Где лучше хранить электронную подпись для налоговой

Хранение ключей электронной подписи в организации

Хранение ключей электронной подписи (ЭП или ЭЦП) является одной из важнейших задач для любой организации, которая использует электронные подписи в своей деятельности. Это связано с тем, что электронная подпись является ключом к безопасности документов, которые подписываются с её помощью.

В данной статье мы рассмотрим, как правильно хранить ключи ЭЦП в организации.

Хранение ключей электронной подписи на компьютере

Налоговая служба записывает ключи и сертификат квалифицированной электронной подписи для ИП и юрлиц только на ключевые носители — токены. Они должны иметь сертификацию ФСТЭК или ФСБ России. Более того, файлы делают неэкспортируемыми, благодаря чему их нельзя перенести на компьютер или любой другой носитель цифровой информации. Хранить их получится только на устройстве, где записаны ключи ЭП. Чтобы ими воспользоваться, необходимо вставить токен в компьютер. Это позволяет обеспечить безопасность и защиту данных, а также упрощает процесс проверки подлинности документов и операций. Кроме того, использование сертифицированных токенов позволяет избежать возможных ошибок и проблем при работе с электронной подписью.

Ключи квалифицированной ЭП физического лица можно хранить не только на ключевых носителях. Законодательством такое условие не регулируется. Вариантов в этом случае много: жёсткий диск, дискета или CD. В том числе ключи электронной подписи с сертификатом можно хранить в системе компьютера. У данного способа хранения есть свои недостатки и преимущества. Рассмотрим их.

Недостатки хранения ЭП в компьютере

1. Риск потери данных. Если компьютер выйдет из строя или будет украден, все данные, включая ключи и сертификат ЭЦП, могут быть утеряны.
2. Ограниченный доступ. Если вы используете общий компьютер или сетевой доступ, другие пользователи могут получить доступ к вашим ключам электронной подписи.
3. Ограниченные возможности хранения. Если количество хранимых ЭП ограничено объёмом памяти на компьютере, это может привести к нехватке места и невозможности хранить все необходимые электронные подписи.
4. Зависимость от компьютера. Если ваш компьютер выйдет из строя, вы не сможете использовать свою ЭЦП.

Достоинства хранения ЭП на компьютере:

1. Безопасность. Хранение электронной подписи на ПК обеспечивает высокий уровень безопасности при условии, если контейнер ключей будет защищён паролем.
2. Удобство использования. Если на компьютере есть специальное программное обеспечение для работы с электронной подписью, то оно может упростить процесс подписания документов.
3. Доступность. Электронная подпись может быть доступна в любое время, когда компьютер включён и подключён к интернету.
4. Экономия времени. Хранение ЭП на компьютере может значительно сократить время на подписание документов, так как не нужно отправлять их на печать и подписывать вручную.
5. Возможность использования нескольких электронных подписей. Если у вас есть несколько контейнеров ключей ЭЦП, вы можете хранить их на ПК и переключаться между ними по мере необходимости.

Защищённый носитель для хранения ключей квалифицированной электронной подписи

Существует множество вариантов моделей ключевых носителей для хранения электронной подписи. Их главное отличие — это наличие встроенного средства криптографической защиты информации (СКЗИ).

Токен для хранения ключей ЭП

Такой вариант устройства очень удобен. Выпускается в виде смарт-карты или USB-флешки. Используется для подписания любых цифровых документов, а также для работы на интернет-порталах или в информационных системах. С помощью токена можно отправить отчётность в госорганы или участвовать в торгах. Минус такого носителя в том, что он требует установки СКЗИ на ПК и его нельзя использовать для ЕГАИС.

Популярные модели: eToken, Рутокен и др.

Токен для хранения ключей ЭП со встроенным СКЗИ

Встроенное средство криптографической защиты информации ещё больше упрощает работу с ЭП. Устройство можно использовать на любом компьютере без необходимости покупки дополнительного ПО. Преимущество таких моделей заключается в том, что их можно использовать для работы в ЕГАИС. Популярные модели: Рутокен ЭЦП, Рутокен ЭЦП 2.0, JaCarta PKI/ГОСТ/SE.

