Usluge povjerenja
Usluge povjerenja temelj su elektroničke komunikacije u privatnom i poslovnom okruženju. Uredba eIdas (EU) br. 910/2014 Europskog parlamenta i vijeća od 23. srpnja 2014. (u daljnjem tekstu: Uredba eIDAS) dala je pravni okvir za elektronički potpis, elektronički pečat, elektronički vremenski žig, primjenu elektroničkih dokumenta u poslovanju, usluge elektroničke preporučene dostave i usluge certificiranja za autentifikaciju mrežnih stranica.
Usluge povjerenja potrebne su kako bismo sa sigurnošću znali da dokumenti koje razmjenjujemo elektroničkim putem nisu izmijenjeni od trenutka nastanka do trenutka zaprimanja.
Također, omogućuju sigurnu identifikaciju osoba koje međusobno komuniciraju zbog čega su temelj svih poslovnih i trgovačkih aktivnosti.
Primjenom elektroničkog potpisa i drugih oblika usluga povjerenja, lako je dokazati izvor komunikacije, kao i je li u procesu razmjene podataka (poruka, informacija) došlo do promjena trećih strana.
Elektronička identifikacija
Elektronička identifikacija je identifikacija fizičke ili pravne osobe (ili fizičke osobe koja predstavlja javnu osobu) putem osobnih identifikacijskih podataka u elektroničkom obliku.
Riječ je o autentifikacija koja nedvojbeno potvrđuje da je iza konkretnih identifikacijskih podataka osoba kojoj je dodijeljen konkretan digitalni identitet za pristup različitim uslugama u e-okruženju.
Primjerice, elektronička identifikacija služi nam za pristup e-uslugama kao što su eGrađani, digitalno potpisivanje dokumenata (pute eOsobne iskaznice) i provođenje sigurnih online transakcija (plaćanje putem internetskog bankarstva ili platnih usluga kao što je merBanking).
U Hrvatskoj se elektronička identifikacija fizičkih i pravnih osoba ostvaruje u kroz različite razine, a dostupnost digitalnih usluga ovisi o razini autentifikacije koju koristimo, odnosno o snazi vjerodajnice.
Vjerodajnica u najnižem obliku može biti korisničko ime i lozinka kojima pristupamo određenom sadržaju, no ako govorimo o sigurnom online okruženju, tada govorimo o vjerodajnicama koje obuhvaćaju napredni elektronički potpis, pametnu karticu, biometriju i druge oblike digitalne identifikacije.
Sigurna provjera identiteta može uključivati jednofaktorsku, dvofaktorsku ili višefaktorsku autentifikaciju, kao što su kombinacije lozinke i SMS koda, biometrije i slično.
Autentifikacija u nekom od navedenih oblika ili kombinaciji više njih, omogućuje nam pristup e-uslugama tako što sustav provjerava vjerodajnice i povratno potvrđuje naš identitet.
Razina elektroničke identifikacije
Razine elektroničke identifikacije mogu se podijeliti na nisku, značajnu i visoku razinu kako je to propisano Uredbom o elektroničkoj identifikaciji i uslugama povjerenja (eIdas uredbi).
Većina građana u Hrvatskoj koristi ove vjerodajnice kako bi pristupila sustavu eGrađani ili nekim drugim javnim servisima. Mnogi za pristup sustavu NIAS koriste vjerodajnice (token) internetskog bankarstva. U tom slučaju, banka je ta koja nas elektronički identificira prema NIAS sustavu vjerodajnicama srednje razine.
S tom razinom vjerodajnica možemo preuzeti rodni list, eRadnu knjižicu i neke druge dokumente koje izdaje država, međutim njome ne možemo zatražiti izradu putovnice ili vozačke dozvole putem sustava eGrađani.
Za izradu osobnih dokumenata potrebne su vjerodajnice visoke razine, kao što je eOsobna iskaznica (eID) ili druge pametne kartice u koje su implementirani aplikativni certifikati ili biometrijska rješenja.
Glavne razine elektroničke identifikacije
- Niska – koristi jednostavne metode provjere (korisničko ime i lozinka). Primjer:
prijava na web stranice putem e-maila i lozinke. - Značajna – koristi dvofaktorsku autentifikaciju (lozinka + SMS kod, smart
kartica itd.). Primjer: bankovne usluge putem mobilnih aplikacija. - Visoka – koristi najsigurnije metode, poput pametnih kartica s digitalnim
certifikatima ili biometrije. Primjer: eOI (elektronička osobna iskaznica).
Elektronička identifikacija već je dugo dio naše svakodnevice i u privatnom i u poslovnom svijetu, iako mnogi toga nisu svjesni. Većina je koristi svakodnevno kako bi pristupila eUslugama, online bankarstvu, podnosila porezne prijave ili pratila zdravstvene usluge.
