Инструкция пользователя средств криптографической защиты информации: требования, как оформить

Статус обязательный при использовании СКЗИ
Основание п. 2.4 ТТ ФСБ № 149/6/6-622; приказ ФСБ № 378; ст. 19 152-ФЗ
Публичность внутренний, доступ ограничен сотрудникам с допуском к СКЗИ
Кто утверждает руководитель организации, оформляет приказом
Обновлено июль 2026
Область применения пользователи, администраторы и хранители ключей, работающие со средствами криптозащиты
Ознакомление обязательное ознакомление под подпись перед допуском к работе и при изменении обязанностей

01 Назначение

Инструкция пользователя средств криптографической защиты информации

Краткие правила использования, учёта и передачи ключей для пользователей, администраторов и хранителей ключей

Назначение и область применения. Документ устанавливает набор обязательных процедур при эксплуатации СКЗИ: кто использует средства, на каких рабочих местах и в каких системах допускается их применение, какие роли отвечают за эксплуатацию и учет. Инструкция предназначена для пользователей, администраторов и хранителей ключей и утверждается руководителем организации приказом.

Порядок допуска к работе с СКЗИ. Определите процедуру принятия решения о допуске, документальные основания (приказ, распоряжение), требования к оформлению личного дела и журналов учёта доступа, а также алгоритм приостановления и отзыва прав при инцидентах или изменении должностных обязанностей.

Обязанности пользователей и порядок при увольнении. Зафиксируйте перечень эксплуатационных обязанностей: правила обращения с криптосредствами и ключами, обязанности по уведомлению об инцидентах, порядок хранения носителей. При увольнении или переводе сотрудник обязан сдать СКЗИ и связанные ключи, оформить передачу ответственному лицу и внести запись в учётные документы.

Жизненный цикл ключей и порядок уничтожения. Опишите требования к генерации, резервному копированию, хранению и контролю доступа к ключам, порядок передачи ключей между ответственными лицами и оформление операций в журнале учёта ключей. Установите процедуру оформления акта при уничтожении ключа и укажите срок его уничтожения по умолчанию.

Ознакомление, контроль и ответственность. Зафиксируйте форму и порядок ознакомления сотрудников с инструкцией под расписку, ответственное лицо за проведение инструктажей и перечень контрольных проверок работы со СКЗИ. Укажите, какие документальные следы должны храниться для проверки соблюдения требований и что несоблюдение правил влечёт дисциплинарную или административную ответственность.

Раскрыть полностью

02 Ответственность

Ответственность за нарушение требований при использовании СКЗИ

ч. 6 ст. 13.12 КоАП РФ - нарушение требований о защите информации

Юридическое лицо 50 000 - 100 000 ₽
Должностное лицо 10 000 - 50 000 ₽
Физическое лицо (гражданин) 5 000 - 10 000 ₽

Нарушение правил организации доступа, учёта и обращения с криптоключами при эксплуатации СКЗИ может повлечь привлечение по ч. 6 ст. 13.12 КоАП РФ. Типичные ошибки операторов: отсутствие приказа об утверждении инструкции, неоформленное ознакомление пользователей под подпись, несоблюдение порядка при передаче и уничтожении ключей, отсутствие контроля допусков.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Краткие варианты названий, под которыми ищут или обозначают внутреннюю инструкцию для пользователей средств криптографической защиты. Документ регламентирует допуск и ознакомление под подпись, обязанности при работе и при увольнении, учёт, хранение и уничтожение ключей.

Инструкция пользователя СКЗИ образец
Инструкция пользователя криптосредств
Обязанности пользователя СКЗИ
Инструкция по работе с криптосредствами
Шаблон инструкции пользователя СКЗИ
Инструкция по обращению с ключевыми носителями
Памятка пользователя по работе с токенами и ключами
Инструкция пользователя электронной подписи

04 Обязательное содержание

Чеклист элементов инструкции пользователя СКЗИ

Список разделов и элементов инструкции, которые должны присутствовать, чтобы документ описывал порядок безопасного использования, учёта и обращения с ключами и средствами криптозащиты внутри организации.

