Инструктаж пользователей СКЗИ: как провести, задокументировать и не получить предписание ФСБ

Инспектор ФСБ пришёл с плановой проверкой. Задал сотруднику простой вопрос: «Вы проходили инструктаж перед тем, как начали работать с КриптоПро?» Сотрудник пожал плечами — он получил токен от системного администратора и начал работать. Никакого журнала нет, никакой подписи нет. В акте проверки — предписание: пользователь допущен к СКЗИ без обучения, которого требует п. 21 Инструкции, утверждённой приказом ФАПСИ № 152. Отсутствие документов о допуске пользователей — одно из типичных замечаний при проверках учёта СКЗИ. В этой статье — как правильно организовать инструктаж, что включить в программу, как оформить журнал и что именно проверяет инспектор.

Зачем нужен инструктаж пользователей СКЗИ

Инструктаж пользователей СКЗИ — обязательное условие допуска к криптосредствам и неотъемлемая часть учёта СКЗИ в организации. Без него выдача СКЗИ сотруднику считается нарушением установленного порядка, даже если сотрудник технически грамотен и прекрасно умеет работать с КриптоПро или VipNet.

Нормативное основание — Инструкция, утверждённая приказом ФАПСИ от 13.06.2001 № 152 (действует, текст сверен по КонсультантПлюс 21.10.2026). Слова «инструктаж» в Инструкции нет — она говорит об обучении пользователей:

• Пункт 21: «Непосредственно к работе с СКЗИ пользователи допускаются только после соответствующего обучения. Обучение пользователей правилам работы с СКЗИ осуществляют сотрудники соответствующего органа криптографической защиты. Документом, подтверждающим должную специальную подготовку пользователей и возможность их допуска к самостоятельной работе с СКЗИ, является заключение, составленное комиссией соответствующего органа криптографической защиты на основании принятых от этих лиц зачетов по программе обучения».
• Пункт 7: орган криптографической защиты осуществляет в том числе «обучение лиц, использующих СКЗИ, правилам работы с ними».
• Пункт 20 перечисляет обязанности пользователей СКЗИ: не разглашать конфиденциальную информацию и сведения о криптоключах, сообщать в ОКЗИ о попытках получить сведения о СКЗИ, сдавать СКЗИ при увольнении, немедленно сообщать об утрате СКЗИ и ключевых документов. Эти обязанности — основа программы.

На практике это обучение называют инструктажем пользователей СКЗИ. Итог инструктажа — зачёт по программе, запись в журнале и заключение комиссии ОКЗИ о допуске к самостоятельной работе.

Инструктаж решает три задачи. Первая — убедиться, что сотрудник знает правила обращения с криптосредствами и ключевыми носителями. Вторая — зафиксировать этот факт документально, чтобы у организации был ответ при проверке. Третья — разграничить ответственность: сотрудник расписывается, что ознакомлен с требованиями и понимает последствия нарушений.

Связь с допуском к СКЗИ

Допуск к СКЗИ — это формально оформленное право сотрудника работать с конкретными криптосредствами. Без прохождения инструктажа допуск оформить нельзя. Цепочка выглядит так:

1. Руководитель подаёт заявку в ОКЗИ на допуск сотрудника.
2. ОКЗИ проводит инструктаж (обучение) по программе, принимает зачёт и фиксирует это в журнале.
3. Сотрудник расписывается в журнале и в расписке об ознакомлении, комиссия ОКЗИ составляет заключение о допуске (п. 21 Инструкции).
4. ОКЗИ вносит сотрудника в перечень лиц, допущенных к СКЗИ.
5. Только после этого СКЗИ выдаётся под роспись в журнале поэкземплярного учёта.

Нарушение этой последовательности — предписание. Нет подписи в журнале инструктажей — нет законного основания для выдачи СКЗИ.

Кто проводит инструктаж по СКЗИ

Инструктаж по работе с СКЗИ проводит ОКЗИ — орган криптографической защиты информации. Это структурное подразделение или отдельный сотрудник, созданный (назначенный) приказом руководителя организации для организации работы с СКЗИ.

