Главная

Положение по использованию СКЗИ в организации

Регламентирует порядок выбора, ввода в эксплуатацию, учёта и обращения с СКЗИ и ключевых носителей; готовит служба информационной безопасности, утверждает руководитель приказом. На проверке обращают внимание: наличие утверждённого положения, поэкземплярный учёт ключевых носителей, условия хранения и доступа, применение сертифицированных средств, регистрация операций и журналы доступа.

Скачать образец документа

Статус обязательный при использовании средств криптографической защиты информации (СКЗИ)
Основание ч. 2 ст. 19 152-ФЗ, приказ ФСБ России № 378, Инструкция ФАПСИ № 152 (ПКЗ-2005)
Публичность внутренний регламент, не подлежит публичной публикации
Кто утверждает руководитель организации - приказом
Ответственный служба информационной безопасности или назначаемое лицо, ответственное за эксплуатацию СКЗИ
Область применения распространяется на все используемые в организации СКЗИ, операции с ключами и процедуры их хранения при обработке персональных данных
Обновлено июль 2026

01 Назначение

Положение по использованию СКЗИ - назначение и практические указания

Назначение и область применения. Положение описывает требования к использованию всех средств криптографической защиты информации (СКЗИ) в организации, порядок операций с ключами и меры их хранения при обработке персональных данных. Документ обязателен при применении СКЗИ в информационных системах и распространяется на структурные подразделения, ответственных за эксплуатацию, поддержку и контроль работы криптосредств.

Роли, утверждение и ответственность. Утверждение положения - приказ руководителя организации. Ответственность за эксплуатацию и поддержку СКЗИ возлагается на службу информационной безопасности или на назначаемое лицо; в документе фиксируют полномочия, границы ответственности и порядок взаимодействия с администратором ИСПДн и службой эксплуатации. В тексте должны быть указаны контактные данные ответственных лиц и порядок замены ответственных при ротации.

Требования к СКЗИ и операциям с ключами. Положение устанавливает требование использования сертифицированных средств и регламентацию операций с ключами: учет, генерация, распределение, резервное копирование, хранение и уничтожение ключей. Необходимо вести реестр СКЗИ и журнал регистрации действий с ключами, определить средства ограничения доступа и процедуры контроля целостности ключевого материала. За применение несертифицированных средств и нарушение правил обращения с ключами документ отражает возможные последствия для ответственности организации.

Внедрение, контроль и типичные ошибки при эксплуатации. При внедрении фиксируют комплект организационных документов - приказ об утверждении, реестр СКЗИ, инструкции по эксплуатации и формы журналов учета; назначают периодичность контроля при смене состава средств или обнаружении инцидентов. Типичные ошибки, которые следует исключать: отсутствие реестра, хранение ключей в небезопасных местах, применение несертифицированных модулей и отсутствие регламента резервного копирования. Положение должно прописывать триггеры пересмотра и процедуру документирования результатов проверок.

Раскрыть полностью

02 Ответственность

Ответственность за применение несертифицированных СКЗИ при обработке ПДн

ч. 2 ст. 13.12 КоАП РФ - использование несертифицированных средств защиты информации

Юридическое лицо 50 000 - 100 000 ₽
Должностное лицо 10 000 - 50 000 ₽
Граждане 5 000 - 10 000 ₽

Использование несертифицированных средств криптографической защиты информации при обработке персональных данных создает риск привлечения по указанной части статьи. Штрафы различаются по роли привлекаемого лица. Типичные ошибки операторов - ввод в эксплуатацию СКЗИ без проверки сертификата, отсутствие регистрационных записей об учёте и операциях с ключами, несогласование с внутренним приказом об ответственности. Наличие приказа, назначенного ответственного и регистраций операций с ключами снижает операционный риск выявления нарушения, но не отменяет обязательства по применению сертифицированных средств.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Набор распространённых названий для поиска шаблонов и сопутствующих материалов; полезно разделять правило, эксплуатационную инструкцию и приказы.

Положение об использовании СКЗИ
Положение о порядке применения СКЗИ
Регламент по использованию СКЗИ
Положение по учёту и хранению ключевых носителей
Положение об управлении криптографическими ключами
Правила работы со средствами криптографической защиты информации
Инструкция по эксплуатации СКЗИ
Порядок обращения с ключевыми носителями
Приказ об утверждении правил использования СКЗИ
Акт приёмки в эксплуатацию СКЗИ

04 Обязательное содержание

Чеклист для Положения по использованию СКЗИ

Чеклист ключевых разделов и элементов, которые должны быть в положении по использованию СКЗИ, чтобы документ выполнял требования по учёту, эксплуатации и управлению ключами.

