Siirde käskud: turvage elektrooniline signeerimisega

Miks siirde käskud on petturite sihikul?

Siirde käskud on üks kõige rohkem kibestatavamaid haavatavuse punkte küberpaganitele. Prantsuse Panga 2025. aasta aruande kohaselt maksevahenditele esitatud turvalisusest kujutab pangasiirde pettus ettevõtetele 1,2 miljardi euro kahju. Niinimetatud "vale siirde käske" (FOVI) või presidendi pettust sihtotstarbeliselt dokumentide kinnituse ahelis: halvasti kaitstud käsk, allkirjastatud lihtsa parafii skäneeringuga või emaili kaudu saadatud ilma autentimiseta, muutub ideaalseks sisenemisteeks.

Selle tegelikkuse silmitseismiseks muutub ettevõtetele mõeldud elektrooniline signeerimine tugevaks tehniliseks ja õiguslikuks vastuseks. See ei piirdu vaid allkirja pildi paigutamisega PDF-ile: see loob unikaalse krüptograafilise sõrmejälje, ajatembiga, seotud signatari kinnitatud isikuga. Käesolevas juhendis analüüsime siirde käskudele seatud küsimusi, kasutamisele võetavaid signatuuritasemeid, pangaautentimise rolli ja operatiivset rakendamist finantsustuste ja raamatupidamise teenistuses.

---

Erinevat tüüpi siirde käskud ja nendega kaasnevad riskid

Ühekorralised käskud ja püsivad käskud

Ühekorraline siirde käsk lubab ühte edastamist määratud kasulejale, määratud summas ja kuupäeval. Püsiv käsk (nimetatakse ka korduva käsuna) lubab korduvaid siirdeid kokkulepitud sagedusega. Risk ei ole sümmeetriline: mittekatkenud püsiv käsk või käsk, mille saanud isikut on pettulikult muudetud, võib põhjustada kaotusi kuude jooksul enne, kui see avastakse.

SEPA-põhjapetuste käskud (SDD — SEPA Direct Debit) on eriti juhtum: need lubavad krediteerijal peale signatuuriga käsuna SEPA Scheme'i reeglitele vastasel viisil otseselt debiteerija konto pealt. SEPA regulatsioon nõuab, et see käsk oleks arhiiveeritud kogu kaubandussuhte ajal ning 14 kuud pärast viimast pealtpeale võtmist — tugev dokumentaarne piirang, mis toetab turvalist dematerialiseerimist.

Dokumentaalse pettuse vektorid

Kolm vektorit koondavad enamasti teatatud juhtumeid:

1. Võltsitus pärast signeerimat: RIB või summa muutmine käsul, mis on käsitsi allkirjastatud ja emailiga saadetud, ilma krüptograafilise pitseerimiseta.
2. Signatari isikutamise vargus: käsk saadetud kompromiteeritud emaili aadressilt, ilma identiteedi reaalajas kontrollita.
3. Audiiteerimise jäljede puudumine: võimetus tõestada, kes, millal ja mida allkirjastas, juhtumi korral pangas või kolmandate pooltega.

Elektrooniline signeerimine omab õiguslikku väärtust täpselt selle võimes neid kolme vektorit samaaegselt kahjustada.

---

Milline elektrooniline signeerimine siirde käske jaoks?

Regulatsioon eIDAS (nr 910/2014) määratleb kolm elektroonilist signatuuritaseme: lihtne (SES), arenenud (AdES) ja kvalifitseeritud (QES). Siirde käskude jaoks tuleb taseme valik olla proportsionaalne operatsiooni summale, korratusele ja riskiprofiilile.

Arenenud elektrooniline signeerimine (AdES): operatiivne standard

Enamiku ettevõtete-ettevõtte siirde käskude jaoks moodustab arenenud elektrooniline signeerimine optimaalse tasakaalu turvalisuse ja praktilisuse vahel. See vastab eIDAS poolt määratletud järgmistele nõuetele:

• Üheselt seotud signataariga
• Võimeline signatari tuvastama
• Loodud signatari eksklusiivsest kontrolli all olevate andmetega
• Seotud allkirjastatud andmetega viisil, mis võimaldab tuvastada hilisemat muutmist

Praktiliselt tähendab see mitmekordset autentimist (OTP SMS, mobiilirakenduse TOTP või olulise taseme sertifikaati), PDF pitseerimist, mis vastab PAdES (ETSI EN 319 132) standardile, ja kvalifitseeritud elektroonilist ajatembelsust, mis fikseerib allkirjastamise kuupäeva ja kellaaega muutmatuks.

