STATE TREASURY SHUTDOWN АБО #CYBERGEDDON-UA V2.0: WHO IS MR.ROBOT?

Події останній днів, що відбувались навколо інформаційних систем Мінфіну та Держказначейства, ще раз прославили Україну черговим гучним кіберінцидентом який із впевненістю ввійде в підручники із кібербезпеки та презентації всіх полісімейкерів в галузі безпеки.

У березні 2016 року мав нагоду вивчати основи інтернет дипломатії у Annenberg School for Communication and Journalism Університету південної Каліфорнії де найбільш читаємий у Вашингтоні політолог, авто теорії «м’якої влади», та професор Гарвардського університету Джозеф Най (Joseph Nye) у своїй презентації повідав важливість формування культури кібербезпеки на прикладі BlackEnergy Shondown case, або випадку взлому системи управління подачі електроенергії у Прикарпаття обленерго. Вже немає нічого дивного в тому, що увагу до випадків проникнення до інформаційних систем притділяють не тільки експерти із ІТ, але і особи, що долучені до формування стратегії розвитку держави, системи державного управління та колективної безпеки. В тім того, навіть у останній роботі з міжнародних відносин Генрі Кісінджера World Order, у розділ, що присвячений розвитку технологій та їх впливу на світовий порядок поряд із аналізом сучасних проблем із ядерним озброєнням наводиться порівняльний аналіз впливу кібер технологій на світовий порядок. Тобто, сучасні супердержави питання кібезброї та кібебезпеки вже приділяють уваги на рівні із поширенню та використанню ядерної зброї.

Так, що ж трапилось в Мінфіні та Держказначействі і які уроки для світової спільноти дасть цей інцидент. З інформації доступної із відкритих джерел, форумів та обговорень у соцмережах події відбувались у такій послідовності.

Вранці 6 грудня, деякі працівники Держказначейства помітили дивну роботу своїх комп’ютерів, деякі засисали, переставали відповідати на пристрої введення та перезагружатись. Після чого інформація на диску С комп’ютера, із операційною системою та робочими документами виявлявся знищено. Це пов’язують із зараженням комітетів мережі Держказначейства вірусом який задіював зловмисний алгоритм KillDisk, мало того антивірусне забезпечення ESET v5 встановлене в казначействі виявилось неефективним. Поряд з цим, зловмисники отримали доступ до адміністративної панелі управління доменним ім’ям веб сайту казначейства і змінивши налаштування DNS перенаправили всіх користувачів на сайт www.whoismrrobot.com який присвячений відомому серіалу про хакера-«Робіг Гуда» який рятує світ від змови інтернет корпорації.

Оцінивши критичність ситуації цілком логічно, що адміністратори систем держказначейства та мінфіну прийняли рішення відключити системи від інтернету та дали команду всім працівникам негайно вимкнути всю комп’ютерну техніку. Саме про це писали працівники ДКУ на форумах, що комп’ютери вимкнені і персонал відпущених додому. За не прямими ознаками можна також стверджувати, що була зупинена система обслуговування бюджету та платежів АС «Казна», оскільки, інформаційна система ДФС не дозволяла реєструвати податкові накладні через відсутність інформації про зарахування коштів на спецрахунки держказначейства. Таким чином, буда зупинена робота всіх бюджетів, зупинені платежі, що є кібергеддоном системи державних фінансів, який тривав 2 доби. За інформацією, яка надійшла 9 грудня, роботу веб-сайтів відновлено, почали проходити платежі, хоча не правда, робота не всіх місцевих бюджетів та територіальних відділень ДКУ відновлено.

Отже, можна стверджувати, що зловмисники отримали доступу до значної кількості комп’ютерів у мережі держказначейства, їм вдалось перехопити паролі доступу до управління веб сайтом, а також запустити програми по самознищенню інформації на персональних комп’ютерах працівників служби. Цілком ймовірно, що такі дії не могли відбутись швидко, і як з випадком  Прикарпаттяобенерго, зловмисники готувались заздалегідь. Крім того, до їх рук могла потрапити інформація з обмеженим доступом, що вимагає ретельної перевірки системи, та виявлення переліку скомпрометованих даних.

Представники уряду у офіційних заявах, а також значна кількість експертів долучених до податкової реформи воліли пов’язати те, що відбулось із спробою голови ДФС зберегти сервери податкової під своїм контролем дискредитуючи Мінфін тим, що він навіть веб сайту не може дати ладу, бо саме в цей момент парламент мав розглядати законопроект присвячений податковій реформі. Але, такі заяви, цілком ймовірно є далекими від істини. 8 грудня уряд виділив також із резервного фонду 80 млн.грн. для модернізації інформаційних систем Мінфіну та ДКУ, звісно пізно, але можливо це дозволить їм впровадити сучасні хмарні технології, що унеможливлять повторення ситуації.

Уваги потребує інформація ФСБ РФ, яка 2 грудня на своєму сайті розмістила повідомлення про те, що іноземними спецслужбами готується кібератака на фінансову інфраструктуру РФ починаючи з 5 грудня. Пізніше, 9 грудня Ростелеком відзвітував про успішно відбиту DDoS атаку яка мала місце 5 грудня. Це сталось за день до інциденту в Україні, чи пов’язані ці інциденти і хто ж наслідив у держказначейству має показати детальний звіт який сподіваємось скоро буде оприлюднено, що є вкрай необхідним через ризик повторення ситуації в інших державних органах.

http://blog.liga.net/user/atsaruk/article/25219.aspx

ФІСКАЛЬНИЙ МОНІТОРИНГ НА #BLOCKCHAIN ЧИ КАСОВІ АПАРАТИ, ЩО КРАЩЕ?

