ОБ УТВЕРЖДЕНИИ ТИПОВОЙ ФОРМЫ ДОГОВОРА



Пункт 3

ДЕПАРТАМЕНТ ФИНАНСОВ ВОЛОГОДСКОЙ ОБЛАСТИ

ПРИКАЗ

07.09.2010 г. N 669

ОБ УТВЕРЖДЕНИИ ТИПОВОЙ ФОРМЫ ДОГОВОРА

ПРИКАЗЫВАЮ:

1. Утвердить типовую форму договора об обмене электронными платежными документами, подписанными электронной цифровой подписью, в автоматизированной системе удаленных рабочих мест АС "Бюджет" (прилагается).

2. Установить, что заключение договоров об обмене электронными платежными документами, подписанными электронной цифровой подписью, в автоматизированной системе удаленных рабочих мест АС "Бюджет" с главными распорядителями, распорядителями и получателями средств областного бюджета после вступления в силу настоящего Приказа осуществляется по типовой форме, утвержденной настоящим Приказом.

3. При изменении условий договоров об обмене электронными платежными документами, подписанными электронной цифровой подписью, в автоматизированной системе удаленных рабочих мест АС "Бюджет", заключенных по форме, утвержденной приказом департамента финансов области от 22 января 2007 года № 30 «О внедрении безбумажной технологии документооборота в системе АС «УРМ», договоры после вступления в силу настоящего Приказа подлежат перезаключению по типовой форме, утвержденной настоящим Приказом.

4. Предоставить право подписания договоров об обмене электронными платежными документами, подписанными электронной цифровой подписью, в автоматизированной системе удаленных рабочих мест АС "Бюджет" с главными распорядителями, распорядителями и получателями средств областного бюджета от имени департамента финансов области заместителю начальника департамента финансов области, начальнику управления областного казначейства Р.М. Бухмичевой.

5. Признать утратившим силу приказ департамента финансов области от 22 января 2007 года № 30 «О внедрении безбумажной технологии документооборота в системе АС «УРМ».

6. Контроль за исполнением приказа возложить на заместителя начальника департамента финансов, начальника управления областного казначейства Р.М. Бухмичеву и заместителя начальника департамента финансов области, начальника управления информатизации и защиты информации О.Ю. Несговорову.

7. Настоящий приказ вступает в силу с момента официального опубликования.

Начальник департамента

финансов области, первый

заместитель Губернатора области                                                      С.С.Тугарин                                                                                                                               

Типовая форма

УТВЕРЖДЕНА

приказом департамента финансов области от 07.09.2010 № 669

                                                                                                                                                             

Договор № _____

об обмене электронными платежными документами, подписанными электронной цифровой подписью, в автоматизированной системе удаленных рабочих мест                   АС «Бюджет»

«_______» _______________ 20___ г.

Департамент финансов Вологодской области, именуемый в дальнейшем Департамент, в лице ______________________________________________________, действующего на основании ______________________________________________, и _________________________________________________________________________

_________________________________________________________________________

(наименование _________________________________________________________________________,

главного распорядителя (получателя) средств областного бюджета )

именуемый в дальнейшем Бюджетополучатель, в лице _____________________________

_______________________________________________________________________________________________________________________, действующего на основании ________________________________________________________________________________________________________________________________________________, вместе именуемые Сторонами, заключили Договор о нижеследующем:

1. Общие положения

1.1. Настоящий Договор регулирует обмен электронными платежными документами, подписанными электронной цифровой подписью, в автоматизированной системе удаленных рабочих мест АС «Бюджет» (далее – АС «УРМ») между Департаментом и Бюджетополучателем на территории Вологодской области, а также устанавливает обязательства Сторон по обеспечению информационной безопасности.

1.2. Термины и сокращения, используемые в Договоре, определены в                                                                 Приложение № 1, являющемся неотъемлемой частью настоящего договора.

2. Предмет договора

Взаимоотношения Департамента и Бюджетополучателя в процессе обмена электронными

2.1. платежными документами, подписанными  электронной цифровой подписью.

2.2. Областью применения электронной цифровой подписи является исключительно электронный документооборот между Департаментом и Бюджетополучателем с использованием АС «УРМ».

2.3. С целью обмена электронными платежными документами, подписанными  электронной цифровой подписью, в Департаменте и у Бюджетополучателя установлены автоматизированные рабочие места, оснащенные сертифицированными средствами электронной цифровой подписи CryptoPro CSP версии 2.0, а именно программный модуль «Сервер обмена данными и синхронизации удаленных рабочих мест» программного комплекса АС «Бюджет» (далее - «УРМ» сервер и удаленное рабочее место АС «УРМ» соответственно).

