ЭЦП руководителя используется несколькими сотрудниками #765427

Собственно исторически сложилась ситуация указанная в сабже. Люди сдают много отчетов - статистика, ПФР, ФСС и прочее. Недавно локальное начальство озаботилось вопросами безопасности и удобства для пользователей. Понятен конфликт - если мы копируем носитель в реестр то все становится удобно, но безопасность страдает. Если флешка с ЭЦП существует в единственном экземпляре и для работы необходимо ее физически подключить - безопасность вроде в норме, но страдает удобство пользователей. Мне видится наиболее удобным вариант, когда каждый из ответственных за определенный набор отчетности сотрудник получает свою ЭЦП, и за ним закрепляется право выполнения определенных действий доверенностью от руководителя организации. Из минусов тут вижу плату за каждый экземпляр подписи раз и потенциальные неудобства при увольнениях-перемещениях ответственных сотрудников. Хочу поинтересоваться как подобное организовано у вас, если сталкивались с таким, может есть еще решения обладающие всеми достоинствами и лишенные недостатков?

Собственно исторически сложилась ситуация указанная в сабже. Люди сдают много отчетов - статистика, ПФР, ФСС и прочее. Недавно локальное начальство озаботилось вопросами безопасности и удобства для пользователей. Понятен конфликт - если мы копируем носитель в реестр то все становится удобно, но безопасность страдает. Если флешка с ЭЦП существует в единственном экземпляре и для работы необходимо ее физически подключить - безопасность вроде в норме, но страдает удобство пользователей. Мне видится наиболее удобным вариант, когда каждый из ответственных за определенный набор отчетности сотрудник получает свою ЭЦП, и за ним закрепляется право выполнения определенных действий доверенностью от руководителя организации. Из минусов тут вижу плату за каждый экземпляр подписи раз и потенциальные неудобства при увольнениях-перемещениях ответственных сотрудников. Хочу поинтересоваться как подобное организовано у вас, если сталкивались с таким, может есть еще решения обладающие всеми достоинствами и лишенные недостатков?

готовят отчетность многие, а сдает пусть одно уполномоченное на это лицо

*ЗДЕСЬ

7 пик.

сделать 2 подписи первая исполнителя (они могут быть разные) вторая директора (единственная) это избавит от множества вопросов типа "Иван Иваныч, зуб даю у меня было по другому..."

один носитель но на терминале

А что ФСС и прочие принимают 2 подписи?

клиент банки - понимают, про остальных не знаю, но думаю должны...

ну тут явно не про клиент банк речь. Никто бы не стал всем подряд давать подпись от кб

со статистикой только что созванивался, говорят для них неважно, если это будет ЭЦП сотрудника ответственного, и у нас допустим на него доверенность это нормально и многие как раз так и делают.

С ЭЦП, конечно, засада: трудно сделать так, чтобы электронные документы подавала секретарша в красивой папочке "На подпись".

А помните, как Медведев по ТВ заверял документы "электронной подписью": стилусом по планшету?

удостоверяющему центру тоже без разницы. они готовы выпустить столько ЭЦП сколько пожелаем, но их позиция и так понятна - вместо одной подписи раз в год продлеваемой они выпускают несколько с потенциально занчительным числом перевыпусков - лишние деньги.

У нас с подписями один терминал. Готовят отчеты многие, выгрузили, пришли на терминал, отправили. То же самое и с клиент банком. Мы, централизованная бухгалтерия, больше 100 организаций. Как-то так.

тю блин. безопасность, гришь, страдает. так ты тому, кто копирует ЭЦП в реестр, по ручонкам шаловливым линейкой. глядишь, и безопаснее станет. :) зы: у нас ЭЦП размножается, но не в реестр, а на носителях. И не на флэшке, а на токенах. Если ЭЦП можно скопировать в реестр, то точно также ее можно скопировать и на токен. Назначаются приказом несколько ответственных сотров. Каждому выдается токен. << Понятен конфликт - если мы копируем носитель в реестр то все становится удобно, но безопасность страдает. Если флешка с ЭЦП существует в единственном экземпляре и для работы необходимо ее физически подключить - безопасность вроде в норме, но страдает удобство пользователей. >> Метталической линейкой по шаловлимым ручонкам - и никакого конфликта в этом плане. В сейфе можно хранить не одну флэшку, а несколько, прикинь, да.

