Post Syndicated from Bozho original https://blog.bozho.net/blog/3779

Днес бях на среща с представител на ЦИК, Държавна агенция „Електронно управление“, БИС и БИМ относно процеса по удостоверяването на съответсвието на машините за гласуване с изисквания на Изборния кодекс и техническата спецификация.

Форматът беше презентации от трите институции, участващи в удостоверяването, последвано от въпроси от експертите (четиримма, в това число аз, от участниците в изборите и един от международен наблюдател). Аз зададох петнайсетина въпроса, като ще ги опиша тук, заедно с отговорите, които получих. Предупреждавам, че са доста технически и изискват доста контекст.

Важното нещо, което стана ясно, е че за тези избори ще се използва същият софтуер, като на изборите през април. Системният образ ще бъде този, направен за предните избори (проверимо с хеша му) и нов няма да се прави. Така всякакви опити да бъдат дискредитирани изборите, защото „някой пипа кодовете“, стават несъстоятелни.

В: В презентацията се споменаваше, че смарткартите имат чип на Infineon – проверено ли е дали тези модели са засегнати от уязвимостта ROCA, открита преди няколко години
О: Да, проверено е и няма тази уязвимост

В: В презентацията се спомена, че машините имат тестови режим и реален режим. Може ли една машина, участваща в реалния изборен процес, да бъде пусната в тестови режим?
О: Тестовият режим ползва различен build (системен образ) и съответно би имала различен хеш. Секционните комисии трябва да проверяват хеша и да сигнализират при несъответсвие.

В: Колко време издържа мастилото върху хартията на разпечатания протокол?
О: Мастилото и хартията са удостоверени, че издържат 5 години.

В: Кой извършва инсталирането и персонализирането на машините в складовете?
О: Доставчикът (Сиела-Норма)

В: Могат ли да бъде предоставен публичен достъп до разписките, които се генерират от машинтие при инсталиране и персонализиране на машините
О: Това е от компетенцията на ЦИК, които поискаха писмено да им бъдат изпратени въпроси, за да могат да отговорят по същество.

В: Валидирането на смарт картите на база на какво се извършва?
О: На база на комбинация от всички атрибути на сертификата. Сертификатът се слага на машината по време на персонализирането ѝ и след това само смарткарта, притежаваща този сертификат (и съответния му частен ключ) може да работи с машината.

В: При персонализирането на смарт картите къде се генерира частния ключ – на самата карта или извън нея?
О: На самата карта, което не позволява изтичане

В: Персонализирането синхронизирано ли е с решенията на РИК за проманя на листи (напр. при отказване, смърт)
О: Отразени са всички промени до момента. Оттук нататък всички промени минават през ЦИК и се синхронизират със Сиела.

В: Къде се намира частният ключ, с който се подписва протокола на флашката? На смарт картата или другаде?
О: На смарт картата (предназначена за членовете на СИК)

В: Кой присъства на правенето на build (системен образ)
О: Ще се използва билда от предните избори, на който са присъствали Сиела-Норма и представител на Държавна агенция „Електронно управление“

В: В какъв формат е системният образ?
O: FSA (File System Archive)

В: Изключена ли е възможността през USB порт да бъдат разпознавани клавиатури, мишки и други устройства (които потенциално могат да имат злонамерено действие)
О: Да, изключени са

В: Кой и как управлява ключовете за UEFI secure boot?
О: Въпрос от компетентността на ЦИК, с нужда от изпращане на писмен въпрос (членовете на ЦИК трябваше да излязат за заседание, което налагаше отнасянето до някои въпроси в тази форма)

В: Освен системната разписка, съдържаща хеша на всички файлове (с изключение на логове и временни), е възможно да се включи външен hash extractor, който да сметне хеша независимо. Как работи той?
О: Hash extractor-ът е bootable флашка, подписана със съответния ключ за UEFI secure boot, чрез която се извлича хеша.
Коментар: Тук предложението, което ще изпратим заедно с въпросите, е да се използва hash extractor-ът на извадка от машините преди и/или след изборите, за допълнителна проверка

В: Хешът на системния образ ще бъде ли публикуван?
О: Да

В: Как се гарантира рандомизацията на гласовете в криптираната част на флашката? (този въпрос ми беше в списъка, но го зададе колега от неправителствена организация. В доклада за предните избори пише, че всички файлове са с timestamp = 0 и със случайно генерирани имена, но колегата отбеляза, че ext3 файловата система има включено по подразбиране журналиране, което може да се използва за разкриване на поредността).
О: Слеед всеки подаден глас машината разменя съдържанието на новия глас със съществуващ клас в някакъв процент от случаите, така че да се получи рандомизация.

Полагам усилие да гарантирам, че всичко се случва възможно най-правилно и че всеки участник в процеса се чувства наблюдаван и инспектиран. Важно е, по много причини, изборите да са честни, и то доказуемо честни.

Материалът Технически въпроси и отговори относно машините за гласуване е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3775

Нека да опиша няколко основни принципа, на които трябва да стъпва електронното управление. Знам, че може да звучат общо, но без да се водим от тях, няма нищо да постигнем:

• еднократно събиране на данни – ако държавата вече има данни за вас, няма право да ги изисква отново (нито да ги въвеждате и декларирате, нито да ги доказвате с удостоверения)
• оперативна съвместимост – системите трябва да говорят на „един език“, т.е. да представят по един и същи начин общи структури от данни като „адрес“, „имот“, „професия“ и др.
• сигурна електронна идентичност – всеки гражданин трябва да има лесен и удобен начин да се идентифицира пред държавни органи (и не само) с цел използване на електронни услуги.
• конфиденциалност – когато толкова много наши данни са в електронен вид, съхранявани от държавата, трябват сериозни гаранции срещу злоупотреби. За всичките ни данни трябва да има информация кой има право да ги чете и кой реално ги е чел и с каква цел. Да получаваме известия, когато някой прочете наши данни и да няма изключения от това правило (в момента системата RegiX поддържа такива лоове, но писането в тях може да бъде заобикаляно)
• интегритет – никой не трябва да може да подменя данни (както в момента се подменят документи с корупционна цел). Никой не трябва да може да смени кръвната група в здравното ви досие, собствеността ви, данните за фирмата ви, офертата ви в процедура по ЗОП и др. В Естония използват технология, подобна на блокчейн за целта. Нужно е и у нас да има такава криптографска защита от подмяна (хубавото е, че има достатъчно open source блокчейн решения, които можем да използваме)
• наличност – не трябва да има никакъв риск от загуба на данни. При срива на Търговския регистър бяхме на една крачка от това, което щеше да значи хаос. Нужно е данните да имат адекватни резервни копия, включително в център за данни извън страната (както естонците го наричат – „посолство за данни“).
• удобство – услугите трябва да се правят за граждани, а не за бюрократи. Потребителският интерфейс трябва да е съврвеменен, а потребителското изживяване (UX) да е преминало през редица тестове.

Тези принципи звучат твърде технически, но всъщнсот почти всяко законодателно изменение може да бъде пречупено през тях. В Народното събрание ще съблюдавам за спазването им както от законодателната власт, така и от изпълнителната.

Материалът 7 принципа на електронното управление е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3743

На изборите на 11 юли съм на избираемото трето място в листата на Демократична България в 24 МИР (София) и ми се ще да направя ясна заявка за какво смятам, че ще съм полезен в парламента. На предните избори мотивирах участието си в листата (макар и по-назад), но сега трябва да направя следващата стъпка – да кажа защо смятам, че ще бъда полезен в парламента.

Известно е, че моята тема е „електронно управление“. За него съм писал десетки статии през годините, участвал съм в подготовката на законодателни изменения и стратегически документи, а в публикацията си „Визия за електронно бъдеще“ изреждам някои конкретни цели, но нищо от това не дава отговор на въпроса, на който трябва да бъде даден отговор в една предизборна кампания – „Защо електронно управление“?

Дигиталната трансформация на публичния сектор (каквото всъщност представлява електронното управление) често се възприема като технократско клише. Оптимизация на процеси, електронизация на хартиени документи, прозрачност, ефективност и т.н. скучни думи. Иска ми се да обясня защо това не е просто клише и защо можем да имаме една дигитална мечта за България, колкото и това да звучи пресилено на пръв поглед.

Електронното управление е политическо средство, а не цел. То е средство за по-високо качество на живот и за спокойствие за бъдещето.

С електронното управление държавата няма да виси на врата на гражданите и бизнеса и да ги тормози с всевъзможни удостоверения, бележки, свидетелства и други хартии, които (задължително с печат!) трябва да носите от една администрация до друга, понякога в рамките на различни населени места. Тази бюрокрация убива време, но убива и мотивация и нерви.

С електронното управление ще имаме по-качествено здравеопазване, с по-малко изтичащи пари по фиктивни пътеки и свръхнадценени лекарства, с по-малко лекарски грешки и пропуски (защото системата автоматично ще проверява дали например нямате алергия към изписано лекарство, която докторът не е съобразил), няма да трябва да носите картони, епикризи и изследвания напред-назад по болници, защото лекарите ще имат достъп до тях. Ще имаме адекватна медицинска статистика, на база на която ще може да се прави здравна политика на превенция, хора в рискови групи ще бъдат уведомявани за нужда от профилактични прегледи. С други думи – макар електронното управление да не лекува, с него ще бъдем по-здрави.

С електронното управление корупцията ще намалее значително, защото няма да може да се подменят документи, да се създават документи със задна дата, няма да може срещу някой лев документи да се придвижват „по бързата процедура“ (всяка процедура ще е бърза, защото в много случаи проверки по същество няма, а само формални). Ще има анализ на корупционния риск в изпълнителната власт, така че ако някой братовчед на заместник-министър изведнъж започне да печели много обществени поръчки или ако някъде има странно завишени цени на някой продукт, това да „светне“ – и за органите, и за обществото.

С електронното управление хората в неравностойно положение няма да бъдат лишени от гражданските си права, само защото не могат лесно да отидат на място и да занесат ТЕЛК-решение и още един куп документи. В краткия предходен парламент предложихме изменение в Изборния кодекс, при което хора с ТЕЛК да могат да заявяват мобилна избирателна секция, без да ходят до общината и без да прилагат документи, които държавата вече има.

С електронно управление ще бъде ясно как държавата харчи парите ни и ще бъдат съкратени разходите, така че да остават повече за съществени неща, като образование, здравеопазване, пенсии.

