Главная

Журнал учёта аппаратных средств аутентификации

Внутренний журнал для учёта токенов, смарт-карт и аппаратных ключей: какие поля вести (серийный номер, владелец, дата выдачи и возврата, основание передачи, причина списания) и как оформлять жизненный цикл устройства. Ведёт назначаемый сотрудник службы информационной безопасности или ИТ, журнал утверждает руководитель; при аудите сверяют записи с физическим наличием устройств, приказом о назначении ответственного и документами об увольнении.

Статус обязательный при применении аппаратных средств аутентификации в организации
Основание ч. 2 ст. 19 152-ФЗ, приказ ФСТЭК № 21
Публичность внутренний документ, доступ ограничен уполномоченным сотрудникам
Кто утверждает руководитель организации, утверждается приказом
Ответственный за ведение назначаемый сотрудник службы информационной безопасности или ИТ, указан в приказе
Область применения все аппаратные средства аутентификации, используемые для доступа к информационным системам и ИСПДн организации
Обновлено июль 2026

01 Назначение

Журнал учёта аппаратных средств аутентификации - назначение и правила ведения

Краткие указания по областям применения, содержанию записей, жизненному циклу устройств и ответственностям

Назначение журнала. Журнал предназначен для систематического учёта аппаратных средств аутентификации, контроля их выдачи и возврата, а также подтверждения факта присвоения и прекращения права доступа. Ведение журнала помогает подтвердить выполнение требований организации по управлению средствами аутентификации и обеспечивает следуемость событий при расследовании инцидентов.

Область применения и границы. Журнал применяется ко всем аппаратным средствам аутентификации, используемым для доступа к информационным системам и к ИСПДн организации. В журнал вносятся физические устройства и комплектующие, выполняющие функции аутентификации - смарт-карты, токены, USB-ключи, биометрические считыватели и сопутствующие переносные носители ключей.

Содержание записи и жизненный цикл записи. Каждая запись должна содержать идентифицирующие признаки устройства (серийный номер, модель), уникальный идентификатор ключа или сертификата при наличии, лицо получателя, подразделение, дату выдачи и предполагаемую дату возврата, а также примечание о состоянии устройства и причинах списания. Жизненный цикл записи включает выдачу, передачу между пользователями, возвращение, списание и инцидентное блокирование; изменения фиксируются с указанием ответственного и даты.

Роли, ответственность и порядок хранения. Руководитель организации утверждает порядок ведения и назначает ответственного за ведение журнала, обычно сотрудника службы информационной безопасности или ИТ. Ответственный обеспечивает актуальность записей, ограниченный доступ к журналу и периодические сверки соответствия фактического наличия устройств записям журнала. Хранение журнала организуют как в защищённом электронном носителе, так и в бумажном виде при необходимости, с регламентом доступа и архивирования.

Раскрыть полностью

02 Ответственность

Ответственность при массовой утечке данных, связанной с управлением средствами аутентификации

ч. 14 ст. 13.11 КоАП РФ - утечка данных более 100 000 субъектов

Юридическое лицо 10 000 000 - 15 000 000 ₽
Должностное лицо 400 000 - 600 000 ₽
Физическое лицо (гражданин) 300 000 - 400 000 ₽

Кратко: указанная норма применяется при установлении факта массовой утечки персональных данных. Недостатки в учёте аппаратных средств аутентификации - отсутствие журнала, несвоевременное списание, отсутствие привязки устройств к пользователям - повышают доказательную уязвимость организации и усугубляют ответственность организации и должностных лиц при проверке или расследовании. Типичные ошибки операторов: нефиксирование выдачи/возврата смарт-карт и токенов, отсутствие отметок о списании повреждённых устройств, разрозненные записи без привязки к учётной записи.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Внутренний реестр для фиксации выдачи, возврата и списания аппаратных средств аутентификации: токенов, смарт-карт, USB ключей и брелоков одноразовых паролей. Документ ведётся для контроля доступа к информационным системам и для выполнения требований по управлению средствами аутентификации.

