Матрица доступа к ИСПДн: что проверяют, требования и штрафы

Статус обязательный при обработке персональных данных в ИСПДн
Основание ст. 19 152-ФЗ; приказ ФСТЭК № 21; ПП РФ № 1119
Публичность внутренний
Кто утверждает руководитель организации приказом
Ответственный за ведение ответственный за организацию обработки персональных данных
Область применения все учётные записи пользователей ИСПДн и управляемые ими привилегии
Обновлено июль 2026

01 Назначение

Матрица доступа пользователей к ИСПДн - назначение и правила применения

Краткие инструкции для ответственного за организацию обработки персональных данных

Назначение документа. Матрица фиксирует правила предоставления, изменения и отзыва прав доступа в информационной системе, обязывает документировать основания и ответственных. Цель - обеспечить принцип минимально необходимого доступа и прослеживаемость решений при работе с персональными данными.

Область применения и нормативные основания. Охватывает все пользовательские, сервисные и административные учётные записи ИСПДн и управляемые ими привилегии. Документ является обязательным при обработке персональных данных и устанавливает соответствие требованиям по уровням защищённости и базовому набору мер.

Структура матрицы и ключевые поля. Рекомендуемая структура: роль или должность, ресурс/подсистема, точный набор привилегий, основание доступа, срок действия, лицо-инициатор и ответственный за назначение, требование к учёту действий. Обязательно указывать обоснование выдачи привилегии и условие её прекращения.

Роли и ответственность. Утверждает матрицу руководитель организации приказом, ведёт и актуализирует ответственный за организацию обработки персональных данных. Назначение прав выполняют ответственные подразделений по установленной процедуре, при необходимости оформляется отдельное обоснование для привилегий повышенного уровня.

Триггеры для пересмотра и реакция при инцидентах. Пересмотр матрицы проводят при изменении функций сотрудника, вводе новых информационных сервисов, увольнении или переводе, а также по результатам инцидента. В случае инцидента по персональным данным должна быть выполнена процедура уведомления и реагирования в установленные законом сроки.

Внедрение и типичные ошибки. При внедрении проверяйте соответствие учётных записей матрице, документируйте обоснования для высоких привилегий и задавайте срок действия привилегий. Частые ошибки - избыточные права, отсутствие срока действия, незадокументированные сервисные аккаунты и отсутствие учёта привилегированных действий.

Раскрыть полностью

02 Ответственность

Ответственность при массовой утечке ПДн (риск при слабой матрице доступа)

ч. 12 ст. 13.11 КоАП РФ - утечка данных 1 000 - 10 000 субъектов

Юридическое лицо - оператор обработки 3 000 000 - 5 000 000 ₽
Должностное лицо, ответственное за организацию обработки 200 000 - 400 000 ₽
Физическое лицо (гражданин) 100 000 - 200 000 ₽

Практическая зона риска: неполная матрица доступа или отсутствие учёта привилегированных учётных записей приводит к скрытым избыточным правам и повышает вероятность массовой утечки. Типичная ошибка оператора - не фиксировать изменения привилегий и не подтверждать объём затронутых субъектов при инциденте; это затрудняет оценку применимых санкций и подготовку доказательной базы.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие варианты названия помогают искать и соотносить документ с практическими документами: приказом об утверждении, реестром учетных записей и ролью в ИСПДн.

Матрица доступа к ИСПДн
Матрица прав доступа пользователей
Таблица разграничения прав доступа
Ролевая модель доступа к персональным данным
Матрица полномочий пользователей информационной системы
Схема разграничения доступа к ИСПДн
Ролевая матрица доступа
Перечень прав доступа пользователей

04 Обязательное содержание

Что должно быть в матрице доступа

Чеклист для внутренней проверки полноты и пригодности матрицы доступа в ИСПДн. Ориентирован на подготовку приказа руководителя и проверку соответствия требованиям защиты персональных данных.

