Category Archives: интернет

За Школо и софтуера в обществения сектор

от Божидар Божанов
лиценз CC BY

Школо е продадено на британска компания. В стартъп света това е добра новина – успешен exit за българска компания. Но предвид, че Школо обработва данните на хиляди ученици, има и притеснения от това развитие.

Обективно, дали собствеността на фирмата е българска или от друга държава, която прилага европейското законодателство за защита на данните, разлика няма. Дори не би трябвало данните да напускат контрола на българското дружество, но дори да го направят един ден, Великобритания избра да запази GDPR в своето законодателство, а британският регулатор е един от най-добрите, така че аз нямам притеснения за данните.

Между другото, данните на всички ученици се обработват и от Майкрософт от много време, защото всеки ученик своя акаунт има право на безплатен офис пакет.

Винаги, когато става дума за софтуер, държавата трябва да осмисли рисковете от дългосрочно обвързване с частен доставчик и да ги претегли спрямо ползите от това. Дори да избере външен доставчик, трябва да има право да прекрати договора и да продължи да разполага с данните – нещо, което Школо предоставя.

Данните се изпращат и в централната система на МОН (НЕИСПУО), т.е. училищата не са вързани за доставчика. Това е устойчиво решение и добра практика както от страна на държавата, така и от страна на доставчика.

Появиха се и твърдения, че Школо е безплатно (и съответно продава данните на децата). Това не е вярно – Школо има договори с училища и те не са безвъзмездни.

Школо е пример за това как частната инициатива дава много по-добри резултати от „централното планиране“ на държавата, особено когато става дума за потребителски софтуер. Държавата има много по-голям ресурс да изгради система за електронни дневници, но Школо е предпочитано от учители, родители и ученици, защото се грижи за потребителя, а не просто „да изпълни нормативните изисквания“.

Държавата е „вързана“ да използва т.нар. waterfall модел, който е остарял, но следва от Закона за обществените поръчки – изготвя се едно голямо задание, то се възлага, това отнема много време и накрая ако резултатът не отговаря на очакванията, няма много какво да се направи, освен да де поръча надграждане. Този модел трябва да се промени, за да може системите, които държавата неизбежно се налага да изгради, да са по-добри (и вече работим по такъв модел).

От гледна точка на частния сектор, работата с държавни структури е рискова (освен аутсорсинга) – политически решения могат да застрашат бизнес модела, напр.. Моят съвет към стартъпите по принцип е да избягват да работят с публичния сектор, най-вече защото временни не успехи не показват т.нар. product-market fit. Но училища, болници и други разпределени структури на обществения сектор предоставят възможен бизнес модел, с ползи за гражданите.

В заключение, смятам, че продажбата на Школо не носи риск за данните на учениците или за системата на образованието. Може да ни служи за пример как да използваме софтуер без да сме заключени за него. И за стимул държавата да подобри процесите си по изграждане на софтуер, защото в много случаи няма пазарен стимул за изграждане на твърде специализиран софтуер за нуждите на държавата.

Материалът За Школо и софтуера в обществения сектор е публикуван за пръв път на БЛОГодаря.

Отчет за парламентарната ми дейност през втората сесия

от Божидар Божанов
лиценз CC BY

В края на първата парламентарна сесия на 49-тото Народно събрание публикувах отчет какво съм свършил. В края на 2023 г. приключи и втората парламентарна сесия, така че ето моя отчет и за нея.

Най-важното, което приехме, бяха промените в Конституцията. Но както писах и тогава, тук ще включа само неща, по които лично съм работил (рядко сам, разбира се), за да не си приписвам работа на други колеги или други парламентарни групи. Иначе тук е целият ми профил в сайта на Народното събрание.

През втората сесия приехме следните законови изменения:

  • Изменения в Закона за електронното управление, с които служебни справки се приравняват на удостоверения с цел тяхното отпадане; отпадане на нуждата от квалифициран електронен подпис за заявяване на е-услгуги; електронно връчване на всички документи, свързани с административното наказване; намаляване на таксите за електронни услуги. Описал съм промените в повече детайли тук.
  • Отпадане на трудовата книжка и замяната ѝ с данни в електронен регистър – за това писах по-детайлно тук след приемането на измененията
  • Повече прозрачност в Закона за обществените поръчки – публикуване на повече данни в структуриран вид, както и задължение за публикуване на договори дори когато не се прилага закона (т.е. по изключенията). Описал съм в детайли тук, като с последващо изменение през Закона за бюджета по мое предложение беше приета и допълнителна прозрачност за индексациите заради инфлацията, а именно – да се публикуват всички документи свързани с промяната на стойността на договора. Приехме и редките лекарства да се купуват чрез рамково споразумение, и само ако няма такова да се прилага досегашния ред, а именно – изключение от ЗОП.
  • В Закона за местните данъци и такси приехме общините служебно да получават информация от Кадастъра и Имотния регистър за преустройства, от които следва промяна в данъка, вместо собствениците да го декларират. Предложението в първоначалния му вид беше на Възраждане, а след това работих по неговто преправяне съвместно с НСОРБ и МФ.
  • В Закона за данъка върху добавената стойност премахнахме изискването електронните фактури са имат няколко екземпляра (съответно „копие“ и „оригинал“), тъй като това е най-малкото странно.
  • Поправихме пропуск в Кодекса на труда, така че заплати да могат да се превеждат по всякакви платежни сметки, а не само по банкови такива (има редица услуги, които не са банкови, но по закон имат право да предоставят IBAN)
  • В Закона за авторското право и сродните му права приехме т.нар. право на вторично публикуване на научна литература. Целта на научната литература е знанието да е максимално широко достъпно. За съжаление, това на практика не е така заради ограничения, наложени от научните журнали, поради кеото внесох и приехме авторите на научни публикации, финансирани с обществени средства, да могат да ги публикуват в отворени, некомерсиални хранилища след публикуване в научни журнали
  • В Закона за съдебната власт въведохме централизирана система за случайно разпределение. До момента за различни случаи се ползват различни системи. С промените ще има една система, с отворен код, с криптографски гаранции за разпределението. Важна стъпка към ограничаването на нерегламентирани влияния в съдебната система.
  • Приехме нов Закон за противодействие на корупцията ЗПК – в който е предвидено публикуване на отворени данни за декларациите, анализ на корупционния риск (който може да бъде автоматизиран, на база на множество източници на данни), и възможност за подаване на декларации по електронен път.
  • На първо четене приехме изменения в Закона за движението по пътищата, с който се предвижда по-ефективно връчване, отпадане на стикери и отворено данни. Между първо и второ четене внесох няколко страници предложения за изправане на разнообразни кусури на закона, като предстои да се създаде работна група, която да оформи финалните предложения за гласуване.

