Главная

Правила ведения журнала учёта аппаратных средств аутентификации

Определяют порядок учёта токенов и смарт-карт: какие поля вносить, сроки записи и условие закрытия строки, только после отзыва привязки. Журнал ведёт ответственный за организацию обработки персональных данных, утверждает руководитель; при проверке обращают внимание на даты выдачи и возврата, инвентарные номера и отметки об отзыве привязки.

Скачать образец документа

Статус обязательный при использовании аппаратных средств аутентификации для доступа к ИСПДн
Основание ч. 2 ст. 19 152-ФЗ; приказ ФСТЭК № 21, положения по управлению и учёту средств аутентификации
Публичность внутренний документ организации
Кто утверждает руководитель организации
Обновлено июль 2026
Ответственный ответственный за организацию обработки персональных данных
Область применения журнал охватывает учёт выдачи, возврата, списания и передачи аппаратных средств аутентификации, используемых для доступа к ИСПДн

01 Назначение

Правила ведения журнала учёта аппаратных средств аутентификации

Краткие указания по оформлению, области применения и практической проверяемости журнала

Назначение документа. Журнал фиксирует учёт аппаратных средств аутентификации, используемых для доступа к информационным системам, содержащим персональные данные. Документ обязателен при применении таких средств и подтверждает исполнение организационно-технических мер защиты, утверждаемых руководителем организации. В документе указаны ответственное лицо и дата последнего обновления - июль 2026.

Сфера применения и границы учёта. Журнал применяется для всех типов аппаратных средств аутентификации, выданных для доступа к ИСПДн, в том числе смарт-карт, аппаратных токенов, USB-ключей и считывателей. В журнале фиксируются события выдачи, возврата, передачи между сотрудниками, потери и списания; не регистрируются программные учётные данные, не относящиеся к физическим носителям.

Роли и ответственность. Утверждает журнал руководитель организации, ведение и контроль возлагаются на ответственного за организацию обработки персональных данных. Хранение и выдачу ведёт назначенный ответственный сотрудник или кладовщик, получатель подтверждает выдачу подписью. Службы безопасности проводят выборочные сверки записей с фактическим наличием устройств.

Обязательные поля записи в журнале. Каждая запись содержит: регистрационный номер, тип и модель устройства, серийный номер или идентификатор токена, Ф. И. О. получателя и табельный номер, основание выдачи, дата и время выдачи, подпись получателя, дата и причина возврата или списания, место хранения. Поля оформляются однозначно и читаемо для последующей проверки.

Контроль, инциденты и реакция на потерю или компрометацию. Потеря, кража или компрометация аппаратного средства фиксируются в журнале и сопровождаются служебной запиской и уведомлением уполномоченных лиц; при необходимости инициируется процедура уведомления о нарушении безопасности персональных данных. Нарушения порядка учёта и утечка данных могут повлечь административную ответственность и иные меры, предусмотренные нормативными актами.

Раскрыть полностью

02 Ответственность

Ответственность за массовую утечку данных, релевантная для журнала учёта аппаратных средств аутентификации

ч. 14 ст. 13.11 КоАП РФ - утечка данных более 100 000 субъектов

Юридическое лицо 10 000 000 - 15 000 000 ₽
Должностное лицо 400 000 - 600 000 ₽
Физическое лицо (гражданин) 300 000 - 400 000 ₽

Ч. 14 ст. 13.11 КоАП РФ предусматривает санкции при массовой утечке данных (более 100 000 субъектов). Для журнала учёта аппаратных средств аутентификации: отсутствие или неполное ведение журнала не является автоматическим основанием для штрафа, но затрудняет установление объёма и причин утечки, что повышает риск квалификации инцидента как массовой утечки и применения указанных санкций. Типичные дефекты, повышающие риск: неполная регистрация выдачи и возврата ключей, отсутствие отметок о потере или блокировке устройств, отсутствие записей о ответственных и датах операций.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Сбор распространённых названий и форм, по которым сотрудники ищут правила и сам журнал учёта токенов и смарт-карт при оперативных задачах и проверках.

Журнал учёта аппаратных средств аутентификации
Порядок ведения журнала учёта токенов
Правила учёта аппаратных средств аутентификации
Форма журнала учёта токенов
Как вести журнал выдачи токенов и смарт-карт
Регламент выдачи и возврата USB токенов
Порядок деактивации токена при увольнении работника
Кто ведёт журнал учёта смарт-карт в организации
Учёт аппаратных ключей и электронных идентификаторов
Форма журнала выдачи смарт-карт

04 Обязательное содержание

Чеклист содержательных элементов журнала

Чеклист разделов и элементов, которые должны быть в журнале учёта аппаратных средств аутентификации для внутренней проверки соответствия требованиям по учёту и контролю доступа.

