Безопасность данных в КЭДО проверяется по трём независимым контурам: правовому (кто оператор персональных данных, а кто обработчик по поручению), криптографическому (какие подписи выпускает система и где лежит закрытый ключ) и инфраструктурному (лицензии и сертификаты вендора, схема развёртывания, электронный архив). До договора имеет смысл запрашивать не презентацию, а документы: лицензии ФСТЭК России и ФСБ России, сертификат соответствия на конкретную версию продукта, поручение на обработку персональных данных по 152-ФЗ. Объём вашей собственной работы определяет схема поставки: в облаке вендора защитой инфраструктуры занимается он, при установке в ваш контур оценка соответствия требованиям 152-ФЗ ложится на вас.
Разберём, чем ПЭП, УНЭП и УКЭП отличаются по уровню защиты и по применимости к конкретным кадровым документам, что смотреть в файле подписи на пилоте и как посчитать уровень защищённости персональных данных до переговоров. Покажем требования, которые чаще всего попадают в техническое задание зря, и требования, без которых проект ломается на раскатке. Чек-лист проверки вендора по реестрам регуляторов, сценарная таблица по схемам развёртывания, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Три контура защиты в КЭДО и порядок их проверки
Правовой контур отвечает на вопрос, кто и на каком основании обрабатывает персональные данные работников. Криптографический определяет, какая подпись ставится под каким документом и кто физически владеет закрытым ключом. Инфраструктурный закрывает всё остальное: где развёрнута система, чем подтверждена её защищённость, как организованы доступы, журналы и хранение. Проверять их лучше в этом порядке: правовые ограничения снимают часть вариантов ещё до технического разбора.
Специалисты по информационной безопасности всё чаще приходят на первую встречу с вендором раньше бизнес-заказчика: сначала выясняют, закрывает ли система требования ИБ, и только после этого смотрят функциональность. Такая последовательность отсекает неподходящие платформы до того, как под них подстроили процессы.
Ниже — минимальный набор документов и записей, который проверяется по открытым реестрам. Ни один из пунктов не требует запроса в ведомство: всё сверяется самостоятельно по названию организации или ИНН.
| Что проверяем | Чем подтверждается | Где сверить самостоятельно |
|---|---|---|
| Право разрабатывать средства защиты информации | Лицензия ФСТЭК России на разработку и производство средств защиты конфиденциальной информации | Реестр лицензий на сайте ФСТЭК России |
| Право работать со средствами криптографической защиты | Лицензия ФСБ России в области шифровальных (криптографических) средств | Реестр лицензий ФСБ России |
| Соответствие продукта требованиям регулятора | Сертификат ФСТЭК России на конкретную версию продукта либо сертификат на процесс безопасной разработки | Государственный реестр сертифицированных средств защиты информации |
| Право выпускать УКЭП | Аккредитация удостоверяющего центра, через который выпускается подпись | Перечень аккредитованных удостоверяющих центров на сайте Минцифры России |
| Статус вендора как оператора персональных данных | Уведомление об обработке персональных данных, поданное в Роскомнадзор | Реестр операторов, осуществляющих обработку персональных данных, на сайте Роскомнадзора |
| Российское происхождение программного обеспечения | Запись в едином реестре российских программ для ЭВМ и баз данных | Единый реестр российского ПО |
Отсутствие любой строки не означает автоматического отказа: часть требований зависит от того, какие данные вы обрабатываете и какой уровень защищённости у вашей информационной системы. Но каждая незакрытая строка должна иметь письменное объяснение вендора, а не устный ответ на встрече.
ПЭП, УНЭП и УКЭП: разница, которая определяет защиту документа
ПЭП — это связка логина, пароля и разового кода, чаще всего из SMS. Она подтверждает, что у подписанта был доступ к учётной записи и к телефону, но не даёт криптографической гарантии того, что файл после подписания не изменился. Доступ может получить и посторонний человек, знающий эти данные.
УНЭП и УКЭП строятся на криптографическом преобразовании: программное обеспечение считает по документу уникальный отпечаток и связывает его с ключом подписанта. Любое изменение байта в файле ломает проверку. Отличие между ними лежит не в криптографии, а в порядке выпуска сертификата: сертификат УКЭП выдаёт аккредитованный удостоверяющий центр, УНЭП может быть выпущена внутри информационной системы работодателя или в приложении Госключ.
Запрос «тип подписки УКЭП» появляется из-за смешения двух разных вещей. По 63-ФЗ у электронной подписи есть вид: простая, усиленная неквалифицированная, усиленная квалифицированная. Тарифом определяется только стоимость обслуживания рабочих мест в сервисе. Вид подписи под конкретным кадровым документом задаёт статья 22.3 ТК РФ, а не прайс вендора.
| Вид подписи | Как подтверждается личность | Неизменность документа | Кем выпускается |
|---|---|---|---|
| ПЭП | Логин и пароль, код из SMS или push | Криптографически не подтверждается | Информационной системой, в которой заведён пользователь |
| УНЭП | Ключ подписи, привязанный к работнику при идентификации | Подтверждается криптографическим преобразованием | Системой работодателя либо приложением Госключ |
| УКЭП | Квалифицированный сертификат, выданный после очной или удалённой идентификации | Подтверждается криптографическим преобразованием | Аккредитованным удостоверяющим центром, для юридических лиц — УЦ ФНС России |
Со стороны работодателя УКЭП обязательна при заключении и изменении трудового договора, договора о материальной ответственности, ученического договора и договора на получение образования, при подписании приказа о применении дисциплинарного взыскания и уведомления об изменении определённых сторонами условий трудового договора. Для остальных документов работодатель вправе использовать УНЭП. Состав и форматы кадровых документов, которые ведутся без дублирования на бумаге, закреплены приказом Минтруда № 578н: основная часть документа готовится в формате PDF/A-1A. Требования и разъяснения по электронному кадровому документообороту собраны в разделе Минтруда об электронном документообороте в сфере трудовых отношений.
Внимание: ПЭП подтверждает доступ к учётной записи, а её владелец может оказаться не тем, кто указан в документе: связку логина, пароля и кода из SMS способен использовать любой, у кого есть эти данные. Для документов с длительным сроком хранения такая подпись создаёт вопросы к юридической значимости через несколько лет.
Тестовое подписание: что смотреть в файле подписи до договора
Презентация вендора не показывает главного — что именно окажется в вашем архиве через пять лет. Поэтому на пилоте запрашивается не скриншот статуса «подписано», а сам файл: документ и отделённая подпись в формате .sig либо документ с присоединённой подписью. Дальше проверяется четыре вещи: чей сертификат стоит под подписью, кто его издал, действовал ли он на момент подписания и есть ли метка доверенного времени.
Метка времени отвечает на вопрос, что произойдёт после истечения срока действия сертификата. Без неё через год-два проверка покажет, что сертификат недействителен, и подтвердить момент подписания будет нечем. Формат с меткой времени фиксируется в требованиях к системе заранее, а не после первой проверки Государственной инспекции труда.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Проверьте подпись из тестового контура прямо сейчас
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Загрузите документ и файл подписи, которые вам отдал вендор на демонстрации. Проверка покажет владельца сертификата, издателя, срок действия и целостность документа — этого достаточно, чтобы понять, годится ли результат подписания для архива на 50 лет.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
В Добыто мы отдаём на пилот тестовый контур с реальным выпуском подписи и подписанные файлы, чтобы служба информационной безопасности заказчика разобрала их до подписания договора, а не после раскатки.
Мария Ж, специалист по цифровой подписи и КЭДО: «ПЭП подтверждает доступ к учётной записи, а не неизменность файла: код из SMS может ввести и другой человек, знающий ваши данные. УНЭП и УКЭП строятся на криптографическом преобразовании и дают проверяемый отпечаток документа. Перед выбором системы посмотрите, какие виды подписи она выпускает работнику и какие использует работодатель по каждому типу документа.»
Лицензии, сертификаты и аттестация: где заканчивается ответственность вендора
Три документа с похожими названиями закрывают разные вопросы. Лицензия разрешает вид деятельности. Сертификат подтверждает соответствие требованиям, как правило, для всего продукта. Аттестат подтверждает соответствие одного экземпляра, то есть конкретной информационной системы, развёрнутой у конкретного оператора.
Деятельность в области информационной безопасности лицензируется двумя регуляторами. ФСТЭК России выдаёт лицензии на техническую защиту конфиденциальной информации (её получают те, кто оказывает услуги по защите информации и аттестует системы) и на разработку и производство средств защиты информации. ФСБ России лицензирует работу со средствами криптографической защиты. Любая информационная система, в которой реализована хотя бы одна функция безопасности, попадает во вторую категорию.
Факт: лицензия на разработку средств защиты информации требуется, если в системе реализована хотя бы одна функция безопасности — даже простая проверка пароля пользователя. Продавать такой продукт в России без лицензии нельзя.
Сертификат ФСТЭК России выдаётся на конкретную версию продукта. Порядок сертификации включает две испытательные лаборатории: первая готовит программу и методику испытаний, проводит их и оформляет документацию, вторая проверяет первую, после чего документы уходят регулятору, который проверяет обе лаборатории и заявителя. Возврат возможен на любом этапе. Сертификат на версию 4.2 не покрывает версию 4.3, которую вендор поставит через полгода.
У вендора уточняется, сертифицируется ли каждый релиз или он перешёл на сертификацию процессов разработки безопасного программного обеспечения. Второй вариант появился в системе сертификации ФСТЭК России позже и закрывает вопрос обновлений: проверяется не отдельный продукт, а производственный процесс, через который проходит любая версия. Первый вариант покрывает только текущую поставку.
Аттестация относится к вашей зоне ответственности как оператора информационной системы. Если вы обрабатываете персональные данные, оценка соответствия требованиям 152-ФЗ обязательна, но проводить её можно двумя способами. Самостоятельно — тогда результат оформляется актом оценки соответствия требованиям. С привлечением лицензиата ФСТЭК России — тогда процедура называется аттестацией и заканчивается либо замечаниями, либо аттестатом. Сертифицированные продукты точно нужны государственным организациям и тем, у кого по закону требуется высокий уровень защищённости.
Мария Ж, юрист со стажем более 20 лет: «Лицензия разрешает вид деятельности, сертификат подтверждает соответствие продукта, аттестат — соответствие конкретного экземпляра системы у вас. Отсутствие лицензии у разработчика создаёт риск остаться без поставщика: регулятор вправе прекратить деятельность организации или запретить использование продукта. Запросите реквизиты лицензий и сверьте их в реестрах регуляторов до подписания договора.»
Уровень защищённости персональных данных и роль сервиса как обработчика
Уровень защищённости выводится из четырёх параметров постановления Правительства РФ № 1119: категория обрабатываемых данных, тип актуальных угроз, число субъектов и признак того, свои это работники или посторонние лица. Конкретный состав организационных и технических мер под каждый уровень задаёт приказ ФСТЭК России № 21. Оценка эффективности принятых мер проводится не реже одного раза в три года — самостоятельно либо с привлечением организации с лицензией на техническую защиту конфиденциальной информации.
В КЭДО число субъектов считается не по штатной численности на сегодня. В системе оказываются кандидаты, которых не приняли, уволенные работники, чьи документы лежат в архиве десятилетиями, и работники дочерних юридических лиц, если контур общий. Расчёт на численность 800 человек при фактических 3000 записей в базе приводит к тому, что требования пересматриваются уже после запуска.
Второй правовой вопрос: кем выступает сервис. Если работник регистрируется сам и сам даёт согласие площадке, оператором в этой части становится сервис. Если работников заводит работодатель, в том числе массово через интеграцию с 1С, сервис обрабатывает данные по поручению, а согласие собирает работодатель как оператор. При массовой регистрации второй сценарий встречается почти всегда.