Журнал учёта токенов
Журнал выдачи смарт-карт
Учёт USB ключей аутентификации
Журнал учёта средств двухфакторной аутентификации
Форма учёта брелоков одноразовых паролей
Журнал выдачи и возврата токенов
Инвентаризация средств аутентификации
Реестр аппаратных ключей доступа
Журнал учёта смарт-карт и токенов
Форма выдачи аппаратных ключей сотрудникам

04 Обязательное содержание

Чеклист содержимого журнала учёта аппаратных средств аутентификации

Короткий набор проверяемых элементов, которые должны быть в журнале, чтобы он соответствовал требованиям к учёту и управлению аппаратными средствами аутентификации в организации.

Утверждённая редакция и приказ об использовании В журнале указана дата утверждения и реквизиты приказа руководителя, которым введён порядок учёта; приказ доступен у ответственного лица и отражён в реестре локальных актов.
Назначенный ответственный за ведение журнала В журнале записано ФИО и должность сотрудника, ответственного за ведение и контроль записей, а также ссылка на приказ о назначении или распоряжение.
Обязательные поля записи для каждого средства Для каждого устройства должны быть заполнены: тип и модель, серийный номер или идентификатор, уникальный номер в учёте, владелец/пользователь, дата выдачи и приёма, место хранения и текущее состояние.
Регистрация операций с устройством Каждое событие - выдача, возврат, передача, ремонт, блокировка, утеря или списание - фиксируется с датой, подписью ответственного и кратким комментарием о причине изменения статуса.
Ограничение доступа и защита журнала Определён список лиц с правом просмотра и внесения записей, журнал хранится в защищённом помещении или в электронном реестре с учётом контроля доступа и журналирования действий.
Сверка фактического наличия и контроль целостности записей В документе описана процедура сверки записей с фактическим наличием устройств и порядок фиксации расхождений, а также лицо, ответственное за проведение сверок и документирование результатов.
Действия при утрате, компрометации или инциденте Описан порядок действий при утере или компрометации средства аутентификации, включая немедленную блокировку, документирование инцидента и передачу информации уполномоченным лицам для дальнейшего расследования и уведомления при необходимости.

05 Применимость

Кому и когда нужен журнал учёта аппаратных средств аутентификации

Коротко о сфере применения: журнал нужен организациям, использующим аппаратные средства аутентификации для доступа к информационным системам и к ИСПДн. Документ формализует выдачу, учёт и списание носителей аутентификации и ограничивает доступ к информации о них.

Обязательность ведения Журнал является обязательным при применении аппаратных средств аутентификации и служит средством документирования управления доступом и контроля за средствами аутентификации.
Кто утверждает и кто ведёт Утверждается приказом руководителя организации; ведение поручается назначаемому сотруднику службы информационной безопасности или ИТ; доступ к журналу ограничивается уполномоченным персоналом согласно приказу и локальным правилам.
Практические пользователи журнала Журнал необходим администраторам ИС, сотрудникам ИБ, ответственным за сопровождение средств аутентификации, а также аудиторам и проверяющим для подтверждения корректности учёта и выдачи средств.
Содержание и охват записей В журнале фиксируются идентификатор и тип устройства, серийный номер, владелец или пользователь, дата выдачи и возврата, основание выдачи, дата и причина списания, место хранения и примечания по инцидентам с конкретным устройством.
Когда журнал не применяется Журнал не применяется в организациях, где аппаратные средства аутентификации полностью отсутствуют и весь доступ организован только с использованием программных методов без физических ключей.
Связь с требованиями по инцидентам и рискам Ведение журнала упрощает установление фактов использования и кругов доступа при расследовании инцидентов и помогает подготовить внутренние и внешние уведомления, а также оценить возможные последствия нарушения защиты данных.

