Переход на электронный документооборот (ЭДО) часто ассоциируется с большими финансовыми затратами, особенно если речь идет о приобретении квалифицированных электронных подписей (УКЭП) для каждого сотрудника компании. Однако для организации внутреннего документооборота, включая подписание внутренних приказов, распоряжений и даже большинства кадровых документов, закон позволяет использовать более доступную альтернативу — усиленную неквалифицированную электронную подпись (УНЭП).
В этой статье мы подробно разберем, как развернуть собственную инфраструктуру для выпуска УНЭП, как подружить ее с программой 1С:Документооборот КОРП и как решить типичные технические проблемы, с которыми сталкиваются системные администраторы и разработчики при интеграции криптографии.
---
Перед тем как перейти к технической части, проанализируем нормативную базу. Согласно Федеральному закону № 63-ФЗ «Об электронной подписи», УНЭП признается равнозначной бумажной подписи при наличии соглашения между сторонами или локального нормативного акта (ЛНА) в организации.
Ранее кадровые документы требовали исключительно УКЭП. В соответствии с актуальными изменениями в Трудовом кодексе РФ (статьи 22.1–22.3), при переходе на кадровый ЭДО (КЭДО) работодатели и сотрудники имеют законное право подписывать большинство кадровых документов с помощью УНЭП. Исключение составляют лишь несколько документов, которые все еще нужно оформлять на бумаге (например, приказ об увольнении или инструктаж по охране труда).
Важное условие юридической силы: чтобы ваши внутренние документы, подписанные УНЭП, имели юридическую силу, в организации необходимо:
---
Чтобы не платить сторонним организациям за выпуск сертификатов, мы можем поднять собственный УЦ внутри локальной сети компании. Рассмотрим наиболее масштабируемый и надежный вариант — использование роли Active Directory Certificate Services (AD CS) на базе Windows Server.
Разберем по шагам, как автоматизировать этот процесс:
Если в вашей организации нет доменной структуры Active Directory, сертификаты можно выпускать вручную с помощью утилит на базе OpenSSL, экспортировать их в формат pfx и передавать пользователям для установки.
---
Для работы с шифрованием и подписями в 1С требуется специализированное программное обеспечение — средство криптографической защиты информации (СКЗИ). Выясним, какие варианты нам доступны:
---
Часто системные администраторы сталкиваются с тем, что криптопровайдер установлен, сертификаты выпущены, но при попытке подписать документ в 1С:Документооборот возникает ошибка. Рассмотрим подробнее основные причины сбоев и способы их устранения.
В 1С:Документооборот КОРП операции проверки и создания подписей могут выполняться как на стороне клиента (на компьютере пользователя), так и на стороне сервера «1С:Предприятие». Если в настройках программы включена проверка на сервере, помните: выбранный криптопровайдер и все корневые сертификаты вашего УЦ должны быть установлены непосредственно на сервере приложений 1С.
Это самая распространенная проблема при серверном подписании. Служба сервера 1С (обычно запущенная под технической учетной записью USR1CV8) пытается обратиться к закрытому ключу сертификата, но операционная система блокирует этот доступ.
Выясним, как предоставить нужные права службе 1С:
certlm.msc).USR1CV8 или Локальная служба), и предоставьте ей права на Чтение (Read).Если 1С выдает ошибку о том, что цепочка сертификатов не проверена, это означает, что операционная система не доверяет вашему локальному УЦ. Чтобы решить эту проблему, скопируйте корневой сертификат вашего УЦ (обычно файл с расширением .cer) и установите его в хранилище «Доверительные корневые центры сертификации» (Trusted Root Certification Authorities) как на всех клиентских машинах, так и на сервере 1С.
---
Перейдем непосредственно к настройкам внутри информационной базы 1С:ДО (на примере актуальных редакций).
Рассмотрим пошаговый алгоритм настройки:
ViPNet CSP, КриптоПро CSP или Microsoft Enhanced Cryptographic Provider).ГОСТ Р 34.10-2012, для Microsoft — RSA).Для проверки работоспособности на сервере можно использовать простую программную проверку доступности криптопровайдеров через встроенный язык 1С. Например, следующий код позволяет получить список зарегистрированных на сервере программ шифрования:
ВыборкаПровайдеров = ЭлектроннаяПодпись.ПолучитьСписокУстановленныхПровайдеров();
Для Каждого Провайдер Из ВыборкаПровайдеров Цикл
Сообщить("Доступен провайдер: " + Провайдер.Имя + " (Тип: " + Провайдер.Тип + ")");
КонецЦикла;
---
Внедрение неквалифицированной подписи (УНЭП) — отличный способ автоматизировать согласование внутренних приказов и запустить полноценный КЭДО без лишних затрат. Для успешного старта выполните следующие действия:
AD CS на Windows Server и настройте групповую политику для автоматического выпуска сертификатов пользователям.ViPNet CSP или встроенный Microsoft CSP) на рабочих станциях и сервере 1С.USR1CV8 на чтение закрытых ключей сертификатов на сервере 1С.