Мария Ж, судебный эксперт по трудовому праву: «Если работников в систему заводит работодатель, а не они сами, сервис обрабатывает данные по поручению, и согласие собирает оператор, то есть работодатель. При массовой регистрации через интеграцию это почти всегда так. Проверьте, что в договоре с вендором есть поручение на обработку с перечнем действий и требованиями к конфиденциальности.»
В практике Добыто эйчары и айтишники чаще всего спотыкаются именно на этой развилке: сценарий регистрации в договоре описан один, а на внедрении применяется другой, и согласия собираются не тем лицом. Разбор сценариев регистрации мы выносим на первую встречу вместе со службой информационной безопасности.
Отдельно проверяется локализация: базы данных с персональными данными граждан России должны находиться на территории Российской Федерации. Для облачной поставки это означает вопрос вендору о том, в каком дата-центре лежит база и есть ли зарубежные площадки в схеме резервного копирования. Сроки реагирования на инцидент тоже фиксируются в договоре: оператор уведомляет Роскомнадзор в течение 24 часов с момента обнаружения неправомерной передачи данных и в течение 72 часов сообщает результаты внутреннего расследования. Если инцидент произошёл на стороне обработчика, узнать о нём вы должны быстрее этих сроков.
Лайфхак: если у компании нет собственного подразделения информационной безопасности, привлеките лицензиата ФСТЭК России хотя бы для того, чтобы удостовериться, что аттестация вам не требуется. Взгляд со стороны выявляет недостатки, которые организация самостоятельно не видит, и подсказывает, как правильно оформить самостоятельную оценку соответствия.
Как проверить безопасность системы КЭДО перед подключением: 7 шагов
- Шаг 1. Посчитайте уровень защищённости своей информационной системы по постановлению № 1119: категория данных, тип угроз, число субъектов с учётом кандидатов и архива, статус субъектов.
- Шаг 2. Запросите у вендора реквизиты лицензий ФСТЭК России и ФСБ России и сертификата соответствия с указанием версии продукта. Сверьте их в реестрах регуляторов.
- Шаг 3. Определите, кто оператор, а кто обработчик по каждому сценарию регистрации работника, и потребуйте включить поручение на обработку персональных данных в договор.
- Шаг 4. Уточните место размещения базы данных и площадки резервного копирования, включая контур для тестовой среды.
- Шаг 5. Проведите тестовое подписание в демо-контуре и проверьте полученный файл подписи: сертификат, издателя, срок действия, метку доверенного времени, формат основной части документа.
- Шаг 6. Разберите модель ролей и прав: кто видит документы каких подразделений, кто выгружает архив, что пишется в журналы событий и как долго они хранятся.
- Шаг 7. Зафиксируйте в договоре сроки уведомления об инцидентах, порядок передачи архива при расторжении и результаты нагрузочного тестирования, на которые опирается вендор.
Локальные акты и шаблоны для запуска КЭДО с корректной обвязкой
Комплект закрывает правовой контур перехода; начните с Положения о ведении КЭДО — оно задаёт рамку, на которую ссылаются остальные документы.
| Документ | Скачать |
|---|---|
| Положение о ведении КЭДО | Скачать |
| Приказ об ответственном за КЭДО и делегировании подписи | Скачать |
| Матрица прав и ролей КЭДО в 1С:ЗУП | Скачать |
| Соглашение об использовании ПЭП и УНЭП | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
Облако, локальный контур или гибрид: где меняется зона ответственности
При облачной поставке инфраструктура, резервные копии и защита периметра остаются на вендоре, а вы отвечаете за учётные записи, права доступа и правовую обвязку. При установке в свой контур вы получаете полный контроль и полный объём обязанностей: средства защиты, журналы, резервное копирование, оценку соответствия. Гибрид разделяет эти зоны по типам данных или по подразделениям, и границу нужно прописать в договоре, иначе при инциденте она будет обсуждаться задним числом.
Запросов на локальное развёртывание у среднего и крупного бизнеса стало больше, и причина как раз в информационной безопасности. Облака, отвечающие усиленным требованиям, стоят дороже обычных, поэтому разница в цене между облаком и содержанием собственной инфраструктуры сократилась. У части заказчиков переход идёт в обратную сторону — с облачной инфраструктуры на локальную.
Для государственных органов выбор жёстче и одновременно проще: меры безопасности регламентированы, облака допускаются только государственные, а типовые решения уже отработаны на других информационных системах. Ресурсы на выбор тратить не нужно, достаточно применить готовые требования.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| До 100 работников, своей службы ИБ нет | Поручение на обработку в договоре, локализация базы, состав электронных подписей в тарифе, скорость запуска | Выделенный сервер, аттестация, кастомные интеграции |
| 500-3000 работников, есть ИБ и учёт в 1С | Модель ролей и прав, журналы событий, интеграция с 1С без задвоения документов, поведение под нагрузкой | Интеграция с мессенджерами, возврат подписанных документов в учётную систему |
| Крупный распределённый бизнес с повышенными требованиями к защите | Локальная поставка, сертифицированные средства защиты, результаты нагрузочного тестирования, SLA | Быстрый старт из коробки, готовые шаблоны без настройки |
| Государственный орган и подведомственные организации | Сертифицированные продукты, государственное облако либо собственный контур, типовые решения регулятора | Коммерческие облачные тарифы, гибкость выбора площадки |
Важный нюанс из практики: подписание кадровых документов простой электронной подписью на портале «Работа в России» попадает в техническое задание регулярно, хотя обязанности использовать портал нет. Это отдельный интерфейс без мобильного приложения, дополнительная точка интеграции и дополнительная авторизация для работника. При перебоях на стороне портала подписание останавливается на всю компанию.
Когда усиленные требования к развёртыванию избыточны
Локальная установка не нужна компании, которая обрабатывает обычные кадровые данные своих работников, не относится к государственному сектору и не имеет отраслевых требований к сертифицированным средствам защиты. Стоимость владения складывается из серверов, лицензий на средства защиты, резервного копирования и людей, которые всё это сопровождают, а выигрыш по защищённости в таком сценарии не появляется.
Отдельная история — требование вернуть подписанные документы обратно в учётную систему. Оно приводит к полному задвоению базы и росту нагрузки на 1С, при этом дальнейшая судьба такого документа неочевидна: процедуры переподписания и архивного хранения учётные системы не выполняют. Открытие документа из учётной системы по ссылке решает ту же задачу для кадрового специалиста.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Подпись, ключ которой находится в непосредственном владении человека — на телефоне или на токене, — в споре доказывается проще. Облачный ключ лежит на защищённом сервере удостоверяющего центра, обращение к нему идёт по внешнему каналу, и специалисты по безопасности отдельно оценивают риск перехвата SMS. Исход зависит от конкретных обстоятельств, поэтому зафиксируйте порядок проверки подписи в соглашении с работником.»
Электронный архив: 50 лет, переподписание и миграция форматов
Кадровые документы живут дольше, чем сертификаты подписи и чем форматы файлов. Приказы по личному составу и трудовые договоры хранятся 50 или 75 лет, графики отпусков и табели — 5 лет, штатные расписания и локальные нормативные акты — постоянно. В электронном виде сроки те же самые: перевод в КЭДО их не сокращает.
Требования к системам электронного документооборота и системам хранения электронных документов закреплены приказом Росархива от 15 июня 2020 года. ГОСТ Р 57762-2017 задаёт стратегию долговременной сохранности и перечисляет её элементы: читаемость, интерпретируемость, идентифицируемость, доступность, аутентичность, конвертация, миграция, безопасность. По этому перечню и стоит опрашивать вендора: что происходит с документом при смене формата, кто и как выполняет переподписание, как система подтверждает аутентичность файла спустя годы.
Кейс из практики: у части компаний бумажные оригиналы лежат на отдельных этажах или в ангарах в нескольких километрах от офиса, и на поиск одного документа уходит рабочий день с выездом в архив. После перевода в электронный архив тот же документ находится за две минуты по типу, работнику и дате.
Отдельный пункт договора — что происходит с архивом при расторжении. В лицензионных договорах обычно предусматривается сохранение доступа к архивной версии; проверьте, в каком виде отдаются данные, в каком формате выгружаются подписи и кто оплачивает выгрузку. Скачивание полного архива вместе с файлами подписи в формате .sig должно быть штатной функцией, а не разовой услугой.
Нагрузка, доступность и цена ошибки при выборе
Требование к работе под нагрузкой почти не попадает в технические задания, хотя именно на нём проект останавливается. Момент пиковой нагрузки в КЭДО предсказуем: локальный нормативный акт уходит на ознакомление всему штату, и в систему одновременно приходят тысячи человек. Архитектура платформы либо рассчитана на это, либо нет, и выяснять это после настройки дорого.
Важный нюанс из практики: сценарий повторяется у заказчиков, которые не проверяли нагрузку заранее. Систему настроили, протестировали на небольшой группе, всё работало. После подключения десятка тысяч сотрудников она перестала отвечать, началось масштабирование, а на уровне платформы для него ничего не было заложено. Время на настройку было потрачено впустую.
Полезно знать: установка готового коннектора к 1С занимает около часа и не требует вашей команды разработки. Интеграция через API занимает от 2 дней до 2 месяцев и зависит от квалификации вашей команды — этот срок закладывается в план проекта на этапе выбора, а не после подписания договора.
Цена ошибки при выборе системы считается не по стоимости лицензий. Если через год выясняется, что платформа не держит нагрузку или не даёт нужный формат подписи, вы платите второй раз за внедрение, повторно собираете согласия работников, переносите архив и заново обучаете линейный персонал. Если ошибка касается защиты персональных данных, к этому добавляются последствия по статье 13.11 КоАП РФ: с 30 мая 2025 года за утечку установлены отдельные составы с фиксированными суммами для юридических лиц, за неуведомление Роскомнадзора в течение 24 часов — от 1 до 3 млн рублей, а за повторную утечку предусмотрен оборотный штраф от 1 до 3 процентов годовой выручки.
Требования, которые чаще всего оказываются лишними, — интеграция с мессенджерами для уведомлений. Универсального мессенджера, которым пользуются все 100 процентов работников, нет, поддержка каждого требует трудозатрат, а любой из них может быть заблокирован одномоментно вместе с завязанными на него процессами. Push-уведомления в мобильном приложении и SMS доходят до кнопочного телефона без интернета.
В практике Добыто мы закладываем пилотную группу перед раскаткой на всю компанию: она снимает основную часть ошибок настройки маршрутов и прав до того, как в систему заходит весь штат.
Мария Ж, HR-эксперт с 13-летним стажем: «Требование про работу под нагрузкой почти не попадает в технические задания, а проект ломается именно на нём: локальный акт уходит на ознакомление, и в систему одновременно приходят тысячи человек. Запросите у вендора результаты нагрузочного тестирования и сценарий масштабирования до пилота — после настройки менять платформу дороже, чем выбрать её правильно с первого раза.»
Стоимость подключения КЭДО и что входит в тарифы
Итоговая сумма зависит от численности подключаемых работников, набора видов электронной подписи и схемы развёртывания: выделенный сервер, SLA и кастомные интеграции считаются отдельно от массового тарифа.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата на тарифе «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф на всех тарифах | рассчитывается индивидуально |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
| API и кастомные интеграции | по запросу | рассчитывается индивидуально |
Электронные подписи ПЭП и УНЭП для работников выпускаются бесплатно на всех тарифах, поэтому в бюджет закладывается только стоимость рабочих мест и, при необходимости, УКЭП для подписантов со стороны работодателя. Актуальный состав тарифов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО: при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных, а перечень функций по каждому тарифу отличается набором видов подписи, доступностью интеграции с 1С и электронного архива.
Выводы
Проверка системы КЭДО до договора распадается на три части: правовую, где определяется роль сервиса и уровень защищённости ваших данных, криптографическую, где разбираются виды подписи и место хранения ключа, и инфраструктурную, где сверяются лицензии, сертификаты и схема развёртывания. Большинство пунктов проверяется самостоятельно по открытым реестрам ФСТЭК России, Минцифры и Роскомнадзора, а результат тестового подписания можно разобрать за один вечер. Требования к нагрузке, формату подписи и порядку передачи архива стоят дешевле всего именно на этапе выбора.
Мы в Добыто отдаём заказчику тестовый контур с реальным выпуском подписи и разбираем с его службой информационной безопасности состав файлов до подписания договора, а пилотную группу запускаем раньше раскатки на весь штат. Такой порядок закрывает большую часть вопросов, которые иначе всплывают через год после внедрения.
Частые вопросы
Нужен ли аттестат соответствия, если КЭДО работает в облаке вендора
Аттестация относится к оператору информационной системы, то есть к вам, а не к вендору. Оценка соответствия требованиям 152-ФЗ обязательна в любом случае, но при облачной поставке предмет оценки сужается: ваша часть — учётные записи, права доступа, организационные меры и договорная обвязка. Провести оценку можно самостоятельно с оформлением акта либо привлечь лицензиата ФСТЭК России, который выдаст аттестат или замечания. Государственным организациям и операторам с высоким уровнем защищённости сертифицированные продукты требуются в обязательном порядке.
Обязательно ли соглашение с работником об использовании УНЭП
Если применяется УКЭП, отдельного соглашения о признании подписи по 63-ФЗ формально не требуется: квалифицированная подпись признаётся равнозначной собственноручной по умолчанию. Для ПЭП и УНЭП соглашение нужно, и в нём обязательно описывается порядок проверки такой подписи. Когда использование неквалифицированной подписи прямо предусмотрено федеральным законом, часть юристов считает отдельное соглашение необязательным, но на практике порядок проверки всё равно фиксируют — в локальном нормативном акте либо в соглашении.
Что происходит с электронным архивом при расторжении договора с вендором
Как правило, в лицензионном договоре предусматривается сохранение доступа к архивной версии и после расторжения. Сроки хранения кадровых документов при этом не меняются: 50 или 75 лет для приказов по личному составу и трудовых договоров, 5 лет для табелей и графиков отпусков, постоянно для штатных расписаний и локальных актов. Проверьте до подписания, в каком формате выгружаются документы вместе с файлами подписи и оплачивается ли выгрузка отдельно.
Кто отвечает за компрометацию ключа при облачной подписи
Зона ответственности зависит от того, где физически находится закрытая часть ключа. При хранении на устройстве работника или на аппаратном токене ключ находится в его непосредственном владении, и доказывать авторство проще. При облачном хранении ключ лежит на защищённом сервере удостоверяющего центра, а обращение к нему идёт по внешнему каналу, поэтому в договоре разграничиваются обязанности удостоверяющего центра, оператора системы и работника, а также порядок блокировки ключа при подозрении на компрометацию.
Как проверить, что база с персональными данными работников размещена в России
Запросите у вендора письменное указание дата-центров, где размещены продуктивная база, резервные копии и тестовые среды. Отдельно уточните, не используются ли зарубежные площадки для мониторинга, логирования и рассылки уведомлений: персональные данные попадают туда вместе с техническими журналами. Условие о территории размещения и запрете переноса без вашего согласия включается в договор поручения на обработку.
Можно ли обойтись без сертифицированных средств защиты в коммерческой компании
Необходимость сертифицированного продукта определяется набором нормативных документов, которые распространяются на конкретную организацию и конкретную информационную систему. Универсального ответа нет: анализируется категория данных, тип актуальных угроз, число субъектов и статус организации. Государственным организациям и тем, у кого по закону требуется высокий уровень защищённости, сертифицированные продукты нужны точно. Остальным разумнее заказать обследование у лицензиата ФСТЭК России, чтобы получить письменный вывод, а не ориентироваться на общие рекомендации.