Основним завданням впровадження фіскальних функцій реєстрації розрахункових операцій завжди була боротьба з неврахованими обсягами готівкових коштів та ухиленням від сплати податків, захист державних інтересів та знищення корупційної складової процесу.

Перший механічний касовий апарат був винайдений Джеймсом Рітті у 1879 році, який був власником салону в м. Дейтоні, США, та хотів зупинити шахрайство своїх співробітників. Модель було винайдено після того як він побачив пристрій який реєстрував оберти гребного гвинта пароплава, а його перший патент було зареєстровано у 1883 році.

За майже півтора століття, розвиток інформаційних технологій та  фінансової системи звісно внесли значні корективи у методи контролю за торговими операціями як зі сторони власників бізнесу та і держави. Сьогодні навіть на законодавчому рівні робляться спроби апробації нових методів касового і фіскального контролю за торговими операціями, не осторонь таких процесів стоїть і Україна.

Поряд з цим, застосування сучасних технологій дозволить підвищити рівень прозорості бізнесу, сприятиме наповненню дохідної частини державного бюджету та виконання Україною умов Меморандуму із МВФ (Ukraine: Technical Memorandum of Understanding), який передбачає запровадження більш ефективних механізмів адміністрування податків, детінізації економіки та підвищення контролю за готівковим обігом.

Проте, надмірна лібералізація фіскального контролю за роздрібною торгівлею разом із застосуванням незрілих технологічних рішень може створити умови для зниження контролю за готівковим обліком та ухилення від сплати податків у великих розмірах, що суперечить інтересам і держави і власників прозорого бізнесу.

Сьогодні як ніколи актуальним є пошук Соломонового рішення ­­­– балансу інтересів держави та приватного сектору ­– певної форми суспільного договору, яка дозволить ефективно розвиватись бізнесу, а це, у свою чергу призведе до збільшення податкових надходжень та рівня життя населення.

Потребує переосмислення парадигма сучасного бачення контролю з боку держави та власників бізнесу за касовими операціями у формі фіскального моніторингу – як способу лібералізації податкового контролю за касовими операціями суб’єктів малого підприємництва порівняно із застосування класичних РРО, але вже через призму застосування інноваційних рішень як Блокчейн (BlockChain) та розподілений реєстр (DistributedLedger), що реалізовані на міцних криптоалгоримах, забезпечують неможливість видалення та модифікації даних про здійснені транзакції.

Використання новітніх інформаційних технологій, алгоритмів апробованих у системах криптовалют та хмарні рішення для забезпечення фіскалізації розрахунково-касових операцій сприятиме захисту державних інтересів, забезпечення прозорості контролю сплати податків, та не потребує використання технологій кінця 19го століття.

Запитання на яке потрібно відповісти представникам бізнесу, фіскальних органів та законотворцям заклечається у наступному – чи  може  програмне рішення, реалізоване у вигляді онлайн сервісу, стати альтернативою існуючих реєстраторів розрахункових операцій, але при цьому:

·     не потребує придбання та підключення спеціального обладнання, витрат з боку бізнесу та держави на впровадження РРО;

·     дозволяє віддалено реєструвати розрахунково-касові операції у режимі реального часу на базі наявного у бізнесу обладнання;

·     забезпечує достовірність та надійність передачі розрахункових даних до Державної Фіскальної служби;

·     захищає інтереси держави та забезпечує прозорість доходів середнього бізнесу.

Альтернативне вирішення описаної проблеми запропоновано командою стартапу «QUARK CLOUD», який розробляє сервіс типу MBaaS – мобільний додаток через який користувач вводить та передає дані про проведені транзакції до серверного сховища/хмари. Специфікою зазначеного рішення є також принцип захисту інформації від зміни, як користувачем так і адміністратором сервісу, що унеможливлює його підробку чи модифікацію.

Чи може проект «QUARK CLOUD», який побудований на основі елементів технології Blockchain, стати альтернативою у порівнянні із стандартними рішеннями контролю за готівковим обігом поряд із класичними реєстраторами розрахункових операцій (РРО)?

Звісно, застосування технології криптовалют, може допомогти подолати тіньовий обіг готівки суб’єктами малого підприємництва там де застосування традиційних РРО є економічно невиправданим. Але, для підприємців, які погодяться на повну фіскальну прозорість, слід розробити систему адміністративного стимулювання, як відсутність перевірок, збільшення обороту по єдиному податку та ін.

Поряд з цим, практична реалізація елементів системи фіскального моніторингу СМП вже сьогодні може бути реалізовано Державною фіскальною службою шляхом доопрацювання функціоналу Електронного кабінету  платника податків, шляхом:

1)      Розробки сервіс перевірки внесення інформації про фіскальні чеки класичних РРО до бази даних ДФС, із формою повідомлення про їх відсутність, що вказує на факти застосування фіктивних РРО та ухиляння від податків;

2)      Створення нового сервісу – Книги обліку доходів і витрат у електронній формі із застосуванням ЕЦП платника єдиного податку та відповідного АРІ для інтеграції сервісу із обліковим програмним забезпеченням платників податків, що не зобов’язані застосовувати класичні РРО.

