В любой организации, где используются средства криптографической защиты информации (СКЗИ) — будь то шифрование каналов связи, электронная подпись или защита персональных данных, — одного только факта установки программного обеспечения недостаточно. Криптография относится к сфере, строго регулируемой государством. И первый шаг к легитимному и безопасному использованию СКЗИ — издание приказа, который вводит в действие всю необходимую организационно-распорядительную документацию.
В этом материале разберём типовую структуру такого приказа, а также его ключевые приложения: перечень лиц, допущенных к СКЗИ, инструкцию по безопасности эксплуатации, акт уничтожения ключей и схему организации криптографической защиты.
1. Зачем нужен отдельный приказ по СКЗИ
Деятельность в области криптографической защиты информации лицензируется ФСБ России. Даже если организация не распространяет СКЗИ, а только эксплуатирует их для собственных нужд, она обязана соблюдать требования нормативных актов:
- приказ ФСБ России от 09.02.2005 № 66 (Положение ПКЗ‑2005) — в части эксплуатации;
- приказ ФАПСИ от 13.06.2001 № 152 — в части организации безопасности хранения, обработки и передачи информации с использованием СКЗИ;
- приказ ФСБ России от 10.07.2014 № 378 — в части защиты персональных данных с использованием криптографии.
Приказ о порядке хранения и эксплуатации СКЗИ решает сразу несколько задач. Он назначает ответственное лицо (орган криптографической защиты, ОКЗ), утверждает список сотрудников, которым разрешено работать с криптосредствами, вводит в действие инструкции и журналы учёта, создаёт комиссию по уничтожению ключей. Без такого приказа невозможно доказать контролирующим органам, что в организации выстроена системная работа с криптографией.
2. Структура приказа
В образце, который мы анализируем, приказ содержит семь основных пунктов. Рассмотрим каждый из них.
2.1. Назначение ответственного за хранение и эксплуатацию СКЗИ
Этим пунктом вводится должностное лицо, которое становится органом криптографической защиты (ОКЗ). Обычно это сотрудник, уже занимающийся информационной безопасностью или администрированием, — например, системный администратор или начальник отдела ИБ. В его обязанности входит:
- ведение поэкземплярного учёта СКЗИ, документации и ключевых носителей;
- контроль за соблюдением условий использования криптосредств;
- расследование нарушений;
- обучение пользователей.
Важно, чтобы это назначение было оформлено приказом, а сам сотрудник был ознакомлен с инструкцией под подпись.
2.2. Допуск пользователей к работе с СКЗИ
Приказ утверждает перечень лиц (Приложение № 1), которые могут работать с криптосредствами. В этом перечне указываются ФИО, должность и конкретные типы СКЗИ, к которым сотрудник допущен. Например, одному разрешён только ViPNet Client, другому — дополнительно CryptoPro CSP для работы с электронной подписью.
Никто, кроме утверждённого списка, не имеет права использовать криптографию. При изменении штатного расписания или увольнении сотрудников перечень должен оперативно обновляться.
2.3. Утверждение инструкции по обеспечению безопасности эксплуатации СКЗИ
Инструкция (Приложение № 2) — самый объёмный и важный документ. Она определяет:
- порядок учёта, хранения и передачи ключей;
- правила использования СКЗИ на рабочих местах;
- действия при компрометации ключей;
- процедуру уничтожения ключей и ключевых носителей;
- требования к помещениям, где ведётся работа с криптографией.
Инструкция обязательна для исполнения как ОКЗ, так и всеми пользователями. Её положения должны быть доведены до каждого под подпись.
2.4. Назначение комиссии по уничтожению ключей
Ключевые носители (токены, смарт-карты, дискеты) и сами криптографические ключи имеют срок действия. По его истечении, а также при увольнении сотрудника или компрометации, они подлежат уничтожению. Этим занимается специальная комиссия, назначенная приказом. В её состав входят председатель и не менее двух членов. Комиссия руководствуется разделом инструкции об уничтожении и составляет акт (Приложение № 3).
