Введение
Вообще я юрист. Живу в небольшом городке Ставропольского края на юге России. По роду деятельности постоянно сталкиваюсь с информационными технологиями. Неожиданно для себя увлеклась web-программированием, пока делала сайт для своей фирмы. Тогда зачем то выбрала Битрикс, о чем ни раз пожалела, но как говорится — это совсем другая история.
Расширение бизнеса
Сначала хотели открывать удостоверяющий центр, но после долгих подсчетов стало понятно, что финансово не окупится. Решено было стать партнером удостоверяющего центра, ведь продавать электронную подпись очень хотелось. «Спрос рождает предложение» — у нас постоянно спрашивают не занимаемся ли мы электронными ключами. Видимо такие выводы делает клиент, который приходит к нам допустим, зарегистрировать свой бизнес. Ведь, что ему нужно, что бы бизнес начал свое существование? Допустим:
- Документация для регистрации в налоговой;
- Документация для открытия расчетного счета (обязательно, если это ООО);
- Круглая печать;
- Электронная подпись для сдачи отчетности;
Это самый минимальный список, для нормальной работы нужно гораздо больше. Конечно можно сдавать отчеты почтой (только не НДС), некоторым ИП можно работать без печати, даже счета не открывая, но мы все же о бизнесе, а не о выживании).
Три первые пункта мы предоставляем клиентам, осталось как то организовать работу с ЭП.
«Начать может и один человек, без лицензии»
Таким был ответ одного из удостоверяющих центров. Сразу как то не очень поверилось, пришлось проверять.
Партнерский договор был напичкан всякими терминами и сокращениями, читался сложно, но из смысла было понятно, что нами будут обрабатываться персональные данные. Соответственно нужно подать уведомление в Роскомнадзор. Перед тем как это делать — нужно все привести в соответствии с законом о защите персональных данных. А это финансовые затраты. Допустим:
- Покупка межсетевого экрана и его настройка;
- Покупка антивируса;
- Покупка охранного оборудования;
- Ежемесячные затраты на охрану;
Отлично, все сделано. Идем дальше — лицензия. Региональный менеджер удостоверяющего центра настаивал, что мы можем работать и без нее, но как говориться чувствовался подвох. «Она потом понадобиться» — звучала как то странно с юридической точки зрения. Бизнес должен быть законным с самого начала, иначе его существование будет не долгим, это я поняла из практики.
Из обзора судебной практики стало понятно, что никакого единого мнения нет. От штрафа в 2 000.00 рублей до тюремного заключения. Предусмотрена как административная, так и гражданская с уголовной ответственность.
Осуществление предпринимательской деятельности без специального разрешения (лицензии), если такое разрешение (такая лицензия) обязательно (обязательна), — влечет наложение административного штрафа:
- на граждан в размере от двух тысяч до двух тысяч пятисот рублей с конфискацией изготовленной продукции, орудий производства и сырья или без таковой;
- на должностных лиц — от четырех тысяч до пяти тысяч рублей с конфискацией изготовленной продукции, орудий производства и сырья или без таковой;
- на юридических лиц — от четырехсот до пятисот минимальных размеров оплаты труда с конфискацией изготовленной продукции, орудий производства и сырья или без таковой.
Уголовная ответственность возникает в случае особо крупных размеров или причинения вреда. С точки зрения гражданского кодекса — все сделки не действительны, а значит и ключи эп, а это грозит судами и компенсациями.
Мы будем просто передавать документы
Региональный менеджер продолжал настаивать что наши действия законны, и мы можем начать работу без лицензии. Для себя то мы уже однозначно решили что делать, но настойчивый молодой человек все же до меня дозвонился и счастливым и жизнерадостным голосом стал уговаривать начать работу с клиентами до получения лицензии.
«Ну чего вы боитесь, вы же не будете выпускать электронную подпись, вы просто передаете документы и консультируете клиентов по вопросам нашего программного обеспечения!»- звучит неплохо, жаль только все равно попадает под лицензирование.
