| TÄRKEIMMÄT ASIAT LYHYESTI Ei pelkkiä kuvia: PDF-tiedostossa näkyvä allekirjoituksen kuva ei ole oikeudellisesti merkityksellinen – ratkaisevaa on taustalla oleva kryptografinen varmenne. Tarkastuksen kolme pilaria: Validoinnissa tarkistetaan aina allekirjoittajan henkilöllisyys, asiakirjan aitous (integroituus) ja varmenteen voimassaolo. EUTL-tekijä: Pätevä sähköinen allekirjoitus (QES) tunnustetaan oikeudellisesti 100-prosenttisesti koko Euroopassa vain, jos luottamuspalveluntarjoaja (TSP) on EU:n virallisella luottamusluettelolla (EUTL). Yhdysvaltojen kilpailuhaitta: Monet yhdysvaltalaiset työkalut eivät läpäise eurooppalaisia testityökaluja (kuten valtion RTR-akkreditointipalvelua), koska ne eivät ankkuroi varmenneketjuja riittävällä tavalla. |
Johdanto: Miksi ”tarkastaminen” on digitaalisten prosessien todellinen perusta
Monissa yrityksissä sopimusten digitaalinen allekirjoittaminen on jo kauan ollut vakiintunut käytäntö. Vaikka allekirjoitusten hankkimiseen panostetaan valtavasti energiaa, yksi perustavanlaatuinen kysymys jää usein vastaamatta B2B-arkipäivässä: Miten tarkistatte asiakirjat, jotka palautuvat allekirjoitettuina yritykseenne?
Yritykset vaihtavat päivittäin arkaluonteisia sopimuksia – henkilöstöhallinnon työsopimuksista toimittajasopimuksiin ja suurten volyymien rahoitustransaktioihin. Jos luotat siihen, että skannattu allekirjoitus tai pelkkä visuaalinen paikkamerkki PDF-tiedostossa on oikeudellisesti pätevä, otat valtavan compliance- ja vastuuvastuun riskin. Vasta järjestelmällinen, kryptografinen varmennus antaa teille oikeudellisesti pitävän varmuuden siitä, että sopimusosapuolenne on todellakin se, joksi hän väittää olevansa, ja että sopimustekstiä ei ole jälkikäteen manipuloitu.
Tekninen anatomia: Mitä tapahtuu, kun tarkistat digitaalisen allekirjoituksen?
Kun tarkistat digitaalisen allekirjoituksen (esimerkiksi sproof Validatorin, Acrobat Readerin, valtion validointipalvelujen, kuten Itävallan Rundfunk und Telekom Regulierungs-GmbH:n, tai erikoistuneen ohjelmiston avulla), taustalla tapahtuu kolmivaiheinen prosessi:
1. Asiakirjojen eheyden tarkistaminen (hash-arvojen vertailu)
Allekirjoituksen yhteydessä algoritmi tiivistää koko tiedoston sisällön ainutlaatuiseksi digitaaliseksi sormenjäljeksi – niin sanotuksi hash-arvoksi. Tarkistustyökalu laskee tämän hash-arvon uudelleen tiedostoa avattaessa. Jos nykyinen hash-arvo vastaa tarkalleen allekirjoitushetkellä salattua arvoa, voidaan todeta, että asiakirjaan ei ole tehty yhtään merkkiä koskevia muutoksia allekirjoituksen jälkeen.
| sproof Insight vs. Yhdysvaltain markkinajohtaja: sproof sign kiinnittää jokaisen allekirjoituksen allekirjoitushetkellä suoraan ja oikeudellisesti pätevällä kryptografisella menetelmällä PDF-tiedostoon. Yhdysvaltalaiset palveluntarjoajat, kuten DocuSign, sijoittavat allekirjoitukset prosessin aikana usein vain visuaalisina kuvina asiakirjaan ja lisäävät lopullisen yhdistelmäleiman vasta lopullisen latauksen yhteydessä. Tämä vaikeuttaa tarkastustyökalujen jälkikäteen tehtävää tarkkaa selvittämistä siitä, milloin mikäkin konkreettinen lomakekentän muutos on tehty. |
2. Digitaalisen varmenteen vahvistaminen (tunnistautuminen)
Jokainen edistynyt (FES) tai pätevä sähköinen allekirjoitus (QES) on erottamattomasti sidottu digitaaliseen varmenteeseen. Tämä varmenne toimii digitaalisena henkilötodistuksena. Tarkistustyökalu poimii varmenteen metatiedot tunnistaakseen allekirjoittajan nimen, vahvistetun sähköpostiosoitteen ja varmenteen myöntäjän (Trust Service Provider, lyhennettynä TSP).
3. Vertailu Euroopan unionin luotettujen varmenteiden luetteloon (EUTL)
eIDAS-asetus takaa todistusvoiman maksimoinnin Euroopan alueella. Tiukasti säännellyillä toimialoilla vaaditaan vakiona pätevää sähköistä allekirjoitusta (QES), sillä vain se on oikeudellisesti 100-prosenttisesti rinnastettavissa käsinkirjoitettuun allekirjoitukseen. QES-allekirjoitusta tarkistettaessa ohjelmisto vertaa allekirjoituksen myöntäneen palveluntarjoajan (TSP) tietoja Euroopan komission viralliseen luottamusluetteloon (EUTL). Jos palveluntarjoajaa ei ole akkreditoitu luetteloon, allekirjoitus menettää QES-statuksensa.