2.5. Утверждение схемы организации криптографической защиты
Схема (Приложение № 4) — это своего рода паспорт криптографической инфраструктуры. В ней указывается:
- какие СКЗИ используются и на каких конкретно компьютерах (серверах) они установлены;
- серийные и учётные номера;
- IP-адреса (если речь о сетевых криптошлюзах);
- вид защищаемой информации (например, персональные данные 2‑го уровня защищённости);
- реквизиты договора с лицензиатом ФСБ, если СКЗИ получены от сторонней организации.
Схема наглядно показывает, как именно организована криптографическая защита в организации.
2.6. Ведение журнала учёта СКЗИ
Приказ обязывает вести журнал поэкземплярного учёта СКЗИ, эксплуатационной документации и ключевых документов (форма Приложения № 5). Журнал ведётся по форме, утверждённой приказом ФАПСИ № 152. Без него невозможно контролировать движение ключей, а сам факт отсутствия журнала — одно из самых частых нарушений, выявляемых при проверках.
2.7. Контроль за исполнением
Обычно контроль оставляют за руководителем организации, но может быть назначено и иное ответственное лицо.
3. Приложение № 1: перечень лиц, допущенных к СКЗИ
Это простой табличный документ. В нём фиксируются:
- порядковый номер;
- ФИО сотрудника;
- его должность;
- тип СКЗИ, к которому он допущен.
Перечень утверждается приказом и может переиздаваться при изменении состава сотрудников или их полномочий. Каждый сотрудник, включённый в перечень, должен быть ознакомлен с инструкцией по безопасности эксплуатации СКЗИ.
4. Приложение № 2: инструкция по безопасности эксплуатации СКЗИ
Инструкция — основной рабочий документ. Разберём её ключевые разделы.
4.1. Общие положения
Здесь приводятся ссылки на нормативные акты (приказы ФСБ № 66 и № 378, приказ ФАПСИ № 152), определяется, что в организации используются только сертифицированные СКЗИ, и назначается ОКЗ. Также перечисляются обязанности пользователей: не разглашать информацию о криптосредствах, соблюдать правила хранения, немедленно сообщать об утере или компрометации.
4.2. Учёт, хранение и передача ключей
- Все СКЗИ, документация и ключевые носители подлежат поэкземплярному учёту в журнале.
- Пользователи получают ключи под роспись и несут персональную ответственность за их сохранность.
- Хранить ключи следует в сейфах или металлических шкафах, исключающих бесконтрольный доступ.
- Аппаратные средства с СКЗИ опечатываются (опломбируются) с возможностью визуального контроля целостности.
4.3. Использование СКЗИ
В этом разделе перечислены конкретные запреты:
- оставлять компьютер с СКЗИ без присмотра;
- самостоятельно вносить изменения в программную часть СКЗИ;
- разглашать ключевую информацию или выводить её на дисплей/принтер;
- использовать ключевые носители не по назначению;
- копировать ключи без санкции;
- вскрывать корпуса компьютеров с СКЗИ без присутствия ОКЗ.
Также описывается порядок действий при обнаружении нарушения печати или подозрительного ПО: работа немедленно прекращается, созывается группа реагирования на инциденты.
4.4. Действия при компрометации ключей
Компрометация наступает в следующих случаях:
- потеря ключевого носителя (даже если он потом найден);
- увольнение сотрудника, имевшего доступ к ключам;
- подозрение на утечку информации;
- нарушение печати на хранилище или техническом средстве;
- бесконтрольный доступ посторонних к ключам.
При любом подозрении пользователь обязан немедленно прекратить работу с СКЗИ и уведомить ОКЗ. Скомпрометированные ключи подлежат замене и уничтожению.
4.5. Уничтожение ключей
Уничтожение производится комиссией, назначенной руководителем. Способ уничтожения зависит от типа носителя:
- для машинных носителей (токены, жёсткие диски) — гарантированное стирание в соответствии с документацией на СКЗИ;
- для бумажных носителей — физическое уничтожение (сжигание, измельчение).