Зважаючи на те, що описані ініціативи спрямовані на досягнення соціально значущих цілей – боротьба із тіньовим обігом готівки, але поряд з цим, використання сучасних технологій шифрування та захисту інформації має забезпечити належний захист персональних даних та конфіденційної інформації про здійснені торгові операції суб’єктів малого бізнесу, можливість впровадження таких технологічних рішень потребує зустрічних кроків зі стони держави та змін до нормативного регулювання.

Проте, для всіх фіскально транспарентних платників податків, особливо для суб’єктів малого підприємництва, мають бути створені рівнозначні та прозорі умови реалізації фіскальних функцій, або застосування більш м’яких добровільних форм фіскального моніторингу, зі сторони податкових органів держави. Крім того, власники бізнесу мають отримати більш ефективні способи контролю за готівковими операціями, оскільки саме власник підприємства у першу чергу зацікавлений у повноті обліку торгової виручки найманими працівниками.

http://blog.liga.net/user/atsaruk/article/25144.aspx

Вільна каса. Олександр Царук - про легалізацію e-commerce

Експерт з управління інтернетом Олександр Царук — про кроки з легалізації електронної комерції в Україні

4 жовтня 2016 року у першому читанні Верховна Рада прийняла законопроект № 4117 «Про внесення змін до деяких законодавчих актів України щодо лібералізації готівкових розрахунків», або, як його ще назвали експерти, законопроект «про онлайн РРО».

Питанням вивчення законодавчого застосування реєстраторів розрахункових операцій (РРО), або, простіше кажучи, касових апаратів, я займаюся вже кілька років — раніше як консультант проекту Фіскальна хмара, а зараз як лідер стартапу QUARK.

Філософія, що була закладена у розробку законопроекту № 4117, кореспондує з підходами Фіскальної хмари. Ключовою ідеєю є такий принцип РРО як програмне забезпечення, яке розподілене між системою хмарних обчислень, розміщеній в дата-центрі, та персональними пристроями — комп’ютером, смартфоном, планшетом тощо.

Після майже піврічних консультації з фахівцями галузі кібербезпеки, захисту персональних даних та прав споживачів, сертифікації і підтвердження відповідності стало зрозуміло, що реалізувати фіскальні функції лише на рівні програмного забезпечення не є можливим, насамперед через вимоги до системи безпеки та захисту інформації.

Після ґрунтовного визначення тексту законопроекту можна погодитися з доцільністю запровадження розподілених реєстраторів розрахункових операцій (РККО) на основі нової технології поєднання клієнтських терміналів і центральних серверних сховищ за допомогою телекомунікаційних систем та спеціального програмного забезпечення, яка у правильній моделі реалізації може дійсно призвести до можливості введення нових моделей РРО для ширшого кола суб'єктів, причому, можливе досягнення зниження вартості для кінцевого споживача.

Вищезазначене дійсно було б можливим, якби законопроект не містив системних недоліків, без виправлення яких у режимі другого читання можуть бути створені умови для послаблення фіскального контролю за готівковим обліком та ухиленням від сплати податків.

Це, у свою чергу, ставитиме під загрозу наповнення дохідної частини державного бюджету та виконання Україною умов Меморандуму, погодженого з МВФ у вересні 2016 року, який вимагає від уряду України та передбачає запровадження ефективніших механізмів адміністрування податків, детінізації економіки та підвищення контролю за готівковим обігом.

Реалізувати фіскальні функції лише на рівні програмного забезпечення не є можливим, насамперед через вимоги до системи безпеки та захисту інформації

За результатами аналізу, виключно за умови врахування таких ключових моментів буде можливим легальне використання технології, запропонованої в законопроекті № 4117.

По-перше, приведення його у відповідність до чинного законодавства у сфері електронного документообігу та захисту інформації.

Для цього законопроект потрібно очистити від фіктивних понять, що підміняють критичні елементи системи інформаційної безпеки. Йдеться передусім про поняття «цифрового підпису» та «електронного повідомлення». У законопроекті потрібно визначити, що покупцеві видається електронний документ з електронним цифровим підписом(ЕЦП), оскільки надсилання електронного повідомлення без належного захисту інформації і криптографічного захисту зв’язку між елементами системи з незрозумілим «цифровим підписом» унеможливлює реалізацію у розподіленому РРО комплексу системи захисту інформації (КСЗІ) з підтвердженою відповідністю.

Якщо змінити описані вище норми, покупець отримає електронний документ (який може бути доставлений йому е-mail, SMS чи надрукований на принтері), тобто дістане юридично доказову силу, що дає змогу його пред’явити у вирішенні процесуальних питань у суді, органах захисту прав споживачів, а також при оформленні валових та ПДВ в бухгалтерському обліку.

Застосування КЗСІ дозволить унеможливити видалення, викривлення чи модифікацію інформації про здійснені операції, а отже, не дасть змоги застосовувати «тіньові» схеми ухилення від податків.

По-друге, приведення у відповідність норм законопроекту до законодавства у сфері захисту персональних даних.

Закон про захист персональних даних визначає, що покупець, а в нашому випадку — власник таких персональних даних, як номер телефону, адреса електронної пошти тощо, може доручити обробку власних персональних даних іншій особі, розпоряднику персональних даних — оператору РККС, виключно в рамках окремого договору, укладеного в письмовій формі, що передбачено у ст. 4 Закону.