то есть реализован вариант с одной ЭЦП руководителя, но в нескольких экземплярах, которые выданы ответственным сотрудникам, верно? по ручонкам самому себе не хочется, лучше придумать цивилизованное решение)

Стартап замутите с юзанием сотовых в качестве носителей подписи. ЭЦП копируется на телефон/планшет владельца (руководителя или другого лица) А выглядеть будет как отправка запроса/файла по сетке (понятно зашифрованный другой парой ключей канала) на телефон с подписью и там уже подписывать будет именно владелец или кому он доверил эту подпись

+ на смарте/планшете можно и как

+ т.е. графическая "подпись" пальцем/стилусом по экрану будет паролем для ЭЦП

звучит замороченно и боюсь что ВИПам может идея понравиться, поэтому лучше ее не озвучивать)

сделать несколько копий на токенах, выдавать под роспись ответственным лицам...

потенциально возможна ситуация когда кто-то накосячит и пойдет в отказную, чтобы не устраивать сериалы с охотой на ведьм для выяснения кто же в итоге именно отправил тот самый отчет с неверными цифрами, и хочется сделать персональные ЭЦП для конкретных сотрудников и в единственном экземпляре.

Как вариант, вместо реестра можно использовать том трукрипта. Менее защищенно чем токен, но лучше чем реестр.

Так делай в чем проблема? Количество бумажек и денег увеличивается в разы. Считаю подписи. 1. 44 фз заказчик 2. 44 фз исполнитель 3. 223 фз заказчик 4. 223 фз исполнитель 5. минфин ацк 6. отчетность контур экстерн. ИФНС ПФР ФСС Стат 7. сбербанк зп проект 8. челябинвест зп проект + еще 3 випнекоординатора. А теперь увеличить по числу сотрудников??? Да ну на....yz

И что это изменит? И так на предприятии знают, кто отправляет конкретный отчет. Если вам нужны юридически значимые доказательства - другое дело. А зачем? Хотите ущерб взыскивать с бухгалтерши с зарплатой в 10 тыр?

Реально бесит, что нельзя получить одну ЭЦП руководителя, действительную ВЕЗДЕ, то есть полный аналог собственноручной подписи. Вроде как есть ГОСТ, есть законы, позволяющие это - так фиг вам. УЦ и спецоператоры аффилированы с соответствующими сайтами и службами и в принципе не выдают универсальных ключей. Чтобы клиент заплатил за одно и то же несколько раз(

АГа, а еще есть программки которые генерят ЭЦП, вот как раз такая устанавливаться не хочет. А спецоператоры впаривают рутокены....

наши юристы говорят, что нельзя выдавать доверенность на ЭЦП

Пользоваться нет. На получение иногда можно иногда нет , зависит от регламента. А реалии проще на руководителя сделать.

Забыл совсем еще иногда надо и 2 подписи Руководителя и главбуха. Веселуха.

тут есть 2 проблемы 1. Техническая дело в том, что заголовки контейнеров шифрования разрабатывались в 90х и тогда это делалось специально криво для того, что бы нельзя было для крипто про использовать ЭЦП мелкософта развернутые на собственном сервере и заодно не платить за патенты. Потом все немного менялось, но все криптопровайдеры сейчас технически не совместимы друг с другом в полном объёме, даже сами ЭЦП имеют разный формат заголовков... 2. Юридическая сертификационный центр гарантирует подлинность только своей подписи, и здесь вопрос доверия между центрами...

ну так мы вроде как использование тут обсуждаем, не?

ну не на столько все прямо печально, конечно до идеала далеко, но мы например все ключи получаем в одном УЦ, и используем везде где сможем...

безопсстность только одна - не допускать к эп непонятных личностей

Буквоед? Я ЭЦП можно сказать что и не пользуюсь, но почему то программист должен готовить все документы. Поэтому еще раз - ну его подальше несколько человек. Все на руководителя и одну его подпись всем кто чтото делает.  Кстати руководитель все такие реже меняется чем сотрудники. При увольнении сотрудника - менять подпись опять.

в нормальных конторах учетом, выдачей и аннулированием ЭЦП занимается специально обученные люди... если у тебя этим занимаешься ты, то зачем искать виноватых на форуме? )))

Я не ищу виноватых. Выше читай.

читал, увидел горечь и обиду на руководство, которое заставляет "Директора, сисадмина и мальчика на побегушках" заниматься собиранием документов для ЭЦП...  ))

Тебе поговорить не с кем? Или есть опыт заполнения, получения и тп по 44ФЗ и АЦК? Нет? Я так и знал.