Мога да продължавам дълго, но обобщението е това – чрез електронно управление ще живеем по-добре.

Но нещата не свършват дотук – стратегически важно за страната е да бъдем от правилната страна на т.нар. дигитално разделение, при което едни държави и общества биха изостанали значително икономически спрямо останалите, защото няма да са развили уменията да използват дигиталните технологии.

За да имаме устойчиво общество в 21 век, трябва на всяко ниво – политическо, управленско (вкл. в частния сектор) и изпълнителско, не просто да имат дигитални умения, а нов начин на мислене – да знаят какво е възможно с дигиталните технологии. Рисковете от съкращаване на работни места вследствие на автоматизацията е значителен и трябва политическите ни представители да осигурят среда, в която това да няма драматични ефекти върху живота на хората. За притеснените от технологични антиутопии съм длъжен да кажа – технологията не измества ценностите, а прави по-лесно тяхното отстояване.

Ще трябва да оставим за момент политическите битовизми и да погледнем напред. Да видим накъде вървим и с каква скорост. Да опитаме да опитомим технологиите като общество, за да работят за нас – наука, образование, дигитални услуги, екосистема за иновации. Не на думи и на документи. Не със сгради и машини. А с хора и реални политики. За да живеем по-добре не само след пет години, а и след трийсет.

Как да стане всичко това пише в предизборната програма на Демократична България. А детайлите са много важни, защото е лесно да се опише една прекрасна картина на бъдещето, въпросът е как точно стигаме до там. Народните представители предлагат и гласуват закони, но и контролират изпълнителната власт. Второто дава много възможности за влизане в дълбочина, а не само в обща законодателна рамка.

Затова съм кандидат за народен представител – защото смятам, че с опита си, уменията си, мотивацията си и познаването на важните детайли ще мога да направя дигиталната трансформация на публичния сектор реалност и да помогна за това България да е устойчива в турбулентното технологично бъдеще. И не, нямам илюзии, че ще бъде лесно. Но си струва.

Материалът Защо „електронно управление“ и как ще работя за него в Народното събрание е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3733

Аргументът „защо пак нови избори, нищо няма да се промени“ се среща често. Срещаше се и 2013г, когато протестирахме срещу кабинета на БСП и ДПС. И в двата случая, това е аргумент на тези, които се притесняват от избори. И е неверен по няколко причини.

• Вече е ясно, че ГЕРБ няма да управлява – на предишните избори не беше ясно – много хора мислеха, че ще има пак някой трик, някое тайно съглашение по нощите и че щяхме да осъмнем с кабинет Борисов 4 или в най-добрия случай ГЕРБ 4 с Борисов, раздаващ задачи от „зайчарника“. Партиите в парламента удържаха обещанието си и без да формират управленска коалиция помежду си, не дадоха власт на ГЕРБ. Това е много значително, защото хората, които гласуват по принцип за победителя и/или за това да има управление, вече нямат причина да гласуват за ГЕРБ, защото те са в изолация и е ясно, че няма да управляват. Това води със себе си освен директно загубените гласове, и косвено загубените от корпоративните мрежи, които са чакали държавни пари по линия на управлението и затова са насочвали ресурс към ГЕРБ – ако те нямат такива гаранции, няма причина да наливат контролираните от тях гласове в празната каца на ГЕРБ. Не казвам, че ще мигрират към други партии, но може да се снишат.
• Опозиционните партии показаха принципност и конструктивност – Демократична България, Има такъв народ и Изправи се! показаха, че макар да имат фундаментални различия по много теми, могат да бъдат конструктивни по общи цели (т.нар. „тематични мнозинства“) и че не ги влече управлението на всяка цена. При ДБ и ИТН (слагам ДБ на първо място, защото съм част от тази коалиция) това според мен ще донесе допълнителни гласове. ИСМВ имат проблеми с кохерентността на групата си, които могат да нулират позитивите от тези няколко седмици.
• Промените в Избирателния кодекс ще донесат макар и малка промяна на баланса – към по-честни избори. Повече хора ще имат достъп до това да упражняват правото си на глас (дали в чужбина или след улеснена регистрация по настоящ адрес), а новата ЦИК няма да саботира изборния процес като предходната. Ще отпаднат и изкривяванията, получени заради недействителни бюлетини (дали нарочно направени невалидни или заради леко излизане на химикала от квадратчето). Ще отпаднат грешките при броенето. Няма да могат да бъдат снимани бюлетини и разнасяни бюлетини в „българска нишка“, така че тези, с купен и контролиран вот ще имат теоретичната възможност да го упражнят по-свободно. Всичко това на куп не е фундаментална разлика, защото изборните правила и механики сами по себе си не променят значително нещата, но разлика ще има и тя ще е към по-добро. Към изборния процес добавяме и факта, че вече новите партии ще имат представители в секционните комисии навсякъде и ще могат не просто като наблюдатели и застъпници да гарантират за честността на изборите.
• Служебният кабинет ще бъде фактор. Не бих възлагал големи надежди който и да е служебен кабинет да свърши твърде много неща, но е ясно настроението на Радев за възпиране на инструментите на ГЕРБ – дори ако МВР си свърши работата и реално противодейства на купуването на гласове, ще е достатъчна промяна. А има хипотетична възможност да направи и повече от това.
• Летният сезон – избори през лятото и след дълга пандемична зима няма начин да не се отрази на активността. Как ще се разпредели този ефект по различните партии ще видим, но със сигурност за немалко хора финалът на европейското първенство по футбол, гледан с бира на морето, ще е по-интересен от изборна нощ със скучни анализатори. Но от партиите зависи да покажат, че гласуването на тези избори ще бъде дори по-важно от на предходните.

Какви ще бъдат резултатите – не мога да предскажа. Бих допуснал спад при ГЕРБ, покачване при Демократична България и Има такъв народ. Разбира се, това зависи от работата в кампанията – няма нищо дадено и гарантирано. Обединение на патриотичните останки, което обаче далеч не им гарантира прескачане на бариерата. Дали ще може да се сформира управление и какво ще бъде то е твърде рано да се каже, но в тази кампания партиите ще трябва да покажат готовността си да управляват и яснота на управленската си визия. И от това ще зависи колко точно ръст ще имат и колко точно ще отслабне ГЕРБ.

Но резултатът от следващите избори ще бъде различен, ще доведе до различна конфигурация и различни възможности за управление. Какви ще бъдат те – ще кажат избирателите.

Материалът Какво ще се промени с нови избори? е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3728

ЦИК обяви кои ще са новите депутати. Аз не съм между тях, но искам и тук, както във Фейсбук, да благодаря на всички гласували за мен – макар да нямам депутатска карта, можете да ме считате за депутат, а с експертизата си ще помагам на парламентарната група.

И именно от тази гледна точка ми се щеше най-накрая де публикувам нещо, което отдавна ми се струва важно – кратък списък с добри законодателни практики, основно с оглед на електронното управление, но не само. Защо аз, без нито един ден като депутат, мога да говоря за законодателство? Ами написал съм немалко законодателни изменения, а и подзаконови актове. Но по-важното – следя кои са нормативните пречки пред въвеждането на електронно управление и те с както в стари закони, така и в нови, защото просто депутатите невинаги си дават сметка какви са практическите последствия от гласуваните текстове.

Такава публикация има на пръв поглед твърдя тясна аудитория, но качеството на законодателството е тема от широк интерес, която дори сме обсъждали с избиратели и заинтересовани групи в предизборната кампания. Така че ето кратък списък с добри практики:

• Не трябва да се въвеждат изисквания за удостоверения – законите създават права и задължения. Когато в закон пише „заявителят представя удостоверение за Х“, то задължението за това е негово. Администрацията може да приложи Закона за електронното управление и вместо да го иска от гражданина, да го събере служебно и да му го представи за потвърждение, но това е заобиколен начин да се изпълни законовото изискване, и поради това не много го правят – а всеки закон се явява специален спрямо Закона за електронното управление и администрацията казва „ами то може в ЗЕУ да пише, че трябва да съберем служебно, ама в НАШИЯ закон пише вие да го представите“. Затова удостоверяването на обстоятелства трябва да е задължение на администрацията, напр. „органът по чл. ХХ установява наличието на следните обстоятелства“. Това оставя възможност все пак за изискване на удостоверение в подзаконовата нормативна уредба, ако такова не може да бъде събрано служебно или авотматизирано, но задължението да разбере дали заявителят отговаря на всички условия е на администрацията
• Без декларации за служебно проверими обстоятелства – като алтернатива на удостоверенията се използват декларациите – заявителят декларира, че нещо е така, както пише в закона, но ако то се окаже иначе, той носи отговорност за деклариране на неистина (по чл. 313 от Наказателния кодекс). Има немалко дела за това – част от тях се разминават с административна санкция (НК позволява това), но това не значи, че е приятно. Другият минус на тези декларации е, че правят заявяването на услугите по-сложно – освен заявление трябва да се попълват по няколко декларации „по образец“. Нерядко законите (и съответно администрацията) ни кара да декларираме данни, с които администрацията разполага. Къде точно е границата между служебното събиране и декларирането не е очевидно, но ако нещо е толкова значимо, че да бъде законово изискване, то администрацията трябва да разполага с него в структуриран вид. Разбира се, понякога регистър липсва и декларацията е единственият начин, но това трябва да е само в преходен период – докато се появи такъв електронен регистър.
• Минимизиране на нотариално заверените декларации – декларациите са неудобни, но когато трябва да се разходите до нотариус, това не само ни бави и струва пари, а и чупи възможността за изцяло електронно предоставяне на услугата. Защото документът, който изпращаме, трябва да е сканиран, а не в оригиналния си електронен вид. Още повече, че квалифицираният електронен подпис, поне за някои неща, може да бъде приравнен на нотариално заверен, защото доставчиците на квалифицирани удостоверителни услуги проверяват нашата самоличност като ни издават подписа, а към него съществуват технически гаранции, че не може да бъде копиран и използван от друг. Разбира се, нотариусите няма да останат без работа, но в момента законодателството изисква излишно много нотариални заверки (напр. декларацията по ЗМИП)
• Необходимо е да се водят електронни регистри – когато се въвежда регистър със закон, той е редно да спазва изискванията на Закона за електронното управление. Макар това да звучи подразбиращо се, то не е така и е нужна изрична препратка към ЗЕУ. Всеки закон урежда реда на водене на своите регистри, но има много общи компоненти, които са съществени и няма нужда да се копират навсякъде – проследимост и история на действията, отворени данни, уникални идентификатори, отворени програмни интерфейси и т.н. Всички тези неща са описани в наредба към ЗЕУ, но рядко се изпълняват, защото липсва връзката между въведения със специален закон регистър и подзаконовата нормативна уредба на ЗЕУ. Затова за всеки нововъведен регистър е добре да има една алинея: „Регистърът по ал. х трябва да отговаря на изискванията на Закона за електронното управление“
• Задължителна електронна комуникация за големите компании – когато кръгът регулирани от даден закон лица включва големи компании (напр. банки, застрахователи, телекоми), то задълженията за докладване могат и трябва да бъдат само по електронен път. Примерът отново е Законът за мерките срещу изпирането на пари, където има предвидена опция за електронно докладване за съмнителни транзакции от банките към ДАНС, но това не е задължително и съответно тази система не работи ефективно. Банките изпращат писма на хартия, които не е ясно доколко се обработват (имаше такъв казус покрай изтеглена голяма сума от обвиняем). Можем да презюмираме, че компании над определен размер са длъжни да имат адекватен ИТ капацитет.
• Без несвързани изменения с „преходни и заключителни разпоредби“ – един закон може да изменя други закони, когато има логическа връзка между тях – напр. ако изменяш Закона за търговския регистър и регистъра на юридическите лица с нестопанска цел, ако някой друг закон споменава ЗТРРЮЛНЦ, той може да трябва да бъде изменен. Но нерядко депутатите използват този инструмент да правят абсолютно несвързани промени, защото нещо им е хрумнало (или защото трябва да прокарат нещо по-тихичко). Има си процедура за това – нов законопроект. Ако парламентът работи ефективно, може да гледа малки законопроекти отделно.
• Без значителни промени между първо и второ четене – между двете четения депутатите могат да правят предложения за промени в даден законопроект. Това е съвсем естествено, тъй като на първо четене се приема законопроектът „по принцип“, а детайлите му се разглеждат на второ четене. Но съществува практиката след като е приет законопроект по принцип, в него да се направят толкова значителни промени, че принципното съгласие по него вече да не е налице. Напр. с редакция между първо и второ четене не върви да се променят данъчни ставки. Ако някой иска да внася някаква значителна промяна, да се е сетил навреме, когато се вкарват за разглеждане група законопроекти по един закон. Ако му е толкова важно, през председателския съвет да помоли да се изчака малко, докато са му готови измененията. Така е доста по-чисто и честно спрямо избирателите, а и спрямо изискванията за оценка на въздействието.

