Електронна інформаційна система "Електронний регіон" Одеської області Тиндюк Андрій Миколайович – Директор комунального підприємства Одеської обласної ради "Обласний інформаційно-аналітичний центр" На виконання пункту 36 Плану заходів з виконання завдань, передбачених Законом України "Про Основні засади розвитку інформаційного суспільства в Україні", затвердженого розпорядженням Кабінету Міністрів України від 15.08.2007 №653-р в Одеській облдержадміністрації впроваджується пілотний проект з надання юридичним та фізичним особам адміністративних послуг на основі електронної інформаційної системи "Електронний регіон". Електронна взаємодія між органом виконавчої влади (ОВВ) та фізичними і юридичними особами будується на основі обміну даними в XML-форматі згідно ТУ У 30.0- 33240054-001:2005. Всі ОВВ – учасники пілотного проекту підключаються до єдиної регіональної системи захищеної електронної пошти (РСЗЕП). Функціонування РСЗЕП забезпечує КП "Обласний інформаційно-аналітичний центр" (КП ОІАЦ). Для кожного конкретного ОВВ, що надає юридичним та фізичним особам адміністративні послуги, на поштовому сервері КП ОІАЦ створюється поштова скринька у домені www.odessa.gov.ua. Розміщення поштових скриньок ОВВ на одному поштовому сервері забезпечує швидку, захищену та гарантовану доставку електронної пошти. Топологія мережі зв’язку системи надання адміністративних послуг будується на основі архітектури клієнт/сервер та передбачає фізичне відокремлення від глобальної мережі Інтернет ЛОМ ОВВ, а також окремих електронних обчислювальних машин, на яких обробляють або зберігають інформацію з обмеженим доступом, відповідно до вимог постанови Кабінету Міністрів України від 12.05.2002 №522 "Про затвердження Порядку підключення до глобальних мереж передачі даних". Для реалізації електронної взаємодії (транзакцій "запит-відповідь") пропонується використання технології "кард-файл". Технологія "кард-файл" призначена для отримання через повідомлення електронної пошти доступу до віддалених баз даних і управління даними в режимі off-line, дотримуючись вимог безпеки.
ПК"Захід" - цифровий підпис, національний стандарт України ДСТУ-4145-2002 - забезпечення доступу до відділених баз даних органів державної влади та місцевого самоврядування та ПК The Bat - цифровий підпис, міжнародний стандарт, алгоритм RSA - забезпечення доступу до відділених баз даних інших юридичних та фізичних осіб
Технологія "кард-файл" забезпечує формування на стороні клієнта (фізичної або юридичної особи) запитів до віддалених БД ОВВ в XML-форматі з подальшою їх (запитів) автоматизованою обробкою на стороні сервера БД ОВВ. Програма-обробник запиту до БД ОВВ і "кард-файл", за допомогою якого на клієнтському місці формується цей запит, створюються безпосередньо адміністратором БД ОВВ. "Кард-файл" захищений механізмом електронного цифрового підпису (ЕЦП) від несанкціонованої модифікації на стороні клієнта. Таким чином забезпечується коректність формування запиту до БД ОВВ у визначеному форматі на стороні клієнта та гарантована автоматизована обробка запитів, що поступають від клієнта, на стороні БД ОВВ. Перед початком трансакцій "запит-відповідь" "кард-файли" розсилаються ОВВ електронною поштою клієнтам або розміщуються на веб-сервері ОВВ для завантаження. Основними елементами архітектури пілот-проекту є:
акредитований центр сертифікації ключів,
поштовий сервер та
поштові клієнти (ОВВ, юридичні та фізичні особи).
У даний час на основі використання РСЗЕП та технології "кард-файл" здійснюється наповнення відомостями, що надаються відповідними ОВВ, зокрема ДПА в Одеській області, бази даних системи оперативного інформування та аналітичного забезпечення прийняття управлінських рішень керівництвом Одеської обласної державної адміністрації. В рамках Програми підтримки малого підприємництва в Одеській області на 2009-2010 роки, Головним управлінням економіки спільно з Обласним інформаційно-аналітичним центром створена система збору даних про незадіяні приміщення, виробничі площі, обладнання, устаткування та об'єкти незавершеного будівництва. Наповнення електронної бази даних здійснюється відповідальними працівниками райдержадміністрацій (міськвиконкомів). Організовано доступ зацікавленим суб'єктам підприємницької діяльності до зазначеної інформації через мережу Інтернет odessa.gov.ua Подальший розвиток даної системи передбачає створення регіональної електронної торгової біржі. Запропоноване технологічне рішення було застосоване для подання платниками податків – учасниками пілотного проекту податкової звітності до Державної податкової інспекції в Приморському районі м. Одеса. У ході впровадження пілотного проекту було проведено доробку програмно-технічний комплексу, що використовується у РСЗЕП, для забезпечення криптографічного захисту інформації, що є власністю держави. Слід зазначити, що технологія "кард-файл" може бути використана для вирішення інших завдань, пов'язаних з одержанням доступу до віддалених баз даних через поштові повідомлення, наприклад, управління розрахунковим рахунком (банк-клієнт), ведення всіляких реєстрів і довідкових систем та ін. ПТК не накладає вимог щодо організації серверної частини і дозволяє легко задіяти будь-яку базу даних або автоматизовану систему. Ця властивість особливо важлива, оскільки більшість СУБД, що функціонують сьогодні, різнорідні і забезпечити до них доступ, використовуючи суворо встановлений протокол, практично неможливо або пов'язано з великим об'ємом доробок. На користь пропонованих рішень також говорить той факт, що вони дозволили реалізувати зазначений пілотний проект на існуючій матеріально-технічній базі без суттєвих фінансових витрат.