Выбрать подходящий токен для квалифицированной электронной подписи рекомендуем в нашем интернет-магазине. В каталоге представлены только сертифицированные модели ключевых носителей.

Дополнительная защита электронной подписи

Доступ к подписи по пин-коду

Каждый съёмный носитель электронной подписи имеет пин-код, после ввода которого пользователь получает доступ к работе с ЭП. Стандартный пароль устанавливает завод изготовитель. После покупки устройства пароль можно поменять.

Защита подписи от копирования

Программное обеспечение имеет функционал копирования ключей электронной подписи. Таким образом, их можно скопировать на другие ключевые носители или компьютер. Этим могут воспользоваться злоумышленники. Чтобы такого не произошло, владелец ключей ЭЦП может установить защиту от копирования.

Незащищённые носители для хранения ключей ЭП

Контейнер ключей квалифицированной электронной подписи можно записать на диск, дискету, в память ПК и т.п. Вариантов много. Но при таком хранении файлы не будут надёжно защищены. Если злоумышленники получат к ним доступ, они смогут подписать любые цифровые документы от чужого имени.

ЭЦП можно записать в реестр ноутбука. Данный способ хранения тоже является небезопасным. Каждый, кто получит доступ к этой системе, будет иметь возможность подписывать документы и создавать копии ключа. Есть риски полностью лишиться электронной подписи, если ПК потеряется или случится серьёзная поломка.

О чём нужно помнить при хранении квалифицированной ЭП

При хранении электронной подписи в организации важно соблюдать правила цифровой безопасности. Чтобы избежать проблем, необходимо выполнять следующее:

1. Установить пароли — пин-коды нужно установить на компьютер, токен и контейнер ключей. Также следует заменить заводские пароли токена и контейнера ключей ЭЦП.
2. Использовать один носитель для определённого работника — использование ЭЦП разных лиц на одном носителе может привести к нарушению конфиденциальности закрытых ключей, что приведёт к недействительности всех подписей.
3. Ограничить доступ к контейнеру ключей третьим лицам — если другое лицо воспользуется ЭЦП в своих целях, владельцу подписи будет сложно оспорить свою непричастность.
4. Хранить контейнер ключей электронной подписи отдельно от посторонних — токен следует хранить в сейфе или носить с собой. Ключевой носитель, который хранится на столе офиса и при этом не защищён паролем или другими мерами безопасности, может быть легко украден и использован третьими лицами.
5. Менять электронную подпись при смене или увольнении уполномоченного сотрудника — данные меры помогут избежать проблем с платёжными документами и нарушением правил использования электронной подписи, согласно Федеральному закону № 63-ФЗ.
6. Продлевать сертификат электронной подписи своевременно — если этого не сделать в срок, ЭЦП будет недействительной. Организация получит штраф за не вовремя сданный отчёт или не сможет заключить важную сделку.
7. Защищать рабочее место — антивирусное программное обеспечение помогает защитить вас от различных угроз, таких как вирусы, которые могут имитировать поведение пользователя и подписывать документы вместо владельца.
8. Не хранить пароли на бумаге — правило относится не только к электронной подписи, но и к иным программам, требующим пин-код во время доступа. Хранение пароля на бумаге приводит к утечке информации и несанкционированному доступу к вашим файлам.

Заключение

Хранение электронной подписи является ответственным процессом, который требует соблюдения установленного порядка и регламента. Для обеспечения безопасности и учёта необходимо учитывать срок действия подписи, описать порядок хранения и соблюдать все требования безопасности.

Памятка для владельца электронной подписи ФНС

С 1 января 2022 года электронные подписи для директоров коммерческих организаций и индивидуальных предпринимателей бесплатно выдает Удостоверяющий центр ФНС. В сотрудничестве с ФНС также работают Доверенные лица, которые могут выдавать подпись на директора и ИП на платной основе. Актуальный реестр размещен на сайте ФНС.