Najčešće se koriste:
- Digitalni potpis – za potpisivanje eRačuna, ugovora, službenih dokumenata
- Sigurna autentifikacija u poslovanju – za pristup korporativnim sustavima i
bazama podataka - Međunarodna identifikacija – eIDAS omogućava korištenje nacionalne e-
identifikacije u cijeloj EU
Aplikacijski certifikat
Aplikacijski certifikat i aplikativni certifikat pojmovi su koji se u praksi često smatraju sinonimima, iako među njima postoje određene razlike.
Aplikacijski certifikat se dodjeljuje određenoj aplikaciji (poslovnom rješenju, računovodstvenom programu, sustavu informacijskog posrednika) kako bi mogla sigurno komunicirati s poslovnim ili državnim servisima.
Aplikacijski certifikat autentificira aplikaciju koja šalje određene podatke i osigurava da ti podaci tijekom prijenosa od toče A do točke B ostanu šifrirani.
Riječ je o pouzdanom certifikatu koji omogućava sigurnu komunikaciju između sustava pri čemu ih međusobno identificira i validira kao autentične.
Aplikativni certifikat
Aplikativni certifikat je pojam koji se u praksi najčešće veže uz razmjenu elektroničkih računa usklađenih s EU normom za eRačun, ali se može primjenjivati i u drugim procesima koji zahtijevaju kvalificirani elektronički potpis.
Za razliku od aplikacijskog certifikata, aplikativni certifikat podrazumijeva certifikate koji služe za autentifikaciju, šifriranje podataka i digitalni potpisivanje.
U praksi ga se često naziva i kvalificiranim certifikatom jer se u procesu razmjene eRačuna, dokumente ovjerava aplikativnim certifikatom koji izdaje kvalificirani pružatelj usluga povjerenja (QTSP – Qualified Trust Service Provider).
Primjenom aplikativnog certifikata, odnosno apliciranjem istoga na elektronički račun, informacijski posrednik osigurava dokumentu vjerodostojnost pošiljatelja, cjelovitost sadržaja i nepromjenjivost u vremenu.
U sigurnosnom smislu, apliciranjem kvalificiranog certifikata informacijski posrednik potvrđuje da je (pravna) osoba A pošiljatelj, da je dokument isti u trenutku nastanka i zaprimanja te da može potvrditi autentičnost dokumenta i nakon protoka određenog vremena.
Uz aplikativni certifikat, na elektronički račun se aplicira i vremenski žig koji je dodatna metoda potvrde autentičnosti i integriteta dokumenta, odnosno nepromjenjivosti izvornog sadržaja.
Vremenski žig
Vremenski žig (engl. timestamp) je elektronički zapis na digitalnim dokumentima koji potvrđuje postojanje određenog dokumenta u određenom trenutku vremena.
Zbog toga je vremenski žig nepobitan dokaz u pravnim i poslovnim sporovima kada se treba dokazati kada je određeni dokument nastao ili je potpisan, ali i kao dokaz potencijalnih manipulacija.
Ako je došlo do intervencije u dokument nakon što je apliciran vremenski žig, pokušaj izmjene će se automatski zabilježiti u brojčanom nizu žiga (takozvani string), a vremenski žig će postati nevažeći.
U mnogim industrijama vremenski žig je postao obavezan kao dokaz integriteta dokumenta i to kroz regulatorne propise, primjerice u financijskom poslovanju, pravu i zdravstvu.
Vremenski žig također je jedan od ključnih elemenata sigurnog i kontroliranog elektroničkog arhiva u kojemu služi kao dodatan validator vjerodostojnosti dokumenta.
Apliciranjem vremenskog žiga na dokumente prilikom pohrane u elektronički arhiv, osigurava se dugoročna validacija i sigurnost elektroničkih dokumenata, a svaki pokušaj manipulacije tako pohranjenim dokumentima ostaje zabilježen.
Osim na eRačune, u praksi će se vremenski žig pohraniti na važna financijska izvješća, na digitalne ugovore kao dokaz autentičnosti, prilikom zavođenja dokaznog materijala u sudskim procesima, ali i kod osiguravanja autorskog djela, kao potvrda da je intelektualno vlasništvo postojalo u određenom trenutku.
