Вільна каса. Олександр Царук - про легалізацію e-commerce

Експерт з управління інтернетом Олександр Царук — про кроки з легалізації електронної комерції в Україні

4 жовтня 2016 року у першому читанні Верховна Рада прийняла законопроект № 4117 «Про внесення змін до деяких законодавчих актів України щодо лібералізації готівкових розрахунків», або, як його ще назвали експерти, законопроект «про онлайн РРО».

Питанням вивчення законодавчого застосування реєстраторів розрахункових операцій (РРО), або, простіше кажучи, касових апаратів, я займаюся вже кілька років — раніше як консультант проекту Фіскальна хмара, а зараз як лідер стартапу QUARK.

Філософія, що була закладена у розробку законопроекту № 4117, кореспондує з підходами Фіскальної хмари. Ключовою ідеєю є такий принцип РРО як програмне забезпечення, яке розподілене між системою хмарних обчислень, розміщеній в дата-центрі, та персональними пристроями — комп’ютером, смартфоном, планшетом тощо.

Після майже піврічних консультації з фахівцями галузі кібербезпеки, захисту персональних даних та прав споживачів, сертифікації і підтвердження відповідності стало зрозуміло, що реалізувати фіскальні функції лише на рівні програмного забезпечення не є можливим, насамперед через вимоги до системи безпеки та захисту інформації.

Після ґрунтовного визначення тексту законопроекту можна погодитися з доцільністю запровадження розподілених реєстраторів розрахункових операцій (РККО) на основі нової технології поєднання клієнтських терміналів і центральних серверних сховищ за допомогою телекомунікаційних систем та спеціального програмного забезпечення, яка у правильній моделі реалізації може дійсно призвести до можливості введення нових моделей РРО для ширшого кола суб'єктів, причому, можливе досягнення зниження вартості для кінцевого споживача.

Вищезазначене дійсно було б можливим, якби законопроект не містив системних недоліків, без виправлення яких у режимі другого читання можуть бути створені умови для послаблення фіскального контролю за готівковим обліком та ухиленням від сплати податків.

Це, у свою чергу, ставитиме під загрозу наповнення дохідної частини державного бюджету та виконання Україною умов Меморандуму, погодженого з МВФ у вересні 2016 року, який вимагає від уряду України та передбачає запровадження ефективніших механізмів адміністрування податків, детінізації економіки та підвищення контролю за готівковим обігом.

Реалізувати фіскальні функції лише на рівні програмного забезпечення не є можливим, насамперед через вимоги до системи безпеки та захисту інформації

За результатами аналізу, виключно за умови врахування таких ключових моментів буде можливим легальне використання технології, запропонованої в законопроекті № 4117.

По-перше, приведення його у відповідність до чинного законодавства у сфері електронного документообігу та захисту інформації.

Для цього законопроект потрібно очистити від фіктивних понять, що підміняють критичні елементи системи інформаційної безпеки. Йдеться передусім про поняття «цифрового підпису» та «електронного повідомлення». У законопроекті потрібно визначити, що покупцеві видається електронний документ з електронним цифровим підписом(ЕЦП), оскільки надсилання електронного повідомлення без належного захисту інформації і криптографічного захисту зв’язку між елементами системи з незрозумілим «цифровим підписом» унеможливлює реалізацію у розподіленому РРО комплексу системи захисту інформації (КСЗІ) з підтвердженою відповідністю.

Якщо змінити описані вище норми, покупець отримає електронний документ (який може бути доставлений йому е-mail, SMS чи надрукований на принтері), тобто дістане юридично доказову силу, що дає змогу його пред’явити у вирішенні процесуальних питань у суді, органах захисту прав споживачів, а також при оформленні валових та ПДВ в бухгалтерському обліку.

Застосування КЗСІ дозволить унеможливити видалення, викривлення чи модифікацію інформації про здійснені операції, а отже, не дасть змоги застосовувати «тіньові» схеми ухилення від податків.

По-друге, приведення у відповідність норм законопроекту до законодавства у сфері захисту персональних даних.

Закон про захист персональних даних визначає, що покупець, а в нашому випадку — власник таких персональних даних, як номер телефону, адреса електронної пошти тощо, може доручити обробку власних персональних даних іншій особі, розпоряднику персональних даних — оператору РККС, виключно в рамках окремого договору, укладеного в письмовій формі, що передбачено у ст. 4 Закону.

Вирішити проблему захисту персональних даних клієнта я пропоную шляхом використання криптографічного захисту зазначеної інформації, або, інакше кажучи, шляхом шифрування за умови, що ці дані будуть недоступними для зчитування адміністраторами системи та оброблятимуться на терміналі.

У такому разі покупцеві не потрібно укладати договір у письмовому вигляді, оскільки електронний документ з ЕЦП є формою договору, укладеного в електронній формі.

По-третє, вдосконалення практики опломбування складових систем РККС як одного з елементів технічного контролю. Для цього необхідно вилучити норми, які знімають необхідність опломбування РККС, насамперед має бути обмежений доступ до фіскального блоку сервера - «чорного ящика», в якому зберігаються всі дані про проведені транзакції, які не можуть бути видаленими чи модифікованими адміністраторами РККС.

