Υ.Α.Π. - Υπηρεσία Ανάπτυξης Πληροφορικής

Greek Dutch English French Italian Russian Spanish

Αρμοδιότητες και ρόλοι Αρχών Εγγραφής της ΑΠΕΔ

Οι οργανωτικές μονάδες της Αρχής Πιστοποίησης Ελληνικού Δημοσίου (ΑΠΕΔ) ήτοι οι Υποκείμενες Αρχές Πιστοποίησης (ΥπΑΠ), οι Αρχές Εγγραφής (ΑΕ) και τα Εντεταλμένα Γραφεία (ΕΓ), είναι υπεύθυνες για τη διαχείριση του κύκλου ζωής των ψηφιακών πιστοποιητικών και πιο συγκεκριμένα για θέματα που αφορούν την υποβολή αιτήματος, την αποδοχή-έγκριση, την έκδοση, την ανάκληση και την ανανέωση των πιστοποιητικών των τελικών χρηστών.

Οι Αρχές Εγγραφής που συμμετέχουν σε όλο τον κύκλο ζωής των ψηφιακών πιστοποιητικών, οφείλουν να ακολουθούν αλλά και να ελέγχουν σε συνεχή βάση την ορθή εφαρμογή μιας σειράς διαδικασιών και βημάτων, όπως περιγράφονται αναλυτικά στις επόμενες παραγράφους. Στα πλαίσια της διαδικασίας:

Α)    Έκδοσης ψηφιακών πιστοποιητικών:
Α.1. Παραλαμβάνει από τα εποπτευομένα Εντεταλμένα Γραφεία είτε ηλεκτρονικά, εφόσον είναι ψηφιακά υπογεγραμμένα από τον αρμόδιο υπάλληλο του αποστολέα, είτε ταχυδρομικώς με συστημένη επιστολή, τον φάκελο με τα συνημμένα δικαιολογητικά του τελικού χρήστη, ήτοι:
        Α.1.1 Προσυμπληρωμένη Αίτηση - Υπεύθυνη Δήλωση για την έκδοση των πιστοποιητικών του τελικού χρήστη (θεωρημένη με το γνήσιο της υπογραφής όταν δεν προσέρχεται ο ενδιαφερόμενος αυτοπροσώπως).

       Α.1.2 Απλό φωτοαντίγραφο δελτίου αστυνομικής ταυτότητας ή σχετικής προσωρινής βεβαίωσης της αρμόδιας αρχής ή διαβατηρίου ή άδειας οδήγησης ή ατομικού βιβλιαρίου υγείας όλων των ασφαλιστικών φορέων, είτε για ειδικές περιπτώσεις:

                 A.1.2.1 Απλό φωτοαντίγραφο δελτίου ταυτότητας ή διαβατηρίου για τους αλλοδαπούς, στην περίπτωση πολιτών Κράτους - Μέλους της Ευρωπαϊκής Ένωσης.

                Α.1.2.2 Απλό/ φωτοαντίγραφο διαβατηρίου ή άλλου εγγράφου βάσει του οποίου επιτρέπεται η είσοδός τους στη Χώρα, ή εγγράφων που έχουν εκδώσει οι αρμόδιες ελληνικές αρχές, για τις περιπτώσεις αλλοδαπών που είναι πολίτες Κράτους εκτός Ευρωπαϊκής Ένωσης.

                Α.1.2.3 Υπεύθυνη Δήλωση του τελικού χρήστη για γεγονότα ή στοιχεία που δεν αποδεικνύονται από το δελτίο ταυτότητας ή από τα αντίστοιχα έγγραφα, αν ειδικές διατάξεις δεν ορίζουν διαφορετικά, η οποία και διατυπώνεται σε προβλεπόμενο από τις σχετικές διατάξεις έντυπο. Ίδια δήλωση υποβάλλεται και όταν τα στοιχεία του δελτίου ταυτότητας για την οικογενειακή κατάσταση, τη διεύθυνση της κατοικίας και το επάγγελμα έχουν μεταβληθεί.

Α.2. Τα δικαιολογητικά ως εισερχόμενα έγγραφα, και βάσει των οριζόμενων στο άρθρο 12 του ν.2690/1999 «Κύρωση Κώδικα Διοικητικής Διαδικασίας και άλλες διατάξεις (ΦΕΚ 45 Α), πρωτοκολλούνται αυθημερόν, κατ΄ αύξοντα αριθμό, με χαρακτηρισμό και μνεία του θέματος στο οποίο το καθένα αναφέρεται και του αριθμού των στοιχείων που το συνοδεύουν.