Постановление Правительства РФ от 16.04.2012 N 313 (ред. от 18.05.2017)
21. Передача шифровальных (криптографических) средств, за исключением шифровальных (криптографических) средств защиты фискальных данных, разработанных для применения в составе контрольно-кассовой техники, сертифицированных Федеральной службой безопасности Российской Федерации.
(п. 21 в ред. Постановления Правительства РФ от 18.05.2017 N 596)
(см. текст в предыдущей редакции)
22. Передача защищенных с использованием шифровальных (криптографических) средств информационных систем.
23. Передача защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем.
24. Передача средств изготовления ключевых документов.
С Вами говорит ФСБ
Звонок в Федеральную службу безопасности снял все сомнения и расставил все на свои места. В отделе лицензирования трубку взяла доброжелательная женщина, ответившая на мои вопросы:
- Да, лицензия нужна;
- Для ее получения нам необходимо обучить всего одного человека;
- Необходимые виды деятельности для работы с УЦ "*******" в качестве партнера — 21, 22, 23, 24;
Этот вопрос кстати, уже не раз поднимался на обучении по информационной безопасности. Например озвучивалось, что фирма оказывает платные услуги по сопровождению регистрации на портале, а ЭП выдается клиенту в подарок. Наивно полагать, что работники контролируемых органов примут такие объяснения. Просто составят протокол о правонарушении, а вы потом бегайте по судам. Еще и компьютеры изымут и доказывайте потом что хотите.
Предпринимателям
Будьте бдительны. Особенно когда дело касается информационных технологий — все что с ними связано, сейчас основной вектор развития нашей страны. Эта сфера активно развивается, «дырок в законодательстве» много, можно легко попасть под штрафы и суды. Суды дело муторное, дорогое и рискованное — в эту систему лучше не попадать, плюс практики еще очень мало и надеяться на то, что судья станет разбираться во всех тонкостях и отменит протокол правонарушения ФСБ не стоит.
Ваш бизнес должен быть законным с самого начала, иначе это перечеркнет возможность заниматься им в будущем серьезно.
Не доверяйте слепо партнерам, у них уже устойчивый бизнес, от ваших проблем им не жарко не холодно.
Комментарии (15)
AstorS1
21.09.2017 22:10Не переживайте, в ближайшей перспективе останется по одному УЦ на федеральный округ, который будет обслуживать клиентов на закрепленной территории.
Talik0507
21.09.2017 23:36Открыте нового направления в бизнесе — это, безусловно, всегда идет на пользу самому бизнесу.
Но, как и в любых начинаниях, крайне необходимо глубоко изучить все нюансы, чтобы избежать возможных рисков, и тем более. потери части своих клиентов из-за недостаточной осведомленности среди своих клиентов.
Это первое, что бросилось в глаза, после прочтения данной публикации.
Юридически подкованный человек, в первую очередь, изучает федеральные законы, регламентирующие ту или иную деятельность, а также смежные нормативно-правовые акты.
В контексте данной публикации это Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи»
Взяв его за основу, и будучи глубоко ознакмлленным в данной сфере напрашивается ряд спорных тезисов, описанных автором публикации:
1...:«ведь продавать электронную подпись очень хотелось. — партенр удостоверящего центра (далее, для простоты — УЦ) никаким образом не может самостоятельно продавать ЭП. Партнерское соглашение подразумевает всего лишь роль рекламного агента.
2… :»Конечно можно сдавать отчеты почтой (только не НДС)" — соответствовало действительности пару лет назад. На текущий момент контролирующие органы обязали сдавать отчетность не только с применением ЭП, но еще и при обязательном участии сторонних организаций, предоставляющийх услуги по передаче отчетности с использованием телекоммуникационных каналов связи (всего их 12 на всю РФ).
3...:«Из обзора судебной практики стало понятно» — было бы хорошим дополнением указать реальные номера дел. Благо что, ГАС Правосудие, которая как раз использует ЭП в том числе, позволяет делиться этими данным в совершенно открытой форме.
