Учёт СКЗИ и токенов на ноутбуках компании (Приказ ФАПСИ № 152 и ПП РФ № 313): какие 4 документа обязаны лежать в папке каждого ООО с ЭЦП
Вокруг средств криптографической защиты информации (СКЗИ — а к ним по закону относятся и обычный КриптоПро CSP 5.0, и ViPNet Client, и каждый аппаратный Рутокен ЭЦП 3.0 в вашем офисе!) в интернете живут две полярные крайности:
- Крайность № 1 (паническая, от навязчивых продавцов услуг): «У вас на двух ноутбуках стоит КриптоПро — срочно покупайте лицензию ФСБ за полтора миллиона, иначе тюрьма!» — ЭТО ЛОЖЬ!
- Крайность № 2 (беспечная, у 80 % сисадминов): «Никаких бумажек вести не надо, скачали КриптоПро из интернета, раздали 15 токенов по столам без единой подписи и забыли!» — А ВОТ ЗА ЭТО при плановой/внеплановой проверке Роскомнадзора/ФСБ (особенно в госучреждениях, медицине, школах, УК ЖКХ и при утечках ПДн по 152-ФЗ) прилетает реальный административный протокол по
ч. 6 / ч. 7 ст. 13.12 КоАП РФ!
Наводим стопроцентную юридическую ясность за 10 минут чтения и даём точный перечень 4 локальных документов, которые сисадмин оформляет за один вечер бесплатно!
Миф о лицензии ФСБ: когда лицензия НЕ нужна, а когда — СТРОГО ОБЯЗАТЕЛЬНА (ПП РФ № 313)!
По Постановлению Правительства РФ от 16.04.2012 № 313 лицензированию в Центре по лицензированию, сертификации и защите государственной тайны ФСБ России (ЦЛСЗ ФСБ) подлежит деятельность по разработке, производству, распространению, монтажу, установке и обслуживанию шифровальных (криптографических) средств ДЛЯ ТРЕТЬИХ ЛИЦ (на возмездной или безвозмездной основе по договорам оказания услуг / подряда / перепродажи)!
- Если штатный системный администратор вашего ООО настраивает КриптоПро CSP и выдаёт токены УКЭП ИСКЛЮЧИТЕЛЬНО для собственных нужд САМОГО своего работодателя — лицензия ФСБ вашей компании НЕ НУЖНА!
- ВНИМАНИЕ ИТ-АУТСОРСЕРАМ, ФРИЛАНСЕРАМ И БУХГАЛТЕРСКИМ ФИРМАМ: если вы как стороннее ИП/ООО за деньги по договору ИТ-обслуживания устанавливаете, настраиваете
КриптоПро / ViPNetили генерируете ключи ЭП на ноутбуках ЧУЖИХ компаний-клиентов или перепродаёте им лицензииСКЗИот своего имени без лицензии ФСБ — вы прямо нарушаетеПП РФ № 313(ч. 1 ст. 13.13 / ст. 14.1 КоАП РФ, а при крупном доходе — вплоть до ст. 171 УК РФ)! ИТ-аутсорсер без лицензии ФСБ обязан прописывать в договоре, что закупку и вводСКЗИклиент осуществляет напрямую у лицензиата ФСБ (спецоператора ЭДО / УЦ)!