Kvalifitseeritud signatuur (QES): kõrge panusega operatsioonidele

Siirded, mis ületavad teatud siseseid piire (tavaliselt 50 000 € või 100 000 € suurte kontsernide sisesete kontrollpoliitikate kohaselt) või mis hõlmavad tundlikke vastaspooleid (välismaine hankijad riskitsoonides, hiljuti registreeritud saajad), väärivad kvalifitseeritud signatuuri. See nõuab identiteedi üle kasvotusse või videoidentifikatsiooni teel kinnitatud usaldusväärse pakkuja (QTSP) juures, keda tunnustas ANSSI.

QES on ainus signeerimine, millel on Euroopa Liidus mahlakirjaga allkirjastamisega samaväärtne väärtus, ilma et seda oleks võimalik ainult selle aluse peal vaidlustada. Tresoori- või DAF-juhi jaoks on see vastuoluline garantii nõukogu või välise audiitori ees.

Tugev pangaautentimine täiendava kihina

Direktiiv DSP2 (muudetud DSP3-ks 2026. aastal) nõuab tugevat kliendi autentimist (SCA — Strong Customer Authentication) virvelite valideerimiseks panga pool. See autentimine toetub vähemalt kahele tegurile: midagi, mida kasutaja teab (parool), omab (telefon) või on (bioloogia).

Oluline on eristada kahte sekkumistaseme:

• Käsu allkirjastamine (õiguslik dokumentaarne tegu): tegemist eIDAS ja lepingu õigusega.
• Maksekäsu valideerimine (pangaline juhis): tegemist DSP2/DSP3 ja pankade lepinguga.

Need kaks kihti on vastastikku täiendavad, mitte asendatavad. Certyneo platvorm turvab esimest; teie pank teist. Koos moodustavad nad täieliku tõendite ahela, alates otsusest siirde käsu väljastamisest kuni selle täitmiseni.

---

Operatiivne rakendamine: elektrooniline signeerimine käskude valideerimise ringlusesse integreerimine

Olemasolevate dokumentide ringluskaardid

Enne igasugust juurutamist tuleb kaardistada ringlussuunad: kes käsku algatab? Kes seda valideerib? Kes seda arhiiveerib? Paljudes väikestes ja keskmise suurusega ettevõtetes läheb see ring veel läbi emailide, siseveibiga jagatud failide ja suuliste valideerimiste kogum. See läbitungimatus on ise operatiivne risk, mida nimetavad COSO-soovitused (Committee of Sponsoring Organizations of the Treadway Commission) sisekontrolli kohta.

A elektrooniline signeerimine lahenduste võrdlus aitab teil teha kindlaks oma mahule ja integratsioonipiirangutele (ERP, TMS, tarnijate portaal) sobiva platvormi.

Mitme allkirjastaja kinnituse töövoogude seadistamine

Reegel neli silma (kahekordne kinnitamine) on sisekontrolli head tava, mida soovitab AMF ja revisjonist. Kaasaegsed allkirjastamise platvormid võimaldavad seadistada:

• Allkirjastamise järjestusi (signataar A peab kinnitama enne signataar B)
• Delegeerimispiire (rahandusjuht allkirjastab üksinda kuni X €-ni, mittepoolt juht üle selle)
• Automaatsed hoiatused ja meeldetuletused igal ajatembeldatud tegevusega
• Elektroonseid procuratsioone puudumisperioodideks, mille juhtimine on kirjeldatud prokuratsiooni ja käsu juhendis

Arhiveerimine ja audiiteerijäljed: dokumentaalised nõuded

Iga elektrooniliselt allkirjastatud siirde käsk tuleb arhiiveerida signeerimisjälja (sertifikaadi ahel, audiitoriaruanne, SHA-256 faili räsi) kaudu. See arhiveerimine peab olema tõenduslik: loetav, puutumatu ja juurdepääsetav kogu seaduslik säilitamise aja jooksul (10 aastat raamatupidamisdokumentidele kaubanduskoodeksi 123-22 artikli alusel).

Nõuetekohased lahendused loovad automaatselt tõendamisfaili (LTV — Long Term Validation), mis on integreeritud allkirjastatud PDF-ile, mis võimaldab kontrolli signeerimine kehtivust isegi pärast esialgse sertifikaadi aegumist. See on ETSI EN 319 132 (PAdES-LTV) standardite nõue.

---

Rahandusjuhtidele mõõdetavad eelised

Pettuseriske vähendamine ja seotud kulude vähendamine

ACFE-i 2024. aasta uuringu kohaselt registreerivad organisatsioonid, millel on digitaalsed dokumentaalsed kontrollid keskmiselt 52% vähem kaotusi pettuseintsident suhtes sisemisest ja välisest allikast võrreldes paberil põhinevate protsessidega. Elektrooniline arenenud signeerimine kõrvaldab eriti võimaluse muuta dokumenti pärast allkirjastamist, kõrvaldades faktiliselt saatjajärgse võltsingut.