4...:"«Ну чего вы боитесь, вы же не будете выпускать электронную подпись, вы просто передаете документы и консультируете клиентов по вопросам нашего программного обеспечения!»- звучит неплохо, жаль только все равно попадает под лицензирование." — звучит ровно настолько, насколько вы соглашаетесь в этом участвовать, и дальнейшая сноска к Постановлению Правительства РФ от 16.04.2012 N 313 (ред. от 18.05.2017) совершенно никакого отношения к представителю УЦ (исходя из первого тезиса) не имеет. т.к. представитель УЦ не передает никаких средств криптографической защиты (далее СКЗИ), а только лишь осуществляет проверку документов.
5...:«Звонок в Федеральную службу безопасности снял все сомнения» — конечно, звучит красиво, но крайне сомнительно. в телефонном режиме, ФСБ… развевает сомнения…
6...:«Например озвучивалось, что фирма оказывает платные услуги по сопровождению регистрации на портале, а ЭП выдается клиенту в подарок.» — выдача квалифицированного сертификата ключа проверки электронной подписи (КСКПЭП) осуществляется УЦ в строгом соблюдении требований к УЦ. Согласно этим требованиям, каждый УЦ вместе с выдачей ключевых документов, под роспись выдает руководство по обеспечению безопасности, в котором, в свою очередь, раскрывается понятие риска передачи ЭП третьим лицам, что приравнивается к компрометации ключа.
Нельзя не согласиться только с крайним убеждением автора, озвученном в конце поста:«Не доверяйте слепо партнерам», но и из него же оспаривоемое суждение: «у них уже устойчивый бизнес, от ваших проблем им не жарко не холодно.»
7… учитывая во внимание актуальные поправки в ФЗ: «финансовая ответственности за убытки, причиненные третьим лицам недостоверной информацией, указанной в сертификате ключа проверки электронной подписи, выданном УЦ, или информацией, содержащейся в реестре таких сертификатов. Так, стоимость активов, согласно документу, должна быть не менее 10 млн руб. ), а финансовое обеспечение – не менее 50 млн руб. (сейчас – 1,5 млн руб.). Напомним, определенная стоимость чистых активов и размер финансового обеспечения являются обязательными условиями аккредитации УЦ.
Таким образом, само собой, напрашивается заключение: ни один УЦ не будет работать по мошеннической схеме ради сомнительной прибыли от одного партнера, имея ответственность, предусмотренную законом, и риск понести убытки, несоизмеримые с долгосрочным планированием прибыли.
и в заключении, хотелось бы акцентировать внимание автора: „Кроме чисто юридических моментов в данной сфере есть очень много технических моментов“.ninadinastiia Автор
22.09.2017 09:09Большое спасибо, за ваш развернутый комментарий! Это первая публикация на Хабре, мне очень важно мнение участников. Постараюсь так же по порядку ответить вам:
1. Не совсем так. Может вы подписали какой то другой договор, но я пыталась рассказать свою ситуацию. И в тот момент когда вы будете передавать рутокен, и подписанный акт, как партнер, вы нарушите закон.
2. Вы имеете ввиду посредников. Какая разница, суть от этого не изменилась. Мы работаем с НДС, на протяжении 6 лет.
3. Обязательно дополню ссылками статью.
4. Блин, а кто ж тогда ее выдает??? Вас ввели в заблуждение! Если не вы и не УЦ? Одни проверяют документы, другие их передают, а кто же делать будет?
5. Отдел лицензирование в ФСБ работает в обычном режиме, как и другие службы, не нагоняйте страха, это такая же гос. структура как и все. могу написать номер нашего отдела, позвоните, проверьте. Но у любой службы есть сотрудник, который согласно регламента обязан оказать консультацию.
6. Я озвучила лишь мнение одного из обучающих со мной на курсе информационной безопасности), не понимаю в чем критика в мой адрес.