Утверждённая редакция и приказ об утверждении В документе должна быть указана утверждённая редакция, реквизиты и дата приказа руководителя, а также лицо, ответственное за внедрение и контроль исполнения положения.
Перечень и классификация используемых СКЗИ Полный реестр применяемых СКЗИ с указанием версий, назначений, границ применения и статуса сертификации для каждого средства.
Роли и распределение ответственности Таблица ролей и обязанностей: служба информационной безопасности, ответственное лицо за эксплуатацию СКЗИ, администраторы и операторы, с чёткими зонами ответственности по операциям с ключами.
Процедуры жизненного цикла ключей Подробные процедуры генерации, выдачи, резервного копирования, хранения, ротации, отзыва и безопасного уничтожения ключей, с указанием ответственных и условий для каждого этапа.
Учет и регистрация операций с ключами и СКЗИ Правила ведения журналов и записей об операциях с ключами и СКЗИ, формат записей, сроки хранения и порядок предоставления записей при проверке.
Требования к сертификации и запрет на использование несертифицированных средств Положение должно содержать требование о применении сертифицированных средств и последствия использования несертифицированных решений, включая ссылки на соответствующие нормативы.
Область действия и связь с защитой персональных данных Чёткое определение области применения положения, в том числе что оно распространяется на операции с ключами при обработке персональных данных, и ссылки на требования по уровням защищённости информации.

05 Применимость

Кому и когда нужен документ

Контур применимости положения по использованию СКЗИ: для организаций и подразделений, которые эксплуатируют средства криптографической защиты информации при обработке персональных данных. Коротко о случаях обязательного применения и границах, когда нужен другой документ.

Обязательность при использовании СКЗИ Положение необходимо при использовании в организации любых средств криптографической защиты информации в процессах, связанных с обработкой персональных данных; документ служит внутренним регламентом и не предназначен для публичной публикации.
Объекты и операции, попадающие под действие Распространяется на используемые в организации СКЗИ, операции с криптографическими ключами, процедуры их учёта и хранения, а также на сопутствующие средства и устройства, участвующие в генерации, хранении и применении ключей.
Кто утверждает и кто отвечает Положение оформляется и утверждается руководителем организации приказом. Исполнение и сопровождение документа возлагается на службу информационной безопасности или на назначаемое ответственное лицо; в крупных организациях назначаются ответственные лица в филиалах и подразделениях.
Границы применимости и когда нужен другой документ Положение не применяется, если в организации не используются СКЗИ. Если требуется регулировать общие правила информационной безопасности без криптографии, оформляют соответствующий регламент ИБ. При привлечении сторонних провайдеров криптографических услуг требования закрепляют в договоре и сопутствующей документации.
Связанные требования и смежные нормативы При подготовке положения учитывайте требования по уровням защищённости информационных систем, требования к лицензированию и правила учёта ключевой документации, а также требования по учёту и хранению ключей.

06 Нормативная база

Нормативная база для Положения об использовании СКЗИ

ч. 2 ст. 19 152-ФЗ предписывает разработать и реализовать организационные и технические меры защиты при обработке ПДн; для Положения это означает регламентацию правил доступа к СКЗИ, распределение ответственности и порядок регистрации операций с ключами и криптопроцессами.
ПП РФ № 1119 устанавливает уровни защищённости информационных систем; Положение должно соотнести используемые СКЗИ и процедуры обращения с ключами с требуемым уровнем защиты и описать набор мер для каждого уровня.
приказ ФСБ России № 378 определяет требования по защите персональных данных при обработке с использованием СКЗИ; документ должен фиксировать требования к внедрению СКЗИ, жизненному циклу ключей, контролю развертывания и назначению ответственных лиц.
Инструкция ФАПСИ № 152 регламентирует учёт, хранение и обращение с ключевыми материалами и сопроводительной документацией; Положение должно описать порядок инвентаризации СКЗИ, учёта ключей, условия хранения, выдачи и уничтожения ключей и ключевых носителей.
ПП РФ № 313 касается лицензирования деятельности в области шифровальных средств; Положение должно учитывать случаи, когда использование, обслуживание или поставка СКЗИ требует лицензирования, и регламентировать проверку соответствия поставщиков и услуг.
ч. 2 ст. 13.12 КоАП установлена административная ответственность за использование несертифицированных средств защиты; для Положения это требование о применении сертифицированных СКЗИ и о порядке подтверждения и документального оформления их соответствия.
ч. 6 ст. 13.12 КоАП РФ - нарушение требований о защите информации предусматривает санкции за нарушения требований по защите информации; Положение должно описать меры контроля, порядок расследования нарушений, порядок информирования руководства и дисциплинарные процедуры для снижения риска административных санкций.

