Wprowadzenie podpisu elektronicznego

do naszej rzeczywistości wzbudza wiele emocji a opinie na ten temat wahają się od skrajnie optymistycznych do skrajnie pesymistycznych. Każda nowa technologia wymaga stworzenia odpowiednich warunków a na pewno usunięcia barier, wymaga czasu i spokojnego, systematycznego i profesjonalnego podejścia.

 e-biznes a e-podpis

Na pewno nie wszystko jest tak jakby życzyli sobie entuzjaści ale nie można dawać też posłuchu tym, którzy roztaczają czarne wizje. W niniejszym  artykule podjęto próbę rozważnego uporządkowania niektórych istotnych kwestii związane z tym tematem.

Bariery stojące na drodze rozwoju e-podpisu.

 
Obecne regulacje prawne stanowią bariery dla całego e-biznesu a dla e-podpisu w szczególności Barierami tymi są bądź to wyraźne zakazy, bądź nakazy dostarczenia lub posiadania dokumentu papierowego sygnowanego podpisem odręcznym, bądź konieczność posługiwania się drukiem, pobranym lub zakupionym w urzędzie.

Typowym przykładem zakazu jest zapis dokonany w ROZPORZĄDZENIU PREZESA RADY MINISTRÓW z dnia 22 grudnia 1999 r. w sprawie instrukcji kancelaryjnej dla organów gmin i związków międzygminnych gdzie w paragrafie 54.1 punkt 5. można przeczytać: „Korzystanie z dostępu do światowych sieci informatycznych (typu Internet) jest możliwe wyłącznie w wydzielonych i nie podłączonych do wewnętrznej sieci informatycznej urzędu stanowiskach komputerowych” Jest to jednoznacznie traktowane przez pracowników urzędu jako zakaz używania internetu w bezpośrednich kontaktach z obywatelem, trudno byłoby to zresztą inaczej interpretować,

Bardzo poważną barierą stanowiącą przykład nakazu dostarczenia lub posiadania dokumentu papierowego sygnowanego podpisem odręcznym jest to, że faktura musi być w postaci papierowej aby urząd podatkowy uznał ją jako dowód przeprowadzonej transakcji, choć ta interpretacja w świetle przepisów wydaje się bezpodstawna. Zmiana niekorzystnej interpretacji przepisów w tej sprawie mogłaby bardzo wydatnie przyczynić się do rozszerzenia zastosowania podpisu elektronicznego, zwłaszcza, że podpis na fakturze jest niezbędny, ilość faktur to niebotyczna liczba i istnieje bardzo wielu zwolenników elektronicznej postaci faktury. Niestety w chwili obecnej gdy istnieje konieczność sporządzenia jednego egzemplarza papierowego podpisanego przez wystawcę i odbiorcę, nie ma sensu jednocześnie stosować dokumentu elektronicznego.

Przykładem konieczności posługiwania się drukiem, który należy pobrać lub zakupić w odpowiednim urzędzie jest. wniosek o paszport – w internecie jest jego wzór ale nie da się go wypełnić, nie można go sobie tez oddrukować, trzeba pobrać go w urzędzie.

Takich przepisów, lub niekorzystnych interpretacji przepisów jest wiele, a dzieje się tak dlatego, że w poprzednim okresie – gdy te przepisy były tworzone – nie było alternatywy dla dokumentu papierowego. Nie podjęto też próby znowelizowania tych przepisów aby je dostosować do nowych warunków. Wprawdzie ustawa o podpisie elektronicznym w Art. 5. Ust 2. stwierdza: „Dane w postaci elektronicznej opatrzone bezpiecznym podpisem elektronicznym weryfikowanym przy pomocy ważnego kwalifikowanego certyfikatu są równoważne pod względem skutków prawnych dokumentom opatrzonym podpisami własnoręcznymi..”  i wydawałoby się, że sprawa jest jasna, niestety ustawodawca dopisał do tego .”.chyba, że przepisy odrębne stanowią inaczej. I to jest wytrych, który pozwala w każdym przypadku interpretować, że nie dotyczy to regulacji związanych z działalnością określonej instytucji bo ich konkretna regulacja mówi tylko o dokumencie papierowym. Dopóki więc w tym konkretnym ustawodawstwie nie zrówna się dokumentu papierowego sygnowanego podpisem odręcznym z dokumentem elektronicznym sygnowanym podpisem elektronicznym, lub gdy nie zostanie obwieszczone wszem i wobec czarno na białym, że tylko wtedy nie następuje zrównanie tych dokumentów jeśli wyraźnie w tych przepisach odrębnych  mówi się, że nie obejmuje ten przepis dokumentu elektronicznego, nie ma co liczyć na znaczny postęp w tej dziedzinie.