Вирішити проблему захисту персональних даних клієнта я пропоную шляхом використання криптографічного захисту зазначеної інформації, або, інакше кажучи, шляхом шифрування за умови, що ці дані будуть недоступними для зчитування адміністраторами системи та оброблятимуться на терміналі.

У такому разі покупцеві не потрібно укладати договір у письмовому вигляді, оскільки електронний документ з ЕЦП є формою договору, укладеного в електронній формі.

По-третє, вдосконалення практики опломбування складових систем РККС як одного з елементів технічного контролю. Для цього необхідно вилучити норми, які знімають необхідність опломбування РККС, насамперед має бути обмежений доступ до фіскального блоку сервера - «чорного ящика», в якому зберігаються всі дані про проведені транзакції, які не можуть бути видаленими чи модифікованими адміністраторами РККС.

Крім вирішення базових проблем законопроекту, його авторам варто було б зосередитися також на галузі його застосування. Цілком зрозуміло, що система мережевого РРО була б цікавою передовсім там, де є покупці та бізнес, які технологічно зрілі до таких інновацій, а також там, де процеси торгівлі проходять переважно в електронному режимі.

Тобто, потенційним замовником таких систем є електронна комерція — там і сервери працюють у режимі реального часу, і платежі проходять у режимі онлайн, а покупці будуть цілком задоволені можливістю отримання розрахункового документа в електронній формі.

Система мережевого РРО була б цікавою передовсім там, де є покупці та бізнес, які технологічно зрілі до таких інновацій, а також там, де процеси торгівлі проходять переважно в електронному режимі

Але торгові мережі, роздрібна торгівля нафтопродуктами, де чеки друкуватимуться у більшості випадків, економити на РРО не будуть, оскільки для них є важливими насамперед швидкість і відмовостійкість.

Для прикладу: на АЗС, де середня вартість чеку в пікові години досягає 500 грн., а за хвилину проходить від 2−4 транзакції, у разі втрати зв’язку з фіскальним сервером всього на годину означатиме втрату виручки обсягом від 50 тис. до 100 тис. гривень.

Відповідно мережі, які функціонують у середовищі ненадійного телекомунікаційного зв’язку, свій вибір зупинять на традиційних типах РРО.

Крім того, слід відзначити, що вартість якісного принтеру становить від $ 150 до $ 200, відповідно економія у розмірі $ 50−100, за наявності додаткових ризиків, просто нікого не зацікавить.

Система РККС має працювати в режимі реального часу, оскільки фіскалізація в ній реалізована на рівні сервера, і саме його процесор і фіскальний блок мають через мережі захищеного зв’язку давати команди на відпуск товару і друк чи створення в електронному виді розрахункового документа.

За інших умов ця система не створюватиме юридично значимий документ або даватиме можливість модифікації даних.

Окремо у законопроекті варто визначити, що РККС — це сукупність програмних та апаратних компонентів, а не лише програмного забезпечення. Фіскальну функцію та фіскальну пам’ять реалізовує сертифікована інформаційно-телекомунікаційна система, розробником оператором і клієнтом якої мають бути три юридично розподілені особи і в жодному разі не державні органи.

Якщо ж РККС буде в руках ДФС, податківців матимуть усі можливості видаляти інформацію про транзакції підприємств, які більш лояльні або з інших корисних мотивів, на боротьбу з якими зараз державою кинуті всі сили.

https://realist.online/article/vilna-kasa-oleksandr-caruk-pro-legalizaciyu-e-commerce

Врятувати систему. Олександр Царук - про перспективи е-декларування

Експерт з управління інтернетом Олександр Царук — про перспективи е-декларування

Від провалу системи е-декларування держслужбовців може врятувати лише її передача Державній фіскальній службі (ДФС).

Початок жовтня знову відзначився ще одними скандалами навколо системи е-декларування, яка спільними зусиллями громадськості, Національного агентства з питань запобігання корупції (НАЗК) та Держспецзв’язку було все ж таки запущено в роботу після фальстарту 15 серпня, коли всупереч очікуванням та заявам президента України систему не було атестовано через значні технологічні недоліки, пов’язані з системою захисту даних.

Першою краплею «дьогтю» була заява директора НАБУ Артема Ситника в інтерв'ю Громадському, де він вказав на відмінність форми декларації, затвердженої НАЗК, та доступної для заповнення декларантом. У цьому, на його думку, вбачається великий ризик для всього процесу е-декларування, оскільки саме затверджена і опублікована форма декларації може бути доказовим предметом злочину, що передбачено законодавством.

У разі, коли заповнена форма відрізняється від затвердженої в офіційних документах, вона автоматично втрачає свою доказовість і юридичну силу.

На думку Ситника, навіть відмінність у стовпчиках чи колонках є формальною причиною стверджувати, що це не та декларація, і відповідно обвинувачуваний може використати цей момент для спростування основного доказу в суді. Тобто, намагання поліпшити і доопрацювати «сиру» систему е-декларуванн, може вилитися врешті-решт в юридичну нікчемність самих декларацій.

Намагання поліпшити і доопрацювати «сиру» систему е-декларування може вилитися врешті-решт в юридичну нікчемність самих декларацій

Одночасно створення державного реєстру е-декларування виявилось дорогою забавкою. Причиною цього є низька ІТ-культура та освіченість юристів, які працювали із законопроектом, відсутність відкритого діалогу та консультацій з експертами з кібербезпеки та інформаційно-комунікаційних технологій.