7. Как вы наивны, как ребенок… У нас в законодательстве много «дырок», в том то все и дело. Судиться потом, когда на руках протокол, очень сложно. Сразу видно, что вы этого никогда не делали) Тем более с большими компаниями, а это просто бесполезно, уверяю вас! Деньги правят миром… актуальные поправки, это здорово, но они вам не пригодятся. Любые поправки и законы следует изучать держа в голове два вопроса: «Кому это выгодно?» и «В какие последствия выльется». Прошу прощения, но за годы судов, вера в хорошее пропала)
Спасибо, я знаю о технических моментах. Ими так же занимаюсь, но в одной статье все не поместишь)
И еще раз повторюсь — я лишь описываю то, что делаю сама, без теории — только практика. Хотела не перегружать законами и трактовками, что было проще к прочтению, ссылками дополню. В дальнейшем опишу полный процесс получении лицензии.Talik0507
22.09.2017 16:37Нина, в описанном вами сценарии получается что именно вы генерируете ключевую пару.
Это и есть один из самых тонких моментов. Новый поправки к 63ФЗ категорически запрещают делегировать полномочия УЦ третьим лицам, кроме: — из положений Закона № 63-ФЗ "- аккредитованный УЦ вправе наделить полномочиями по вручению квалифицированных сертификатов от имени такого аккредитованного удостоверяющего центра только МФЦ и нотариусов".
и, наверное, лучше сюда же дополнить ваш вопрос: «4. Блин, а кто ж тогда ее выдает??? Вас ввели в заблуждение! Если не вы и не УЦ? Одни проверяют документы, другие их передают, а кто же делать будет?»
Для всех категорий информационных систем (грубо говоря сайтов, площадок) пользователь может самостоятельно сгенерировать на своем рабочем месте закрытый ключ, и направить в УЦ только файл запроса для его удовлетворения УЦ. За исключением федеральных торговых площадок, которые опираются на регламент, написанный сбербанк-аст, и которые предписывают получение таких ключе только в точках выдачи, аккредитованных фсб.
В таком сценарии никакие лицензии вам не нужны, т.к никаких криптографических операций вы не проводите. Далее УЦ, получив оплату, сообщает партнерам о готовности. Партнеры приходят с набором документов для провекри, и забирают отгрузочные (и сюда же бланк с информацией, содержайщейся в ключе....., расписку в получении и проч. ).
и на этом процедура получения будет считаться оконченной.
С получением лицензий вы потратите кучу времени, и… денег. много. Кросе лицензии будет нужна и аттестация рабочих мест. специальное ПО, как программное, так и аппаратное.
При этом, если в дальнейшем вы не будете разрабатывать свое ПО в этом профиле, или не планируете открывать свой УЦ (что с настоящей ситуации на рынке, практически, нереально) вы не сможете её применить.ninadinastiia Автор
22.09.2017 17:21Для всех категорий информационных систем (грубо говоря сайтов, площадок) пользователь может самостоятельно сгенерировать на своем рабочем месте закрытый ключ, и направить в УЦ только файл запроса для его удовлетворения УЦ. За исключением федеральных торговых площадок, которые опираются на регламент, написанный сбербанк-аст, и которые предписывают получение таких ключе только в точках выдачи, аккредитованных фсб.
Да, конечно, этот пункт нами пересмотрен, клиент сам будет генерировать ключевую пару. Да, меня интересуют федеральные площадки, гос.сектор — это выгодно и лицензия ФСБ, минимальная какая есть, окупиться обязательно!
Гос.пошлина — 7 500,00 рублей, при условии что я юрист и все документы подготовлю сама, не очень большая сумма. Что касается программного и аппаратного обеспечения — мне все равно его ставить, с учетом последних изменений в законе об обработке персональных данных, так как повторюсь, юр.услуги и печати). Сервер с минимальными требованиями, межсетевой экран и антивирусники — подъемная для нас сумма. Программное обеспечение у нас на фирме всегда было лицензионное, либо бесплатное, потому это в затраты не закладывали. Так же на фирме есть инженер который имеет подходящий под лицензирование диплом, который сейчас учиться и просто согласился на другую должность с тем же окладом. Аттестация рабочих мест у нас так же свежая, этого года, аттестацию одного рабочего места тоже осилим.
Да, наша компания планирует разработку программного обеспечения через три года, когда наш инженер наберется нужного стажа для расширения видов деятельности и их лицензирования.
Да, очень хотим свой удостоверяющий центр) Но в настоящий момент решено попробовать, а там как получиться, будет прибыльно — будем стремиться.