Зададох и 13 въпроси към министри, ето някои по-интересни:

Както отбелязах и при предния отчет, законовите промено минават с гласовете на ГЕРБ, понякога и на други партии. С нашите 63-ма депутати няма как сами да прокараме каквото и да било, така че обсъждаме конструктивно с другите партии.

Продължаваме, закон по закон, текст по текст, да подобряваме законовата рамка.

Материалът Отчет за парламентарната ми дейност през втората сесия е публикуван за пръв път на БЛОГодаря.

eIDAS 2.0, QWACs And The Security Of The Web

от Божидар Божанов
лиценз CC BY

Tension has been high in the past months regarding a proposed change to the European eIDAS regulation which defines trust services, digital identity, and the so-called QWACs – qualified website authentication certificates. The proposal aims at making sure that EU-issued certificates are recognized by browsers. Here’s a summary from Scott Helme, and a discussion with Troy Hunt, and another good post by Eric Rescorla, former Firefox CTO so I’ll skip the intro.

Objections

Early in the process, Mozilla issued a position paper that raises some issues with the proposal. One of them is that what the EU suggests is basically an Extended Validation certificate – something that we had in the past (remember the big green address bars?), and which we have abandoned some time ago, and for a reason – multiple studies found that they do not bring any benefits. The EU says “QWACs (EVs) give the user more trust because they know which legal entity is behind a given website”. And the expert community says “well, in which scenario is that useful, and what about faking it – opening an entity with the same name in a different jurisdiction?”.

Later in the process, an additional limitation was added for browser vendors – that they cannot mandate additional security requirements than those specified by the EU standards body – ETSI. This is, to me, counterintuitive policy-wise, because in general, you set minimum requirements in regulations, not maximum. Of course, this prevents browser vendors from having arbitrary requirements. Not that they’ve had such requirements per se, but for example their CA inclusion page says “Mozilla is under no obligation to explain the reasoning behind any inclusion decision.” For me, this is not an acceptable process for something as important.

Mozilla (and various experts) also note, correctly, that if a CA gets compromised, this affects the entire world – the traffic to any website can be sniffed through man-in-the-middle attacks. And this has happened before. The Electronic Frontier Foundation, a respected digital rights organization, also objected to the approach.

Then Mozilla launched a campaign website against the amendment, which has the wrong tone and has some gross oversimplifications and factually incorrect statements (for example, it’s not true that QTSPs are not independently vetted). Then the European Signature Dialog (basically, an association of EU CAs, called QTSPs – qualified trust service providers), responded to it in a similarly inappropriate way. It said “Mozilla is generally perceived as a Google satellite, paving the way for Google to push through its own commercial interests” (which is false, but let’s not go into that).

The statements that QWACs are better against phishing, is arguably not true, even if you consult the paper that the ESD linked. It says: “Our analysis shows that it is generally impossible to differentiate between benign sites and phishing sites based on the content of their certificates alone. However, we present empirical evidence that current phishing websites for popular targets do typically not replicate the issuer and subject information”. So the fact that phishing sites don’t bother using EVs is somehow a reasons that EVs(QWACs) help against phishing? I’m disappointed by this ESD piece – they know better. Mozilla also knows better, as this negative campaign website introduces a tone that’s not constructive.

Insufficient assessment

What becomes apparent from the impact assessment study, another study, and the subsequent impact assessment is that there have been efforts to agree with browser vendors on including EU issued certificates without the CAs having to go through the root program process of the browsers, which they have refused.

I think this is not a good impact assessment. It does not assess impact. It doesn’t try to find out what will happen once this is passed, nor it tries to compare root programs with current ETSI standards to find the gaps. Neither the initial study, nor the impact assessment review the security aspects of the change.

For example, due the current usage patterns of QWACs for internal API-based communication between EU institutions, QWACs have sometimes been issued to private addresses (e.g. 192.186.xx.xx). Once they become automatically approved by the browsers, a security risk arises – what if I have a trusted certificate for your local router IP?

Also, it’s not a good process to include additional limitations in the trialogue, which is an informal process between the EU parliament, commission and council. I, as a Bulgarian member of parliament, requested from our government the drafts from the trialogue, and I was not granted access (due to EU rules). This is unacceptable as a legislative process, which should be fully transparent.

I have criticized this process and insufficient impact assessments before – for the copyright directive introduction of a requirement for automated content takedown, and for the introduction of mandatory fingerprints in ID cards.. There just doesn’t seem to be enough technical justification for regulations that have a very significant technical impact – not just in the EU, but in the world (as browsers have a global trusted CA list, not a EU one).

