Российский опыт: криптография, стандарты ГОСТ и правовое регулирование электронной подписи

Аннотация

УДК 004.056:347.4

Рассмотрена связь российских криптографических стандартов с режимом усиленной квалифицированной электронной подписи. Показаны роли ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012 в формировании и проверке подписи. Разведены предмет Федерального закона от 06.04.2011 № 63-ФЗ и меры по обеспечению безопасности персональных данных при применении средств криптографической защиты информации, в том числе обязанности оператора по статье 19 Федерального закона от 27.07.2006 № 152-ФЗ, состав мер по приказу ФСБ России от 10.07.2014 № 378 и требования к уровням защищённости по постановлению Правительства РФ от 01.11.2012 № 1119. Описаны практические выводы для рабочего места, криптопровайдеров и поэкземплярного учёта по инструкции, утверждённой приказом ФАПСИ от 13.06.2001 № 152.

Ключевые слова: электронная подпись, ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012, СКЗИ, криптопровайдер, 63-ФЗ, 152-ФЗ, приказ ФСБ № 378, ФАПСИ № 152.

Abstract

Abstract. The link between Russian cryptographic standards and the qualified electronic signature regime was examined. The roles of GOST R 34.10-2012 and GOST R 34.11-2012 in signature creation and verification were shown. The subject matter of Federal Law No. 63-FZ of 6 April 2011 was distinguished from personal data security measures applicable when cryptographic tools are used, including the operator’s duties under Article 19 of Federal Law No. 152-FZ of 27 July 2006, FSB Order No. 378 of 10 July 2014 and Government Decree No. 1119 of 1 November 2012. Practical conclusions for the workplace, cryptographic service providers and per-instance accounting under the FAPSI Instruction approved by Order No. 152 of 13 June 2001 were described.

Keywords: electronic signature, GOST R 34.10-2012, GOST R 34.11-2012, cryptographic information protection tools, CSP, 63-FZ, 152-FZ, FSB Order No. 378, FAPSI Order No. 152.

Введение

Российская модель усиленной квалифицированной электронной подписи опирается не только на текст Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи». Она связана с отечественными криптографическими алгоритмами, с оценкой соответствия средств криптографической защиты информации и с практикой, в которой на рабочем месте бухгалтера или кадровика появляются криптопровайдер, контейнер ключа и носитель. Когда эти элементы собраны в одну картину, становится понятно, почему для ряда юридически значимых процедур недостаточно установить произвольную программу подписи и почему рядом с 63-ФЗ у оператора персональных данных возникают обязанности по мерам защиты и учёту средств.

В статье показана связь стандартов ГОСТ и требований к СКЗИ с правовым режимом электронной подписи и с обязанностями оператора при применении криптосредств. Речь идёт прежде всего о квалифицированном контуре и об усиленной квалифицированной подписи. Простая электронная подпись как самостоятельный предмет сюда не входит: её задачи и гарантии иные, а бытовой язык для различения видов дан в материале с бытовыми аналогиями.

1. Квалифицированный контур и алгоритм RSA

Аббревиатура RSA обозначает алгоритм шифрования и цифровой подписи на основе открытого ключа, предложенный Р. Ривестом, А. Шамиром и Л. Адлеманом (Rivest–Shamir–Adleman). В русскоязычной практике его нередко называют алгоритмом RSA или схемой RSA. Вместе с идеей открытого распределения ключей Диффи—Хеллмана эта линия сыграла историческую роль в появлении современной цифровой подписи; подробнее история рассмотрена в статье об истории электронной подписи.

Для квалифицированного контура в России важен другой подход. Государство связывает юридическую силу квалифицированной подписи с требованиями к средствам создания и проверки, к сертификату аккредитованного удостоверяющего центра и к алгоритмической совместимости в инфраструктуре доверия. Это условие воспроизводимой проверки в государственных и регулируемых информационных системах.