Списъкът не е изчерпателен и не искам да звучи „наставнически“ (въпреки, че имам някакъв законодателен опит, не се имам за гуру). Но това са неща, които народните представители е добре да имат предвид – като предлагат текстове и като гласуват текстове. По-доброто законодателство зависи от всеки един депутат.

Материалът Кратък наръчник на законодателя е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3722

Държавна агенция „Електронно управление“ публикува обобщена версия на доклада за съответствие на машините за гласуване.

На първо място – трябва ЦИК да публикува всички протоколи към доклада, а не само тази обща част. Тя оставя много въпроси по детайлите (но все пак е добре, че я има).

Извън това, имам следните общи коментари. Някои от тях може би са твърде технически, но ще опитам да дам и разяснения по тях:

• Предоставени са три машини. Това е малко, като не става ясно от кои партиди на доставка са били, т.е. дали от всяка доставка има поне по една машина.
• В доклада пише, че „За цялостното произвеждане на изборен процес чрез ТУМГ се използват допълнителни инструменти създаването на Image и инсталирането на операционната система и приложния софтуер.“ – т.е. за всеки избор има отделен image на операционната система плюс приложния софтуер. Според мен е по-добре да има един image на операционната система, а изборите да се конфигурират на приложно ниво. Иначе стои възможността изискванията към операционната система, които според доклада са спазени, да не бъдат спазени при друг image
• Пише също така, че „Операционната система, инсталирана в основната памет на ТУМГ, има вградена функция, която при всяко зареждане, изчислява контролна сума (”хеш”). Този „хеш“ се визуализира на екрана със системна информация и се отпечатва върху служебните разписки. Чрез проверка за съвпадение с предварително изчисления „хеш“ на компонентите подготвени за инсталиране в ТУМГ се удостоверява и може да се гарантира автентичността на инсталирания в основната памет на ТУМГ базов и потребителски софтуер;“ – това е много важно. Всички застъпници и наблюдатели трябва да поискат от секционните избирателни комисии тази разписка и да яснимат, за да се установи дали всички машини имат идентичен хеш (както се очаква в рамките на един избор). Друг коментар тук е, че не трябва да се разчита на вградената функционалност за изчисляване на хеша, защото тя може да бъде подменена и да визуализира не реалния, а избран хеш. Т.е. трябва при предварителен и последващ одит да се използва външен механизъм за това (поне върху артефактите на приложния софтуер)
• Докладът казва и следното: „Промените в „образа“ (дизайна)на бюлетината се реализират чрез промени в изходния код на приложението. При произвеждане на нови избори, в които се налага промяна в „образа“ на бюлетината, е необходимо препрограмиране, компилиране и нова инсталация на приложния софтуер в ТУМГ“ – това е много странно решение. Дизайн трябва да може да се реализира чрез шаблони, които да се настройват, вместо да се компилира наново цялото приложение за гласуване. Компилирането наново означава, че освен дизайна, някой може да промени и функционалност по отчитането.
• Данните и номенклатурите за съответния избор се зареждат чрез USB флаш памет на всяка машина. Прозрачността на този процес не е описана в изборния кодекс, а би следвало съдържанието на тази флаш памет да бъде гарантирано (подписано), и публикувано предварително.
• Докладът отбелязва, че „При невъзможност имената на партиите и кандидатите, да бъдат визуализирани на един екран, бюлетината се извежда на няколко последователни екрана и преминаването към всеки от тях се извършва с бутони;“ – това е потенциален проблем за партии с по-задни номера. „Моята партия я няма тука“ е нещо, което хора могат да си кажат, докато опитват да гласуват. Не казвам, че е лесно да се направи интерфейсът така, че хем да е идентичен с хартиената бюлетина, хем да не крие част от партиите/коалициите, и този проблем е отчасти заложен от самия Изборен кодекс, но трябва да се отбележи.
• Протоколът се записва на файл на флашката и се подписва електронно. Докладът, обаче, не казва с какъв частен ключ се случва това и как се управлява той, съответно къде се съхраняват публичните ключове. Дали има един ключ за всички машини или се генерира отделен ключ за всяка? Използват ли се смарткартите на СИК-овете или се съхранява отделно, и ако да – това място защитено ли е от изтичане (съответно от възможността някой да вземе ключа и да подпише нов, фалшифициран протокол). В техническата спецификация се говори за генериране на ключове, но от доклада не става ясно как машините поддържат описания там процес.
• Техническата спецификация изисква покритие с автоматизирани тестове на поне 70%. Това не е установено от доклада, макар че изглежда, че достъп до изходния код е бил предоставен
• В доклада много бегло се споменава как е протекъл анализа на изходния код, както и откриването на уязвимости – не се посочва дали са сравнявани наличните компоненти с бази данни от уязвимости (NVD/CVE). Не изглежда да е прилаган статичен анализ на кода за откриване на уязвимости (SAST)
• Установена е липса на ПИН пликове – това не е драматично и не е част от машините, но изпълнителят трябва да го предостави в изборния ден. Наблюдателите и застъпниците е добре да следят дали такива пликове са налични.
• Следният сценарий не е изпълнен: „Тестване на модула за валидация и обобщаване на контролни записки, както и проверка на съдържанието на ЗТУ и основната памет на дефектирала машина –чрез устройството за четена на 2D бар кода“, защото от ЦИК не са предоставили необходими документи. Това е притеснително, защото проверката на съдържанието е важно за интегритета на машинния протокол
• В техническата спецификация има изискване системната информация да бъде електронно подписана. От докладът не става ясно дали това е така.
• „Всеки запис е в отделен файл, със случайно генерирано име, а всички файлове имат една и съща дата и час.“ – имената вероятно зависят от текущото време, което се използва за генератора на случайни числа (съответно имена). Не изглежда да е направен анализ дали може от имената да се извлече поредността. Това е сложна задача и може би не попада в обхвата на такъв доклад, но в дългосрочен план тази функционалност трябва да се прегледа.
• Споменава се, че дисковите дялове са криптирани, но не се казва с какъв ключ и дали е full disk encryption, както пише в техническата спецификация. Може би в протоколите има повече детайли.

Със сигурност е редно да бъдат публикувани детайлните протоколи. Редно и поне след изборите да бъде даден достъп на външни експерти да разгледат машините. Редно е ЦИК да предостави достъп до данните от флашките, както и наблюдателите и застъпници да снимат разписките със служебна информация.

Дали машините са сигурни или не, не мога да кажа. Докладът е позитивен, но също така поставя въпроси. Машините все още са черни кутии за избирателите и това трябва да се промени.

Материалът Коментари по доклада за съответствие на машините за гласуване е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3704

На 4-ти април са може би най-важните парламентарни избори в последните 20 години. По много причини, които няма да анализирам в детайли, но както писах през лятото, акцията на Христо Иванов в Росенец и последващото освобождаване на плажа, осветиха много скрити зависимости и поставиха мрежата от хора, които за кратко често наричаме „задкулисие“, в положение да трябва да се прегрупират. На тези избори ще стане ясно дали са успели и съответно дали ни предстои нова серия управления, които не произтичат от гласа на хората, а от това за кого главният прокурор има папки в чекмеджето и кой контролира главния прокурор.

Не е тайна, че съм част от Да, България от самото начало – от инициативния комитет и учредяването на партията, до ден днешен. До момента, обаче, не съм бил кандидат – нито на парламентарните избори 2017г, нито на европейските, нито на местните. Заради бизнес, семейство, предпазливост. На тези парламентарни избори, обаче, не мога да си позволя да стоя отстрани. И не че през цялото това време не съм помагал експертно и комуникационно, но сега е различно.

Сега е нужно да изляза и да застана с името и с идеите си пред гражданите. Не просто в социалните мрежи, в блога и в някое интервю, а в листата. За да няма съмнение, че нещата са много сериозни и много важни.