По факту составляется акт уничтожения (Приложение № 3), который подписывается всеми членами комиссии. В журнале учёта СКЗИ делается соответствующая отметка.
4.6. Требования к помещениям
Помещения, где работают с СКЗИ и хранят ключи, должны иметь прочные входные двери с замками. Окна на первых и последних этажах, а также окна, выходящие на пожарные лестницы, оборудуются средствами, препятствующими проникновению (но без использования нераспахиваемых железных решёток — это запрещено правилами пожарной безопасности). Мониторы поворачиваются задней стороной к дверям и окнам, либо используются шторы, жалюзи. По окончании рабочего дня помещения и хранилища закрываются на замок.
5. Приложение № 3: акт уничтожения криптографических ключей
Акт составляется в произвольной форме, но должен содержать:
- состав комиссии;
- перечень уничтожаемых ключей с указанием учётных номеров носителей, номеров ключей и владельцев;
- количество уничтоженных носителей (документов);
- способ уничтожения;
- отметку о сверке с журналом учёта СКЗИ.
Акт подписывается председателем и членами комиссии, после чего хранится у ОКЗ. Без акта уничтожение ключей не считается легитимным, а в журнале нельзя сделать запись о списании.
6. Приложение № 4: схема организации криптографической защиты
Схема может быть оформлена как в виде текстового описания, так и в виде графической схемы сети с указанием точек установки СКЗИ. В ней отражаются:
- отсутствие нижестоящих органов криптографической защиты (если это так);
- обладатель конфиденциальной информации (организация);
- реквизиты договора с лицензиатом ФСБ (если СКЗИ получены от стороннего поставщика);
- перечень всех установленных экземпляров СКЗИ с указанием мест установки, серийных номеров, учётных номеров, IP-адресов;
- вид защищаемой информации (например, персональные данные определённого уровня защищённости).
Схема позволяет быстро понять, как устроена криптографическая защита, и при необходимости провести её аудит.
7. Практические рекомендации по внедрению
Чтобы приказ и все приложения работали, а не просто лежали в папке, необходимо выполнить несколько шагов.
- Назначьте ОКЗ и утвердите перечень пользователей. Убедитесь, что эти сотрудники ознакомлены со своими обязанностями и инструкцией.
- Заведите журнал учёта СКЗИ. Внесите в него все имеющиеся криптосредства, документацию, ключевые носители. Журнал должен быть прошит, пронумерован и скреплён печатью.
- Проведите инструктаж пользователей. Зафиксируйте его в журнале учёта инструктажей или в листе ознакомления.
- Организуйте хранение ключей и опечатывание техники в соответствии с инструкцией.
- При увольнении сотрудника или истечении срока действия ключей созывайте комиссию, составляйте акт уничтожения и делайте записи в журнале.
8. Ответственность за отсутствие документов
Использование СКЗИ без оформленного приказа, утверждённой инструкции и журнала учёта — прямое нарушение лицензионных требований. Это может повлечь:
- предписание об устранении нарушений со стороны ФСБ России;
- административный штраф по статье 13.12 КоАП РФ (до 20 000 рублей на должностных лиц и до 300 000 рублей на юридических лиц);
- в случае компрометации ключей — невозможность доказать правомерность использования электронной подписи, что приведёт к признанию юридически значимых документов недействительными.
Кроме того, отсутствие чётких процедур повышает риск утечки ключевой информации, так как никто не контролирует, кто и как обращается с токенами и паролями.
Заключение
Приказ об эксплуатации СКЗИ с перечнем лиц, инструкцией, актом уничтожения и схемой — это не бюрократическая формальность, а основа безопасной и легитимной работы с криптографией. Он позволяет назначить ответственных, разграничить доступ, регламентировать действия пользователей и обеспечить доказательную базу для контролирующих органов. Разработайте эти документы один раз, а затем только актуализируйте их при изменении инфраструктуры или штатного расписания. Это сэкономит вам гораздо больше времени и ресурсов, чем разбирательство с последствиями компрометации или штрафами.