Створення і функціонування окремого державного реєстру як цілісного програмно-апаратного комплексу з доступом до інших державних реєстрів та об'єктів критичної інфраструктури вимагає значних коштів. Адже відкритий для моніторингу в інтернеті реєстр є доступним для будь-яких кіберзагроз та хакерських атак, при цьому об'єктами може бути навіть не сам реєстр декларацій, а й інші інформаційні системи держави.

Подібні інформаційні системи з усіма компонентами захисту коштують не один мільйон доларів, а обслуговування вимагає залучення спеціалістів, яких просто не може найняти державна структура через жалюгідний рівень заробітних плат у державному секторі.

Тому не дивно, що голова НАЗК Наталія Корчак заявила, що відомство звернулося до Кабміну з проханням про додаткове виділення 27 млн грн. для закупівлі обладнання в 2016 році. Це зважаючи на те, що ще у липні було здійснено перерозподіл коштів обсягом 8 млн грн на такі цілі, що тепер дозволить агентству купити сервер та облаштувати мережу.

Даний запит був відразу сприйнятий прем'єр-міністром Володимиром Гройсманом, який дав доручення Мінфіну передбачити у змінах до держбюджету кошти для закупівлі обладнання.

Враховуючи, що реєстр е-декларування є відкритим для громадськості через мережу інтернет, дивним видається сам факт придбання обладнання більше ніж на мільйон доларів, оскільки за умови функціонування цієї системи в публічній «хмарі» цих коштів вистачило б не менше ніж на 10 років, з усіма необхідними системами захисту.

Cтворення державного реєстру е-декларування виявилось дорогою забавкою

Останнім ударом у дошкульне місце системи е-декларування була заява позафракційного народного депутата Остапа Єднака про стороннє втручання та фальсифікацію його електронної декларації, поданої ним у понеділок, 10 жовтня.

На доказ своїх слів він опублікував для аналізу скріншоти вихідного файлу поданої ним декларації та відомостей цієї декларації в електронному реєстрі доступних онлайн-даних, які були доступні наступного дня. За його словами, у вихідному файлі зазначено, що народний депутат є членом громадського об'єднання «Рада лісового сектора»; у той самий час в його декларації, доступній онлайн, ця інформація відсутня.

Якщо факт міфічного зникнення навіть такої другорядної інформації з декларації буде доведено, потрапляє під сумнів легітимність функціонування всієї системи е-декларування як з технологічної, так і юридичної точок зору.

Раніше я вже писав про проблеми із застосуванням електронного цифрового підпису суб'єктами декларування. За умови, коли персональний ключ електронного цифрового підпису (ЕЦП) не зберігається на спеціальному носії (смарт-карті або захищеній флешці - токені), він може бути викраденим.

Наприклад, комп’ютерними вірусами, якими може бути заражений комп’ютер депутата чи хакерськими програмами, спеціально інстальованими на неліцензійне програмне забезпечення, чи іншими способами, відомими спеціалістам з кібербезпеки.

Таким чином, деякі держслужбовці можуть заявити про те, що це не вони подавали декларацію, а та, яку розміщено в реєстрі, не є легітимною. ЕЦП, яким підписана декларація, не може бути прирівняно до власноручного підпису, оскільки всупереч закону про електронний цифровий підпис (ст. 3) процес подання декларації відбувався без застосування так званого «надійного засобу цифрового підпису».

Деякі держслужбовці можуть заявити про те, що це не вони подавали декларацію, а та, яку розміщено в реєстрі, не є легітимною

Варто відзначити, що в країні вже не перший рік функціонує система подання електронної звітності із застосуванням ЕЦП, при чому без гучних скандалів про факти злому, модифікації даних, як з реєстром НАЗК. Йдеться про систему подання електронної звітності ДФС України.

Для її функціонування держава витратила величезні кошти, було навіть створено центр сертифікації ключів, який видає безкоштовно ЕЦП для осіб, котрі подають декларації в електронному вигляді. Крім того, у ДФС є спеціалісти з аудиту звітності, інформаційних систем, систем захисту інформації з підтвердженою відповідністю, а належні програмно-апаратні комплекси вже давно сертифіковані Держспецзв’язком.

Отже, для чого було лише в 2016 році витрачати мільйон гривень грантових коштів для побудови «тестової» версії реєстру е-декларування, а з державного бюджету — додатково 35 млн грн. на придбання серверу та облаштування мережі, коли на рівні закону можна було просто прописати не створення нового, нікому не потрібного реєстру, а просто додаткової форми електронної звітності для такої окремої категорії платників податків, як державні службовці, у системі подання електронної звітності ДФС.

Це, у свою чергу, взагалі не вимагало б додаткових коштів, а 35 млн грн. на псевдоборотьбу з корупцією могли б бути витрачені на придбання комп’ютерів та книжок для школярів.

В такому разі, знаючи про можливості ДФС, сама НАЗК мала б вимагати від уряду внесення змін до закону, щоб перевести систему декларування на потужності ДФС, а не вимагати додаткових коштів на функціонування «дірявого» реєстру, зробленого нашвидкуруч спеціалістами не найвищого рівня.

 https://realist.online/article/vryatuvati-sistemu-oleksandr-caruk-pro-perspektivi-e-deklaruvannya

Україна за крок до цифрового Кібергедону

Україна за крок до цифрового Кібергедону: як провал системи е-декларування довів нелегітимність використання ЕЦП

  Дата 15 серпня 2016 на довго закарбується в пам’яті українських експертів із боротьби з корупцією, е-урядування та ІТ, якщо один із чорних понеділків. Все почалось із того, що за рішенням Національного агентства з питань запобігання корупції (НАЗК) було розпочато роботу Єдиного державного реєстру декларацій осіб, уповноважених на виконання функцій держави або місцевого самоврядування. Радісна подія, але як би не те, що система не була належним чином перевірена і атестована Державною службою спеціального зв’язку та захисту інформації.