Цель и область применения Краткое описание назначения инструкции, перечень типов СКЗИ и категорий сотрудников, на которых распространяется инструкция (пользователи, администраторы, хранители ключей).
Роли, обязанности и порядок утверждения Таблица ролей с зонами ответственности (пользователь, администратор, хранитель ключей и т.п.), порядок принятия решения о допуске и порядок утверждения инструкции руководителем оформлением приказом, указание редакции и даты.
Порядок допуска и ознакомления Процедура принятия решения о допуске к работе со СКЗИ, требования к оформлению допусков и регистрация ознакомления сотрудников с инструкцией под подпись.
Обязанности пользователя и требования при увольнении Перечень обязанностей при эксплуатации СКЗИ, правила обращения с криптоключами и средствами, порядок сдачи ключей и устройств при переводе или увольнении сотрудника.
Процедуры выдачи, хранения, передачи и уничтожения ключей Пошаговый порядок выдачи и возврата ключей, требования к защищённому хранению и передаче, триггеры уничтожения ключей и указание применимого срока уничтожения.
Учёт, аудит и реагирование на инциденты Правила ведения журналов и учёта операций со СКЗИ, требования к аудиту и мониторингу, порядок сообщения о подозрительных событиях и меры по защите персональных данных при инцидентах.

05 Применимость

Кому и в каких случаях нужна Инструкция пользователя СКЗИ

Коротко о целевой аудитории, обязательности и типичных триггерах для ввода или пересмотра инструкции пользователя средств криптографической защиты информации.

Целевая аудитория документа Инструкция предназначена для пользователей, администраторов и хранителей ключей, а также для сотрудников, получивших допуск к работе со средствами криптозащиты. Документ носит внутренний характер и доступ к нему ограничен сотрудникам с соответствующим допуском.
Обязательность применения Инструкция обязательна к применению для подразделений и сотрудников организации при использовании СКЗИ; она закрепляет порядок допуска, обращения с ключами и меры защиты информации при обработке сведений, включая персональные данные.
Утверждение и ответственность Документ утверждается руководителем организации и оформляется приказом. За исполнение норм инструкции отвечают назначенные руководителем роли: ответственные за эксплуатацию СКЗИ, администраторы и хранители ключей.
Триггеры для ввода или пересмотра инструкции Инструкция вводится при вводе в эксплуатацию нового СКЗИ, при изменении состава ключевого состава или процессов обращения с ключами, при смене ответственных лиц либо после инцидента, связанного с компрометацией ключей или нарушением защиты ПДн.
Порядок допуска и ознакомления сотрудников В инструкции прописывается порядок принятия решений о допуске к СКЗИ, условия допуска и требование ознакомления сотрудников под роспись с правилами работы и обязанностями при обращении со средствами криптозащиты.
Обязанности при увольнении и обращение с ключами Инструкция должна описывать обязанности пользователя при прекращении работы с СКЗИ, порядок сдачи и передачи ключевых материалов, а также регламент уничтожения ключей с указанием установленного срока для уничтожения в оперативных ситуациях.
Связь с мерами защиты персональных данных и возможные последствия нарушений Инструкция должна устанавливать меры защиты ПДн при обработке с использованием СКЗИ и учитывать требования по ответственности за нарушение требований защиты информации.