         A.2.1. Στο βιβλίο αναγράφονται επίσης η ημερομηνία εισόδου των δικαιολογητικών, η αρμόδια υπηρεσιακή μονάδα στην οποία απευθύνονται καθώς και ο υπάλληλος στον οποίο χρεώνονται.

        A.2.2. Στην περίπτωση που τα δικαιολογητικά του τελικού χρήστη αποσταλούν με ηλεκτρονικό ταχυδρομείο (e-mail), ψηφιακά υπογεγραμμένα από τον αρμόδιο υπάλληλο του αποστολέα, πρωτοκολλούνται με την ημερομηνία που έφθασε στην Αρχή Εγγραφής. Εάν αποσταλούν μετά το πέρας του ωραρίου της Αρχής Εγγραφής, θεωρούνται ότι έφτασαν σε αυτήν την επόμενη μέρα. Επιπρόσθετα καταχωρούνται κατά την πρωτοκόλληση, η διεύθυνση ηλεκτρονικού ταχυδρομείου αποστολέα και παραλήπτη, ο πλήρης τίτλος της αποστέλλουσας Υπηρεσίας ή Φορέα (π.χ. ΚΕΠ), τα στοιχεία προσδιορισμού της ταυτότητας του αποστελλόμενου μηνύματος, το ονοματεπώνυμο, η ιδιότητα και ο αριθμός τηλεφώνου του χειριστή.
Τέλος, ειδικά για την περίπτωση αυτή, δεδομένου ότι στο ηλεκτρονικό μήνυμα προσαρτώνται αρχεία δεδομένων (βλ. δικαιολογητικά), αναγράφεται επιπρόσθετα ο χαρακτήρας και τα στοιχεία προσδιορισμού της ταυτότητας των δεδομένων αυτών.

A.3. Μετά την ολοκλήρωση της πρωτοκόλλησης, η Αρχή Εγγραφής οφείλει να επιβεβαιώσει και ελέγξει προσεκτικά την πληρότητα, την εγκυρότητα, την ορθότητα αλλά και την αλληλοσυσχέτιση των στοιχείων που αναφέρονται σε κάθε ένα από τα συνημμένα δικαιολογητικά, με σκοπό την τελική έγκριση του αιτήματος του τελικού χρήστη.

        A.3.1. Στην περίπτωση που από τον έλεγχο διαπιστωθεί για κάποιον τελικό χρήστη, η ύπαρξη ελλιπούς αλλά υποχρεωτικής πληροφορίας (π.χ. αίτηση χωρίς να αναφέρονται τα πλήρη στοιχεία που ταυτοποιούν τον τελικό χρήστη ή ενυπόγραφη αίτηση - υπεύθυνη δήλωση) τότε η Αρχή Εγγραφής επικοινωνεί με την αποστέλλουσα Υπηρεσία ή Φορέα (π.χ. ΚΕΠ), και αιτείται την εκ νέου αποστολή των δικαιολογητικών με την αντίστοιχη πληρότητα των στοιχείων.

        A.3.2. Στην περίπτωση που έχει λάβει χώρα λανθασμένη καταχώρηση υποχρεωτικής πληροφορίας (π.χ. ΑΔΤ), τότε η Αρχή Εγγραφής οφείλει να επικοινωνήσει άμεσα με την αποστέλλουσα Υπηρεσία ή Φορέα (π.χ. ΚΕΠ), και αιτείται την εκ νέου αποστολή των δικαιολογητικών με την αντίστοιχη ορθότητα των στοιχείων.

