Главная

Приказ об утверждении перечня пользователей СКЗИ

Приказ устанавливает персональный список лиц, допущенных к работе с криптосредствами и к режимным помещениям, и объясняет, почему список ведут по фамилиям, а не по должностям. Утверждает руководитель организации, ведёт служба информационной безопасности или администратор СКЗИ; в перечне фиксируют фамилию, подразделение, лицевой счёт, категорию и срок допуска, сотрудника исключают при увольнении, переводе или отзыве допуска; на проверке обращают внимание на наличие ознакомлений под расписку, заведённых лицевых счетов и отсутствие уволенных или отозванных лиц в списке.

Скачать образец документа

Статус обязательный при использовании СКЗИ
Основание п. 2.4 ТТ ФСБ № 149/6/6-622; п. 5(в) приказа ФСБ № 378
Публичность внутренний документ, подлежит доведению до подразделений, работающих со СКЗИ
Кто утверждает утверждается руководителем организации
Обновлено июль 2026
Область применения пользователи, допускаемые к работе с криптосредствами и к режимным помещениям, где они установлены
Ответственный за ведение перечня ответственный за эксплуатацию СКЗИ или служба информационной безопасности

01 Назначение

Приказ об утверждении перечня пользователей СКЗИ - суть и практические указания

Назначение и область применения. Приказ фиксирует утвержденный руководителем организации перечень лиц, допущенных к работе с криптосредствами и к режимным помещениям, где они установлены. Документ обязателен при использовании СКЗИ и служит основанием для управления правами доступа, организации инструктажей и учета лицевых счетов пользователей. Приказ распространяется на все подразделения, эксплуатирующие криптосредства и связанные режимные помещения.

Содержание приказа и обязательные реквизиты перечня. Перечень должен содержать для каждого пользователя: ФИО, должность и подразделение, лицевой счет, уровень и характер допуска к конкретным СКЗИ, идентификаторы закрепленных устройств или ключевых носителей, отметку о прохождении инструктажа и дату включения. В приказе указывают ответственных за ведение записей и основания для включения. Наличие лицевого счета и отметки об ознакомлении подтверждает факт допуска.

Порядок включения и исключения из перечня. Включение и исключение выполняются по решению, оформляемому приказом руководителя. Триггеры для изменения перечня - назначение на должность с работой по СКЗИ, перевод, смена обязанностей или увольнение. При исключении должны быть зафиксированы сдача криптосредств или ключевых носителей и снятие прав доступа пользователя; эти действия вносятся в личный счет и сопроводительные записи.

Роли, ответственность и операционные записи. За ведение перечня назначается ответственное лицо, которое взаимодействует с кадровой службой и службой безопасности. Руководитель утверждает состав перечня, а ответственные лица обеспечивают актуальность записей, учет лицевых счетов и хранение подтверждений ознакомления. Операционные записи включают запись в лицевом счете пользователя и журнал учета доступа к СКЗИ, которые используются при проверках соблюдения мер защиты.

Типовые ошибки и контрольные замечания. Частые ошибки - отсутствие или неверные данные лицевого счета, отсутствие отметки об инструктаже, несвоевременное исключение уволенных сотрудников и чрезмерные полномочия у отдельных пользователей. При формировании приказа проверяйте соответствие перечня ведомственным учетным записям и наличие отметок о сдаче криптосредств; выявленные нарушения увеличивают риск утечки и административной ответственности.

Раскрыть полностью

02 Ответственность

Ответственность за утечку данных при нарушениях порядка допусков к СКЗИ

ч. 12 ст. 13.11 КоАП РФ - утечка данных 1 000 - 10 000 субъектов

Юридическое лицо 3 000 000 - 5 000 000 ₽
Должностное лицо 200 000 - 400 000 ₽
Физическое лицо (гражданин) 100 000 - 200 000 ₽

Отсутствие или неполнота приказа об утверждении перечня пользователей СКЗИ повышает риск неконтролируемого доступа к криптосредствам и ключевым материалам, что может привести к массовой утечке персональных данных. Типичные ошибки операторов - отсутствие актуального перечня и лицевых счетов, непринятые расписки об ознакомлении, отсутствие процедуры изъятия СКЗИ и ключей при увольнении. При проверке важно фиксировать факт системного нарушения порядка допуска, это влияет на квалификацию правонарушения как массовой утечки.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие названия отражают одну и ту же операционную задачу: фиксировать поимённый список лиц, допущенных к работе с криптосредствами и в режимные помещения. Внутренне сообщение и внешний реестр отличаются оформлением и ответственностью, но цель документа сохраняется.

