ÚPVII vypracovalo novú metodiku pre vykonávanie zaručenej konverzie
Teraz je možné ju pripomienkovať do 13.11.
Následne sa aj bude meniť vyhláška 275/2014, ak to bude treba.
Varovanie: je to dlhé a podrobné. 7 krát je tam použité slovo “alternatívne”, 3 krát swot analýza. …
Nejaké komentáre, najmä @ps-bezpecnost ?
Na začiatok tri generálne otázky:
Ako sa toto robí v zahraničí? Lebo na jednej strane vymýšľať úplne špecifické slovenské pravidlá zasa len podporuje problém s interoperabilitou a na druhej strane ak robíme niečo veľmi ináč ako všetci ostatní, tak je to podorzivé. Ak odpoveď je že sme “predbehli dobu”, je to ešte podozrivejšie.
Zaručená konverzia ako koncept má najcitlivejší bod v tom, že po jej vykonaní môžem originál do nej vstupujúci zničiť. Tým sa limituje možnosť detekcie podvodu “po konverzii” a v prípade sporu sa extrémne znižujú možnosti spätného dokazovania. Ďalší veľký problém spočíva v mnohorakosti foriem elektronických aj listinných dokumentov, ich členení, autorizácii, formátoch. Celý koncept zaručenej konverzie budí dojem, že vychádza z naivného matematického pohľadu na svet (aj ja som matfyzák), v ktorom sú veci úplne popísateľné a vopred preveriteľné. Diskusia o rizikách plynúcich z uvedených problémov, a spôsobe ich riešenia, nikdy neprebehla. Doteraz ZK ani nebola používaná, preto nie sú preverené praxou. Stojí preto za úvahu, či nie je vhodné ZK na začiatok zásadne obmedziť - najmä ak ani nemáme porovnateľné prípadové štúdie zo zahraničia. Čo napr. obmedziť sa na konverziu slovenských úradných dokumentov? Alebo konverziu iba na účel výkony verejnej moci elektronicky? Čo takto nepripisovať konvertovanému dokumentu silu originálu, ale osvedčenej kópie? A súčasne veľmi limitovať prípustné formáty?
Povedzme si otvorene, na aké veci bude ZK používaná. Myslím že na 80% to budú úradné dokumenty - či už veci ktoré mi štát poslal elektronicky (wishful thinking) si z el. formy chcem vytiahnuť na papier, alebo naopak, listinné úradné dokumenty čo som na úradoch nazhŕňal chcem konvertovať do el. formy. Avšak práve pre úradné dokumenty je možná a vhodná celá paleta špecifických postupov. Napr: koverzia listinného úradného dokumentu by mala byť do príslušného el. formulára. Pri konverzii je možné v štátnych systémoch overiť platnosť úradného dokumentu, alebo aspoň po nej efektívne pátrať. Pre úradné dokumenty sú presne predpísané formáty - netreba špekulovať. Skrátka navrhujem, aby pre konverzie slovenských úradných dokumentov bol stanovený špecifický postup. (A možno sa podľa sa ukáže že nič iné ani netreba - 80/20.)
Toto sú zásadné otázky, ktoré treba zodpovedať kým začneme riešiť detailíky typu “čo je prázdna strana”.
K metodickému usmerneniu:
(Zatiaľ poznámky len ku kap.1-4)
V dokumente je uvedená ambícia meniť vyhlášku - podľa potreby je prípadne možné zmeniť aj zákon, nie? Veď je vyhlásená sezóna na zber požiadaviek na novelu z.o eGov.
Kap 1:
1.1: súhlas, konvertovať spolu iba čo je viazané jednou autorizáciou
ale veľmi to závisí od toho, ako sa konvertujú “vnorené” autorizácie, toto preberme
1.2: v pohode nech to je kvalifikovaná overovacia služba, ale povedzme si reálne aké v SR máme (skutočné, nie informatívne),
príp. aké sú náklady na použitie a ďalšie parametre, napr. trvanie overenia (worst case)
ale v tejto časti je veľmi správna úvaha o falšovaní
1.3: súhlas s navrhnutým riešením
princíp “default podľa výnosu, po dohode oboch strán hocako” nemožno uplatniť aj na formát podpisu?