Подпись ФНС записывается только на защищенный носитель и не копируется.

Настройка электронной подписи

Для работы с электронной подписью необходимо установить на компьютер:

Программу КриптоПро CSP

Без данной программы невозможно использовать электронную подпись. Она устанавливается непосредственно на персональный компьютер и предназначена для защиты данных от изменения третьими лицами. Программа позволяет ставить подписи, шифровать и защищать данные.

Установить программу КриптоПро CSP можно по данной инструкции.

Панель управления рутокеном

Программа необходима для работы с защищенным носителем. Скачать можно с официального сайта производителя. Стандартный пароль от защищенного носителя модели Рутокен Lite – 12345678.

❗ Электронная подпись настраивается под конкретный портал, с которым предстоит работа.

Нужна помощь в настройке электронной подписи? Закажите помощь от наших технических специалистов. Они подключатся и произведут всю работу удаленно. Cтоимость настройки — от 1 800 рублей.

Правила использования электронной подписи

Электронная подпись – аналог вашей собственноручной подписи. Обеспечивает юридическую значимость подписанного документа. Поэтому, используя подпись, не забывайте о следующих правилах для пользователя:

1. Никому не передавайте вашу электронную подпись.

Важно! С помощью вашей подписи злоумышленники могут подписать любые документы от вашего лица, оформить микрокредит, продать автомобиль, вывести деньги компании на другой счет, незаконно возместить НДС.

Мы рекомендуем для сотрудников выпустить собственные электронные подписи. До конца 2022 года можно использовать любой механизм:

— Выпустить в аккредитованном Удостоверяющем центре электронную подпись на сотрудника организации.

— Выпустить электронную подпись на физическое лицо и выдать сотруднику электронную машиночитаемую доверенность (МЧД) на осуществление тех или иных полномочий.

К примеру, в сервисе 1С-Отчетность данный механизм работы уже реализован. Подпись на физическое лицо для пользователя сервиса выпускается бесплатно.

2. Если вы потеряли электронную подпись, то немедленно ее отзовите.

Для этого необходимо обратиться в Удостоверяющий центр, выдавший вам электронную подпись.

3. Замените «заводской» пароль (PIN-код) носителя на свой собственный при получении электронной подписи.

Важно! При утере данного пароля доступ к защищенному носителю не восстановить. Необходимо будет перевыпустить электронную подпись.

Где можно использовать электронную подпись

Подпись от Удостоверяющего центра ФНС можно применять не только для сдачи отчетности и обмена электронными документами. Рассмотрим, на каких порталах еще можно использовать электронную подпись:

9 вопросов и ответов об электронной подписи для бизнеса

«Контур» — экосистема продуктов для бизнеса. Ключевые направления деяельности: интернет-отчетность и онлайн-бухгалтерия, сервисы для ЭДО и работы с маркировкой, облачный товароучет и онлайн-кассы, проверка контрагентов и электронные подписи

1. Что такое электронная подпись и как ее получить?

Электронная подпись — цифровой аналог собственноручной подписи. Он нужен, чтобы совершать сделки и подтверждать подлинность документов онлайн. ЭП состоит из двух элементов: закрытого ключа, с помощью которого ее владелец подписывает бумаги, и сертификата, подтверждающего принадлежность подписи конкретному человеку.

Юридические лица и индивидуальные предприниматели используют квалифицированную электронную подпись — ее сертификаты выдают сотрудникам компаний за один день в аккредитованном удостоверяющем центре за 2000–6000 рублей либо бесплатно в налоговой, если вы руководитель организации или ИП. Список удостоверяющих центров есть на сайте Министерства цифрового развития, связи и массовых коммуникаций РФ.

Для оформления квалифицированной электронной подписи понадобятся паспорт, номера СНИЛС и ИНН. Сотруднику компании нужна доверенность, которая подтверждает право выступать от имени организации.

