8. Шлюзы оплаты госуслуг

В Австрии крупными банками совместно с государством разработана спецификация EPS2 specification (e-payment standard - Version 2), опубликованная в 2004 году. Эта спецификация является стандартом выполнения он-лайновых платежей за государственные услуги по разнообразным он-лайновым каналам банковской системы страны. Для оплаты могут использоваться кредитные карты, мобильные телефоны.

В Дании все граждане и юридические лица обязаны иметь специальный банковский счет “NemKonto Easy Account”. Система Easy Account System (EAS) основана на использовании информации о номерах счетов, номерах социального страхования или номерах регистрации юридического лица. Если какое-то ведомство выполняет перевод средств гражданину или в адрес юридического лица, то эти средства связываются с этими уникальными номерами. Далее платеж осуществляется через систему EAS и банк, обслуживающий ведомство, и, в конечном счете, деньги перечисляются на банковский счет гражданина или юридического лица.

Через специальный портал www.nemkonto.dkможно управлять информацией по счетам, редактировать профили пользователей, останавливать в случае необходимости платежи, просматривать историю платежей.

В Великобритании также реализован платежный шлюз на базе инфраструктуры правительственного шлюза.

4. Инфраструктура электронной идентификации и авторизации (eIdentification / eAuthentication)

Большинство стран реализуют проекты использования различных электронных идентификационных карт, используемых в отдельных областях взаимодействия государства с гражданами, бизнесом и собственно государственными служащими.

При этом ряд стран использует отдельные карты, такие как:

• электронные идентификационные карты;

• карты доступа к услугам здравоохранения.

В ряде стран реализуются проекты, связанные с электронными паспортами.

1. Электронные карты, идентификационные номера и инфраструктура сервисов электронных карт и эцп

В достаточно общем случае электронная идентификационная карта может содержать биометрические данные о гражданине и нести следующие цифровые сертификаты:

• компонентный сертификат, который используется для идентификации самой карты и позволяет устанавливать шифрованный канал коммуникаций между картой и драйверами;

• сертификат, используемый для аутентификации, который гарантирует однозначную идентификацию гражданина в процессе выполнения онлайновых транзакций;

• сертификат цифровой подписи, который используется в процессе постановки цифровой подписи на документах, что гарантирует их целостность и факт того, что он был подписан именно данным лицом.

Использование электронной идентификационной карты позволяет реализовать двухфакторный (двухшаговый) процесс верификации:

• сначала проверяются (аутентифицируются) идентификационные данные пользователя;

• затем для каждого шага в процессе выполнения электронной транзакции требуется простановка цифровой подписи, что гарантирует осознанное, явное подтверждение авторизации на выполнение действия.

При этом у пользователя карты имеется персональный код доступа, который аналогичен ПИН-коду платежных карт, используемых в банкоматах. Этот код доступа состоит из двух паролей: «публичный» пароль, который используется для аутентификации идентификационных данных гражданина (иными словами, выполняется проверка того, что гражданин является тем, за кого он себя выдает), и частный пароль, который используется исключительно для транзакций, где требуется электронная цифровая подпись.

Именно так реализована идентификационная карта гражданина в Испании, где использован чип ST19WL34 с 32 Кбайт памяти.

Независимые эксперты оценивают решение, реализованное в Испании, как одно из самых качественных и безопасных в мире.

С марта 2007 года по март 2009 года в Испании было выдано 9 млн. таких карт, и проект развивается достаточно успешно. При этом использование этой идентификационной карты позволяет гражданам получать услуги на всех трех уровнях: уровне центральных органов власти, региональном и муниципальном.

Для того, чтобы государственные организации смогли эффективно использовать выданные гражданам электронные идентификационные карты и технологии, а также ЭЦП при оказании государственных услуг, в зарубежных странах, как правило, реализуется специальная инфраструктура, централизованно обеспечивающая соответствующие сервисы авторизации и идентификации.