AK74U
22.09.2017 13:30Извините за вклинивание чайника в беседу, но касательно п. 4 мне стало очень интересно — а кто передаёт-то тогда?
ninadinastiia Автор
22.09.2017 15:39Вы, как партнер. В этом то вся и загвоздка. Прилагаю вам алгоритм работы с удостоверяющим центром, согласованный с московскими директорами, название удостоверяющего центра намеренно не открываю, так как данные составляют коммерческую тайну.
Общий порядок работы с клиентом следующий:
- Находим клиента и выставляем ему в ЦРМ быстрый счет.
Для выставления быстрого счета достаточно знать ИНН.
Зная ИНН, остальные данные можно найти здесь: egrul.nalog.ru (Название, ИНН, КПП.) - Вместе со счетом отправляем ему регистрационную карточку (РК) для заполнения (форма во вложении на примере подписи для торгов) и пишем,
что для получения ЭЦП нужно подготовить копии паспорта и свидетельства СНИЛС. - Получаешь от клиента заполненную РК (регистрационную карточку) и вносим все данные в ЦРМ.
- Заказываем отсюда выписку из ЕГРЮЛ с ЭЦП налогового инспектора. service.nalog.ru/vyp/.
Для этого сначала надо зарегистрироваться на ресурсе. Чтобы проверить, что выписка из ЕГРЮЛ содержит ЭЦП инспектора, при ее открытии в самом конце будет стоять
синий штамп о том, что выписка подписана ЭЦП. - После заполнения всех данных ЦРМ формируем и отправляем клиенту контрольный лист (КЛ).
КЛ нужен для сверки данных с клиентом. Поскольку данные мы вносим руками, то возможна опечатка.
Клиент получает КЛ, если всё правильно, подписывает его, ставит печать и присылает нам его скан.
Если находит расхождения, говорит тебе о них, мы исправляем всё в ЦРМ и формируем и отправляем новый КЛ с учетом исправлений.
Оригинал потом клиент передает с остальными документами при получении ЭЦП. Без получения подписанного от клиента КЛ.
- Дожидаемся оплаты, звоним клиенту, приглашаем его для получения ЭЦП. НАПОМИНАЕМ, чтобы клиент взял с собой паспорт, свидетельство СНИЛС,
доверенность (при необходимости), печать организации. - В день отгрузки отправляем ранее скачанную выписку на ящик *****@*******.ru.
ВНИМАНИЕ! Дата формирования выписки не должна превышать 5 дней на день генерации ЭЦП.
Если выписка просрочена, надо ее заново скачать и отправить на *****@*******.ru. Только после этого можно отгружать заказ. После отгрузки сформируются все клиентские документы (Договор, Спецификация, Заявление на изготовление сертификата, Согласие на обработку персональных данных,
Подтверждение оказания услуг). - Встречаем клиента, генерируем сертификат, подписываем все документы, получаем от него привезенные им.
- После генерации сертификата надо распечатать в 2 экземплярах бумажный бланк сертификата, подписать обеими сторонами и приложить к остальным документам.
- Также после генерации сертификата в ЦРМ появится Подтверждение оказания услуг. Его тоже подписать надо в 2 экземплярах.
- Клиенту отдаем его экземпляр документов, второй комплект остается у нас.
До 25-го числа каждого месяца мы пересылаем клиентские документы в Москву по адресу:
117246, Москва, ****************************.
Еще раз хочу напомнить, что спорить не с кем не хочу, излагаю свою точку зрения о своей личной ситуации, которая сложилась при заключении договора с УЦ. После разговора с директором данной компании со мной все сразу согласились, подписали договор, условились, что нас подождут, а мы в свою очередь проводим полный комплекс мероприятий: технических, юридических, обучение сотрудника (почти четыре месяца) и прочее. Наши намерения серьезно работать было одобрено директором УЦ и нам активно помогают подготовиться к получению лицензии.Talik0507
22.09.2017 18:05если у вас все хорошо, то остается пожелать успехов. Но, насколько помнится, для лицензии нужно два специалиста с профильным образованием, и опытом работы более 3 лет. Помещение для генерации ключевой пары должно быть с одной дверью, без окон ). Рабочее место для формирования КД должно быть аттестовано только для этих целей, прикрыто от НСД Соболем или Secretnet. Ну и конечно, в борьбе между УЦ решает 1. цена. 2. Поддержка клиентом. т.е нужен или штат специалистов, или аутсорс. а В остальном — удачи!
