Борис Скородумов, к.т.н., доцент, член Комитета по электронной торговле НАУФОР
Вот уже несколько лет в мире бурно развивается торговля с использованием сети Интернет и других электронных систем, получившая название "электронная коммерция". В немалой степени этому способствует отсутствие таможенных рогаток: специализированная комиссия ООН еще в 1996 году обнародовала акт о беспошлинной электронной торговле и международном торговом арбитраже. Беспошлинную электронную торговлю с 1 января 1998 года ведут страны ЕС и США. Решение о введении беспошлинной электронной торговли в мае 1998 года приняла и Всемирная торговая организация, членом которой готовится стать Россия. Прежде чем перейти к основной части рассматриваемой темы публикации, полезно уточнить понятие "электронная коммерция". По мнению автора, "электронная коммерция" - это любая форма бизнес-процесса, в котором взаимодействие между субъектами происходит электронным образом и сопровождается физическим перемещением информационных или иных материальных ресурсов. Электронная торговля, которая касается розничных продаж, является частью электронной коммерции. Следует отметить, что в настоящее время в нашей стране начался переходный процесс от традиционных форм бизнеса к электронной коммерции. Это объясняет неустоявшуюся терминологию и разброс мнений по сути е-коммерции, хотя можно привести отдельные примеры десятилетней практики е-бизнеса в России. По прогнозам авторитетных аналитиков, начало стремительного развития электронной коммерции прогнозируется в нашей стране в конце текущего года. Внешними приметами этого процесса могут служить участившиеся конференции, выставки и семинары, посвященные использованию Интернета. Количество виртуальных магазинов приближается к тысяче. На финансовом рынке России начали развиваться е-трейдинг и е-банкинг. Зарубежные компании активно скупают популярные российские сайты или создают совместные предприятия для электронной коммерции. В Государственной думе обсуждаются различные законопроекты, связанные с использованием Интернета. В этих условиях лавинообразно растет объем электронных документов, создаваемых в любом бизнес-процессе. Это договоры, контракты, накладные и другие платежные документы. Одной из главных проблем своевременного создания и проверки электронных документов является подпись. Во многом такая ситуация объясняется несовершенством законодательства и неготовностью инфраструктуры отечественной е-коммерции. Несовершенство законодательной базы в настоящее время заставляет развивать договорной процесс между организациями или другими взаимодействующими сторонами. Например, договор ЦБ РФ с его клиентами содержит около 80 страниц текста, его исходная типовая форма создавалась не один месяц. Естественно, что подобные объемные документы быстро не делаются, и это можно иногда терпеть для работы вне реального времени (режим offline), но совсем не годится для работы в режиме online. Взаимодействие с контрагентами приходится вести на основе ряда существующих разно-плановых нормативных документов. Напомним только некоторые необходимые законодательные акты: 1. Федеральный Закон "Об информации, информатизации и защите информации"; 2. "Гражданский кодекс Российской Федерации": 2.1. Часть первая, ст. 160, п. 2; 2.2. Часть первая, ст. 434. 3. Официальные материалы Высшего арбитражного суда РФ (Письмо от 19 августа 1994 г. С1-7/оп-578). В нашей стране это существенно тормозит развитие электронной коммерции в режиме online. Например, многие операции на фондовом рынке должны совершаться за считанные минуты, причем они затрагивают интересы многих участников торгов. Вышеизложенное заставляет обратиться к опыту западных стран, успешно преодолевших многие трудности электронной коммерции в режиме online. В последнее время в мире и у нас в стране широко обсуждается проблематика электронной цифровой подписи (ЭЦП), которая является документообразующим элементом различных наборов информации. В конце 1999 года страны Единой Европы приняли Директиву об электронных подписях и Положение о поэтапном введении общего порядка применения ЭЦП. 12 стран Европы за два года сумели договориться, разработать и успешно реализовать технологию электронной цифровой подписи. На конференциях по электронной коммерции и специализированных семинарах, посвященных ЭЦП, рассматриваются вопросы юридической силы электронных документов и создания инфраструктуры удостоверения их подлинности, В прошлом году в США был принят Закон "Об электронной подписи" До этого американцы пользовались аналогичными законами отдельных штатов. По сообщению агентства "РосБизнесКонсалтинг", в Германии вступил в силу закон, уравнивающий юридическую силу электронной и обычной подписи, который был принят во исполнение директивы Евросоюза об осуществлении предпринимательской деятельности с помощью электронных средств коммуникаций. Кстати, в соответствии с российским законодательством (смотри упомянутый выше