Kinnituse tsüklite kiirendamine

Paberkandjal sisekontrolli ring siirde käsuks võtab ettevõttes keskmiselt 3 kuni 7 tööpäeva (Kyriba/Ipsos 2025 uuringu kohaselt käsurahastuse teadusuuringutest). Üleminek numbrile toob selle aja mõneks tunniks või minutiteks rutinaliste eelnevalt parameetriga konfigueeritud töövoo operatsioonidega. Tresoori jaoks, kes korraldab likviidsuse vajadusi reaalajas, on see kasv strateegiline.

Nõuetekohasus ja auditi lihtsustamine

Maksu kontrolli või õigusaudiidi ajal on sisekontrolli taasloomimine siirde käskude üle ajanapastav ülesanne. Elektrooniline signeerimine süsteemiga saab iga käsk kaasneda muutumatussa audiitorilogiga: kuupäev, kellaaeg, IP aadress, signatari tunnus, autentimine tulemus. See traçabiliteetse tase vastab otseselt audiitorite ja DGFiP ootusele usaldusväärne audiitijälje (PAF) suhtes.

Siirde käskudele kohaldatav õiguslik raamistik

Lepinguliste õiguste tavaline seadus ja tõendus

Prantsuse õiguses määratleb tähtsamatu 1366 artikkel üldpõhimõtte: „Elektrooniline tekst omab sama tõendustugevust paberkandjal tekstiga, eeldusel, et tal on võimalik nõuetekohaselt tuvastada isik, kellelt see pärineb, ning see on loodud ja säilitatud sel viisil, mis garanteerib selle terviklikkuse." Artikkel 1367 täpsustab, et elektrooniline signeerimine koosneb usaldusväärsete protseduuride kasutamisest, mis tagavad selle seose teoga, millele see on kinnitatud.

Neid sätted täiendatakse dekreetiga nr 2017-1416 28. septembrist 2017 elektroonsele signeerimisele, mis täpsustab, et elektrooniline signeerimine protseduurid on usaldusväärsed, kuni vastupidiseks tõendiga, kui need rakendavad elektroonilist kvalifitseeritud signeerimet eIDAS mõistese.

Regulatsioon eIDAS nr 910/2014 ja selle muudatus eIDAS 2.0

Regulatsioon eIDAS nr 910/2014 moodustab õigusealuse. See määratleb ühtse raamistiku elektroonilist signeerimet vastastikkuse tunnustamiseks 27 liikmesriigis. Artikkel 25(1) sätestab, et elektrooniline signeerimine ei saa keelata õiguslikke mõjusid ainult selle alusel, et see on elektrooniline. Artikkel 25(2) omistab kvalifitseeritud signeerimisele sama õiguslik väärtus kui käsitsi signeerimisele. 2024. aastal täiendati raamstikku eIDAS 2.0 (regulatsioon EU 2024/1183) esitledes Euroopa digitaalse identiteedi rahakoti (EUDIW) ja laiendades kvalifitseeritud usaldusväärse teenusepakkuja nimekirja.

SEPA pealtpeale võtmise käskude puhul nõuavad EPC Scheme Rules (Euroopa Maksekomitee) debiteerija poolt allkirjastatud käsku, keda säilitab krediteerija, mis vastab identifitseerimise standardi. Arenenud elektrooniline signeerimine on EPC suunistele otseselt tunnustatud kehtivaks signeerimisvõimaluseks.

Direktiiv DSP2 / DSP3 ja tugev autentimine

Direktiiv DSP2 (2015/2366/EL), transponeeritud prantsuse õigusesse rahapereotsuste ja finantsusluse kodeksi artiklis L. 133-44, nõuab tugevat autentimist (SCA) virvelite online valideerimiseks, mis ületavad 30 €. Muudatus DSP3 (seadusepakk omaks 2024. aastal, astuvad jõusse progressiivset 2025-2026) tugevdab turvalisuse nõudeid ja laiendab makseteenuste pakkujate vastutust pettuseriske eiramisel.

GDPR ja autentimisandmete töötlemine

Biomeestriliste andmete ja autentimisandmete töötlemine, mille saadakse signeerimine ajal, käib GDPR artikli 9 alusel (tundlikud andmed) nr 2016/679 ja nõuab nimetatud õiguslikku alust. Kvalifitseeritud pakkujad (QTSP) peavad omama dokumenteeritud mõjuanalüüsi (AIPD/DPIA). Signeeriandmed peavad olema minimeeritud, krüpteeritud puhkeolekus ja sidevahetus ning kustutatud määratletud säilitusperioodi alusel.

ETSI tehnilised standardid

Euroopas tunnustatud signeerimisvormingud määratleb ETSI EN 319 132 (PAdES PDF-ile), ETSI EN 319 122 (CAdES) ja ETSI EN 319 162 (XAdES). Pikema aja jooksul arhiiveeritud siirde käskudele on PAdES-LTV (Long Term Validation) soovitatav, kuna see sisaldab tulevase signeerimine kehtivuse kontrolli jaoks vajalikud teavet, olenemata esialgse sertifikaadi eluiga.