2.4. Стороны признают, что электронная цифровая подпись в электронном платёжном документе равнозначна собственноручной подписи руководителя и/или главного бухгалтера Бюджетополучателя, наделенного правом подписи финансовых документов, заверенной оттиском печати, в платёжном документе на бумажном носителе при одновременном соблюдении следующих условий:

 сертификат ключа подписи, относящийся к этой электронной цифровой подписи, не утратил силу (действует) на момент проверки или на момент подписания электронного документа при наличии доказательств, определяющих момент подписания;

 подтверждена подлинность электронной цифровой подписи в электронном платежном документе;

 электронная цифровая подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи.

2.5. Департамент осуществляет операции на лицевых счетах  Бюджетополучателя согласно электронным платежным документам, подписанными корректной электронной цифровой подписью, переданным в системе АС «УРМ».

3. Общие принципы обмена ЭПД.

3.1. В качестве поставщика услуг Удостоверяющего центра для системы электронного документооборота в АС «УРМ» Департамент и Бюджетополучатель самостоятельно выбирают юридическое лицо, оказывающее услуги Удостоверяющего центра, и имеющее единое пространство доверия сертификатов ключей электронной цифровой подписи с Удостоверяющим центром «Информационные системы «Криста».

3.2. Стороны несут ответственность за обеспечение конфиденциальности собственных закрытых ключей ЭЦП и за действия своего персонала при использовании АРМ обмена ЭПД.

3.3. Стороны принимают на себя обязательства:

3.3.1. использовать для формирования и проверки ЭЦП в ЭПД сертифицированные средства криптографической защиты CryptoPro CSP версии 2.0;

3.3.2. принимать в обработку ЭПД с подтвержденной подлинностью ЭЦП, без подтверждения на бумажном носителе;

3.3.3. вести архив принятых и переданных ЭПД;

3.3.4. не принимать в обработку ЭПД без ЭЦП или имеющий отрицательный результат проверки ЭЦП;

3.3.5. немедленно прекратить прием и передачу ЭПД в случае получения информации о компрометации закрытого ключа ЭЦП и руководствоваться положениями Приложения № 2 и Приложения № 3 (для служебного пользования), являющимися неотъемлемой частью настоящего договора;

3.3.6. сторона, несвоевременно сообщившая о случаях компрометации закрытых ключей ЭЦП, несёт связанные с этим риски убытков;

3.3.7. самостоятельно отслеживать сроки действия сертификатов ключей ЭЦП и своевременно производить их замену или аннулирование.

3.4. При возникновении споров в отношении ЭПД стороны разрешают их в порядке согласно Приложению № 4 (для служебного пользования), являющемуся неотъемлемой частью настоящего договора.

4. Права и обязанности Сторон

4.1. Департамент обязан:

4.1.1. В течение 3-х дней после получения от Бюджетополучателя письменного заявления о готовности к обмену ЭПД, подписанных ЭЦП, в системе АС «УРМ», оформленному в соответствии с Приложением № 5 являющемся неотъемлемой частью настоящего договора, настроить «УРМ»-сервер на прием ЭПД от Бюджетополучателя.

4.1.2. Обеспечивать бесперебойное функционирование своей части аппаратно-программных средств, необходимых для приема и обработки ЭПД Бюджетополучателя.

4.2. Департамент имеет право:

4.2.1. Приостановить прием ЭПД в случаях нарушения или ненадлежащего выполнения Бюджетополучателем условий настоящего Договора.

4.2.2. Обращаться в Удостоверяющий центр за подтверждением подлинности ЭЦП в отношении выданных Удостоверяющим центром сертификатов ключа ЭЦП.

4.2.3. Инициировать разрешение спора в отношении исполненных ЭПД.

4.2.4. Запрашивать у Бюджетополучателя при необходимости копии ЭПД на бумажном носителе.

4.3. Бюджетополучатель обязуется:

4.3.1. Использовать для передачи ЭПД исключительно программное обеспечение АС «УРМ», разработанное ООО «Информационные системы «Криста».

4.3.2. Выполнять рекомендации по информационной безопасности при использовании средств и ключей ЭЦП согласно Приложению № 2, являющемуся неотъемлемой частью настоящего договора.

4.3.3. Приказом или распоряжением назначить лиц, уполномоченных работать на АРМ обмена ЭПД и подписывать ЭЦП электронные платежные документы.

4.3.4. Немедленно оповещать Департамент о фактах, не позволяющих Бюджетополучателю осуществлять дальнейший электронный документооборот с применением ЭЦП.

4.4. Бюджетополучатель имеет право:

4.4.1. Обращаться в Департамент с запросами по проблемам обмена ЭПД и уточнениями о стадиях обработки отправленных ЭПД с ЭЦП.