Technical or political debate?

The debate, as it seems, has conflated two separate issues – the technical and the political one. What Mozilla (and I presume other browser vendors) are implying is that they are responsible for the security in their browsers and they should be able to enforce security rules, while the EU is saying – private US entities (for-profit or non-profit) cannot have full control over who gets trusted and who doesn’t. Both are valid arguments. The EU seems to be pursuing a digital sovereignty agenda here, which, strategically, is a good idea.

But the question is whether that’s the best approach, and if not – how to improve it.

Some data and an anecdote to further illustrate the status quo. The Certinomis French QTSP (CA) has been distrusted by Mozilla a while ago. It is, however, on the EU trusted list. With the changes, Mozilla and others should re-trust it. The concerns raised by Mozilla seem legitimate, and so the fact that EU conformity assessment bodies do regular audits may not be sufficient for the purposes of web security (but this assumption needs to also be critically assessed).

Currently, there are 146 root/subordinate CA certificates listed for QWAC QTSPs. Of those 146, 115 are included in one or more root trust stores, and between 57 and 80 are missing from one or more. It’s far from an ideal picture, but these numbers should have been in the impact assessment and the problem statement in the first place. So that the legislators can identify the reasons for not including a CA in one or more root program. Is it a technical shortcoming of the CA, or it it a vendor discretion? Certainly, there doesn’t seem to be a ban on EU CAs/QTSPs by browser vendors.

So, essentially, the political results here is that EU CAs will get a fast-track into trust stores. I’m sure other jurisdictions will try to pass similar legislation, which will complicate the scene even further. Some of them will not be as democratic as the EU. And if a browser vendor thinks some CA is not trustworthy by their standards, they may come up with very clever workarounds of the regulation.

The first one – ignoring it, as there are no fines. But they can also introduce different paddock colors for different cases – e.g. a QWAC from a browser-approved CA gets a green paddock, a QWAC that has not passed the browser root program gets a yellow paddock. Compared to the current grey one, the yellow color may be perceived as less trustworthy. And then we’ll have to argue whether yellow is a clear enough indication and whether it shows trust or not so much. Time and time again I have stated that you can’t really regulate exact features and UI.

A technical solution to the political question?

I’ve heard many times that technical solutions to political problems are wrong. And I’ve seen many cases where, if you delve into the right level of detail, there is a solution that is both technically good and serves the political goal. In this case this is the so-called “Certificate transparency”. In a nutshell, each certificate, before being issued, is placed in a public verifiable data structure (merkle tree – used in blockchain implementations), and gets a signed certificate timestamp (SCT) as a response, which is then included as an X.509 attribute. This mitigates the risk of compromised CAs issuing certificates for websites that do not belong to the one requesting the certificate. In no time (up to 24 hours) they will be caught and distrusted, which raises the bar significantly.

Unfortunately, ETSI hasn’t included Certificate transparency in the current QWAC standard. The ESD association mentioned above says in another document that “The Browsers can easily bring any additional rules they want to impose on QTSPs such as Certificate Transparency to ETSI and other international standards bodies to be adopted through an open process of consensus by the internet community”, which I think is the wrong approach – Certificate transparency is an IETF RFC and is a de-facto standard. What will surely help is moving it (they are actually 2 RFCs) out of the “Experimental” status in IETF, but we can’t require every standard to be mirrored by ETSI.

I don’t know why CT has not been referenced by ETSI so far. It’s true that certificate log servers are based mostly in the US (and one in China), but nothing stops an organization from running a CT log. It “just” takes some infrastructure and bandwidth to support the load, but I think it’s a price EU QTSPs can pay, e.g. by sharing the costs for a couple of CT logs.

As a sidenote, I think it’s worth noting that the EU can also do more towards the adoption of DANE – a standard, which gets rid of CAs, as the public key is stored in a DNS record. It relies on DNSSEC, which doesn’t have huge adoption yet, and both are trickier to implement than it sounds, but if we want to be independent from browser decisions on which CA to trust, we can remove CAs from the trust equation. I’m fully aware it’s far from simple, and we’ll have to support PKI/CAs for a long, long time, but it’s a valid policy direction – mandate DNSSEC and DANE support.

Conclusion

Certificate transparency requirements can be added now to the eIDAS Annex IV. We are too late in the legislation process for that to be done smoothly, but I’d appreciate if the legislative bodies tried it. It would be just one additional point – “(k) details about the inclusion of the certificate in a public ledger” (note that the same eIDAS 2.0 regulates ledgers, and a CT log is a ledger, so that can be leveraged).

If not in Annex IV, then I’d strongly suggest including CT in the next version of the relevant ETSI standard. And I think it would be good if the EU Commission or ETSI to do a gap analysis of current root programs and the current ETSI standards to see if something important is missing.

Furthermore, the European Commission should initiate a series of objective studies on the effectiveness of extended validation certificates. The studies that I’ve read are not in favour of the EV/QWAC approach, but if we are to argue EV/QWACs are worth it, we need better justification.

A compromise is possible, that would make browsers confident that there will be no rogue CAs while at the same time giving Europe a say over trust in the web.

The post eIDAS 2.0, QWACs And The Security Of The Web appeared first on Bozho's tech blog.

България е в Шенген

от Божидар Божанов
лиценз CC BY

България е в Шенген. В края на март отпада граничният контрол, освен по суша.

За шест месеца това правителство и мнозинството в парламента свършихме много работа за това България да бъде приета най-накрая в Шенгенското пространство.

