Регламент застосування електронного підпису та криптографічного захисту

Цей Регламент визначає порядок використання електронних підписів, технологічну архітектуру криптографічного захисту та правові підстави визнання електронних документів з охорони праці та безпеки праці юридично значущими в платформі Bezpeco (Товариство з обмеженою відповідальністю «Охорона праці діджитал»).

1. Законодавча основа

Застосування електронних документів та підписів у Bezpeco ґрунтується на такій нормативно-правовій базі України:

1. Закон України «Про електронну ідентифікацію та електронні довірчі послуги» № 2155-VIII (ст. 18): кваліфікований електронний підпис (КЕП) має презумпцію відповідності власноручному підпису та має таку ж юридичну силу.
2. Закон України «Про електронні документи та електронний документообіг» № 851-IV (ст. 5–8): юридична сила електронного документа не може бути заперечена виключно через те, що він має електронну форму.
3. Закон України «Про організацію трудових відносин в умовах воєнного стану» № 2136-IX (ст. 7 ч. 2): роботодавець і працівник можуть домовитися про ведення документообігу з питань трудових відносин та охорони праці в електронній формі.
4. Порядок впровадження електронного документообігу у сфері трудових відносин, затверджений наказом Міністерства економіки України від 28.10.2021 № 839-21: визначає право роботодавця видати наказ про впровадження ЕДО та вести документацію в електронній формі.
5. НПАОП 0.00-4.12-05 («Типове положення про порядок проведення навчання і перевірки знань з питань охорони праці»): проведення інструктажів регламентується локальним наказом роботодавця.

2. Криптографічний модуль UAPKI та державна експертиза

Для забезпечення юридичної сили, накладання та перевірки кваліфікованих електронних підписів (КЕП) у платформі Bezpeco використовується сертифікована бібліотека UAPKI:

• Експертний висновок ДССЗЗІ: бібліотека UAPKI успішно пройшла державну експертизу в галузі криптографічного захисту інформації (КЗІ) та отримала чинний Експертний висновок Державної служби спеціального зв'язку та захисту інформації України № 04/05/02-2096 від 21.07.2021 року.
• Підтвердження в реєстрі: Засіб зафіксовано в офіційному Переліку засобів КЗІ на порталі Держспецзв'язку (cip.gov.ua).
• Підтримувані стандарти: ДСТУ 4145-2002, ДСТУ ГОСТ 34.311:2014, ГОСТ 28147:2009, RSA, ECDSA.
• Формати підписів: CAdES-BES, CAdES-T, CAdES-C, CAdES-X Long, XAdES, PAdES.
• Ліцензійна чистота: Бібліотека розповсюджується на умовах ліцензії BSD 2-Clause License (створена за участю АТ КБ «ПриватБанк» та SpecInfo), що дозволяє її законне комерційне використання без ліцензійних платежів авторам.

3. Модель безпеки Zero-Knowledge (WASM у браузері)

Платформа Bezpeco використовує передову архітектуру збереження конфіденційності особистих ключів:

1. Ключі не передаються на сервер: При зчитуванні файлового носія (JKS, PKCS#12, PFX, DAT) або апаратного токена бібліотека UAPKI виконується локально у веб-браузері користувача за технологією WebAssembly (WASM).
2. Пароль не залишає пристрій: Пароль до закритого ключа обробляється у пісочниці браузера і в жодному разі не надсилається мережею.
3. Хешування та підпис: Документ або його геш підписується на комп'ютері чи смартфоні підписувача, після чого на сервер Bezpeco передається лише сформований криптографічний підпис (CAdES).
4. Дія.Підпис: Підписання через мобільний застосунок Дія здійснюється безпосередньо через державний сервіс ДП «Дія» відповідно до регламенту електронних довірчих послуг.

4. Обов'язкові внутрішні акти для підприємств-клієнтів

Щоб електронні журнали інструктажів, наряди-допуски та протоколи мали беззаперечну юридичну силу під час планових і позапланових перевірок Державної служби України з питань праці (Держпраці), кожне підприємство-клієнт повинно прийняти три внутрішні документи:

1. Наказ про впровадження електронного документообігу з охорони праці (із визначенням платформи Bezpeco як інформаційної системи та UAPKI як засобу КЕП).
2. Перелік документів з охорони праці, ведення яких здійснюється в електронній формі (Додаток 1 до наказу: журнали інструктажів, протоколи, наряди-допуски).
3. Порядок створення, підписання, зберігання та оброблення електронних документів (Додаток 2 до наказу).

Bezpeco надає автоматично сформований пакет цих документів з реквізитами підприємства в особистому кабінеті.

5. Офіційні документи для завантаження

Клієнти, їхні юридичні служби та аудитори можуть безпосередньо ознайомитися з підтверджуючими документами:

• Офіційний витяг та довідка про Експертний висновок ДССЗЗІ № 04/05/02-2096 (HTML/PDF)
• Текст відкритої ліцензії BSD 2-Clause для бібліотеки UAPKI (TXT)
• Типовий наказ про впровадження ЕДО з ОП для підприємства (Зразок для Держпраці)
• Офіційний репозиторій бібліотеки UAPKI на GitHub
• Перелік засобів КЗІ на сайті Держспецзв'язку України