я же по русски вроде написал, у меня есть для этого дела специально обученный человек, который собирает все документы от сотрудника, оформляет заявки на получение ЭЦП, получает их учитывает, отслеживает сроки и т.д. и т.п.... зы. если внимательно читать выше, вроде как ты собрался со мной беседовать, меня твои проблемы не волновали...

А потом твой человек еще едет за 100 км в -20 ? Или продолжает сидеть в теплом офисе? Выдумщик.

помните одну штуку ЭП -- поставленная подпись неуполномоченным лицом не освобождает от обязательств, на которые подписались с помощью этой ЭП

для этого существуют девайсы такие с четырьмя окружностями по бокам и одной окружностью внтури, называется автомобиль. И ес-сно если надо, то едет, а если не надо, то не едет - ибо это есть производственный процесс, если для тебя это звучит как фантастика, то это лично твоя проблема, зачем ее проецировать на других?

Тебе задали простой вопрос про 44фз и в бюджетной организации, ты несешь какую то ахинею автомобиль. Ты типичный адинеснег? Объясняю - работа в бюджетной организации немного отличается от работе во франче. И специальных людей нет. Есть программист, сисадмин, фикс по 1с , по барсу, и по ремонту электронного оборудования в одном лице . И обиды на руководителя нет - там нормальный мужик, детей лечит, понимаешь? Ну не такой как ты. Ты отвратительный руководитель ;))))  Иди работай, солнце еще высоко.

нервы и злость - это видимо поголовная проблема сотрудников бюджетных мед.учереждений, что в реальности, что в вирте... хорошо хоть есть куда обратится.

Подсказать хорошего психиатра? Или ты уже знаешь куда обратится? Береги себя. ;))))

<<доверенность на ЭЦП>> это бессмысленный набор слов. Юристы ТАК сказать не могут по определению. Ну или "Ваши юристы" - такие..."юристы"... Доверенность может быть только на получение ЭЦП. Что касается использования - то ЭЦП использовать нельзя. Зато можно пользоваться -  смотрим закон об ЭП 63-ФЗ: "Статья 10. Обязанности участников электронного взаимодействия при использовании усиленных электронных подписей При использовании усиленных электронных подписей участники электронного взаимодействия обязаны: 1) обеспечивать конфиденциальность ключей электронных подписей, в частности не допускать использование принадлежащих им ключей электронных подписей без их согласия;" Таким образом, Закон прямо говорит, что при СОГЛАСИИ можно пользоваться КЛЮЧОМ электронной подписи. А без их согласия - нельзя. Все проще -  не нужна никакая "доверенность на ЭЦП" (знать бы еще, что это за зверь) -  приказом назначается аминистратор/пльзователь рабочего места, в приказе прописываются его полномочия, права и обязнности, типа сдавать определенную отчетность или пользовать определенное ПО -  с использованием определенного ключа ЭП согласно пп.1 п.10 Федерального Закона "Об ЭП" 63-ФЗ.

Ключ для электронной отчетности в Контуре не подходит для госуслуг и аукционов, ключ для госуслуг не подходит для отправки эл.отчетности. Хотя оба ключа выданы одним и тем же УЦ и оба под Криптопро.

это для поставщиков, участвующих в аукционах. Для заказчиков - ключ для аукционов подходит и для госуслуг, и более того - вход на zakupki.gov.ru для закачиков по 223-ФЗ осуществляется через gosuslugi.ru

Суть в том, что нет ни технических ни юридических оснований. Просто кое-кому деньги нужны.

У него спец есть, он сам ни бум бум. Вот именно. Вот сейчас заплатили за 44фз заказчик + 223фз заказчик и исполнитель = 6500 р + 500 р за рутокен. За что??? И полезного продукта нет. Это воздух.

угу самое смешное про срок действия ЭП в год обычно или вообще краткосрочные типа байтики протухли да?