Реквизиты документа и статус указаны заголовок журнала, версия, дата утверждения, подпись руководителя, ответственное лицо за ведение журнала и контакт для вопросов.
Область применения и правовая основа чётко описано, для каких информационных систем и типов аппаратных средств предназначен журнал, а также перечислены нормативные основания ведения учёта.
Таблица ролей и полномочий перечень ответственных ролей (ответственный за обработку, лицо, выдающее средства, администратор журнала) и распределение прав на внесение, изменение, блокировку и удаление записей.
Формат регистра и обязательные поля структура записей с обязательными полями: уникальный идентификатор, тип и модель средства, серийный номер, владелец (физлицо/должность), дата выдачи, дата возврата/аннулирования, статус, основание выдачи, подписи и отметки об проверках.
Процедура выдачи, передачи и вывода из эксплуатации пошаговый порядок оформления выдачи и возврата, условия передачи между сотрудниками, требования к подтверждающим записям и действия при утрате или хищении средства.
Контроль доступа к журналу и журнал изменений описаны места и носители хранения журнала, права доступа к нему, механизм регистрации изменений, резервное копирование и запрет на удаление записей без отметки о причине.
Связь записей с инцидентами и порядок проверки механизм привязки записи журналу к расследованию инцидента, процедура сохранения записей при инциденте и указание порядка взаимодействия с ответственным по уведомлениям об инцидентах.

05 Применимость

Кому и когда нужны Правила ведения журнала учёта аппаратных средств аутентификации

Краткий контур применимости: когда документ обязателен, для каких субъектов организации и какие практические границы нужно учитывать при ведении журнала учёта аппаратных средств аутентификации.

Обязательность документа Документ обязателен при использовании аппаратных средств аутентификации для доступа к ИСПДн. Правовая основа и требования к учёту и управлению средствами аутентификации содержатся в нормах о мерах защиты персональных данных и в отраслевом порядке ФСТЭК. Утверждает документ руководитель организации, за ведение отвечает ответственный за организацию обработки персональных данных.
Кому применяются правила Правила предназначены для юридических лиц и их обособленных подразделений, где используются аппаратные средства аутентификации (токены, смарт-карты, аппаратные ключи). В организациях с централизованным учётом допускается вести единый журнал по решению руководителя; операционные обязанности по заполнению и контролю возлагаются на назначенного ответственного.
Когда журнал не требуется Журнал не применяется, если аппаратные средства аутентификации не используются для доступа к ИСПДн. В такой ситуации фиксация способов доступа и учётных средств должна быть отражена в другой документации по инвентаризации и учёту средств доступа.
Практические границы применения Журнал служит для учёта выдачи, возврата и списания аппаратных средств, фиксации инвентарного номера, владельца, даты выдачи и основания передачи. Для внутренней проверки полезно организовать таблицу ролей и полномочий и отдельный раздел с историей выдач и инцидентов, см. чеклист содержательных элементов журнала.
Связь с требованиями по уровню защищённости Ведение журнала обеспечивает выполнение положений по управлению средствами аутентификации и отражает отдельные организационные и технические меры, предусмотренные правилами по уровням защищённости ИСПДн.

06 Нормативная база

Нормативная основа для журнала учёта аппаратных средств аутентификации

ч. 2 ст. 19 152-ФЗ устанавливает обязанность принимать организационные и технические меры защиты, включая контроль доступа к ИСПДн; для журнала это правовая основа фиксировать факты выдачи, пользователей и использования аппаратных средств аутентификации, а также распределение ответственности за учёт
приказ ФСТЭК № 21 регламентирует управление средствами аутентификации: порядок выдачи, блокирования, изъятия и учёта; журнал должен описывать процедуру обращения со средствами, отметки о блокировке и возврате, периодические инвентаризации и ответственных лиц
ПП РФ № 1119 задаёт уровни защищённости ИСПДн, от которых зависит набор обязательных мер защиты; содержание и режим ведения журнала должны соответствовать присвоенному уровню и отражать дополнительные технические и организационные контролы
ч. 3.1 ст. 21 152-ФЗ предписывает уведомлять регулятора с момента выявления инцидента; правильно оформленные записи в журнале служат источником временных, фактологических и идентификационных данных, необходимых для своевременного уведомления и последующего расследования
ч. 14 ст. 13.11 КоАП описывает административную ответственность за утечку персональных данных; журнал учёта аппаратных средств используется проверяющими для оценки обстоятельств инцидента и может служить фактором, влияющим на правовую квалификацию события
ч. 14 ст. 13.11 КоАП РФ - утечка данных более 100 000 субъектов при массовых утечках предусмотрены повышенные санкции; детализированный и актуальный учёт аппаратных средств снижает вероятность системных ошибок и повышает качество доказательной базы при проверках по таким масштабным инцидентам

