HG Wells a expliqué très simplement ce qu'est le télégraphe:Un article sur la façon d'implémenter EDS dans CRM et sur les différentes options pour résoudre ce problème.
- Imaginez un chat géant, dont la queue est à Londres, et la tête est à Liverpool. Si un chat marche sur sa queue à Liverpool, il miaulera à Londres.
- Et qu'est-ce qu'un télégraphe sans fil?
- C'est pareil, seulement sans le chat.
Les co-auteurs de l'article sont Denis Gurikov et Nikita Kalinin, je leur dis merci pour le matériel.
Pourquoi?
Parfois, les documents doivent être signés et envoyés, mais le responsable n'est pas présent. Il est tout à fait possible d'oublier plus tard ou d'enfreindre les termes. Les documents s'accumulent dans des montagnes entières. Le directeur s'assoit et passe beaucoup de temps à signer des papiers.
Et en général, le «papier» au 21e siècle est un anachronisme non écologique. Mieux sans eux du tout. Et vous devez signer.
Quelle est l'essence d'une signature électronique? Comme dans le «monde hors ligne», lorsqu'une personne accepte, elle le signe. Seuls le papier et la signature n'existent pas physiquement.
Pourquoi ai-je besoin d'une signature? En bref - pour l'authentification des documents (confirmation). C'est-à-dire pour s'assurer que le signataire accepte les dispositions de cette version particulière du document.
Pourquoi une signature électronique dans les systèmes CRM et les portails intranet?
Il existe 2 scénarios d'utilisation d'une signature numérique dans CRM:
- Pour la communication interne et la confiance sur simple pression d'un bouton. Souvent, dans l'interface des systèmes CRM et des portails intranet, les documents internes, ainsi que les remises, les contrats et les accords avec les concessionnaires sont coordonnés.
- Envoyer des réponses formelles aux clients et aux agences gouvernementales.
Différents scénarios, différentes exigences. Dans le premier cas, ils signent:
- Demande de vacances
- Demandes de paiements de divers types
- Autres demandes (pour les appareils électroménagers, les meubles, etc.)
- Contrats, accords, factures de paiement.
Le deuxième cas est plus grave: vous ne pouvez pas vous passer d'une signature électronique qualifiée.
Technique: Qu'est-ce que l'EDS et ses types
Il existe trois types de signatures électroniques:
- Signature numérique électronique simple (PEP)
- Signature numérique non qualifiée améliorée (NEP)
- Signature numérique qualifiée améliorée (CEP)
Contrairement à une simple signature, une signature améliorée protège son auteur de la modification du document après la génération de la signature.
Pour former une signature numérique sur un document, vous avez besoin de trois éléments:
- Le document lui-même
- Clé publique
- La clé secrète
Signature numérique simple
En bref sur le travail de la sonde:
- Le système prend les métadonnées du document (date du document, numéro du document, titre, mot de passe du signataire, etc.) et les hache. La signature numérique est prête. Le mot de passe est stocké et généré par votre système.
- Envoyez le fichier
- On a
- En utilisant le mot de passe, nous déchiffrons la signature. Nous comparons les métadonnées reçues et la connexion. Si tout est correct - succès.
Un excellent exemple est l'utilisation d'un identifiant et d'un mot de passe pour accéder à votre réseau social, par exemple Vkontakte. Pour vérifier votre identité (signer un document), vous devez entrer votre nom d'utilisateur et votre mot de passe (métadonnées de hachage).
Le système vérifie la présence d'un utilisateur. S'il y en a un dans le système, la vérification du mot de passe commence. Si le mot de passe que vous avez entré correspond à celui du système - félicitations, vous avez entré votre page VK (comparez les métadonnées après le décryptage).
Des lacunes - la même maladie. Si votre mot de passe a été volé d'une manière ou d'une autre, ils peuvent accéder à la page et y faire ce qu'ils veulent. Modifier les informations personnelles, la photo, etc. Il en va de même pour le document.
Signature numérique améliorée
Une signature numérique améliorée protège contre la modification des documents. Autrement dit, si, après la signature, des modifications sont apportées au document, la signature améliorée devient automatiquement invalide.
Pour générer des signatures, des certificats sont utilisés (comme SSL, basé sur la même technologie). Et le certificat a une durée de validité limitée.
Une signature améliorée peut être non qualifiée et qualifiée. La différence est de savoir qui a délivré le certificat. Si le certificat est délivré par un centre de certification accrédité par le ministère des Télécommunications et des Communications de masse, qui dispose d'un certificat FSB supplémentaire, une telle signature est qualifiée.
