Praktyczne obszary zastosowań e-podpisu Tomasz Kulisiewicz / Piotr Popis Studio Promocji MIT VADEMECUM PODPISU ELEKTRONICZNEGO

Przegląd obszarów zastosowań i zagadnień praktycznych Co to jest e-podpis i po co on komu? e-podpis w bankowości e-podpis w administracji e-podpis w biznesie Wybrane zagadnienia praktyczne VADEMECUM PODPISU ELEKTRONICZNEGO

Co to jest e-podpis i po co on komu? Podpis elektroniczny to dane służące do potwierdzenia tożsamości osoby składającej oświadczenie woli – podobnie jak podpis własnoręczny. Główna regulacja ustawowa: „Ustawa o podpisie elektronicznym z 18 września 2001 r. (Dz. U. Nr 130, poz 1450 – ustawa weszła w życie 16 sierpnia 2002 r.). Warto zwrócić uwagę, że polska ustawa mówi o podpisie elektronicznym a nie tylko cyfrowym (co jest pojęciem węższym – choć na razie praktycznie korzystamy z podpisu cyfrowego). Podpisem elektronicznym mogą też być dane biometryczne. W naszej ustawie podpis nie występuje samodzielnie, jako „cyfrowy cyrograf”, ale w powiązaniu z elektronicznie zapisaną treścią, której autorstwo uwierzytelnia. VADEMECUM PODPISU ELEKTRONICZNEGO

VADEMECUM PODPISU ELEKTRONICZNEGO Ustawowa definicja Artykuł 3. Ustawy z 18 września 2001 r. „1) podpis elektroniczny – dane w postaci elektronicznej, które wraz z innymi danymi, do których zostały dołączone lub z którymi są logicznie powiązane, służą do identyfikacji osoby składającej podpis elektroniczny; 2) bezpieczny podpis elektroniczny – podpis elektroniczny, który: a) jest przyporządkowany wyłącznie do osoby składającej ten podpis; b) jest sporządzany za pomocą podlegających wyłącznej kontroli osoby składającej podpis elektroniczny bezpiecznych urządzeń służących do składania podpisu elektronicznego i danych służących do składania podpisu elektronicznego; c) jest powiązany z danymi, do których został dołączony, w taki sposób, że jakakolwiek późniejsza zmiana tych danych jest rozpoznawalna.” VADEMECUM PODPISU ELEKTRONICZNEGO

e-podpis w bankowości Po co bankom e-podpis: Do potwierdzenia tożsamości osoby wystawiającej zlecenie: Art. 65. Prawa bankowego: „Bank dokonujący wypłat z rachunku bankowego jest obowiązany sprawdzić autentyczność i prawidłowość formalną dokumentu stanowiącego podstawę do wypłaty oraz tożsamość osoby dającej zlecenie”. Raport Komitetu Bazylejskiego z maja 2001 r. Mechanizmy kontroli bezpieczeństwa, w szczególności: 4. Sprawdzanie tożsamości klientów bankowości elektronicznej. 5. Uniemożliwienie negowania dokonanych transakcji oraz odpowiedzialność za transakcje bankowości elektronicznej. ….. 10. Poufność podstawowych informacji bankowych.

Bankowość elektroniczna w Polsce Systemy dla firm: Citibank, ING, INP (1992), BRE (1993); Kredyt Bank (1994) – dziś niemal we wszystkich bankach, ok. 30 tys. użytkowników;   Październik 1998 r. – OE ówczesnego banku PBG w Łodzi – pierwszy oddział internetowy (dziś CBE Telepekao 24 Pekao SA); Listopad 2000 r. – pierwszy polski „bank wirtualny” – mBank BRE Banku (w lipcu 2002: 300 tys. rachunków); Konta on-line: dostępne we wszystkich większych bankach (a nawet w kilku spółdzielczych – w outsourcingu): źródło: PART/Teleinfo, eBanki.pl, RBE ZBP Prognoza IBnGR: w 2005 r. 2 mln kont (próg rentowności) grudzień 1999 11 tys. grudzień 2000 95 tys. grudzień 2001 620 tys. (w tym firmy: ok.51 tys.) sierpień 2002 960 tys. (w tym firmy: ok. 95 tys.) VADEMECUM PODPISU ELEKTRONICZNEGO