Zmiana nastawienia i interpretacji różnych przepisów to droga przez mękę dla zwolenników stosowania elektronicznej wymiany informacji i twórców oprogramowania wspomagającego ten proces.
Brak szerokiego dostępu do sieci publicznych i standardów wymiany informacji

Rozpowszechnienie podpisu elektronicznego jest oczywiście ściśle powiązane z skalą wykorzystania elektronicznej wymiany informacji. Podpis elektroniczny i usługi kryptograficzne– nawet w krajach o bardzo ułatwionym i powszechnym dostępie do sieci publicznych - są stosowane tylko do zabezpieczania niewielkiego procentu wymienianych informacji. Obecnie u nas dostęp do sieci publicznych trudno nazwać powszechnym (daleko nam do wielu krajów nawet tych wspólnie wstępujących do UE), mimo istnienia w miarę tanich rozwiązań technicznych umożliwiających rozszerzenie takiego dostępu (np. kioski informatyczne, kawiarenki – z stanowiskami odpowiednio zabezpieczonymi). Należałoby być może do czasu upowszechnienia dostępu,  określić, również reguły korzystania z stanowisk instytucjonalnych do celów prywatnych. Obecnie jest to praktyka - choć prawnie zabroniona - powszechnie stosowana.

W chwili obecnej każda instytucja czy urząd tworzą swoje własne systemy (np. system elektronicznej obsługi kancelarii w urzędach gminy i miasta jest indywidualnie tworzony -lub nie- przez każdy z tych urzędów). W ramach tworzenia indywidualnych systemów opracowywane są unikalne formaty dokumentów, komunikatów, wiadomości itp. Gdy zachodzi konieczność wymiany informacji pomiędzy instytucjami trzeba z kolei dokonywać konwersji, która oczywiście pociąga za sobą koszty i czas. Wskazanym byłoby wprowadzenie standaryzacji w tym zakresie. Pracami w tym zakresie zajmuje się parę instytutów a w szczególności w sektorze publicznym do ujednolicenia stosowanych formatów uprawnione jest Ministerstwa Nauki i Informatyzacji. Niestety brak koordynacji tych działań i właściwego upowszechnienia rezultatów ich pracy. Oczywiście nie należy propagować wydania zakazów podejmowania indywidualnych inicjatyw i czekania na jedynie słuszne rozwiązania. Raczej należy propagować opracowane standardy, które jeśli będą dobre na pewno zostaną zastosowane. Po uzyskaniu pewnego stopnia rozpowszechnienia standardu zaczyna bowiem działać przymus ekonomiczny, gdyż ten kto nie stosuje go ponosi większe nakłady.

Rozwój nowej technologii wymaga czasu.

Podpis elektroniczny a właściwie zespół usług związanych z kryptografią klucza publicznego

... to zupełnie nowa technologia, wymagająca stworzenia infrastruktury, rozpowszechnienia wiedzy o możliwościach jej zastosowania w śród decydentów i kadry zarówno sfery publicznej jak i komercyjnej, zaadoptowania jej w systemach informatycznych poprzez modyfikację oprogramowania i sprzętu i wreszcie dotarcie z tymi nowymi metodami do końcowego użytkownika.
Jak wiadomo z praktyki tworząca się infrastruktura klucza publicznego była w stanie zaoferować kwalifikowane usługi certyfikacyjne na początku 2003 i w porównaniu do zaawansowanych technologicznie krajów można powiedzieć, że było to raczej tempo rekordowe i nie ma się czego wstydzić a na pewno już nie jest to powód do niepokoju i roztaczania czarnych wizji.

