Главная

Приказ об утверждении перечня пользователей СКЗИ

Приказ устанавливает персональный список лиц, допущенных к работе с криптосредствами и к режимным помещениям, и объясняет, почему список ведут по фамилиям, а не по должностям. Утверждает руководитель организации, ведёт служба информационной безопасности или администратор СКЗИ; в перечне фиксируют фамилию, подразделение, лицевой счёт, категорию и срок допуска, сотрудника исключают при увольнении, переводе или отзыве допуска; на проверке обращают внимание на наличие ознакомлений под расписку, заведённых лицевых счетов и отсутствие уволенных или отозванных лиц в списке.

Статус обязательный при использовании СКЗИ
Основание п. 2.4 ТТ ФСБ № 149/6/6-622; п. 5(в) приказа ФСБ № 378
Публичность внутренний документ, подлежит доведению до подразделений, работающих со СКЗИ
Кто утверждает утверждается руководителем организации
Обновлено июль 2026
Область применения пользователи, допускаемые к работе с криптосредствами и к режимным помещениям, где они установлены
Ответственный за ведение перечня ответственный за эксплуатацию СКЗИ или служба информационной безопасности

01 Назначение

Приказ об утверждении перечня пользователей СКЗИ - суть и практические указания

Назначение и область применения. Приказ фиксирует утвержденный руководителем организации перечень лиц, допущенных к работе с криптосредствами и к режимным помещениям, где они установлены. Документ обязателен при использовании СКЗИ и служит основанием для управления правами доступа, организации инструктажей и учета лицевых счетов пользователей. Приказ распространяется на все подразделения, эксплуатирующие криптосредства и связанные режимные помещения.

Содержание приказа и обязательные реквизиты перечня. Перечень должен содержать для каждого пользователя: ФИО, должность и подразделение, лицевой счет, уровень и характер допуска к конкретным СКЗИ, идентификаторы закрепленных устройств или ключевых носителей, отметку о прохождении инструктажа и дату включения. В приказе указывают ответственных за ведение записей и основания для включения. Наличие лицевого счета и отметки об ознакомлении подтверждает факт допуска.

Порядок включения и исключения из перечня. Включение и исключение выполняются по решению, оформляемому приказом руководителя. Триггеры для изменения перечня - назначение на должность с работой по СКЗИ, перевод, смена обязанностей или увольнение. При исключении должны быть зафиксированы сдача криптосредств или ключевых носителей и снятие прав доступа пользователя; эти действия вносятся в личный счет и сопроводительные записи.

Роли, ответственность и операционные записи. За ведение перечня назначается ответственное лицо, которое взаимодействует с кадровой службой и службой безопасности. Руководитель утверждает состав перечня, а ответственные лица обеспечивают актуальность записей, учет лицевых счетов и хранение подтверждений ознакомления. Операционные записи включают запись в лицевом счете пользователя и журнал учета доступа к СКЗИ, которые используются при проверках соблюдения мер защиты.

Типовые ошибки и контрольные замечания. Частые ошибки - отсутствие или неверные данные лицевого счета, отсутствие отметки об инструктаже, несвоевременное исключение уволенных сотрудников и чрезмерные полномочия у отдельных пользователей. При формировании приказа проверяйте соответствие перечня ведомственным учетным записям и наличие отметок о сдаче криптосредств; выявленные нарушения увеличивают риск утечки и административной ответственности.

Раскрыть полностью

02 Ответственность

Ответственность за утечку данных при нарушениях порядка допусков к СКЗИ

ч. 12 ст. 13.11 КоАП РФ - утечка данных 1 000 - 10 000 субъектов

Юридическое лицо 3 000 000 - 5 000 000 ₽
Должностное лицо 200 000 - 400 000 ₽
Физическое лицо (гражданин) 100 000 - 200 000 ₽

Отсутствие или неполнота приказа об утверждении перечня пользователей СКЗИ повышает риск неконтролируемого доступа к криптосредствам и ключевым материалам, что может привести к массовой утечке персональных данных. Типичные ошибки операторов - отсутствие актуального перечня и лицевых счетов, непринятые расписки об ознакомлении, отсутствие процедуры изъятия СКЗИ и ключей при увольнении. При проверке важно фиксировать факт системного нарушения порядка допуска, это влияет на квалификацию правонарушения как массовой утечки.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие названия отражают одну и ту же операционную задачу: фиксировать поимённый список лиц, допущенных к работе с криптосредствами и в режимные помещения. Внутренне сообщение и внешний реестр отличаются оформлением и ответственностью, но цель документа сохраняется.