A.4. Αφού ολοκληρωθεί επιτυχώς ο έλεγχος των δικαιολογητικών και εγκριθεί η αίτηση του τελικού χρήστη, πραγματοποιείται η σάρωση και η ψηφιοποίηση των πρωτοτύπων εγγράφων που εστάλησαν με το ταχυδρομείο (ως συστημένη επιστολή). Ακολούθως ελέγχεται η ποιότητα του ψηφιακού αντιγράφου έτσι ώστε στην περίπτωση που το αρχείο παρουσιάζει κακή ποιότητα (π.χ. έντονο σκούρο χρώμα που δυσχεραίνει την ανάγνωσή του), να επαναληφθεί η διαδικασία της ψηφιοποίησης του. Τέλος, το ψηφιακό αντίγραφο αποθηκεύεται και αρχειοθετείται σε ηλεκτρονικά αποθηκευτικά μέσα και σε ηλεκτρονικούς φακέλους, ορισμένους ειδικά για τον σκοπό αυτό.
Η ονομασία του ψηφιακού αντιγράφου προέρχεται από τον αριθμό πρωτοκόλλου του, ο οποίος περιλαμβάνει και την ημερομηνία παραλαβής του πρωτότυπου εγγράφου (δικαιολογητικό), ενώ συνίσταται να ακολουθείται από το ονοματεπώνυμο και το πατρώνυμο του τελικού χρήστη.
Νοείται επίσης ότι και τα έγγραφα σε έντυπη μορφή, αρχειοθετούνται αντίστοιχα σε φυσικούς, ταξινομημένους φακέλους βάσει του αριθμού πρωτοκόλλου που τηρείται.

A.5. Με το πέρας των παραπάνω διαδικασιών και την επιτυχή διεκπεραίωση τους, η ΥπΑΠ προχωρεί στην έκδοση των ψηφιακών πιστοποιητικών για τον τελικό χρήστη και εφόσον ολοκληρωθεί και το τελευταίο βήμα επιτυχώς, ειδοποιείται μέσω της πύλης ΕΡΜΗΣ ο τελικός χρήστης ότι τα πιστοποιητικά του έχουν εκδοθεί και μπορεί να τα παραλάβει μέσω Internet (σύνδεση στην πύλη ΕΡΜΗ). Η εν λόγω διαδικασία περιγράφεται αναλυτικά σε άλλη ενότητα.

Β)    Ανάκλησης, ανάκτησης ή ανανέωσης ψηφιακών πιστοποιητικών:
Είναι υπεύθυνη για τον έλεγχο της σχετικής αίτησης ανάκλησης, ανάκτησης του πιστοποιητικού κρυπτογράφησης ή ανανέωσης των ψηφιακών πιστοποιητικών του τελικού χρήστη.

Γ)    Λοιπές διαδικασίες Αρχών Εγγραφής
Εκτός από τις παραπάνω διαδικασίες που υποχρεωτικά θα πρέπει να τηρούν οι Αρχές Εγγραφής, προκειμένου να διεκπεραιώνουν την έκδοση των ψηφιακών πιστοποιητικών των τελικών χρηστών, υπάρχουν επιπρόσθετες οριζόντιες διαδικασίες που θα πρέπει επίσης να εφαρμόζονται αλλά και να ελέγχονται σε τακτά χρονικά διαστήματα. Τέτοιες διαδικασίες είναι:

Γ.1. Οι αυστηρές διαδικασίες ασφάλειας ως προς την καταγραφή στοιχείων ελέγχου, την τήρηση αρχείων (βλ. σημείο (4) που ακολουθεί) και την αποκατάσταση φυσικών καταστροφών (π.χ. πρόληψη για τον έλεγχο και την κατάσβεση πυρκαγιάς ή άλλης επιζήμιας έκθεσης σε φωτιά ή καπνό), αλλά και κανονισμοί ασφάλειας, ασφάλειας προσωπικού, διαχείρισης κλειδιών κλπ.
Με τον τρόπο αυτόν, μεταξύ άλλων, διασφαλίζεται η εφαρμογή και η υλοποίηση λογικών και φυσικών μέτρων ασφαλείας προκειμένου να αποτρέπεται τόσο η φυσική ή ηλεκτρονική πρόσβαση όσο και η προσθήκη, η διαγραφή ή η τροποποίηση των καταχωρήσεων σε οποιοδήποτε χώρο φυσικής ή ηλεκτρονικής αποθήκευσης, που αφορά τις Υπηρεσίες Δημοσίου Κειδιού, από μη εξουσιοδοτημένα πρόσωπα.

Γ.2. Η υιοθέτηση και εφαρμογή αυστηρών μέτρων ελέγχου, ώστε να εξασφαλίζεται ο διαχωρισμός των αρμοδιοτήτων και των ρόλων (π.χ. επαλήθευση των στοιχείων των αιτήσεων, έκδοση ή ανάκληση πιστοποιητικών κλπ) για κάθε τομέα ευθύνης και να διασφαλίζεται ότι για την εκτέλεση εργασιών υψηλής διαβάθμισης, απαιτούνται περισσότερα από ένα έμπιστα πρόσωπα.
Οι υψηλής διαβάθμισης εργασίες που αφορούν τις Υηρεσίες Δημοσίου Κλειδιού, όπως για παράδειγμα είναι η πρόσβαση και ο χειρισμός του κρυπτογραφικού υλικού, ο έλεγχος των αιτήσεων των τελικών χρηστών ή η έκδοση των ψηφιακών πιστοποιητικών των τελικών χρηστών, απαιτούν πολλαπλά έμπιστα πρόσωπα, ώστε να υπάρχει διαμοιρασμένος έλεγχος τόσο της φυσικής όσο και της ηλεκτρονικής πρόσβασης σε οποιοδήποτε υλικό.
Σε κάθε περίπτωση ο διαχωρισμός των αρμοδιοτήτων και ο διαμοιρασμός των ρόλων, λαμβάνει χώρα πριν το έμπιστο πρόσωπο:
     α) Λάβει συσκευές πρόσβασης και του χορηγηθούν άδειες πρόσβασης στις απαιτούμενες εγκαταστάσεις.
     β) Λάβει ψηφιακά πιστοποιητικά για την πρόσβαση και εκτέλεση Υπηρεσιών Δημοσίου Κλειδιού.
Επιπλέον, οι Αρχές Εγγραφής οφείλουν να προβαίνουν στις ακόλουθες ενέργειες:

Γ.3. στη συνεχή εκπαίδευση και ενημέρωση για τις σύγχρονες εξελίξεις στα θέματα των ψηφιακών πιστοποιητικών του προσωπικού της Αρχής Εγγραφής αλλά και του προσωπικού των εποπτευόμενων Εντεταλμένων Γραφείων αυτής, στο βαθμό και τη συχνότητα που είναι απαραίτητα, ώστε να εξασφαλίζεται η διατήρηση του απαιτούμενου επιπέδου επάρκειας γνώσεων (π.χ. αναφορικά με θέματα ασφαλείας).

Γ.4.  να ελέγχουν σε τακτά διαστήματα και αναλόγως των δυνατοτήτων αποθήκευσης των συστημάτων ηλεκτρονικών υπολογιστών, στους οποίους φυλάσσονται τόσο τα ηλεκτρονικά μηνύματα όσο και τα ψηφιακά αντίγραφα, και να λαμβάνεται μέριμνα ώστε να δημιουργούνται αντίγραφα ασφαλείας στο προσφορότερο μαγνητικό ή οπτικό μέσο.

Γ.5. η αναζήτηση οποιουδήποτε ηλεκτρονικού εγγράφου, η οποία γίνεται µε τη χρήση ειδικών φορμών αναζήτησης εγγράφων (query forms) και ειδικότερα μέσω:

      Γ.5.1) της χρήσης πολλαπλών κλειδιών (λέξεις, ημερομηνίες, όνομα αποστολέα / παραλήπτη, αριθμό πρωτοκόλλου κλπ).
      Γ.5.2) της χρήσης ελεύθερου κειμένου (full text retrieval) καθώς και µε τη χρήση ελεύθερου κειμένου σε συνδυασμό µε λέξεις κλειδιά
      Γ.5.3) της εφαρμογής συνθηκών αναζήτησης τύπου «και» / «ή».

Κάθε Αρχή Εγγραφής οφείλει να αναπτύξει και υποστηρίξει το κατάλληλο και απαραίτητο πληροφοριακό σύστημα με τα Εποπτευόμενα Εντεταλμένα Γραφεία για την παρακολούθηση των αιτήσεων των τελικών χρηστών, αν ο τελικός χρήστης δικαιούται να λάβει ψηφιακά πιστοποιητικά (παράδειγμα αν έχει την ιδιότητα μέλους, πειθαρχικές παύσεις, συνταξιοδοτήσης) και να ζητήσει την ανάκληση των ψηφιακών πιστοποιητικών του τελικού χρήστη εφόσον συντρέχουν οι απαραίτητοι λόγοι.

Τέλος, η Αρχή Εγγραφής θα πρέπει να καθορίσει τις οργανικές της μονάδες που είναι υπεύθυνες για τα παραπάνω, όπως και για τα εποπτευόμενα Εντεταλμένα Γραφεία. Σε κάθε μονάδα θα πρέπει να εξειδικεύονται οι ρόλοι και το προσωπικό που έχουν ως αποστολή την τήρηση των παραπάνω διαδικασιών.