СКЗИ в организации: учёт, допуск, ключи (2026)

Кому это нужно

Средства криптографической защиты информации (СКЗИ) есть во многих организациях, даже если об этом не задумываются. ViPNet-клиент для обмена с государственными информационными системами, VPN между офисами на сертифицированных средствах, криптопровайдер для электронной подписи, защищённый канал для передачи сведений о пассажирах в автоматизированные базы — всё это СКЗИ.

Если с их помощью защищается информация ограниченного доступа, не составляющая государственную тайну, порядок обращения с ними устанавливает Инструкция ФАПСИ от 13.06.2001 № 152. Общие правила разработки, производства, реализации и эксплуатации шифровальных средств — Положение ПКЗ-2005, утверждённое приказом ФСБ России от 09.02.2005 № 66. Для значимых объектов КИИ и государственных информационных систем защищённые каналы связи — часть обязательных мер, поэтому вопросы учёта СКЗИ возникают у них в первую очередь.

Что требуется

1. Орган криптографической защиты и ответственный. Инструкция возлагает организацию работ на орган криптографической защиты. Его функции может выполнять оператор защищённой сети или организация-лицензиат по договору, а внутри организации приказом назначается администратор безопасности — образец приказа.
2. Поэкземплярный учёт. Каждое СКЗИ, его эксплуатационная и техническая документация и каждый ключевой документ учитываются по номерам в журнале по форме приложения к Инструкции — образец журнала.
3. Допуск пользователей. К самостоятельной работе со СКЗИ допускаются только обученные работники с оформленным заключением о допуске, ознакомленные с правилами под подпись.
4. Хранение ключей. Ключевые носители и дистрибутивы хранятся в сейфах или запираемых хранилищах, не оставляются в компьютере и не передаются другим лицам.
5. Компрометация. Утрата токена, передача PIN-кода, вскрытие сейфа, увольнение без сдачи ключей — работа на этих ключах прекращается, орган криптографической защиты уведомляется, ключи заменяются — образец порядка.

С чего начать

1. Соберите все СКЗИ: какие средства, на каких компьютерах, какие ключи, у кого токены и когда истекают сертификаты.
2. Выясните, кто выполняет функции органа криптографической защиты: договор с оператором сети или лицензиатом, регламент подключения.
3. Издайте приказ об администраторе безопасности и его заместителе, утвердите список пользователей и рабочих мест.
4. Заведите журнал поэкземплярного учёта и внесите в него всё найденное; оформите акты по ключевым документам.
5. Утвердите порядок при компрометации и согласуйте с оператором сети каналы срочной связи.

Остальные правила информационной безопасности — пароли, доступ, резервное копирование — описаны на странице «Информационная безопасность организации».

Частые ошибки

• СКЗИ установлено, учёта нет. Средство работает годами, а журнала, номеров экземпляров и актов нет — первое замечание при проверке.
• Токен хранится в компьютере. Ключевой носитель, постоянно вставленный в рабочую станцию, фактически доступен любому, кто к ней подошёл.
• Ключи уволившегося работника. Если ключи не сданы и не уничтожены, их нужно считать скомпрометированными.
• Пользователи без допуска. Работа со СКЗИ без обучения и оформленного допуска — нарушение порядка эксплуатации.