Гражданский кодекс) электронно-цифровая подпись электронных документов признается аналогом обычной подписи, и в настоящее время Государственная дума завершает разработку соответствующего закона. Параллельно на основе принятого Модельного закона готовится соответствующее соглашение стран СНГ. По мнению ведущих зарубежных специалистов, развитие данного процесса во многом определяется прогрессом в области безопасности информации. Следует напомнить, что ЭЦП является средством защиты информации и обеспечивает такие ее качества или свойства, как целостность и юридическая значимость. Это следует из ГОСТ Р 34.10 -94 "Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной подписи на базе асимметричного криптографического алгоритма" Рассмотрим более подробно различные технические аспекты электронных документов, основное внимание уделяя ЭЦП в соответствии с главной темой статьи и зарубежным опытом, при этом будем помнить об ограниченном объеме журнальной публикации. Практика современного электронного документооборота позволяет выделить несколько общих правил создания электронного документа. Чтобы стать электронным цифровым документом и использоваться в правовом пространстве наряду с бумажными документами, то есть иметь такую же юридическую силу, как и соответствующий бумажный документ с подписью и печатью, компьютерный файл должен обладать следующими свойствами: - содержать значимую информацию, то есть информацию, которая накладывает на субъекта определенные обязательства и/или приводит к определенным последствиям, побуждает к действиям и т, д.; - иметь однозначную интерпретацию (например, на основе заранее согласованных процедур), то есть являться общепонятным; - иметь идентифицируемые реквизиты, в первую очередь, указание на автора; - обеспечивать целостность представленной в нем информации; - обеспечивать "неотказуемость", то есть гарантию того, что автор не сможет позже утверждать, что он не создавал этот документ. При работе в открытых сетях не менее важными также являются следующие факторы: - необходимость гарантированного подтверждения личности абонента, отправившего электронный документ; - необходимость гарантированного подтверждения того, что документ может быть прочитан только указанным адресатом; - необходимость гарантированного подтверждения того, что при передаче по сети в документ не могут быть внесены никакие изменения. Эти гарантии могут быть созданы при помощи специальных программно-технических решений, организационных мероприятий, установленных процедур и правил общения в сети. Программно-технические решения организации электронного документооборота основываются на использовании безопасных протоколов передачи данных и применении криптографических средств защиты информации, обеспечивающих в том числе юридическую силу электронного документа. Организационные мероприятия обеспечивают механизмы правовой поддержки, доверительности, гарантий (в том числе и финансовых), создание и управление инфраструктурными элементами, поддерживающими электронный документооборот. Защита конфиденциальности и целостности информации при ее передаче по открытым сетям обеспечивается также криптографическими средствами. Свойства "неотказуемости" от авторства и контроля неизменности полученного по сети электронного цифрового документа обеспечиваются использованием механизма электронной цифровой подписи, также основанного на криптографических преобразованиях информации. Помимо этого целостность и аутентификация (проверка подлинности) сообщения также обеспечиваются использованием электронной цифровой подписи. В соответствии с ГОСТ Р 34 10-94 электронная цифровая подпись - это данные, добавляемые к блоку данных и получаемые в результате его криптографического преобразования, которые позволяют приемнику данных удостовериться в целостности их блока и подлинности источника, а также обеспечить защиту от подлога со стороны приемника данных. Поскольку ЭЦП является важнейшим элементом любого электронного документа, целесообразно напомнить хотя бы некоторые основные положения указанного стандарта. Схема процесса подписания электронного документа с помощью ЭЦП представлена на рисунке. Электронная цифровая подпись жестко увязывает в одно целое содержание документа и секретный ключ для формирования ЭЦП, делает невозможным изменение документа без нарушения целостности данной подписи. Механизм применения электронной цифровой подписи включает два криптографических преобразования: формирование электронной цифровой подписи под документом и проверки подлинности подписи под документом. Таким образом, использование криптографии с открытым ключом обеспечивает необходимые требования к соблюдению конфиденциальности информации и аутентификации электронных документов при их передаче по открытым сетям. Непростой остается одна проблема - как получателю информации убедиться, что открытый ключ отправителя - это именно его открытый ключ, а не лица, маскирующегося под него. Проблема