Elektronički potpis ili ePotpis
Elektronički potpis ili ePotpis ima istu pravnu snagu kao vlastoručni potpis, ali je daleko sigurniji u smislu digitalnog poslovanja, ako govorimo o kvalificiranom elektroničkom potpisu. Uzmimo za primjer elektroničku komunikaciju putem e-maila koji se i dalje ne smatra posve sigurnim kanalom komunikacije, upravo iz razloga jer e-mail adresa nije dovoljno pouzdana identifikacija za radnje koje mogu proizvesti pravne učinke. Pojednostavljeno, ako nam netko pošalje e-mail s adrese Ivan Horvat, a e-mail s tim imenom može otvoriti bilo tko na nekom od mail servisa, ne možemo biti sigurni da komuniciramo upravo s Ivanom Horvatom s kojim bismo trebali komunicirati. Zato se u digitalnoj razmjeni dokumenata, kao potvrda identifikacije dionika koristi neki oblik elektroničkog potpisa ili aplikativnih certifikata kojima treća strana jamči (identificira) uključene fizičke i pravne osobe.
Elektronički potpis svakog punoljetnog građanina Hrvatske prvi put je ugrađen u eOsobnu 2015. godine kada je izašla prva generacija digitalnih osobnih iskaznica. Danas koristimo već drugu generaciju eOI koja dolazi s mobilnom aplikacijom Certilia i, osim što omogućuje korištenje mobilnog digitalnog identiteta, pruža nam opciju pouzdanog potpisivanja dokumenata elektroničkim potpisom.
Elektronički potpis se može koristiti u svakoj situaciji kada bismo dokument trebali vlastoručno potpisati, a služi za potvrdu identiteta potpisnika elektronički potpisanog dokumenta te provjeru integriteta sadržaja dokumenta, odnosno provjeravanje da originalni sadržaj dokumenta nije bio izmijenjen prilikom prijenosa.
Elektroničkim potpisom ili ePotpisom osiguravamo autentičnost ili potvrdu vlastitog identiteta, kao i integritet i cjelovitost dokumenta jer njime potvrđujemo da nije došlo do izmjena dokumenta od trenutak njegova nastanka.
Kvalificirani elektronički potpis
Kvalificirani elektronički potpis i elektronički potpis, odnosno ePotpis često se koriste kao sinonimi, ali to su ako govorimo o potpisu ugrađenom u eOI ili ako je riječ o potpisu koji je pribavljen na tržištu kvalificiranih elektroničkih potpisa kod verificiranih pružatelja usluga povjerenja.
Često se u pravnim procesima spominje pojam kvalificirani elektronički potpis u procesima u kojima se podnesci dostavljaju javnopravnom tijelu elektroničkim putem. Kvalificirani elektronički potpis ima jednak pravni učinak kao i vlastoručni potpis te
pruža najvišu razinu sigurnosti elektroničkog potpisa.
Kvalificirani elektronički potpis omogućuju nam kvalificirani pružatelj usluga povjerenja, uz korištenje kvalificiranog digitalnog certifikata.
Dokument koji je potpisan naprednim elektroničkim potpisom ne smije se ispisivati jer se ispisom na papir ne prenosi pravni učinak elektroničkog potpisa koji je bio ugrađen u elektroničkom obliku dokumenta. Čak i kada je vizualizacija elektroničkog dokumenta vidljiva na ispisanom dokumentu, to svejedno ne znači da je taj dokument potpisan, odnosno da je ostao ispisan s obzirom na to da se ispisom se poništava pravni učinak elektroničkog potpisa.
Napredni elektronički potpis
Napredni elektronički potpis je povezan s identitetom potpisnika, a može se koristiti za potpisivanje elektroničkih isprava i druge poslovne dokumentacije ili elektroničke pošte. Za razliku od kvalificiranog elektroničkog potpisa, ne pruža toliku razinu povjerenja iako je jedinstveno vezan s potpisnikom i omogućuje njegovu identifikaciju.
Napredni elektronički potpis također čuva cjelovitost dokumenta na način da se može otkriti bilo kakva naknadna promjena podataka i zasigurno je sigurnija opcija od „običnog“ elektroničkog potpisa (digitalnog potpisa koji omogućuju pojedini računalni programi), međutim nema automatsku vrijednost vlastoručnog potpisa, kao što to ima kvalificirani elektronički potpis.
Za provjeru elektroničkog potpisa može se koristiti validator poput onog na stranici eGrađani, ako imate bilo kakvu sumnju u digitalno potpisani dokument.
Nijednom obliku digitalnog potpisa se u sudskim postupcima ne smije uskratiti pravni učinak, međutim samo kvalificirani elektronički potpis ima jednak pravni učinak kao vlastoručni potpis, a on je svim građanima Hrvatske dostupan na eOsobnoj iskaznici.
Aktivacijom osobne iskaznice, građani mogu koristiti sve digitalne usluge sa servisa eGrađani i korištenjem kvalificiranog elektroničkog potpisa podnositi zahtjev za vozačku ili putovnicu putem računala ili mobitela.