В информационных системах и в отдельных контурах обмена встречаются разные криптографические решения, включая схемы на основе RSA. Для усиленной квалифицированной подписи в смысле 63-ФЗ и для допуска средств к соответствующим процедурам действуют требования российского права и акты в сфере криптографической защиты. На практике квалифицированный контур опирается на отечественные стандарты ГОСТ и на сертифицированные реализации: так обеспечиваются совместимость и доверие к оценке соответствия.

Если две организации и государственный орган проверяют подпись по согласованным правилам, им нужна общая криптографическая основа и понятный статус средства. Суверенитет криптоконтура проявляется как способность государства устанавливать стандарты и условия применения средств. Квалифицированный режим – специальный правовой институт; его нельзя отождествлять с любой электронной подписью на любом алгоритме.

2. Российские стандарты ГОСТ

Действующая пара национальных стандартов, на которую опирается квалифицированный контур, разделяет две связанные, но разные задачи. ГОСТ Р 34.10-2012 описывает процессы формирования и проверки электронной подписи. ГОСТ Р 34.11-2012 устанавливает функцию хеширования – криптографическое преобразование, без которого современная схема подписи больших документов на практике не обходится. Подпись формирует след, согласованный с ключом; хеш позволяет работать с отпечатком содержимого, а не пропускать через криптографическую операцию весь файл целиком. Таким образом, первый стандарт отвечает за процессы подписи, второй – за хеш-функцию.

Для права и организации важны последствия стандартизации. Стандарт делает реализации сравнимыми: разные программы могут создавать и проверять подпись, если они реализуют одни и те же процессы. Это основа совместимости отчётности, закупок и межведомственного обмена. Стандарт также служит опорой для сертификации средств: оценивают соответствие заявленным криптографическим требованиям, а не абстрактную «программу подписи» как таковую.

На рабочем месте пользователь редко читает текст ГОСТа. Он видит окно криптопровайдера, срок сертификата и носитель. Тем не менее именно стандарты объясняют, почему смена или обновление средства – вопрос сохранения совместимости с контуром, в котором подпись будут проверять. Если средство перестало соответствовать актуальной криптографической основе обмена, проверка на стороне контрагента или государственного органа может дать отказ даже при том же токене в ящике стола. Связь стандартов с артефактами рабочего места – ключом, контейнером, сертификатом и токеном – подробно разобрана в материале об артефактах электронной подписи.

Стандарты 2012 года сменили более ранние редакции, в том числе линию ГОСТ Р 34.10-94, важную для истории отечественной стандартизации. Сегодня квалифицированный обмен опирается на ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012 как на действующую криптографическую основу. Исторический контекст появления отечественного стандарта на процессы подписи рассмотрен в статье об истории электронной подписи. Российский квалифицированный контур стоит на воспроизводимой криптографической основе, закреплённой национальными стандартами.

3. 63-ФЗ, 152-ФЗ и меры при применении СКЗИ

Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи» установлены виды электронной подписи, условия признания её силы и требования к квалифицированным сертификатам и средствам в пределах предмета этого закона. Он отвечает на вопросы, какая подпись создана, кем она может быть проверена и в каких случаях ей придаются правовые последствия, сопоставимые с собственноручной подписью. Виды подписи в документообороте оператора персональных данных подробнее разобраны в статье о 63-ФЗ при обработке персональных данных.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» регулирует обработку персональных данных и обязанности оператора. Статья 19 возлагает на оператора обязанность принимать необходимые правовые, организационные и технические меры для защиты персональных данных. Когда для защиты или для обработки в информационной системе персональных данных применяются средства криптографической защиты информации, к составу мер подключаются специальные акты. Приказом ФСБ России от 10.07.2014 № 378 утверждён состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПДн с использованием СКЗИ. Постановлением Правительства РФ от 01.11.2012 № 1119 установлены требования к уровням защищённости информационных систем персональных данных. Подробный разбор уровней – в статье об уровнях защищённости ИСПДн, меры в целом – в материале о ст. 18.1 и 19 152-ФЗ и постановлении № 1119.