Утверждённая редакция матрицы Наличие приказа руководителя с датой утверждения и номером; версия матрицы зарегистрирована во внутреннем реестре и доступна ответственному за ведение.
Перечень ролей и соответствующих привилегий Полный список ролей пользователей, перечень операций и ограничений для каждой роли, обоснование необходимости прав в контексте обработки персональных данных.
Привязка ролей к учётным записям и средствам аутентификации Описание связки роли с типом учётной записи, используемой схемой аутентификации и правилами управления учётными данными для каждого класса доступа.
Процедура выдачи, изменения и отзыва доступов Определённый порядок действий при назначении, изменении и отзыве прав, включая ответственное подразделение, согласования и запись решения в реестре доступа.
Принцип минимально необходимого доступа Правила и критерии определения минимально необходимого набора прав для задач пользователя, включая ограничения на выгрузки и массовый экспорт данных.
Журналирование изменений и контроль доступа Техническая и процедурная фиксация выдачи, изменения и удаления прав, сохранение логов для расследования инцидентов и подготовки уведомлений при утечке.
Соответствие уровням защищённости ИСПДн Отметка о применимом уровне защищённости ИСПДн и о том, какие меры и настройки матрицы требуются для соответствия этому уровню.

05 Применимость

Кому нужна матрица доступа и когда

Краткое руководство о том, кому и когда нужна матрица доступа в ИСПДн, какие объекты она должна покрывать и с какими документами связывается. Документ внутренний, ведётся ответственным за организацию обработки персональных данных и утверждается приказом руководителя.

Кому документ нужен Организациям и подразделениям, которые осуществляют обработку персональных данных в ИСПДн: администраторы систем, владельцы приложений, службы ИТ и службы безопасности. Документ обязателен для учётных записей пользователей и привилегированных учётных записей, за его ведение отвечает назначенный ответственный.
Когда документ обязателен Матрица обязательна при обработке персональных данных в ИСПДн, поскольку часть организационных и технических мер защиты должна документироваться; особенно актуальна при вводе системы в эксплуатацию и при изменении состава ролей или прав доступа.
Когда документ желателен, но может быть упрощён Для небольших подразделений или сервисов с минимальным набором прав матрица может быть сокращённой по объёму при сохранении привязки ролей к учётным записям и средствам учёта доступа. Решение об упрощении принимает ответственный за обработку с обоснованием.
Когда матрица не подходит как единственный документ Матрица не заменяет политики идентификации и аутентификации, регламенты управления привилегиями или сетевые схемы разграничения доступа. Для защиты инфраструктуры и схем распределения прав необходимы отдельные регламенты и журналы учёта.
Граница охвата матрицы Матрица должна охватывать все учётные записи ИСПДн, включая сервисные и привилегированные учётные записи, и фиксировать соответствие ролей средствам аутентификации и наборам привилегий.
Связи с другими документами и проверками Матрица входит в комплект приказа об организации обработки ПДн, используется при назначении ответственных, оформлении реестров информационных систем и при подготовке к аттестации или внешним проверкам.

06 Нормативная база

Нормативная основа для матрицы доступа

ст. 19 152-ФЗ требует применять организационные и технические меры защиты, включая разграничение доступа; для матрицы это значит фиксировать учётные записи, назначенные права и ответственных за доступ к категориям персональных данных.
приказ ФСТЭК № 21 определяет набор мер управления доступом и требования к средствам аутентификации; матрица должна соотносить привилегии пользователей с мерами по уровню защищённости и механизмами контроля доступа.
ПП РФ № 1119 устанавливает требования по уровням защищённости ИСПДн и режимам доступа; матрица должна показывать соответствие учётных записей и прав требуемому режиму защиты для конкретной подсистемы.
ч. 5 ст. 5 152-ФЗ принцип минимизации объёма обрабатываемых данных; матрица обязана обосновывать необходимость каждой привилегии через категорию персональных данных и служебную роль, чтобы избежать избыточного доступа.
ст. 90 ТК РФ регламентирует ответственность работников за нарушение режима доступа к персональным данным коллег; матрица должна отражать разделение прав по должностям и основания для дисциплинарной ответственности при нарушениях.
ч. 3.1 ст. 21 152-ФЗ предписывает уведомление при факте несанкционированного доступа, в том числе в установленный срок; матрица должна включать критерии инцидента, ответственных за реагирование и связь с процедурами уведомления.
ч. 12 ст. 13.11 КоАП описывает санкции за утечку персональных данных в зависимости от числа затронутых субъектов; матрица служит инструментом оценки масштаба инцидента и документирования мер по ограничению доступа.