Основні ознаки які забезпечують потребу у використанні захищеного механізму формування та доступу до баз даних через off-line технологію кард-файлів: 1. Електронна взаємодія ресурсу з користувачами носить обов'язковий характер, а тому вимагає ідентифікації сторін. Таку взаємодію не можливо реалізовувати в on-line режимі, тобто через web інтерфейс. 2. Визнання відповідальності ресурсу за достовірність розміщеної інформації. 3. Розробка чітких механізмів взаємодії між учасниками інформаційно-правового обміну.
Аргументів на користь оффлайну багато, технологія "кард-файлів":
- рядок запиту повністю сумісна з CGI / XML форматом, то механізм обробки запитів сервером єдиний і не вимагає ніякого налаштування. Тобто обидва підходи не суперечать, а доповнюють один одного, і можуть працювати одночасно. - Можливість застосування системи як бекапного інструменту. - Якщо треба зробити багато запитів, користувач може спокійно в в офлайні все підготувати, а потім відправити в одному з'єднанні все це на сервер. - Користувач може одним запитом звернутися відразу до кількох баз даних - Маршрутизація SMTP дозволяє зробити стійку і просту в експлуатації систему. - При онлайні продуктивність системи повинна підтримувати максимально можлива кількість одночасних запитів. У випадку роботи по захищеному каналу - це достатньо великі вимоги до продуктивності системи. У нашому випадку досить визначити довжину черги, яка визначається необхідним часом отримання відповіді. - Підвищена надійність. Так як у випадку непрацездатності веб-сервера в нашому випадку система не буде вимагати від користувача введення повторного запиту. - Легко зробити шлюз. Це пояснюється тим, що не потрібна синхронна робота. У цьому режимі практично неможливе проведення атак на систему в цілому. - Простота адміністрування. Наприклад, аутентифікація, шифрування. Це на сьогодні неможливо зробити через ssl. Теоретично це зробити можна, але є маса питань щодо впровадження. Єдине на що можна розраховувати це на VPN. Досить дорого і теж не панацея від бід. - Мінімальний час перебування в онлайн і як наслідок мінімізація можливості атак через діри в софті і операційній системі.
* У відповідності до З А К О Н У У К Р А Ї Н И Про електронний цифровий підпис
ст.. 5. абзац 1 Органи державної влади, органи місцевого самоврядування, підприємства, установи та організації державної форми власності для засвідчення чинності відкритого ключа використовують лише посилений сертифікат ключа - наприклад, ПК Захід
ст.. 5. абзац 2 Інші юридичні та фізичні особи можуть на договірних засадах засвідчувати чинність відкритого ключа сертифікатом ключа, сформованим центром сертифікації ключів, а також використовувати електронний цифровий підпис без сертифіката ключа - наприклад, ПК The Bat
Не затрачаючи значні кошти на робочі проекти можна вже сьогодні робити запит до бази даних використовуючи поштовик “The Bat”, володіючи цифровим S/MIME підписом від міжнародних центрів сертифікації, які є доступніші та дешевші для здійснення тестових проектів. При позитивному результаті можна протягом короткого терміну перейти на ПК "Захід" - національний стандарт України ЦСК ГОСТ 28147-89, ДСТУ 4145-2002 не зазнавши при тому ніяких незручностей для користувачів та сумісності тестових і робочих баз даних.
---------------------------------------------------------------------------- Кожних 3 роки надається ЕКСПЕРТНИЙ ВИСНОВОК на Об’єкт експертизи: Програмний засіб «Захід –ЕЦП-ВРК-ПК» комплексу засобів забезпечення конфіденційності, автентичності та цілісності повідомлень «Захід-ЕЦП-ВРК» Алгоритм шифрування – ГОСТ 28147-89 Алгоритм гешування – ГОСТ 34.311-95 Алгоритм формування та перевірки ЕЦП – ДСТУ 4145-2002 Протокол розподілу ключів – ГОСТ 28147-89 і т.п.