Чтобы получить сертификат подписи впервые, подать документы нужно лично. Если у вас уже есть ЭП и ее действие заканчивается, оформить новую можно удаленно через сайт удостоверяющего центра или налоговой.

2. Какие документы можно подписать с помощью ЭП?

Согласно Федеральному закону №63-ФЗ, квалифицированной цифровой подписью можно подписывать любые документы, для которых существует электронная форма, то есть почти все. На практике бизнес использует ее для нескольких сфер:

• Отчетность в ФНС, ПФР, Росстат, ФСС и другие контролирующие органы.
• Электронный документооборот между бизнесами в b2b-области — счета-фактуры, акты, договоры.
• Электронная коммерция — например, участие в государственных закупках сейчас проходит только в цифровом виде; b2b-закупки тоже быстрее и удобнее совершать в таком формате.
• Внутрикорпоративный документооборот — кадровые документы, приказы, распоряжения.

3. Где хранить электронную подпись и какой способ самый безопасный?

Закрытый ключ электронной подписи нужно хранить так, чтобы его не могли использовать посторонние. Потому что с ним злоумышленник может подписать любой документ, и доказать, что это сделали не вы, будет сложно.

Наиболее безопасный способ хранения ключа — токен. Это защищенный паролем носитель, похожий на флешку. Если носитель похитят, получить доступ к ключу подписи все равно не получится.

В будущем электронную подпись возможно будет хранить в защищенном интернет-облаке — так владелец сможет получить доступ к ЭП с компьютера, смартфона, планшета и любого другого устройства.

Сейчас в России разрабатывают правила, по которым должна работать облачная подпись. Когда они будут утверждены государством, ЭП позволит вести дела более мобильно. Например, сейчас, если руководитель оставил свой токен в офисе и уехал в командировку, он не сможет ничего подписать — придется возвращаться. А облачная подпись будет доступна с телефона, который точно не забудешь.

4. Почему директору и всем сотрудникам компании нельзя пользоваться одной подписью?

Иметь отдельные подписи для руководителя и каждого сотрудника безопаснее. Иначе можно столкнуться с серьезными проблемами: например, бухгалтер, который использует ключ директора для сдачи отчетности, подпишет от имени организации кредитный договор в банке и выведет средства, а директор узнает об этом, только когда придет время первого платежа. Пока в компании выясняют, кто взял кредит, банк предъявляет законные требования по возврату. Если бухгалтер будет пользоваться своей подписью по доверенности на сдачу отчетности от организации и не будет иметь полномочий на подписание кредитных договоров, такой ситуации не произойдет.

Каким сотрудникам нужна отдельная подпись:

• Бухгалтеру, чтобы сдавать отчетность. Если ее ведет несколько специалистов, каждому лучше использовать свою подпись: например, один занимается НДС, другой — общей отчетностью, третий — фондами.
• Менеджерам по закупкам и отгрузкам.
• Тендерным специалистам, которые готовят документы к подаче на конкурс и торгуются. Если этими задачами занимаются разные люди, каждому нужна своя подпись.
• Кадровым специалистам, чтобы подписывать локальные нормативные акты, приказы, распоряжения.

5. Может ли один человек иметь несколько подписей?

Чтобы руководитель компании не выпустил несколько сертификатов подписей и не отдал токены сотрудникам, государство с 2022 года ограничивает количество ЭП у директора. Глава организации может получить единственный сертификат, который нельзя скопировать. При выпуске нового сертификата подписи старый перестает действовать.

На сотрудников и их сертификаты электронной подписи такие ограничения не распространяются — они могут получить несколько сертификатов для разных задач или устройств.

6. Как компании быстро выпустить электронные подписи для всех сотрудников?

Есть два способа:

1. Каждый сотрудник сам обращается в удостоверяющий центр или налоговую, предоставляет доверенность от компании и получает сертификат.