Крім вирішення базових проблем законопроекту, його авторам варто було б зосередитися також на галузі його застосування. Цілком зрозуміло, що система мережевого РРО була б цікавою передовсім там, де є покупці та бізнес, які технологічно зрілі до таких інновацій, а також там, де процеси торгівлі проходять переважно в електронному режимі.

Тобто, потенційним замовником таких систем є електронна комерція — там і сервери працюють у режимі реального часу, і платежі проходять у режимі онлайн, а покупці будуть цілком задоволені можливістю отримання розрахункового документа в електронній формі.

Система мережевого РРО була б цікавою передовсім там, де є покупці та бізнес, які технологічно зрілі до таких інновацій, а також там, де процеси торгівлі проходять переважно в електронному режимі

Але торгові мережі, роздрібна торгівля нафтопродуктами, де чеки друкуватимуться у більшості випадків, економити на РРО не будуть, оскільки для них є важливими насамперед швидкість і відмовостійкість.

Для прикладу: на АЗС, де середня вартість чеку в пікові години досягає 500 грн., а за хвилину проходить від 2−4 транзакції, у разі втрати зв’язку з фіскальним сервером всього на годину означатиме втрату виручки обсягом від 50 тис. до 100 тис. гривень.

Відповідно мережі, які функціонують у середовищі ненадійного телекомунікаційного зв’язку, свій вибір зупинять на традиційних типах РРО.

Крім того, слід відзначити, що вартість якісного принтеру становить від $ 150 до $ 200, відповідно економія у розмірі $ 50−100, за наявності додаткових ризиків, просто нікого не зацікавить.

Система РККС має працювати в режимі реального часу, оскільки фіскалізація в ній реалізована на рівні сервера, і саме його процесор і фіскальний блок мають через мережі захищеного зв’язку давати команди на відпуск товару і друк чи створення в електронному виді розрахункового документа.

За інших умов ця система не створюватиме юридично значимий документ або даватиме можливість модифікації даних.

Окремо у законопроекті варто визначити, що РККС — це сукупність програмних та апаратних компонентів, а не лише програмного забезпечення. Фіскальну функцію та фіскальну пам’ять реалізовує сертифікована інформаційно-телекомунікаційна система, розробником оператором і клієнтом якої мають бути три юридично розподілені особи і в жодному разі не державні органи.

Якщо ж РККС буде в руках ДФС, податківців матимуть усі можливості видаляти інформацію про транзакції підприємств, які більш лояльні або з інших корисних мотивів, на боротьбу з якими зараз державою кинуті всі сили.

https://realist.online/article/vilna-kasa-oleksandr-caruk-pro-legalizaciyu-e-commerce

Врятувати систему. Олександр Царук - про перспективи е-декларування

Експерт з управління інтернетом Олександр Царук — про перспективи е-декларування

Від провалу системи е-декларування держслужбовців може врятувати лише її передача Державній фіскальній службі (ДФС).

Початок жовтня знову відзначився ще одними скандалами навколо системи е-декларування, яка спільними зусиллями громадськості, Національного агентства з питань запобігання корупції (НАЗК) та Держспецзв’язку було все ж таки запущено в роботу після фальстарту 15 серпня, коли всупереч очікуванням та заявам президента України систему не було атестовано через значні технологічні недоліки, пов’язані з системою захисту даних.

Першою краплею «дьогтю» була заява директора НАБУ Артема Ситника в інтерв'ю Громадському, де він вказав на відмінність форми декларації, затвердженої НАЗК, та доступної для заповнення декларантом. У цьому, на його думку, вбачається великий ризик для всього процесу е-декларування, оскільки саме затверджена і опублікована форма декларації може бути доказовим предметом злочину, що передбачено законодавством.

У разі, коли заповнена форма відрізняється від затвердженої в офіційних документах, вона автоматично втрачає свою доказовість і юридичну силу.

На думку Ситника, навіть відмінність у стовпчиках чи колонках є формальною причиною стверджувати, що це не та декларація, і відповідно обвинувачуваний може використати цей момент для спростування основного доказу в суді. Тобто, намагання поліпшити і доопрацювати «сиру» систему е-декларуванн, може вилитися врешті-решт в юридичну нікчемність самих декларацій.

Намагання поліпшити і доопрацювати «сиру» систему е-декларування може вилитися врешті-решт в юридичну нікчемність самих декларацій

Одночасно створення державного реєстру е-декларування виявилось дорогою забавкою. Причиною цього є низька ІТ-культура та освіченість юристів, які працювали із законопроектом, відсутність відкритого діалогу та консультацій з експертами з кібербезпеки та інформаційно-комунікаційних технологій.

Створення і функціонування окремого державного реєстру як цілісного програмно-апаратного комплексу з доступом до інших державних реєстрів та об'єктів критичної інфраструктури вимагає значних коштів. Адже відкритий для моніторингу в інтернеті реєстр є доступним для будь-яких кіберзагроз та хакерських атак, при цьому об'єктами може бути навіть не сам реєстр декларацій, а й інші інформаційні системи держави.