Podpis elektroniczny w systemie ELIXIR System ELIXIR Krajowej Izby Rozliczeniowej działa już od 9 lat! ELIXIR przetwarza dziennie ponad 1,5 mln transakcji wartości ponad 17 mld zł. W 1999 r. KIR zmodernizował system zabezpieczeń, tworząc SZAFIR – nowy system zarządzania certyfikatami kluczy publicznych. Głównym elementem systemu KIRu jest Ośrodek Zarządzania Kluczami, którego zadaniem jest generowanie certyfikatów kluczy publicznych. Poświadczają one, że dana osoba lub instytucja jest właścicielem danego klucza publicznego. Certyfikaty w formacie zgodnym z ITU-T X.509 stosowane są w systemie do zabezpieczania i uwierzytelniania m.in.: komunikatów systemu; informacji przesyłanych w systemach bankowości elektronicznej oraz w systemach poczty elektronicznej. VADEMECUM PODPISU ELEKTRONICZNEGO

Podpis a metody dostępowe bankowości elektronicznej Zwykły podpis bez technik certyfikacyjnych („słabe uwie- rzytelnienie”, techniki „symetryczne”) – dostęp SMS, PIN w PKO BP i inne z użyciem technik certyfikacyjnych („silne uwierzytelnienie”, techniki „asymetryczne”, ale bez równoważności podpisowi własnoręcznemu) Bezpieczny podpis („silne uwierzytelnienie” z równoważnością podpisowi własnoręcznemu) Kwalifikowany certyfikat + Bezpieczne urządzenie VADEMECUM PODPISU ELEKTRONICZNEGO

VADEMECUM PODPISU ELEKTRONICZNEGO Podpis elektroniczny z użyciem technik „asymetrycznych” w wybranych systemach bankowości Podpisy w systemach Pl@net (Fortis Bank), Sez@m (PBK BPH), ING/BSKOnline (ING Bank Śląski : para kluczy asymetrycznych (klucz prywatny, klucz publiczny); klucz prywatny jest zaszyfrowany przy użyciu algorytmu 3DES (Sez@m, ING/BSKOnline) podpisy cyfrowe generowane są przy użyciu algorytmu DSA/SHA (Pl@net ) lub RSA (Sez@m); podpis jest generowany w przeglądarce WWW przez tzw. aplet Javy klucz prywatny użytkownika przechowywany jest na dyskietce i jest chroniony dodatkowym hasłem; użytkownik jest weryfikowany w systemie na podstawie swego certyfikatu, po wejściu na stronę WWW bankowego systemu internetowego; każda operacja niosąca skutki finansowe (np. polecenie przelewu) jest podpisywana cyfrowo. VADEMECUM PODPISU ELEKTRONICZNEGO

e-podpis w administracji 1. Po co administracji e-podpis: Do potwierdzenia tożsamości osoby składającej wniosek, oświadczenie; Do wystawiania bezpiecznych, trudnych do sfałszowania dokumentów personalizowanych (np. dowód osobisty, prawo jazdy, paszport); Do podpisywania dokumentów przez urzędników, co umożliwia skuteczne wdrożenia elektronicznego obiegu dokumentów urzędowych. VADEMECUM PODPISU ELEKTRONICZNEGO

e-podpis w administracji 2. Po co obywatelom i przedsiębiorcom e-podpis: Do realizacji niemożliwego na razie składania wniosków, oświadczeń, wypełniania formularzy zdalnie, bez konieczności: osobistego (wielokrotnego) stawiennictwa w urzędzie; podawania wielokrotnie tego samego zestawu danych w rożnych miejscach, na całkowicie odmiennie (i źle) zredagowanych formularzach; przy wdrożeniu zintegrowanych systemów obsługi (jedno stanowisko obsługuje wszystkie sprawy posługując się elektronicznym systemem obiegu dokumentów) - uniknięcie stawania w kilku oddzielnych kolejkach w celu załatwienia „pakietu” spraw wynikających z tego samego faktu, np. zmiany miejsca stałego zameldowania. VADEMECUM PODPISU ELEKTRONICZNEGO