06 Нормативная база

Нормативная база для журнала учёта аппаратных средств аутентификации

ч. 2 ст. 19 152-ФЗ Устанавливает требование ограничения доступа и регистрации действий при обработке персональных данных; журнал служит реестром присвоения и учёта аппаратных средств аутентификации, позволяя фиксировать владельца, дату выдачи, идентификаторы устройства и историю выдач/возвратов для подтверждения контроля доступа.
ст. 19 152-ФЗ Предписывает организационные и технические меры защиты ПДн; журнал документирует применение мер управления средствами аутентификации, фиксирует их статус и изменения и служит доказательной базой при аудитах соответствия защищённости.
ПП РФ № 1119 Определяет уровни защищённости ИСПДн, от которых зависят требования к средствам аутентификации; журнал необходим для соотнесения конкретных аппаратных средств с требуемым уровнем и демонстрации соответствия при проверках.
приказ ФСТЭК № 21 Содержит конкретные требования по управлению средствами аутентификации: учёт, выдача, хранение, контроль и списание; журнал реализует эти требования как учётный механизм с записями об идентификаторах устройств, процедурах выдачи и условиях их использования.
ч. 3.1 ст. 21 152-ФЗ Устанавливает обязанность оперативного уведомления о нарушениях безопасности; корректно ведимый журнал ускоряет установление фактов использования аппаратных средств при инцидентах и поддерживает своевременное формирование уведомлений о нарушениях.
ч. 14 ст. 13.11 КоАП Определяет административную ответственность за массовые утечки персональных данных; полнота и достоверность записей в журнале служат одним из элементов доказательной базы, уменьшающей риски привлечения к санкциям и подтверждающей применение мер контроля.

08 Внедрение

Шаги внедрения журнала учёта аппаратных средств аутентификации

Короткий план от решения о заведении журнала до рабочего контура и первой проверки. Включены ответственные и конкретные выходные документы: приказ об утверждении, шаблон журнала, первичные записи, акты ввода и списания, комплект для проверяющего.

1. Принятие решения и утверждение журнала Подготовить проект приказа об утверждении Журнала учёта аппаратных средств аутентификации и назначении ответственного; на выходе сформирован подписанный Приказ об утверждении Журнала и приказ о назначении ответственного за ведение.
2. Разработка и утверждение шаблона журнала Разработать шаблон Журнала с обязательными полями: уникальный номер записи, тип и модель средства, серийный номер, дата выдачи, получатель (Ф. И. О., должность), основание выдачи, место хранения, статус, отметки о возврате и списании; на выходе - утвержденный файл шаблона журнала в электронном или бумажном виде.
3. Первичная инвентаризация и занесение данных Провести опись всех существующих аппаратных средств аутентификации, присвоить каждой позиции уникальный регистрационный номер и внести записи в Журнал; на выходе - заполненные записи по каждому средству и Акт ввода в эксплуатацию для переданных пользователям единиц.
4. Оперативное ведение записей и процедуры обращения Установить процесс действий при выдаче, возврате, временной передаче и списании средств: форма записи в Журнале при каждой операции, порядок оформления акта списания и отметки в карточке пользователя; на выходе - текущие записи в Журнале и оформленные акты списания по списанным средствам.
5. Контроль и подготовка к проверке Провести внутреннюю проверку соответствия фактического состояния записям в Журнале и подготовить комплект для внешней инспекции: приказ об утверждении Журнала, копия шаблона, выписки из Журнала с последними операциями, акты ввода и списания; на выходе - папка для проверяющего и отчет внутренней проверки.

09 Актуализация

Поводы для правки записей и переиздания журнала

Форма журнала обычно стабильна, но содержимое быстро устаревает при кадровых изменениях, инцидентах и при смене требований. Ниже - конкретные поводы, что именно фиксировать и какие оперативные действия требуются от ответственных.

Прекращение трудовых отношений или смена владельца устройства При увольнении, расторжении договора или переводе ответственность за устройство переходит, поэтому в день события в журнале должна появиться запись о возврате или об утрате, с указанием даты, подписи и ссылки на приказ. Если устройство не возвращено, в журнале фиксируется отзыв доступа и обстоятельства утраты, пустые графы недопустимы. внести запись о возврате или утрате, отозвать доступ в системах учёта
Компрометация, утрата или блокировка устройства Любая информация о потере, подозрении на компрометацию или блокировке по PIN фиксируется с точным временем сообщения, временем блокировки/отзыва и датой выдачи замены. Окно между сообщением и отзывом рассматривается как риск, требует расследования и, при признаках инцидента, оперативного реагирования. отметить сообщение и статус устройства, инициировать отзыв или замену, при инциденте - выполнить уведомление и протоколирование
Выдача для удалённого доступа или изменение прав доступа При предоставлении аппаратного фактора для удалённой работы или при изменении прав доступа запись о выдаче должна содержать основание выдачи, серию и серийный номер устройства, идентификатор учётной записи и дату. Это снижает риск несоответствия между учётом и реальным набором активных устройств. записать основание выдачи и реквизиты устройства, обновить привязку к учётной записи
Массовая замена моделей или обновление парка устройств При смене модели, окончании срока службы или переходе на другого поставщика старые серийные номера закрываются, новые регистрируются, а промежуточные состояния фиксируются: кто снял старое устройство, кто получил новое и когда. Без реестра закрытых серий возможны дубли и незамеченные активные ключи. подготовить реестр закрытых и новых серий, внести пакет записей и сопроводить приказом о замене
Инвентаризация учёта и изменение требований к защите Сверка журнала с фактическим наличием устройств должна фиксироваться датой и подписью ответственного; выявленные расхождения устраняются по протоколу. При изменении нормативных требований или уровня защищённости пересматривается форма журнала и издаётся новый приказ об утверждении. провести сверку, оформить протокол несоответствий, при необходимости обновить форму журнала и приказ

