквізити) підписувача, які внесено до сертифіката;

• дата і час початку та закінчення строку чинності сертифіката;

• дата, час та причина скасування, блокування і поновлення сертифіката.

На електронний реєстр сертифікатів з допомогою особистого ключа акредитованого центру накладається електронний цифровий підпис. Формат електронного реєстру сертифікатів, вимоги до носіїв інформації та порядку запису на них електронних документів визначаються центральним засвідчувальним органом або засвідчувальним центром, якому передається документована інформація.

Документи на папері, які передаються до центрального засвідчувального органу або засвідчувального центру, повинні бути зброшуровані. На зворотному боці останнього аркуша зазначається кількість сторінок, ставиться підпис керівника акредитованого центру, який скріплюється печаткою. За три місяці до припинення своєї діяльності акредитований центр повідомляє центральний засвідчувальний орган або засвідчувальний центр про рішення щодо припинення діяльності та узгоджує з ним дату і умови передачі документованої інформації (у тому числі типи носіїв інформації та форматів електронних даних, що підлягають передачі).

За місяць до припинення своєї діяльності акредитований центр разом із заявою, в якій зазначаються підстави та дата припинення його діяльності, подає до центрального засвідчувального органу або засвідчувального центру – акт приймання-пере- дачі та документовану інформацію. Акт приймання-передачі, у якому зазначаються дата передачі, номери та назви документів, кількість аркушів у документі, типи та номери носіїв інформації, складається у трьох примірниках. Документована інформація передається до центрального засвідчувального органу або засвід- чувального центру нарочним чи рекомендованим поштовим відправленням.

Розгляд заяви, встановлення відповідності акта приймання- передачі та документованої інформації, приймання її на зберігання центральним засвідчувальним органом або засвідчувальним центром, а також підписання акта його керівником здійснюється не пізніше ніж за день до припинення діяльності акредитованого центру.

Перший примірник акта залишається у центральному засвідчувальному органі або засвідчувальному центрі, другий видається керівнику акредитованого центру, третій надсилається до контролюючого органу.

Завдання для самоконтролю:

1. Визначте правові ознаки електронних документів.

2. Порівняйте юридичну сила електронного та паперового документів.

3. У яких випадках електронний документ не може бути застосовано як оригінал?

4. Що таке електронний підпис і електронний цифровий підпис?

5. Дайте визначення понять: «особистий ключ», «відкритий ключ», «сертифікат відкритого ключа», «посилений сертифікат відкритого ключа».

6. Назвіть суб’єктів електронного документообігу.

7. Визначте повноваження центру сертифікації ключів, акредитованого центру сертифікації, центрального засвідчувального органу.

8. Розкрийте загальні засади політики сертифікації.

РОЗДІЛ 13. ПРАВОВЕ РЕГУЛЮВАННЯ ТЕЛЕКОМУНІКАЦІЙ.

РОЗВИТОК НАЦІОНАЛЬНОЇ СКЛАДОВОЇ ГЛОБАЛЬНОЇ ІНФОРМАЦІЙНОЇ МЕРЕЖІ ІНТЕРНЕТ

Питання для опрацювання:

1. Основні положення законодавства України щодо телекомунікацій.

2. Управління і регулювання у сфері телекомунікацій.

3. Суб’єкти ринку телекомунікацій.

4. Особливості розвитку національної складової глобальної інформаційної мережі Інтернет.

Рекомендована література:

1. Директива 97/66/ЄС Європейського Парламенту і Ради Європи «Стосовно обробки персональних даних і захисту права на невтручання в особисте життя в телекомунікаційному секторі» // Офіційний журнал L 024, 30/01/1998 – с. 0001 – 0008.

2. Резолюція 60/45, прийнята Генеральною Асамблеєю Організації Об’єднаних Націй, «Досягнення у галузі інформатизації та телекомунікацій в контексті міжнародної безпеки» від 08.12.2005 р.

3. Закон України «Про телекомунікації» від 18 листопада 2003 року // Відомості Верховної Ради, 2004. – № 12. – ст. 155.

4. Указ Президента України від 24 вересня 2001 року № 891/2001 «Про деякі заходи щодо захисту державних інформаційних ресурсів у мережах передачі даних» // Офіційний Вісник України, 2001. – №39. – ст. 1757.

5. Постанова Кабінету Міністрів України від 3 серпня 2005 р. № 688 «Про затвердження Положення про Реєстр інформаційних, телекомунікаційних та інформаційно-телекомунікаційних систем органів виконавчої влади, а також підприємств, установ і організацій, що належать до сфери їх управління» // Офіційний вісник України, 2005. – №

31. — том 2.—ст. 1869.

6. Постанова Кабінету Міністрів України від 29.03.2006 р. №373 «Про затвердження Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах».

7. Постанова Кабінету Міністрів України від 9 серпня 2005 р. №720 «Про затвердження Правил надання та отримання телекомунікаційних послуг» // Офіційний вісник України, 2005. – № 32. – ст. 1935.

8. Наказ Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 24.04.2007 р. № 72 «Про затвердження

Порядку формування й користування інформаційним фондом Реєстру інформаційних, телекомунікаційних та інформаційно-телекомунікаційних систем органів виконавчої влади, а також підприємств, установ і організацій, що належать до сфери їх управління» // Офіційний вісник України, 2007. – № 35. – ст. 1400.

9. Брижко В. М., Гальченко О. М., Цимбалюк В. С., Орехов О. А., Чорнобров А. М. Інформаційне суспільство: Дефініції:людина, її права, інформація, інформатика, інформатизація, телекомунікації, інтелектуальна власність, ліцензування, сертифікація, економіка, ринок, юриспруденція. – К. : Інтеграл, 2002. – 220с.

10. Ващинець І.І. Цивільно-правова охорона авторських прав в умовах розвитку інформаційних технологій: Дис... канд. юрид. наук: 12.00.03 / НАН України; Інститут держави і права ім. В.М.Корецького. – К., 2006. – 179 с.

11. Орлов С.О. Кримінально-правова охорона інформації в комп’ютерних системах та телекомунікаційних мережах: Дис... канд. юрид. наук:

1. 08 / Національний ун-т внутрішніх справ. – X., 2004. – 213 с.

12. Пастухов О.М. Авторське право у сфері функціонування всесвітньої інформаційної мережі Інтернет: Дис.... канд. юрид. наук: 12.00.03 / Національний педагогічний ун-т ім. М.П.Драгоманова. —К., 2002. – 173 с.