Основные понятия

Для сдачи отчетности через Интернет необходимы четыре компонента:

  • электронная цифровая подпись;
  • программа криптографической защиты информации (СКЗИ);
  • программа для формирования и отправки отчетности;
  • услуги специализированного оператора связи.

Электронная цифровая подпись (ЭЦП) — реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки.

ЭЦП — это программно-криптографическое средство, которое обеспечивает:

  • проверку целостности документов;
  • конфиденциальность документов;
  • установление лица, отправившего документ.

Электронная цифровая подпись (ЭЦП) в электронных документах заменяет рукописную подпись. ЭЦП имеет закрытый и открытый ключи.

С помощью закрытого ключа ЭЦП формируется. Закрытый ключ хранится у пользователя и известен только ему.

Открытый ключ ЭЦП доступен всем. С его помощью адресат, которому пользователь отправил документ, проверяет подлинность ЭЦП пользователя.

Сертификат ключа подписи – документ (на бумаге или электронный), который идентифицирует пользователя для других участников документооборота. Сертификат ключа подписи содержит открытый ключ ЭЦП пользователя.

Создание ЭЦП

Электронная цифровая подпись состоит из двух ключей — открытого и закрытого. Оба этих ключа создаются с помощью специальной шифровальной программы (например, «КриптоПро CSP»). Сначала создается закрытый ключ.

Затем та же программа на основании закрытого ключа создает открытый ключ (обратный процесс — подобрать закрытый ключ по открытому ключу — невозможен). Открытый ключ публикуется на сайтах удостоверяющих центров и спецоператора связи, чьими услугами пользуется владелец ключа, а закрытый ключ следует хранить со всеми возможными мерами предосторожности.

Использование ЭЦП

Рассмотрим процесс формирования и сдачи отчетности. Бухгалтер формирует файл с отчетностью (вносит данные организации в электронный формат декларации). Затем он подписывает файл с отчетностью своим закрытым ключом. Подписание образует новый, оригинальный файл. В подписанном ЭЦП документе ни получатель, ни отправитель уже не могут изменить ни одного символа — подобное нарушение целостности документа легко выявляется при проверке с помощью сертификата открытого ключа.

Далее программа, с помощью которой бухгалтер отправляет отчетность, шифрует декларацию открытым ключом инспекции. Зашифрованный файл отправляется в инспекцию. Инспектор получает файл и расшифровывает его своим закрытым ключом, затем проверяет ЭЦП плательщика с помощью реестра сертификатов открытых ключей. Проверка дает ответ на два вопроса: была ли после подписания ЭЦП плательщика нарушена целостность документа и действительно ли данная ЭЦП принадлежит плательщику, сдавшему отчетность.

После проверки инспекция отправляет организации протокол входного контроля. Инспектор подписывает протокол своим закрытым ключом. Затем шифрует протокол открытым ключом компании и направляет файл с зашифрованной информацией в адрес компании. Бухгалтер открывает зашифрованную в файле информацию своим закрытым ключом.

Теоретически перехватить зашифрованный файл может кто угодно. Однако расшифровать файл, направленный в адрес инспекции, можно только имея закрытый ключ инспекции. Соответственно, зашифрованный файл, направленный в компанию, может открыть только тот, у кого есть закрытый ключ компании.

Закрытые ключи, у которых истек срок действия, тоже следует хранить бережно. Этот тезис особенно актуален для бухгалтеров, которые хранят все сданные отчеты не на своем компьютере, а в зашифрованном виде на сервере спецоператора связи. Если они лишатся закрытого ключа, действовавшего, скажем, в 2006 году, то не смогут расшифровать собственную налоговую отчетность за этот год.

Удостоверяющие центры

За выдачу сертификата ЭЦП отвечают удостоверяющие центры. Они подтверждают подлинность информации о владельце электронной подписи и его полномочиях. Удостоверяющим центром может стать организация, которая пропишет соответствующий вид деятельности в уставе и получит необходимые разрешения и лицензии. В данный момент на территории РФ активно работают около 100 удостоверяющих центров. Большую часть рынка делят между собой 7-10 крупнейших УЦ.

Для получения ЭЦП бухгалтер (руководитель) должен предоставить в УЦ документы, удостоверяющие его личность, доверенность от компании и пишет запрос на выдачу сертификата открытого ключа подписи. Центр выдает электронный и бумажный сертификаты открытого ключа подписи. Электронный сертификат — это файл, который представляет из себя открытый ключ клиента, подписанный ЭЦП удостоверяющего центра. Бумажный сертификат содержит следующие данные: открытый ключ ЭЦП, ФИО его владельца, срок действия сертификата (обычно один год), область применения ключа (перечень документов, которые можно подписывать с помощью ключа, на который выдан сертификат), информация об организации, представителем которой является владелец ключа.

Соответственно, после оформления документов в УЦ у клиента на руках оказывается бумажный сертификат и носитель информации (MS-key, флэшка, дискета) на котором записаны следующие файлы: открытый ключ, закрытый ключ, сертификат открытого ключа.

Информационная безопасность, криптографическая защита информации

По закону сдавать отчетность в электронном виде можно только в том случае, если документооборот защищен, т. е. вся передаваемая информация закрыта от несанкционированного доступа. Защита информации обеспечивается средствами криптографической защиты информации.

Программа для шифрования (СКЗИ)

Аббревиатура СКЗИ означает «средство криптографической защиты информации». Так называют программу, с помощью которой создаются закрытый и открытый ключи ЭЦП. Например, в качестве СКЗИ могут использоваться системы КриптоПро CSP, LISSI-CSP, Signal-COM или Домен-К.

СКЗИ - это комплекс аппаратно-программных средств (шифрование и электронная цифровая подпись), обеспечивающих защиту информации в соответствии с утвержденными стандартами и сертифицированные в соответствии с действующим законодательством.

Цель шифрования файла – сделать невозможным прочтение хранящейся в нем информации посторонними людьми.

Использование электронной цифровой подписи (ЭЦП) документа и СКЗИ обеспечивает:

  • сохранение конфиденциальности переписки;
  • однозначность идентификации налогоплательщика, приславшего файлы отчетности;
  • защиту файлов отчетности от несанкционированных исправлений.

Система криптографической защиты должна обеспечивать:

  • Конфиденциальность - информация должна быть защищена от несанкционированного прочтения как при хранении, так и при передаче. Если сравнивать с бумажной технологией, то это аналогично запечатыванию информации в конверт. Содержание становится известно только после того, как будет открыт запечатанный конверт. В системах криптографической защиты обеспечивается шифрованием.
  • Контроль доступа - информация должна быть доступна только для того, для кого она предназначена. Если сравнивать с бумажной технологией, то только разрешенный получатель может открыть запечатанный конверт. В системах криптографической защиты обеспечивается шифрованием.
  • Аутентификацию - возможность однозначно идентифицировать отправителя. Если сравнивать с бумажной технологией, то это аналогично подписи отправителя. В системах криптографической защиты обеспечивается электронной цифровой подписью и сертификатом.
  • Целостность - информация должна быть защищена от несанкционированной модификации как при хранении, так и при передаче. В системах криптографической защиты обеспечивается электронной цифровой подписью и имитозащитой.
  • Неотрекаемость - отправитель не может отказаться от совершенного действия. Если сравнивать с бумажной технологией, то это аналогично предъявлению отправителем паспорта перед выполнением действия. В системах криптографической защиты обеспечивается электронной цифровой подписью и сертификатом.