> Что касается использования - то ЭЦП использовать нельзя. брехня

бредишь кто сказал, что ключ выданный для торгов не может быть использован для отправки скажем в ифнс декларации ? главное, это наличие в subject нужных полей + я выпускаю ключи как для крипто про, так и для виннет

такие же требования к безопасности, как и требования менять пароль юзера в Win каждые 30 дней (или сколько там дней по умолчанию?) Конечно, обязательность смены пароля в политиках можно отключить, но ведь по умолчанию требования включены - что, тоже смешно сказать "байтики протухли"? Кроме этого, есть сроки действия корневых сертификатов, да что там - самj ПО тоже сертифицировано с ограниченными сроками. К примеру, Крипто-Про 4.0 и 3.9R2 до сих пор не сертифицированны ни ФСБ, ни ФСТЭК: а сертификаты соответсвия на Крипто-Про 3.6 и на Крипто-Про 3.9 тоже имеют определенные сроки: так чтое сли бы у тебя до сих пор действовала бы ЭП, изготовленная на Крипто-Про 2.0,  то увы, она бы уже не соответствовала требованиям усиленной квалифицированной ЭЦП. Хотя насчет года - да, я с тобой согласен. Можно было бы выдавать на полный срок сертификации ПО (и/или корневого сертификата).

+ и отсутствия в сабже "ненужных" полей

юридическая подоплёка в том, что нужно достоверно точно идентифицировать участника эта идентификация делается с помощью ключа если ключ "увели", ты не успел сообщить, чтоб его отозвали --- значит ключ бы валидным, и все обязательства, подписанные им неуполномоченные лицом никуда не продадут

могу выпустить тебе ЭП на 2 года =)

так в этом то и проблема, фиг с ней с периодической (ежегодной) оплатой но какой гемор когда не успел ключики вовремя поменять, а оно срочно понадобилось и начинается беготня/поездки с бумажками

почем и какие?

> К примеру, Крипто-Про 4.0 и 3.9R2 до сих пор не сертифицированны ни ФСБ, ни ФСТЭК: однако ж ифнс/госуслуги с удовольствием принимают такой криптопровайдер + vipNET

просто надо работать с теми, кто изготавливает ключи в течение 15 минут =)

один фиг ехать с бумажками

для 1с-отчётности по цене 1 года

мои клиенты никуда не ездят

Еще один косноязычный. Для тугодумов неумеющих читать я специально процитировал стаью об ЭП - вледелец может разрешить  пользоваться КЛЮЧОМ ЭЦП. Я теперь я послушаю тебя, как можно разрешить "пользоваться ЭЦП". Давай, в деталях, распиши. Подробно, в чем твоя брехня "можно пользоваться ЭЦП" - отличается от моей "брехни" - ЭЦП пользоваться нельзя, но можно пользоваться КЛЮЧОМ ЭЦП".

неужто сам привозишь? вот такие нужны ключики кроме 1С-отчетности обычные для ИФНС от такском или тензор подходят

они точно также с удовольствием принимают и Крипто-Про 3.9, и 3.6  и чЁ? Это ж не значит, что госуслуги и прочие не работаютс Крипто-Про. Я просто сказал, что последние релизы Крипто-Про пока еще (ПОКА) не имеют сертификатов соответствия, но это же не значит, что и предпоследние релизы Крипто-Про их не имеют.

дир получил ЭП издал приказ, что марьяИвановна может ЭП дира для того-то

1. ты думаешь я мотался с ключами в Ростов, Иркутск и т.д. ? 2. ключи 1с-отчёности являются квалифицированными сертификатами

еще раз - я привел точную формулировку закона с указанием подпункта, пункта и номера закона. Что там издал косноязычный дир - мне плевать. Какой приказ должен издать НЕкосноязычный дир - я тоже привел. не <<марьяИвановна может ЭП дира для того-то>> а <<марьяИвановна в соответствии с пп.1 п.10 63-ФЗ может пользоваться КЛЮЧОМ ЭП дира для того-то>> Суть одна и та же, но в случаях с ЭЦП я предпочитаю ТОЧНЫЕ формулировки из законодательства. Хотя суть одна, да.

Оба сертификата - квалифицированные, то есть выдавший сертификат сотрудник УЦ видел документы физлица и засвидетельствовал их соответствие данным сертификата. Просто в одном сертификате задана одна область применения, в другом другая. А сертификатов без ограничения области применения - принципиально не выдают.

я давно копался в фз ну-ку, это в каком поле область применения указана ?

Я сейчас точно не могу сказать. Но помню, когда-то пытался зайти госзакупковским ключом на контур - вышла ошибка про область применимости сертификата.

ну.. как не выдают. Безгранично - да. А ограничено - есть. К примеру, Федеральное Казаначейство - можно получить ключик, который будет действовать и в СУФД, и в АЦК, и на госуслугах, и как ЗАКАЗЧИК на закупках и по 223-ФЗ и по 44-ФЗ. Это все один сертификат. Или, к примеру, вчера только получил в УЦ Кордон ключик и как поставщик на аукционах (и по 44-ФЗ и по 223-ФЗ) и как заказчик на тех же аукционах по 223-ФЗ.