Эти нормы работают рядом и отвечают на разные вопросы. Федеральный закон № 63-ФЗ определяет виды электронной подписи и квалифицированный режим. Статья 19 152-ФЗ и связанные с ней акты описывают меры защиты персональных данных; приказ ФСБ № 378 применяется, когда оператор использует СКЗИ в контуре защиты и обработки. Квалифицированная подпись часто создаётся именно такими средствами. На одном рабочем месте поэтому встречаются два разных вопроса: какой вид подписи применяется по 63-ФЗ и какие меры защиты обязаны сопровождать применение криптосредств по 152-ФЗ и связанным актам.

Для локальных актов оператора это различение имеет прямое значение. Если в одном документе смешать определение видов подписи с перечнем мер приказа № 378, текст обычно становится нечитаемым и для юриста, и для специалиста по информационной безопасности. Целесообразно развести блоки: отдельно – применение электронной подписи по 63-ФЗ, отдельно – меры при использовании СКЗИ в ИСПДн с отсылкой к модели угроз, уровню защищённости и конкретным средствам. Тогда при проверке видно, что организация понимает и правовой режим подписи, и криптографический контур защиты данных.

4. Рабочее место: CSP, носитель и учёт

На рабочем месте усиленная квалифицированная подпись складывается из нескольких объектов. Нужен криптопровайдер (CSP, cryptographic service provider) – программа, через которую приложения и операционная система выполняют криптографические операции по установленным правилам. Нужен носитель или иной способ хранения ключевого контейнера. Нужен сертификат ключа проверки с понятным сроком действия. Эта тройка делает разговор о квалифицированной подписи предметным: при увольнении сотрудника понятно, что именно забирать и что отзывать.

Если на мониторе бухгалтера или кадровика всплывает знакомое окно установки или настройки, очень часто это КриптоПро CSP, ViPNet CSP, Signal-COM CSP или другие программы. Все они дают компьютеру возможность создавать и проверять электронную подпись по установленным правилам. Здесь названы привычные примеры сертифицируемых реализаций, с которыми сталкивается практика. Выбор конкретного средства организация делает с учётом совместимости, сертификации и задач обмена.

Из применения средств следует потребность их различать и учитывать. Учёт нужен, чтобы видеть, какой экземпляр средства и какой сертификат связаны с конкретным сотрудником, где находится носитель и когда истекает срок. Пошаговая инструкция по журналу в настоящую статью не входит. Практика учёта средств ЭП и СКЗИ и инструмент сбора сведений из файлов сертификатов описаны в материале об учёте средств электронной подписи и СКЗИ. Здесь важен принцип: квалифицированный контур порождает объекты учёта – средство, ключевые документы, носитель, ответственное лицо.

5. Инструкция ФАПСИ от 13.06.2001 № 152: СКЗИ и поэкземплярный учёт

Инструкция, утверждённая приказом ФАПСИ от 13.06.2001 № 152, остаётся одним из опорных текстов для понимания того, что относят к средствам криптографической защиты информации и как организуют работу с ними. К СКЗИ относят средства, реализующие криптографические алгоритмы для защиты информации при обработке, хранении и передаче, для защиты от несанкционированного доступа, для защиты от навязывания ложной информации, включая средства электронной подписи, а также средства изготовления и распределения ключевых документов. Криптопровайдер, которым подписывают отчётность или кадровые файлы, как раз и есть привычный на рабочем месте пример такого средства.

Из отнесения средств электронной подписи к СКЗИ следует логика поэкземплярного учёта. Организация, использующая такие средства, выстраивает учёт экземпляров криптосредств, документации к ним и пользователей, допущенных к работе. Это контроль за конкретными экземплярами и ключевыми документами. Позднейшая практика и ведомственные акты развивают эту линию; для специалиста по информационной безопасности и для оператора инструкция № 152 сохраняет практическую ценность: средство создания электронной подписи в квалифицированном контуре входит в режим СКЗИ и требует соответствующего обращения с экземплярами и ключевой документацией.