Si un certificat auto-signé est utilisé ou émis par une autorité de certification non accréditée (centre de certification), une telle signature n'est pas qualifiée.
Fonctionnement de la signature améliorée
Prenons un exemple d'algorithme de signature simple. Le résultat de cet algorithme ne dépend pas du texte du document. Si vous alimentez ce texte en entrée d'une fonction de hachage, vous obtenez quelque chose qui ressemble à une signature renforcée. Autrement dit, suite à la modification du texte du document, l'ancienne signature «ne rentrera pas» dans la nouvelle version du document.
En réalité, une signature améliorée est un hachage d'un document, chiffré avec la clé secrète du certificat.
Tous les participants au workflow possèdent la clé publique. Il est utilisé pour vérifier l'authenticité de la signature. Privé - stocké par l'utilisateur et utilisé pour générer une signature.
À quoi ressemble une signature améliorée
Techniquement, une signature est un fichier séparé (rappelez-vous, dans le cas d'une signature simple, c'était une ligne?). Autrement dit, pour transférer le document signé à l'autre partie, vous devez transférer la source et le fichier de signature. Cependant, certains formats de document permettent l'intégration de signatures numériques.
Par exemple, PDF et presque tous les formats Microsoft Office le prennent en charge. Et les progiciels eux-mêmes ont pour fonction de créer et de vérifier ces signatures. Ainsi, pour les utilisateurs techniquement non qualifiés, le processus de signature ressemble à un clic sur quelques boutons dans Word, Excel ou Adobe Reader.
Signature numérique non qualifiée (NEP)
Une telle signature a force de loi (du point de vue du tribunal) si les parties ont conclu un accord approprié. Un tel accord ne peut être conclu avec l'Etat. structures.
Les utilisateurs reçoivent un certificat avec une clé publique et privée sous la forme et d'une manière approuvées par les parties. Par exemple, sous la forme d'un fichier envoyé par email.
Tout logiciel auquel les parties font confiance peut être utilisé pour créer une signature. Utilitaires OpenSSL, CryptoARM ou Microsoft Office ou Adobe Reader intégré.
Signature numérique qualifiée (CEP)
Une telle signature a force de loi et est reconnue par l'État. Par exemple, vous pouvez envoyer des documents au bureau des impôts. Il n'est pas nécessaire de conclure des accords supplémentaires avec les participants au flux de travail - tout le monde fait confiance à ces signatures "par défaut".
La clé secrète d'une telle signature est transférée à l'utilisateur sur un support protégé certifié par le FSB - un jeton USB ("lecteur flash"), une carte à puce, etc.
Un logiciel spécial est utilisé pour travailler avec le support. Le plus souvent, ce logiciel s'intègre au système d'exploitation afin que Microsoft Office, Adobe Reader et d'autres logiciels puissent utiliser le support pour créer des signatures.
Autrement dit, le processus de signature de documents n'est presque pas compliqué pour les utilisateurs (il vous suffit de vous rappeler de connecter une clé USB).
En utilisant une telle signature, vous pouvez interagir avec les systèmes gouvernementaux, participer à des enchères, travailler avec des clients et des partenaires.
Approbation des documents internes
Applications de vacances, mémos, rapports, voyages d'affaires, etc. - Il y a suffisamment de documents papier dans les entreprises. Habituellement, la procédure de délivrance d'un tel document ressemble à une quête. Il est nécessaire de trouver un formulaire, de le remplir, de le remettre personnellement à l'approbateur, etc.
Si vous êtes tous dans le même bureau, c'est une question d'une demi-heure. Et si la production se trouve à un endroit et le service RH à un autre? Tout s'éternise pendant plusieurs jours. La solution est l'introduction de systèmes de gestion de documents. Nous avons même un module de gestion de documents séparé.
Un inconvénient est que les employés ne prennent parfois pas assez au sérieux les «documents électroniques». L'introduction d'une signature électronique peut résoudre ce problème. C'est là qu'une signature électronique non qualifiée fonctionne bien.
Selon le cas d'utilisation, deux possibilités peuvent être distinguées:
- Signez le document en le téléchargeant dans un formulaire spécial sur une page CRM distincte
- Approbation automatique des documents au cours d'un processus métier
Flux de documents externe
Pour le flux de documents externes, vous devez utiliser une signature électronique qualifiée. Ensuite, les documents auront pleine force juridique. Vous pourrez les échanger avec des clients, des partenaires et des agences gouvernementales.