Приказ об утверждении перечня пользователей СКЗИ
Перечень пользователей СКЗИ
Список допущенных к СКЗИ
Реестр пользователей криптосредств
Приказ о допуске к криптосредствам
Приказ о выдаче ключевых носителей
Приказ о допуске сотрудников к электронной подписи
Список лиц, допущенных к режимным помещениям

04 Обязательное содержание

Чеклист содержания приказа

Краткий набор разделов и элементов, которые должны быть в приказе об утверждении перечня пользователей СКЗИ для корректного применения требований ФСБ и внутреннего контроля.

Реквизиты приказа утверждённая редакция с датой, подписью руководителя и указанием области применения документа, в том числе на пользователей СКЗИ и режимные помещения.
Таблица перечня пользователей структурированная таблица с ФИО, должностью, подразделением, лицевым счётом пользователя, основанием допуска, уровнем доступа и сроком действия допуска.
Правила заведения и ведения лицевых счётов описание порядка открытия, обновления и хранения лицевых счётов, а также ответственных за их ведение и порядок отражения изменений статуса сотрудника.
Порядок ознакомления и подтверждение под роспись порядок обучения и ознакомления пользователей с требованиями работы со СКЗИ, форма и порядок фиксации ознакомления под роспись и ответственные за ведение регистра.
Процедура прекращения допуска условия и пошаговая процедура лишения допуска при увольнении, переводе или нарушениях обязанностей, с указанием ответственных за отзыв доступов и действия по сдаче средств и документов.
Доведение приказа и контроль исполнения указаны ответственные подразделения и способы доведения приказа до сотрудников, порядок регистрации фактов ознакомления и механизм контроля исполнения распоряжения.
Перечень режимных помещений и правила доступа определение помещений, где установлены или хранятся криптосредства, с указанием ограничений доступа и порядка допуска в эти помещения.

05 Применимость

Область применимости приказа об утверждении перечня пользователей СКЗИ

Краткое описание того, кому и в каких случаях нужен приказ об утверждении перечня пользователей средств криптографической защиты информации. Документ внутренний, подлежит доведению до подразделений, работающих со СКЗИ.

Кому предназначен приказ Организациям и их подразделениям, эксплуатирующим СКЗИ: ответственным за криптозащиту, системным администраторам, сотрудникам с доступом к криптосредствам и к режимным помещениям. Утверждается руководителем организации и доводится до указанных подразделений.
Когда приказ обязателен При наличии в организации СКЗИ и при необходимости формального допуска пользователей к работе с этими средствами или к режимным помещениям, где они установлены. Приказ формирует правовую основу для допусков и учёта пользователей.
Что включается в перечень пользователей Перечень должен содержать идентифицирующие данные пользователя, подразделение и должность, вид и уровень доступа к криптосредствам, номер лицевого счёта, дату допуска и основания допуска, сведения о порядке возврата и аннулирования доступа при увольнении или переводе.
Граница области применения приказа Приказ применяется к пользователям, допущенным к СКЗИ и к режимным помещениям, где установлены криптосредства или хранятся ключевые документы. Не охватывает лиц, чьи допуски и учёт оформляет внешний оператор по договору.
Когда приказ не подходит или не нужен Не применяется, если организация не использует СКЗИ. При передаче эксплуатации СКЗИ стороннему оператору учет и допуски оформляются в рамках договорных документов оператора, при этом внутренний приказ может быть заменён ссылкой на контрактные положения.
Взаимосвязь с внутренними актами и доведение до подразделений Приказ должен быть увязан с журналами учёта, инструкциями по эксплуатации СКЗИ и процедурами оформления лицевых счетов; ознакомление пользователей проводится под роспись и фиксируется в учётных документах внутреннего контроля.