1.4: Ako sa toto dnes rieši pri osvedčovaní kópií? Imho “dopísať” do listinného dokumentu sa dá aj keď je prázdna iba pol-strana.
zatiaľ mi to pripadá ako skoro zbytočná vec, preto by som to riešil čo najjednoduchšie
čiže iba pre skutočne prázdne strany
v prípade konverzie do listinného dokuementu sa čísľujú strany? ak áno, znižuje to riziko dopisovania
1.5: otázka “kto môže” je úzko spätá so zodpovednosťou
t.j. kompetenciou a sankciami - aké sú pri konverzii (alebo IOM)? - čo nedbanlivosť? napr. nedostatočná zdatnosť odhaľovať podvody?
teraz v zákone nie je previazanie na prevádzkovateľov IOM, resp. je iba ad hoc, otázka je či to nedať explicitne
aj vzhľadom na otázku o rozsahu ZK by som zatiaľ okruh subjektov nerozširoval
Kap 2:
“V praxi to znamená, že dokument vytvorený zaručenou konverziou nepotvrdzuje pravdivosť údajov v ňom uvedených”
treba si uvedomiť, že požiadavka na overenie platnosti autorizácie (špeciálne pri el. dokumentoch), je opustenie tohto pravidla, má opodstatnenie (a v akom rozsahu)?
“Osoba, ktorej je dokument vytvorený procesom zaručenej konverzie predložený a ktorá ho spracováva v konaní, musí…”
keď už ste sa pustili do tejto témy, má zmysel rozobrať podrobnejšie aký je postup pri spracúvaní dokumentu vzniknutého z konverzie
Kap 3:
“Ceny uvedené v sadzobníku predstavujú maximálne ceny, za ktoré je možné služby zaručenej konverzie poskytovať.”
nejako to v zákone nevidím že “maximálne”, možno je to triviálne ale vysvetlite, každopádne tento zámer iba vítam
ináč ceny za ZK sú dobrá téma tiež, nejaká úvaha prečo práve také ako sú vo vyhláške? napr. 33c za konverziu el>papier?
keďže od 1.11. je tu akože binárny režim “všetko elektronicky” (ak je aktivovaná schránka), alebo “všetko papierovo”, za úvahu stojí univerzálna služba ZK, kde si to čo mi prišlo elektronicky do schránky viem zažiadať skonvertovať na papier a nechať poslať
k tomuto by mala byť služba priamo v schránke
a malo by to byť bez poplatku, je to obdoba že OVM robí konverziu svojho dokumentu
pre tieto veci je ZK veľmi jednoduchá a mechanicky vykonateľná
ak vzťah ku štandardom ISVS
čiže dva odstavce od “Je dôležité jasne definovať vzťah”…
pokiaľ ide o formáty dokumentov, vo výnose je uvedené že so súlasom oboch komunikujúcich strán môže byť použitý ľubovoľný formát
taktiež nie je pravda, že z dôvodu zachovania právnych účinkov musí byť splnený formát dokumentu podľa výnosu
osvedčovacia doložka: podľa zákona o eGov ju dokonca je možné pokladať za elektronický úradný dokument
Kap 4:
Neda sa spravit na zaciatku zopar usecaseov kde sa bez ZK skutocne nezaobideme a tam to vyskusat pilotnym projektom ? A spravit nasledne skutocne explicitnu metodiku (toto mi pripada ako hybrid metodiky a studie). Hned na zaciatku sa tu pise “Cieľom tohto dokumentu je popísať postup pri vykonávaní zaručenej konverzie na úrovni „manuálu“, pričom sa …” . No mozno polovica dokumentu je manual a ta druha polovica ma iba zneistuje. Pod manualom chapem jednoznacny navod k pouzitiu. Tu sa ale pise ze je otazne ci hento, navrhujeme tamto, je mozne otvorit diskusiu…mozno som len nepochopil ucel dokumentu. Ak to je studia, z ktorej sa po diskusii vyextrahuje realne pouzitelny manual/metodika, tak je to urcite dobry zaklad.
use cases mali byt predtym nez sa konverzia dostala do legislativy
@skdd prípadne aj nejaká reakcia?
