Главная

Инструкция по контролю (анализу) защищённости персональных данных

Инструкция регламентирует порядок регулярного контроля защищённости персональных данных, закрепляет роли (ответственный за организацию обработки, служба ИБ), порядок поиска уязвимостей, проверку обновлений и настроек средств защиты, мониторинг учётных записей и восстановления данных; утверждается руководителем организации или уполномоченным им лицом. Документ задаёт критерии и периодичность проверок, формы фиксации результатов: журналы, отчёты и протоколы тестов, а также требования к обоснованию компенсирующих мер и оценке эффективности применённых мер для последующей проверки.

Статус обязательная инструкция при наличии ИСПДн организации
Основание ст. 19 152-ФЗ, меры АНЗ.1 - АНЗ.5 приказа ФСТЭК № 21
Публичность внутренний документ, не предназначен для публичного распространения
Кто утверждает руководитель организации или уполномоченное им лицо
Периодичность оценки эффективности оценка эффективности мер защиты не реже одного раза в 3 года
Обновлено июль 2026
Ответственный ответственный за организацию обработки персональных данных или назначенное лицо, отвечающее за проведение контроля и представление отчётов
Область применения применяется ко всем ИСПДн организации и к средствам обеспечения защиты и восстановления персональных данных

01 Назначение

Инструкция по контролю защищённости персональных данных - краткое руководство

Назначение и область применения. Инструкция обязательна при наличии информационной системы персональных данных организации и фиксирует порядок контроля соответствия организационных и технических мер требованиям законодательства. Документ внутренний, утверждается руководителем организации или уполномоченным им лицом и не предназначен для публичного распространения. Актуальность проверки и содержание контроля определяются исходя из требований к мерам защиты, установленным в нормативной базе.

Ключевые объекты и элементы контроля. Контроль должен охватывать критичные компоненты ИСПДн: средства антивирусной защиты и актуальность сигнатур, механизм обновления признаков вредоносных программ, работоспособность и настройки средств защиты, наличие и проверяемость резервного копирования, а также обоснование и документирование компенсирующих мер при ограничениях. В качестве проверяемых материалов используйте журналы работы средств защиты, отчёты об обновлениях, планы и протоколы восстановления, настройки конфигураций и акты оценки рисков.

Периодичность, критерии эффективности и ответственные. Оценка эффективности мер защиты проводится не реже одного раза в 3 года. Критериями оценки служат работоспособность средств защиты, соответствие настроек эталонным значениям, успешность восстановления данных в установленные сроки и полнота процедур контроля. За организацию и проведение контроля отвечает ответственный за организацию обработки персональных данных совместно с подразделением информационной безопасности; итоговое утверждение результатов - у руководителя организации или его уполномоченного.

Типичные ошибки, триггеры контроля и рекомендации по внедрению. Частые ошибки: отсутствие перечня критичных средств и их версий, несвоевременные обновления баз обнаружения, отсутствие регулярных тестов восстановления и нефиксирование обоснований компенсирующих мер. Триггерами внеплановой проверки служат ввод в эксплуатацию новых сервисов, изменение классификации данных, инциденты безопасности и критические обновления программного обеспечения. Рекомендуется вести реестр контрольных точек с ответственными, включить проверку конфигураций в регламент обслуживания, планировать тесты восстановления и документировать решения по компенсирующим мерам.

Раскрыть полностью

02 Ответственность

Ответственность за повторную утечку персональных данных при отсутствии или формальном контроле защищённости

ч. 15 ст. 13.11 КоАП РФ - повторная утечка персональных данных

Юридическое лицо 1-3 % выручки, не менее 20 млн ₽
Должностное лицо 800 000 - 1 200 000 ₽
Физическое лицо (гражданин) 400 000 - 600 000 ₽

Недостаточный или формальный контроль защищённости повышает риск квалификации инцидента как повторной утечки и применения санкций по ч. 15 ст. 13.11 КоАП РФ. Типичные нарушения, приводящие к повышению рисков: отсутствие документированных результатов анализа защищённости, отсутствие обоснования компенсирующих мер (п. 10 приказа ФСТЭК № 21), несистемное обновление антивирусных баз и отсутствие записей о проверке работоспособности средств защиты, а также отсутствие отчётов о восстановлении из резервных копий. Для минимизации риска собирайте и сохраняйте протоколы контрольных проверок, акт обоснования компенсирующих мер и записи о выполнении ключевых мер защиты.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Собранные названия отражают практические запросы и разговорные наименования документа, которые используют специалисты при поиске, согласовании и назначении исполнителей.