В итоге складывается согласованная картина. Стандарты ГОСТ закрепляют криптографическую основу. Федеральный закон № 63-ФЗ устанавливает правовой режим видов подписи и квалифицированных средств. При применении СКЗИ в контуре персональных данных подключаются меры по 152-ФЗ, приказу ФСБ № 378 и постановлению Правительства № 1119. Инструкция ФАПСИ № 152 объясняет, почему средства подписи входят в понятие СКЗИ и почему возникает поэкземплярный учёт. Оператор, который держит эту карту, увереннее различает простую подпись портала и квалифицированный контур и не упускает из виду носители и экземпляры средств.

Заключение

1. Квалифицированный контур электронной подписи в России опирается на отечественные стандарты и оценку соответствия средств. Алгоритм RSA (Rivest–Shamir–Adleman) сыграл историческую роль в развитии цифровой подписи; квалифицированный режим в РФ связывается с требованиями к стандартам ГОСТ и сертифицированным реализациям.
2. ГОСТ Р 34.10-2012 описывает процессы формирования и проверки подписи, ГОСТ Р 34.11-2012 – функцию хеширования. Вместе они обеспечивают воспроизводимость и совместимость реализаций.
3. Федеральный закон № 63-ФЗ определяет виды подписи и квалифицированный режим. Статья 19 152-ФЗ, приказ ФСБ № 378 и постановление Правительства № 1119 применяются как меры защиты при использовании СКЗИ.
4. На практике квалифицированная подпись требует криптопровайдера, носителя и сертификата. КриптоПро CSP, ViPNet CSP, Signal-COM CSP и сходные программы – привычные примеры реализаций.
5. Инструкция ФАПСИ от 13.06.2001 № 152 относит средства электронной подписи к СКЗИ и закрепляет логику поэкземплярного учёта криптосредств и ключевых документов.
6. Оператору важно различать виды электронной подписи и при применении СКЗИ выстраивать меры защиты и учёт согласованно с моделью угроз и составом средств.

Таким образом, российский опыт регулирования электронной подписи соединяет криптографические стандарты, правовой режим 63-ФЗ и меры защиты персональных данных при использовании СКЗИ. Понимание этой связи позволяет юристу и оператору выстраивать документы и контроль так, чтобы разные институты оставались различимыми, а установка одной программы не подменяла собой и подпись, и учёт, и меры по 152-ФЗ.

Конструктор документов «ГЕНЕРАТОР152ФЗ» помогает оформить локальные акты, в которых применение средств электронной подписи и криптографической защиты находит место рядом с иными обязанностями оператора. Выбор конкретных СКЗИ и настройка рабочего места остаются зоной ответственности организации и её специалистов по информационной безопасности.

Список литературы

1. Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» (ред. от 31 июля 2025 г.) // Собрание законодательства РФ. — 2011. — № 15. — Ст. 2036.
2. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» // Собрание законодательства РФ. — 2006. — № 31. — Ст. 3451.
3. ГОСТ Р 34.10-2012. Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи (утв. приказом Росстандарта от 07.08.2012 № 215-ст).
4. ГОСТ Р 34.11-2012. Информационная технология. Криптографическая защита информации. Функция хеширования.
5. ГОСТ Р 34.10-94. Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи (принят постановлением Госстандарта России от 23.05.1994 № 154).
6. Приказ ФСБ России от 10 июля 2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации».
7. Постановление Правительства РФ от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» // Собрание законодательства РФ. — 2012. — № 45. — Ст. 6257.
8. Приказ ФАПСИ от 13 июня 2001 г. № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (зарегистрирован в Минюсте РФ 06.08.2001 № 2848).
9. Diffie W., Hellman M. E. New Directions in Cryptography // IEEE Transactions on Information Theory. — 1976. — Vol. IT-22, No. 6. — P. 644–654.
10. Rivest R. L., Shamir A., Adleman L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems // Communications of the ACM. — 1978. — Vol. 21, No. 2. — P. 120–126.

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.