e-podpis w administracji 3. Według Art. 58 ust. 2. Ustawy o podpisie elektronicznym administracja ma umożliwić posiadaczom e-podpisów wnoszenie podań i wniosków w formie elektronicznej – w przypadkach, gdy przepisy wymagają wnoszenie ich w ustalonej formie czy według ustalonego wzoru (formularze); Według Art. 58 ust. 4. Ustawy o podpisie elektronicznym „minister właściwy do spraw finansów publicznych” do 16 sierpnia 2003 r. ma czas na dostosowanie przepisów regulujących wnoszenie opłat za czynności administracyjne – a więc na zlikwidowanie najskuteczniejszej blokady stosowania e-podpisu w kontaktach między urzędem a obywatelem czy przedsiębiorcą; O określeniu spraw, które mają być załatwiane „w drodze elektronicznej obsługi” mówi także projekt „Ustawy o informatyzacji w działalności organów władzy publicznej”. VADEMECUM PODPISU ELEKTRONICZNEGO

e-podpis w administracji 4. Na razie bowiem: Składanie wniosków jest skutecznie zablokowane przez Rozporządzenie Ministra Finansów z 5 grudnia 2000 r. w sprawie sposobu pobierania, zapłaty i zwrotu opłaty skarbowej oraz sposobu wprowadzenia rejestrów tej opłaty: „§ 4. 1. Znaki opłaty skarbowej od podania i dołączonych załączników nakleja się na podaniu albo na dokumencie stwierdzającym wniesienie podania. Jeżeli załączniki są składane w terminie późniejszym niż podanie, znaki opłaty skarbowej należnej od załączników nakleja się na załącznikach. 2. Jeżeli opłata skarbowa od podania została zapłacona gotówką lub bezgotówkowo, na podaniu zamieszcza się adnotację, w której stwierdza się wysokość i datę wpłaty oraz numer pokwitowania lub numer rachunku bankowego właściwego urzędu gminy (miasta). Odpis dowodu wpłaty dołącza się do akt sprawy.” VADEMECUM PODPISU ELEKTRONICZNEGO

VADEMECUM PODPISU ELEKTRONICZNEGO e-podpis w gospodarce 1. Podpis elektroniczny skutecznie rozwiązuje kwestię tożsamości klienta/kontrahenta oraz integralności jego zamówienia oraz potwierdzenia otrzymania towarów i usług; Podpis elektroniczny jest warunkiem koniecznym (choć niestety – nie dostatecznym) wprowadzenia systemu e-podatków – prostego i taniego systemu składania deklaracji i rozliczeń podatkowych; Płacić podatki elektronicznie można już od początku zastosowań bankowości elektronicznej, choć czasem z drobnymi perypetiami, jak np. na początku 2002 r. – ogólnie: administracja skarbowa jest daleko mniej konserwatywna, kiedy chce pobierać od nas pieniądze! Elektroniczne potwierdzenie złożenia deklaracji VADEMECUM PODPISU ELEKTRONICZNEGO

VADEMECUM PODPISU ELEKTRONICZNEGO e-podpis w gospodarce 2. Podpis elektroniczny działa na masową skalę w systemie KSI ZUS; e-podpis można stosować w wielu dziedzinach – np. w klinice medycznej wyposażeni w podpis elektroniczny lekarze mogą podpisywać w taki sposób elektroniczne wersje kart pacjenta, a laboranci – wyniki badań; e-podpis może przełamać błędny krąg, jaki wytworzył się obecnie w dziedzinie elektronizacji obrotu gospodarczego: np. wszyscy żądają od wszystkich pisemnego potwierdzania faktu wniesienia wpłat, co skutecznie zniechęca tych, którzy chcieliby płacić elektronicznie. VADEMECUM PODPISU ELEKTRONICZNEGO

e-podpis – najbliższe plany Plan minimum do czasu wejścia do UE: System wymiany danych między administracjami (IDA); System Schengen (SIS); System IACS; System wymiany informacji o VAT i akcyzie; Wspólna obsługa procedury tranzytowej (NCTS) VADEMECUM PODPISU ELEKTRONICZNEGO

Kwestie praktyczne i nowe możliwości Gdzie przechowywać klucze i podpisy? Czym/gdzie je odczytywać? Najprostszym technicznym rozwiązaniem tych kwestii są karty mikroprocesorowe. A może „podpis” umieścić: w dowodzie osobistym? w karcie ZUS-u, karcie rejestru usług medycznych, indeksie studenta, prawie jazdy? w karcie przejazdowej transportu miejskiego, parkowania? w „elektronicznej pieczątce” przedsiębiorcy w systemie podatkowym? w karcie SIM telefonu komórkowego? VADEMECUM PODPISU ELEKTRONICZNEGO