4.4.2. Обращаться в Удостоверяющий центр за подтверждением подлинности ЭЦП в отношении выданных Удостоверяющим центром сертификатов ключа ЭЦП.

4.4.3. Инициировать разрешение спора в отношении исполненных ЭПД.

5. Ответственность Сторон:

5.1. Бюджетополучатель несет ответственность за достоверность реквизитов электронного платежного документа в его электронном виде и содержание каждого ЭПД, подписанного ЭЦП Бюджетополучателя.

5.2. Департамент несет ответственность за функционирование «УРМ»-сервера и своевременное принятие в обработку ЭПД Бюджетополучателя, прошедших проверку ЭЦП.

5.3. Департамент несет ответственность за непринятие мер в случае выявления факта компрометации закрытого ключа Бюджетополучателя.

5.4. Ответственность за ущерб, возникший вследствие компрометации ключей ЭЦП, несет Сторона, допустившая нарушение.

5.5. В случае возникновения ущерба Сторона, не исполнившая (ненадлежащим образом исполнившая) обязательства по настоящему Договору, несёт ответственность перед другой Стороной за возникшие убытки.

5.6. Если в результате ненадлежащего исполнения ЭПД возникает ущерб для третьих лиц, ответственность несет Сторона, подписавшая данный ЭПД своей ЭЦП.

5.7. Департамент не несет ответственности за ошибочное списание средств со счетов Бюджетополучателя и зачисление средств на счет другого получателя, если ошибка вызвана неправильным указанием в ЭПД, подписанном ЭЦП, реквизитов банка-плательщика (банка-получателя), счета плательщика (получателя), наименования плательщика (получателя) или суммы платежа.

5.8. Департамент не несет ответственности в случае невозможности осуществления обмена ЭПД с Бюджетополучателем, если это вызвано неисправностями используемых Бюджетополучателем программно-аппаратных средств и каналов связи, предоставленных третьими лицами.

5.9. При подозрениях на мошенничество с использованием ЭЦП или наличии материального ущерба, явившегося следствием обработки фальшивого финансового электронного документа, материалы передаются в следственные органы.

5.10. Стороны освобождаются от ответственности за частичное или полное неисполнение своих обязательств по настоящему Договору, если таковое явилось следствием обстоятельств непреодолимой силы, возникших после вступления в силу настоящего Договора, в результате событий чрезвычайного характера, которые не могли быть предвидены и предотвращены разумными мерами.

6. Срок действия и порядок прекращения действия договора.

6.1. Настоящий Договор заключается на неопределенный срок и вступает в силу со дня его подписания.

6.2. Департамент вправе расторгнуть настоящий Договор в одностороннем порядке в следующих случаях:

6.2.1. в случае нарушения Бюджетополучателем требований к форматам ЭПД, требований информационной безопасности, предусмотренных действующим законодательством и условиями настоящего Договора, если данное нарушение повлекло ущерб для Департамента или в случае неоднократного нарушения указанных требований и условий Бюджетополучателем независимо от последствий нарушений;

6.2.2. в случае изменения законодательства, изменяющего права и обязанности Сторон.

6.3. Бюджетополучатель вправе расторгнуть настоящий Договор в одностороннем порядке после направления в Департамент письменного уведомления не позднее 30 календарных дней до даты расторжения Договора.

6.4. Расторжение настоящего Договора не влияет на обязательства Сторон по исполнению ЭПД, принятых до даты расторжения Договора.

7. Прочие условия.

Во всем остальном, что не урегулировано настоящим договором, Стороны руководствуются действующим законодательством Российской Федерации и Вологодской области.

Адреса и реквизиты сторон.

«Департамент»                                                         «Бюджетополучатель»

Департамент финансов

Вологодской области

160035, г. Вологда, ул. Герцена, 2

От «Департамента»                                                         От «Бюджетополучателя»

_______________/_________________/            ______________ /__________________/

         подпись     расшифровка подписи                     подпись            расшифровка подписи

              М.П.                                                                                                  М.П.

                                                                Приложение № 1

                                                              к договору № _____

                                                                                       от «____» ___________ 20___ года

Термины и сокращения, используемые в договоре

Электронный платежный документ (ЭПД) – электронный документ, являющийся основанием для совершения операций по счетам, открытым в расчетной системе управления областного казначейства департамента финансов Вологодской области и у Бюджетополучателя, заверенный электронной цифровой подписью и имеющий равную юридическую силу с платежным документом на бумажном носителе, подписанным собственноручными подписями уполномоченных лиц и заверенный оттиском печати.

Автоматизированное рабочее место обмена ЭПД (АРМ обмена ЭПД) – программно-технический комплекс, используемый Сторонами для обмена ЭПД.