Холандия се притесняваше за върховенството на закона. Приехме антикорупционно законодстелство и най-вече – изменения в Конституцията, с които Холандия прие, че се движим с бързи крачки в правилна посока и свали ветото си.

Австрия има резерви за нашия граничен контрол, поради което бяха положени много усилия от правителството.

Това не са просто дипломатически усилия (каквито имаше много), не са и молби „айде махнете ветото“, както някои си представят. Това е систематична работа на много институции в обща посока.

Да, България не получава засега Шенген по суша. Предстои още работа на Гранична полиция, за да доубедим Австрия. Да, вероятно преминават мигранти през т.нар. „зелена граница“, а каналджийството, за което приехме сериозни промени в Наказателния кодекс, сигурно не е изчезнало. Но с помощта на технологиите, видеонаблюдението на границата, обхождането с дронове и централизирания анализ, скоро ще сме отвъд техническите изисквания, които отдавна покриваме.

Не, не сме се съгласявали да приемаме повече мигранти. Дъблинският регламент, който сме длъжни да прилагаме от 2013 г., остава в сила непроменен.

Ясно е, че опозицията винаги ще търси кусури и ще опитва да каже на бялото черно. Ще си измисля, ще преиначава и ще омаловажава. Но нека опитат да не очернят този успех за страната заради партийни интереси.

Критичните по принцип избиратели и сега ще са недоволни, мнителни и ще иронизират успеха (най ми харесаха „подземния Шенген“ и „тази година полушенген, догодина – цял Шенген“). Това е тяхно право, но и тях призовавам да не са напълно черногледи.

В крайна сметка хората ще усетят ползата от отпадането на граничния контрол. И твърденията, че сме „втора ръка европейци“ ще са все по-безпочвени. А репутацията на държавата ни ще се подобри, защото приемането в Шенген не е просто въпрос на граничен контрол, а е атестат за институционален напредък.

От днес България в по-интегрирана в Европа, а от това ползите са огромни.

Материалът България е в Шенген е публикуван за пръв път на БЛОГодаря.

Три отговора за Конституцията

от Божидар Божанов
лиценз CC BY

Три въпроса/критики, които виждам най-често във връзка с изменения в Конституцията.

1. Защо парламентарната квота в прокурорския съвет е по-голяма от професионалната – така не се ли поставя прокуратурата под политически контрол?

Проблемът с прокуратурата към момента е, че главният прокурор (който е началник на всички прокурори и може да осъществява надзор за законност по делата) или не носеше отговорност пред никого („над мен е само Бог“), или получаваше задкулисни указания от различни центрове на власт. Съответно отговорност за действията на прокуратурата не се носеха – „те си го избират прокурорите“.

С измененията, освен че му премахваме правата за намеса, слагаме превес на обществената квота. Това, от една страна, предотвратява капсулирането (прокурори, които зависят кариерно от главния, го поддържат в съвета), а от друга дава отговорност и отчетност. Трябва да отбележим и че обществената квота не е партийна и това ще е водещ принцип при нейното излъчване.

С друго изменение подчертаваме, че водещата роля в съдебната власт е на съда. Прокуратурата и следствието са страна по делата, а съдът е арбитър. Именно независимостта на съда е в центъра на съдебната власт, поради което квотите там са наобратно – 8 съдии избрани от съдии (от общо 15 члена, като само 5 се избират от парламента). Водещото при съда е, че трябва да е независим. Водещото при прокуратурата, която осъществява наказателната политика на държавата, е да бъде отчетна. Именно за това са такива квотите в двата съвета.

2. Защо двойно гражданство? Така не се ли отваря вратата за чуждо влияние?

В рамките на дебата бяха изнесени данни от г-жа Цонева, че България е последната държава и в ЕС, и в Съвета на Европа, която позволява двойно гражданство по принцип, но го забранява за изборни длъжности. С премахването на това ограничение правим по-лесно за българската диаспора (стотиците хиляди емигранти за последните 30 години) да се включи в политическия без бюрократични пречки и усложнения.

Изискването да нямаш двойно гражданство, за да си депутат/министър, не е пречка за чужди агенти на влияние да заемат позиции, както някои се надяват. Пример е Георги Димитров, който преди да се върне и да превърне България в съветска колония, се отказва от съветското си гражданство. Борбата с чуждото влияние е работа на службите, а не на формално конституционно ограничение.

Има няколко вида българско гражданство – по рождение (ако си се родил с българско гражданство или си дете на български гражданин), по произход (от историческите територии, на които е имало българско население) и по натурализация (ако сиsigna живял поне 5 години в България и отговаряш на допълнителни изисквания по закон). Няма хипотеза, в която някой чужденец получава българско гражданство без да е чувал за България, така че тези притеснения са неоснователни.

3. Защо с обикновено Народно събрание приемате изменения, за които се изисква Велико Народно Събрание, съгласно решение на Конституционния съд?

Решение 3 от 2003 г. на Конституционния съд, по искане на тогавашния главен прокурор (който публично се е хвалел с влиянието си в Конституционния съд във връзка с това решение), определя как се тълкува разпоредбата на чл. 158, т. 3 от Констиуцията, а именно, какво значи „формата на държавно устройство и на държавно управление“. Тезата, че обикновено Народно събрание не може да разделя Висшия съдебен съвет на два съвета и да премахва правомощия на главния прокурор, се базира на това решение.