правильно контур просто поставил ограничение т.е. обычная лавочка анализирует -- кем выдан ключ и какие есть поля и решает -- пускать или нет а вот госы, площадки не могу не пускать вот так для них важно только --- --ЭП выпущено аккредитованным УЦ --ЭП квалифицирована --ЭП содержит необходимые поля

Ближайший УЦ - в 100 км. За каждым сертификатом приходится лично ездить (ибо сертификат квалифицированный), либо оформлять нотариальную доверенность и опять же либо возить с собой оригиналы документов (паспорт, снилс, егрюл и т.п) либо их опять же нотариально заверенные копии. Гемор тот еще. Да, в госконторах казначейство выдает сертификат, но зайти под ним в контур нельзя. Знакомое учреждение вынуждено еще один получать в центринформе. Вот только и на аукцион зайти с контуровским ключом тоже нельзя, хотя он и квалифицированный.

а какие риски от ЭЦП для подписания отчетности?

аналогичные в случае собственно ручной подписи

1. я инициирую изготовление ЭП на месте клиента никуда ехать не надо 3. в это ключе нет доп полей, которые нужны для площадки

"я инициирую изготовление ЭП на месте клиента " Изготовить то её нетрудно, а вот получить сертификат КЭП можно только с предъявлением оригиналов документов - таков регламент УЦ. "доп полей, которые нужны для площадки" Угу. А ключ, где есть эти поля, не принимается контуром, потому что "обычная лавочка просто поставила ограничение". Вообще, считаю, что функции УЦ - это те функции, которыми государство должно заниматься непосредственно, не поручая это всяким там конторкам. Чтобы в каждом районе был свой представитель, уполномоченный принять документы и выдать ЭП. На базе службы юстиции, или налоговой, например.

1. копии оригиналов нужны 2. положи ты хер на это контур -- забудь про него

Центринформ копии принимает при продлении сертификата без изменения данных. Для генерации нового - только оригиналы. Если копии - то только нотариально заверенные, а каждое заверение денег стоит.

я вот не вижу особых рисков в подписи именно при подписании отчетности - всегда можно уточненку пересдать.

Спасибо за цитату, также спасибо всем участникам обсуждения.

да ладно. В УЦ СБИС++ достаточно сканы отправить

а вот если подписать договор или акт его уже не отозвать

верно. только пока акты приходили за телефон + за коммуналку - копейки в общем

А государство в этом смысле продвинутое. В отделении Федерального Казначейства заводят "дело" на учреждение и при ПРОДЛЕНИИ сертификата, если исходные данные не изменились, вообще ничего не требуют. Ибо все документы уже имеются в деле. При выдаче нового или изменении  данных, естественно, нужны оригиналы или нотариальные копии. Но - один-единственный раз.

а у государства и так в каждом месте, где есть отделение (отдел) федерального казначейства, считай что филиал УЦ имеется. Так что в принципе готовая инфрастуктура и обученный персонал у государства имеется. Немного расширить.. объем то увеличится.. Т.е. с точки зрения затрат нужно не так уж много, гораздо меньше, чем если бы организовывать все с нуля на базе юстиции или налоговой.

И,естественно, сделать платным.Сейчас то УЦ УФК для бюджетников делает ЭЦП бесплатно. Это ж еще какая статья доходов бюджета появится.

себестоимость меньше 100 рублёв

Забавно, вот нам УФК делает только на закупки по 44Фз, а остальное в УЦ левое. А УЦ левое не делает на закупки 44ФЗ.

кстати насчет УЦ была новость - создание государственного УЦ в ближайших планах. возможно вскоре изменится обстановка с сертификатами глобально. цена вопроса если мне не изменяет память 200 млн зеленых и год времени.

Во. А я об чем. При такой себестоимости.. просто удивительно, как чиновники еще не прочухали и не прибрали к ручонкам своим загребущим. Вот только вряд ли это УЦ будет чисто государственным. Скорее, сделают структуру типа "особа, приближенная к императору", которая и будет стричь всю страну. А у zak555 отберут.

Ну, скоро отдел казначейства будет не "в каждом месте". Оптимизация у них. В столицу субъекта федерации придётся ездить.

Ну дык как раз и кадры и ресурсы освободятся, И помещения и оргтехника и каналы связи. Всё и всех ведь в столицу субъекта не заберут.

не переживай, не отберут