Аз съм експерт. Но както разбрах от опит – с експертиза промените, които искам, могат да стигнат само донякъде, но не и да бъдат завършени, не и да бъдат устойчиви. Да, участвах в промяната на редица закони, подготвих две изцяло нови наредби, писах стратегически документи, проектни предложения, отварях ключови масиви данни (като обществени поръчки и Търговски регистър). Но това не беше достатъчно. Защото в Народното събрание нямаше никой, на който да му дреме за това. Смятам, че експертиза като моята е безкрайно нужна, за да се случи електронното управление и произтичащите от него ползи във всички сектори, включително за борбата с корупцията, но тя е безполезна без политическа „ракета-носител“.

А електронното управление не е самоцел. То е инструмент – за по-ефективна и прозрачна държава, по-малко корупция и в крайна сметка – по-добро качество на живот. И е част от каузата, която са Да, България и Демократична България.

Баба ми (Бог да я прости) казваше „с всичко, което искаш се занимавай, само не с политика – тя е много мръсна работа“. И баба ми беше права – мръсна работа е. Но политиката е мръсна работа отчасти защото с нея се занимават „мръсни“ хора. И ще продължи да бъде такава, ако останалите стоим отстрани. С риск да прозвучи нескромно, иска ми се да бъда позитивен пример. И се радвам, че съм заобиколен в листите от други такива позитивни примери.

На осмо място съм в листата на Демократична България в 23-ти МИР (София). Предвид, че това място по подразбиране не е избираемо, може отстрани да изглежда, че съм „използван“ или че съм „пълнеж“. Не се чувствам така и влизането в тази листа на това място е мое, осъзнато решение. Да, при настоящите социологически данни не изглежда, че Демократична България ще събере достатъчно гласове, за да вкара 8 души от този район.

Но с участието си в листата искам да дам ясен сигнал, че парламентарната група ще може да разчита на мен и че електронното управление ще ѝ бъде приоритет. Затова са листите – те не са просто хората, които ще влязат, а и хората, които публично са се ангажирали с дадена политика. Пред мен в листата от Да, България са Антоанета Цонева и Надежда Йорданова – именно хората, с които в последните четири години съм работил по всеки законопроект и всяка позиция на тема е-управление. Така че нямам съмнение, че те ще са проводници на тези политики, с пълната ми подкрепа.

Програмата на Демократична България за Електронно управление и модернизация на администрацията вече е публикувана. Участвал съм активно в нейното писане, смятам я за реалистична, а много от нещата могат да бъдат придвижени напред както в управление, така и в опозиция.

Осъзнавам и рисковете – макар и осми, кафявите медии ще търсят всяка възможност да изсипят кал върху мен (и върху останалите в листата). Знам, че в следващия месец ще спя по-малко. Осъзнавам и че макар бизнесът ми да е насочен основно към чужбина, публичното обвързване с политическа партия може да доведе до повдигане на вежди у някой партньор или клиент. Но безрискови решения в тоя живот няма, важното е рисковете да са осъзнати.

Искам да благодаря предварително на всички за подкрепата и доверието, за търпението и разбирането. Знаете, че чрез мен ще имате де факто човек в парламента. Но по-важното – че давате гласа си за листа, чрез която България да стане по-добро място. Чрез силен политически натиск за съдебна реформа и модернизация ще можем да реализираме потенциала си като държава. Избрал съм да живея тук с този аргумент и именно затова толкова ми допада предизборния ни слоган – България може много повече!

Материалът Защо съм кандидат за народен представител е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3691

ИААА (по-известна като ДАИ) ще слага чипове на автомобилите (по-конкретно – чипове в стикерите за технически преглед). Доста притеснителен подход с много проблеми и малко ползи.

Да започнем от чисто процедурните аспекти – на сайта на ИААА липсва информация за обществено обсъждане по въпроса. Такова има на strategy.bg, но там в мотивите изобщо не се засяга въпроса с чиповете. Това се случило миналата година, но аз не помня адекватно обсъждане по темата. Затова и чак сега разбирам за него.

Измененията в наредбата са с цел маркиране на екологичните показатели на автомобилите, което само по себе си е добре, но не бих реализирал мерките чрез задължителен RFID стикер. В наредбата се говори за „стикер“ и единствено в приложение на края на наредбата става ясно, че ще има чип. Какви са проблемите (и ще извините техническите детайли, но и те са важни)?

• Всеки може да прочете поне част от съдържанието на чипа. UHF RFID може да бъде четен на 5-6 метра, но в зависимост от големината може да стигне и до 30, така че със сравнително проста техника всеки може да записва номера на преминаващи автомобили през определени места.
• Избраният стандарт не е предвиден за такива цели. EPCGlobal е стандарт, с който може да се заменят баркодовете за маркиране на продукти. Той не предвижда криптиране на данните. Според наредбата някои данни в чипа ще се „кодират“, но не казват как. Кодирането е некриптографска трансформация, т.е. не е нужен ключ, за да бъде декодирана записаната информация. Дори да е използван грешния термин, наредбата не казва кой създава и пази ключовете и как. Т.е. на практика дори „кодираните“ данни са достъпни за всички, или поне за „определени хора“. Тези данни включват технически параметри, но и административни такива – регистрационен номер, дата на регистрация, и др. Включва и доста данни, потенциално полезни на автокрадци, например.
• Четенето на регистрационни номера става с камери, които трябва да са обозначени и са видими на пътя. Четенето на RFID чип става тихомълком и без да разберете, че някой го е прочел.
• Обикновено такива чипове могат да бъдат клонирани (стандартът определя различни възможности за защита, но наредбата не казва какъв ще бъде използван). Т.е. на черния пазар ще тръгнат фалшиви чипове.
• Не се предвижда нищо за екраниране на чипа или за неговото повреждане. Т.е. съвсем спокойно в един момент половината чипове в стикерите могат да спрат да работят.
• Според изпълнителния директор на агенцията (който преди това работеше в КАТ и има репутация на добър професионалист), в чипа ще има данни за собственика на автомобила, а не само технически параметри на автомобила. Това би било безкрайно притеснително, но според наредбата не е вярно. Та г-н Рановски ли бърка, медиите ли са предали грешно думите му, или ИААА планира да сложи лични данни?
• Няма нужда от това. Информацията за екологичния клас и останалите технически параметри трябва да се намира в централизирана база данни, а не да се размотава по чипове. Органите, на които им е нужна, ще могат да си я набавят по регистрационен номер на автомобила (чрез ръчно въвеждане или чрез автоматична проверка чрез камери), като за това ще остават необходимите следи, предпазващи от злоупотреби. Ако някоя община иска да контролира допустимите автомобили в дни с повишено замърсяване, да направи това с камери, а не с четци за чипове.

Смятам, че избраното решение е необмислено, грешно, потенциално скъпо, със спорна сигурност, криещо рискове от нерегламентирано следене (както от частни лица, така и от държавни органи), подлежащо на манипулации и излишно.

Материалът Чиповете, които държавата ще слага на автомобилите, са грешно решение е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3687

Преди месец Кака Сийка написа 24 съвета за добър сън. С повечето съм съгласен, но имам коментари и добавки. На първо място – сънят е много важен. Много.

Ето десетина причини, но нещата са още по-критични – хроничното недоспиване има дълготрайно негативно влияние върху мозъка. Така че прочетете тези съвети. Имам следните коментари и добавки от мен:

• Медитацията е важна във всички нейни форми, но на мен най-полезното ми е способността да спирам да мисля. Понякога е трудно да заспиш, а мозъкът ти превърта темите от изминалия или от следващия ден. Тогава е най-важно да можеш да се „изключиш“, вместо час по късно още да не си заспал.
• Т.нар. powernap (10-20 минутна, най-често следобедна, дрямка) е много полезен. Вместо следобедно кафе или непродуктивно дремене пред монитора, може да дремнете. На бюрото, дори (а в условия на работа от вкъщи е по-лесно). Културата на работното място е важен аспект тук, защото някъде не е допустимо да си спиш на бюрото, но всъщност дори от гледна точка на работодателя е по-добре да дремнеш 10 минути и да си свеж и продуктивен, отколкото да си полузаспал и нищо да не свършиш.
• Не съм съгласен, че трябва да си направим перфектната спалня – перфектно тъмна, перфектно тиха. Защото така влизаме в сценария „принцесата и граховото зърно“ – всеки път, когато спим на друго място, нещо ни дразни и буди. А се случва да спим у роднини, на хотел, на почивка или в командировка. Да, стаята трябва да е тиха и затъмнена, но не ни трябва „сферичен кон във вакуум“.
• На студено се спи по-добре. Тук има различни предпочитания, но препоръчителната температура за сън е 18.3 градуса. Това значи, че спокойно може да спите на отворен прозорец през зимата (ако около вас е сравнително тихо). Или поне да намалявате парното.
Когато избирате къде да живеете (под наем или в собствено жилище), съобразявайте околния шум – булеварди, нощни заведения, дори съседи. Ако нещо влияе силно негативно на съня, това сваля значително качеството на живот, без значение колко добре е ремонтиран апартаментът.
• „Не бъдете дебел“ не е съвет, с който съм съгласен. Не че не е добре човек да е във форма, но понякога това не е избор, а понякога е следствие, а не причина за лошия сън. А сънна апнея може да има всеки (и на мен ми се случва понякога).

Всичко това е чудесно. Но когато човек има бебе, перфектните условия за сън се разпадат. Ето няколко коментара и по тази тема.

• Сънят на бебето е пряко свързан със съня на родителите, така че усилията за по-добър сън на бебето са важни. Катя е обобщила всичко, което е прочела по темата, за да подобри съня на Оги, и оттам – нашия. Препоръчвам за четене. За начало – дълги разходки навън, дори през зимата, са полезни за съня на бебето
• Потърсете режим, който работи за вас и не се притеснявайте той да включва сън на дивана. Оги, например, се буди всяка нощ между 1 и 3. След известно време опити да бъде приспан в леглото си, което разсънва и Катя и мен, решихме проблема – аз отивам да спя на един топматрак на дивана в хола, а тя продължава с Оги на спалнята. Така спим от година и нещата са много гладки.
• Оставяйте си буфери – понякога бебетата будуват през нощта (на Оги му се случваше редовно). Така че в сметките „как да направя 7-8 часа сън“ ви трябва поне един час буфер.