Подібні інформаційні системи з усіма компонентами захисту коштують не один мільйон доларів, а обслуговування вимагає залучення спеціалістів, яких просто не може найняти державна структура через жалюгідний рівень заробітних плат у державному секторі.

Тому не дивно, що голова НАЗК Наталія Корчак заявила, що відомство звернулося до Кабміну з проханням про додаткове виділення 27 млн грн. для закупівлі обладнання в 2016 році. Це зважаючи на те, що ще у липні було здійснено перерозподіл коштів обсягом 8 млн грн на такі цілі, що тепер дозволить агентству купити сервер та облаштувати мережу.

Даний запит був відразу сприйнятий прем'єр-міністром Володимиром Гройсманом, який дав доручення Мінфіну передбачити у змінах до держбюджету кошти для закупівлі обладнання.

Враховуючи, що реєстр е-декларування є відкритим для громадськості через мережу інтернет, дивним видається сам факт придбання обладнання більше ніж на мільйон доларів, оскільки за умови функціонування цієї системи в публічній «хмарі» цих коштів вистачило б не менше ніж на 10 років, з усіма необхідними системами захисту.

Cтворення державного реєстру е-декларування виявилось дорогою забавкою

Останнім ударом у дошкульне місце системи е-декларування була заява позафракційного народного депутата Остапа Єднака про стороннє втручання та фальсифікацію його електронної декларації, поданої ним у понеділок, 10 жовтня.

На доказ своїх слів він опублікував для аналізу скріншоти вихідного файлу поданої ним декларації та відомостей цієї декларації в електронному реєстрі доступних онлайн-даних, які були доступні наступного дня. За його словами, у вихідному файлі зазначено, що народний депутат є членом громадського об'єднання «Рада лісового сектора»; у той самий час в його декларації, доступній онлайн, ця інформація відсутня.

Якщо факт міфічного зникнення навіть такої другорядної інформації з декларації буде доведено, потрапляє під сумнів легітимність функціонування всієї системи е-декларування як з технологічної, так і юридичної точок зору.

Раніше я вже писав про проблеми із застосуванням електронного цифрового підпису суб'єктами декларування. За умови, коли персональний ключ електронного цифрового підпису (ЕЦП) не зберігається на спеціальному носії (смарт-карті або захищеній флешці - токені), він може бути викраденим.

Наприклад, комп’ютерними вірусами, якими може бути заражений комп’ютер депутата чи хакерськими програмами, спеціально інстальованими на неліцензійне програмне забезпечення, чи іншими способами, відомими спеціалістам з кібербезпеки.

Таким чином, деякі держслужбовці можуть заявити про те, що це не вони подавали декларацію, а та, яку розміщено в реєстрі, не є легітимною. ЕЦП, яким підписана декларація, не може бути прирівняно до власноручного підпису, оскільки всупереч закону про електронний цифровий підпис (ст. 3) процес подання декларації відбувався без застосування так званого «надійного засобу цифрового підпису».

Деякі держслужбовці можуть заявити про те, що це не вони подавали декларацію, а та, яку розміщено в реєстрі, не є легітимною

Варто відзначити, що в країні вже не перший рік функціонує система подання електронної звітності із застосуванням ЕЦП, при чому без гучних скандалів про факти злому, модифікації даних, як з реєстром НАЗК. Йдеться про систему подання електронної звітності ДФС України.

Для її функціонування держава витратила величезні кошти, було навіть створено центр сертифікації ключів, який видає безкоштовно ЕЦП для осіб, котрі подають декларації в електронному вигляді. Крім того, у ДФС є спеціалісти з аудиту звітності, інформаційних систем, систем захисту інформації з підтвердженою відповідністю, а належні програмно-апаратні комплекси вже давно сертифіковані Держспецзв’язком.

Отже, для чого було лише в 2016 році витрачати мільйон гривень грантових коштів для побудови «тестової» версії реєстру е-декларування, а з державного бюджету — додатково 35 млн грн. на придбання серверу та облаштування мережі, коли на рівні закону можна було просто прописати не створення нового, нікому не потрібного реєстру, а просто додаткової форми електронної звітності для такої окремої категорії платників податків, як державні службовці, у системі подання електронної звітності ДФС.

Це, у свою чергу, взагалі не вимагало б додаткових коштів, а 35 млн грн. на псевдоборотьбу з корупцією могли б бути витрачені на придбання комп’ютерів та книжок для школярів.

В такому разі, знаючи про можливості ДФС, сама НАЗК мала б вимагати від уряду внесення змін до закону, щоб перевести систему декларування на потужності ДФС, а не вимагати додаткових коштів на функціонування «дірявого» реєстру, зробленого нашвидкуруч спеціалістами не найвищого рівня.

 https://realist.online/article/vryatuvati-sistemu-oleksandr-caruk-pro-perspektivi-e-deklaruvannya