Инструкция по контролю защищённости персональных данных
Порядок анализа защищённости ИСПДн
Методика проверки средств защиты в ИСПДн
План проверок и оценок эффективности мер защиты ИСПДн
Чеклист технического аудита ИСПДн
Порядок сканирования уязвимостей и управления исправлениями
Порядок контроля обновлений и баз сигнатур средств защиты
Порядок контроля доступов и учётных записей ИСПДн
Отчёт о результатах анализа защищённости ИСПДн
Рекомендации по компенсирующим мерам и их обоснованию
График периодической оценки эффективности мер защиты

04 Обязательное содержание

Чеклист содержания инструкции

Короткий перечень разделов и обязательных элементов инструкции по контролю защищённости персональных данных.

Область применения и цель Чёткое указание на объекты контроля (ИСПДн, подразделения, обработка ПДн), цели контроля и границы действия инструкции.
Ответственные лица и порядок утверждения Перечень ролей и обязанностей по проведению контроля, контактные ответственные, а также указание кто утверждает инструкцию (руководитель или уполномоченное лицо).
Периодичность оценки эффективности мер защиты Фиксированная периодичность проверки эффективности реализованных мер защиты, включая требование оценки не реже одного раза в три года.
Методика контроля и критерии оценки Описание процедур контроля, тестов и показателей работоспособности средств защиты, критериев успешности и порядка фиксации результатов.
Перечень контролируемых мер защиты Список организационных и технических мер под контролем (включая антивирусную защиту и обновление баз признаков) с указанием требований к их состоянию.
Порядок обоснования и применения компенсирующих мер Процедура, как документировать и обосновывать применение компенсирующих мер при невозможности полного выполнения требования к защите.
Документирование результатов и восстановление Требования к формату отчётов контроля, срокам хранения записей и наличию процедур восстановления данных по результатам проверок.

05 Применимость

Кому и когда обязательна Инструкция по контролю защищённости ПДн

Краткие критерии применимости инструкции, границы использования и связанные обязанности. Уточните требования по источникам правовой силы перед утверждением.

Обязательность при наличии ИСПДн Инструкция является обязательным внутренним документом для организации, использующей ИСПДн, поскольку регламентирует порядок контроля реализованных мер защиты персональных данных.
Целевая аудитория инструкции Документ адресован оператору персональных данных, ответственным за организацию обработки, сотрудникам службы информационной безопасности, администраторам информационных систем и ответственным за резервное копирование и восстановление.
Публичность и утверждение Инструкция - внутренний документ, не предназначенный для публичного распространения. Утверждается руководителем организации или уполномоченным им лицом в порядке, установленном локальными регламентами.
Обязательные направления контроля в инструкции Рекомендуется включать контроль работоспособности и настроек средств защиты, управление антивирусной защитой и обновлениями баз, проверку резервного копирования и восстановления, а также порядок обоснования компенсирующих мер для выявленных отклонений.
Периодичность оценки эффективности мер защиты Инструкция должна фиксировать порядок оценки эффективности мер защиты персональных данных; сама оценка эффективности проводится не реже одного раза в три года.
Границы применимости и случаи, когда нужен другой документ Инструкция не применяется при полном отсутствии ИСПДн в организации. При наличии специальных требований сертификации, отраслевых стандартов или контрактных обязательств инструкция дополняется соответствующими регламентами и методиками контроля.

06 Нормативная база

Нормативная основа инструкции по контролю защищённости ПДн

ст. 19 152-ФЗ Устанавливает обязанность организации принимать организационные и технические меры защиты персональных данных; инструкция фиксирует порядок контроля выполнения этих мер, распределение ответственности и перечень доказательств соответствия.
приказ ФСТЭК № 21 от 18.02.2013 Определяет базовый набор мер по уровням защищённости и общие подходы к их подтверждению; инструкция должна соотносить процедуры контроля с конкретными мерами приказа и описывать методику проверки и учёта результатов.
мера АВЗ.1 Требование реализации антивирусной защиты; в инструкции включают процедуры проверки наличия и конфигурации антивирусных средств, критерии оценки их работоспособности и перечень доказательств контроля.
мера АВЗ.2 Ориентир на регулярное обновление баз признаков вредоносных программ; инструкция должна описывать порядок контроля применения обновлений, реакцию на сбои обновления и регистрировать инциденты, связанные с устаревшими базами.
мера АНЗ.3 Контроль работоспособности, настроек и функционирования средств защиты; инструкция определяет перечень проверяемых параметров, периодичность проверок и критерии отклонений, требующих корректирующих действий.
мера ОДТ.5 Требование восстановления данных из резервных копий в установленный срок; инструкция устанавливает процедуры тестирования восстановления, формат протоколов тестов и способ документирования результатов.
п. 6 приказа ФСТЭК № 21 Установлена периодичность оценки эффективности мер защиты - не реже одного раза в 3 года; инструкция должна включать график таких оценок, методику проверки эффективности и ответственность за их проведение.
п. 10 приказа ФСТЭК № 21 Регламентирует применение компенсирующих мер и обоснование их использования; инструкция описывает критерии допуска компенсирующих мер, порядок документирования обоснования и оценку остаточного риска.