06 Нормативная база

Нормативная база для приказа об утверждении перечня пользователей СКЗИ

ст. 19 152-ФЗ устанавливает обязанность вводить организационные и технические меры защиты персональных данных, в том числе меры контроля доступа и шифрования; для приказа это правовое основание формализовать перечень допущенных к СКЗИ, закрепить ответственность и порядок учета доступа как элемент защиты информации.
приказ ФСБ № 378, п. 5(а) предусматривает требования к режиму помещений и необходимости контроля доступа; для приказа это означает, что перечень пользователей утверждается руководителем организации и служит документом, ограничивающим допуск в режимные помещения, где установлены криптосредства.
ТТ ФСБ № 149/6/6-622, п. 2.4 определяет, что допуск к работе с криптосредствами осуществляется по решению, утверждаемому оператором; приказ должен фиксировать такое решение в виде официального перечня, указывать основание допуска, полномочия лица, принимающего решение и срок действия допуска.
ТТ ФСБ № 149/6/6-622, п. 2.5 описывает обязанности пользователя СКЗИ, в том числе необходимость возврата средств и носителей при увольнении; приказ должен предусматривать обязанность сдачи СКЗИ, порядок приема-передачи и документальное подтверждение факта сдачи.
ТТ ФСБ № 149/6/6-622, п. 2.9 устанавливает обязанность ознакомлять пользователей с требованиями и фиксировать это под расписку; приказ должен регламентировать порядок проведения инструктажей, форму подтверждения ознакомления и место хранения подписанных документов.
ТТ ФСБ № 149/6/6-622, п. 3.5 предписывает заводить лицевой счёт на каждого пользователя криптосредств; приказ должен определить структуру реестра пользователей, перечень сведений для записи и порядок блокировки или аннулирования записи при изменении статуса сотрудника.
ТТ ФСБ № 149/6/6-622, приложение 1 даёт определение режимного помещения как места установки криптосредств или хранения ключевых материалов; для приказа это основание привязывать перечень пользователей к конкретным помещениям и описывать режимы доступа к таким помещениям.

Образец документа

Приказ об утверждении перечня пользователей СКЗИ

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа об утверждении перечня пользователей СКЗИ

Короткий план от решения утвердить перечень до рабочей эксплуатации. Каждый шаг содержит исполнителя и конкретный выходной документ, пригодный для внутренней проверки.

1. Принятие решения и издание приказа Руководитель организации принимает решение об утверждении перечня и издаёт официальный документ. На выходе - «Приказ об утверждении перечня пользователей СКЗИ», зарегистрированный в журнале приказов.
2. Формирование реестра и заведене личных счетов Ответственный за сопровождение СКЗИ собирает данные по сотрудникам и формирует реестр пользователей, заводит лицевые счёта. На выходе - файл реестра с уникальными записями по каждому пользователю и отметкой о заведении лицевого счёта.
3. Ознакомление пользователей и фиксация обязанностей Служба безопасности организует ознакомление включённых в реестр пользователей с требованиями по работе со СКЗИ и фиксирует согласие под расписку. На выходе - расписки об ознакомлении, подшитые к личным делам.
4. Обеспечение режимных требований и допусков Служба режима и служба безопасности организуют мероприятия по обеспечению режимного режима помещений, где установлены криптосредства. На выходе - запись о допуске в журнал режима и при необходимости акт о приведении помещения в соответствие.
5. Согласование с кадровой службой и ввод в работу Кадровая служба сверяет данные реестра с личными делами, ИТ-отдел выполняет технические настройки доступа. На выходе - акт ввода в эксплуатацию СКЗИ и сводная запись о допусках, подготовленная для внутренней проверки.

09 Актуализация

Поводы для обновления приказа об утверждении перечня пользователей СКЗИ

Приказ пересматривают не по календарю, а в ответ на конкретные кадровые и технические события. Запаздывание в обновлении перечня приводит к фактическим нарушениям режима доступа, поэтому изменения вносят немедленно по факту события и фиксируют в реестре и лицевых счетах.

Принятие или назначение сотрудника, которому требуется доступ к СКЗИ Запись в перечне должна быть оформлена до выдачи носителя. Сначала принимается решение о допуске и фиксируется ознакомление под расписку, затем заводится лицевой счёт и выдаётся ключ. Отсутствие внесения до выдачи носителя недопустимо. Внести изменение в приказ и реестр до фактической выдачи носителя, завести лицевой счёт, зафиксировать дату ознакомления в журнале.
Увольнение или прекращение отношений с работником Исключение из перечня и закрытие лицевого счёта выполняются в день увольнения. Работник обязуется сдать криптосредства и ключевые документы при увольнении. При несдаче носителя это рассматривается как утрата, о которой следует незамедлительно уведомить ответственного оператора. В день увольнения внести запись об исключении, принять акт сдачи или акт утери, закрыть лицевой счёт и при необходимости инициировать блокировку доступа.
Перевод сотрудника на другую должность или изменение обязанностей Проверяется необходимость сохранения прежних допусков. Допуск к СКЗИ не переносится автоматически при смене обязанностей; при необходимости оформляют новый допуск или аннулируют прежний и вносят соответствующие изменения в реестр. Оценить доступы по новой должности, при изменении - обновить приказ и реестр с указанием оснований и сроков действия допусков.
Замещение на период отпуска или длительного отсутствия; привлечение подрядчика При краткосрочном замещении в перечень вносится временный пользователь и выдается отдельный носитель на срок замещения. Работники подрядчика допускаются по решению их работодателя и по условиям договора, они не включаются в перечень оператора без оформления со стороны своего работодателя. Оформить временный допуск с указанием срока и основания в приказе, по подрядчику требовать от работодателя подтверждение допуска и включить требование в договор.
Ввод в эксплуатацию нового криптосредства, изменение режима помещений или инцидент безопасности При появлении нового устройства или изменении режима помещения пересмотреть допуски по каждому пользователю, добавить соответствующие поля в реестр и принять отдельное решение о выдаче носителей для работы с новым средством. При утрате, компрометации или другом инциденте - немедленная блокировка допусков и инициирование расследования. Обновить приказ и реестр, принять документальное решение по допускам для нового оборудования, зафиксировать меры реагирования и уведомления.