Po zbeznom prejdeni dokumentu par poznamok:
Treba jednoznacne povedat na ake procesy sa bude pouzivat zarucena konverzia dokumentov - a kto bude prijemcom takychto el. dokumentov.
V prvom rade ak to má byť pravny institut pripodobnenia osvedcenej kopii, ktora je notoricky znama z listinnej podoby, tak informatizacia by mala potrebu osvedcovania kopii pre potreby statu (80% veci z mojej skusenosti) vyrazne znizit.
Dalej k jednotlivym bodom:
1.1. Urcite kazdu osobitnu listinu osobitne - v listinnom svete sa to niekedy z praktickych dovodov spaja, ale v elektronickm to nie je potrebne.
Pre potreby zarucenej konverzie bude potrebne aj zadefinovat co vsetko je listina, ktoru je mozne zarucene konvertovat, staci aj vseobecne, aj ked vzhladom na mnozstvo listin, ktore mozu byt predlozene OVM je presna definicia nemozna (podľa § 38/1 zakona o egovermente - konvertovať nemožno dokument v listinnej podobe, z ktorého nie je podľa osobitných predpisov možné vyhotoviť úradne osvedčenú kópiu - nepoznam iny predpis ako zakon 599/2001, ktory plati len pre osvedcovanie obci, takze plati toto obmedzenie aj pre notara, ktori nemaju podla osobitnych predpisov obmedzene moznosti vyhotovovat osv. kopie?), hlavne aby bolo jasne urcene ze sa jedna len o pravne vyznamne listiny, t.j. take ktore su sposobile zmenit, zalozit, zrusit pravne vztahy, alebo deklaruju ich existenciu (zarucena konverzia z knihy alebo casopisu napr.) a aby bolo jasne urcene ktore listiny nemozno konvertovat. V dalsom rade je mozno osvedcit zhodu odpisu alebo kopie len z originalu /alebo inej osv. kopie/ - co je originalom v pripade elektronickych dokumentov? Pri listinach sa vyzaduje mat tzv. prvok orginality na dokumente (t.j. napr. podpis, peciatka,holografny znak, vodotlac, a pod.). Co je tymto prvkom pri el. dokumentoch a ako sa pretavi do listinnej podoby?
Je mozne v tejto suvislosti vykonat aj konverziu casti dokumentu? Nikde som to nenasiel, ani nijaku metodiku k tomu. Moze v takom OVM skonvertovat len poslednu stranu rozhodnutia sudu?
1.2. Som za druhú moznost - kvalifikovana doveryhodna sluzba, najma z dovodu aby mohla byt do zakona o egovermente vsunuta cast o tom, ze v pripade ak bola osvedcovacia dolozka vydana v sulade s postupom podla zakona, opravnenou osobou vo forme aku predpisuje zakon, aby tato dolozka bola verejnou listinou (toto uz je pri dolozkach ktore vydaju notari, avsak pri ostatnych nie).
1.3. V zasade som za moznost vyberu formatu do ktoreho sa bude konvertovat s ustanovenym defaultom ak si ziadatel vyslovne nepoziada o iny.
1.4. Prazdne strany len skutocne prazdna strana, bez akehokolvek obsahu (avsak napr. necistoty mozu byt).
V listinnom svete sa to riesi preskrtnutim prazdnych stran a niekedy aj prazdnych casti stran (najma pokial viac ako pol strany je prazdnej).
1.5.
Pokial ma byt ZK doveryhodna, je potrebne obmedzit zo zaciatku v najvacsej miere osoby ktore ju budu vykonavat - je to niekedy komplikovana a zodpovedna praca. Najprv bude potrebne system ako taky zabehat a az nasledne moznost jeho rozsirenia aj pre ine osoby.
Navrhujem aby statne organy a samosprava, t.j. sudy, spravne organy, prokuratura, obce mohli vykonavat ZK len pri vykone svojej pravomoci a aby notari a exekutori mohli vykonavat ZK taktiez pri vykone svojej pravomoci (t.j. pre rozhodnutia a listiny ktore vydaju)
Ostatne ZK by mali vykonavat pri verejnych listinach len notari, lebo oni su na to usposobeni a pripraveni technicky a odborne (a v podstate to iste robia aj teraz v listinnej podobe).
Posta ako taka na to nema odborne a zatial asi ani technicke zazemie (t.j. nikdy neosvedcovali kopie)
Obce by mohli byt takisto vykonavatel ostatnej ZK, keby splnili nejake podmienky (technicke, bezpecnostne) + skolenie poverenych pracovnikov.
Advokati a patentovi zastupcovia mozu vykonavat ZK pri svojej cinnosti, alebo vzniknute z ich cinnosti ale len pre sukromne listiny.
V dalsom rade je potrebne v tomto bode novelizovat ustanovenia Trestneho poriadku, pokial by nebola osv. dolozka ZK verejnou listinou a ustanovenia o zodpovednosti štátu, notárov, obcí, advokátov, resp. osvedcujucich osob pri výkone ZK, a to najma v pripade ak sposobia skodu (bud umyselne alebo nedbanlivost) - ci uz ze zarucene konvertuju neoriginal, nespravne vyhotovia dolozku, alebo inym sposobom poskodia ziadatela o konverziu.
Okrajovo k cenám - pri notároch je nezmyselné ich zaradiť do skupiny ktorá nemá právo na odmenu za vykonanie ZK, len na náhradu hotovych vydavkov - to sa ich týka len v prípade ak ZK robia ako súdny komisár. Ceny za konverziu sú celkovo nastavené zvláštnym kľúčom.
Zatial tolko, po doslednom prezreti doplnim pripomienky.
Už tu máš otázky od 3 ľudí. Bude teda nejaká odborná diskusia, alebo klasicky máme “poslať pripomienky” a vy už si z nich niečo vyberiete?
Ako sme prišli na to, že v elektronickom svete sa nespájajú dokumenty. Typickým príkladom je rozsudok súdu, ku ktorému sa pripojí doložka právoplatnosti a vykonateľnosti. Spolu tvoria jeden celok, ktorý ale pozostáva z dvoch dokumentov, ktoré vznikli v inom čase, rozhodnutie skôr, doložka neskôr, rozsudok autorizovaný kvalifikovanou elektronickou pečaťou súdu, doložka podpísaná inou kvalifikovanou pečaťou súdu s inou časovou pečiatkou.
Acrobat vie spájať takto podpísané dokumenty. Dokonca vie vytvoriť portfólio, ktoré sa dá celé podpísať.
Asi som to inak pochopil, tieto spojené dokumenty. Práve doložky právoplatnosti, osvedčovacie doložky a podobné dokumenty nepovažujem za osobitné, samostatné dokumenty, pretože ich oddelení od dokumentu ktorý osvedčujú, ku ktorému sa viažu (napr. osvedčenie pravosti podpisu) strácajú akýkoľvek význam.
Nespájaním dokumentov pri konverzii som mal na mysli dokumenty, ktore
sa daju oddelit bez straty ich podstaty a vyznamu (t.j. klasicky napr. dodatok k zmluve, prilohy k zmluve a pod.).
Vyhláška o zaručenej konverzii č. 275/2014 Z.z. dnes hovorí, že je povinnosť konvertovať Z:
(Vyhláška 275/2014 formáty rieši tým, že odkazuje na konkrétne formáty vo Výnose o štandardoch č. 55/2014 Z.z.)
V návrhu metodiky je v bode 1.3 navrhnuté riešenie, že by sa zaručená konverzia po novom mohla vykonávať aj DO ľubovoľných iných formátov, ak sa tak rozhodne osoba vykonávajúca zaručenú konverziu a zároveň ak spĺňa požiadavky §36 ods. 1 (zachovanie informačného obsahu, odlišovanie údajov vzniknutých transformáciou, zachovanie/náhrada bezpečnostných prvkov).
Počul som aj taký právny výklad zákona o e-Governmente, že všetky formáty, ktoré vzniknú zaručenou konverziou, sú potom všetky orgány verejnej moci povinné prijímať v rámci elektronických podaní prípadne elektronických úradných dokumentov. A ak by to niektoré OVM odmietli, tak je možné predpokladať, že by v prípadnom súdnom spore súd rozhodol, že OVM ich boli povinné prijať. Dôvodom je, že v zákone o e-Governmente sa o novovzniknutom dokumente zo zaručenej konverzie hovorí, že má rovnaké právne účinky a je použiteľný na právne účely v rovnakom rozsahu ako pôvodný dokument, ktorého transformáciou vznikol (§39 ods. 1) a že výstup zo zaručenej konverzie sa prikladá ako príloha elektronického podania (§25 ods. 3) alebo el. úradného dokumentu.
Ak je tento výklad relevantný, tak by to predstavovalo riziko vendor lock-in pre verejnú správu.
Ak by uvedený výklad aj neplatil a žiadateľ by bol kvôli Výnosu o štandardoch upozornený, že daný ľubovoľný formát nemusí byť akceptovaný verejnou správou, nič to podľa mňa nemení na tom, že daný dokument môže skončiť ako príloha nejakého elektronického podania - napríklad podania na súd.
Povolenie konverzie do ľubovoľných formátov môže podľa mňa viesť ku zmätkom, pretože medzi firmami a verejnosťou takto začnú kolovať rôznorodé formáty zaručene skonvertovaných dokumentov ale v zmysle Výnosu o štandardoch ich nebude verejná správa povinná prijímať.
Čo má v prípade akceptovania uvedeného návrhu robiť človek, keď bude disponovať iba zaručene skonvertovaným dokumentom v nejakom formáte, avšak nebude vedieť zohnať žiadnu osobu, ktorá by tento formát zaručene skonvertovala do takého formátu, ktorý je povinná akceptovať verejná správa?
Alebo chceme, aby boli všetky osoby zaručene konvertujúce dokumenty povinné konvertovať zo všetkých formátov, do ktorých niekedy iné osoby vykonávajúce zaručenú konverziu vykonali zaručenú konverziu?
Alebo chceme povinnosť garantovať dlhodobú dostupnosť softvérového nástroja, ktorý dokáže výstupy zaručenej konverzie správne aspoň zobrazovať? (ak už nie rovno tlačiť alebo konvertovať do povinných formátov?)
Plus sa mi zdá dosť nevhodné nechávať na jednotlivé osoby vykonávajúce konverziu, aby si riešili odborné posudzovanie, či je nejaký konkrétny formát možné v súlade so zákonom konvertovať do iného formátu. K tomuto je podľa mňa potrebné z hľadiska hospodárnosti robiť jednotné odborné posudzovanie.
Toľko môj subjektívny pohľad. Píšem ho ako reakciu na dva súhlasy s bodom 1.3 v tejto diskusii.
Ešte ku Výnosu o štandardoch:
§57c Výnosu o štandardoch hovorí, že pri autorizácii je povinnosť používať formáty elektronických dokumentov uvedené v §57a - teda PDF/A-1a, PNG, TXT, XMLDataContainer. Iné formáty je možné použiť iba “ak sa na tom všetky strany príslušnej komunikácie dohodnú, s vedomím možných škôd a nezrovnalostí v ďalšom konaní vyplývajúcich z takého postupu”. Čiže je otázkou, či OVM vykonávajúce zaručenú konverziu môžu za bežných okolnosti autorizovať aj iné formáty.
24.1. o 13:00 bude k metodike zaručenej konverzie “verejná” prezentácia na ÚPVII. Úvodzovky preto, že v pozvánke sa píše "Vzhľadom na limitovanú kapacitu zasadacej miestnosti možno za každú organizáciu nahlásiť maximálne jedného účastníka, a to emailom najneskôr do 21.1.2017."
Záznam z prezentácie, ako aj finálna metodika k zaručenej konverzii budú zverejnené aj na webe informatizácie.
Za S.D pôjdem ja, ostatní skúste za “svoje organizácie”.
Hlavne pri konverzii treba jasne vymedziť čas, pokiaľ je ju možné realizovať - napr. nie je možné realizovať konverziu po skončení platnosti podpisu.
A rovnako je potrebné určiť maximálnu dĺžku po ktorú sa budú konverzné záznamy archívovať a v konverznej doložke sa uvedie presný dátum dokedy bude konvertovaný dokument rovnocenný s originálom.
Toto je vyriešené pre elektronický podpis požiadavkou na overenie jeho platnosti. Pri konverzii z listinného zdroja neviem o “skončení platnosti” podpisu.
Ako je to teraz s archiváciou notárskych záznamov o vytváraní osvedčených kópií?
Aký by na toto bol dôvod?
NIjako, notári nevytvárajú žiadne záznamy o osvedčených kópiách 
.
Na to je jednoduchá odpoveď, podpis na listine totiž je vždy jedinečným originálom podpisujúceho a jeho platnosť v čase nekončí.
Naopak elektronicky podpis má iba obmedzenú platnosť, v čase jeho platnosť končí. Naviac elektronický digitálny podpis na rozdiel od podpisu na listine zabezpečuje integritu celého dokumentu. Preto musí byt pri konverzii zrejme, podobne ako z digitálne podpisu je zrejmé, ako dlho bude možné konvertovaný dokument považovať za rovnocenný s originálom a kedy bude už len iba obyčajnou kópiou
Archivuje sa kniha osvedčených podpisov, kde sa rad za radom v časovej súslednosti podpisujú jednotlivé osoby, zároveň sa vytvára záznam v notárskych registroch pri vytváraní doložky podľa poradia.
kniha sa archivuje podľa ročníkov myslím že 20 rokov.
Kedy akože “končí”?
Ja viem iba o obmedzenej dobe platnosti podpisovacieho certifikátu, čo z hľadiska platnosti podpisu znamená iba to, že bez vykonania daľšej operácie nebude overiteľný.
Ak to aj bez týchto záznamov funguje, nerozumiem celkom tlaku na záznamy pre ZK.
(Len pripomínam, že podľa mňa kvôli rizikám podvodu - najmä pri prevode list->el - by podľa mňa mal byť výsledok ZK použiteľný iba ako osvedčená kópia.)
Lubor, podľa teba dokumenty podpísané algoritmom sha0 alebo sha1 by mali byť považované za úradne dokumenty najbližších 75 rokov, len preto, že v čase podpisovania sa používali?
Nesleduje teda elektronický dokument osud elektronického podpisu, ktorému po skončení platnosti, skončí platnost doložky. Nestane sa takýto dokument už iba obyčajným neoveritelnym dokumentom. Budeme aj dokumentom s sha0 a sha1 garantovať silu úradne overeného dokumentu?
Ak by som chcel byť škodoradostný, tak poviem, že ukáž dnes platne podpísaný dokument s sha0 alebo sha1 a môžeme sa baviť ďalej… (pointa: tieto algoritmy už nie je povolené používať)
Ale otázku beriem, pýtaš sa ako sa rieši zastarávanie kryptografických primitív pri udržiavaní overiteľnosti podpisu. Je to dávno vyriešená vec, pozri napr. Hash-Tree Renewal v RFC 4998.