Нагадаємо, що Реєстр створювався відповідно до зобов’язань Уряду перед громадянами країни та міжнародними партнерами впровадити систему електронного декларування України вже під час річного циклу декларування 2016 року.

Згідно з офіційною заявою у вересні 2015 року Програма розвитку ООН в Україні (ПРООН) долучилася до розробки програмного забезпечення для Реєстру, зазначивши, що підтримка бази даних та моніторинг декларацій посадових осіб – одна з ключових функцій НАЗК. Розробником програмного забезпечення для системи електронного декларування ПРООН обрала ТОВ «Міранда».

13 серпня відбулась нарада в НАЗК, де Держспецзв’язку офіційно передало рішення про результати державної експертизи, тобто відмовилось атестувати систему е-декларування через численні недоліки пов’язані з захистом інформації. Досить сміливий крок, для очільника зазначеної структури, після офіційної заяви Президента України про запуск е-декларування незважаючи на існуючі недоліки.

В заяві для преси Держспезвязку повідомили, що видача Атестату відповідності КСЗІ Реєстру можлива виключно за умови відповідності цієї інформаційно-телекомунікаційної системи вимогам українського законодавства та після усунення виявлених недоліків і порушень.

Крім того, в ЗМІ була розгорнута анти-компанія проти держструктур, які відповідають за державну інформаційну безпеку. Де численні «експерти», користуючись гучними гаслами, по суті здійснювали інформаційний тиск на державний орган ймовірно задля приховування недоліків не готової системи е-декларування для використання та ймовірно прийнятті сумнівних із технічної так юридичної точок зору рішень щодо підтвердження відповідності КЗСІ нормам національного законодавства.

Звісно, ситуація із НАЗК не найкращий привід для гордості перед західними партнерами, проте, все ж, на мою димку це краще, ніж через «діряву» і неналежним чином захищену систему, яка отримала б доступ до інших державних реєстрів відбувся б витік, знищення та інші види несанкціоновані операцій із критичною інфраструктурою держави. За умови отримання доступу до цього реєстру хакерами, ситуація із Прикарпаттяобленерго коли, цілий регіон України був відключений від електропостачання, а інформаційна система, яка керує роботою підстанцій була по-суті самознищенню вірусом, здавалась би дитячими забавками.

Уявіть собі, що 16 серпня Україна прокинулась би без Єдиного демографічного реєстру Державний реєстр речових прав на нерухоме майно або ЄДР, в Країні наступив би справжній Кібергедон, а на відновлення інформації пішли б роки!

Часткове підтвердженням вищенаведеної гіпотези є подія яка сталась 19 серпня. В державному реєстрі електронних декларацій було зареєстровано фальшиву декларацію від імені члена НАЗК Руслана Рябошапки, в якій повідомляється про отримання ним 25 млн грн від ТОВ «Неякісний розробник». Народні депутати Антон Геращенко та Іван Вінник на прес-конференції заявили про злам системи. Згодом, незалежними експертами, були проаналізованіскріншоти , які показують, що підроблена електронна декларація, подана від імені члена НАЗК Руслана Рябошапки, була підписана не «тестовим» ключем, як повідомлялося раніше, а повноцінним електронним ключем, що був створений державним підприємством "Українські спеціальні системи" (УСС). Про що свідчать відкриті дані про ключ та його номер.

Тобто, електронний ключ, яким підписали фейкову декларацію, вірогідно, був створений УСС за підробленими документами, або без документів, тоді виникає запитання, як же він був випущений і ким.

20 серпня 2016 року на сайті Держспецзсвяку було розміщено заяву щодо непричетності Державного підприємства «Українські спеціальні системи» до видачі  фейкового (несправжнього) електронного цифрового підпису Руслана   Рябошапки. Згідно якої, АЦСК ДП «УСС» громадянин Рябошапка В.В. (не Руслан Рябошапака, а невідомий громадянин Рябошапка В.В.) не звертався до ДП «УСС» за послугою, щодо видачі сертифікату ключа, тому інформація щодо можливого використання для взлому автоматизованої системи електронного декларування ключа, виданого ДП «УСС», не відповідає дійсності.

Експерти із кібербезпеки на основі отриманих даних про ключі електронного цифрового підпису гр. Рябошапки заявляються про два можливі варіанти отримання такого ключа, це компрометація рутового сертифікату УСС, що дозволило «хакерам» випустити цей славнозвісний «тестовий» ключ (який був підписаний рутовим сертифікатом УСС) і підписати ним декларацію, або ж до випуску ключа мають відношення особи що мають доступу до інформаційних систем УСС та здійснили випуск відповідного ключа (за участю громадянина чи без).

Ситуація із «підробкою» ключа електронного цифрового підпису громадянина Рябошабки (Руслана чи В.В.) в черговий раз підтвердила необхідності вдосконалення нормативно-правого регулювання використання ЕЦП. Без цього, рейдерські захоплення підприємств через «несанкціонований» доступу до державних реєстрів будуть траплятись і далі, а ситуація із фейковою декларацією у дірявому реєстрі НАЗК буде виглядати як дрібні ігри хакерів початківців.