Образец документа

Матрица доступа пользователей к информационной системе

Матрица доступа фиксирует роли и привилегии пользователей ИСПДн по принципу минимально необходимого доступа. Ведёт документ ответственный за организацию обработки ПДн, утверждает руководитель приказом.

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения матрицы доступа пользователей к ИСПДн

Порядок действий от принятия решения до ввода в эксплуатацию и первой проверки. В каждом шаге указан владелец и результат на выходе.

1. Принятие решения и формирование задания Руководитель или ответственное лицо принимает решение о необходимости матрицы, формулирует цель и объем работ, закрепляет назначение ответственного за проект. На выходе - приказ или служебное распоряжение и техническое задание на разработку матрицы.
2. Инвентаризация учётных записей и полномочий Сбор данных по всем учетным записям, ролям, системам и обрабатываемым данным, проверка соответствия принципу минимальности прав, выявление учетных записей с повышенными привилегиями. На выходе - реестр учётных записей и таблица соответствия сервисов и данных.
3. Разработка и согласование проекта матрицы Составление таблицы с колонками: учётная запись / роль, набор прав, обоснование прав, владелец права, срок пересмотра. Согласование с владельцами систем и службой ИБ, фиксация типичных ошибок для коррекции (дубли, избыточные привилегии, общие аккаунты). На выходе - проект матрицы и перечень замечаний.
4. Утверждение и ввод в действие Утверждение матрицы приказом руководителя организации или иным распоряжением, назначение ответственных за исполнение и графика пересмотра. На выходе - утверждённый документ, зарегистрированный в реестре внутренних документов.
5. Внедрение, контроль и подготовка к проверке Реализация прав в системах, настройка учёта изменений и журналирования, проведение выборочного аудита соответствия. Для проверяющего подготовить комплект: утверждённая матрица, приказ об утверждении, реестр изменений, журналы доступа и выборочные скриншоты. Установить периодичность проверок и критерии отклонений.

09 Актуализация

Поводы для пересмотра матрицы доступа

Матрица отражает роли и предопределённые права в ИСПДн и должна обновляться при любой технической, процессной или кадровой перемене, которая меняет требуемые операции. Отсутствие фиксации решений в матрице приводит к накоплению избыточных прав и сложностям при расследовании инцидентов.