Как создать ОКЗИ

ОКЗИ создаётся приказом руководителя. Приказ должен содержать:

• Наименование органа (ОКЗИ или «лицо, ответственное за эксплуатацию СКЗИ»).
• ФИО и должность руководителя ОКЗИ.
• Перечень основных функций (учёт, хранение, выдача, инструктаж, контроль).
• Ссылку на Приказ ФАПСИ №152 как нормативное основание.

В небольших организациях (до 20–30 пользователей СКЗИ) функции ОКЗИ часто выполняет один сотрудник — специалист ИБ или системный администратор с соответствующей квалификацией.

Требования к квалификации

Сотрудник ОКЗИ, проводящий инструктаж, должен:

• Знать Приказ ФАПСИ №152 и применимые приказы ФСБ.
• Иметь подготовку по вопросам криптографической защиты информации (курс по программе ФСБ или лицензированного учебного центра).
• Знать технические характеристики и правила эксплуатации СКЗИ, используемых в организации.

Требований к сертификату или удостоверению проводящего Инструкция не устанавливает: по п. 21 обучение проводят сотрудники органа криптографической защиты. Но при проверке инспектор может задать вопросы о квалификации проводящего.

Можно ли нанять внешнего специалиста

Да. Организация может привлечь внешнего специалиста (лицензиата ФСБ) для проведения инструктажей. Это распространено в небольших компаниях, где нет штатного специалиста нужной квалификации. Важно: договор с внешней организацией должен явно включать проведение инструктажей, а документальное оформление (журнал, подписи) — вестись в стандартном порядке. Ответственность за организацию инструктажей остаётся на самой организации.

📒 Инструктаж и допуск пользователей СКЗИ в учёте Журнал учёта пользователей, отметки об инструктаже и допуске, привязка к экземплярам СКЗИ — в модуле учёта СКЗИ. Шаблон технического журнала — ниже.

Виды инструктажа и периодичность

Инструкция ФАПСИ № 152 видов инструктажа не выделяет и периодичность не задаёт: она требует обучения до допуска (п. 21). Остальное организация закрепляет во внутреннем порядке работы с СКЗИ. На практике используют три вида.

Первичный инструктаж — ключевой. Проводится перед любой выдачей СКЗИ сотруднику, который ранее не работал с этими или аналогичными криптосредствами. Даже если сотрудник пришёл из другой организации и имеет опыт — он обязан пройти первичный инструктаж в вашей организации, поскольку в каждой организации свои регламенты и особенности конфигурации СКЗИ.

Повторный инструктаж освежает знания и фиксирует актуальность допуска. Частоту устанавливает организация, обычно — не реже одного раза в год. Некоторые организации проводят повторные инструктажи раз в полгода, особенно если используются СКЗИ класса КВ и выше.

Внеплановый инструктаж проводится без ожидания следующего планового цикла. Обязательные поводы: инцидент безопасности (компрометация ключей, несанкционированный доступ к носителям), выход нового нормативного документа, меняющего требования, существенное изменение состава используемых СКЗИ, перевод сотрудника на должность с другим набором СКЗИ.

Инструктаж по СКЗИ не заменяет общий инструктаж по информационной безопасности, который проходят все сотрудники при приёме на работу. Как его провести и вести журнал — в статье инструктаж по информационной безопасности для сотрудников, а курс для всего штата — на странице обучение сотрудников по ИБ.

Программа инструктажа СКЗИ: что должна включать

Структура программы инструктажа по СКЗИ

Программа инструктажа — официальный документ, утверждённый руководителем ОКЗИ. Он определяет темы, порядок изложения и ожидаемые результаты инструктажа. Без утверждённой программы инструктаж считается проведённым формально.

Стандартная программа инструктажа по СКЗИ включает 8 тем:

1. Нормативная база. Приказ ФАПСИ №152, ФЗ-149 «Об информации», применимые приказы ФСБ (№66, №378 для операторов ПДн). Цель — сотрудник понимает, что работа с СКЗИ регулируется законодательно, а не является внутренним регламентом.

2. Назначение и класс СКЗИ. Конкретные криптосредства, используемые в организации: КриптоПро CSP, VipNet Client, аппаратные токены. Класс СКЗИ (КС1, КС2, КС3, КВ, КА) и ограничения по применению. Цель — сотрудник знает, что именно он использует и для чего.

