Obsah přednášky

Transkript

1

2 Obsah přednášky Elektronické dokumenty Např.: Pojmy z bezpečnosti IT 2

3 Elektronické dokumenty a ZOEP 3

4 Listiny a elektronické dokumenty V českém právním řádu existuje řada právních předpisů, kde se vyskytují výrazy jako: doklad, dokument, listina, osvědčení, záznam, evidence, rejstřík, registr, seznam, databáze, soupis, písemnost, kniha, zpráva, sdělení, oznámení. Najdeme zde ale i pojmy jako datová zpráva, elektronický podpis, elektronická značka a elektronická veřejná listina. Je zřejmé, že použité výrazy z první skupiny byly zvoleny více méně náhodně, podle zvyklostí a tradic zpracovatele právní normy, případně jako synonyma. Přitom ve skutečnosti tomu tak není (synonyma) a striktní použití některého z výše uvedených pojmů někdy může tvořit překážku k rovnocennému použití listinné a elektronické formy písemnosti. 4

5 Listiny a elektronické dokumenty Listina vs. elektronický dokument, ev datová zpráva: obojí je D O K U M E N T : papírový vs. elektronický obojí je P Í S E M N O S T informace je zaznamenaná písmem, nemusí být jen na papíru (od kamene, přes zvířecí kůži, papír až po elektronický dokument) Jako dokument můžeme chápat každý pramen informací na nějakém nosiči, který je uchovatelný v čase, papírový elektronický Listina je písemnost úřední nebo smluvní apod. právního obsahu (obecně důležitého obsahu) cokoliv psaného. Nicméně pojem je chápán různě. 5

6 Listiny a elektronické dokumenty Úlohou písemnosti je zaznamenání informace písemně, tedy psaním, na nějakém hmotném nosiči trvalým způsobem, umožňujícím tuto informaci předat, získat, vykázat se jí apod. i s časovým odstupem, a to případně jinou osobou, nežli autorem zápisu. Pro písemnost je tedy charakteristické: jde o hmotný nosič, obsahující určitou informaci; tato informace je na onen nosič někým zapsána a souvisí s ním, je zapsána tak, aby mohla být následně informace přečtena libovolnou osobou, přičemž bude zřejmé, kdo tuto informaci na nosič zaznamenal (případně musí být zjistitelné, že jako autor (vydavatel, signatář apod.) této informace není nikdo uveden (anonymní písemnost). 6

7 Listiny a elektronické dokumenty Dle 2 písm. e) zákona č. 499/2004 Sb., o archivnictví a spisové službě a o změne některých zákonů, ve znění pozdějších předpisů, je dokument každá písemná, obrazová, zvuková nebo jiná zaznamenaná informace, ať již v podobě analogové, či digitální, která byla vytvořena původcem nebo byla původci doručena. 7

8 Listiny a elektronické dokumenty Papírové dokumenty Snažíme se o to, aby byl dokument čitelný. Vytváříme jej na počítači, používáme standardní fonty a dostatečně kvalitní tiskárnu. Netiskneme černá písmenka na tmavě modrý papír. Nepoužíváme technologie, kde písmo rychle vybledne (pokud se nejedná o dokument, který za pár dnů skončí v koši). Věrohodnost původu dokumentu - dokument se opatří razítkem, ručním podpisem, natištěným jménem a případně také funkcí, ze které je zřejmé, že jsme byli oprávněni k uzavření smlouvy, objednávce služby, apod.. Uvedeme kde a kdy byl dokument vytvořen. Neporušitelnost obsahu dokument má takovou podobu, aby nebylo možné do něj vpisovat věty či odstavce nebo dokonce měnit jména, čísla nebo prostě jen formulace. Sestává-li dokument z více stránek, parafuje se každá strana, sešívací sponku zajistíme papírovou přelepkou, razítkem, podpisem a případně trikolórovou šňůrkou. Ve zvlášť důležitých případech se dokonce přizve důvěryhodná třetí strana (např. notář), aby integritu dokumentu potvrdil spolu s identitou všech podepisujících stran. Totéž chceme po elektronickém dokumentu 8