Jednocześnie Centra Certyfikacji

...podjęły ogromny wysiłek aby podnieść poziom wiedzy o możliwościach zastosowania tej nowej technologii. Polska Wytwórnia Papierów Wartościowych zaangażowała poważne środki na realizację pilota e-podatki w Urzędzie Skarbowym w Krakowie. Wielu instytucjom przekazano nieodpłatnie zestawy do składania i weryfikacji podpisu cyfrowego aby mogły przetestować te nowe możliwości w swoich środowiskach. Trudno zliczyć ilość konferencji seminariów, szkoleń, spotkań w większym i mniejszym gronie, ilość publikacji, materiałów popularyzujących, i informacyjnych, reklam i audycji w mediach realizowanych przy zasadniczym udziale i sponsoringu tych nowych podmiotów gospodarczych, borykających się przecież ze wszystkimi problemami jakie dotyczą firm rozpoczynających działalność. Również na niektórych uczelniach wzbogacono programy szkolenia – zwłaszcza na studiach podyplomowych - o elementy kryptografii i usługi zaufanej trzeciej strony. Tak, więc każdy, kto chciał miał i ma do wyboru wiele możliwości rozszerzenia wiedzy o tej nowej technice i to prawie darmo. Wydaje się, że w ciągu krótkiego okresu osiągnięto w tym zakresie wiele i niezbędna masa krytyczna w tym zakresie została osiągnięta a może i przekroczona. Bowiem tak wielu obecnie zabiera na ten temat autorytatywnie głos, że często prawdziwi specjaliści z tej dziedziny nie są w stanie przebić się z swoimi opiniami a na pewno ich opinie giną pośród opinii nowoupieczonych „specjalistów”. Odnosi się wrażenie, że bardzo wiele osób jest przekonanych, że zna przyczyny „klęski tej nowej technologii” i zna remedium na uzdrowienie sprawy. Jest to też typowe zjawisko związane z pojawieniem się nowości i jako takie można również uznać je za potwierdzenie, że wszystko idzie we właściwym kierunku.

Podpis elektroniczny wymaga aplikacji,

które będą w stanie go wykorzystać, czyli złożyć i zweryfikować. Wprawdzie standardowe aplikacje obsługujące pocztę elektroniczną dosyć szybko zaoferowały możliwości wykorzystania podpisu cyfrowego i usług kryptograficznych ale do pełnego wykorzystania we wszystkich powszechnie stosowanych systemach operacyjnych i aplikacjach jeszcze trochę brakuje. Natomiast wprowadzenie zmian do aplikacji wspierających działalność instytucjonalną czy biznesową droga jeszcze bardzo daleka. Niektóre systemy były tworzone przez autorów, którzy już są na emeryturze albo pracują w innych instytucjach, wprowadzenie zmian w tych systemach będzie raczej niemożliwe, będą one wymagały stosowania specjalnych nakładek zwykle kosztownych i mało efektywnych. Również niektóre nowsze aplikacje będą wymagały pewnych zmian, jeśli będzie sens ich wprowadzenia z uwagi na istniejące bariery legislacyjne lub niekorzystną interpretację regulacji.

W pierwszym okresie burzliwego rozwoju elektronicznej wymiany informacji technologia stosowania podpisu elektronicznego nie była jeszcze wystarczająco rozwinięta i powstające wtedy systemy zastosowały półśrodki zastępujące podpis elektroniczny (tokeny, listy haseł, hasła jednokrotnego użycia itp.). Instytucje, które zastosowały te środki ochrony poniosły pewne koszty a inwestycje te z uwagi na krótki okres czasu jeszcze się nie zwróciły. Tak naprawdę środki te nie mogą zastąpić jakiegokolwiek podpisu ani odręcznego ani elektronicznego, stanowią jedynie lepiej lub gorzej zaimplementowaną kontrolę dostępu i/ lub uwierzytelnienia stron uczestniczących w transakcji. Przeprowadzenie dowodu uczestnictwa strony w transakcji elektronicznej na podstawie tych środków byłoby bardzo trudne. Powstała sytuacja w której zaakceptowano realizację transakcji bez potwierdzenia podpisem woli jej przeprowadzenia, co w klasycznych transakcjach byłoby nie do pomyślenia. Te same transakcje, które kiedyś realizowane były przy okienku i potwierdzane podpisem składanym -koniecznie w obecności urzędnika - teraz są prowadzone przez internet a jedynym dowodem potwierdzającym udział w tej transakcji jest użycie hasła przyporządkowanego temu uczestnikowi. Niewątpliwie ilość trudnych do rozstrzygnięcia problemów związanych z tego typu transakcjami, wpłynie na zastąpienie tych półśrodków podpisem elektronicznym i szeregiem usług związanych z kryptografią klucza publicznego. Zjawisko to obserwowane jest w Wielkiej Brytanii i Francji, gdzie instytucje finansowe zdopingowane lawinowo rosnącymi przestępstwami związanymi z transakcjami elektronicznymi zastosowały zabezpieczenia kryptografii klucza publicznego. Po zastosowaniu infrastruktury klucza publicznego znacznie zmalała ilość tych przestępstw. W chwili obecnej zabezpieczenia te stanowią środki w sposób kompleksowy zapewniający poufność, integralność uwierzytelnienie i niezaprzeczalność. Wydaje się, że uzupełnienie tej technologii  przez metody biometryczne, podnoszące poziom ochrony dostępu (np. do klucza prywatnego) powinno na dłuższy czas ustanowić standard ochrony informacji przekazywanych drogą elektroniczną i transakcji realizowanych tą drogą. Przypuszcza się, że przestępcy nie będą z uporem maniaka próbować łamać tych zabezpieczeń, lecz przeniosą swą działalność na obszary jeszcze nie objęte tymi zabezpieczeniami.