10 Проверка

Инспектор проверит

Документы и материалы, которые инспектор запросит при проверке ведения журнала учёта аппаратных средств аутентификации.

Вопрос 01 «Предъявите журнал учёта аппаратных средств аутентификации с актуальными записями.»
Вопрос 02 «Предъявите приказ об утверждении журнала и о назначении ответственного за ведение.»
Вопрос 03 «Предъявите записи об инвентаризации и сверке наличия аппаратных средств аутентификации.»
Вопрос 04 «Предъявите перечни сотрудников, допущенных к получению и использованию аппаратных средств аутентификации.»
Вопрос 05 «Предъявите регламент или инструкцию по учёту, хранению и обращению с аппаратными средствами аутентификации.»

Инспектор при проверке, может запросить:

журнал учёта аппаратных средств аутентификации с записями о приёме, выдаче и списании, серийными номерами и отметками ответственных
приказ об утверждении журнала и назначении ответственного, подписанный руководителем
акты инвентаризации или журнальные записи о сверке наличия устройств с указанием расхождений и принятых мер
перечни сотрудников, допущенных к получению и использованию аппаратных средств, с указанием должностей и оснований допуска
инструкция или регламент по учёту, хранению и обращению с аппаратными средствами аутентификации, включая порядок выдачи и возврата

11 Экспертная позиция

Управление риском аппаратных средств аутентификации

Неочевидный риск: аппаратные средства аутентификации - одновременно физический актив и элемент контроля доступа. Частые ошибки в учёте делают восстановление цепочки ответственности и отзыв прав долгим или невозможным, что повышает риск несанкционированного доступа. Практический приём - вести журнал как связку трёх сущностей: устройство (тип, модель, серийный номер), держатель (идентификатор сотрудника, дата и основание выдачи) и событие (выдача, передача, возврат, утеря, списание, блокировка). Обязательные поля, полезные при проверке и расследовании: дата операции, номер и дата приказа/акта, подписи ответственных, отметка о блокировке/аннулировании ключей. Типичные недочёты, на которые обратить внимание при внедрении: дублирование записей, отсутствие привязки к приказам, хранение PIN/резервных ключей вместе с устройством, отсутствие записей о списании. Для внутреннего контроля формализуйте процедуру передачи и блокировки устройств и фиксируйте акты инвентаризации; при проверке пригодны журнал с хронологией записей, приказы об утверждении и о назначении ответственного, акты выдачи и списания.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по журналу учёта аппаратных средств аутентификации

Да. При применении аппаратных средств аутентификации организация обязана вести учёт в рамках мер по защите информации и доступов, указанных в нормативных требованиях. Журнал помогает подтверждать контроль выдачи, возврата и списания устройств.

Заказать журнал учёта аппаратных средств аутентификации в комплекте локальных нормативных актов

Закажите готовый внутренний журнал для учёта токенов, смарт-карт и аппаратных ключей, обязательный при применении таких средств. В комплекте: шаблон журнала с ключевыми полями (серийный номер, владелец, дата выдачи и возврата, основание передачи, причина списания), образец приказа об утверждении, инструкция по ведению и распределению ответственности, форма записи выдачи/возврата, рекомендации по хранению и контролю доступа. Документ адаптируют под структуру вашей организации и включают в пакет локальных нормативных актов.

Заказать журнал в комплекте локальных актов