Электронная цифровая подпись (ЭЦП) - последовательность символов (байт), формируемая путем преобразования подписываемого электронного документа специальным программным обеспечением по криптографическому (то есть построенному на использовании ключей) алгоритму, передаваемая вместе с электронным документом и предназначенная для проверки его целостности и авторства. Соответствие криптографического алгоритма ГОСТ Р 34.10-94 (ГОСТ Р 34.10-2001), ГОСТ Р 34.11-94 гарантирует невозможность подделки ЭЦП под электронным документом без знания закрытого ключа ее владельца. Любое случайное или преднамеренное изменение электронного документа, заверенного ЭЦП, включая искажение, добавление, удаление или перестановку символов, приводит к отрицательному результату проверки ЭЦП.

Владелец сертификата ключа подписи (Владелец СКП) - физическое лицо (руководитель, заместитель руководителя, главный бухгалтер), на имя которого удостоверяющим центром выдан сертификат ключа подписи и, которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы).

Средства электронной цифровой подписи - аппаратные и (или) программные средства, обеспечивающие реализацию хотя бы одной из следующих функций - создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе, создание закрытых и открытых ключей электронных цифровых подписей.

Сертификат средств электронной цифровой подписи - документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям.

Закрытый ключ электронной цифровой подписи - уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи.

Открытый ключ электронной цифровой подписи - уникальная последовательность символов, соответствующая закрытому ключу электронной цифровой подписи, доступная любому пользователю электронной платежной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе.

Сертификат ключа подписи - документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.

Подтверждение подлинности электронной цифровой подписи в электронном документе - положительный результат проверки соответствующим сертифицированным средством электронной цифровой подписи с использованием сертификата ключа подписи принадлежности электронной цифровой подписи в электронном документе владельцу сертификата ключа подписи и отсутствия искажений в подписанном данной электронной цифровой подписью электронном документе.

Пользователь сертификата ключа подписи - физическое лицо, использующее полученные в удостоверяющем центре сведения о сертификате ключа подписи для проверки принадлежности электронной цифровой подписи владельцу сертификата ключа подписи.

Ключевой носитель – съемное электронное устройство, защищенное пин-кодом (e-Token или ru-Token) и предназначенное для записи и хранения на нем ключа ЭЦП.

Удостоверяющий центр – юридическое лицо, выполняющее функции, предусмотренные Федеральным законом «Об электронной цифровой подписи» №1-ФЗ от 10.01.2002 года и обладающее необходимыми материальными и финансовыми возможностями, позволяющими ему нести гражданскую ответственность перед пользователями сертификатов ключей подписей за убытки, которые могут быть понесены ими вследствие недостоверности сведений, содержащихся в сертификатах ключей подписей.

Компрометация ключа ЭЦП – случаи хищения, копирования, подмены, несанкционированного использования закрытого ключа ЭЦП, возможность доступа, в том числе временная, к нему посторонних лиц, а также все случаи подозрения на то, что указанные события могли иметь место.

Единое пространство доверия – структура, определяющая организационные границы, в пределах которых находятся только заслуживающие доверия удостоверяющие центры, а сертификаты ключей ЭЦП, изготовленные ими, признаются всеми участниками информационного взаимодействия в границах структуры и на равных условиях.

                                                        Для служебного пользования

                                             Приложение № 2

                                                           к договору № ____

                от «____» ___________ 20____ года

Рекомендации по информационной безопасности при использовании средств и ключей ЭЦП

Рекомендации по размещению средств ЭЦП.

1.1. Размещение, охрана и специальное оборудование помещения, в котором установлены средства ЭЦП, должны обеспечивать сохранность информации, невозможность неконтролируемого проникновения в эти помещения.

1.2. Эти помещения должны находиться в контролируемой зоне, иметь прочные входные двери, на которые устанавливаются надёжные замки. Двери и окна помещений оборудуются охранной сигнализацией. При расположении помещений на первых и последних этажах зданий, а также при наличии рядом с окнами балконов, пожарных лестниц и т.п. окна помещений рекомендуется оборудовать внутренними (раздвижными) решётками.

1.3. Для хранения закрытых ключей ЭЦП в помещениях рекомендуется устанавливать надёжные металлические хранилища, оборудованные внутренними замками с двумя экземплярами ключей.

1.4. По окончании рабочего дня помещение, в котором установлены средства ЭЦП и хранилища с закрытыми ключами ЭЦП, рекомендуется закрывать и ставить под сигнализацию, извещатели которой могут выходить на посты ведомственной или военизированной охраны. Порядок охраны устанавливается на местах.

1.5. Рекомендуется двери помещений во время работы с ключами ЭЦП держать закрытыми, присутствие посторонних лиц, не имеющих доступа к ключевой информации, исключить.