Вже сьогодні, державний реєстратор або нотаріус, використовуючи свій цифровий підпис може за кільки хвилин, розлучити вас, переписати ваше майно на іншу особу, або навпаки наділити вас майном, яке ви ніколи не купували і звісно не знаєте, що його потрібно задекларувати. Такий хаос в першу чергу виникає не через недосконалість інформаційних технологій і систем захисту (як із реєстром декларацій НАЗК), а через не правильне застосування цих технічних засобів, недосконалість політик кіберзахисту у затверджених КЗСІ АЦСК та АС держорганів.

Підтвердженням цього є також оцінки Європейського центру дослідження безпеки Дж. Маршала, які говорять про те, що 97,5% кіберзагроз виникають внаслідок людського фактору, а не через недоліки у роботі комп’ютерної техніки.

Описані вище кіберзагрози, які виникли із державними реєстрами, в першу чергу зумовлені ліберальною політикою використання ЕЦП та низькім рівнем ІТ освіченості людей в руки яких вручено інструмент здатний змінити у державному реєстрі інформацію про особу, її майно, статус, або просто стерти її визнавши ліквідованим або померлим.

Уявіть собі ситуацію, коли ключі ЕЦП, які дають доступ зміни інформації в основних державних реєстрах зберігаються «в таємниці», як того вимагають «правила» скажімо на сервісі зберігання файлів мейл.ру, або на гугл диску? В такому разі, за певних юридично визначених умови спецслужби інших країн, або хакери –внаслідок взлому електронної пошти, отримують доступу до цих ключів, що несе у собі неоціненно велику кіберзагрозу для національної безпеки України!

Крім того, інснує юридична площина цієї проблеми!

Чи може ЕЦП, який неналежним чином зберігається, вважатись належними підтвердженням факту його правомірного використання, крім того, чи є правочини оформлені таким підписом нікчемними (що де факто підтверджено діями Мінюсту із діями вчиненими особою, яка намагалась переписати компанію Новус на нового власника), і в кінці кінців використаний неналежним чином ЕЦП не може бути доказом в суді?!

Тобто, ознаки фековості, неправомірності і нікчемності можуть нести більшість документів та правочинів вчинених сьогодні в Україні! А отже, завтра будь який підкований юрист може спробувати оскаржити факти купівлі продажу майна чи реєстрації в ЄДР, (податкова, або) самі підприємства можуть відмовитись визнавати декларації підписані ЕЦП, а все це через неналежні умови зберігання ключів та низку інших правових умов про яких нижче.

Для пояснення цього звернемось до низки нормативних актів.

Для зрозумілості почнемо із всім відомих умови зберігання печаток і бланків. Так, Згідно ПКМ від 27 листопада 1998 р. №1893 «Про затвердження Інструкції про порядок обліку, зберігання і використання документів, справ, видань та інших матеріальних носіїв інформації, які містять службову інформацію» пункт 68 говорить про те, що «печатки і штампи повинні зберігатися у сейфах або металевих шафах, бланки дозволяється зберігати у шафах, що надійно замикаються та опечатуються» а пункт 70 говорить про те, що видача бланків документів здійснюється під розписку у відповідних облікових формах, що передбачені відомчими інструкціями, видача цих бланків без заповнення забороняється.

Таким чином, інструменти – печатка і бланк, які дозволяють юридично оформити «правочин» чи здійснити іншу юридично значиму дію мають належним чином зберігатись, з метою неможливості надання фізичного доступу до них стороннім особам. Тобто, печатка установи, сьогодні, як доводить інцидент гр. Рябошапки, набагато краще захищена ніж ключ ЕЦП цього високопосадовця, оскільки він чомусь не зберігався у захищеному місці та не захищеному носію до якого доступ має мати лише одна особа – його власник.

Крім того, якщо вдатись до статті 367 Кримінального кодексу України то за невиконання або неналежне виконання службовою особою своїх обов'язків через несумлінне ставлення до них, що заподіяло істотну шкоду охоронюваним законом правам та інтересам окремих фізичних та юридичних осіб, державним чи громадським інтересам, може тягнути за собою покарання у формі штрафу, виправних робот до двох років, або обмеженням волі на строк до трьох років, із позбавленням права обіймати певні посади чи займатися певною діяльністю на строк до трьох років. Те саме діяння, якщо воно спричинило тяжкі наслідки, карається позбавленням волі на строк від двох до п'яти років із позбавленням права обіймати певні посади чи займатися певною діяльністю.

З об'єктивної сторони, службову недбалість характеризує наявність трьох ознак у їх сукупності: 1) дія або бездіяльність службової особи; 2) наслідки у вигляді істотної шкоди охоронюваним законом правам та інтересам окремих громадян, або державним чи громадським інтересам, або інтересам окремих юридичних осіб; 3) причинний зв'язок між вказаним діями чи бездіяльністю та шкідливими наслідками.

Цілком ймовірно, що неналежне виконання службовими особами (державними службовцями, реєстраторами, нотаріусами, а також бухгалтерами підприємств і установ,) шляхом неналежного зберігання (у таємниці) ключів ЄПЦ, може тягнути за собою кримінальне покарання.