Четыре простых внутренних документа по Приказу ФАПСИ № 152, которые обязаны лежать в папке ответственного
Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ информации с ограниченным доступом, не содержащей сведений, составляющих гостайну (Приказ ФАПСИ от 13.06.2001 № 152 — действует по сей день!), требует элементарного порядка учёта:
| № | Документ в папке организации | Что в нём фиксируется за 15 минут |
|---|---|---|
| 1 | Приказ руководителя «О назначении ответственного за организацию работы с СКЗИ (органа криптографической защиты / ответственного пользователя)» | Назначает штатного начальника ИТ / специалиста ИБ (для объектов КИИ и ГИС см. также учёт средств доверенной загрузки), утверждает перечень лиц, допущенных к работе с СКЗИ, и места хранения носителей (сейф / запираемый металлический шкаф!). |
| 2 | Журнал поэкземплярного учёта СКЗИ, эксплуатационной и технической документации к ним, ключевых документов (прошнурованный, пронумерованный и скреплённый печатью по форме Приложения № 2 к Приказу ФАПСИ № 152!) | Каждая купленная лицензия КриптоПро CSP 5.0 (серийный номер бланка!), формуляр, дистрибутивный диск и каждый физический ключевой носитель (Рутокен S/N ... с серийным номером сертификата) заносится отдельной строкой под личную подпись сотрудника при получении и возврате! |
| 3 | Акт установки (ввода в эксплуатацию) СКЗИ на конкретный ноутбук + Лицевой счёт / отметка об инструктаже пользователя | Короткий одностраничный акт: «На ноутбук инв. № INV-0142 (S/N ...) установлен СКЗИ КриптоПро CSP 5.0 (лицензия № ...) в соответствии с Правилами пользования ЖТЯИ... Сотрудник проинструктирован о запрете оставления ключевого носителя без присмотра»! |
| 4 | Акты вывода из эксплуатации / уничтожения ключевой информации | Подписывается комиссией в день увольнения сотрудника, планового истечения ключа или поломки ноутбука — закрывает графу в Журнале поэкземплярного учёта! |
Экстренный регламент за 15 минут, если у сотрудника в командировке УКРАЛИ ноутбук вместе с токеном!
Это ситуация, где подготовленный регламент Приказа № 152 спасает компанию от многомиллионных убытков в прямом смысле:
- Немедленная компрометация и отзыв сертификата (ст. 10 № 63-ФЗ): в течение первых 15–30 минут обнаружения пропажи подайте заявление о прекращении действия (отзыве) сертификата
УКЭПв выдавший его Удостоверяющий центр (для УЦ ФНС или коммерческого УЦ — экстренный отзыв по кодовому слову / личному кабинету!) И одновременно отзовите связаннуюМЧДв реестре ФНС! - Заблокируйте учётную запись сотрудника в интернет-банке, на Портале Госуслуг организации и в системах операторов ЭДО (
Диадок / СБИС). - Составьте служебный Акт о факте компрометации / утраты ключевого носителя с точным временем до минуты — в суде этот акт + квитанция отзыва УЦ железно отбивают любые фальшивые документы, если злоумышленники попытаются что-то подписать после кражи!
Чек-лист сисадмина на 30-минутную ревизию учёта СКЗИ в пятницу
- [ ] Оригиналы бумажных бланков Лицензий на право использования
КриптоПро CSP / ViPNetлежат в одной аккуратной папке в бухгалтерии/ИТ (при потере бумажного бланка без записи серийного номера восстановить бессрочную лицензию на новый ноутбук практически невозможно!). - [ ] Ни один USB-токен не остаётся торчать на ночь в порту ноутбука на открытом столе в open-space офисе — у каждого владельца ЭП есть запираемый на ключ ящик тумбы или сейф отдела!
Частые вопросы
Обязательно ли прошивать бумажный Журнал поэкземплярного учёта СКЗИ сургучом или нитками — или в 2026 году можно вести его в электронном виде в Excel? В соответствии с Приказом ФАПСИ № 152 страницы журнала учёта должны быть пронумерованы, прошнурованы, опечатаны печатью организации и заверены подписью ответственного лица (обычная плотная бумажная наклейка «Прошнуровано и пронумеровано Х листов» с оттиском круглой печати компании на обороте последней страницы — сургуч давно не нужен!). Такой прошитый бумажный журнал на 40 листов продаётся готовым в любом книжном или распечатывается на принтере за 5 минут и снимает 100 % формальных вопросов инспектора!