1.6. Хранение ключей ЭЦП допускается в одном хранилище с другими документами, при этом отдельно от них и в упаковке, исключающей возможность негласного доступа к ним.

1.7. Для размещения средств ЭЦП рекомендуется использовать внутренние помещения здания (не граничащие с наружными стенами). Средства ЭЦП рекомендуется размещать, возможно, ближе к центру помещения и на удалении от наружных стен и стен, смежных с помещениями, где возможно пребывание посторонних лиц, не допущенных к информации ограниченного доступа.

1.8. В помещении, где размещаются средства ЭЦП, рекомендуется ограничивать применение электро -, радио - и другой р/э аппаратуры.

1.9. Внешние модемы следует устанавливать в пределах контролируемой зоны на расстоянии не менее 1 м от средств ЭЦП.

Руководство по применению паролей.

2.1. Общие положения

2.1.1. Пароль является средством защиты доступа к средствам вычислительной техники и информационным ресурсам и представляет собой символьную последовательность (буквенную, цифровую или смешанную), предъявляемую пользователем в ответ на соответствующий запрос. При положительном результате проверки достоверности предъявленного пользователем пароля:

 система управления доступом предоставляет пользователю закрепленные за ним права доступа;

 пользователь регистрируется встроенными средствами регистрации (если они имеются).

2.2. Пароль эффективен как средство защиты только при правильном его использовании. Пользователи несут полную ответственность за правильность использования паролей, которыми они владеют.

2.3. Пароль принадлежит только одному пользователю и применяется для его персонального доступа к средствам вычислительной техники и информационным ресурсам.

2.4. Использование паролей

2.4.1. Правильное использование пароля заключается в выполнении следующих требований:

 пароль должен быть известен только его владельцу;

 ЗАПРЕЩАЕТСЯ сообщать пароль кому бы то ни было;

 пользователь должен принять все меры для того, чтобы исключить возможность разглашения принадлежащего ему пароля;

Исключение: Если компьютер используется для коллективной или сменной работы, ответственный за него сообщает пароль на включение всем пользователям, допущенным к работе с этим компьютером Передача пароля остальными пользователями кому бы то ни было запрещена.

 символьная последовательность, составляющая пароль, должна иметь такую длину и содержание, чтобы нельзя было узнать её по её части или владея косвенной информацией о ней, а также нельзя было просто подобрать. Например, нельзя применять пароли, состоящие из одних и тех же или чередующихся символов. Не рекомендуется применять в качестве паролей общеупотребительные слова, основывать пароли на общеизвестных ассоциациях. Длина паролей, используемых для включения компьютера должна быть не менее 6 символов. Длина паролей, используемых для доступа к средствам ЭЦП должна быть не менее 8 символов;

 не следует использовать один и тот же пароль для различных учётных записей; пароли, используемые для доступа к средствам ЭЦП, должны периодически меняться. Периодичность смены пароля должна быть не реже, чем раз в 40 дней. В случае разглашения пароля он должен заменяться немедленно; пароли, используемые для доступа к компьютеру, заменяются в случае разглашения.

2.5. Резервирование паролей

2.5.1. По решению руководителя Бюджетополучателя, либо руководителя структурного подразделения Бюджетополучателя (далее - руководитель) может применяться резервирование некоторых паролей, таких, как пароли администраторов серверов и автоматизированных систем, пароли ответственных должностных лиц, пароли отдельных пользователей, выполняющих важные функции, единственно возможные пароли.

2.5.2. Для резервирования пароля:

 пароль записывается владельцем (для коллективных паролей - ответственным за компьютер) на лист бумаги и заверяется личной подписью;

 лист с записью пароля вкладывается владельцем в конверт. Конверт не должен допускать просмотр записи пароля на просвет. Если конверт недостаточно плотный, в него может быть также вложен лист темной бумаги. Конверт заклеивается. На конверте владелец пароля указывает свою должность, фамилию и инициалы, наименование информационного средства, которое защищается этим паролем, текущие дату и время, при необходимости - другие данные, и заверяет запись личной подписью;

 конверт передаётся для хранения руководителю или лицу, им для этого назначенному, и учитывается в специальном разделе Журнала учёта средств защиты информации. Учётный номер (сквозной по журналу) проставляется ответственным за хранение на конверте.

2.5.3. Конверты с паролями хранятся в сейфе. Ответственный за хранение не реже чем один раз в неделю проверяет их наличие по журналу учёта.

2.5.4. При замене пароля конверт передаётся владельцу пароля, который уничтожает лист с резервным паролем, о чем делается запись в журнале учёта. Новый резервный пароль подготавливается к хранению в порядке указанном в пункте 2.5.2 настоящих требований. Новый конверт учитывается в журнале учёта отдельной позицией.