А тепер трохи галузевого законодавства і про те в яких випадках ЕЦП має рівнозначний статус до власноручного підпису громадянина чи печатки. Відповідь на це запитання дає Закон України «Про електронний цифровий підпис», де у статті 3 сказано, що електронний цифровий підпис за правовим статусом прирівнюється до власноручного підпису (печатки) у разі, якщо:

електронний цифровий підпис підтверджено з використанням посиленого сертифіката ключа за допомогою надійних засобів цифрового підпису;

під час перевірки використовувався посилений сертифікат ключа, чинний на момент накладення електронного цифрового підпису;

особистий ключ підписувача відповідає відкритому ключу, зазначеному у сертифікаті.

Якщо спростити, то ключ ЕПЦ прирівнюється до власноручного підпису (печатки), якщо він випущений на відповідну особу, на момент використання дійсний, а сертифікат і ключ до нього надійно захищені. Здавалось би дуже просто на перший погляд. Але, відповідь на те, що таке «посилений сертифікат ключа» і «надійний засіб електронного цифрового підпису» можна знайти у законі, проте щодо останнього залишається багато невизначеності і можливостей для «маневру», оскільки підтвердження відповідності та проведення державної експертизи цих засобів здійснюється у порядку, визначеному законодавством.

Тобто, щоб ваш ЕЦП був прирівняний до власноручного підпису, він має бути випущеним акредитований центром сертифікації ключів та підтвердженим допомогою надійних засобів цифрового підпису.

Прикладом такого (надійного) засобу ЕПЦ програмний «ІІТ Користувач ЦСК-1» – комп’ютерна програма призначена для застосування на комп’ютерній техніці клієнтів АЦСК ІДД ДФС. Саме цим «надійним» засобом користуються юридичні особи для підпису свої електронних декларацій для податкової.

Таким чином, виявляється, нормативна база дозволяє збереження ЕЦП у файловому криптоконтейнері з доступом за паролем, який може бути збережений на звичайній флешці, або іншому носієві. Дозвіл на використання «софтового» криптоконтейнеру ЕПЦ надається внаслідок відповідної експертизи у сфері криптографічного захисту інформації.

Поряд з цим, є інші варіанти «надійного засобу» ЕЦП, у випадках коли ТЗ на КСЗІ вимагає більш підвищеного рівня захисту (як в АС Клієнт-казначейство), зберігання ключа ЕЦП може бути передбачено іншим, більш захищеним способом –на активному носієві - токені або смарт-картці. При чому, таких, перевірених та сертифікованих засобів в Україні розроблено достатньо, в т.ч. вітчизняних виробників.

Питання стоїть лише в необхідності запису ЕЦП на активний (фізичний носій) інформації, вартість якого становить від 20 у.е. Саме з цим нюансом акредитації та сертифікації намагаються уникнути всі АЦСК щоб здешевити свої продукти, проте тим самим, створюються умови для компрометації, через належне зберігання засобі ЕЦП, що може тягнути за собою фіктивність декларацій (про майно та податкових), втрату майна, нікчемність правочинів, або навіть при серйозних загрозах переведення на офф-лайновий (паперовий) режим роботи державних реєстрів.

За умови, коли в КЗСІ АЦСК, ключі яких приймаються для роботи із держреєстрами, було передбачено зберігання ключів ЕПЦ не у вигляді звичайних файлів, які можуть бути записані на флешку, а іншим, більш захищеним способом з використанням активного носія - токену або смарт-карти, таких випадків, як із декларацією гр.Рябошапки та із рейдерським віджимом мережі Novus просто не було б.

Для порівняння, інтернет магазини, або інші майданчиків е-комерції, де здійснюється інтернет торгівля, а отже передаються конфіденційні дані про платіжні інструменті клієнтів, використовують SSL-сертифікат, тобто цифровий підпис веб-сайту, який призначений для забезпечення обміну даними між сайтом і браузером клієнта по захищеному каналу зв'язку. Всі дані будуть передаватися у зашифрованому вигляді зі спеціальним цифровим підписом. Для того, щоб браузер не попереджав про те, що цей сайт є підозрілим, необхідно використовувати SSL сертифікат виданий довіреним центром сертифікації. І як не дивно, наші підприємці SSL сертифікати поставляють своїм клієнтам на захищених токенах (наприклад SafeNet 4000.).

Отже напрошується висновок про те, що потребує масового перегляду правила КЗСІ АЦСК у контексті використання посилених сертифікатів із обов’язковим використання активних надійних засобів цифрового підпису, а також правил використання та зберігання відповідними службовцями, як в державному так і приватному секторах економіки. Лише це сьогодні дозволить зупинити  Кібергедон, початок який ми так уважно спостерігаємо сьогодні.

To be continued…. 

Олександр Царук,  експер з управління Інтренетом

E-invoicing in EU public procurement as a tool for cross border trade barriers elimination

Abstract

Public Procurement of goods and services always was one of the principal element
of e-procurements because it effects economic growth, describes governments'
public services and national competitiveness, level of human capital growth in a
long run. Furthermore, researching EU policy on e-procurements demands to
observe legislature essence and technological models of e-procurement solutions
because none of which has not been developed as the universal one yet. Basic
European agreements on public procurements and trade, combining with the
currently used public procurement models, force to develop a commonly used
framework for all EU countries. Monitoring of EU e-procurement system as model
for implementation at Eastern partnerships countries was also suggested.

Keywords: public procurement, e-procurements, e-invoicing, European Union,
Eastern Partnerships

Eastern European Journal of Regional Studies Volume 1/ Issue 2/ December 2015, Chisinau, Moldova, p. 5-12

full text here