Дали е възможно човек да спи добре с бебе – едва ли, освен с „най-образцовите“ бебета. Но може да минимизира „щетите“ и да направи така, че след година-две да се върне плавно към нормален нощен ритъм. А той е важен и за качеството на живот доста повече от много други неща.

Материалът За добрия сън (включително с бебе) е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3682

„Тук не е информация“ е едно от първите неща, които идват на ум, когато се заговори за администрацията. Писал съм и преди по въпроса за дизайна на административни услуги (не само електронни, а и присъствени). Преди време направих и „Гугъл на държавната администрация“. Но сега искам да разгледам въпроса от малко по-различен ъгъл.

„Тук не е информация“ е символ. На това как функционира държавата – от политическото ниво, през административните ръководители до служителите по гишетата.

Защо съществува „тук не е информация“? Защото никой ръководител не е сметнал как да е удобно да се получи информация. Никой ръководител не е помислил как да направи използването на услугите лесно.

„Тук не е информация“ ви казва „Целта не е да си свършите лесно работата, а ние да покрием нормативните изисквания“. „Тук не е информация“ казва „Аз не съм тук да ви помогна, а да си върша моята работа.“ Почти всички системи за електронни услуги следват същата логика – не е целта да е удобно. Достатъчно е в съответсвие с нормативната уредба (да вземем най-развитите услуги на НАП, където дълги години данъчната декларация беше копие на хартиения формуляр, с инструкции откъде кое се пренася и по кой член е дадена кутийка).

В реалността охраната е „информация по неволя“. Само че охраната не знае всичко, не е обучена да комуникира с хора. В онлайн реалността няма нужда от информация, защото повечето услуги са толкова непопулярни, че никой не ги ползва (НАП, Агенция по вписванията и още 1-2 институции са изключение, там има и кол център за информация даже).

Трудно ли е да има „информация“, тази „информация“ да е близо до входа и там да работи човек, който да може да насочва? Не е трудно. Щатовете така или иначе са достатъчно големи, та един човек повече или по-малко е без значение. Спомням си как използвах административна услуга в Холандия. Отидох в общината, питах на информация къде трябва да отида за това, което търсих, те ми казаха и ми дадоха номерче. И толкоз.

Но достатъчно очевидности – на какво е символ „тук не е информация“? На едновременната невъзможност и нежелание нещата да се правят добре. Достатъчно е да се правят проформа. И това важи както за административните ръководители, така и за политическите ръководители. Отчитат се програми, отчита се нормативно съответствие, отчитат се реформи, отчита се напредък по пътни карти.

Но като погледнеш какво е отчетено – обикновено изхарчени пари, закупени предмети (или лицензи) и най-много някое проведено обучение. В повечето стратегически документи в държавата (стратегии, пътни карти, екшън планове) твърде рядко има каквито и да било индикатори за успех, а когато такива има, те не са свързани с отчитане на постигнатото, а с отчитане на извършеното. Пренесохме 20 чувала! Само че реално 10 чувала са отишли и после са се върнали. Работа е свършена, резултат няма.

„Тук не е информация“ е начинът на администрацията да ни каже „ние и нашите административни ръководители сме извършили преките си нормативни изисквания дотолкова, че да не ни съдите, а политическото ни ръководство е заето с кой знае какво“.

Разбира се, държавата като монополист на административните услуги няма пазарен стимул да ги предоставя по-добре. Затова във всички нормативни изменения, в които съм участвал, е имало компонента „частни субекти да предоставят административни услуги“ (дали през програмни интерфейси или в ролята на посредници). Само че и това не се е случило.

„Тук не е информация“ е и симптом на политическото ръководство, което е дотолкова неспособно на промени, че не може да постигне неща, които всеки управител на средноголям магазин е постигнал.

Колкото и да не ми се иска текстът да звучи негативно, това е неизбежно. Само че има как тук да бъде информация. Да има информация. Да бъде удобно.

Да, изисква правилния начин на мислене и на законодателно ниво, и на ниво подзаконови актове, и а ниво политическо ръководство и на ниво селекция на административни ръководители и на ниво обучение на администрация. И смятам, че е възможно. Защото ако кажем, че е невъзможно „тук не е информация“ да остане в историята, де факто казваме, че като държава сме неспособни да решаваме дори прости проблеми по адекватен начин. А не смятам да се съглася с такава теза.

Символът „Тук не е информация“ трябва да бъде унищожен, за да си повярваме, че нещата могат да стават по различен начин.

Материалът „Тук не е информация“ като символ е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3677

Започна ваксинирането срещу COVID-19. И това е чудесно, защото има реален шанс след половин година да се върнем към нормален живот. За съжаление, както около самия COVID-19, така и около ваксините, има още една пандемия – пандемията от дезинформация.

Няма да опитвам да оборвам всички измислици относно COVID-19 ваксините – това вече са го правили много хора с по-подходяща квалификация от мен (биолози, лекари). Накратко – не, във ваксината няма чипове. Не, не се умира от нея. Не, не ни променя ДНК-то. Не, не е направено „много бързо“ (а е стъпила на години изследвания на предишната епидемия с коронавирус в Азия – SARS-CoV-1, както и на MERS в близкия изток). Не, хората, които си слагат ваксина по телевизията не си инжектират водя или глюкоза. И т.н.

Докато доскоро дезинформацията имаше по-невидими и „подводни“ ефекти, сега вече тя директно се сблъсква с живота и здравето ни. Всички конспиративни теории относно COVID-19 и ваксините повишават риска за всички нас. Ниски нива на ваксиниране ще остави хората, които не могат да се ваксинират по една или друга причина (здравословни) в доста неприятно положение. Други ще умрат, заради привиден „личен избор“, който обаче е тласнат от конспирации и дезинформация. В България извънредната смъртност е рекордна, отчасти заради сложното взаимодействие на политика и конспиративни теории – хем правителството няма доверие, хем напролет трябва да получи гласове от облъчени с конспирации гласоподаватели.

Винаги е имало слухове, невярващи хора, както и такива, податливи на конспирации. И това е било основно техен проблем. В момента, обаче, мнозинството от хората са бомбардирани и заринати с дезинформация онлайн. А на десетото виждане на поредния абсурд, това става част от информационния фон.

По аналогия с вируса – дезинформацията е заразна. Колкото повече хора облъчи и те я споделят/коментират/харесат/препратят, толкова повече хора са изложени на нея. И ако преди 20 години същите тези хора биха се ваксинирали, защото това е научен прогрес, има десетки хиляди тестове и научен консенсус, то днес те ще са видели 5 различни фалшиви новини, повторени по 5 пъти и мозъкът им ще направи връзки, каквито не съществуват.

Доколкото знам, конспиративността на човешкия мозък е еволюционен страничен ефект – възможността да виждаме опасности дори там, където ги няма, защото в противен случай рискуваме да не ги видим там, където ги има (това в тъмното мечка ли е или просто храст, който се движи от вятъра – по-добре да свържа точките и да видя мечка, за да мога да избягам навреме).

Днес обаче има един фактор, който изостря и злоупотребява с тези естествени тенденции в човешкия мозък – социалните мрежи. Те са средството за разпространение на дезинформация, конспирации, фалшиви новини. За да засилят този естествен процес, някои държави (да, Русия) целенасочено „слагат пръст в раната“ и създават мрежи за фалшиви новини и фалшиви профили – тяхната цел е да има хаос, който да отслаби стратегическия им враг – западния свят.

Хората не са свикнали да отсяват такъв поток от информация и съответно той директно влияе не възприятието им за света. А кой се грижи за отсяването на информацията? Социалните мрежи. Фейсбук, Гугъл (YouTube), Туитър. Техните алгоритми промотират или ограничават разпространението на дадено съдържание – на новина, на статус, на снимка.

И тук идва фундаменталният проблем – бизнес моделът на социалните мрежи са базира на максимизиране на времето, прекарано в тях, за да може да показват повече реклами и да получават повече пари от рекламодателите. За целта съдържанието се промотира така, че да генерира максимален престой и максимално участие. А кое генерира най-голям интерес и активност? Да, конспирациите. Има редица изследвания, които показват, че социалните мрежи (в т.ч. за видеосподеляне) диспропорционално промотират конспиративни теории.

Това алгоритмично „бутане напред“ на всякакви глупости разединява обществата, създава и възобновява конфликти, а напоследък и директно влияе върху живота и здравето ни. Може да звучи пресилено, но бизнес моделът за привличане на внимание на социалните мрежи изглежда несъвместим с едно здраво общество.

Времето за меки мерки срещу това беше проспано, за съжаление. Време е за по-твърди регулации и наказания. Трудно е, спорно е, но е необходимо.

И тук трябва да направим няколко важни уточнения. Първо, Фейсбук не е Хайд парк. Свободата на словото не значи алгоритъм да слага вашето мнение пред очите на стотици хиляди, защото те ще се възмутят. Свободата на словото не значи мегафон, управляван от конкретен комерсиален интерес. А и мегафон, използван като оръжие.

Второ, не предлагам модериране и цензура. Това вече се прави и то не особено успешно. Води до блокиране на политически активисти в някои диктатури, води до превръщането на Фейсбук (и другите социални мрежи) в арбитър кое е вярно и кое не. Никой не им е гласувал това право. Извън най-фрапантните случаи на призиви към насилие, и без ясно дефинирани механизми за обжалване на решения на социалните мрежи, модерирането се превръща в проблем, вместо в решение.

Но нека абсурдните, „лудите“, конспиративните, крещящите глупости, да си останат в малкото си ъгълче, където всеки ги заобикаля. Това, което предлагам е регулиране на алгоритмите. Компании над определен размер и онлайн влияние, да са длъжни да се впишат в някакви технологични рамки за промотиране на съдържание. С цел проверка, да са длъжни да отворят кода си, в частта му за препоръчване и промотиране на съдържание (включително изграждането на модели за машинно самообучение). И този код да подлежи на независима проверка – и от регулатори, и от научната и технологичната общност. Те са достатъчни монополисти, а кодът все пак е защитен от авторско право, така че аргументът, с който ще започнат – че това е търговска тайна, не би надделял над обществения интерес.

И да, Фейсбук не е единственият виновен. Има политически и медийни опортюнисти, които разгарят пожара. Но в основата му стои механизма на разпространение на дезинформация. Никой политик или анализатор няма интерес да говори абсурди. Но ако вече абсурдите са натикани в очите на милиони хора, ще се намерят хора, които да се възползват.