Приказ об утверждении перечня пользователей СКЗИ
Перечень пользователей СКЗИ
Список допущенных к СКЗИ
Реестр пользователей криптосредств
Приказ о допуске к криптосредствам
Приказ о выдаче ключевых носителей
Приказ о допуске сотрудников к электронной подписи
Список лиц, допущенных к режимным помещениям

04 Обязательное содержание

Чеклист содержания приказа

Краткий набор разделов и элементов, которые должны быть в приказе об утверждении перечня пользователей СКЗИ для корректного применения требований ФСБ и внутреннего контроля.

Реквизиты приказа утверждённая редакция с датой, подписью руководителя и указанием области применения документа, в том числе на пользователей СКЗИ и режимные помещения.
Таблица перечня пользователей структурированная таблица с ФИО, должностью, подразделением, лицевым счётом пользователя, основанием допуска, уровнем доступа и сроком действия допуска.
Правила заведения и ведения лицевых счётов описание порядка открытия, обновления и хранения лицевых счётов, а также ответственных за их ведение и порядок отражения изменений статуса сотрудника.
Порядок ознакомления и подтверждение под роспись порядок обучения и ознакомления пользователей с требованиями работы со СКЗИ, форма и порядок фиксации ознакомления под роспись и ответственные за ведение регистра.
Процедура прекращения допуска условия и пошаговая процедура лишения допуска при увольнении, переводе или нарушениях обязанностей, с указанием ответственных за отзыв доступов и действия по сдаче средств и документов.
Доведение приказа и контроль исполнения указаны ответственные подразделения и способы доведения приказа до сотрудников, порядок регистрации фактов ознакомления и механизм контроля исполнения распоряжения.
Перечень режимных помещений и правила доступа определение помещений, где установлены или хранятся криптосредства, с указанием ограничений доступа и порядка допуска в эти помещения.

05 Применимость

Область применимости приказа об утверждении перечня пользователей СКЗИ

Краткое описание того, кому и в каких случаях нужен приказ об утверждении перечня пользователей средств криптографической защиты информации. Документ внутренний, подлежит доведению до подразделений, работающих со СКЗИ.

Кому предназначен приказ Организациям и их подразделениям, эксплуатирующим СКЗИ: ответственным за криптозащиту, системным администраторам, сотрудникам с доступом к криптосредствам и к режимным помещениям. Утверждается руководителем организации и доводится до указанных подразделений.
Когда приказ обязателен При наличии в организации СКЗИ и при необходимости формального допуска пользователей к работе с этими средствами или к режимным помещениям, где они установлены. Приказ формирует правовую основу для допусков и учёта пользователей.
Что включается в перечень пользователей Перечень должен содержать идентифицирующие данные пользователя, подразделение и должность, вид и уровень доступа к криптосредствам, номер лицевого счёта, дату допуска и основания допуска, сведения о порядке возврата и аннулирования доступа при увольнении или переводе.
Граница области применения приказа Приказ применяется к пользователям, допущенным к СКЗИ и к режимным помещениям, где установлены криптосредства или хранятся ключевые документы. Не охватывает лиц, чьи допуски и учёт оформляет внешний оператор по договору.
Когда приказ не подходит или не нужен Не применяется, если организация не использует СКЗИ. При передаче эксплуатации СКЗИ стороннему оператору учет и допуски оформляются в рамках договорных документов оператора, при этом внутренний приказ может быть заменён ссылкой на контрактные положения.
Взаимосвязь с внутренними актами и доведение до подразделений Приказ должен быть увязан с журналами учёта, инструкциями по эксплуатации СКЗИ и процедурами оформления лицевых счетов; ознакомление пользователей проводится под роспись и фиксируется в учётных документах внутреннего контроля.