3. Порядок получения и сдачи СКЗИ. Как подать заявку, как происходит выдача под роспись, как оформляется возврат или сдача при увольнении. Цель — исключить самовольную передачу СКЗИ третьим лицам.

4. Правила работы с ключевыми носителями. Хранение токена (в сейфе или запирающемся ящике, не на рабочем столе), запрет на копирование ключевых контейнеров, правила PIN-кода (не записывать на бумаге рядом с токеном). Цель — предотвратить компрометацию ключей.

5. Запреты при работе с СКЗИ. Список конкретных запрещённых действий: несанкционированная установка СКЗИ, передача третьим лицам, работа на несертифицированном оборудовании, использование в личных целях. Цель — сотрудник знает, что именно нельзя делать.

6. Порядок действий при инцидентах. Что делать при утере токена, подозрении на компрометацию ключей, несанкционированном доступе к СКЗИ. Конкретные контакты ОКЗИ. Цель — инцидент не замалчивается и обрабатывается по установленной процедуре.

7. Правила хранения и уничтожения. Где хранить СКЗИ и документацию, как правильно уничтожить ключевые носители (физическое уничтожение), что делать при выводе СКЗИ из эксплуатации. Цель — жизненный цикл СКЗИ завершается корректно.

8. Ответственность за нарушения. Конкретные санкции: дисциплинарная ответственность по ТК РФ и административная ответственность должностных лиц и организации по ст. 13.12 КоАП РФ. Цель — сотрудник понимает реальные последствия, а не воспринимает инструктаж как формальность.

Пошаговый порядок допуска пользователя к СКЗИ

1. Заявка от руководителя подразделения. Непосредственный руководитель подаёт заявку в ОКЗИ: ФИО сотрудника, должность, перечень СКЗИ, к которым требуется допуск, обоснование (например, «работа в ГИС Учёт, требуется КриптоПро CSP»).

2. Проверка оснований. ОКЗИ проверяет: есть ли у сотрудника действующий трудовой договор, соответствует ли должность перечню лиц, которым разрешён доступ к данным СКЗИ, нет ли ограничений по допуску.

3. Проведение инструктажа. Сотрудник ОКЗИ проводит инструктаж по утверждённой программе. Форма — очная, индивидуальная или в малой группе (не более 5–7 человек для обеспечения усвоения). Дистанционный инструктаж допустим, но требует отдельного подтверждения прохождения.

4. Запись в журнале инструктажей. Вносится запись: дата, ФИО инструктируемого, должность, вид инструктажа, перечень рассмотренных СКЗИ, ФИО проводившего.

5. Подпись инструктируемого. Сотрудник расписывается в журнале инструктажей. Без этой подписи инструктаж не считается завершённым.

6. Оформление расписки. При первичном инструктаже оформляется расписка об ознакомлении с правилами работы с СКЗИ и ответственностью за нарушения. Расписка подшивается к личному делу сотрудника или хранится в деле ОКЗИ.

7. Внесение в перечень допущенных лиц. ОКЗИ вносит сотрудника в актуальный перечень лиц, допущенных к работе с СКЗИ. Перечень утверждается или обновляется руководителем организации.

8. Выдача СКЗИ под роспись. Только теперь СКЗИ выдаётся сотруднику под роспись в журнале поэкземплярного учёта СКЗИ. Дата выдачи не может быть раньше даты инструктажа.

По Инструкции № 152 к работе с СКЗИ допускают людей из перечня пользователей, который утверждает обладатель конфиденциальной информации (пункт 19), и только после обучения (пункт 21). Обучение пользователей СКЗИ подтверждает заключение комиссии органа криптографической защиты по итогам зачётов. В КиберОснове приказ о допуске и программа обучения собираются по шаблонам, а при выдаче экземпляра допуск проверяется на дату выдачи.

