Одним из самых частых вопросов‚ который возникает у специалистов по защите информации и бухгалтеров‚ — нужно ли вести поэкземплярный учёт средств криптографической защиты информации (СКЗИ)‚ если они числятся на балансе организации‚ но фактически не эксплуатируются. Ниже подробно разберёмся‚ что говорит законодательство‚ какие журналы необходимы и как правильно оформить учёт «запасных» или находящихся на длительном хранении модулей/ключей.
Что такое СКЗИ с точки зрения законодательства?
- СКЗИ отнесены к средствам‚ применяемым для защиты информации ограниченного доступа (ФЗ-152‚ ст. 10).
- В Приказе ФСТЭК № 239 (ред. 2023 г.) чётко указано: любые СКЗИ‚ прошедшие сертификацию и числящиеся на балансе‚ должны учитываться в системе управления информационной безопасностью (СУИБ).
- Важная деталь: в нормативных актах отсутствует деление на «используемые» и «хранимые». Объектом учёта выступает каждый сертифицированный экземпляр.
Какие журналы обязательны: перечень и форма
| Наименование журнала | Когда применяется | Особенности |
|---|---|---|
| Журнал учёта СКЗИ (универсальный) | Всегда‚ если на балансе есть хотя бы один экземпляр СКЗИ | Включает: инв. номер‚ наименование‚ номер сертификата‚ дату поступления‚ ФИО МОЛ‚ признак «в эксплуатации/на хранении». |
| Журнал движения ключей ЭЦП | Если используются внешние ключевые носители (токены‚ смарт-карты) | Номер ключа‚ дату активации‚ дату блокировки‚ примечание «архив». |
| Журнал технического обслуживания/поверки | При наличии аппаратных модулей (HSM‚ криптопровайдеры) | Сроки гос. поверки‚ сервисные работы‚ запасные блоки. |
Пошаговая инструкция: как внести «запасной» экземпляр в журнал учёта
- Шаг 1. Присвойте уникальный инвентарный номер даже единственному экземпляру‚ который пока не вводится в эксплуатацию.
- Шаг 2. В колонке «Место установки/хранения» укажите: «Склад № 3‚ сейф № 7».
- Шаг 3. В графе «Статус» проставьте «на хранении». При первом подключении к ИС, измените на «в эксплуатации».
- Шаг 4. Дополнительно заведите карточку К-СКЗИ-01 (внутренняя форма‚ рекомендованная ФСТЭК). Каждая карточка = 1 экземпляр.
Пример записи в журнале (фрагмент)
| № п/п | Инв. № | Наименование СКЗИ | Серийный № | № сертификата ФСТЭК | Дата поступления | МОЛ | Статус |
| 15 | SKZ-2024-15 | ViPNet Client 5.1 (ключ USB) | A5-18-7C-FF | № 4041 от | Иванов А.А. | на хранении |
Распространённые ошибки и как их избежать
- Ошибка: «Экземпляры на складе не учитывать‚ считать только те‚ что в рабочих станциях».
Риск: несоответствие требованиям ФСТЭК‚ проблемы при проверке. - Ошибка: использование одной строки для партии из 10 одинаковых токенов.
Правильно: 10 строк или дополнительная ведомость «Складской учёт СКЗИ».
В российской правоприменительной практике любые СКЗИ‚ числящиеся на балансе‚ независимо от факта эксплуатации‚ подлежат поэкземплярному учёту. Журнал необходимо вести непрерывно: от момента поступления до списания. Это минимизирует риски внеплановых проверок и штрафов.
Если у организации есть хотя бы один «запасной» ключ или модуль — заводите строку в журнале и карточку. Лишней документации не бывает.