Има обаче и друго решение – номер 8 от 2005 г., което казва, че може да има повече от едно тълкувателно решение по една норма, и че „Промени в Конституцията, концентрирани в рамките на съдебната власт, [..] които са насочени към преструктуриране, оптимизиране от съдържателна гледна точка и прецизиране на отделни функции на нейни органи, поставяне на акценти или уточняване на техни правомощия или наименования, както и взаимодействието им с институции на другите власти, не представляват промяна във формата на държавно управление“

И двете решения са тълкувателни – по искане на главния прокурор и по искане на ВКС. Те дават рамка, но както посочва Решение 8, трябва да се извърши преценка на конкретни изменения, за да се прецени нюанса и баланса. Иначе казано, не може да се твърди, че Решение 3 прави настоящите изменения противоконституционни.


Всички тези аргументи са изказвани в комисия и в пленарна зала. Аз лично смятам, че измененията в Конституцията са добри, водят до по-независим съд и по-отчетна прокуратура. Критиките към проекта бяха отчетени с измененията между първо и второ четене, като бяха обсъждани с професионалните общности в двата месеца между двете първи гласувания. Подхождаме към Конституцията с огромно внимание и с разбиране за отговорността, която носим. Ако някой е прочел някоя критична статия или е чул изказване на някой от опозицията или е извадил едно-две критични изречения от три страници становище на някоя институция, призовавам към по-задълбочен прочит. И на контекста, и на дебатите в комисия и в зала.

Материалът Три отговора за Конституцията е публикуван за пръв път на БЛОГодаря.

Приехме измененията в Конституцията

от Божидар Божанов
лиценз CC BY

Приехме окончателно измененията в Конституцията. Структурните предпоставки за независим съд и за отчетна прокуратура вече са налице. А подобряването на съдебната система е ключово за развитието на страната.

Аргументираните критики към законопроекта бяха чути и бяха направени съответните редакции (критика „заради самата критика“ винаги ще има).

А това, че с наши опоненти сме постигнали съгласие по тази голяма задача, е признак не на слабост, а на политическа адекватност. Никой няма сам да има 160 гласа, затова целите се постигат с разговор.

Дали това е исторически момент, ще кажат историците след десетилетия. Но със сигурност изкачихме един стръмен склон, който катерим от много години. Да, това не е върхът – катереното на стръмни склонове продължава. Това не е краят на съдебната реформа (ако някой реши да го определя така), но е ключова стъпка. Предстоят изменения на устройствени и процесуални закони.

Благодаря на всички за подкрепата, която направи възможно приемането на тези отдавна чакани промени.

Материалът Приехме измененията в Конституцията е публикуван за пръв път на БЛОГодаря.

Електронното бъдеще е възможно, но не е неизбежно

от Божидар Божанов
лиценз CC BY

С редица законодателни промени в последните месеци беше даден нов тласък на електронното управление. Разбира се, както се е доказвало многократно през годините, обнародването на един хубав текст в Държавен вестник не означава, че той ще бъде реализиран на практика, поради което предстои сериозна работа в изпълнителната власт.

Измененията в Закона за електронното управление бяха изготвени в Министерството на електронното управление (МЕУ) в предходното редовно правителство и приети през септември. В тях има редица подобрения, които изискват от администрацията сериозна работа.

Едно от тези изменения е приравняването на служебните справки по електронен път на удостоверенията, които администрацията изисква от гражданите. Задължението за администрацията да събира по служебен път информация, с която държавата вече разполага, е в Закона за електронното управление от 2009 г. За съжаление, практиката е, че администрациите цитират специалните закони, по които работят, и казват, че те се прилагат, а там по инерция законодателят е сложил изискване на удостоверения. За да не трябва да променяме цялата нормативна уредба, с измененията в закона се приравнява служебната справка на удостоверенията, изисквани по специалните закони. В допълнение се въвежда забрана за това в подзаконов акт да се предвижда изискване на удостоверения, както и гаранции за сигурността на служебното събиране, като по този начин удостоверенията, на които гражданите и бизнесът са куриери, най-накрая трябва да отпаднат. Това ще се случи, след като изпълнителната власт преправи наредбите си в съответствие със закона, за което Министерството на електронното управление е поело ангажимент.

Друга важна промяна е отпадането на изискването за квалифициран електронен подпис при заявяване на електронни услуги от физически лица. Електронният подпис е сигурен, но много неудобен и това през годините е било бариера пред използването на наличните е-услуги. С изменението вече няма да се изисква заявленията да бъдат подписвани, което ще позволи заявяване след идентификация по множество различни начини – вкл. с бъдещата електронна идентификация, с ПИК и др. Това означава надграждане на системи, така че те да позволят по-широко използване, но този процес вече започва.

Със същите изменения се предвижда догодина всички регистри, които държавата води, да станат електронни. За целта се създава централизирана система за управление на регистри, така че да не се налага всеки регистър да се електронизира поотделно с отделна обществена поръчка, а разходите за бюджета да станат непосилни. Централизираната система ще позволява създаването на нов регистър с няколко клика. Всички тетрадки, екселски таблици и остарели информационни системи ще могат да бъдат мигрирани към съвременна система, която да е достатъчно защитена, да се грижи за резервните копия, за връзките с други регистри, за публикуване на отворени данни, за проследимост на действията в тях – все неща, които една екселска таблица не може да предостави.