Смотреть с 6:02Люди и допуски

Покажем по видеосвязи, как журнал ведётся в системе

Записаться на показ

Подробнее: учёт СКЗИ в КиберОснова

Как документировать инструктаж: журнал и расписки

Журнал инструктажей по СКЗИ

Журнал инструктажей — основной рабочий документ, подтверждающий проведение инструктажей; документ о допуске по п. 21 Инструкции — заключение комиссии ОКЗИ. Форма журнала инструктажей Инструкцией ФАПСИ № 152 не установлена, но сложившаяся практика определяет обязательные реквизиты:

Расписка об ознакомлении

При первичном инструктаже оформляется отдельная расписка. Её текст содержит:

• Ссылку на нормативные документы, с которыми ознакомлен сотрудник (Приказ ФАПСИ №152, внутренняя инструкция по работе с СКЗИ).
• Перечень конкретных СКЗИ, к работе с которыми сотрудник получает допуск.
• Подтверждение, что сотрудник предупреждён об ответственности за нарушения.
• Дату, ФИО, подпись сотрудника.

Расписка хранится отдельно от журнала — в личном деле сотрудника или в папке ОКЗИ. При увольнении сотрудника расписка не уничтожается: она остаётся в архиве как подтверждение выполнения требований при допуске.

Связь с журналом учёта СКЗИ

Дата в журнале учёта СКЗИ (выдача конкретного экземпляра сотруднику) не может быть раньше даты инструктажа в журнале инструктажей. Инспектор ФСБ сверяет эти даты — расхождение означает, что СКЗИ было выдано до инструктажа, то есть порядок допуска нарушен.

Удобнее, когда даты инструктажа и выдачи хранятся в одной системе: расхождение видно до проверки, а не во время неё. Учёт экземпляров и выдачи СКЗИ ведёт модуль учёта СКЗИ платформы КиберОснова.

Сроки хранения

Срок хранения журнала инструктажей Инструкция ФАПСИ № 152 не устанавливает. Закрепите его в номенклатуре дел организации. Минимальный разумный ориентир — пока в журнале учёта СКЗИ числятся экземпляры, выданные по этим записям, и ещё несколько лет после: журнал инструктажей подтверждает, что допуск был после обучения.

Журнал прошивается, нумеруется и скрепляется печатью организации — по тем же правилам, что и журнал поэкземплярного учёта СКЗИ. Подробнее о прошивке — в статье «Журнал учёта СКЗИ: образец».

Типичные нарушения при проверке ФСБ

При проверках учёта СКЗИ инспектор ФСБ обязательно запрашивает журнал инструктажей и проверяет его по нескольким параметрам. Вот что чаще всего приводит к предписаниям:

Особое внимание инспектор обращает на сотрудников, которые уже не работают в организации. Если в журнале учёта СКЗИ числится выдача токена Ивану Петрову, а Иван Петров уволился полгода назад, инспектор проверит: есть ли запись об изъятии СКЗИ и есть ли запись о проведении инструктажа при допуске. Если журнал инструктажей не сохранился — доказать соблюдение требований невозможно.

Чек-лист самопроверки по инструктажам перед проверкой ФСБ

Используйте этот список до визита инспектора — лучше выявить расхождения самостоятельно:

• Журнал инструктажей существует и прошит, пронумерован, скреплён печатью.
• Для каждого действующего пользователя СКЗИ есть запись о первичном инструктаже.
• Дата инструктажа во всех случаях предшествует дате выдачи СКЗИ в журнале учёта.
• Все записи содержат подпись инструктируемого — без пустых строк в этой графе.
• Повторные инструктажи проводились не позднее чем через год после предыдущего.
• Для уволенных сотрудников есть записи об изъятии СКЗИ — без «висящих» выдач без возврата.
• Программа инструктажа утверждена и ссылается на актуальную редакцию нормативных документов.
• При изменении состава СКЗИ или инцидентах проводились внеплановые инструктажи с записью в журнале.
• Журнал хранится в защищённом месте (сейф или запирающийся шкаф в помещении ОКЗИ).

Этот чек-лист не заменяет полный внутренний аудит, но позволяет за 15 минут выявить критичные пробелы, которые гарантированно превращаются в предписания.

Шаблон программы инструктажа СКЗИ

Ниже — готовый шаблон программы первичного инструктажа пользователей СКЗИ. Адаптируйте под конкретные СКЗИ вашей организации и утвердите у руководителя ОКЗИ.

УТВЕРЖДАЮ Руководитель ОКЗИ _____________ / _____________ «» __________ 20

ПРОГРАММА первичного инструктажа пользователей СКЗИ

Тема 1. Нормативная база организации работы с СКЗИ (15 мин.)