ninadinastiia Автор
22.09.2017 18:21Да, с этим я ознакомилась. Для этого учим сотрудника и ждем три года — для стажа, образование профильное в ФСБ уточнили). у генерального директора есть техническое образование, так же профильное (правда не высшее), если через три года посчитаем перспективным — обучим за те же четыре месяца, назначим инженера «директором подразделения» и таким образом все нюансы будут соблюдены. Генеральный директор располагает недвижимостью с подвальным этажом, без окон и дверей. Соболь стоит чуть больше 10 000,00 рублей, а Secretnet — разграничение доступа, входит в программно-аппаратный комплекс (шлюз), с аккредитацией, который мне повторюсь, придется и так купить, из-за обработки персональных данных, даже если не заниматься электронными ключами.
На самом деле очень благодарна вам за общение, еще раз все достала и перепроверила. Эта тема очень плохо освещена и предприниматели все делают «по наитию». Вам так же успехов!
- Находим клиента и выставляем ему в ЦРМ быстрый счет.
fukkit
Может кто-нибудь объяснить, какого лешего сделано так, что необходимо приобретать несколько разных «электронных подписей» для разных случаев применения и контор? Есть в этом какой-то тайный смысл, кроме создания кормушек для приближенных продаванов?
Почему до сих пор нет единого (государственного) удостоверяющего центра, обязательного к признанию по всей стране?
GhostGavr
Объяснение довольно простое, в сертификаты ЭП вносятся так называемые объектные идентификаторы (OID), будучи юр.лицом вы в праве зарегистрировать собственный OID, разработать свой «случай применения» и самостоятельно решать какой УЦ сможет выпускать сертификаты с вашим идентификатором(при условии что сам УЦ согласится вписаться в данную авантюру).
Единый государственный существует, и имя ему УЦ Минкомсвязи ответственнен он за аккредитацию других УЦ которые уже в свою очередь выдают ЭП простым смертным.
ggo
В случае коммерческой организации вы вольны делать все, что считаете правильным.
В случае гос.органов, наверно, более правильно, чтобы все гос услуги были в рамках единого классификатора OID. И сертификат был одним, для всех услуг (гос услуг).
fukkit
Паспорта наши с вами действуют не только в гос.учреждениях, но и во всех остальных.
Никому не приходит в голову получать по отдельному паспорту для каждой конторы, а для ЭП устроили цирк с конями.
fukkit
Как это сделано, я понимаю. Но каков практический смысл, кроме как взять с субъекта 10 стоимостей ЭП вместо одной?
С учетом отсутствия линейной зависимости затрат УЦ от количества OID, различные цены на сертификаты с различным количеством OID — типичный кейс ценовой дискриминации и злоупотребления монопольным положением на рынке (в форме сговора).
На мой взгляд здесь приватизировано то, что обязано быть общественным.
Сертификация ЭП гражданина в 21 веке не должна быть какой-то фантастической привилегией, это общественная инфраструктура (как дороги, школы, больницы, нац.валюта) и отдавать её на откуп частным лавкам без здорового надзора — верный путь к ценовым злоупотреблениям и застою.
Нормально в России с электронным документооборотом? Многие имеют ЭП, которую обязаны признавать все субъекты на территории страны?
Ради интереса получил себе сертификат от Такскома: процедура, сервис, компетентность представителя, поддержки — полный отстой. Платная лицензия от монополиста КриптоПро.
Так не должно быть, это не правильно.
MasMaX
Мне тоже так показалось. Недавно совершал операции с недвижимостью в сбере, сделали там электронную подпись (Сбер теперь сам может оформлять, без беготни в МФЦ и т.п.). Хотя ранее я подобную подпись уже делал, но тут своя…