2.5.5. Вскрытие конверта с паролем производится по решению руководителя подразделения в случае необходимости использования прав доступа его владельца в отсутствие самого владельца, если иными способами получить доступ невозможно. Для вскрытия конверта назначается комиссия не менее чем из трёх сотрудников подразделения. О вскрытии конверта комиссией составляется акт, утверждаемый руководителем подразделения, который по окончании работы комиссии хранится в документах руководителя или лица им назначенного.

2.5.6. С целью сохранения прав доступа, закреплённых за пользователем, которому принадлежал пароль, на время его отсутствия назначается сотрудник, который заменяет пароль владельца на свой собственный. По прибытии владельца ему возвращаются его права доступа, и он назначает новый пароль.

2.6. Для доступа к особо критичным средствам вычислительной техники и информации вместо пароля должны применяться средства сильной аутентификации (автоматическая выработка случайных паролей максимальной длины и их хранение на аппаратных носителях: touch-memory, смарт-картах и т.п.) вплоть до биометрической.

Рекомендации по применению ЭЦП.

3.1. Использование ЭЦП в качестве аналога собственноручной подписи предполагает визуальный контроль владельцем ЭЦП содержания электронного документа перед его подписанием и отправкой.

3.2. Владельцем ЭЦП может являться руководитель или сотрудник, которому от имени Бюджетополучателя предоставлено  право  удостоверения  соответствия электронных документов оригиналам.

3.3. В системах ЭПД использование ЭЦП должно осуществляться с соблюдением следующих принципов безопасности:

3.3.1. Сотрудники, имеющие права защиты (удостоверения содержания) электронных платёжных документов, назначаются приказами или распоряжениями руководства Бюджетополучателя. При этом руководитель несет персональную ответственность за подбор указанных сотрудников. Эти сотрудники могут не быть должностными лицами, обладающими правами первой и второй подписи оригинальных платежных документов (бумажных). Формирование (подготовка исходного текста) и отправка электронных платежных документов может осуществляться как указанными лицами, так и другими сотрудниками, которым это поручено руководителем Бюджетополучателя.

3.3.2. Основанием для защиты и передачи электронного платежного документа по системе электронного документооборота является либо наличие полностью надлежаще оформленного и подписанного уполномоченными лицами соответствующего бумажного документа, либо наличие соответствующего электронного документа (или его заверенной распечатки), полученного с соблюдением пункта 3.1 настоящих требований.

3.4. Допускается назначение владельцем ЭЦП доверенного лица, в случае если владельцем ЭЦП является руководитель Бюджетополучателя.

3.4.1. Доверенные лица имеют право подписи электронных документов ключом владельца при наличии распечаток этих документов на бумажном носителе, подписанных владельцем ЭЦП и заверенных печатью Бюджетополучателя. Владелец ЭЦП (доверенное лицо), подписавший электронный документ, несет ответственность за содержание подписанного электронного платежного документа.

3.4.2. Назначение доверенных лиц оформляется распоряжением руководителя Бюджетополучателя, с указанием на право удостоверения подлинности электронных платежных документов (в соответствии с п. 3.2 настоящих рекомендаций).

3.4.3. Передача носителя с закрытым ключом ЭЦП от владельца ЭЦП доверенному лицу и наоборот должна фиксироваться владельцем ЭЦП в специально предназначенном для этого журнале. Данный журнал может оформляться в произвольном виде, но с обязательными полями: "тип носителя ЭЦП", "идентификатор ЭЦП", «дата и время передачи носителя», "фамилия, инициалы и подпись лица, принявшего носитель".

3.5. Основными угрозами при использовании ЭЦП для защиты систем электронного документооборота являются компрометация закрытых ключей ЭЦП отправителей электронных документов и внедрение в базы сертификатов ключей получателей электронных документов фальшивых или выведенных из действия сертификатов ключей, а также нарушение целостности программного обеспечения, реализующего функции формирования и проверки ЭЦП.

3.6. В процессе всего периода использования и хранения закрытых ключей ЭЦП должна быть обеспечена их надежная защита от компрометации.

3.7. Носители закрытых ключей ЭЦП должны храниться в сейфах (металлических шкафах), а при нахождении носителей вне сейфов владельцы ЭЦП (доверенные лица) должны принять необходимые меры, направленные на исключение компрометации закрытого ключа.

3.8. При хранении в сейфе (металлическом шкафу) коллективного пользования носитель закрытого ключа должен быть помещен в опечатанный конверт, пенал или другие средства, позволяющие обнаружить несанкционированный доступ к носителю ключа со стороны других пользователей сейфа.

3.9. Передача носителей конфиденциальных ключей кому-либо запрещена (кроме случаев, оговоренных в пункте 3.4 настоящих рекомендаций).