Kasutamise stsenaariumid: siirde käskud turvatud elektroonilise signeerimisega

Stsenaarium 1 — Keskmise suurusega tööstusettevõte, mis haldab 400 hankija mandaati kvartalis

Umbes 350 töötajaga ja 120 aktiivse hankijaga keskmise suurusega tootmisettevõte haldasid siirde käske: käsu käivitamine ERP-is, PDF printmine, rahagavnuse parafii või asjaomase allkirja käsitsi, skaneerimine ja arhiveerimine jagatud serverisse.

Pärast tuvastatud pettusekatset vale virve luua (RIB muutmine pitseerimata PDF-iga emaili kaudu saadetud), kasutatud elektrooniline arenenud signeerimine ERP-i integreeritud API kaudu. Tulemused 6 kuu jooksul:

• Valideerimise keskmine aeg: muutunud 4,2 päevast 6 tunnini
• Mandaadi töötlemise kulu: vähendatud 38% (printimine, skaneerimine, sisesed kirjad eemaldatud)
• Täielik audiiteerimis jälg: saadaval reaalajas revisorile, ilma käsitsi taastamiseta
• Null pettuseriske juhtumid dokumentaalsetel perioodil

Stsenaarium 2 — Omavalitsuste rühm ja selle subsidiseerimine siirde käskud

Omavalitsuste rühm kümne kohaliku vallaga haldasid subsideerivaid siirde käske kohalikele organisatsioonidele, umbes 2000 aasta operatsiooni. Valitud ametnikute allkirjad võeti nõupidamiste ajal, piirangutega nõupidamiste kalendritele ja dokumentaalse kaotamise riskidele.

Dematerialiseerimine käskudele arenenud elektroonilise signeerimisega, integreeritud avaliku raamatupidamise halluse tarkvarasse, võimaldab:

• Kaugallkirjastamine valitud ametnikelt nende turvalisust isiklik ruum, ilma kohustusliku füüsilise kohalolekuta
• Nõuetekohasus Hélios raamistikule (ühilduvus riigi vahetus protokolliga omavalitsustele)
• Subsideerimise väljamaksmise viivitise vähendamine 60% (keskmisest 22 päevast 9 päevani)
• Automaatne arhiveerimine nõuetekohaline piirkondade kontrollkodade nõuete alusel

Stsenaarium 3 — Pärandi haldusekabinet ja tema klientide siirde käskud

Umbes 25 töötajaga ja 800 aktiivse kliendiga sõltumatu pärandi juhtimine kabinet tahtis hankida klientide allkirja siirde käskud arvelduse täitmiseks aktsiate kontodele ja elukindluse lepingutele. Postprotsess võttis keskmiselt 8 päeva, puudulike vastusele määra 15% (puuduv alkirja, kuupäev puudu jne).

Pärast arenenud elektrooniline signeerimine lahuse rakendamist tugevustatud tuvastamisega (identiteedi kontrolli + OTP), muutusid näitajad:

• Mandaadi kogumise aeg: vähendatud alla 2 tunnini keskmiselt
• Puudulike käskude määr: langenud alla 1% tänu automaatsele täiesetausta kontrollile
• Kliendi rahulolu mõõdetud NPS-ga: +18 punkti kasv kriteeriumis „haldustoimingute lihtsus"
• Tugevdatud nõuetekohasus AMF-i nõuetele kliendi juhiste traçabiliteedile (MiFID II artikkel 16)

Kokkuvõte

Siirde käskud, mis on elektrooniliselt allkirjastatud, ei ole enam luksus, mis on reserveeritud suurettevõtetele: need moodustavad tänaseks minimaalset turvalisuse ja nõuetekohase standardina kõikidele organisatsioonidele, kes haldavad tundlikke finantsvooge. Kombineerides arenenud või kvalifitseeritud elektroonilist signeerimet, tugevat autentimist ja tõenduslikku ajatemplikku, neutraliseerite peamised pettuseriskide vektorid, samal ajal kui kiirendate kinnitustsükleid ja lihtsustate audite.

Euroopa õigusraamistik — eIDAS, DSP2/DSP3, tsiviilkoodeks — on nüüd küps ja tunnustatud pangade, revisjoniste ja kohtute poolt. Jääb vaid rakendamine.

Certyneo juhib teid siirde käskude turvamisel elektrooniline signeerimise platvormi abil, mis vastab eIDAS-ile, on integreeritav teie olemasolevate tööriistu ja kasutada tehnilise koolituseta. Avastage Certyneo hinnakirjad või hinnake oma investeeringu tasuvust, et alustada oma projektiga täna.