10 Проверка

Инспектор проверит документы по приказу об утверждении перечня пользователей СКЗИ

Документы и материалы проверки, подтверждающие утверждение, учёт и инструктаж пользователей, допущенных к работе со СКЗИ и к режимным помещениям.

Вопрос 01 «Предъявите приказ об утверждении перечня пользователей СКЗИ.»
Вопрос 02 «Предъявите актуальный перечень пользователей СКЗИ.»
Вопрос 03 «Предъявите документы о назначении и лишении допусков к СКЗИ.»
Вопрос 04 «Предъявите подтверждения ознакомления пользователей с требованиями работы со СКЗИ.»
Вопрос 05 «Предъявите сведения о режимных помещениях, где установлены или хранятся криптосредства.»

Инспектор при проверке, может запросить:

приказ об утверждении перечня пользователей СКЗИ с подписью руководителя организации и датой
перечень пользователей СКЗИ в табличной форме с указанием ФИО, должности, подразделения, прав доступа и номера лицевого счёта
приказы или распоряжения о назначении и отмене допусков, записи в лицевых счётах с датами и основаниями изменений
журналы ознакомления с подписями пользователей и копии инструкций или распоряжений об обязанностях пользователей
реестр режимных помещений с указанием мест установки или хранения СКЗИ и документов об обеспечении режима доступа

11 Экспертная позиция

Риск рассинхронизации перечня и учёта

Нередко официальный перечень пользователей СКЗИ формально существует, но не синхронизирован с реестрами учёта, журналами выдачи и контролем доступа в режимные помещения. Последствие - затруднённое лишение доступа, непрослеживаемое обращение с ключевыми носителями и проблемы при проверке. Практический приём: привязывать лицевой счёт и записи СКЗИ к единому идентификатору сотрудника, регламентировать сверку перечня при кадровых изменениях и фиксировать возврат устройств и ключей под роспись; для режимных помещений дополнительно сверять перечень с журналами прохода.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - приказ об утверждении перечня пользователей СКЗИ

Перечень утверждается руководителем организации как решение, устанавливающее допуски к работе с криптосредствами. Решение оформляют приказом или распоряжением, который доводят до подразделений, работающих со СКЗИ.

Заказать приказ об утверждении перечня пользователей средств криптографической защиты информации (СКЗИ) в комплекте с журналом учёта

Подготовим приказ, подписанный руководителем организации, для утверждения персональных списков лиц, допущенных к работе со средствами криптографической защиты информации (СКЗИ) и к режимным помещениям. В комплект входят: сам приказ, журнал учёта пользователей, шаблон лицевого счёта, форма ознакомления под подпись, образцы записей и перечень подтверждающих документов для проверки и доведения до подразделений. Полезно при оформлении обязанностей пользователей и при увольнении.

Скачать образец Заказать приказ и комплект документов

Приказ об утверждении перечня пользователей СКЗИ

Приказ об утверждении перечня пользователей СКЗИ - суть и практические указания

Ответственность за утечку данных при нарушениях порядка допусков к СКЗИ

Как ещё называют этот документ

Чеклист содержания приказа

Область применимости приказа об утверждении перечня пользователей СКЗИ

Нормативная база для приказа об утверждении перечня пользователей СКЗИ

Связанные документы и их назначение

Связанные документы

Шаги внедрения приказа об утверждении перечня пользователей СКЗИ

Поводы для обновления приказа об утверждении перечня пользователей СКЗИ

Инспектор проверит документы по приказу об утверждении перечня пользователей СКЗИ

Риск рассинхронизации перечня и учёта

Частые вопросы - приказ об утверждении перечня пользователей СКЗИ

База знаний содержит 268 документов

Заказать приказ об утверждении перечня пользователей средств криптографической защиты информации (СКЗИ) в комплекте с журналом учёта

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями