Odejście pracownika lub utrata urządzenia: dwie ścieżki reakcji
Odejście można zaplanować, utrata urządzenia wymaga natychmiastowej triage. Obie sytuacje potrzebują spisu certyfikatów, kont, otwartych spraw, dowodów i zastępcy działającego własnym podpisem.
Planowane odejście i nagła utrata urządzenia często trafiają do jednej listy „zablokować dostęp”. To za mało. Przy offboardingu organizacja zna datę i może przekazać sprawy. Przy incydencie nie wiadomo, czy ktoś uzyskał dostęp do danych służących do podpisu i czy w podejrzanym okresie powstały operacje. Wspólna powinna być ewidencja, ale kolejność i pilność działań są inne.
Zbuduj kartę zależności przed zdarzeniem
Dla każdej osoby korzystającej służbowo z podpisu zapisz: identyfikator certyfikatu, dostawcę i dokładną usługę, model urządzenia lokalnego albo zdalnego, konta docelowych systemów, obsługiwane podmioty, otwarte obiegi, zastępcę, oficjalny kanał dostawcy do zgłoszeń oraz opiekuna dowodów. Nie zapisuj PIN-u, hasła, kodów odzyskiwania ani sekretów uwierzytelniających.
Karta certyfikatu nie przesądza, kto może zażądać jego unieważnienia. Zależy to od zasad usługi, umowy, danych certyfikatu i statusu podpisującego. Dlatego procedurę dostawcy trzeba sprawdzić wcześniej, a nie szukać jej dopiero po kradzieży telefonu.
Ścieżka A. Planowane odejście pracownika
Przed ostatnim dniem zamknij albo przekaż każdy otwarty obieg. Oznacz dokumenty oczekujące na podpis, podpisane lecz niewysłane, wysłane bez końcowego potwierdzenia oraz zwrócone do poprawy. Nowa osoba nie dopisuje podpisu za poprzednika i nie korzysta z jego urządzenia. Otrzymuje własny certyfikat, własną rolę w systemie i osobno potwierdzone umocowanie.
Wyłącz konta organizacji, usuń uprawnienia w portalach, odbierz sprzęt i zaktualizuj listy dystrybucyjne zgodnie z procedurą bezpieczeństwa. Te działania nie są tym samym co zmiana statusu certyfikatu. Certyfikat może być przypisany osobie, a jego dalszy status wymaga decyzji zgodnej z dokumentacją usługi. Jeśli certyfikat zawiera nieaktualne dane lub ryzyko uzasadnia unieważnienie, skontaktuj się z dostawcą i zachowaj potwierdzenie wykonanej operacji.
Ścieżka B. Utrata urządzenia lub podejrzenie przejęcia
Zdarzeniem może być zagubiona karta, telefon z aplikacją do podpisu, ujawniony PIN, nieznane żądanie zatwierdzenia albo podpis, którego osoba nie rozpoznaje. Nie czekaj na pełną pewność, by ograniczyć dostęp. Wykonaj równolegle działania organizacyjne i kontakt z dostawcą:
Pierwsze działania
- Przerwij używanie podejrzanego urządzenia i zabezpiecz inne składniki konta.
- Zablokuj dostęp do systemów organizacji zgodnie z procedurą incydentową.
- Skontaktuj się z kwalifikowanym dostawcą przez wcześniej zweryfikowany kanał i zgłoś właściwy certyfikat; dostawca określi dostępne działanie, na przykład zawieszenie lub unieważnienie, zgodnie z usługą i prawem.
- Zapisz czas wykrycia, zgłoszenia, zmiany statusu i osoby podejmujące decyzje.
- Zabezpiecz logi, wiadomości, raporty walidacji i kopie dokumentów bez ich modyfikowania.
- Wyznacz zakres przeglądu operacji i powiadom role prawne, bezpieczeństwa, ochrony danych lub odbiorców, jeśli wynika to z oceny incydentu.
Nie podawaj w zgłoszeniu więcej danych niż potrzebne i nie korzystaj z numeru lub linku otrzymanego w podejrzanej wiadomości. Kanał należy zaczerpnąć z wcześniej zapisanej dokumentacji dostawcy.
Unieważnienie nie jest gumką do dokumentów
eIDAS przewiduje, że po unieważnieniu kwalifikowany certyfikat traci ważność od chwili unieważnienia, a tego statusu nie przywraca się. Nie wynika z tego, że każdy wcześniejszy dokument automatycznie znika albo staje się bezwartościowy. Ocena wymaga informacji o czasie podpisu, statusie certyfikatu, integralności, danych walidacyjnych i okolicznościach incydentu.
Nie usuwaj plików, raportów i potwierdzeń. Jeśli pojawił się nierozpoznany podpis, pozytywna kontrola kryptograficzna może dowodzić użycia danych do podpisu, ale sama nie rozstrzyga, kto faktycznie zatwierdził operację. Potrzebna jest analiza logów, urządzeń, uwierzytelnienia i procesu.
Zamknij incydent dopiero po odtworzeniu bezpiecznej ścieżki
Nowy certyfikat lub odzyskany telefon nie kończą automatycznie sprawy. Najpierw usuń przyczynę, zmień zagrożone składniki uwierzytelnienia, sprawdź urządzenia i uprawnienia, a następnie wykonaj próbę neutralnego dokumentu. W raporcie zamknięcia zapisz zakres przejrzanych operacji, decyzje dotyczące odbiorców, status starego certyfikatu, osobę zatwierdzającą powrót oraz działania zapobiegawcze. Nie zapisuj w nim nowych PIN-ów ani sekretów.
Zastępca nie przejmuje certyfikatu
Po odcięciu osoby nie przekazuj jej karty, PIN-u, telefonu ani sesji. Zastępca podpisuje własnym certyfikatem i na własnym koncie. Właściciel procesu ponownie sprawdza reprezentację, kolejność podpisów oraz dostęp do wysyłki. Jeżeli termin jest bliski, nie wolno obchodzić wymagań technicznych; trzeba użyć tylko kanału i formy dopuszczonych dla sprawy.
Przetestuj zastępstwo na neutralnym dokumencie. Próba kończy się dopiero po pobraniu potwierdzenia i zapisaniu pakietu w repozytorium dostępnym dla organizacji, a nie w prywatnej skrzynce.
Ćwiczenie raz na okres wskazany przez ryzyko
Właściciel procesu wybiera fikcyjne zdarzenie bez używania prawdziwych danych: utrata telefonu osoby z dwoma otwartymi obiegami. Zespół ma wskazać certyfikat, oficjalny kanał dostawcy, systemy do odcięcia, logi do zabezpieczenia, zastępcę i sposób oceny dokumentów. Częstotliwość ćwiczeń ustala organizacja na podstawie ryzyka i zmian, nie według uniwersalnego terminu z poradnika.
Cały rejestr i role zbudujesz na stronie Wdrożenie podpisu w zespole w Warszawie. Sposób zachowania raportów oraz potwierdzeń opisuje Kontrola podpisania i doręczenia.
Źródła wykorzystane w artykule
- Skonsolidowane rozporządzenie eIDAS — EUR-Lex
- Dokumentacja DSS o statusie i walidacji w czasie — Komisja Europejska
- Polska zaufana lista i historia statusów — NCCert