06 Нормативная база

Нормативная база для приказа об утверждении перечня пользователей СКЗИ

ст. 19 152-ФЗ устанавливает обязанность вводить организационные и технические меры защиты персональных данных, в том числе меры контроля доступа и шифрования; для приказа это правовое основание формализовать перечень допущенных к СКЗИ, закрепить ответственность и порядок учета доступа как элемент защиты информации.
приказ ФСБ № 378, п. 5(а) предусматривает требования к режиму помещений и необходимости контроля доступа; для приказа это означает, что перечень пользователей утверждается руководителем организации и служит документом, ограничивающим допуск в режимные помещения, где установлены криптосредства.
ТТ ФСБ № 149/6/6-622, п. 2.4 определяет, что допуск к работе с криптосредствами осуществляется по решению, утверждаемому оператором; приказ должен фиксировать такое решение в виде официального перечня, указывать основание допуска, полномочия лица, принимающего решение и срок действия допуска.
ТТ ФСБ № 149/6/6-622, п. 2.5 описывает обязанности пользователя СКЗИ, в том числе необходимость возврата средств и носителей при увольнении; приказ должен предусматривать обязанность сдачи СКЗИ, порядок приема-передачи и документальное подтверждение факта сдачи.
ТТ ФСБ № 149/6/6-622, п. 2.9 устанавливает обязанность ознакомлять пользователей с требованиями и фиксировать это под расписку; приказ должен регламентировать порядок проведения инструктажей, форму подтверждения ознакомления и место хранения подписанных документов.
ТТ ФСБ № 149/6/6-622, п. 3.5 предписывает заводить лицевой счёт на каждого пользователя криптосредств; приказ должен определить структуру реестра пользователей, перечень сведений для записи и порядок блокировки или аннулирования записи при изменении статуса сотрудника.
ТТ ФСБ № 149/6/6-622, приложение 1 даёт определение режимного помещения как места установки криптосредств или хранения ключевых материалов; для приказа это основание привязывать перечень пользователей к конкретным помещениям и описывать режимы доступа к таким помещениям.

08 Внедрение

Шаги внедрения приказа об утверждении перечня пользователей СКЗИ

Короткий план от решения утвердить перечень до рабочей эксплуатации. Каждый шаг содержит исполнителя и конкретный выходной документ, пригодный для внутренней проверки.

1. Принятие решения и издание приказа Руководитель организации принимает решение об утверждении перечня и издаёт официальный документ. На выходе - «Приказ об утверждении перечня пользователей СКЗИ», зарегистрированный в журнале приказов.
2. Формирование реестра и заведене личных счетов Ответственный за сопровождение СКЗИ собирает данные по сотрудникам и формирует реестр пользователей, заводит лицевые счёта. На выходе - файл реестра с уникальными записями по каждому пользователю и отметкой о заведении лицевого счёта.
3. Ознакомление пользователей и фиксация обязанностей Служба безопасности организует ознакомление включённых в реестр пользователей с требованиями по работе со СКЗИ и фиксирует согласие под расписку. На выходе - расписки об ознакомлении, подшитые к личным делам.
4. Обеспечение режимных требований и допусков Служба режима и служба безопасности организуют мероприятия по обеспечению режимного режима помещений, где установлены криптосредства. На выходе - запись о допуске в журнал режима и при необходимости акт о приведении помещения в соответствие.
5. Согласование с кадровой службой и ввод в работу Кадровая служба сверяет данные реестра с личными делами, ИТ-отдел выполняет технические настройки доступа. На выходе - акт ввода в эксплуатацию СКЗИ и сводная запись о допусках, подготовленная для внутренней проверки.

09 Актуализация

Поводы для обновления приказа об утверждении перечня пользователей СКЗИ

Приказ пересматривают не по календарю, а в ответ на конкретные кадровые и технические события. Запаздывание в обновлении перечня приводит к фактическим нарушениям режима доступа, поэтому изменения вносят немедленно по факту события и фиксируют в реестре и лицевых счетах.