W początkowym okresie rozwoju elektronicznej wymiany informacji nie obowiązywała jeszcze ustawa o podpisie elektronicznym, która zrównała podpis odręczny z bezpiecznym podpisem elektronicznym. Nie było więc również zachęty prawnej do stosowania tego rozwiązania. Ustawa, która budzi zresztą wiele kontrowersji a na pewno w wielu aspektach nie ułatwia życia ani użytkownikom ani centrom certyfikacji, zarządzającymi certyfikatami i oferującymi inne usługi zaufanej trzeciej strony, na pewno musi zostać zmodyfikowana. Ostatnio opublikowany został raport omawiający kwestie prawne i rynkowe podpisu elektronicznego wykonany na zlecenie UE przez grupę osób z Uniwersytetu Leuven pod kierownictwem profesora Jos Dumortier. Raport ten oprócz tego, że ogólnie traktuje to zagadnienia to również określa zastosowanie podpisu elektronicznego w poszczególnych, krajach. Polska w tym raporcie nie wypada źle – choć aby to stwierdzić obiektywnie trzeba by przeprowadzić dogłębną analizę – lecz w paru pozycjach wykazana jest niezgodność z dyrektywą UE. Te zapisy koniecznie trzeba poprawić aby nie mogły one stać się argumentem w grze rynkowej, niezależnie od tego jak do tych zapisów przywiązani są ich autorzy, zwłaszcza, że to nie oni muszą zmagać się z trudnościami rynkowymi i udowadniać, że na pewno są zaufaną trzecią stroną. Po prostu ustawa ma nie utrudniać wprowadzenia podpisu elektronicznego oraz powinna zrównywać pozycję rynkową polskich podmiotów z podmiotami zagranicznymi.

Rozwój nowej technologii wymaga stworzenia warunków sprzyjających jej rozwojowi

Usunięcie barier jest warunkiem koniecznym acz nie wystarczającym dla rozpowszechnienia nowych technologii. Nawet jeśli będzie możliwość skorzystania z udogodnień elektronicznej wymiany informacji, skorzysta z niej na początku tylko awangarda (mimo, że realizację płatności można od dziesiątek lat realizować automatycznie i tanio przy pomocy rachunku bankowego, przed okienkami operatorów telekomunikacyjnych, Zakładów Energetycznych, poczty, spółdzielni mieszkaniowych, itd. w określonych dniach miesiąca tworzą się kolejki osób realizujących te płatności bezpośrednio, często ponosząc większe koszty niż wynosi prowizja bankowa).

