Токен со встроенным СКЗИ или без - Форум по вопросам информационной безопасности

Возможно немного странный вопрос, но тем не менее. Подскажите, пожалуйста, какие токены для подписей выбрать для нужд организации с встроенными СКЗИ или без? Плюсы - минусы.
Может быть у кого-то вставал подобный вопрос.
Основной минус встроенного в токен СКЗИ для себя вижу в невозможности проконтролировать его перемещение. Сотрудникам иногда требуется работа с подписью удаленно. Но вроде мелочь, а вот если за границу решит съездить и взять токен с собой. Все отпуска и выезды не проконтролируешь. СКЗИ вывозить если не ошибаюсь запрещено.
Из плюсов, это уйти от установки СКЗИ на рабочие места.
И в плане выдачи и учета видится удобнее. Не надо два журнала вести на ключевые документы и на СКЗИ. Выдал разом, записал в один журнал и забыл.

Возможно мои рассуждение и не во всем верны. Может кто-нибудь свои мысли озвучить по данному вопросу? Спасибо!

to Петр
Если под "встроенными СКЗИ" понимается аппаратная реализация отечественных алгоритмов шифрования + память для хранения ключей/сертификатов, то...
С журналами спорно. imho, чтобы журнал реально работал, а не в сейфе лежал, корректнее учитывать и сам аппаратный токен (по его зав.номеру), и реквизиты закрытого ключа шифрования, в его памяти размещенного. Потому что это две разные сущности, не всегда совпадающие по времени и сроку регистрации и эксплуатации...
В загранку нечего с ключевой информацией и ее носителями выезжать, если уж эта ключевка так важна для деятельности организации (да и вообще за пределы КЗ порочная практика) - дали защищенный (иными средствами, ага) доступ к инфраструктуре согласно принятой Модели угроз/нарушителя и нехай в ее среде все нужное обрабатывает с использованием СКЗИ и ключевки, размещенной под контролем организации...
Вообще личные УКЭП на любых поддерживаемых носителях по умолчанию не зависят от КЗ организации. И при выезде в те же страны ЕЭС ничем особо не облагаются. А для всего остального есть, как говорится, оценка рисков...

ЗЫ Главное, что ни одно "встроенное СКЗИ" в вашем случае не является полной панацеей по сопутствующему софту: остаются проблемы и управляющего софта, и драйверного софта, и софта для корректного функционирования с необходимым смежным софтом и инфосистемами, а также ограничения корректности встраивания и эксплуатации...
Но, опять-таки imho, аппаратная реализация всегда лучше программной. Как минимум в части уменьшения поверхности атаки и случайных ошибок эксплуатации...

2 oko большое спасибо!