Образец документа

Правила ведения журнала учёта аппаратных средств аутентификации

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Пошаговое внедрение Правил ведения журнала учёта аппаратных средств аутентификации

Набор практических шагов от подготовки проекта Правил до рабочего журнала и первичной внутренней проверки. Каждый шаг содержит роль исполнителя и конкретный результат для контролирующего.

1. Инициирование и формирование задания на разработку Ответственный за организацию обработки персональных данных инициирует работу и формирует техническое задание на Правила, с указанием границ применения и требований к журналу. Результат: распоряжение о подготовке и файл «Проект Правил учёта аппаратных средств аутентификации».
2. Подготовка проекта и согласование с подразделениями Служба ИТ совместно со службой информационной безопасности и юридическим отделом готовит проект Правил и бланк журнала, учитывает требования по уровню защищённости. Результат: проект Правил и протокол согласования с перечнем замечаний.
3. Утверждение Правил руководителем организации Руководитель организации рассматривает проект и утверждает Правила. Результат: приказ об утверждении Правил ведения журнала учёта аппаратных средств аутентификации с указанием ответственных лиц и даты введения в действие.
4. Подготовка и утверждение бланка журнала и инструкции по заполнению Служба ИТ совместно с ответственным за ПДн формирует бланк журнала и краткую инструкцию по заполнению, указывающую обязательные поля: тип устройства, модель, серийный номер, владелец, дата выдачи, основание выдачи, подписи. Результат: утверждённый бланк журнала и инструкция в формате документа организации.
5. Внедрение процедур выдачи, возврата и хранения Разработать процедуры выдачи, возврата и хранения аппаратных средств, определить порядок регистрационных записей и ответственности при утере. Результат: регламент выдачи и начальные записи в журнале с перечнем выданных средств.
6. Обучение сотрудников и настройка контроля доступа Провести краткое обучение для пользователей и администраторов по правилам работы с аппаратными средствами и правилам заполнения журнала. Настроить учёт прав доступа, оформить списки обученных. Результат: реестр обученных сотрудников и запись о настроенных правах доступа.
7. Первая внутренняя проверка и корректирующие действия Ответственный за ПДн проводит первую проверку заполнения журнала и соответствия процедурам, фиксирует выявленные несоответствия и поручения по их устранению. Результат: акт внутренней проверки журнала и план корректирующих действий.

09 Актуализация

Поводы для обновления Правил ведения журнала учёта аппаратных средств аутентификации

Конкретные события и изменения, при которых правила должны быть правлены, переизданы или подтверждены приказом. Каждому случаю - краткое требование к действию и желаемый результат.

Ввод в эксплуатацию новых или заменяемых аппаратных средств аутентификации При вводе в эксплуатацию новых моделей токенов, смарт-карт или при массовой замене устройств обновить разделы, касающиеся формата записей, ответственных лиц и процедуры приёма на учёт. Оформить приказ о принятии в эксплуатацию, внести шаблон записи в журнал и провести первичную инвентаризацию.
Инцидент с компрометацией, утратой или несанкционированным доступом с использованием аппаратного средства При одном из указанных инцидентов обновить инструкции по блокировке, пометке в журнале и процедурам замены, а также учесть требования по уведомлению уполномоченных органов. Уточнить разделы о реакциях на инциденты, внести обязательные поля в журнал для фиксирования фактов и принятых мер.
Изменение уровня защищённости ИСПДн или требований по аутентификации При переводе системы на иной уровень защищённости или при изменении требований к средствам аутентификации пересмотреть критерии учёта, хранения и доступа к журналу. Согласовать изменения с ответственными по защите информации и обновить порядок учёта и контроля за выдачей устройств.
Назначение или замена ответственного за организацию обработки персональных данных При передаче обязанностей пересмотреть разделы с контактными данными, полномочиями по ведению журнала и процедурами утверждения внесённых записей. Обновить реквизиты документа, провести инструктаж нового ответственного и согласовать полномочия в приказе.
Результаты внутренней проверки или внешнего аудита, выявившие несоответствия Если аудит обнаружил ошибки в заполнении журнала, отсутствие записей или несоответствие формата, внести корректировки в правила и восстановить достоверность учёта. Подготовить корректирующие изменения, провести доучёт и документировать результаты проверки.