Споменавайки електронната идентификация, трябва да дадем повече детайли – след като процедурата за нови лични документи на МВР беше обединена с процедурата за електронна идентификация, общата такава „заби“ в съда в Люксембург. Това наложи Министерството на електронното управление през 2022 г. да възложи изграждане на мобилно приложение за електронна идентификация, какъвто е правилният подход от няколко години насам. За съжаление, през лятото на 2022 г. МВР не даде достъп на министерството до данни, необходими за функционирането на приложението. Едва в края на 2022 г. съдът на Европейския съюз и съответно Върховният административен съд позволиха сключването на договор от страна на МВР. В момента МВР изпълнява своя проект, подготвен през 2016 г., като Министерството на електронното управление опитва да му предостави вече изграденото по мобилното приложение през изминалата година, за да могат гражданите да получат електронна идентичност в мобилните си устройства дори без нужда от смяна на личните си карти. Когато такова приложение е налично, в комбинация с отпадането на изискването за подпис всеки гражданин ще може да ползва всички налични електронни услуги.

На следващо място през септември бяха приети измененията в Кодекса на труда, с които се предвижда отпадане на трудовата книжка. Данните от нея ще се въвеждат в регистър в НАП, който ще бъде базиран на настоящия регистър на трудовите договори. НАП има срок до юни 2025 г. да направи бизнес анализа, да измени подзаконовата уредба и да надгради регистъра. Когато това се случи, трудовите книжки ще се ползват само при пенсиониране, и то само от служители, които имат стаж през миналото хилядолетие. Причината за това е, че масовото дигитализиране на старите хартиени трудови книжки, в които има доста грешки и злоупотреби, и за които отговорността е на служителите, е почти непосилна задача за реализиране в мащаб. Важното е, че избраният подход ще позволи трудовата книжка да отпадне от ежедневието и на бизнеса, и на служителите.

Други важни промени, които ще бъдат усетени от гражданите, са измененията в Закона за движението по пътищата. Те отварят път за електронно връчване, получаване на известия по имейл или sms за издадени електронни фишове, както и възможност за плащането им с карта онлайн още преди да бъдат връчени официално. Всички тези мерки ще позволят на добросъвестните водачи да си плащат глобите. Отпадането на синия талон от своя страна освен символно значение на скъсване с хартиеното минало прави възможно изцяло електронен процес по административно наказване по Закона за движението по пътищата – нещо, което синият талон спираше заради нуждата да бъде отнет и съответно върнат.

Не можем да пропуснем и измененията в Закона за достъп до обществена информация – на пръв поглед скучно транспониране на европейска директива, но на практика въвеждащ задължения за всички администрации да поддържат отворени данни в реално време чрез програмни интерфейси. Макар досега да имаше такива текстове, те бяха в наредба и тя рядко се спазваше. Оттук нататък липсата на такива интерфейси ще може да бъде санкционирана, а ползата от тях е безпрецедентна прозрачност. Един пример – данните за всички плащания на държавата през системата СЕБРА, които отворихме еднократно през 2022 г., сега ще трябва да бъдат достъпни в реално време.

По Плана за възстановяване и устойчивост (ПВУ) също предстоят важни проекти и мерки. Вече описахме напредъка по една от тях – за дигитализация на всички регистри. Първият голям проект е за дигитализация на хартиените архиви на имотния регистър, регистъра на населението и кадастъра. Там за разлика от трудовите книжки хартиените документи се съхраняват от администрацията по определен ред и подлежат на систематично привеждане в цифров вид заедно с необходимите метаданни. Това ще позволи най-накрая да имаме истински имотен регистър, да не трябва да заявяваме удостоверение за наследници по постоянен адрес (защото наследниците се установяват и чрез „ровене“ в хартиените картони за гражданска регистрация), ще бъдат усетени и много други ползи.

Вторият голям проект по ПВУ е осигуряването на високоскоростна свързаност за всички региони в страната. Мрежата на Министерството на електронното управление ще достигне до всички 265 общини, а телекомите и интернет доставчиците ще осигурят покритие с висока скорост на слабо населените места. Така например в пощенските клонове ще могат да бъдат предоставяни административни услуги, като пощите ще бъдат в ролята на посредник (отново изменение, прието с промените в Закона за електронното управление). За съжаление, поради забавяне, натрупано при служебния кабинет, големият проект за дигитализация на пощите отпадна от ПВУ, но не отпада и възможността те да предоставят услуги, за да не трябва хората в малките населени места да ходят до областния град, за да ползват административни услуги.

Продължава да има нужда от подобрения в много закони, но основната работа е свършена в последните месеци. Сега предстои изпълнителната власт и администрацията да използват политическата подкрепа, която има за тези мерки, за да може след две години да имаме променена държава – по-електронна, по-ефективна, по-удобна за гражданите и бизнеса, по-сигурна и по-защитена от корупционни практики.

За да изпълни всичко това обаче, държавата трябва да организира по-добре възлагането на софтуер и други информационни и комуникационни технологии. Това е важна точка в програмата на правителството, без която изброените мерки могат да се окажат затлачени от безкрайни процедури, недобросъвестни изпълнителни, липса на вътрешен капацитет за управление на проекти, саботаж и административно безвремие. В програмата на правителството е включена промяна на начина, по който държавата ползва ИТ, като би трябвало тази промяна да намери своето законово изражение догодина.

Електронното бъдеще е възможно, но не е неизбежно – нужна е сериозна работа и активна политическа подкрепа, иначе има риск добрите намерения, макар и обнародвани в Държавен вестник, да не постигнат желания резултат.

(Статията е написана специално за сп. Мениджър)

Материалът Електронното бъдеще е възможно, но не е неизбежно е публикуван за пръв път на БЛОГодаря.

„Няма хора“ за ИТ в държавната администрация?

от Божидар Божанов
лиценз CC BY

На последното заседание на комисията по електронно управление беше повдигнат въпроса за кадровото осигуряване в администрацията във връзка с информационните технологии и електронното управление.