Основной задачей такой инфраструктуры является проверка состояния и валидности (правомочности) цифровых сертификатов, используемых гражданами и юридическими лицами в процессе получения электронных государственных услуг.

Сервисы, предоставляемые такой инфраструктурой, должны обеспечивать работу с цифровыми сертификатами, используемыми в идентификационной карте, такими как сертификат, используемый для аутентификации гражданина и сертификат, используемый для ЭЦП.

Централизованная реализация такой инфраструктуры дает большие преимущества, поскольку позволяет всем государственным информационным системам, задействованным в предоставлении электронных услуг, использовать возможности электронной аутентификации, авторизации и ЭЦП.

При этом основными пользователями сервисов такой инфраструктуры являются порталы государственных слуг всех уровней управления.

В Испании, например, такая инфраструктура получила название “multiPKI validation platform” (MPVP – @firma).

В Голландии реализована инфраструктура авторизации и делегирования прав Common Authorization and Representation Facility (CARF). Эта система дает возможность гражданам и юрлицам делегировать свои права по выполнению транзакций и получение государственных услуг от их имени.

В Германии реализован проект electronic Identity (eID) Card. Карта помимо традиционных функций (идентификация по фотографии, идентификационный документ и пр.) используется для взаимной идентификации через Интернет с целью выполнения транзакций, связанных с получением госуслуг. Пользователь может дополнительно с картой использовать персональный ПИН-код, что обеспечивает контроль над тем, кто и в какой степени имеет доступ к персональной информации.

Дополнительно карта может использоваться как инструмент для цифровой подписи документов, что обеспечивает их юридическую значимость.

Карта также может содержать биометрическую информацию (цифровой образ лица и отпечатков пальцев), хранимую на микрочипе, что позволяет ее использовать в качестве аналога паспорта, например при поездках, а также снижает риски подделки.

В Великобритании роль элемента инфраструктуры, обеспечивающей регистрацию и аутентификацию, выполняет Правительственный шлюз. В зависимости от типа транзакции для идентификация пользователя используется

• цифровой сертификат, выданный авторизованной организацией;

• идентификатор (User ID), выданный Шлюзом, и пароль (выбранный пользователем), если не требуется уровень безопасности, требующий использования цифрового сертификата.

С точки зрения электронной идентификации, в Великобритании реализуется проект Национальная Идентификационная Схема (National Identity Scheme), обеспечивающий основу инфраструктуры управления идентификационными данными. Ключевым элементом этого проекта является национальная идентификационная карта. Карта будет одновременно хранить биометрические данные, а также проверенные и заверенные данные, обеспечивающие идентификацию, так называемый «биометрический снимок». Эта информация и биометрические данные будут храниться в Национальном Регистре Идентификационных Данных (National Identity Register - NIR).

Базовая идентификационная информация будет хранится на чипе самой идентификационной карты.

Во Франции для получения определенных электронных государственных услуг требуется использование ЭЦП. Соответствующие цифровые сертификаты должны быть выданы авторизованными провайдерами сертификатов (Certification Service Providers - CSP).

Эти сертификаты должны соответствовать Общей Архитектуре Безопасности (General Security Framework). Используется три уровня безопасности для сертификатов: средняя, высокая и «квалифицированная». Только использование «квалифицированных» сертификатов позволяет получать все 100% государственных услуг.

Цифровые сертификаты для юридических лиц выдаются на конкретные физические лица, но могут быть использованы исключительно для транзакций, выполняемых от имени юрлица.

Франция также реализует проект электронной идентификационной карты (INES - Secure Electronic National Identity). Карта будет использовать чип, на котором должны храниться:

• вся идентификационная информация о держателе;

• два биометрических идентификатора (лицо и отпечатки пальцев);

• сертификат электронной подписи для выполнения транзакций электронного правительства и электронного бизнеса.

Персональная информация, содержащаяся на картах, будет храниться в новой централизованной базе данных, в то время как биометрическая информация будет храниться отдельно и анонимно. Доступ к базе данных с биометрической информацией будет возможен только в рамках специальной юридической процедуры. Предполагается, что граждане должны оплачивать получение этой карты, и это обязательная процедура.

В Италии национальная идентификационная карта eID содержит микрочип, оптическую память и зону хранения электронных данных в соответствии со стандартами ICAO (Международной организации авиаперевозчиков), поскольку карта также используется как документ, предъявляемый при проезде.

Карта содержит набор персональных данных, включая цифровой код изображения лица, группу крови, сканы отпечатков пальцев. Персональные данные, биометрические ключи и сертификат цифровой подписи хранятся только на карте. В соответствии с законом такие данные не могут храниться централизованно в какой-то базе данных и могут быть раскрыты только по явному согласию владельца карты, что подтверждается вводом ПИН-кода.

Цифровая свертка отпечатков пальцев хранится как в микрочипе, так и в оптической памяти, но по ней нельзя восстановить образ самих отпечатков пальцев.

Предполагается, что карта используется в рамках взаимодействия граждан с государством, граждан с бизнесом и при транзакциях между гражданами.

В Италии также реализован проект Национальной Сервисной Карты (National Services Card CNS), который еще до широкого распространения национальной идентификационной карты позволяет выполнять онлайновые транзакции.

Это смарт-карта с микропроцессором, аналогичная eID, но она не может использоваться для физической идентификации личности. Тем не менее, она является инструментом аутентификации, содержит сертификат ЭЦП, позволяет юридически значимо подписывать электронные документы.

Услуги, доступные при использовании CNS-карты, перечислены в отдельной зоне портала госуслуг.

В Голландии также создана национальная ИТ-инфраструктура цифровой идентификации DigiD, которая обеспечивает сервисы электронной аутентификации для всех госорганизаций. DigiD выделяет три уровня идентификации:

• базовый (имя пользователя и пароль);

• средний (имя пользователя, пароль и SMS-аутнтификация);

• высокий eNIK (цифровой сертификат PKI на карте).

В Голландии используются свои уникальные номера для граждан и бизнеса.

• социальный номер гражданина (Citizen Service Number - CSN);

• номер Торговой палаты для юридических лиц (Chamber of Commerce number - CCN).

CSN является уникальным номером и выдается каждому гражданину, что обеспечивает эффективность предоставления государственных услуг. Использование такого уникального номера является ключевым элементом повышения качества предоставляемых услуг, снижения издержек в многократном сборе одной и той же информации от гражданина. Специальная версия CSN используется для нерезидентов, которые работают в Голландии.

Целью введения Номера Торговой палаты (Chamber of Commerce number - CCN) является использование уникального номера для всех юридических лиц. Однако в ряде случаев используются и другие номера, такие как номер, выдаваемый Администрацией по налогам и таможне.

Несколько иным путем шла Австрия. В Австрии Карта Гражданина (Citizen Card) является одним из важнейших компонентов стратегии электронного правительства. Эта стратегия подразумевает использование ЭЦП и электронных сертификатов для доступа к услугам.

Изначально эта концепция предполагала возможность использования сразу целого набора различных карт. В принципе, любая карта, технология реализации которой позволяет использовать ЭЦП и хранить персональные данные, может использоваться в качестве Карты Гражданина. Это могут быть членские карты, выданные, например, Торговой палатой, и даже некоторые банковские карты. В дополнение концепция Карты Гражданина распространена на использование мобильных телефонов, посредством которых также можно ставить ЭЦП на документы и безопасно выполнять транзакции с госорганами.

В итоге, Карта Гражданина не основана на какой-то одной технологии, и у граждан имеется право выбора технологии, которые они используют для своей идентификации. Тем не менее, ко всем возможным технологическим решениям применяются единые требования безопасности (электронная подпись, идентификация, память для данных).

В соответствии с австрийским законодательством начиная с 2008 года все электронные карты, используемые для госуслуг, должны поддерживать возможность использования квалифицированной цифровой подписи.