Электронная подпись — это не «галочка» и не «кнопка». Это юридический аналог собственноручной подписи. Согласно 63-ФЗ, документ, подписанный квалифицированной электронной подписью, признаётся равнозначным бумажному документу с личной подписью. Со всеми вытекающими последствиями — гражданскими, административными и уголовными. При этом большинство людей воспринимает ЭП как техническую функцию: «нажал кнопку — подписалось».

Реальность — сложнее.

ЭЦП в СЭД — это процесс, в котором две уязвимости: техническая и человеческая. И обе ведут к юридическим последствиям.

Вот стандартный процесс подписания документа в СЭД: Шаг 1. Выбор сертификата. Пользователь выбирает в интерфейсе СЭД нужный сертификат ЭП. Сертификат должен быть выдан аккредитованным удостоверяющим центром и привязан к учётной записи пользователя. Шаг 2. Ввод PIN-кода. При необходимости пользователь вводит PIN-код или пароль для доступа к закрытому ключу, который хранится на токене. Шаг 3. Формирование подписи. Система формирует цифровую подпись с использованием криптографических средств (CryptoPro CSP). Шаг 4. Автоматическая проверка. СЭД самостоятельно проверяет: · действительность сертификата — не истёк ли срок, не отозван ли; · принадлежность подписи конкретному пользователю; · отсутствие изменений в документе после подписания (не все СЭДы). Шаг 5. Придание юридической силы. Если проверка успешна — документ получает юридическую силу, равную бумажному аналогу с собственноручной подписью. Статус документа меняется на «Подписан». Шаг 6. Отправка и хранение. Подписанный документ можно отправить адресату. Он автоматически сохраняется в электронном архиве СЭД, если такой есть.

На бумаге — красиво. На практике есть две уязвимости, о которых обычно не говорят.

Уязвимость 1. ЭЦП не срабатывает. Пользователь нажимает «Подписать» — ничего не происходит или выдаётся ошибка.

Почему это критично. Пока документ не подписан — он не имеет юридической силы. Это проект. Его нельзя отправить контрагенту, предъявить в суде, использовать в работе.

Технических причин — десятки. Не тот браузер. СЭД часто работает как веб-приложение. Для корректной работы плагина CryptoPro ЭЦП Browser plug-in требуется определённый браузер. Если пользователь открыл СЭД в другом браузере — плагин не сработает, подпись не сформируется. Некоторые браузеры блокируют плагин.

Плагин не установлен или неактивен. Его версия не актуальна. КриптоПро CSP не установлен или лицензия истекла. Сертификат не установлен в CryptoPro на ПК того пользователя, из учётной записи которого происходит подписание. Файл с открытым ключом перемещен и не находится по пути, прописанному в CryptoPro на ПК. Токен не вставлен. Подписание из реестра запрещено регламентирующими актами многих организаций — то есть без токена подписать нельзя. Не та учётная запись. Пользователь может быть в той учётной записи СЭД, к которой не привязана его ЭЦП. Или в той, к которой привязана другая ЭЦП. В этом случае подпись не сформируется. Бардак в КриптоПро. Если в системе несколько сертификатов (у пользователя — несколько ключей на одном токене, или несколько токенов, или разные сертификаты для разных систем) — CryptoPro может не выбрать нужный. Подпись не сформируется. Проблемы с сетью или сервером.

Уязвимость 2. Рукодельный администратор и пользователь, который не понимает последствий. Пользователь подписал документ. Потом понял, что ошибся. Пришёл к администратору: «Замени файл». Администратор заменил. ЭЦП уничтожена. Документ ничтожен. А у адресата — действующий документ, с которым он пойдёт в суд. Это — не «ошибка». Это — фальсификация доказательств (ст. 303 УК РФ) или служебный подлог (ст. 292 УК РФ).

Что делать - Запретить администраторам «чинить» документы с ЭЦП. - Если ЭЦП не срабатывает — не чинить методом тыка. А разбираться, почему не срабатывает, смотреть на симптомы и задавать вопросы. - Обучать пользователей и админов. Не «как нажимать кнопки», а «почему это важно». - Написать регламент.