Това е сериозен дългосрочен проблем, който има нужда от стратегическо решение. Да, държавата аутсорсва ИТ дейности, но дори управлението на аутсорсинга изисква вътрешен капацитет. Още повече, че има стратегически функции, които държавата трябва да може да обезпечи сама.

В тази посока направихме две първи стъпки преди година и нещо: да дадем възможност за заплати с над 80% спрямо нормата за администрацията за определени категории ИТ специалисти и да започнем централизирането на т.нар. service desk услуги в изпълнителната агенция към МЕУ.

Но трябва много по-широк обхват на реформата. Имам разписана базова концепция, която стъпва на принципа на „споделените услуги“ и разделя тези услуги на пет групи:
Разработка на софтуер, инфраструктура (мрежи и хардуер), системна администрация и интеграция, мрежова и информационна сигурност, service desk.

Разпокъсаността на експертите по различните структури в държавата не е ефективна и трябва да се премине към консолидация и споделени услуги. Това обаче трябва да се претегли спрямо секторната експертиза, която се изисква в някои администрации.

Такъв подход ще позволи не просто по-високи заплати, а създаване на екипи и структури, които могат да привличат повече хора, да гарантират кариерно развитие. Иначе казано – да не са типична администрация, а ИТ организации, с мислене и начин на работа на ИТ организация.

В следващите месеци ще обсъждам и развивам тази концепция, докато тя стигне до своето законодателно изражение. Защото без да създадем подходяща институционална среда, ще продължаваме да си говорим, че „няма хора“.

Материалът „Няма хора“ за ИТ в държавната администрация? е публикуван за пръв път на БЛОГодаря.

Рискове и притеснения, свързани с Министерството на електронното управление и електронната идентификация

от Божидар Божанов
лиценз CC BY

Получих отговор от МВР, че изходният код на системата за електронна идентификация нямало да е публично достъпен ако изпълнителят не разреши и те нямали задължение да спазват Закона за електронното управление. Нищо, че в договора и в техническата спецификация има задължение системата да се разработва като софтуер с отворен код.

На друг мой въпрос, МВР отговарят, че чакат изпълнителят да отговори за въвеждане на съвременни функционалности на планираното в далечната 2016 мобилно приложение. Т.е. чакаме изпълнителят да каже дали ще можем да ползваме телефона за идентификация без да трябва задължително всеки път да допираме лична си карта (и то след като я сменим).

Това са индикации за проблеми, свързани както с работата на МВР, така и с работата на Министерство на електронното управление – МЕУ е органът, натоварен с политиката по електронна идентификация и фактът, че не е упражнен контрол и не е наложена съвременна визия, води до риск отново да нямаме адекватна електронна идентификация.

Ще ползвам тези проблеми да обърна внимание и на това, което като цяло се случва в Министерството на електронното управление.

При избора на правителството написах, че смятам, че министър Йоловски ще се справи и че има моята подкрепа. Към онзи момент това беше именно така. Оттогава съм опитвал да помагам на министерството в поставените задачи в правителствената програма и по други текущи проблеми, с целия си опит и знания – включително проведохме тристранна среща с министър Стоянов за развитието електронната идентификация, по моя инициатива. За съжаление, с течение на времето, виждах все повече, че министърът на електронното управление няма необходимия фокус и нещата не вървят добре.

Като започнем от абдикацията на МЕУ от електронната идентификация (илюстрирано от отговорите на МВР), от прозрачността (напр. на данните за плащанията в СЕБРА), от хибридните заплахи; минем през не докрай обмисленото съгласуване на процесите с електронните бележки и рецепти, през липсата на напредък по невидимите, но важни второстепенни задачи, без които не може, и стигнем до тормоза на служители с постоянни проверки на инспектората и съответното напускане на служители (видно от отговори на други парламентарни въпроси).

Срещата, която с Кирил Петков проведохме с министъра в началото на октомври беше именно с оглед на това – за да работим по-добре съвместно и за да е сигурен министърът, че има политическа подкрепа (ако в турбулентния период се е зародило някакво съмнение за това). За съжаление месец след срещата, министърът явно беше решил, че това не е било даване на подкрепа, а заплаха.

В светлината на горните проблеми все по-малко смятам, че МЕУ ще се справи със задачите и с очакванията, които всички имаме към него. Това, разбира се, не освобождава МВР от отговорност за електронната идентификация, но то е само част от картината. Длъжен съм да предупредя за тези рискове.

Искам да благодаря на служителите в министерството на електронното управление, които продължават съвестно да изпълняват задълженията си въпреки дисциплинарния произвол и хаоса.

Ще продължавам да работя за електронизация на процесите в държавата и да подкрепям и взаимодействам с изпълнителната власт. Защото тази цел, която включва повече ефективност, прозрачност и удобство, е над политическите интриги.

А по темата с електронната идентификация – разчитам на експертите в МВР да защитят обществения интерес, да изискат спазването на закона и въвеждането на съвременни функционалности. Иначе рискуваме да стигнем до същия казус като с тол-системата и да се чудим „къде е кодът“. Или дори по-лошо – никой да не търси кода, защото системата не се ползва.

За да се върнем в правилния път, предлагам (най-малко) следното:

1. МЕУ и МВР да определят съвместно какво трябва да получат гражданите от електронната идентификация – според мен това трябва да е мобилно приложение, с което да могат да се идентифицират без непременно нужда от нов личен документ, с ниво на осигуреност „средно“ по подразбиране, и „високо“ при регистрация с нова лична карта или след посещение на място.

2. Да бъдат наваксани забавянията по проектите по плана за възстановяване и устойчивост.