Miksi jotkut allekirjoitukset luokitellaan eurooppalaisissa tarkastustyökaluissa ”pätemättömiksi”
Eurooppalaisissa lakiosastoissa yleinen ilmiö: Yhdysvaltalaisella työkalulla allekirjoitettu sopimus ladataan RTR:n (Itävalta) viralliseen tarkastuspalveluun, ja se luokitellaan välittömästi ”pätemättömäksi” tai ”teknisesti todennettavaksi ”.
Tähän on syy: EUTL-akkreditoinnin puuttuminen. Monet globaalit hyperscalerit käyttävät vakiomerkinnöissään omia varmenneketjujaan, jotka on kyllä merkitty kaupallisissa luetteloissa (kuten Adobe Approved Trust List – AATL) ”vihreiksi”, mutta jotka eivät täytä eurooppalaisten valtion valvontaviranomaisten asettamia tiukkoja sääntelykriteerejä.
Askel askeleelta: Näin tarkistat digitaalisen allekirjoituksen käytännössä
Yrityksillä on pääasiassa kolme hyväksi todettua tapaa varmentaa allekirjoitukset tilintarkastuskestävällä tavalla:
- Tapa 1: Automaattinen validointi ohjelmiston ja API:n avulla (yrityksille) Suuret organisaatiot eivät voi tarkistaa saapuvia asiakirjoja manuaalisesti. Tällöin käytetään sproof Validate -kaltaisia moduuleja. REST-API:n avulla sopimukset skannataan automaattisesti asiakirjojen saapuessa, ne tarkistetaan kryptografisesti ja arkistoidaan muuttumattomalla tarkastusjäljellä (audit trail) asiakirjanhallintajärjestelmäänne (DMS).
- Tapa 2: Vahvistus suoraan sproof sign -alustalla Jos hallinnoit asiakirjoja keskitetyssä sproof sign -hallintapaneelissasi, riittää yksi yksinkertainen napsautus. Vie hiiri asiakirjaeditorissa olevan allekirjoituskortin päälle. Työkalu näyttää välittömästi päällekkäisikkunassa, onko allekirjoitus pätevä, mikä turvallisuusstandardi (EES, FES, QES) on käytössä ja mikä luottamuspalveluntarjoaja on myöntänyt varmenteen.
- Tapa 3: Manuaalinen tarkistus Adobe Acrobat Readerin avulla Maailmanlaajuisen PAdES-standardin ansiosta LTV-yhteensopivat (Long-Term Validation) allekirjoitukset voidaan tarkistaa myös offline-tilassa Adobe Readerissa. Adobe käyttää tähän upotettuja varmentajan tietoja (CRL/OCSP) vahvistaakseen allekirjoituksen historiallisen voimassaolon jopa vuosikymmenien ajalta.
Lopettakaa asiakirjojen hallintaan liittyvät oikeudelliset epävarmuudet
Automatisoi vahvistusprosessisi ja suojaa yritystäsi säännösten noudattamatta jättämiseltä. sproof sign- ja sproof Validate -ratkaisujen avulla voit luottaa 100-prosenttisesti eurooppalaiseen ratkaisuun – ilman minkäänlaista yhteyttä Yhdysvaltoihin, täysin GDPR-vaatimusten mukaisena ja ISO 27001 -sertifioituna.
Varaa nyt sitoumukseton esittelyaika tai kokeile sproof signia ilmaiseksi
Aiheeseen liittyvät usein kysytyt kysymykset
-
+–Mikä on ero visuaalisen allekirjoituksen ja digitaalisen varmenteen välillä?PDF-tiedostossa oleva allekirjoituksen kuva on tarkoitettu ainoastaan ihmisen silmälle näkyväksi tiedoksi. Oikeudellisesti ja teknisesti sitova on yksinomaan digitaalinen varmenne, joka… enemmän
PDF-tiedostossa oleva allekirjoituksen kuva on tarkoitettu ainoastaan ihmisen silmälle näkyväksi tiedoksi. Oikeudellisesti ja teknisesti sitova on yksinomaan digitaalinen varmenne, joka on salausteknisesti kiinnitetty PDF-asiakirjan koneellisesti luettaviin tietoihin. Pelkkä kuva ilman varmennetta ei juurikaan toimi todisteena sähköisestä allekirjoituksesta.
-
+–Voidaanko digitaalista allekirjoitusta tarkistaa ilman internetyhteyttä?Kyllä, edellyttäen että allekirjoitus tukee LTV-standardia (Long-Term Validation). LTV-toiminnon sisältävissä allekirjoituksissa kaikki tarvittavat varmenteen voimassaoloa koskevat tiedot upotetaan PDF-tiedostoon suoraan… enemmän
Kyllä, edellyttäen että allekirjoitus tukee LTV-standardia (Long-Term Validation). LTV-toiminnon sisältävissä allekirjoituksissa kaikki tarvittavat varmenteen voimassaoloa koskevat tiedot upotetaan PDF-tiedostoon suoraan allekirjoituksen yhteydessä.