Aby rozpowszechnienie stało się powszechniejsze należy stworzyć system zachęt. Dobrym przykładem może być Estonia, gdzie każdy obywatel w ramach wymiany dowodu osobistego na nowy (wydawany jest na karcie elektronicznej) uzyskuje kwalifikowany certyfikat cyfrowy. Ponadto stworzono ogólnie dostępny portal, przy pomocy którego każdy obywatel może kontaktować się z każdym urzędem i wieloma instytucjami. Portal spełnia wiele funkcji w tym edukacyjne i informacyjne ale najważniejsze, że pośredniczy pomiędzy obywatelem i urzędem podobnie jak w konwencjonalnych rozwiązaniach czyni to poczta. A więc obywatel nie tylko może np. pobrać i/lub wypełnić określony dokument oraz go wysłać pod odpowiedni adres ale uzyskuje również potwierdzenie dokonania tej operacji.
Trzeba sobie zdawać sprawę z tego, że nawet gdy instytucje/urzędy będą gotowe do przyjmowania dokumentów elektronicznych to najprawdopodobniej pozostanie problem dowodu nadania / dostarczenia dokumentu i dowodu że operacja została wykonana w określonym czasie. Czy będzie to potrafił każdy urząd i każda instytucja?

Pożądanym byłoby również aby stworzono przyjazne warunki dla producentów oprogramowania, sprzętu, podręczników, wspierających tą nową technologię i  zgodnych z standardami a jednocześnie przyjaznych dla użytkowników.
Czy w sytuacji, gdy o każdą złotówkę z budżetu toczy się bezpardonowa walka w sejmie senacie na drogach i torach, można liczyć na stworzenie jakiegoś systemu zachęt? A tak wiele powiedziano na temat e-Polski, szermując tym tematem nawet w kampanii wyborczej.
Spieszmy się ale nie panikujmy
Porównując się z krajami, które miały możliwość wcześniejszego i łatwiejszego startu do podpisu elektronicznego w świetle powyższych argumentów i aktualnych danych można powiedzieć, że na pewno nie jesteśmy opóźnieni w tym zakresie a raczej należałoby sobie życzyć aby w pozostałych dziedzinach, życia gospodarczego a zwłaszcza w sferze legislacyjnej sytuacja wyglądała podobnie. Wprawdzie niektórzy starzy członkowie UE mają więcej wydanych certyfikatów kwalifikowanych ale nie jest to liczba zwalająca z nóg, gdyż zawiera się w granicach od kilku do kilkudziesięciu tysięcy. Można natomiast wymienić wielu obecnych członków, których osiągnięcia w dziedzinie wdrażania podpisu elektronicznego wcale nie są większe.

Oczywiście nie powinno to być powodem do spoczywania na laurach i wpadania w samozachwyt, bo jest bardzo wiele do zrobienia a zwłaszcza do momentu wejścia do UE aby nie znaleźć się na straconej pozycji wobec agresywnych podmiotów unijnych świadczących usługi certyfikacyjne. Na pewno należy poprawić ustawodawstwo w tym ustawę o podpisie elektronicznym, jeśli nie da się stworzyć systemu zachęt to przynajmniej stworzyć sprzyjającą atmosferę dla stosowania podpisu elektronicznego, chociażby na zasadzie, że „tam gdzie nie jest wyraźnie zabroniony jest dozwolony”,  utrwalić pozycję rynkową istniejących podmiotów krajowych, rozszerzyć zastosowanie podpisu elektronicznego. Wskazanym byłoby przyspieszenie działań w tej dziedzinie w sferze publicznej, która jest ustawą zobowiązana do wdrożenia podpisu elektronicznego ale niestety dopiero od sierpnia 2006, czyli w ponad rok od wejścia do UE. Jest to sytuacja niekorzystna, gdyż nie tylko, że sfera ta nie będzie do końca zdolna do współpracy w tym zakresie z odpowiednikami unijnymi ale również dlatego, że od maja podmioty unijne mające znacznie większą siłę przebicia mogą wyeliminować polskie podmioty z tego rynku.

Wiele do zrobienia mają Centra Certyfikacji, które muszą stać się w całej rozciągłości zaufanymi trzecimi stronami, nie tylko przez przedstawienie oferty szerokiej gamy usług ale ciągłego podnoszenia poziomu zaufania do tych usług.

Franciszek Wołowski
Kierownik "Sigillum" Polskiego Centrum Certyfikacji Elektronicznej
Polska Wytwórnia Papierów Wartościowych

* Autor i Redakcja: artykuł został napisany ok. 15 miesięcy temu.

Zapraszamy na relację z CZATA z Franciszkiem Wołowskim - zapisaną na naszym FORUM, tam najnowsze informacje o podpisie w przystępnej, potoczystej formie... - wprowadzono już pewne usprawnienia i ułatwienia w korzystaniu z podpisu elektronicznego!
---