Образец документа

Положение по использованию СКЗИ в организации

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения Положения по использованию СКЗИ

Краткий порядок от решения до первой проверки. Учитывает обязательный статус документа при использовании СКЗИ, назначение ответственного и согласование с сопутствующими приказами и инструкциями.

1. Принятие решения и назначение ответственного Руководитель организации издаёт приказ об утверждении Положения по использованию СКЗИ и приказ о назначении ответственного за эксплуатацию СКЗИ; на выходе - два зарегистрированных приказа и запись в книге приказов.
2. Инвентаризация и подтверждение соответствия Служба информационной безопасности проводит инвентаризацию всех СКЗИ, проверяет наличие сертификатов и соответствие требованиям лицензирования; на выходе - реестр используемых СКЗИ с указанием моделей, сертификатов, мест установки и ответственных, а также акт инвентаризации.
3. Разработка проекта Положения и регламентов по ключам Служба информационной безопасности подготавливает проект Положения, инструкции по учёту, хранению и выдаче ключей и форму журнала учёта ключей; на выходе - комплект проектных документов, готовый к согласованию с руководством.
4. Ввод в действие и обучение После утверждения служба информационной безопасности совместно с отделом кадров организует инструктаж для ответственных и пользователей, руководитель издаёт приказ о вводе в действие; на выходе - приказ о вводе в действие Положения, протокол вводного инструктажа и акт ввода в эксплуатацию СКЗИ.
5. Контроль, аудит и сопровождение Внутренний аудит или инспектор организует проверку соблюдения Положения и регламентов, фиксирует нарушения и оформляет отчёт с планом корректирующих действий; на выходе - протокол проверки, отчёт и журнал инцидентов по СКЗИ.

09 Актуализация

Поводы для пересмотра и переиздания Положения по использованию СКЗИ

Конкретные события, при наступлении которых Положение проверяют и при необходимости вносят изменения. Для каждого повода указаны требуемые действия до продолжения эксплуатации СКЗИ.

Появление или замена СКЗИ, поставщика или интегратора При вводе нового средства криптографической защиты, замене криптопровайдера или подключении сторонней услуги (например, ЭДО или клиент-банк) пересматривают реестр используемых СКЗИ, приложение с сертификатами и процедуру приёмки; до подтверждения соответствия эксплуатацию ограничивают. Обновить инвентарный реестр и приложение с сертификатами, провести приёмные испытания, зафиксировать решение приказом об утверждении.
Истечение срока действия или утрата сертификата соответствия Если срок действия сертификата закончился либо подтверждение соответствия утрачено, применение такого СКЗИ приостанавливают, проводят инвентаризацию и оценивают риск продолжения эксплуатации до восстановления сертификации. Приостановить использование затронутых средств, зафиксировать решение и сроки в приказе, организовать замену либо обновление сертификата и документировать компенсирующие меры.
Смена ответственного лица или владельца ключа При назначении нового ответственного или смене владельца ключа проводят передачу по акту с физической сверкой всех носителей и журналов; формальная смена записи без сверки приводит к рассинхронизации учёта и журналов. Оформить акт передачи, обновить журналы и приказ о назначении, при увольнении вывести ключи из оборота и зафиксировать процедуру вывода.
Изменение состава допущенных лиц или правил доступа При приёме, переводе, увольнении сотрудников или изменении ролей пересматривают списки допущенных лиц, права доступа и порядок аутентификации; устаревшие учётные записи и ключи отзывают и исключают из эксплуатации. Обновить списки допущенных, отозвать и перевыпустить ключи при необходимости, скорректировать внутренние процедуры доступа и учёта.
Инцидент или подозрение на компрометацию ключей или СКЗИ При фактах утечки, аномалиях в журналах действий или других признаках компрометации немедленно инициируют расследование, приостанавливают использование затронутых средств и фиксируют принятые меры. Провести расследование инцидента, обеспечить отзыв и перевыпуск ключей, скорректировать Положение с учётом выводов и уведомить ответственных лиц.