Подключение новой системы или модуля При вводе CRM, электронного документооборота, зарплатного сервиса и других сервисов появляется набор новых операций и атрибутов доступа. До внесения в матрицу временные права должны быть минимальными и документированными, иначе случайные выдачи сохранятся. Внести систему в реестр матрицы, определить стандартные роли и права, оформить приказ об ответственных и запретить выдачу постоянных прав до утверждения.
Обновление, миграция или смена конфигурации ИСПДн После обновления вендорская модель ролей и стандартные привилегии могут измениться. Переносить старую матрицу «как есть» рискованно: новые предустановки часто содержат расширенные права. Сравнить предыдущие и новые роли, скорректировать матрицу по фактическим операциям и зафиксировать изменения приказом или дополнительным документом.
Новая должность, смена функционала или реорганизация Появление новой роли или изменение обязанностей требует отдельной строки в матрице. Копирование прав «по похожему» обычно приводит к накоплению лишних привилегий и нарушению принципа минимальности доступа. Описать функции и набор операций для новой роли, определить минимальные права и закрепить запись в матрице с указанием владельца роли.
Кадровые изменения: приём, перевод, увольнение Изменение статуса сотрудника напрямую влияет на учётную запись и набор прав. Задержки в корректировке приводят к сохраняющимся доступам у уволенных и избыточным правам у переведённых. Блокировать или корректировать учётную запись при смене статуса, сразу отражать изменения в матрице и документировать распоряжение кадрового и ответственного подразделений.
Инцидент безопасности или подозрительная активность После инцидента первый вопрос проверяющих: почему учётная запись имела такие права. Решение должно быть воспроизводимо по матрице, а не зависеть от устных объяснений администратора. Приостановить проблемные права, сопоставить фактические права с матрицей, задокументировать причины и корректирующие меры, инициировать уведомление и расследование в установленном порядке.

10 Проверка

Инспектор проверит матрицу доступа и практику её применения

Вопросы для выездной и документарной проверки оформления, утверждения и исполнения матрицы доступа пользователей ИСПДн. Фокус на утверждении, объёме прав, учёте изменений и доступе к привилегированным учётным записям.

Вопрос 01 «Предъявите документ, которым утверждена матрица доступа, и укажите уполномоченное лицо, отвечающее за её ведение.»
Вопрос 02 «Где хранится и как обеспечивается актуальность редакции матрицы доступа?»
Вопрос 03 «Какие роли и объёмы прав установлены в матрице и на каком основании они назначаются?»
Вопрос 04 «Предоставьте записи о назначениях и изменениях прав доступа за период, необходимый для проверки.»
Вопрос 05 «Как организован доступ к привилегированным учётным записям и контролю их использования?»

Инспектор при проверке, может запросить:

приказ об утверждении матрицы доступа с подписью руководителя и документом о назначении ответственного за организацию обработки персональных данных
адрес внутреннего хранилища или путь к документу с текущей редакцией матрицы и журналом изменений с датами и авторами
таблица соответствия ролей (должностей) и прав доступа с обоснованием объёма прав для каждой роли
журнал назначений и изменений прав доступа с отметками исполнителей и метками времени
перечень привилегированных учётных записей и регламенты их использования с требованиями к средствам аутентификации

11 Экспертная позиция

Практический риск и оперативная мера

Основная ошибка при оформлении матрицы доступа - расчет на статические роли без учёта временных и сервисных привилегий. Это приводит к избыточности прав, сложностям при увольнении и к невозможности однозначно связать действие с лицом при расследовании инцидента. Рабочая мера: выделить шаблоны прав по бизнес-функциям, регламентировать уникальные учётные записи для сервисов и привилегированных пользователей, ввести автоматическую деактивацию по событиям HR и механизм временного повышения прав с записью одобрения и аудита. Дополнительно закрепить ответственность владельцев процессов за регулярную аттестацию прав.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по матрице доступа пользователей к ИСПДн

Матрицу утверждает руководитель организации приказом, ответственность за ведение и актуальность возложена на ответственного за организацию обработки персональных данных. В приказе указывают круг ответственных лиц и порядок внесения изменений.

Заказать матрицу доступа и комплект локальных нормативных актов для ИСПДн

Закажите разработку матрицы доступа, адаптированной к структуре вашей ИСПДн. В комплект входят: матрица с ролями и наборами привилегий, проект приказа для утверждения руководителем организации, журнал учёта учётных записей, инструкция по ведению и рекомендации по разграничению прав и по минимизации объёма доступа, а также комплект доказательств для внутренней проверки (URL, скриншоты, перечень необходимых логов). В работу вовлекается ответственный за организацию обработки персональных данных, предусмотрено согласование и сопровождение внедрения.

Скачать образец Заказать матрицу доступа в комплекте локальных актов