Вы думаете: «У нас есть КриптоПро — и всё ок»?
Нет.
СКЗИ — это не просто «программа для подписи».
Это юридический и технический рубеж, который определяет:
→ легальна ли ваша работа с ПДн
→ будет ли вас штрафовать ФСБ
→ выживет ли ваш бизнес после проверки
Вот как выбрать, внедрить и использовать СКЗИ — по закону, без ошибок и рисков.
Что такое СКЗИ?
СКЗИ — Средства криптографической защиты информации.
Это не «шифровалка», а комплексный механизм, который:
- Шифрует данные — чтобы никто не смог их прочитать
- Формирует электронную подпись — чтобы документ имел юридическую силу
- Защищает каналы передачи — от перехвата и подмены
- Фиксирует целостность — если файл изменили — система это заметит
Важно:
СКЗИ — это аппаратные, программные или комбинированные решения, обязательно сертифицированные ФСБ.
Без сертификата — это не СКЗИ. Это «программа для подписи».
А без сертификата — штраф до 100 000 ₽ (ч. 2 ст. 13.12 КоАП).
Какие законы регулируют СКЗИ в 2026 году?
Для правильного выбора и эксплуатации СКЗИ необходимо ориентироваться на действующее законодательство:
- Приказ ФСБ от 09.02.2005 № 66 (Положение ПКЗ-2005) — регламентирует весь цикл работы с криптографическими средствами, устанавливает требования к разработчикам и пользователям.
- ФЗ от 06.04.2011 № 63-ФЗ — определяет виды электронной подписи, легитимность их использования, работу удостоверяющих центров.
- ФЗ от 27.07.2006 № 149-ФЗ — регулирует обработку информации, условия защиты, права доступа и ответственность за нарушение.
- Приказ ФСБ от 10.07.2014 № 378 — устанавливает требования к организации защиты персональных данных в ИСПДН, описывает комплекс мер безопасности.
Соблюдение этих нормативно-правовых актов обеспечивает легитимность работы СКЗИ КриптоПро CSP и других средств, позволяет получить сертификат СКЗИ и избежать штрафов за нарушение информационной безопасности.
Для чего нужны СКЗИ? (5 ключевых функций)
1. Шифрование данных
→ Финансовые отчёты
→ Паспорта клиентов
→ Коммерческая тайна
→ Без шифрования — это открытый доступ
2. Электронная подпись
→ Юридическая сила документов
→ Сдача отчётов в ФНС, ПФР, Росстат
→ Без ЭЦП — вы не можете работать с госсистемами
3. Контроль доступа
→ Только авторизованные сотрудники
→ Журналы всех операций
→ Если ключ украден — вы несёте ответственность
4. Соответствие ФЗ-152
→ Для ИСПДн — СКЗИ обязателен
→ Без него — проверка Роскомнадзора гарантирована
5. Снижение рисков
→ Утечка? — данные зашифрованы
→ Подмена? — подпись не совпадает
→ СКЗИ — это не расход, а страховка
Использование сертифицированных СКЗИ формирует надежную основу для безопасной работы с данными и обеспечивает соблюдение национальных и международных стандартов информационной безопасности.
Кто обязан использовать СКЗИ?
- Операторы ПДн — любая компания, которая собирает ФИО, паспорт, телефон
- Банки и финорганизации — по требованию Банка России и ФСБ
- Госструктуры и подрядчики — по Постановлению Правительства №1119
- Компании с ЭДО — если сдаёте отчёты в электронном виде
- Организации с коммерческой тайной — даже если закон не требует — риски высоки
- Любой бизнес, который хочет избежать штрафов — это не опция, это норма 2026 года
Даже если закон не требует — вы обязаны использовать СКЗИ, если хотите работать без проверок и штрафов.
Виды СКЗИ
Для вашего удобства мы подготовили таблицу с основными видами криптографических средств защиты информации:
Примеры использования: как это работает на практике
1. Программные СКЗИ — КриптоПро CSP
→ Для бухгалтерии, отдела кадров, малого бизнеса
→ Подписывает счёт-фактуры, отчёты, договоры
→ Шифрует файлы для обмена с партнёрами
→ Без оборудования — дешево, но требует строгого контроля ключей
2. Программно-аппаратные СКЗИ — VipNet CSP
→ Для корпораций, крупных ИТ-компаний
→ Централизованное управление ключами
→ Журналы всех операций — для аудита
→ Идеально для работы с коммерческой тайной и ИСПДн
3. Аппаратные СКЗИ — JaCarta PKI, CryptoPro CryptoUSB
→ Для банков, госучреждений, критически важных систем
→ Ключи хранятся на защищённом устройстве — не скопировать, не украсть
→ Все операции — только через физическое устройство
→ Максимальная защита — обязательна для ФЗ-115 и Банка России
Выбор зависит не от цены, а от рисков: что вы защищаете — и что потеряете, если взломают.
Каждый из этих примеров показывает, что правильный выбор вида СКЗИ зависит от масштаба компании, характера данных и требований законодательства. Использование сертифицированных решений обеспечивает юридическую силу подписи, защиту информации и соблюдение норм ФСБ для СКЗИ.
Как выбрать СКЗИ: полезные советы
При выборе СКЗИ сделайте несколько шагов:
- Определите цели защиты информации: что конкретно вы хотите шифровать, какие данные обрабатываете, какие риски готовы принять.
- Проверьте наличие сертификата СКЗИ — ФСБ сертифицирует только проверенные средства. Использование несертифицированного ПО может привести к штрафам и штрафам.
- Выберите тип СКЗИ в зависимости от задач. Программные решения подходят для малых компаний, аппаратные — для госструктур и банков, комбинированные — для критически важных систем.
- Учтите масштаб компании и интеграцию. Убедитесь, что СКЗИ совместим с существующими информационными системами, поддерживает автоматизацию и управление ключами.
- Организуйте учет СКЗИ и ведение журнала. Фиксируйте операции с ключами, контролируйте использование средств криптографической защиты.
- Обеспечьте обучение сотрудников — без грамотного использования даже сертифицированный СКЗИ может стать уязвимостью.
- Следите за обновлениями и поддержкой — криптографические средства регулярно обновляются для соответствия новым стандартам и угрозам.
- Рассчитайте бюджет и сопоставьте с рисками — внедрение СКЗИ требует вложений, но они оправданы при защите конфиденциальной информации и соблюдении законодательства.
Выбор СКЗИ — это не только техническое решение, но и юридическая защита компании. Правильно подобранное средство позволяет обеспечить законную работу с ПДн и другой информацией, а главное — снизить вероятность киберинцидентов.