Удалить сертификаты из личного хранилища: что проверяют первым

Проверка начинается не с компьютера. Смотрят реестр выданных сертификатов. Затем список действующих ключей по уволенным сотрудникам. И только потом доходят до рабочих мест. Требование удалить сертификаты из личного хранилища закрывает последний шаг, а не первый. Ниже разобран порядок проверки и то, что ломается на каждом этапе. Во второй половине материала — процедура при увольнении и обучение сотрудников работе с ключами.

Первое: реестр выданных сертификатов

Смотрят, ведётся ли он вообще. В половине случаев учёт ключей живёт в таблице у одного администратора.

Дальше сверяют реестр со штатным расписанием. Расхождение показывает ключи, выданные людям, которых в компании уже нет.

Это и есть главный риск. Сертификат на компьютере — проблема локальная. Действующий сертификат у уволенного — проблема юридическая.

Третья сверка — по основаниям выдачи. На каждый ключ должно быть понятно, под какую задачу он выпускался и кто это согласовал.

Четвёртая — по срокам. Сертификат с истекающим сроком и сертификат, срок которого истёк, требуют разных действий, и в реестре это разные статусы.

Учёт подписей по сотрудникам ведётся в Добыто вместе с кадровой карточкой. Расхождение между реестром ключей и штатом видно без ручной сверки.

Второе: статус сертификата, а не его наличие

Очистка хранилища не отзывает сертификат. Ключ остаётся действующим до конца срока или до отзыва удостоверяющим центром.

Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» обязывает владельца не допускать использования ключа без своего согласия. Удаление файла с компьютера эту обязанность не закрывает.

Порядок обратный привычному. Сначала отзыв в удостоверяющем центре. Потом чистка рабочих мест. Иначе на руках остаётся действующий ключ без контроля.

Отозванный сертификат попадает в список отозванных. Проверяющая сторона сверяется с ним, а не с состоянием чужого компьютера.

Отсюда следует практическое правило. Документ, подписанный до отзыва, силу сохраняет. Подписанный после — нет.

Облачная неквалифицированная подпись выпускается внутри Добыто и не требует локального хранилища. Чистить после увольнения в этом сценарии нечего.

Третье: что лежит на рабочих местах

Проверяют личное хранилище текущего пользователя. Затем хранилище локального компьютера. Затем съёмные носители.

Частая находка — копии контейнеров на флешках и в сетевых папках. Чистка личного хранилища их не затрагивает.

Вторая находка — общие учётные записи. Сертификат установлен под общим профилем, и удалить сертификаты с компьютера по одному пользователю недостаточно.

Проверка идёт по списку профилей, а не по одному текущему. Администратор видит установленные сертификаты под каждой учётной записью.

Третья — рабочие места, с которых сотрудник подписывал удалённо. Домашний компьютер в периметр проверки не попадает вовсе.

Четвёртая находка — резервные копии профилей. Образ системы месячной давности содержит удалённый сертификат целиком.

Подписание с любого устройства без установки приложения снимает этот слой целиком. В Добыто ключ не копируется на рабочее место, поэтому периметр чистки ограничен самой системой.

Шестая строка проверяется последней, но отвечает на главный вопрос: использовался ли ключ после увольнения.

Порядок действий: как удалить сертификат с компьютера

1. Шаг 1. Отзовите сертификат в удостоверяющем центре. Это первый шаг, а не последний.

2. Шаг 2. Зафиксируйте дату и основание отзыва в реестре ключей компании.

3. Шаг 3. Проверьте, под какими учётными записями сертификат установлен на рабочем месте.

4. Шаг 4. Удалите сертификат из личного хранилища пользователя, затем из хранилища локального компьютера.

5. Шаг 5. Найдите и уничтожьте копии контейнеров на съёмных носителях и в сетевых папках.

6. Шаг 6. Снимите доступ к системам, где подпись применялась, и зафиксируйте это документально.

7. Шаг 7. Выгрузите журнал действий по этому ключу за период до увольнения и приложите к делу.

Четвёртое: процедура при увольнении

Отзыв ключа встраивается в обходной лист. Отдельной задачей он теряется в 1 случае из 3.

Ответственный назначается заранее. Без этого чистка делается по остаточному принципу, через недели после последнего рабочего дня.

Срок фиксируется в регламенте. День увольнения — не ориентир: ключ должен прекратить действие не позже этой даты.

Отдельно закрывается передача дел. Если подписант менялся, полномочия подтверждаются машиночитаемой доверенностью, а не устной договорённостью.

Подписание от имени работодателя сертификатом физического лица требует такой доверенности с 1 сентября 2023 года. Её срок сверяется с датой подписания, а не с датой проверки.

Отдельный случай — смена фамилии или паспорта. Прежний сертификат перестаёт действовать, и новый выпускается в Добыто автоматически, без паузы в документообороте.

Пятое: доказательная часть

Смотрят, чем подтверждается факт использования ключа. Без журнала доказать ничего нельзя.

Нужны три записи. Кто подписал. Что подписал. Когда, с отметкой времени и проверкой сертификата на момент подписания.

Без отметки времени спор упирается в слово против слова. Сертификат, действовавший в день подписания и отозванный через месяц, документ не обесценивает.

Протокол подписания и журнал событий пишутся в Добыто по каждому действию. При разборе спорной ситуации выгружается история, а не восстанавливается переписка.

Отдельно проверяют разграничение доступа. Работник должен видеть только свои документы, а роли кадровика и администратора — различаться по объёму прав.

Последний слой — журнал действий пользователей. Он отвечает не только на вопрос о подписании, но и о том, кто открывал документы.

Шестое: обучение сотрудников

Инструкция по работе с ключом живёт в регламенте, который никто не читал. Это находка почти каждой проверки.

Минимум из 4 тем закрывает основное: выпуск ключа, порядок подписания, действия при смене данных, порядок при увольнении.

Пятая тема добавляется там, где сотрудники подписывают с личных устройств. Правила работы вне офисного периметра описываются отдельно, иначе их трактуют по-своему.

Обучение назначается по роли, а не рассылается всем. Подписанты, администраторы и рядовые сотрудники получают разный объём.

Проверка усвоения идёт тестом, а не подписью в листе ознакомления. Лист подтверждает факт выдачи инструкции, но не её понимание.

Переобучение привязывается к событиям: смена регламента, обновление системы, изменение требований к подписи. Привязка к календарю здесь работает хуже.

Курс по работе с электронной подписью назначается автоматически по должности и подразделению, а прохождение фиксируется в Добыто вместе с остальными обязательными программами.

Чистка рабочего места — последний шаг процедуры, а не её суть: пока сертификат не отозван, удалённый файл ничего не меняет. Убрать локальные хранилища из схемы целиком позволяет облачная подпись, которая не копируется на компьютер: такой вариант закрывает система кадрового электронного документооборота с облачной подписью.