В 2006 році експертиза проходила у департаменті спеціальних телекомунікаційних систем та захисту інформації СБУ, а після змін відомства відповідального за електронний документообіг, якщо не помиляюся, у державній службі спеціального зв’язку та захисту інформації України.
Це означає, що запропонована технологія відповідає вимогам законодавства щодо безпеки інформації є максимально спрощеною та оптимізованою.
///Для користувачів TheBat ПК Захід - відправивши сформований запит (це повідомлення) Вам буде надіслано кард-файл та інструкцію користувача - форму електронного запиту до бази даних\\\
Для повноти інформацію рекомендуємо ознайомитися із матеріалами зазначеними в заголовку даної статті: авторські ініціативи - проекти - рішення!
На початку статті вказано: авторські ініціативи - проекти - рішення! Рахунки бюджетних платежів Публічна інформація - погоджено оприлюднення зареєстрованих звернень громадян www.z.gov.ua - альтернативне формування електронного звернення У матеріалах зазначено посилання на тестування діючих демоверсій здійснивши email-запит на кард-файл
«Технологія «кард-файл» - система захищеної електронної пошти». Технологія "кард-файл" призначена для отримання через повідомлення електронної пошти доступу до віддалених баз даних і управління даними в режимі off-line, дотримуючись вимог безпеки. Технологія "кард-файл" – нове рішення у системі аутентифікації, захищена пошта необхідна для нормального функціонування органів влади, а персональний комп'ютер з поштовим клієнтом The Bat дозволяє з'єднати міжнародний та державний стандарт для використання систем електронної пошти в органах влади, все це спрямовує Україну вперед в сферу інформаційних технологій. Якщо запропонована технологія відповідає вимогам законодавства щодо безпеки інформації, то в найближчому майбутньому - поширення її застосування для доступу до віддалених баз даних і управління даними в режимі off-line.
Технологія "кард-файл" - це реально новий шаг у використанн сучасних комп'ютерних технологій. Проекти, спрямовані на інформатизацію органів державної влади, дозволяють перевести систему управління державою на якісно новий рівень, заощаджувати бюджетні кошти та наблизити владу до кожної людини. Основною перевагою системи є те, що вигляд форми, яку повинен заповнити користувач, може легко змінити адміністратор бази даних. Ця особливість дозволяє дуже оперативно реагувати на зміни до державних законів, що забезпечує безперебійну роботу користувачів із системою. Системою також передбачено захист повідомлень користувача за допомогою технології електронного цифрового підпису, що допомагає провести ідентифікацію користувача та забезпечити захист від несанкціонованого втручання в роботу системи.
В статті викладена досить цікава ідея, яка в будь-якому випадку має право на існування. Проте, хотілося-б звернути увагу на вимоги законодавства та інших документів заме щодо захисту інформації при автоматизованій обробці, (хоча б деяких): • ЗАКОН УКРАЇНИ «Про захист інформації в інформаційно-телекомунікаційних системах» • Постанова КМУ від 29 березня 2006 р. N373 Про затвердження Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах • НД ТЗІ 3.7-003-05 «Порядок проведення робіт із створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі» • Положення про державну експертизу в сфері технічного захисту інформації.
Створення систем офлайн, безумовно, цікава та інноваційна технологія, осбливо важливо, що "мінімальний час перебування в онлайн і як наслідок мінімізація можливості атак через діри в софті і операційній системі"...
Цікавий приклад Одеської облдержадміністрації ще раз підтвердив, наскільки багатоваріантен підхід до захисту інформації. Якщо запропонована технологія відповідає вимогам законодавства щодо безпеки інформації, то поширення її застосування для доступу до віддалених баз даних і управління даними в режимі off-line – справа часу.
Цікавий досвід Одеської облдержадміністрації. Технологія "кард-файл" використовується для забезпечення захищеного механізму формування та доступу до баз даних органів виконавчої влади, а також одержання доступу до віддалених баз даних через поштові повідомлення, наприклад, управління розрахунковим рахунком (банк-клієнт), ведення всіляких реєстрів і довідкових систем та ін. Ця технологія може бути застосована і в інших регіонах України.
Технологія "кард-файл" - це реально новий шаг у системі аутентифікації, захищена пошта необхідна для нормального функціонування органів влади, а персональний комп'ютер з поштовим клієнтом The Bat дозволяє з'єднати міжнародний та державний стандарт для використання систем електронної пошти в органах влади, все це спрямовує Україну вперед в сферу інформаційних технологій.
Технологія "кард-файл" призначена для одержання доступу до віддалених баз даних через поштові повідомлення. Вважаю доцільним використовувати для юридичних осіб (підприємців) звернень-запитів з подальшим використанням в роботі.
