Інтеграція кваліфікованих електронних підписів (КЕП) у корпоративні СЕД: виклики та архітектурні рішення

Законодавчий ландшафт та вимоги до КЕП в Україні

В умовах стрімкої цифровізації український бізнес активно переходить на електронний документообіг (ЕДО), де кваліфікований електронний підпис (КЕП) відіграє центральну роль. Юридична сила електронних документів, підписаних КЕП, забезпечується Законом України «Про електронні довірчі послуги» № 2155-VIII від 05.10.2017 року, який замінив попередній Закон «Про електронний цифровий підпис». Цей закон визначає КЕП як удосконалений електронний підпис, що створюється з використанням засобу кваліфікованого електронного підпису та базується на кваліфікованому сертифікаті відкритого ключа. Додатково, Закон України «Про електронні документи та електронний документообіг» № 851-IV встановлює основні правила обігу та зберігання електронних документів.

Відповідно до законодавства, електронний документ, підписаний КЕП, має таку ж юридичну силу, як і паперовий документ з власноручним підписом, за умови дотримання всіх вимог. Це вимагає від підприємств не лише технічної можливості підписання, але й забезпечення цілісності, доступності та можливості перевірки електронних документів протягом усього терміну їх зберігання.

Ключові виклики інтеграції КЕП у корпоративні СЕД

Інтеграція різноманітних типів КЕП, зокрема популярного Дія.Підпису, у наявні корпоративні системи електронного документообігу (СЕД) створює низку викликів для керівників відділів документообігу, ІТ-директорів та архітекторів корпоративних систем:

• Різноманітність провайдерів та форматів: На ринку України існує багато кваліфікованих надавачів електронних довірчих послуг (КНЕДП), кожен з яких може використовувати власні програмні інтерфейси та формати підписів. Це призводить до складнощів у забезпеченні уніфікованої роботи з КЕП різних типів, включаючи Дія.Підпис, який інтегрується через API.
• Відсутність централізованого управління підписами: Без єдиного механізму управління КЕП виникає ризик втрати контролю над життєвим циклом підписів, їхньою валідністю та повноваженнями підписувачів, що може призвести до втрати юридичної сили документів.
• Забезпечення довгострокової юридичної значущості та архівування: Максимальний термін дії кваліфікованого сертифіката КЕП зазвичай становить два роки. Це створює проблему перевірки справжності підпису після закінчення терміну дії сертифіката. Необхідно забезпечити довгострокове архівування електронних документів таким чином, щоб їхня юридична значущість зберігалася протягом встановлених законодавством термінів, які можуть сягати десятиліть або бути постійними.
• Кібербезпека та захист даних: Зберігання та обробка електронних документів, підписаних КЕП, вимагає високого рівня захисту від несанкціонованого доступу, модифікації чи втрати. Це включає використання апаратних носіїв, шифрування та двофакторної аутентифікації.
• Транскордонне визнання: Наразі українські КЕП не завжди визнаються за кордоном, і навпаки, що ускладнює міжнародну співпрацю, хоча Україна робить кроки до взаємного визнання з ЄС.

Архітектурні рішення для безшовної інтеграції КЕП

Для подолання вищезгаданих викликів компанії можуть обрати один з кількох архітектурних підходів до інтеграції КЕП у свої СЕД:

1. Пряма інтеграція (Point-to-Point): Цей підхід передбачає пряме підключення СЕД до API кожного окремого КНЕДП.

• Переваги: Відносна простота реалізації для невеликої кількості провайдерів, низькі початкові витрати.
• Недоліки: Висока складність масштабування при додаванні нових КНЕДП, залежність від специфічних API кожного провайдера, труднощі в централізованому управлінні та оновленні.

2. Використання проміжного шару (Middleware/Шина інтеграції): Цей підхід передбачає розробку або впровадження окремого проміжного шару (адаптера або шини), який стандартизує взаємодію між СЕД та різними КНЕДП.

• Переваги: Зниження складності СЕД, централізоване управління підписами, легше додавання нових КНЕДП без значних змін у СЕД, можливість реалізації єдиних політик безпеки та архівування.
• Недоліки: Додаткові витрати на розробку/впровадження middleware, потенційна єдина точка відмови, якщо middleware не є високодоступним.

3. Мікросервісний підхід: Інтеграція КЕП реалізується як набір незалежних мікросервісів, кожен з яких відповідає за певну функціональність (наприклад, створення підпису, його перевірка, управління сертифікатами, взаємодія з конкретним КНЕДП).

• Переваги: Висока масштабованість, гнучкість у виборі технологій, стійкість до відмов (збій одного мікросервісу не впливає на інші), легкість розробки та розгортання, ідеально підходить для хмарних архітектур.
• Недоліки: Вища початкова складність архітектури, потреба в інструментах оркестрації та моніторингу, підвищені вимоги до кваліфікації команди.

Українські компанії, що прагнуть оптимізувати свої процеси документообігу, часто звертаються до досвіду інтеграторів та розробників корпоративних систем, таких як ті, що представлені на https://intecracy.com/ та https://inbase.com.ua/, для впровадження комплексних рішень.

Довгострокове архівування та перевірка КЕП

Особливу увагу слід приділити забезпеченню довгострокового архівування електронних документів з КЕП. Для цього критично важливим є використання форматів, що підтримують розширені атрибути для перевірки легітимності підпису навіть після закінчення терміну дії сертифіката. В Україні таким стандартом є CAdES-X Long, який зберігає інформацію про позначки часу, сертифікати підписувача та надавача, кореневий сертифікат ЦЗО та відповіді серверів OCSP. Це дозволяє підтвердити дійсність підпису в довгостроковому періоді.

Системи електронного документообігу повинні забезпечувати:

• Зберігання електронних документів на електронних носіях у формі, що дозволяє перевірити їх цілісність.
• Доступність інформації для подальшого використання та можливість відновлення документа в первісному форматі.
• Збереження інформації про походження, призначення, дату та час надсилання/отримання документа.
• Регулярне оновлення та копіювання документів на нові носії, якщо термін зберігання перевищує термін служби поточного носія.

Чекліст для вибору архітектури інтеграції КЕП

• Чи відповідає обрана архітектура вимогам Закону України «Про електронні довірчі послуги» та «Про електронні документи та електронний документообіг»?
• Які поточні та майбутні потреби щодо кількості КНЕДП та типів КЕП (включаючи Дія.Підпис) необхідно підтримувати?
• Який рівень масштабованості та гнучкості потрібен для адаптації до змін у законодавстві та технологіях?
• Які ресурси (людські, фінансові) доступні для впровадження та підтримки обраного рішення?
• Наскільки критичною є централізація управління підписами та моніторингу?
• Які механізми довгострокового архівування юридичної значущості документів передбачені?
• Які вимоги до кібербезпеки та захисту персональних даних необхідно врахувати?
• Чи є досвід інтеграції з хмарними сервісами та API у вашій ІТ-команді?

Related solutions: Intecracy solutions and inbase.com.ua solutions.