-
+–Mitä tarkoittaa, kun tarkistustyökalu ilmoittaa: ”Myöntäjän identiteetti tuntematon”?Tämä ilmoitus ilmestyy yleensä silloin, kun asiakirja on allekirjoitettu työkalulla, jonka juurisertifikaattia ei ole tallennettu EU:n EUTL-luetteloon tai paikalliseen Windows-/Adobe-sertifikaattivarastoon…. enemmän
Tämä ilmoitus ilmestyy yleensä silloin, kun asiakirja on allekirjoitettu työkalulla, jonka juurisertifikaattia ei ole tallennettu EU:n EUTL-luetteloon tai paikalliseen Windows-/Adobe-sertifikaattivarastoon. Vaikka asiakirjan eheys voi olla säilynyt, sen asema oikeudellisesti pätevänä ”pätevänä sähköisenä allekirjoituksena” (QES) menetetään tämän vuoksi.
-
+–Mitä tapahtuu, jos asiakirjaan tehdään pieniä muutoksia allekirjoittamisen jälkeen (esim. lisäämällä sivunumero)?Heti kun PDF-asiakirjaa muutetaan edes vähäisesti digitaalisen allekirjoituksen lisäämisen jälkeen, kryptografinen allekirjoitusketju katkeaa. Jokainen ammattimainen tarkistustyökalu ilmoittaa välittömästi, että asiakirjaa… enemmän
Heti kun PDF-asiakirjaa muutetaan edes vähäisesti digitaalisen allekirjoituksen lisäämisen jälkeen, kryptografinen allekirjoitusketju katkeaa. Jokainen ammattimainen tarkistustyökalu ilmoittaa välittömästi, että asiakirjaa on manipuloitu ja että allekirjoitus on siten pätemätön. Sproofissa asiakirjaan syvälle integroidun ratkaisun ansiosta voidaan tarkasti jäljittää, onko asiakirjaan myöhemmin tehty sääntöjenvastaisia muutoksia ja mitä muutoksia on tehty.
-
+–Kuinka kauan digitaalinen allekirjoitus on voimassa ja todennettavissa?Vakioallekirjoituksia ei useinkaan voida enää validoida virheettömästi sen jälkeen, kun niiden perustana oleva varmenne on vanhentunut (yleensä 2–3 vuoden kuluttua)…. enemmän
Vakioallekirjoituksia ei useinkaan voida enää validoida virheettömästi sen jälkeen, kun niiden perustana oleva varmenne on vanhentunut (yleensä 2–3 vuoden kuluttua). Siksi sproof sign käyttää johdonmukaisesti LTV-standardia (Long-Term Validation). Tässä menetelmässä estotiedot (kuten CRL- tai OCSP-luettelot) upotetaan suoraan asiakirjaan allekirjoitushetkellä. Näin allekirjoituksen voimassaolo voidaan tarkistaa tarkastuskestävällä tavalla ja allekirjoittajalta riippumatta jopa vuosikymmenten kuluttua.
-
+–Voidaanko useita digitaalisia allekirjoituksia tarkistaa toisistaan riippumatta samassa asiakirjassa?Kyllä. Kun useat henkilöt allekirjoittavat asiakirjan peräkkäin (peräkkäinen työnkulku), PDF-tiedostoon tallentuu niin sanottujen versioiden historia. Tarkistustyökalu (esim. sproof Validate) tarkistaa… enemmän
Kyllä. Kun useat henkilöt allekirjoittavat asiakirjan peräkkäin (peräkkäinen työnkulku), PDF-tiedostoon tallentuu niin sanottujen versioiden historia. Tarkistustyökalu (esim. sproof Validate) tarkistaa jokaisen allekirjoituksen erikseen sen asiakirjan tilan perusteella, joka oli voimassa kyseisen allekirjoitushetkellä.
-
+–Miksi auditointiraportti (audit trail) on niin tärkeä compliance-vastaaville?Audit Trail (tarkastusloki) tarjoaa aukottoman, oikeudessa käyttökelpoisen historiatiedon koko allekirjoitusprosessista. Se dokumentoi, kuka on milloin tarkastellut, hyväksynyt ja allekirjoittanut asiakirjan,… enemmän
Audit Trail (tarkastusloki) tarjoaa aukottoman, oikeudessa käyttökelpoisen historiatiedon koko allekirjoitusprosessista. Se dokumentoi, kuka on milloin tarkastellut, hyväksynyt ja allekirjoittanut asiakirjan, mukaan lukien käytetyn varmennusmenetelmän (esim. kaksivaiheinen todennus tai pätevä sähköinen henkilöllisyystodistus). Tämä loki toimii auditoinneissa tai oikeudellisissa riita-asioissa ensisijaisena todisteena siitä, että allekirjoitus on tehty asianmukaisesti.