2. Если у компании большой штат, она заключает партнерский договор с удостоверяющим центром. Тогда сотрудники приходят за сертификатом не в центр, а в свою организацию к ответственному лицу. Этим способом пользуются компании, которые массово переходят на электронный документооборот.

7. Если сотрудник получил электронную подпись в одной компании, сможет ли он использовать ее на другом месте работы?

Обычно в компании используют сертификаты, в которых указаны ее реквизиты и данные сотрудника. При смене должности или увольнении организация сообщает об этом в удостоверяющий центр, и такая подпись перестает действовать.

В 2023 году начнут действовать поправки, внесенные в Федеральный закон №63-ФЗ «Об электронной подписи». Сотрудники должны будут использовать сертификат физического лица — в нем указаны только личные сведения без места работы. Это удобно, потому что полномочия, должности и компании меняются, а физическое лицо остается тем же. Но тогда только сертификата недостаточно. Чтобы налоговая узнала, что вы представляете конкретную организацию и действуете от ее имени, понадобится электронная доверенность от руководства компании.

8. Можно ли посмотреть все документы, подписанные определенной ЭП?

Общей базы не существует, так как при подписании нет обязанности где-то регистрировать документ. Часто организации контролируют этот процесс — например, приглашают сотрудников в общую информационную систему электронного документооборота, через которую отслеживают все действия.

Но ничто не мешает сотруднику, как уже упоминалось выше, например, взять токен директора, подписать кредитный договор и отправить его по электронной почте в банк. Директор может никогда об этом не узнать. Согласно статье 10 Федерального закона «Об электронной подписи», владелец обязан следить, чтобы ЭП не использовали без его согласия. Но наказание для того, кто применил чужую подпись, не прописано.

9. Можно ли использовать российскую подпись для сделок с иностранными компаниями?

Если в России иностранная компания действует по российским законам, можно заключить соглашение, по которому подпись будет действительна. Когда во время сделки одна сторона в России, а другая за рубежом, нужны более сложные правовые конструкции.

Наше законодательство об электронной подписи содержит общие принципы с европейским, американским, китайским, но признание сертификата от другого государства — предмет межправительственных соглашений. Например, если Россия и Китай договорятся о том, что они признают между собой определенные электронные подписи, в РФ можно будет проверять и признавать документы, подписанные на территории КНР.

Пока соглашений о трансграничном ЭДО нет, но ведется активная работа по их созданию в рамках Евразийского экономического союза — с Беларусью, Азербайджаном и Киргизией: действует правовая база, но пока не на уровне правительства, а на уровне Евразийской экономической комиссии.

Как и где можно хранить электронную подпись

Простая и неквалифицированная электронная подпись (ЭП) могут храниться на любых носителях, так как в Федеральном законе №63-ФЗ «Об электронной подписи» нет никаких указаний на этот счет. К вопросу хранения квалифицированной ЭП нужно отнестись серьезнее. Эта подпись приравнена к собственноручной, она используется в электронных торгах и при заключении важных сделок с контрагентами. Поэтому безопаснее хранить ее на защищенном носителе, сертифицированном ФСБ.

Защищенные носители для квалифицированной электронной подписи

Токен (eToken, Рутокен и др.)

Надежный и удобный носитель в виде USB-брелока. Подходит для большинства применений, кроме ЕГАИС. С его помощью можно отправить отчет в налоговую или Росстат, подписать договор и участвовать в электронных торгах. Чтобы подписывать документы с помощью токена, на компьютер нужно установить средство криптографической защиты информации (СКЗИ).

Токен со встроенным СКЗИ (Рутокен ЭЦП, Рутокен ЭЦП 2.0, JaCarta PKI/ГОСТ/SE)

Носитель, который похож на обычный токен, но обладает встроенным СКЗИ. Используя электронную подпись на таком носителе, вы сможете подписывать документы на любом компьютере без покупки дополнительного ПО. Рутокен ЭЦП подходит для дистанционного банковского обслуживания, работы на госпорталах, сдачи отчетности и документооборота. Он не предназначен для работы с торговыми площадками и ЕГАИС. Рутокен ЭЦП 2.0, как и JaCarta PKI/ГОСТ/SE, используются только для работы с ЕГАИС.