Да започнем с регулирането на промотирането на съдържание в социалните мрежи. Бързо. Ще има важни детайли, които да се уточнят, но нещата ескалират прекалено и стават все по-опасни. Дезинформацията, дали такава, измислена от някой „болен мозък в мазето“ или поради геополитически интереси, се излива върху нас, докато някой прави много пари от това и се оправдава, че е „само платформа“.

Тези действия може да предприемат единствено федералното правителство на САЩ и Европейската комисия. Всяко усилие с по-малък мащаб ще е неуспешно. А тяхното бездействие сега е бягане от отговорност, която ще ни струва в дългосрочен план.

Материалът 2020: Сблъсък на дезинформацията с живота и здравето е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3673

Министерският съвет е приел изменение на наредбата за реда за отпускане на лекарствени продукти, добавяйки текстове за електронна рецепта., която е обнародвана днес.

Това, за съжаление, се е случило в пълно нарушение на Закона за нормативните актове и не е минало през обществено обсъждане, така че мога да дам коментари само пост фактум, с идеята все пак някои неща да бъдат прецизирани. Разбирам, че ако можеш да извадиш 30 дни от срока за приемане на наредба в кризисна ситуация е разумно да го направиш, но пандемия има от 9 месеца, а за електронна рецепта се говори от десетилетия.

Ако пишеш изменения на наредбата чак сега, това показва безкрайна неподготвеност. А наредбата явно е писана „на коляно“, с много недомислени неща и терминологични грешки. Да, ще свърши работа, колкото да могат да се издават електронни рецепти, но ще трябва да се коригира в движение.

Ето и моите критики и предложения:

• Наредбата казва, че „електронните предписания се издават, въвеждат, обработват и съхраняват чрез специализиран медицински и аптечен софтуер.“. Електронните рецепти трябва да се съхраняват в Националната здравна информационна система (НЗИС), а не в медицинския и аптечен софтуер. Там може да се съхраняват временно и за удобство, но централното място за съхранение трябва да бъде НЗИС. В следваща алинея наредбата урежда „висящото“ положение на прогресивно появяваща се НЗИС, което може да звучи добре, но няма как да е нормативен акт. Наредба не може да казва „като стават някакви неща, ще видим как ще ги ползвате“.
• Наредбата казва, че „За издаването на електронно предписание лекарят или лекарят по дентална медицина се идентифицира чрез КЕП“. Ред за идентифициране с КЕП има временен по наредба към Закона за електронното управление и е редно тази наредба да препрати към нея, защото иначе „идентификация с КЕП“ не значи нищо. А е важно в този контекст как точно ще се извършва идентификацията. Правилният подход е от квалифицираният електронен подпис на лекаря да се вземе ЕГН-то, то да се провери в регистъра на лекарите (или фармацевтите, за които имат сходен ред в следващия член) (вместо, например, да се изисква вписване на служебен номер в КЕП). Също така, идентификация трябва да може да се извършва и по реда на Закона за електронната идентификация. Но при издаване, процесът на идентификация може всъщност да е излишен – предвид, че рецепта се издава чрез софтуер при лекаря (и се проверява в аптеката), лекарят вече е влязъл в системата. Наредбата не казва пред кого се идентифицират, така че стъпката може да се премахне.
• Според наредбата „При електронното предписване на лекарствения продукт се извършва автоматична проверка в регистъра [..]“ – тук е важно да се отбележат техническите параметри на тази проверка, т.е. посоченото по-горе – че на база на ЕГН се извлича УИН. Дали регистъра на БЛС и на фармацевтите поддържат такава справка? И да не поддържат, може бързо и лесно да се добави, тъй като я има. Но по-проблемното е тази алинея е, че тя не представлява норма, а прави разказ. Нормативните актове създават права и задължения. Не може да кажеш „се прави проверка“. Казваш кой е длъжен да направи тази проверка. Освен, че е лош нормативен текст, наистина не става ясно кой е длъжен да я прави – дали доставчикът на болничен и аптечен софтуер, или, както е правилно – НЗИС, откъдето трябва да минават всички рецепти. Само че НЗИС не е лице, на което може да се вменят задължения, така че трябва ясно да се напише, че Министерството на здравеопазването прави тази проверка чрез НЗИС.
• Подписване на рецептата с КЕП според наредбата се прави след проверка в регистрите, а е редно да е обратно – в момента на изпращане на подписаната рецепта към НЗИС, да се проверят всичките ѝ реквизити.
• След като пациентът отиде в аптеката,“ Магистър-фармацевтът извършва действия по идентифициране на издаденото електронно предписание, при които като водещ критерий използва ЕГН на пациента.“ – това тука е доста проблемно. Според публичните изказвания от преди месец идентифицирането на рецептата трябваше да става по ЕГН и последните 4 цифри от кода на рецептата. Този текст не казва как се прави проверка, „водещ критерий“ е неясно. Може ли само по този критерий (не би трябвало)? По кои други критерии може – ЕГН+номер на лична карта, ЕГН+4 цифри от номер на рецепта? По принцип е добре да се спести разпечатване на електронни рецепти (защото това би ги обезсмислило), така че предложението, което аз бях направил пред 8 месеца беше ЕГН+номер на лична карта, или поне част от номер на личната карта. Фармацевтът може да вижда няколко активни рецепти и е добре да знае коя да изпълни. Дали това трябва да се опише в наредба е спорно, но предвиждам обърквания, поне в началото
• „При осигурени технически и организационни условия за това от Министерството на здравеопазването и НЗОК“ – това е много неясен критерий, за да го има в нормативен акт. Редно е държавата първо създаде условията и тогава да налага срокове.
• Липсват изисквания за сигурност и защита на данните – в какъв вид НЗИС обработва и съхранява рецептите? След колко време те се изтриват или анонимизират? Има ли проследимост кой какви справки е правил – напр. фармацевти по кои ЕГН-та са търсили и съответно има ли отпуснати след това лекарства. Кой до каква функционалност има достъп? Как е уреден достъпа до НЗИС в МЗ, включително за справочни функционалности? Комисията за защита на личните данни дала ли е становище по проекта на наредба?
• Липсват ясни инструкции за доставчиците на болничен и аптечен софтуер – къде и какви номенклатури да ползват и имат ли гаранция, че те са актуални. Наредбата казва, че „Програмните интерфейси и номенклатурите за обмен на информация между медицинския и аптечен софтуер и НЗИС се актуализират текущо“, но това е неясно и неприемливо. Липсва препратка към чл. 14 от наредбата към Закона за електронно управление, която урежда поддържането на версии на програмните интерфейси – не трябва да може МЗ/НЗИС да смени от днес за утре един итнерфейс и всичко да се счупи.
• Не е уреден форматът на кода на рецептата. Това е малък проблем, но обикновено се урежда с нормативния акт, който въвежда дадена система. Бих предложил да следва предписанията на чл. 4, ал. 5 от наредбата към ЗЕУ, т.е. да ползва UUID (RFC 4122), особено ако няма да се налага да се цитират 4 цифри/букви от него

Дано електронните рецепти да заработят добре. Но това ще бъде въпреки тази наредба, която освен, че идва в най-последния възможен момент, нарушавайки Закона за нормативните актове, е и доста непрецизна и неясна. С две думи – така не се прави. МЗ възлага на Информационно обсжлуване НЗИС през юли. Оттогава имаше предостатъчно време да се подготви наредбата и да се приеме след обсъждане и изчистване на проблемите в нея.

Това е просто още един пример как се случва електронното управление у нас – на парче, на коляно, в последния момент и само под много силен обществен натиск. Все пак, хубавото е, че нещо се случва – че ще има електронни рецепти (и направления). Но Министерството на здравеопазването (и всяко друго) трябва да работи по-качествено и по-прозрачно.

Материалът Да оправим наредбата за електронните рецепти е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3669

Пандемия. Работа от вкъщи. Обаче…

Трудовото законодателство е над тия неща и съответно работодателите и служителите трябва да си общуват на хартия за неща като болнични, отпуски, фишове и други.
Сега запознатите ще кажат „ама то от 2018г. има наредба за електронно трудово досие“. А-ха! Има, ама… все едно няма:

(4) Електронни изявления между страните по трудовото правоотношение се връчват чрез услуга за електронна препоръчана поща.

Т.е. не може ти просто да си изпратиш неща по имейла, а служителите да ги подпишат в Adobe Reader (дали с КЕП или с друг вид подпис, няма значение), и после да ги сложиш в папката в OneDrive/Google Drive на съответния служител. Не. Трябва да ползваш удостоверителна услуга по смисъла на регламента (или да си изградиш такава). И също така:

(3) Всяко действие в системата се удостоверява с квалифициран електронен времеви печат.

Също, в наредбата пише, че работодател няма право да откаже получаване не документи на хартиен носител (и правилно), но не казва, че няма право да откаже получаването в електронен вид.

Да, някои много, много иновативни компании може и да изградят такава система (или някой да направи такава система „като услуга“), да сключат допълнителни споразумения със служителите за ползването на системата, да се закачат към някоя удостоверителна услуга за препоръчана електронна поща, и да уговорят какъв вид електронен подпис приемат.

Само че бюрократът, дето не е виждал частен сектор, решил да „набие“ всички сложни думички от правния мир на електронното управление и в резултат на това сега работодателите имат избор: да рискуват да не са в съответствие с трудовото законодателство или да карат служителите си да подписват неща присъствено.