Принятие или назначение сотрудника, которому требуется доступ к СКЗИ Запись в перечне должна быть оформлена до выдачи носителя. Сначала принимается решение о допуске и фиксируется ознакомление под расписку, затем заводится лицевой счёт и выдаётся ключ. Отсутствие внесения до выдачи носителя недопустимо. Внести изменение в приказ и реестр до фактической выдачи носителя, завести лицевой счёт, зафиксировать дату ознакомления в журнале.
Увольнение или прекращение отношений с работником Исключение из перечня и закрытие лицевого счёта выполняются в день увольнения. Работник обязуется сдать криптосредства и ключевые документы при увольнении. При несдаче носителя это рассматривается как утрата, о которой следует незамедлительно уведомить ответственного оператора. В день увольнения внести запись об исключении, принять акт сдачи или акт утери, закрыть лицевой счёт и при необходимости инициировать блокировку доступа.
Перевод сотрудника на другую должность или изменение обязанностей Проверяется необходимость сохранения прежних допусков. Допуск к СКЗИ не переносится автоматически при смене обязанностей; при необходимости оформляют новый допуск или аннулируют прежний и вносят соответствующие изменения в реестр. Оценить доступы по новой должности, при изменении - обновить приказ и реестр с указанием оснований и сроков действия допусков.
Замещение на период отпуска или длительного отсутствия; привлечение подрядчика При краткосрочном замещении в перечень вносится временный пользователь и выдается отдельный носитель на срок замещения. Работники подрядчика допускаются по решению их работодателя и по условиям договора, они не включаются в перечень оператора без оформления со стороны своего работодателя. Оформить временный допуск с указанием срока и основания в приказе, по подрядчику требовать от работодателя подтверждение допуска и включить требование в договор.
Ввод в эксплуатацию нового криптосредства, изменение режима помещений или инцидент безопасности При появлении нового устройства или изменении режима помещения пересмотреть допуски по каждому пользователю, добавить соответствующие поля в реестр и принять отдельное решение о выдаче носителей для работы с новым средством. При утрате, компрометации или другом инциденте - немедленная блокировка допусков и инициирование расследования. Обновить приказ и реестр, принять документальное решение по допускам для нового оборудования, зафиксировать меры реагирования и уведомления.

10 Проверка

Инспектор проверит документы по приказу об утверждении перечня пользователей СКЗИ

Документы и материалы проверки, подтверждающие утверждение, учёт и инструктаж пользователей, допущенных к работе со СКЗИ и к режимным помещениям.

Вопрос 01 «Предъявите приказ об утверждении перечня пользователей СКЗИ.»
Вопрос 02 «Предъявите актуальный перечень пользователей СКЗИ.»
Вопрос 03 «Предъявите документы о назначении и лишении допусков к СКЗИ.»
Вопрос 04 «Предъявите подтверждения ознакомления пользователей с требованиями работы со СКЗИ.»
Вопрос 05 «Предъявите сведения о режимных помещениях, где установлены или хранятся криптосредства.»

Инспектор при проверке, может запросить:

приказ об утверждении перечня пользователей СКЗИ с подписью руководителя организации и датой
перечень пользователей СКЗИ в табличной форме с указанием ФИО, должности, подразделения, прав доступа и номера лицевого счёта
приказы или распоряжения о назначении и отмене допусков, записи в лицевых счётах с датами и основаниями изменений
журналы ознакомления с подписями пользователей и копии инструкций или распоряжений об обязанностях пользователей
реестр режимных помещений с указанием мест установки или хранения СКЗИ и документов об обеспечении режима доступа

11 Экспертная позиция

Риск рассинхронизации перечня и учёта

Нередко официальный перечень пользователей СКЗИ формально существует, но не синхронизирован с реестрами учёта, журналами выдачи и контролем доступа в режимные помещения. Последствие - затруднённое лишение доступа, непрослеживаемое обращение с ключевыми носителями и проблемы при проверке. Практический приём: привязывать лицевой счёт и записи СКЗИ к единому идентификатору сотрудника, регламентировать сверку перечня при кадровых изменениях и фиксировать возврат устройств и ключей под роспись; для режимных помещений дополнительно сверять перечень с журналами прохода.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - приказ об утверждении перечня пользователей СКЗИ

Перечень утверждается руководителем организации как решение, устанавливающее допуски к работе с криптосредствами. Решение оформляют приказом или распоряжением, который доводят до подразделений, работающих со СКЗИ.

Заказать приказ об утверждении перечня пользователей средств криптографической защиты информации (СКЗИ) в комплекте с журналом учёта

Подготовим приказ, подписанный руководителем организации, для утверждения персональных списков лиц, допущенных к работе со средствами криптографической защиты информации (СКЗИ) и к режимным помещениям. В комплект входят: сам приказ, журнал учёта пользователей, шаблон лицевого счёта, форма ознакомления под подпись, образцы записей и перечень подтверждающих документов для проверки и доведения до подразделений. Полезно при оформлении обязанностей пользователей и при увольнении.

Заказать приказ и комплект документов