9 Písemná forma právního jednání Písemná forma právního jednání tak kromě jiných obecných náležitostí vyžaduje, aby byl příslušný projev vůle zachycen na médiu, které má právní povahu listiny a dále pak aby byl tento projev vůle podepsán. Písemný projev může být platný až od okamžiku podpisu jednající osoby. 9

10 Listiny a elektronické dokumenty Pro právní dokumenty, které vedly ke vzniku, změně nebo zániku právního vztahu a které měly závažný dopad do osobnostní nebo majetkové sféry jejich účastníků tj. fyzických a právnických osob, vyžadoval právní řád formu písemného listinného dokumentu opatřeného podpisem stran. Technický pokrok dnes umožňuje vyhotovování písemných dokumentů v digitální formě včetně podpisu takovýchto dokumentů i jejich předávání a archivaci elektronickou cestou. V důsledku toho došlo ke změně právní úpravy formy právních úkonů (jednání), které s sebou nesou vznik, změnu a zánik právního vztahu, a to především novelou (starého) občanského zákoníku a vydáním zákona o elektronickém podpisu v roce Ten položil základní kámen pro uskutečňování právně závazných právních úkonů v elektronické podobě. 10

11 Elektronické dokumenty Elektronické dokumenty - zásadně rozlišujeme dvě situace: dokument vznikl jako listina, dochází tedy k digitalizaci neboli převodu do elektronické podoby v digitální formě (nikoliv analogové) jedná se tedy o faksimile; dokument již vznikl v digitální podobě jedná se o digitální dokument. Obojí je elektronický dokument, ale jeho vlastnosti jsou odlišné. 11

12 Elektronické dokumenty Faksimile - hlavní požadavky na digitalizaci jsou: věrnost a přesnost souvisí s metodou převodu (rozlišovací schopnost faksimile, bezchybnost OCR (Optical Character Recognition) apod.); dostatečná důkazní síla schopnost prokázání pravosti dokumentu, tj. obsahu i náležitostí (podpisu, data). Digitální dokumenty - musí být provedeny určité operace, které identifikují a autentizují dokument resp. jeho autora: podepsání elektronickým podpisem různého stupně nebo elektronickou značkou; opatření časovým razítkem, zajištění dlouhodobého úložiště. 12

13 Dlouhodobé úložiště V obou případech musíme vyřešit zajištění dlouhodobého úložiště elektronických dokumentů, a to jednak z hlediska neustálého zajištění čitelnosti nosiče, jednak z hlediska verifikace elektronicky podepsaného dokumentu za situace, kdy platnost certifikátu, kterým byl podpis vytvořen, již vypršela. Toto řeší tzv. důvěryhodný archiv elektronických dokumentů (Trusted Archive Authority - TAA), který musí plnit zejména tyto funkce: Zabezpečení proti ztrátě Zabezpečení proti pozměňování Zabezpečení proti neoprávněnému přístupu Poskytnutí přístupu oprávněnému Nástroje pro vyvrácení pochyb o pravosti obsahu 13

14

15 Dlouhodobé úložiště Zachování hodnoty v TAA Integrita dokumentu - možnost v kterémkoliv okamžiku života dokumentu prokazatelně zjistit, byl-li dokument porušen či nikoliv Neodmítnutelnost odpovědnosti - možnost nezpochybnitelným způsobem prokázat konkrétnímu subjektu autorství nebo účast v procesu zpracování dokumentu Časové určení dokumentu - možnost nezpochybnitelným způsobem prokázat přesný časový údaj o vzniku nebo úpravě dokumentu Toto zajišťoval dle ZOEP č. 227/2000 Sb. Kvalifikovaný certifikát pro zajištění integrity a osobní zodpovědnosti (elektronický podpis) Kvalifikovaný systémový certifikát pro zajištění integrity a firemní zodpovědnosti (elektronická značka) Kvalifikované časové razítko pro prokázání časového určení Nyní eidas, nařízení Evropské unie č. 910/2014 o elektronické identifikaci a důvěryhodných službách pro elektronické transakce na vnitřním evropském trhu. 15

16 Dlouhodobé úložiště Počítačové systémy neustálý vývoj jak HW, tak SW Neexistují dokonale permanentní ukládací média či způsob ukládání! Pravděpodobně nebudou existovat ani v budoucnu Návrh archivních systémů se snaží trvale postihnout možnost potencionální změny a její zvládnutí, namísto dosažení nějakého permanentního stavu! Pokud si prohlížíme po nějaké době dokument v důvěryhodném archivu uložený, pak můžeme implicitně předpokládat, že archiv je skutečně důvěryhodný. Pokud by o tom měly vzniknout pochybnosti, má TAA nástroje, jak prokázat, že dokument třeba po dlouhá léta nebyl pozměněn. Jádro těchto nástrojů spočívá v pravidelném obnovování razítek a podpisů právě prostředky TAA. Spolehlivost těchto nástrojů spolu se souborem pravidel z oblasti zabezpečení je to, co dělá archiv důvěryhodným. 16

17 Důvěryhodný dokument České právo nezná definici důvěryhodného dokumentu. Avšak existují vlastnosti, které od takového dokumentu očekáváme. Patří mezi ně: Pravost, která není rozporována. Spolehlivost obsahu dokumentu. Vypovídací hodnota, která nebude soudem zpochybňována. Abychom mohli dokument považovat za pravý a spolehlivý, musí být: originální nebo odvozený z originálního dokumentu (u kopie, repliky nebo konverze lze doložit shodu s originálem), nepadělaný, obsahově nezměněný a neupravovaný. A dále: lze prokázat jeho existenci k určitému datu, lze identifikovat původce, musí odrážet skutečnou vůli stran, musí být čitelný. 17

18 Důvěryhodný dokument Významnou roli pro splnění výše uvedených vlastností má podpis, který je důležitým bezpečnostním prvkem každého důvěryhodného dokumentu. Podpis se v právu považuje za nezpochybnitelný doklad souhlasu osoby s takto písemně projevenou vůlí. Podpisy mají tři funkce: Označovací: identifikace toho, kdo učinil právní úkon. Deklarační: potvrzení projevu vůle. Důkazní: ověření totožnosti jednajícího. Listinný i elektronický dokument ztrácí svou důvěryhodnost, pokud: je nečitelný, byl obsahově změněn. Elektronický dokument navíc ztrácí důvěryhodnost, jestliže nelze jednoznačně prokázat platnost bezpečnostních prvku, kterými je dokument ošetřen právě pro potřeby zaručení důvěryhodnosti. 18

19 Podpis Pojem podpis se v našem právním řádu vyskytoval ve více než 1000 dokumentech v počtu 2800 výrazů (z toho však jen 331 výrazů se nacházelo ve 101 zákonných předpisech) stav k Žádný zákon či jiný právní předpis pojem podpis nijak nedefinují Ze (striktně) právního hlediska lze rozlišovat Podpis Vlastnoruční podpis Ověřený podpis Podpis vlastní rukou (např. čl 3 odstavce 1 sdělení 179/1996 Sb.) Podpis na listině, který osoba uznala za vlastní ( 74 zákona č.358/1992 Sb., tzv. Notářský řád) 19

20 Rukopisný podpis Je nepadělatelný: dokument podepsal podepsaný a nikdo jiný Pravost podpisu nelze popřít: lze ji dokázat (soudní znalec) Psaný dokument je nezaměnitelný: po podepsání jej již nelze změnit. Je autentický: podepsal jej podepsaný po zralé úvaze. Nelze jej použít vícekrát pro více dokumentů: podepsaný podepisuje dokument, z kterého poté nelze podpis přenést na dokument jiný. 20

21 Elektronický (digitální) podpis Strana, která získá elektronický (digitálně) podepsaný elektronický dokument, chce být ubezpečena, že autorem dokumentu je označená osoba, že se seznamuje s přesným obsahem dokumentu, že může na základě takto získaného dokumentu konat a mít přitom určité záruky od autora dokumentu. Jinými slovy je třeba zajistit u těchto dokumentů jejich autenticitu, integritu a nepopiratelnost. 21

22 Elektronický (digitální) podpis Elektronický podpis je založen na asymetrické kryptografii. Elektronický podpis není ve své podstatě ničím jiným než číslem. V praxi uživatel s elektronickým podpisem v číselné podobě nepracuje. Pracují s ním API, které elektronický podpis vytváří a ověřují. Výsledek ověření pak prezentují v uživatelsky přívětivé podobě. 22

23

24 Právní úkony v elektronické podobě Oblasti života, kterých se dotýká využívání právních dokumentů v elektronické podobě Obecně - nahrazení papírové dokumentace elektronickou a komunikace prostřednictvím elektronických prostředků. Získávání informací, dokladů a činění podání tj. komunikace s orgány veřejné správy. Výkon zaměstnání doma. Elektronické obchodování s informacemi, věcmi, komoditami... Elektronická forma právních úkonů s sebou nese řešení dvou základních problémů zákonem danou možnost nahrazení psaného textu digitálním textem a právní závaznost elektronického podpisu. 24

25 Právní úkony v elektronické podobě Právní východiska umožňující výkon právních úkonů v elektronické podobě (Nový) Občanský zákoník - z.č. 89/2012 Sb. Zákon o ochraně spotřebitele z.č. 634/1992 Sb. eidas, nařízení Evropské unie č. 910/2014 o elektronické identifikaci a důvěryhodných službách pro elektronické transakce na vnitřním evropském trhu (Zákon o elektronickém podpisu - z.č. 227/2OOO Sb.) Nařízení vlády o elektronických podatelnách č. 496/2004Sb. Zákon o archivní a spisové službě z.č. 499/2004 Sb. Zákon o ochraně osobních údajů - z.č. 101/2001Sb. Zákon o svobodném přístupu k informacím z.č. 106/1999 Sb. A jejich novely 25

26 Př.: Zákonem daná možnost nahrazení psaného textu textem v elektronické podobě Upravuje Hlava V. díl 1. oddíl 3. NOZ (z.č. 89/2012 Sb., ) Forma právních jednání: 559: Každý má právo zvolit si pro právní jednání libovolnou formu, není-li ve volbě formy omezen ujednáním nebo zákonem. 562 odst. 1: Písemná forma je zachována i při právním jednání učiněném elektronickými nebo jinými technickými prostředky umožňujícími zachycení jeho obsahu a určení jednající osoby. 561 umožňuje podpis právního dokumentu elektronicky úprava spotřebitelských smluv uzavíraných distančně 26

27 Př.: Zákonem daná možnost nahrazení psaného textu textem v elektronické podobě Zákon o elektronickém podpisu z.č. 227/2000Sb. - ve znění 64/2014 Sb. Závaznost právního úkonu je vázána na podpis fyzické osoby, která tímto dává najevo, stvrzuje, že se ztotožňuje s daným textem a tento se pro ni stává právně závazný Právní úprava elektronického podpisu zákonem číslo 227/2OOOSb. O elektronickém podpisu. Např. Upravoval elektronický podpis u elektronických právních úkonů pro oblast práva soukromého i veřejného. Zákon upravoval tvorbu a zajištění důvěryhodnosti elektronického podpisu, elektronické značky při vyhotovování právních dokumentů v elektronické podobě, poskytování certifikačních služeb poskytovateli usazenými na území ČR, kontrolu povinností a sankce za porušení povinností stanovených tímto zákonem. Nyní nařízení eidas 27

28 Nezbytný úvod do problematiky elektronického podpisu obecně Elektronický podpis má zajistit (z pohledu ICT) následující bezpečnostní funkce Integritu dat Nepopiratelnost Autenticitu Pojem elektronický podpis pojem z ZOEP a jiných právních pramenů, v ICT pojem digitální podpis 28

29 Bezpečnost ICT Bezpečnost je ( well-being ) stav systému (systém = hw + sw + data), kdy je možnost úspěšné dosud nezjištěné krádeže, falšování, narušení informací a služeb udržována na nízké nebo přípustné úrovni. Role Alice a Bob jsou legitimní (good guys) subjekty (osoby, procesy, počítače, ), označení poprvé použil Ron Rivest 1978 Eve, Mallory, Oscar, Trudy nelegitimní subjekt (bad guy), obecně útočník 29

30 Bezpečnostní funkce elektronického podpisu Bezpečnostní funkce (cíle) elektronického podpisu - služby podporující a zvyšující bezpečnost datových procesů a přenosů v daném subjektu: autenticita (autentication) - původ informací je ověřitelný. Autentizací se rozumí proces ověřování pravosti identity entity (tj. uživatele, procesu, systémů, informačních struktur apod.), integrita (integrity) aktiva smí modifikovat jen autorizované subjekty, nepopiratelnost odpovědnosti (non-repudiation) - nelze popřít účast na transakci. 30

31 Bezpečnostní mechanismy Bezpečnostní mechanismy implementují (zajišťují) bezpečnostní funkce, mechanismy navržené tak, aby detekovaly útoky (bezpečnostní incidenty), zabraňovaly jim, ev. pomohly zotavení se z útoků: mohou mít charakter fyzického opatření, administrativní akce, může jimi být technické zařízení nebo logický nástroj (algoritmus), Bezpečnostní protokoly (např. SSL), apod. DIGITÁLNÍ PODPIS 31

32

33 Certifikát Certifikát (certificate) je elektronický dokument sloužící k identifikaci jednotlivce, serveru, společnosti nebo jiné entity a spojuje tuto entitu s veřejným klíčem. Na certifikát se lze dívat jako na řidičský průkaz, pas nebo jiný doklad dokazující identitu majitele. Certifikát veřejný klíč uživatele podepsaný soukromým klíčem důvěryhodné třetí strany, certifikát spojuje jméno držitele páru soukromého a veřejného klíče s tímto veřejným klíčem, a potvrzuje tak identitu entity, poskytuje záruku, že identita spojená s vlastníkem daného veřejného klíče není podvržená, případně také představuje doklad o tom, že totožnost držitele veřejného klíče byla ověřena. 33

34

35

36 Struktura certifikátu X.509v3 X509 viz Verze - určuje verzi použitého certifikátu (1 v1, 2 v2, 3 v3). Sériové číslo - celé číslo, pomocí kterého může CA jednoznačně identifikovat daný certifikát. Identifikátor algoritmu podpisu - obsahuje dvě části, název použitého algoritmu (pro podpis certifikátu) a související parametry. Význam této položky je zanedbatelný, protože stejné informace jsou součásti podpisu. Jméno vydavatele (issuer name) - reprezentace význačného jména (X.500 jméno) CA, která vytvořila a podepsala daný certifikát. Doba platnosti - skládá se ze dvou časových údajů určujících od kdy do kdy je certifikát platný. Jméno vlastníka (subject name)- určuje pro koho byl certifikát vystaven. Certifikát potvrzuje, že entita identifikovaná tímto význačným jménem (X.500 jménem) je vlastníkem odpovídajícího soukromého klíče. 36

37 Struktura certifikátu X.509v3 Identifikátor veřejného klíče - obsahuje veřejný klíč subjektu včetně informací o algoritmu, pro který je klíč určen a parametrech použitých k jeho vytvoření. Identifikátor vydavatele - nepovinný údaj použitý k jednoznačné identifikaci vydavatele pro případ, že by jméno vydavatele (issuer name) bylo použito k identifikaci jiné entity. Identifikátor vlastníka - je nepovinný údaj použitý k jednoznačné identifikaci vlastníka pro případ, že by jméno vlastníka (subject name) bylo použito k identifikaci jiné entity. Rozšíření - obsahuje nejčastěji různé dodatečné informace o předmětu certifikátu. Může se jednat například o jeho detailní jméno, poštovní adresu, fotografii či další upřesňující informace. Rozšíření může také obsahovat informace vztahující se k CA. Podpis - podpis všech ostatních položek certifikátu. Obsahuje hash ostatních položek, podepsaný soukromým klíčem CA a informace o algoritmu a parametrech použitých k jeho vytvoření. 37

38 Struktura certifikátu X.509v3 Rozšíření - obsahuje nejčastěji různé dodatečné informace o předmětu certifikátu. Může se jednat například o vlastníkovo detailní jméno, poštovní adresu, fotografii či další upřesňující informace. Rozšíření může také obsahovat informace vztahující se k CA. Identifikátor veřejného klíče CA, Identifikátor veřejného klíče subjektu, Použití klíče vyznačení účelu, ke kterému může být certifikovaný veřejný klíč použit, Certifikační politiky skupina dokumentů vydaných certifikační autoritou Základní omezení vyznačení toho, zda se jedná o certifikát CA nebo koncového uživatele (zamezí se tomu, aby se uživatel tvářil jako CA a vydával certifikáty), Distribuční místa odvolaných certifikátů, 38

39