10 Проверка

Инспектор проверит

Документы и материалы проверки по журналу учёта аппаратных средств аутентификации: оформление и утверждение Правил, наличие и полноту записей выдач и возвратов, назначение ответственных, порядок действий при утере или компрометации.

Вопрос 01 «Предъявьте документ, которым утверждены Правила ведения журнала.»
Вопрос 02 «Предъявите сам журнал учёта аппаратных средств аутентификации в актуальной форме.»
Вопрос 03 «Предъявите записи по конкретной выдаче и возврату устройства.»
Вопрос 04 «Предъявите документы о назначении ответственного за учёт и порядок его полномочий.»
Вопрос 05 «Какие действия выполнялись при утере или компрометации аппаратного средства?»

Инспектор при проверке, может запросить:

приказ руководителя об утверждении Правил ведения журёва учёта аппаратных средств аутентификации, регистрационная запись об утверждении
журнал учёта аппаратных средств аутентификации в актуальной форме с пронумерованными страницами и заполненными регистрационными записями
записи выдачи и возврата устройства с указанием сотрудника-получателя, идентификатора устройства, даты выдачи и возврата, основания и подписи ответственного
приказ или распоряжение о назначении ответственного за организацию учёта аппаратных средств аутентификации, должностная инструкция или распределение обязанностей
инструкция или регламент действий при утрате/компрометации устройства, запись о зафиксированном инциденте и документы об уведомлениях при необходимости

11 Экспертная позиция

Неочевидный риск в учёте аппаратных средств и практическая контрмера

Частая ошибка - журнал учитывает только выдачу и возврат устройств, но не связывает аппарат с конкретной сессией, не фиксирует деактивации и причины блокировки, а также не хранит неизменяемую копию записей. В результате при утере или компрометации устройство нельзя быстро заблокировать и проследить круг затронутых субъектов. Практическое решение: ввести обязательные поля журнала - уникальный идентификатор устройства, серийный номер или номер сертификата, паспортные данные пользователя в учётной системе, дата и время выдачи и возврата, статус устройства, причина деактивации, исполнитель записи и ссылка на карточку инцидента; регламентировать немедленную блокировку при утере и регулярную сверку журнала с кадровыми и системами контроля доступа; хранить резервную электронную копию с контрольной суммой для проверки целостности и доступом по ролям. Такие меры упростят расследование инцидентов и выполнение требований по защите персональных данных.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - журнал учёта аппаратных средств аутентификации

Да. Если аппаратные средства аутентификации применяются для доступа к информационной системе персональных данных, наличие правил и учёта таких средств входит в набор организационных и технических мер, предусмотренных законом и отраслевыми требованиями. Журнал помогает фиксировать выдачу, возврат, блокировку и инциденты с устройствами.

Заказать журнал учёта аппаратных средств аутентификации в комплекте

Журнал обязателен при использовании аппаратных средств аутентификации для доступа к информационным системам, содержащим персональные данные (ИСПДн); основания - ч. 2 ст. 19 152-ФЗ и приказ ФСТЭК № 21. Закажите готовый журнал с адаптацией под вашу организацию и комплект локальных нормативных актов, утверждаемых руководителем: приказ об утверждении и назначении ответственного, инструкция по заполнению и образцы записей. В комплект также входит проверочный чеклист для инспекции и комплект доказательств для проверки, включая приказ, URL, скриншоты и логи доступа.

Скачать образец Заказать журнал и комплект локальных актов

Правила ведения журнала учёта аппаратных средств аутентификации

Правила ведения журнала учёта аппаратных средств аутентификации

Ответственность за массовую утечку данных, релевантная для журнала учёта аппаратных средств аутентификации

Как ещё называют этот документ

Чеклист содержательных элементов журнала

Кому и когда нужны Правила ведения журнала учёта аппаратных средств аутентификации

Нормативная основа для журнала учёта аппаратных средств аутентификации

Связанные документы и их роль

Связанные документы

Пошаговое внедрение Правил ведения журнала учёта аппаратных средств аутентификации

Поводы для обновления Правил ведения журнала учёта аппаратных средств аутентификации

Инспектор проверит

Неочевидный риск в учёте аппаратных средств и практическая контрмера

Частые вопросы - журнал учёта аппаратных средств аутентификации

База знаний содержит 268 документов

Заказать журнал учёта аппаратных средств аутентификации в комплекте

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями