Журнал учёта СКЗИ

Средства криптографической защиты информации — программные или аппаратные решения, которые применяются для шифрования данных, формирования электронной подписи, защиты каналов передачи информации. В контексте обработки персональных данных СКЗИ используют, если организация выбрала криптографические методы как способ защиты данных при определении угроз и уровня защищённости информационной системы.

Не каждый оператор персональных данных обязан применять СКЗИ — использование криптографических средств зависит от модели угроз, установленного уровня защищённости и решения самого оператора о выбранных методах защиты. Но если СКЗИ применяются, требования в области криптографической защиты обязывают вести их поэкземплярный учёт.

Типичные примеры СКЗИ в небольшой организации — программа для формирования и проверки квалифицированной электронной подписи, средство организации защищённого VPN-соединения с удалённым офисом, модуль шифрования базы данных информационной системы.

Поэкземплярный учёт означает, что каждый физический или программный экземпляр средства криптографической защиты регистрируется отдельной записью — а не общей строкой «установлено СКЗИ на предприятии».

Журнал ведётся так, чтобы в любой момент можно было точно сказать, сколько экземпляров СКЗИ используется в организации, где именно и кто за них отвечает — это основа контроля за оборотом средств криптографической защиты внутри компании.

Ведение журнала поэкземплярного учёта СКЗИ обычно возлагается на сотрудника, отвечающего за информационную безопасность или за администрирование информационных систем, — эта функция технически ближе к нему, чем к общей организации обработки персональных данных.

Тем не менее ответственный за организацию обработки персональных данных, назначенный по ст. 22.1 закона 152-ФЗ, должен знать о факте использования СКЗИ в организации и иметь доступ к сведениям из журнала — поскольку выбор криптографических методов защиты входит в общую картину того, как организация обеспечивает безопасность персональных данных.

Назначение ответственного за учёт СКЗИ оформляется приказом руководителя, отдельно от приказа о назначении ответственного за обработку персональных данных, если эти роли исполняют разные сотрудники.

Экземпляры СКЗИ, а также ключевые носители и документация к ним, хранятся в условиях, исключающих доступ посторонних лиц, — как правило, в запираемых шкафах или сейфах, если речь о физических носителях, и с ограниченным кругом лиц, имеющих административный доступ, если речь о программных средствах.

Передача экземпляра СКЗИ другому сотруднику или подразделению фиксируется в журнале отдельной записью с указанием даты передачи и нового ответственного лица. Самовольная передача СКЗИ без отметки в журнале нарушает саму суть поэкземплярного учёта.

При выводе экземпляра из эксплуатации — истечение срока действия, замена на новую версию, увольнение ответственного сотрудника — в журнале фиксируется дата и основание, а сам экземпляр уничтожается или деактивируется способом, исключающим его дальнейшее использование посторонними лицами.

При проверке организации, применяющей СКЗИ для защиты персональных данных, журнал поэкземплярного учёта — один из первых документов, который может быть запрошен проверяющим органом, наряду с моделью угроз и документами о выбранном уровне защищённости информационной системы.

• Журнал не ведётся вовсе, хотя СКЗИ фактически используются.
• Записи не актуализируются при смене ответственных сотрудников.
• Экземпляры выведены из эксплуатации, но остаются в журнале как действующие.
• Нет чёткой связи между записью в журнале и физическим или программным носителем средства криптографической защиты.

Организации, которая только начинает применять криптографические методы защиты персональных данных, стоит завести журнал сразу при внедрении первого СКЗИ, а не откладывать до момента, когда экземпляров накопится много и восстановить историю задним числом станет сложно и трудозатратно.