еще более усложняется при большом числе адресатов. Снова вернемся к зарубежному опыту электронного документооборота в электронной коммерции. Многие современные международные системы обмена информацией в открытых сетях используют перспективный протокол (точнее технологию) безопасных электронных транзакций в сети Интернет - SET (Security electronics transaction), предназначенный для организации электронной торговли через Интернет. Протокол выполнения защищенных транзакций SET является стандартом, разработанным компаниями MasterCard и VISA при значительном участии IBM, GlobeSet и других партнеров. Он позволяет покупателям приобретать товары через Интернет, используя самый защищенный в настоящее время механизм выполнения платежей. SET является открытым стандартным многосторонним протоколом для проведения безопасных платежей с использованием пластиковых карточек в Интернете. SET обеспечивает кросс-аутентификацию счета держателя карточки, продавца и банка продавца (для проверки готовности оплаты товара), целостность и секретность сообщения, шифрование ценных и уязвимых данных. Поэтому SET можно назвать стандартной технологией или системой протоколов выполнения безопасных платежей с использованием пластиковых карточек через Интернет. SET позволяет потребителям и продавцам подтвердить подлинность всех участников сделки, происходящей в Интернете, с помощью криптографии, применяя в том числе и цифровые подписи и сертификаты. По своим функциям цифровые сертификаты аналогичны обычной печати, которой удостоверяют подпись на бумажных документах, Цифровые сертификаты содержат открытые криптографические ключи абонентов, заверенные электронной цифровой подписью центра сертификации и обеспечивают однозначную аутентификацию участников обмена. Центры сертификации обеспечивают надежное распространение и сопровождение ключевой информации. Цифровые сертификаты - это определенная последовательность битов, основанных на криптографии с открытым ключом. Они представляют собой совокупность персональных данных владельца и открытого ключа его электронной подписи (а при необходимости и шифрования), связанных в единое неизменяемое целое электронной подписью центра сертификации. Цифровой сертификат оформляется в виде файла или области памяти и может быть записан на дискету, смарткарточку и любой другой носитель данных. Цифровые сертификаты предотвратят возможность подделок, от которых не застрахованы существующие виртуальные системы. Сертификаты держателя карточки и продавца также дают уверенность в том, что их транзакции будут обработаны с тем же высоким уровнем защиты, что и транзакции, которые обрабатываются сегодня традиционными способами. По такой схеме разворачиваются многие современные международные системы обмена информацией в открытых сетях, которые располагают широкой сетью центров сертификации, обеспечивающих выдачу и сопровождение цифровых сертификатов для всех участников электронного обмена документами. Они отвечают требованиям международного стандарта Х.509 ITU-T. Примерами центров сертификации являются американские компании VeriSign и GTE.
Выводы Внедрение систем юридически значимого электронного документооборота кроме решения чисто технических вопросов требует проработки законодательной базы, организационных вопросов ключевого управления, обеспечения равных прав и финансовых гарантий всем участникам электронного документооборота. Это может быть реализовано при помощи инструментов страхования, разработки документации, регламентирующей использование ключевой информации, электронной цифровой подписи, правил разбора конфликтных ситуаций, а также договорной и регламентирующей нормативной документации, определяющей юридическую значимость электронных документов, контроля соблюдения установленных процедур и правил общения в сети. В настоящее время правительство внесло в Государственную думу законопроект "Об электронной цифровой подписи" *). В нем, в частности, записано, что "целью настоящего Федерального закона является обеспечение правовых условий для использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается юридически равнозначной собственноручной подписи человека (гражданина или индивидуального органа юридического лица) в документе на бумажном носителе". Таким образом, первый шаг в направлении развития электронной коммерции России может быть сделан в ближайшее время. Вторым шагом может стать создание в России своих центров сертификации электронного обмена документами, что облегчит появление институтов страхования электронных сделок. Подводя итог изложенному, можно отметить, что хотя тема публикации весьма суха и непопулярна в народе, может пройти совсем немного времени, как мы окажемся в условиях совершенно новой для нас деловой среды. И начало этому процессу будет положено с принятием закона об электронной цифровой подписи. __________ *) Примечание. Закон "Об электронной цифровой подписи" подписан Президентом РФ 10 января 2002 г.
