Elektronikus aláírás bevezetése céges szinten – mire figyeljünk?

Az elektronikus aláírás bevezetése ma már nem csupán egy IT-projekt, hanem stratégiai döntés a vállalatok számára. A digitalizáció, a költségcsökkentés és a jogszabályi megfelelés egyaránt indokolttá teszi az digitális aláírási technológia használatát.

Az alkalmazás döntésének hátterében állhat:

• belső motiváció (költségcsökkentés, hatékonyságnövelés),

• külső kényszer (pl. közbeszerzés, nemzetközi szerződések, jogszabályi előírás).

  
  

Ebben a cikkben áttekintjük azokat a kulcskérdéseket, amelyeket minden vállalatnak érdemes át gondolnia a digitális aláírás bevezetése előtt.

Miért kritikus a megfelelő tervezés?

Az elektronikus aláírások sikeres bevezetésének alapja a pontos előkészítés. Nem mindegy ugyanis:

• mit írunk alá (dokumentumtípus),

• milyen mennyiségben,

• ki ír alá (személy vagy szervezet),

• milyen joghatás szükséges (csak Magyarország vagy EU),

• mennyi ideig kell megőrizni az aláírt dokumentumokat.

1. Milyen dokumentumokat kell aláírni?

Az egyik legfontosabb kérdés az aláírandó dokumentum formátuma és struktúrája.

Tipikus formátumok:

• PDF

• XML

• DOCX / XLSX

• JSON (számítógépes rendszerek közötti kommunikáció esetén)

  
  

Aláírási technológiák:

• PAdES – PDF dokumentumokhoz

  → az aláírás közvetlenül a fájlba épül

  
  

• XAdES / CAdES (ASiC konténerben) – egyéb fájltípusokhoz

  → több dokumentum és csatolmány együtt kezelhető

  
  

• JAdES – JSON alapú struktúrákhoz

  → tipikusan számítógépes rendszerek közötti kommunikáció esetén

  
  

A választott dokumentum formátum közvetlenül meghatározza az alkalmazható aláírási technológiát, amit az aláíró programnak biztosítania kell.

2. Ki ír alá?

Az aláíró személye alapvetően meghatározza a megoldást.

Személy alapú aláírás

• ügyvezetők

• pénzügyi vezetők

• egyéb jogosult munkatársak (pl. osztályvezetők)

  
  

Ebben az esetben elektronikus aláírásról beszélünk.

Szervezeti szintű hitelesítés

• mikor nem személy hanem a szervezet ír alá

• jellemző alkalmazási terület: számlák, pénzügyi bizonylatok aláírása

  
  

Ebben az esetben elektronikus bélyegző alkalmazása szükséges.

Az aláírói tanúsítványt ennek függvényében kell kiválasztani.

3. Nagy az aláírási volumen?

Ha nagy mennyiségű dokumentumot kell aláírni (pl. napi több tucat, száz, vagy akár ezer), akkor célszerű szerveroldali aláírási megoldást választani:

• ilyenkor nem személy indítja az aláírási folyamatot, hanem egy gép a megfelelő beállítások után

• az aláírás automatizálható, azaz minimális emberi beavatkozás mellett történik a dokumentum hitelesítés

• az aláírás paraméterezhető és időzíthető, pl. éjszaka történjen az aznapi nagy mennyiségű dokumentum hitelesítése, így optimalizálva a hardver eszközök kihasználását

  
  

Ilyen esetekre dedikált vállalati megoldás szükséges (pl. TEA 🔗).

Fő funkciók, amiket egy aláíró szoftvernek biztosítania kell:

1.    aláírás létrehozása

2.    aláírás ellenőrzése

3.    aláírás hosszú távú formátumra történő kiegészítése, a digitális archiválásra alkalmassá tétele

A Polysys összes szoftvere biztosítja ezeket a funkciókat, böngésszen a megoldásaink között.

4. Szükséges tömeges dokumentum aláírás?

Bizonyos üzleti folyamatoknál egyszerre több dokumentum aláírása szükséges:

• kimenő / bejövő számlák

• igazolások, nyilatkozatok

• M30-as formanyomtatvány

  
  

A szoftvereinkben a tömeges dokumentum aláírásnál aláírási sablon felvételével előre beállítható és rögzíthető az aláírás vizuális elhelyezése a dokumentum szabadon választott pontján.

5. Integrálni kell az elektronikus aláírást a vállalati rendszerekhez?

Ez kulcskérdés az architektúra szempontjából.

Integráció lehetséges, például:

• ERP rendszerekhez

• dokumentumkezelő rendszerekhez

  
  

API-alapú, szerveroldali megoldás szükséges (lásd TEA 🔗, SSA 🔗)

Amikor nem szükséges az integráció:

• olyan program kell, ami önmagában is megállja a helyét, könnyen telepíthető

  
  

Kliensoldali alkalmazás is elegendő (lásd polySigno 🔗)

6. Dokumentumok hosszú távú megőrzésének és joghatásának biztosítása mennyi ideig szükséges?

Az elektronikus aláírás egyik kritikus kérdése a hosszú távú érvényességének (LTV) biztosítása.

Megőrzési idő szerinti kategóriák:

• nagyon hosszú távú (>10 év)

• hosszú távú (1–10 év)

• közepes távú (1 nap – 1 év)

• rövid távú (tranzakciós)

  
  

A hosszú távú érvényesség biztosításához szükséges:

• időbélyegzés

• visszavonási információk (OCSP/CRL) beágyazása

  
  

Ezeket az aláíró szoftvernek mind kezelnie és biztosítania kell.

7. Mely országban használják az aláírt dokumentumokat?

A joghatás szempontjából nem mindegy a felhasználási környezet:

• nemzeti (pl. Magyarország)

• EU-n belüli (eIDAS)

• globális

  
  

Fő kategóriák:

• Minősített elektronikus aláírás (QES)

  → az EU-ban a kézi aláírással egyenértékű

  (lásd: eIDAS rendelet 25. cikk (2))

  
  

• Fokozott biztonságú elektronikus aláírás (AdES)

  → széles körben elfogadott, de nem automatikusan egyenértékű a kézi aláírással, az írásba foglalásnak felel meg

  
  

• Egyszerű elektronikus aláírás (SES)

  → alacsonyabb bizonyító erő

  
  

A megfelelő szint kiválasztása mindig az adott üzleti és jogi kontextustól függ és befolyásolja a választott aláíró tanúsítványt.

Összefoglalás

A digitális aláírás bevezetése vállalati környezetben összetett döntés, amely technológiai, jogi és üzleti szempontokat is egyaránt érint.

A siker kulcsa:

• a dokumentumtípusok pontos feltérképezése

• az aláírók körének meghatározása

• a volumen és automatizálás kezelése

• a hosszú távú érvényesség biztosítása

• a megfelelő jogi szint kiválasztása

  
  

A megfelelően megtervezett elektronikus aláíró infrastruktúra nemcsak jelentős hatékonyságnövekedést és költségcsökkentést is eredményez egy vállalatnál, hanem biztosítja a jogszabályoknak megfelelő dokumentum hitelesítést és arhiválást is.