Краткий обзор Приказа ФАПСИ №152 и его значение. Перечень применимых нормативных документов (ФЗ-149, Приказы ФСБ №66 и №378 для операторов ПДн). Внутренняя инструкция по работе с СКЗИ в организации. Ответственность за нарушение требований.

Тема 2. Используемые СКЗИ: назначение и класс (15 мин.)

Перечень СКЗИ, разрешённых к использованию в организации. Класс каждого СКЗИ (КС1/КС2/КС3) и связанные ограничения. Номера сертификатов ФСБ, сроки действия. Запрет на использование несертифицированных аналогов.

Тема 3. Получение и сдача СКЗИ. Допуск (10 мин.)

Порядок подачи заявки на получение СКЗИ. Правила выдачи под роспись в журнале учёта. Порядок возврата СКЗИ при смене должности, командировке или увольнении. Запрет на передачу СКЗИ другим лицам без оформления через ОКЗИ.

Тема 4. Работа с ключевыми носителями (20 мин.)

Правила хранения ключевого носителя (сейф или запирающийся ящик, только у владельца). Требования к PIN-коду: длина, уникальность, запрет записывать рядом с носителем. Запрет на копирование ключевых контейнеров. Действия при необходимости резервного копирования (только через ОКЗИ). Срок действия ключей и порядок плановой замены.

Тема 5. Запрещённые действия (10 мин.)

Список запретов с конкретными формулировками: несанкционированная установка СКЗИ на новые ПЭВМ, передача ключевых носителей третьим лицам, использование в личных целях, работа на несертифицированном или заражённом оборудовании, обсуждение ключевых данных по незащищённым каналам.

Тема 6. Действия при инцидентах (10 мин.)

Признаки компрометации ключей. Действия при утере или хищении ключевого носителя (немедленно сообщить в ОКЗИ, контакты). Порядок блокировки СКЗИ при подозрении на несанкционированный доступ. Запрет на самостоятельное восстановление без уведомления ОКЗИ.

Тема 7. Хранение и уничтожение СКЗИ (10 мин.)

Где хранятся СКЗИ и документация (помещение ОКЗИ, сейф). Порядок вывода из эксплуатации: изъятие, составление акта уничтожения, физическое уничтожение ключевых носителей. Запрет на выброс носителей без уничтожения.

Тема 8. Ответственность (5 мин.)

Конкретные санкции: дисциплинарная ответственность (замечание, выговор, увольнение). Административная ответственность по ст. 13.12 КоАП РФ: например, по ч. 6 (нарушение требований о защите информации) — штраф для должностных лиц от 10 000 до 50 000 ₽, для организации — от 50 000 до 100 000 ₽.

Итого: 95 минут. По окончании — проверка усвоения (устный опрос по темам 4–6), запись в журнале инструктажей, подпись инструктируемого.

Автоматизация учёта инструктажей и допуска

Ручное ведение журнала инструктажей в бумажном виде работает при небольшом числе пользователей СКЗИ. При парке от 50–100 пользователей начинаются системные проблемы: записи задерживаются, журнал теряют, даты не сверяют с журналом учёта.

Модуль учёта СКЗИ платформы КиберОснова решает эту задачу комплексно:

• Журнал в электронном виде: каждая запись защищена аудит-трейлом — изменить или удалить её задним числом невозможно без следа в логах.
• Перечень допущенных: автоматически обновляется при добавлении записи об инструктаже и при изъятии СКЗИ у сотрудника.
• Подготовка к проверке: выгрузка журнала инструктажей в форме, готовой к предъявлению инспектору, занимает несколько секунд.

Если хотите посмотреть, как это работает на практике, — запросите демо платформы КиберОснова. Покажем модуль учёта СКЗИ на реальных данных.

Для углублённого изучения нормативной базы — статья «Правила работы с СКЗИ по ФАПСИ №152» охватывает все требования Инструкции, включая организацию хранения и порядок уничтожения. Образец журнала поэкземплярного учёта с построчным примером заполнения — в статье «Журнал учёта СКЗИ». Требования к поэкземплярному учёту СКЗИ — в отдельном материале.