Има, разбира се, компании, които предоставят услуга, която е в съответствие с наредбата: EHR.bg, timeoff, Тереза. Което е разбираемо и хубаво – когато се появи някаква свръхрегулация, се намира кой да предостави услуга, която да улесни регулираните субекти, срещу съответното заплащане. Признавам, не съм разглеждал тези софтуери/услуги в детайли и дали отговарят на всички изисквания (бих искал да видя квалифицирания печат, напр., както и реализацията на услуга за препоръчана електронна поща)

Само че как щеше да е по-добре да стане това, така че да не се въвежда допълнителна бюрокрация, нужда от допълнителен доставчик, разходи и увеличен риск заради споделянето на данни за трудовото правоотношение с трети лица, но в същото време правата на служителите да са защитени? Без да оставаме на хартия, (както с трудовата книжка)

• Ориентиране на наредбата не към имагинерни системи за електронни трудови досиета, а към т.нар. HRM системи (Human Resource Management, системи за управление на човешки ресурси)
• Наредбата да определи какво счита за електронен подпис, защото не само квалифицираният е такъв – „read receipt“ може да бъде електронен подпис (оставил е данни в електронен вид до изходящото писмо, което е също данни в електронен вид), може да бъде сканиран подпис, сложен в Adobe Reader, може да е дори нарисуван на екран подпис. Може да бъде вход и поставяне на инициали в документ в облачна услуга, която пази история на редакциите и удостоверява потребителя с неговите данни за достъп. Не че в момента наредбата ги изключва, но в общия случай бизнеса не влиза в тези правно-философско-технически дебри на Регламент (ЕС) 910/2014
• Отпадане на изискването на услуга за препоръчана електронна поща. Да, трябва да се удостовери, че служителят наистина е получил документа (а работодателят не е направил това вместо него), но при трудови спорове, които биха били редки за най-тривиалните неща като отпуски и болнични, обстоятелствата мога да се установят от вещо лице – при облачни email услуги по-лесно, при локални – със съответните проверки на логове както на сървър, така и на компютъра на служителя.
• Отпадане на изискването за квалифицирани електронни времеви печати – да, времето на настъпване на събитията е важно. При използване на облачни HR системи биха били изпълнени условията за (обикновен) времеви печат, тъй като датите в системата не могат да бъдат манипулирани от работодателя. При локално инсталирана такава би съществувал потенциален риск от манипулиране на времето на настъпване на някакво събитие, но отново – ако има копие за служителя, на негов компютър, както и свидетели, би било възможно при трудов спор да се установи истината. Хартиени документи също могат да бъдат подправени, като и в двата случая това може да бъде документно престъпление.

С други думи – относно поне най-масовите документи, като фишове за заплата, болнични и отпуски, „качени са в HR системата и са прегледани от служителя“ или „изпратени са по имейл“ или „качени са в съответната папка на служителя в Google Drive / OneDrive / на FTP-то и има логове за достъпа до тях“ трябва да е напълно валиден начин за водене на електронно трудово досие. Що се отнася до анекси и допълнителни споразумения и други по-чувствителни документи, те могат да изискват квалифициран електронен подпис или да се случват на хартия, ако служителят няма такъв. Но заради хипотезата на трудов спор във връзка с подправени документи за изплатени суми, болнични или отпуски, не бива да осакатяваме и свръхрегулираме цялата трудова документация, на практика оставяйки я в хартиения свят.

Тези проблеми (както и много други, свързани с изоставането ни в процеса на дигитална трансформация) са особено видими при пандемията и отдалечената работа. Държавата не е подготвена да работи електронно и налага своето неразбиране за електронни процеси и на бизнеса. Това може и трябва да се промени.

Материалът Електронно трудово досие? е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3659

Национална схема за електронна идентификация още няма, по ред причини, както съм описал тук. Но в даден момент следващата или по-следващата година все ще стане – изпълнителят ще изгради нещо по заданието, ще достави и лични карти, те ще имат чип и на чипа ще се записва удостоверение за електронна идентичност.

Само че когато това стане, няма автоматично да имаме лесно и удобно средство за електронна идентификация и електронното управление да тръгне по мед и масло. Това е едно от трудните неща в електронното управление – че като пуснеш поръчката, след две години не режеш лента, а хората не могат да видят ползите веднага. А в допълнение, някои грешки в изпълнението могат да значат пълен провал, а не просто нужда от закърпване.

Затова тези дни се замислих и реших да обобщя нещата, с които трябва да се внимава при изпълнението, за да не получим накрая едни безполезни пластики и всичко да трябва да започне отначало. Да, има детайлно техническо задание, но проблемите по-долу не са функция само на техническата реализация.

Четенето на личната карта – чипът трябва да може да бъде прочетен, иначе картата е безполезна. Би трябвало чиповете да позволяват контактен и безконтактен достъп – контактен, за използване на всички налични четци на електронни подписи тип „карта“ (които мисля са все по-малко), и безконтактен. Контактното четене е доста неудобно (макар в Естония да е било успешно благодарение на добра кампания за разпространяване на четци, сега сме в друга технологична „ера“) и поради това трябва да се обърне внимание на безконтактното като най-масовия начин за използване на картата. В Правилника за прилагане на Закона за електронната идентификация бяхме включили текстове, които да предвиждат идентификация чрез безконтактно четене на телефон, докато потребителят заявява услуга на компютър (или на телефона, разбира се).

Трябва изпълнителят да реализира този процес удобно, със стандартни приложения за различните мобилни операционни системи, така че процесът да бъде: 1. натискане на бутон „идентифицирай се“ при заявяване на услуга 2. Излизане на съобщение на телефона за очаквана идентификация 3. допиране на картата и написване на PIN (може и в обратен ред, за по-голямо удобство) 4. Успешна идентификация. Трябва да се обърне внимание и на сигурността на безконтакното четене. Към 2016 стандартите по темата не бяха масово възприети, така че изпълнителят и възложителят трябва да преценят кой е най-актуалният начин.

Персонализиране на други носители – електронната идентификация не е само „чип в личната карта“. Всъщност чипът в личната карта е само една от много възможности. Трябва в рамките на издаването на удостоверение за електронна идентичност да се даде опция за записването му (заедно с частния ключ) на смартфон или на друга карта. Записването на частен ключ на телефон към 2016 г. не беше сигурно (имаше известни атаки), но 4 години по-късно вече е. И в нормативната уредба, и в заданието е заложена възможност за издаване на eID чрез вече съществуващо eID. Т.е. може с еднократно използване на личната карта да се създаде нов частен ключ и удостоверение на телефона и всяка следваща идентификация да не изисква докосване на картата и писане на PIN (а използване на сензора за пръстов отпечатък). Тези опции са заложени и напълно възможни, но трябва и възложителят, и изпълнителят да съблюдават те да се случат по този начин.

Електронно подписване – между електронна идентификация и електронен подпис има съществена разлика (едното е „да си покажеш личната карта“, другото е „да се подпишеш“). Много услуги изискват подпис за заявяване (или за попълване на някоя декларация), което би направило електронната идентификация почти безполезна, с изключение на някои справочни услуги. Именно затова е ключов чл. 22, ал. 5 от Закона за електронното управление, изрично позволяващ заявяването на услуги от физически лица да се допустимо с неквалифициран електронен подпис (а с усъвършенстван). На практика това значи, че всяка съществуваща и бъдеща услуга трябва да може да бъде подписвана със същите криптографски ключове (или производни на тях), използвани за електронната идентификация.

Това би представлявало усъвършенстван електронен подпис и няма да се налага освен личната карта да имате и квалифициран електронен подпис (още повече, че преди 2 години законодателят махна опцията личните карти да поддържат електронни подписи, не е много ясно защо, освен може би заради техническите изисквания към чиповете). Европейската Комисия изрично посочва, че държавите членки определят с какъв вид подпис могат да се ползват административни услуги, та ние се възползвахме от тази опция. Има и още една опция, но тя е по-трудна – да се променят всички закони, наредби, правилници, заповеди и вътрешни правила и навсякъде да се посочи, че не се изисква подпис за електронно заявяване. Но това е непрактично и крие рискове.

Дори картата (и приложението на смартфона) да могат да слагат криптографски подпис, това няма да е достатъчно. Съществуващи услуги, използващи различни средства за подписване, ще трябва да бъдат интегрирани. Може да се наложи дори разработване на специален драйвер, който настоящите аплети и приложения за подписване да заредят, за да бъде опакован криптографския подпис от смарткартата в електронен подпис по смисъла на законодателството. Тези процеси трябва да бъдат разписани и изтествани.

Интеграция на системи – в рамките на проекта трябва да бъдат изготвени компоненти за лесна интеграция на системи. Никоя система няма по подразбиране да поддържа електронната идентификация и трябва бързо да могат да се надградят. Т.нар. SDK, примерен код на различни езици и стандартни приложения за различни операционни системи (десктоп и мобилни) са част от техническото задание, но на тях трябва да бъде обърнато особено внимание – в противен случай ще имаме в джоба си нещо, което не можем да използваме никъде.

Извън самия проект, трябва останалите институции да са подготвени за това – да имат разписани малки проекти за надграждане на съществуващи системи, така че да интегрират електронната идентификация. Това може да става дори паралелно с изграждането на системата за електронна идентификация, защото стандартите за комуникация са ясни, а някои части от проекта ще бъдат доставени преди неговия край.

Не на последно място, трябва да бъде реализирана идентификация на юридически лица чрез връзка в реално време с Търговския регистър (и РЮЛНЦ, и Булстат), за да се избегнат проблемите, които произтичат от настоящото решение с КЕП. Това предполага надграждане на системи и понякога промяна на процеси.

Цялостна архитектура на федерираната идентификация – националната схема за електронна идентификация е само една от няколко опции. Вече има частни схеми за идентификация, отдавна има всевъзможни ПИК-ове, които макар и от ниско ниво, минават за идентификация по Регламент 910/2014. Има и необходимост да се поддържат електронните идентификации на всички държави членки. Трябва максимално бързо да бъде разписана архитектура на федерирана идентификация, която да позволява на гражданите да ползват всяка услуга с подходящо за целта средство. Първо, с надграждането на административния регистър (което също трябваше да е станало отдавна) трябва да се добавят нивата на осигуреност на идентификацията, която дадена услуга изисква. След това трябва да има т.нар. eIDAS възел, който да позволява интеграция с европейските схеми.

Трябва да бъде подготвена архитектура и на местно ниво – как частни схеми и/или частни центрове за електронна идентификация да си общуват с националната схема. Къде в картинката стои и настоящата система за е-автентикация на ДАЕУ, която от временно решение се превръща във все по-устойчиво такова. За щастие всички тези системи „говорят“ (и трябва да говорят според нормативните изисквания) на един „език“ – протоколът SAML 2.0. Но кой кого извиква, с какви параметри, кой какви регистри държи и какво позволява; как се извършва подписване при схеми, които не са националната (напр. чрез съхраняване на SAML 2.0 assertions) и не на последно място – как да бъде осъвременена нормативната уредба с всичко това. Сложни въпроси, които трябва да намерят отговор в следващите 6 месеца, за да не се окажем в батак, в който всичко е толкова фрагментирано, че много малко хора да могат да ползват услугите, които искат със средството за идентификация, което имат.

Може би стана прекалено техническо, но дяволът е в детайлите. Ако объркаме някой от тези детайли, рискуваме да продължим да трупаме изоставане в електронното управление, а закъснялата електронна идентификация да не донесе позитивните резултати, с каквито очаквания е натоварена.

Материалът Как наистина да получим електронна идентификация е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3653

В рамките на националния план за възстановяване и устойчивост дигитализацията на публичния сектор е слабо и откъслечно застъпена. Коментирахме темата с Христо Иванов, Иво Мирчев и Боян Юруков миналата седмица, но ми се ще да развия темата.

Първо, защо трябва дигитализацията на публичния сектор да бъде приоритетна инвестиция – защото тя е отключващ фактор. Намалява административната тежест, съответно прави бизнес климата по-благоприятен, а инвестициите – по-вероятни. В същото време намалява риска от корупция и увеличава прозрачността в управлението. Прави публичните системи по-ефективни, така че по-малко средства да „изтичат“. Всяка една система би спестила много пари и време и би повишила качеството си, ако процесите и услугите ѝ са дигитални. Това се превежда сравнително бързо, макар и индиректно, в по-добър живот.

Обаче има проблем ЕС да финансира електронното управление (което не е синоним на „дигитализация на публичния сектор“, но е близо). И проблемът е, че е малко вероятно ЕС да финансира отново нещата, които е финансирал вече няколко пъти.

След присъединяването ни към ЕС, има два програмни периода. В първия (2007-2013) програмата за електронно управление е „Административен капацитет“, а във втория (2014-2020) – „Добро управление“. В рамките на тези оперативни програми са предвидени около милиард лева, като немалка част от тях са похарчени (макар реално усвоените по ОПДУ да са около 1/3 в последната година, в която може да се кандидатства за проекти, то остават три години за довършване на проекти и тяхното изплащане).

В рамките на тези два програмни периоди трябваше да сме направили много неща. Обаче не сме. Отчели сме ги проформа, или сме ги изградили системи, които не се използват, или са се използвали, но са изоставени. Или не сме направили неща, които сме обещали, че ще направим. И проблемът е в това, че ЕК няма основание да ни даде трети път пари за същото.

Но нека вляза в конкретика:

• Електронизация на общински услуги – по ОПАК се изсипаха сума ти пари за това, а по ОПДУ трябваше да се развият и внедрят хоризонтални услуги в общините. И на места има услуги, които дори се ползват от време на време, но като цяло положението е зле.
• Електронна идентификация – по ОПАК има пилотен проект, след това по ОПДУ се предвиден реален проект за национална схема. Той все още не е стартирал, но поне има шанс да стане до края на следващата година. Все още обаче електронна идентификация няма, камо ли пък услуги да са интегрирани с нея.
• Регистрова реформа – електронизиране на регистри, отпадане на излишни регистри, използване на информационни системи и „свързване“ на регистри. По това има поне нещо направено, но твърде скъпо и твърде неефективно. На практика регистрите не предоставят интерфейси за машинна комуникация и много често са просто грозни интерфейси върху таблица в базата данни. Неслучайно има стратегически документ „Концепция за регистрова реформа“ за периода 2019-2023. Само че в двата програмни периода електронизацията на регистри трябваше да се е случила (да, реформата не е равно само на електронизация, но да не влизам в скучни подробности). Ключови регистри, като Национална база данни „Население“, например, трябваше да бъдат наградени или изградени наново, но не са.
• Електронно здравеопазване – първото нещо, което ще видим след толкова години „мъки“ е след месец когато най-накрая надявам се да имаме електронна рецепта. Да, НЗОК има система, но и тя е доста ръчно-крачна и остаряла, а неща като „Единен здравен запис“ съществуват само в контекста на плащанията „по каса“, и дори там са непълни и некоректни. Малко цинично погледнато – „добре“ че дойде корона кризата, че МЗ поне малко да се задейства, макар и все още да предстои да видим резултат.
• Електронно правосъдие – и в двата програмни периода има проекти и дори цяла ос за правосъдие. Системата за електронно правосъдие се въвежда тази година, с променлив успех, но все още не позволява реално електронно правосъдие – съдилища изискват подаване на заявления на хартия, за да можеш да ползваш системата, например.
• Реинженеринг на процеси, функционални анализи и други анализи – такива „на килограм“ има, особено по ОПАК. Стоят по чекмеджета (или на нечий компютър в добрия случай). И остаряват по-бързо, отколкото някой може да се възползва от малкото полезна информация, която са открили.
• Обучение на администрацията – администрацията трябва да може да управлява процеса по въвеждане на електронното управление. Нищо подобно не се случва (с малки изключения), и то е отчасти защото след два програмни периода администрацията все още не знае какво е електронно управление (пак, с изключения, разбира се).

Дори с нещата, които все пак са изградени, няма политика за поддръжка и устойчивост. До скоро нямаше отделен ИТ бюджет и след изтичането на гаранционната поддръжка нещата оставаха във въздуха. От няколко години (след измененията в ЗЕУ, в които участвах), в бюджетната процедура всяка година е включено и „перо“ за информационни технологии, така че администрацията да започне да мисли как да продължи да ползва системите си. Образно казано, Европа дава пари да си направим основен ремонт на апартамента, но не и дава пари за месечните сметки за ток, вода и телефон или за текущи ремонти и трябва да ги планираме от нашия бюджет.

Та от Европейския съюз сме взели вече пари за тези неща. По два пъти за повечето от тях. И затова е трудно те да влязат за трети път в документ, с който искаме пари от Европа. Защото там с право ще кажат „е стига толкова, де, нали вече го правихте това“.

Ако бяхме направили нещата дотук, щяхме да можем да поискаме пари за следващите стъпки. За отворени интерфейси и дори изграждане на частни услуги на база на публичната инфраструктура; за трансгранична електронна идентификация, така че граждани на целия ЕС да могат да ползват е-услуги у нас (и съответно български граждани в Европа); за проактивни услуги, като автоматично кандидатстване за детска градина, автоматично получаване на помощи при определени условия и др; за групиране на услуги като епизоди от живота и събития от бизнеса, така че „отваряне на магазин“ да бъде една услуга за бизнеса, а не десет, с различни институции, например (за това има пари по „Добро управление“, между другото, но мисля, че нещата са на нулата); за неща като естонското електронно гражданство, с което да привличаме чужди инвестиции; за провеждане на политики, базирани на данни и дори използване на изкуствен интелект за подпомагане на вземането на решения и извършването на оценка на въздействието на законодателството; за електронно гласуване (за което също има пари по Добро управление, но и там има само един анализ и едно техническо задание); за преминаване от киберсигурност (която нямаме) към киберустойчивост.

Само че всички неща от предния абзац няма върху какво да стъпят. Нещата, които сме „отчели“, ги няма на практика (или ги има в много малка степен и са разпокъсани).

И това прави задачата толкова трудна. Единственото решение е политическо – някой да убеди Европейската комисия, че този път наистина ще на правим нещата, които 13 години сме отчитали, че правим. Не си представям как управляващите правят такава заявка. Възможно и да „мине“, пак. Но трябва планът да е добре структуриран, обоснован и с известна доза самопризнания за неуспехите досега. Трябва да заложи визия, цели, проекти, индикатори и срокове, които да имат смисъл, а да не са колекция от нечии хрумвания. В противен случай продължаваме с мокрите печати, докато човечеството не колонизира други планети. А може би и след това.

Материалът Дигитализацията на публичния сектор с европейски средства става все по-труднa е публикуван за пръв път на БЛОГодаря.

Post Syndicated from Bozho original https://blog.bozho.net/blog/3647

Много хора споделят тази снимка: „Вярно с електронно подписания оригинал“.

Тя е символ на електронното ни управление – на парче, неработещо на много места и пълно с абсурдни „закърпвания“. Но нека обясня.

Когато един електронен документ е подписан електронно, подписът му се проверява автоматично от софтуера за отваряне на документа – подписът гарантира (криптографски), че документът не е променян след като е подписан, както и кой в авторът. Има и държавна онлайн услуга за валидация.

Когато такъв документ се разпечата, обаче, всички тези гаранции изчезват (с което преди 11 години втрещих едни адвокати). Той става хартиен документ с лесна за манипулиране картинка на подпис. Това види до нуждата разпечатващият да удостовери (със саморъчен подпис и този текст), че разпечатаното не е изменяно. И така поставено изглежда съвсем логично.

Обаче… правилните подходи са други:

• Не се разпечатва. Вече има задължение всички администрации да ползват електронни документи и във вътрешния си оборот, и в комуникация с други администрации. И това е технически възможно и работи. Няма причина да се разпечатва. Разбира се, на малко места е отпаднала хартията, защото какво пише в нормативната уредба и какво става на практика са различни неща.
• На документа се посочват данни, с които оригиналният документ може да бъде изтеглен. Това предполага авторът да има онлайн система, където да се разполагат документите с адекватен контрол на достъпа. Електронното свидетелство за съдимост е такъв пример – има уеб адрес и код за проверка на оригинала. Тук трябва да се внимава, за да не може злонамерени хора да свалят цялата база с документи, налучквайки идентификаторите им.

И двата подхода (които не са взаимно изключващи се) предполагат архивиране на електронните документи. Това е процес съвършено различен от пълненето на мазета с папки с хартиени документи. За това има наредба и издадени на нейна база правила за архивиране. Нужни са неща като регулярна подмяна на дискове, резервни центрове (в рамките на държавния облак) и др. И някой да знае и спазва тези правила.

Ще продължава да има хипотези на разпечатване на е-документи, но те не трябва да бъдат в администрацията. Може в някоя фирма така да предпочитат или да са нужни за пред друга държава, където не ги приемат електронно. Но това са изключения.

Когато нямаш електронен документооборот (въпреки, че имаш техническата възможност за това), когато изискваш хартии при проверки, когато мисленето и на ръководителите, и на администрацията под тях и най-вече – на политическите ръководства, е хартиено, ще имаме това – разпечатване на е-документи. И „вярно с електронно подписания оригинал“ ще е съвсем логична практика, на която само някакви „фейсбук хейтъри“ са смеят.

Материалът Вярно с електронно подписания оригинал е публикуван за пръв път на БЛОГодаря.