06 Нормативная база

Нормы, применимые к инструкции пользователя СКЗИ

ст. 19 152-ФЗ обязывает применять организационные и технические меры защиты при обработке персональных данных; инструкция фиксирует практические правила применения криптозащиты и распределение ролей при защите ПДн в системах со СКЗИ
приказ ФСБ России № 378 устанавливает требования к мерам безопасности при обработке персональных данных с использованием СКЗИ; инструкция должна конкретизировать меры для разных уровней защищенности, алгоритмы работы с криптосредствами и порядок контроля выполнения
ТТ ФСБ № 149/6/6-622, п. 2.4 предписывает допуск к работе с криптосредствами по решению оператора; инструкция должна описать критерии допуска, порядок принятия решения и учет разрешений для пользователей, администраторов и хранителей ключей
ТТ ФСБ № 149/6/6-622, п. 2.5 перечисляет обязанности пользователей криптосредств, в том числе по обращению с ключевыми материалами; инструкция обязана содержать перечень обязанностей, требования к хранению ключей и порядок действий при нарушениях
ТТ ФСБ № 149/6/6-622, п. 2.9 требует ознакомления пользователей с требованиями под расписку; инструкция должна предусматривать процедуру обучения и регистрацию ознакомления с текстом инструкции и сопроводящих локальных актов
ТТ ФСБ № 149/6/6-622, п. 3.21 описывает порядок уничтожения ключей с типовым сроком 10 суток по умолчанию; инструкция должна установить этапы жизненного цикла ключей, ответственных за уничтожение и документирование процедуры и сроков
ст. 68 ТК РФ предусматривает ознакомление работников с локальными актами при приеме на работу; инструкция должна быть включена в комплект документов для адаптации сотрудников и содержать форму подтверждения ознакомления при приеме

08 Внедрение

Шаги по введению в действие Инструкции пользователя СКЗИ

Пошаговый план от решения об использовании СКЗИ до первого цикла контроля и оформления доказательств. Каждый шаг содержит исполнителя и конкретный выходной документ для хранения в деле «СКЗИ».

1. Принятие решения и утверждение правил Руководитель организации принимает решение об использовании СКЗИ и утверждает правила работы с ними приказом. Результат на выходе: «Приказ об утверждении правил использования СКЗИ» с приложением Инструкции пользователя, копия в личном деле руководителя и в папке «СКЗИ/Приказы».
2. Назначение ответственных и оформление допусков Назначается ответственный за СКЗИ и хранители ключей, оформляются распоряжения и реестр допусков. Результат на выходе: «Распоряжение о назначении ответственных», реестр допусков в бумажной и электронно-архивной копии.
3. Ознакомление и обучение пользователей под расписку Проводится вводный инструктаж и практическая подготовка для пользователей, администраторов и хранителей ключей, оформляются расписки об ознакомлении. Результат на выходе: список обученных сотрудников и их расписки, протокол обучения с указанием программ и дат.
4. Выдача, учёт и порядок передачи ключей Устанавливаются процедуры выдачи, хранения и передачи ключей, определяется журнал учёта и форма актов приёмки-передачи. Результат на выходе: «Журнал выдачи ключей», акты приёмки-передачи, инструкции для хранителей ключей, запись в деле СКЗИ.
5. Контроль, процедуры при увольнении и уничтожение ключей Проводится регулярная выборочная проверка соблюдения инструкции, по увольнению сотрудника оформляются акты возврата ключей, при необходимости производится уничтожение ключей в установленные сроки с оформлением акта. Результат на выходе: акт проверки, акт уничтожения ключей и запись в журнале учёта ключей, копии помещаются в папку для проверяющих.

09 Актуализация

Поводы для изменения инструкции пользователя СКЗИ

Правки инструкции требуются при реальных изменениях в средствах, допусках, способах хранения ключей или в процедуре реагирования на инциденты. Переиздание не нужно для формальных правок текста, достаточно дополнений, изменённых приложений или приказа об изменениях.

Появление нового криптосредства При вводе в эксплуатацию нового СКЗИ добавьте в инструкцию приложение с эксплуатационными требованиями, перечнем поддерживаемых носителей и особенностями выдачи/хранения ключей; при необходимости пропишите отличающиеся режимы работы отдельно, без полного перевыдачи документа. Выпустить приказ о дополнении инструкции, добавить приложение с инструкцией по конкретному средству
Изменение состава допущенных пользователей При приёме, переводе или увольнении сотрудников обновляются решения оператора о допуске и расписки об ознакомлении; необходимо синхронизировать приложение со списком пользователей и журналы учёта, чтобы исключить ситуации с оставшимися у уволенных лиц ключами. Обновить приложение со списком допущенных, получить новые расписки, внести запись в лицевой счёт
Переход на облачную подпись или удалённое хранение ключей Если ключи переводят в удалённое хранение, прежние требования к физическим носителям перестают быть релевантны; нужно прописать правила доступа к удалённому хранилищу, механизмы аутентификации, журналирования и договорные условия с провайдером по защите персональных данных. Добавить раздел о защите удалённого хранения ключей и процедурах выдачи/отзыва, назначить ответственных за контроль у провайдера
Компрометация ключа или его обнаружение у постороннего Инструкция должна содержать явный инцидентный сценарий: немедленный отзыв или аннулирование ключа, уведомление ответственных, ограничение доступа и регистрация события; далее - расследование и последующие меры по уничтожению или перевыпуску ключей в сроки, установленные эксплуатационными правилами. Инициировать отзыв ключей, зафиксировать инцидент в журнале, провести расследование и выполнить уничтожение ключей согласно эксплуатационным срокам
Изменение эксплуатационной документации на СКЗИ При обновлении руководств поставщика проверьте отличия в сроках хранения, уничтожения и порядке работы с ключами; если эксплуатационные требования меняются, согласуйте инструкцию с новыми правилами и зафиксируйте расхождения в приказе об изменениях. Сверить требования поставщика с текущей инструкцией, при расхождении обновить документ и проинформировать допущенных пользователей

