Iznākusi jaunā HoP versija Octopus

[#1]

ŠEIT ir pieejams versijas apraksts.

Jaunāko versiju iespējams lejupielādēt šeit: https://drive.visma.lv/#Drive%2FHoP

[Anonymous]

Labdien!

Var redzēt , ka HOP funkcionalitāte attīstās, ka arī pieaug drošības riski. Parole vairs nav drošs autentifikācijas līdzeklis. Līdz ar to ir jautājums, vai tiek plānots ieviest 2-faktoru autentifikāciju, vai itegrāciju ar MSO365 vai Google SAML? Parasti to pieprasa auditori, vai arī pie strīdigiem jautājumiem - piem. ka darbinieks ir iepazinies ar darba kārtības noteikumiem, jebkurš jurists to varēs apstrīdēt.

[Artūrs Ernštreits]

teiktu, ka šim jautājumam ir divi aspekti -  juridiskie un drošības.

1. Juridiskie

Situāciju skaidro likums par Elektronisko dokumentu, kur 3. panta 2. punkts nosaka, ka

"elektroniskais dokuments uzskatāms par pašrocīgi parakstītu, ja tam ir drošs elektroniskais paraksts. Elektronisko dokumentu uzskata par pašrocīgi parakstītu arī tajos gadījumos, kad tam ir elektroniskais paraksts un puses par elektroniskā dokumenta parakstīšanu ar elektronisko parakstu ir vienojušās rakstveidā. Šādā gadījumā rakstveida vienošanās noformējama un parakstāma uz papīra vai elektroniski ar drošu elektronisko parakstu".

Savukārt 1.panta 4.punkts saka, ka "elektroniskais paraksts ir elektroniskais paraksts Regulas Nr.  910/2014/ES 3. panta 10. punkta izpratnē (elektroniski dati, kas pievienoti citiem elektroniskajiem datiem vai loģiski saistīti ar tiem un ko parakstītājs izmanto, lai parakstītos)".

Mūsuprāt, praksē tas nozīmē, ka ja, piemēram, darba līgumā, kurš tiek pašrocīgi parakstīts, ir minēts, ka darba kārtību paraksta autorizējoties sistēmā X, tam vajadzētu būt juridiski saistošam. Līdzīgi  šobrīd tiek arī atrunāts, piemēram, atvaļinājuma pieteikšanas vai komandējuma process, kas ļauj aizstāt pašrocīgi vai ar elektronisko parakstu veidotus rīkojumus.

Gan arī jāsaka, ka tiesu prakse šajā tēmā vēl tikai veidojas.

2. Drošības

Nevaram nepiekrist, ka 2 pakāpju autentifikācija ir drošāka par vienkāršu autorizāciju. Tomēr tas drīzāk ir iekšējās IT drošības jautājums (iekšējās prasības pret sistēmām) un mazāk juridisks jautājums. Šobrīd ir arī pieejami apkārtceļi drošības paaugstināšanai (piemēram, tikai piekļuve no iekšējā tīkla), kas paaugstina drošību, bet, protams, ierobežo arī iespējas pieslēgties, kas kopumā ir svarīga pašapkalpošanās iespēja.

Attiecīgi, runājot par mūsu attīstības plāniem šajā kontekstā, šobrīd mēs plānojam tuvākajā periodā (pusgads / gads)  strādāt pie šādiem uzlabojumiem prioritārā secībā:

1. Autorizācijas drošības paaugstināšana (iespējamie tehniskie risinājumi vēl tiek vērtēti)

2. Drošs elektroniskais paraksts, kas ļautu atteikties no pašrocīgas dokumentu parakstīšanas

[Anonymous]

Paldies Artūr par komentāriem!

Par 2-faktoru nepiekrītu, jo PSD2 regulā tā ir prasība ( kas apliecina, ka EU izvēlās drošus risinājumus). Proti, šeit (HOPā) nav nekāds finanšu darījums, bet tikai piekrišana. Paroli var viegli nokopēt un uzzināt ar phishing metodi. Manuprāt, 2 faktors ir drošāk 🙂

Ok, katram ir savs viedoklis, bet gaidīsim uzlabojumus šai tēmā.

Jauku Dienu!