3.10. Владелец ЭЦП несет ответственность за соблюдение правил хранения носителя ЭЦП и правильность его использования.

                                                  Для служебного пользования

                                           Приложение № 3

                                                           к договору № ____

от «____» ___________ 20____ года

Порядок действий при компрометации закрытого ключа ЭЦП

Понятие компрометации применяется только к закрытому ключу ЭЦП и означает, что произошло нарушение безопасности хранения и использования ключа, в результате которого возникла вероятность несанкционированного его применения и нанесения тем самым ущерба.

Компрометация может быть в явной и неявной форме.

Явной считается компрометация в одном из следующих случаев:

• секретный ключ ЭЦП оказался доступен кому-либо, кроме его владельца;

• обнаружен случай подписания электронного документа экземпляром ЭЦП кем-либо, кроме его владельца.

Неявной считается компрометация в одном из следующих случаев:

• секретный ключ ЭЦП был скопирован на жесткий диск или другой носитель, передан в локальной вычислительной или телекоммуникационной сети или иным образом, даже в случае последующего уничтожения, мог после этого оказаться восстановленным посторонним лицом;

• носитель закрытого ключа ЭЦП оказался доступен постороннему лицу без контроля со стороны владельца ЭЦП;

• у владельца ЭЦП возникло подозрение, что закрытый ключ мог оказаться доступен кому - либо, кроме него самого.

Как явная, так и неявная компрометация секретного ключа ЭЦП считается нарушением информационной безопасности и требует принятия немедленных мер по предотвращению возможного ущерба, при этом различий в принимаемых мерах для той и другой формы не делается.

В указанных выше случаях Бюджетополучатель обязан незамедлительно сообщить о компрометации закрытого ключа ЭЦП в Удостоверяющий центр и отдел управления областного казначейства Департамента финансов.

Отдел управления областного казначейства Департамента финансов приостанавливает прием ЭПД с ЭЦП Бюджетополучателя до смены скомпрометированных ключей ЭЦП.

Все электронные платежные документы, заверенные скомпрометированным экземпляром ЭЦП, принятые к обработке после установленного или предполагаемого времени возникновения (а не обнаружения) компрометации ключа, независимо от того, продолжается ли еще обработка этих документов или уже завершена, должны быть немедленно сверены по всему маршруту их движения в АС «УРМ».

Прием и исполнение ЭПД Бюджетополучателя без ЭЦП продолжается только при предоставлении копий ЭПД на бумажном носителе.

После замены скомпрометированных ключей ЭЦП обмен ЭПД возобновляется в режиме определенным настоящим договором.

                                                                            Для служебного пользования

                                              Приложение № 4

                                                              к договору № _____

                                                                                       от «____» __________ 20____ года

Порядок разрешения споров в отношении электронных платежных документов

При осуществлении обмена ЭПД могут быть рассмотрены следующие виды споров:

А. Отправитель утверждает, что переданный ЭПД, подписанный ЭЦП, имеет одно содержание, а Получатель - что другое (это касается как состава электронного платежного документа, так и его содержания);

Б. Отправитель утверждает, что передал Получателю ЭПД, подписанный ЭЦП, а Получатель утверждает, что не получал указанный ЭПД, подписанный ЭЦП;

В. Отправитель утверждает, что не передавал Получателю ЭПД, подписанный ЭЦП, а Получатель утверждает, что указанный ЭПД, подписанный ЭЦП получен и исполнен.

В основе разрешения споров лежит признание обеими сторонами аутентификационных свойств ЭЦП и оговорено настоящим договором.

Процедура разрешения споров заключается в том, что стороны предъявляют друг другу извлеченные из архивов файлы ЭПД, подписанные ЭЦП. Решение принимается исходя из того, представлены или нет файлы и подписаны ли они неискаженной ЭЦП.

Споры вида А разрешаются следующим образом: получатель должен предъявить файл того содержания, о котором получатель заявляет, имеющий неискаженную ЭЦП отправителя. Если такой файл предъявлен, спор считается разрешенным в пользу получателя, если нет - в пользу отправителя.

Споры вида Б разрешаются следующим образом: отправитель должен предъявить подтверждение от получателя о приеме спорного файла, имеющее неискаженную ЭЦП получателя. Если такое подтверждение предъявлено, спор считается разрешенным в пользу отправителя, если нет – в пользу получателя.

Споры вида В разрешаются следующим образом: получатель должен предъявить спорный файл, имеющий неискаженную ЭЦП отправителя. Если такой файл предъявлен, спор считается разрешенным в пользу получателя, если нет – в пользу отправителя.

Для разрешения споров в отношении электронных документов, подписанных ЭЦП, Стороны принимают следующий порядок:

Каждая из Сторон имеет право инициировать разрешение спора, связанного с электронным документом или группой электронных документов, отправленных или полученных Сторонами.