10 Проверка

Инспектор проверит

Документы и материалы проверки, относящиеся к инструкции пользователя СКЗИ, включая подтверждения утверждения, допусков, ознакомления и обращения с ключами.

Вопрос 01 «Предъявите приказ об утверждении инструкции и документ, подтверждающий полномочия подписанта.»
Вопрос 02 «Предъявите документы, устанавливающие порядок и решения о допуске сотрудников к работе со средствами криптозащиты.»
Вопрос 03 «Предъявите подтверждения ознакомления сотрудников с требованиями инструкции.»
Вопрос 04 «Предъявите документы, регламентирующие учёт и уничтожение криптографических ключей.»
Вопрос 05 «Предъявите документы по передаче и сдаче ключей при увольнении или кадровых перемещениях.»

Инспектор при проверке, может запросить:

приказ об утверждении инструкции пользователя СКЗИ в действующей редакции; документ о назначении или полномочиях подписанта
перечень сотрудников, допущенных к работе с СКЗИ, с решениями или приказами о допуске
журналы ознакомления сотрудников или расписки работников об ознакомлении с инструкцией
журнал учёта ключей и записи об уничтожении ключей, акты или приказы на уничтожение ключей
акты передачи и приёмки ключей при увольнении или переводе, ведомости сдачи ключей

11 Экспертная позиция

Реальный риск - остаточные допуски и неучтённые ключи

Частая, но неочевидная угроза при эксплуатации СКЗИ - сохранение доступа через выданные или неуничтоженные ключи после перевода или увольнения сотрудника. Типичные ошибки: отсутствие централизованного реестра выдачи и возврата ключей, формальная фиксация ознакомления без подписи и контроля, нерегламентированный порядок отзыва допусков. В инструкции целесообразно прописать журнал учёта криптосредств с отметками выдачи/возврата и ответственными лицами, процедуру верификации при увольнении и регламентированные сроки уничтожения ключей, а также требование подписи работника при ознакомлении. Эти меры снижают риск компрометации ключей и помогают исполнить обязанности по защите информации и правилам допуска.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Инструкции пользователя СКЗИ

Инструкция обязательна для работников, использующих СКЗИ, а также для администраторов и хранителей ключей в организации. Утверждает инструкцию руководитель организации приказом; требование об организационных мерах защиты закреплено в законе и в технических требованиях ФСБ. Внутренний доступ к инструкции должен быть ограничен сотрудникам с допуском к СКЗИ.

Заказать инструкцию пользователя средств криптографической защиты информации и комплект локальных нормативных актов

Необходимый внутренний документ при использовании СКЗИ, оформляемый приказом руководителя и доступный только сотрудникам с допуском. Заказ включает готовую инструкцию, проект приказа об утверждении, журнал учёта ключей, форму ознакомления под подпись, порядок допуска и передачи ключей при увольнении, а также процедуру уничтожения ключей с учётом срока 10 суток. Адаптируем под режим доступа и штатную структуру, с рекомендациями по оформлению записей и ведению журналов.

Заказать инструкцию в комплекте локальных нормативных актов

Инструкция пользователя средств криптографической защиты информации