3. МЕУ и МФ да приемат изменения в наредбата за СЕБРА за регулярен експорт на данни за плащанията от държавата чрез СЕБРА (оставих проект за такова изменение още миналата година).

4. МЕУ да съдейства на МОН и МЗ за въвеждане на възможност за извинение на отсъствия по преценка на родител до определен брой дни, както и да се работи по доклада, който подготвехме преди година и половина, за отпадане на всякакви бележки и хартийки в системата на образованието.

5. МЕУ да координира въвеждането в продукционна среда адаптерите за обмен на данни с новия ТЕЛК-регистър и нови адаптери за регистрите на Агенция по вписванията (нещо, по което беше начертан план преди година и половина)

6. С проекта на устройствен правилник на МЕУ да не бъдат заличавани функциите, свързани с дезинформация,  хибридни заплахи и стратегически комуникации.

7. Да бъде извършен анализ на подзаконовата нормативна уредба, която противоречи на последните изменения в Закона за електронното управление.

8. Да бъде приета подзаконова уредба и съответните правила за използване на държавния облак, държавната мрежа и защитения интернет възел – особено облакът в момента почти не се използва заради липсата на подходящ процес.

9. Да бъде спрян тормоза над служители чрез инспектората на министерството, защото това драстично намалява капацитета за продуктивна работа на министерството.

Въпреки абсурдната ситуация съм конструктивен и се надявам критиките и притесненията ми да бъдат възприети именно така. Без промяна в подхода няма да бъдат постигнати целите, които всички сме си поставили за по-ефективен и прозрачен публичен сектор.

Материалът Рискове и притеснения, свързани с Министерството на електронното управление и електронната идентификация е публикуван за пръв път на БЛОГодаря.

MERDA – A Framework For Countering Disinformation

от Божидар Божанов
лиценз CC BY

Yesterday, on an conference about disinformation, I jokingly coined the acronym MERDA (Monitor, Educate, React, Disrupt, Adapt) for countering disinformation. Now I’ll put the pretentious label “framework” and describe what I mean by that. While this may not seem a very technical topic, fit for a techblog, in fact it has a lot of technical aspects, as disinformation today is spread through technical means (social networks, anonymous websites, messengers). And therefore especially the “Disrupt” part is quite technical.

Monitor – in order to tackle disinformation narratives, we need to monitor them. This includes media monitoring tools (including social media) and building reports on rising narratives that may potentially be disinformation campaigns. These tools include a lot of scraping online content, and consuming APIs where such exist and are accessible. Notably, Facebook removed much of their API access to content, which makes it harder to monitor for trends. It has to be noted that this doesn’t mean monitoring individuals – it’s just about trends, keywords, phrases – sometimes known, sometimes unknown (e.g. the tool can look for very popular tweets, extract the key phrases from it, and then search for that). Governments can list their “named entities” and keep track of narratives/keywords/phrases relating to these named entities (ministers, prime minister, ministries, parties, etc.)

Educate – media literacy, and social media literacy, is a skill. Knowing that “Your page will be disabled if you don’t click here” is a skill. Being able to recognize logical fallacies and propaganda techniques is also a skill and it needs to be taught. Ultimately, the best defense against disinformation is a well informed and prepared public.

React – public institutions need to know how and when to react to certain narratives. It helps if they know them (through monitoring), but they need the so called “strategic communications” in order to respond adequately to disinformation about current events, debunking, pre-bunking and giving the official angle (note that I’m not saying the official angle is always right – it sometimes isn’t, that’s why it has to be supported by credible evidence).

Disrupt – this is the hard part – how to disrupt disinformation campaigns. How to identify and disable troll farms, which engage in coordinated inauthentic behavior – sharing, liking, commenting, cross-posting in groups – creating an artificial buzz around a topic. Facebook is, I think, quite bad at that – this is why I have proposed a local legislation that requires following certain guidelines for identifying troll farms (groups of fake accounts). Then we need a mechanism to take them down, which takes into account freedom of speech – i.e. the possibility that someone is not, in fact, a troll, but merely a misled observer. Fortunately, the digital services act provides for out-of-court appeals for moderator decisions.

The “disrupt” part is not just about troll farms – it’s about fake websites as well. Tracking linked websites, identifying the flow of narratives through these websites, trying to find the ultimate owners, is a hard and quite technical task. We know that there are thousands such anonymous websites that repost, in various languages, disinformation narratives – but taking down a website requires good legal reasons. “I don’t like their articles” is not a good reason.

The “disrupt” part also needs to tackle ad networks – some obscure ad networks are the way disinformation websites get financial support. They usually advertise not-so-legal products. Stopping the inflow of money is one way to reduce disinformation.

Adapt – threat actors in the disinformation space (usually nation-states like Russia) are dynamic and they change their tactics, techniques and procedures (TTPs). Institutions that are trying to reduce the harm of disinformation also need to be adaptable, to constantly look for new ways of getting the false or misleading information through.

Tackling disinformation is walking on thin ice. A wrong step may be seen as curbing free speech. But if we analyze patterns and techniques, rather than content itself, then we are on mostly on the safe side – it doesn’t matter what the article says, if it’s shared by 100 fake accounts and the website is supported by ads of illegal drugs that use deep fakes of famous physicians.

And it’s a complicated technical task – I’ve seen companies claiming they identify troll farms, rings of fake news website, etc. But I haven’t seen any tool that’s good enough. And MERDA … is the situation we are in – active, coordinated exploitation of misleading and incorrect information for political and geopolitical purposes.

The post MERDA – A Framework For Countering Disinformation appeared first on Bozho's tech blog.