Du point de vue des interfaces, tout ressemble à un workflow interne - un formulaire séparé d'approbation ou de confirmation automatique dans le cadre d'un processus métier.
Un point important - vous devez accorder plus d'attention à la sécurité. Puisque nous parlons de documents qui ont pleine force juridique. La sécurité est assurée par la restriction d'accès, la journalisation et des notifications séparées.
Un exemple simple d'utilisation d'une signature dans CRM est de signer un accord dans une transaction. Une fois signé, vous pouvez l'envoyer au client. Il n'est pas nécessaire d'envoyer des documents par courrier, d'attendre plusieurs jours, voire des semaines (si le client est dans une autre ville), puis d'attendre le même laps de temps pour un retour. Le document est approuvé par une signature électronique et est considéré comme juridiquement significatif.
Reste la principale question technique - comment intégrer la signature numérique dans la logique du CRM ou du portail interne?
Architecture de la solution
Il existe plusieurs façons de travailler avec EDS. Jetons un coup d'œil à eux.
Une clé - plusieurs stations
Supposons que vous deviez signer un document et l'envoyer au serveur. Le serveur doit vérifier le document et envoyer une réponse sous la forme du même document signé.
Il doit y avoir une vérification de l'authenticité de la signature. Supposons que vous n'ayez qu'une seule clé de signature, mais qu'il y ait de nombreux employés et que tout le monde ait besoin de signer et d'envoyer quelque chose. Et tout cela devrait se faire directement dans le CRM.
Comment ça fonctionne:
- Nous créons un serveur séparé pour EDS avec une clé connectée pour EDS, qui recevra les requêtes XML
- , N . (TOTP). QR-, , . , USB-.
- , .
- , , XML- PDF- .
- PDF- CRM.
Dans ce cas, nous avons la possibilité de travailler à domicile (si nous avons un smartphone, que même les grands-mères ont maintenant). Nous n'avons pas besoin d'émettre notre propre EDS pour chaque employé, un seul suffit.
Cette solution suppose que vous faites entièrement confiance aux employés qui ont eu accès à l'interface. Même les débutants peuvent commencer à signer des documents sans aucune approbation.
C'est une mauvaise décision si la signature du document a des implications juridiques. Cela ne peut être fait que lors de l'intégration avec le Credit History Bureau ou d'autres services qui fournissent des réponses aux demandes signées par un EDS.
Nombre de touches = nombre de stations
Supposons que chaque employé qui a le droit de signer des documents possède une clé pour un EDS.
Comment ça fonctionne:
- Nous développons une application pour les postes de travail qui fonctionnera avec un fournisseur de crypto (le plus populaire est cryptoPRO)
- Un employé forme et signe une demande à son poste de travail
- La demande est envoyée au serveur.
- La réponse reçue est convertie en fichier PDF ou tout autre
- Le PDF est téléchargé dans CRM
Dans ce cas, nous avons augmenté la sécurité, car seuls les employés de confiance peuvent signer des documents et nous savons qui a exactement signé une demande spécifique.
Exemple d'application dans un projet réel pour CEDIS (Power System of Montenegro)
Défi commercial: les employés doivent signer des documents et les envoyer aux clients.
Quelles ressources?
Un serveur, une clé EDS, CRM.
Qu'est-ce qui devrait être fait?
Ajoutez un document PDF à une transaction, signez-le directement depuis la carte de transaction à l'aide d'un EDS. Le document signé peut être téléchargé et envoyé au client.
Comment cela a été implémenté
Une application spéciale a été développée, placée sur un serveur séparé et impliquée dans la signature des documents.
Un champ supplémentaire a été créé dans le système, dans lequel le document PDF a été chargé. Lorsque le document a été chargé, le bouton «Signer» est apparu en face. Appuyez sur le bouton pour ouvrir l'interface de l'application.
Afin de signer un document, l'utilisateur devait saisir un code à usage unique qui lui était venu sur son smartphone et sélectionner le certificat avec lequel le document est signé.
Le document est envoyé au serveur. Un mot de passe à usage unique a été saisi et un certificat a été sélectionné. Le document a été signé et renvoyé. À ce moment, le document chargé dans la transaction est remplacé par un document signé sur le serveur.
conclusions
L'introduction de signatures de documents dans les systèmes CRM (et d'ailleurs partout) est un défi technique intéressant à l'intersection du développement, de la sécurité de l'information et de l'optimisation des processus.
Cette tâche peut être résolue par la méthode décrite par nous. Un avis intéressant sur d'autres solutions à ce problème.