Дополнительная защита электронной подписи

Доступ к подписи по пин-коду

На каждом съемном носителе электронной подписи установлен пин-код — комбинация символов, после ввода которой вы получаете доступ к подписи. Вводится пин-код каждый раз при подписании документа или любом другом обращении к ЭП. По умолчанию код стандартный, но вы можете убрать его совсем или поменять на свой. Мы подготовили инструкцию по смене для Рутокен, eToken, JaCarta. Если нужно, обратитесь в УЦ, и наш специалист поможет сменить пин-код.

Защита подписи от копирования

Ключи электронной подписи по умолчанию разрешено копировать на другие носители. Если хотите, вы можете включить защиту от копирования. Для этого при оформлении заявки сообщите менеджеру, что вам нужен неэкспортируемый ключ электронной подписи. В этом случае скопировать подпись с носителя будет невозможно, так как при любой попытке экспорта файлов система будет выдавать ошибку.

Незащищенные носители для квалифицированной электронной подписи

Теоретически ЭП можно записать на любой съемный носитель. Но файлы на USB-диске, дискете или другом носителе никак не защищены. Если злоумышленники их украдут и расшифруют, то смогут подписывать любые документы. Поэтому мы не рекомендуем хранить файлы электронной подписи на подобных носителях.

Запись ЭП в реестр ноутбука — популярный, но тоже небезопасный вариант хранения подписи. Любой, кто получит доступ к системе, сможет подписывать документы или создать копию ключа. Если понадобится переехать на другое рабочее место, то для переноса ключа электронной подписи понадобится помощь квалифицированного специалиста. ЭП можно и вовсе потерять, если с компьютером что-то случится.

О чем нужно помнить при хранении квалифицированной ЭЦП

Один носитель — для одного сотрудника
Если записать ЭП разных сотрудников на один носитель, то нарушится конфиденциальность закрытых ключей. И по закону все подписи будут считаться недействительными.

Нельзя передавать свою ЭП другому человеку
Электронная подпись — это аналог собственноручной. Она служит идентификатором владельца. Если отдать ЭП другому человеку, а он подпишет документ, с которым вы не согласны, то оспорить это решение не удастся.

Нельзя хранить ЭП в открытом доступе
Квалифицированную электронную подпись нужно хранить в сейфе или другом защищенном месте. Носитель, который просто лежит на столе, легко украсть, чтобы подписать пару «лишних» документов. А когда вы это заметите, то даже в суде не сможете доказать свою непричастность.

При смене реквизитов меняйте и ЭП
Компания изменила свое название, владелец ЭП уволился или поменял должность? Меняйте подпись. Не затягивайте с этим, чтобы не столкнуться с пачкой платежек, подписанных неизвестно кем, и не нарушать п. 1 ст. 2 Федерального закона №63-ФЗ «Об электронной подписи», требующий обеспечить точную идентификацию владельца ЭП. Для замены электронной подписи обратитесь к менеджеру, который ее выдавал. Или свяжитесь с удостоверяющим центром «Тензор» удобным для вас способом.

Вовремя продлевайте ЭП
Если не продлить электронную подпись, она станет недействительной. И вы не сможете подписать ни один электронный документ, пока не получите новую ЭП в удостоверяющем центре. О том, как продлить электронную подпись, читайте в нашей статье.

Защитите рабочее место
Антивирусное ПО защищает вас от любых неприятных сюрпризов. Вирусы способны имитировать поведение владельца подписи, чтобы подписать несколько нужных злоумышленнику документов. И доказать, что подпись ставили не вы, будет тяжело.

Не храните пароли на бумажках
Это правило — основа компьютерной безопасности. Оно относится не только к электронным подписям, но и ко всем другим сферам. Пароль от токена, заботливо записанный на стикере возле компьютера, несказанно обрадует злоумышленника.