Инициирование разрешения спора осуществляет одна из Сторон путем направления другой Стороне уведомления (письма) за подписью уполномоченного лица, с изложением причин разногласия, в трехдневный срок с момента возникновения спора.

Стороны, по взаимному согласию, пытаются урегулировать разногласия путем ведения переговоров в срок не более семи календарных дней с момента получения уведомления (письма) одной из Сторон.

При невозможности разрешения спора путем переговоров, Стороны создают согласительную комиссию (не позднее десяти календарных дней с момента получения уведомления (письма) одной из Сторон).

Создание согласительной комиссии для разрешения споров.

5.1. В состав согласительной комиссии должны входить равное количество представителей каждой Стороны (до пяти человек, включая представителей службы безопасности, юридической службы и иных). Члены комиссии от каждой Стороны назначаются приказами соответствующих Сторон.

5.2. Для привлечения к работе в согласительной комиссии сотрудников Удостоверяющего центра одна из Сторон направляет письмо в свободной форме за подписью руководителя или заместителя в адрес Удостоверяющего центра о необходимости участия в заседаниях согласительной комиссии.

5.3. Согласительная комиссия создается на срок до 10 дней. Стороны договариваются о времени и месте проведения заседаний согласительной комиссии.

Работа согласительной комиссии проходит в два этапа:

6.1. 1-й этап – подготовительный.

6.1.1. Комиссия сравнивает сертификат ключа подписи Бюджетополучателя на бумажном носителе с распечаткой его электронного образа, находящегося в базе открытых ключей АС «Бюджет» департамента финансов области. При отрицательном результате сравнения дальнейшее рассмотрение разногласий не проводится.

6.1.2. Комиссия сравнивает сертификат ключа подписи Бюджетополучателя со списком отозванных сертификатов (СОС). В случае совпадения реквизитов сертификата с реквизитами сертификата из СОС дальнейшее рассмотрение разногласий не проводится.

6.2. 2-й этап – проверка и анализ спорных документов, принятие решения по сути спора.

По итогам работы согласительной комиссии составляется акт, содержащий:

7.1. фактические обстоятельства, послужившие основанием возникновения спора;

7.2. порядок работы членов согласительной комиссии;

7.3. решение о подлинности (ложности, приеме, передаче, отзыве и т.п.) оспариваемого ЭПД, подписанного ЭЦП, и его обоснование.

Акт составляется в трех экземплярах, подписывается всеми членами согласительной  комиссии. Члены комиссии, не согласные с мнением большинства, подписывают акт с особым мнением, которое прикладывается к акту. Каждой из Сторон согласительная комиссия направляет по одному экземпляру акта для принятия решения.

Акт согласительной комиссии является основанием для принятия Сторонами окончательного решения, которое должно быть подписано Сторонами не позднее 10 дней со дня окончания работы согласительной комиссии.

В случае непринятия Сторонами решения в установленный срок Сторона-инициатор спора вправе обратиться в арбитражный суд в соответствии с законодательством.

                                                                   Приложение № 5

                                                               к договору № ____

  от «____» ___________ 20___ года

Форма

В департамент финансов

Вологодской области

ЗАЯВЛЕНИЕ

__________________________________________________________________________

(наименование главного распорядителя (получателя) средств областного бюджета)

__________________________________________________________________________

(индекс, почтовый адрес, телефон, факс, e-mail)

выражает готовность к электронному обмену платежными документами, подписанными электронной цифровой подписью, в системе удаленных рабочих мест АС «Бюджет» департамента финансов Вологодской области на основании следующего:

1. АРМ обмена ЭПД (№ системного блока), установлен в кабинете № __ по адресу: __________________________________________________________________________

2. Кабинет № __ находится на __ этаже здания и соответствует рекомендациям Приложения № 2 к договору № __________________ от «____» ___________ 20____ года.

3. Ответственные за осуществление электронного обмена лица:

____________________________________________________________ Владелец ЭЦП;

                                                        (Ф.И.О., должность)

___________________________________________________________доверенное лицо,

(Ф.И.О., должность)

назначены (указать каким документом) от «__» ______ 20__ г. № ____.

4. На АРМ обмена ЭПД имеются:

• приложения № 2 и № 3 к договору № ________ от «__» __________ 20__ года.

• регламент Удостоверяющего центра,

• инструкция пользователя АС «УРМ»,

• журнал учета и приема-передачи ключевого носителя.

5. Канал передачи данных от АРМ обмена ЭПД на сервер «УРМ» департамента финансов Вологодской области организован.

Руководитель                            ______________________               /расшифровка подписи/

                                                                      подпись

                                                        М.П.

Дата составления: «___» __________ 20___ г.»