10 Проверка

Инспектор проверит: Положение по использованию СКЗИ

Документы и материалы проверки, подтверждающие соответствие правил применения, учёта и эксплуатации средств криптографической защиты информации требованиям законодательства и внутренним регламентам.

Вопрос 01 «Предъявите документы об утверждении Положения и назначении ответственного за эксплуатацию СКЗИ.»
Вопрос 02 «Предъявите сведения о применяемых СКЗИ и их сертификации.»
Вопрос 03 «Предъявите документы по учёту и операциям с ключами криптографической защиты.»
Вопрос 04 «Предъявите регламенты и инструкции по использованию и обслуживанию СКЗИ.»
Вопрос 05 «Предъявите результаты проверок соответствия и акты тестирования интеграции СКЗИ с информационными системами.»

Инспектор при проверке, может запросить:

приказ об утверждении Положения и распоряжение о назначении ответственного за эксплуатацию СКЗИ
реестр используемых СКЗИ с указанием производителя, модели, серийного номера и сведений о сертификате соответствия
журнал учёта ключей или электронные записи операций с ключами, карточки учёта ключей, документы о хранении и резервном копировании ключей
регламенты управления ключами, инструкции по эксплуатации СКЗИ и протоколы процедур выдачи, замены и отзыва ключей
протоколы тестирования и акты проверки соответствия сертификатам, отчёты о верификации интеграции СКЗИ с ИС

11 Экспертная позиция

Практический инсайт по положению об использовании СКЗИ

Ключевой риск при разработке положения - неучтённое и неструктурированное ключевое хозяйство: отсутствие реестра СКЗИ и ключей, неописанные процедуры генерации, хранения, резервного копирования, ротации и отзыва ключей, а также отсутствие разграничения обязанностей. В положении пропишите реестр СКЗИ с привязкой ключей к системам и ролям, процедуру приёмки и списания средств криптографической защиты, требования к способам хранения (аппаратные модули, защищённые хранилища), порядок аварийной замены и восстановления, а также регулярные ревизии при кадровых изменениях и ведение журналов действий с ключами. Это снизит операционные риски при эксплуатации и поможет показать проверяющим связку приказа об утверждении, назначения ответственного и записи в журнале учёта.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - Положение по использованию СКЗИ

Да, Положение обязательно при использовании средств криптографической защиты информации; оно закрепляет организационные и технические меры, правила доступа и учёта операций с ключами. Утверждает документ руководитель организации приказом, документ подлежит внутреннему поддержанию в актуальном состоянии.

Заказать Положение по использованию средств криптографической защиты информации (СКЗИ) и комплект локальных нормативных актов

Положение обязательно при использовании СКЗИ, утверждается руководителем приказом и подготавливается службой информационной безопасности. Закажите адаптацию под вашу организацию: проект Положения, проект приказа об утверждении, журнал учёта ключей, инструкция по обращению и хранению ключевых носителей, формы учёта и рекомендации по распределению ответственности. Документы передаются готовыми к внутреннему утверждению и внедрению.

Скачать образец Заказать Положение и комплект локальных нормативных актов

Положение по использованию СКЗИ в организации

Положение по использованию СКЗИ - назначение и практические указания

Ответственность за применение несертифицированных СКЗИ при обработке ПДн

Как ещё называют этот документ

Чеклист для Положения по использованию СКЗИ

Кому и когда нужен документ

Нормативная база для Положения об использовании СКЗИ

Связанные документы для Положения по использованию СКЗИ

Связанные документы

Шаги внедрения Положения по использованию СКЗИ

Поводы для пересмотра и переиздания Положения по использованию СКЗИ

Инспектор проверит: Положение по использованию СКЗИ

Практический инсайт по положению об использовании СКЗИ

Частые вопросы - Положение по использованию СКЗИ

База знаний содержит 268 документов

Заказать Положение по использованию средств криптографической защиты информации (СКЗИ) и комплект локальных нормативных актов

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями