Банковским клиентам усилят подписи (Коммерсантъ)

Законодатели готовят поправки, согласно которым граждане смогут давать в электронном виде разрешение на обработку персональных данных банкам и страховщикам только с помощью усиленной электронной подписи. При этом в ходе соответствующего эксперимента на протяжении трех лет использовалась простая электронная подпись, которая имеется более чем у ста миллионов россиян. Изменение этой подписи на усиленную, по мнению участников рынка, снизит конверсию до 10–15%, что делает использование цифрового профиля гражданина неинтересным для коммерческих организаций.

По словам директора технического департамента RTM Group Федора Музалевского, ПЭП ЕСИА выдается фактически в МФЦ. По его словам, можно разрешить и ПЭП ЕСИА для доступа к персональным данным, как минимум, в целях популяризации такого вида подписи. «Слабее она только теоретически, практические векторы атаки на данный вид простой подписи пока не реализованы»,— уверен он. 

Очень странный вывод, простая электронная подпись, это, например, логин-пароль, как можно это сравнивать с криптографией? И теоретически, и практически простая ЭП слабее усиленной.

Небольшой ролик о PKI-Форуме 2022

Росприроднадзор и ЭЦП

В международный день защиты персональных данных порассуждаем об УЦ и персональных данных

Должны ли государственные УЦ брать с получателей сертификатов согласия на обработку персональных данных?

Условия обработки персональных данных описаны в статье 6 152-ФЗ, первый пункт - обработка ПДн осуществляется с согласия субъекта на обработку его ПДн. Смотрим четвертый пункт - обработка ПДн необходима для исполнения полномочий федеральных органов исполнительной власти.

Аккредитация в силу федерального закона - полномочие ФОИВ в части реализации функций аккредитованного УЦ.
По мнению канала, согласно 152-ФЗ согласие может не браться, т.к. ФОИВ осуществляет обработку ПДн для исполнения своего полномочия. При этом объём обрабатываемых ПДн должен соответствовать 63-ФЗ.

И ещё одно рассуждение о ПДн.
1 марта 2022 г. вступил в силу приказ Минцифры России № 1138 (заменил 436 приказ).
Данный приказ говорит, что "Аккредитованный УЦ обязан предоставлять безвозмездно любому лицу по его обращению сведения, содержащиеся в реестре квалифицированных сертификатов, в том числе информацию об аннулировании сертификата". Данная норма появилась не сама по себе, она следует из части 3 статьи 15 63-ФЗ - АУЦ обязан обеспечить любому лицу безвозмездный доступ с использованием информационно-телекоммуникационных сетей, в том числе сети "Интернет", к реестру квалифицированных сертификатов этого аккредитованного удостоверяющего центра в любое время в течение срока деятельности этого удостоверяющего центра, если иное не установлено федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами.

Должен ли быть данный реестр общедоступным?
Наш канал придерживается мнения, что нет, сведения в реестре сертификатов являются защищаемыми, и данную часть 63-ФЗ нужно рассматривать в совокупности с требованиями федеральных законов 152-ФЗ и 149-ФЗ, т.к. "иное" и установлено данными федеральными законами.

А какие мнения у подписчиков канала?

Информация для операторов ЭДО - ФНС России внесены изменения в Унифицированный формат транспортного контейнера при информационном взаимодействии с приемными комплексами налоговых органов по телекоммуникационным каналам связи с использованием электронной подписи, утвержденный приказом ФНС России от 09.11.2010 № ММВ-7-6/535@

Поправки внесены приказом ФНС России от 26.01.2023 N БС-7-26/55@ в целях обеспечения унификации электронного документооборота между налогоплательщиками и налоговыми органами по телекоммуникационным каналам связи с использованием усиленной квалифицированной электронной подписи (технологический процесс 103.06.02.02.0010 "Прием и обработка документов, представленных в налоговые органы в электронной форме по телекоммуникационным каналам связи с применением усиленной квалифицированной электронной подписи")