08 Внедрение

Шаги внедрения Инструкции по контролю защищённости персональных данных

Пошаговый план от принятия решения до подтверждения исправлений и хранения результатов проверки. Включены роли исполнителей и конкретные выходные документы для внутренней проверки защищённости ПДн.

1. Утверждение проведения контроля и определение состава Руководитель организации или уполномоченное им лицо оформляет приказ о проведении контроля защищённости ПДн с указанием целей, области охвата (реестр ИСПДн), состава комиссии и сроков работ. На выходе - подписанный приказ о проведении контроля защищённости ПДн.
2. Подготовка плана проверки и чек-листа Отдел информационной безопасности формирует план проверки с перечнем проверяемых систем, критериями оценки и чек-листом по ключевым мерам защиты. В чек-лист включаются проверка антивирусной защиты, актуальность баз сигнатур, работоспособность и настройки средств защиты, процедуры резервного копирования. На выходе - утверждённые План проверки и чек-лист контроля.
3. Проведение проверки и испытаний Комиссия выполняет проверку по плану: осмотр настроек и работоспособности средств защиты, контроль обновлений баз признаков вредоносных программ, прогнозируемое тестирование восстановления данных из резервных копий. Результат - Протокол контроля с зафиксированными измерениями, замечаниями и предложениями по корректирующим мерам.
4. Принятие решений и оформление корректирующих мер Ответственный за организацию обработки анализирует протокол, приоритизирует замечания и оформляет распоряжение об устранении нарушений и внедрении компенсирующих мер с указанием исполнителей и сроков. На выходе - распоряжение или приказ об устранении замечаний и план корректирующих мероприятий.
5. Проверка исполнения, оценка эффективности и архивация результатов После выполнения корректирующих мер отдел ИБ или служба внутреннего контроля проверяет их исполнение, оформляет отчёт об оценке эффективности мер защиты и размещает документы проверки в предусмотренном реестре для внутреннего аудита. Планируется повторная оценка эффективности не реже одного раза в 3 года.

09 Актуализация

Поводы для запуска проверки защищённости ПДн

Проверки по Инструкции запускают не только по календарю. Помимо плановой оценки эффективности, требуется набор триггеров для внеплановых и целевых проверок: при изменениях в системе, после инцидентов и при актуализации угроз. Каждый повод определяет объём работ и необходимый выходной документ.

Наступил срок оценки эффективности Плановая оценка эффективности мер защиты проводится не реже одного раза в три года. Этот срок - верхняя граница для полной оценки; при наличии промежуточных изменений следует организовать целевые проверки ранее установленного срока. Назначить оценку, утвердить состав проверяющей комиссии и план работ, оформить акт оценки с перечнем несоответствий и планом корректирующих действий.
Ввод новой системы или изменение архитектуры При вводе в эксплуатацию нового сервиса, при миграции в облако, при значительной смене сетевой архитектуры или перечня интеграций проверка защищённости проводится до приёмки в эксплуатацию и охватывает конфигурации, межузловые интерфейсы и маршруты передачи ПДн. Провести приёмочную проверку защищённости по утверждённому чек-листу; по результатам - акт приёмки и требование доработок перед вводом в эксплуатацию.
Произошёл инцидент с персональными данными После утечки, компрометации или другого инцидента требуется внеплановая проверка для установления причин, границ нарушения и оценки воздействия на ПДн. Проверка должна сопровождаться анализом журналов, проверкой резервного восстановления и оценкой применённых компенсирующих мер. Провести расследование и техничесальную проверку затронутых компонентов, оформить отчёт о причинах и перечень исправительных мероприятий, восстановить данные из резервных копий в установленные сроки.
Сменилось средство защиты или изменена его версия Замена или обновление средств защиты, их миграция и изменение конфигурации часто меняют фактическую защищённость. Настройки и интеграция после перехода могут отличаться от целевого состояния, что требует проверки работоспособности и соответствия требованиям. Проверить работоспособность, настройки и правила средства защиты в реальном окружении, сверить с эталонной конфигурацией; при несоответствии - откорректировать настройки или откатить изменение и оформить протокол.
Обновление модели угроз или публикация критической уязвимости Изменение актуального перечня угроз или выход информации о критической уязвимости по используемым продуктам требует корректировки объёма и методов проверок. Это может означать добавление таргетированного сканирования, теста на проникновение или пересмотр компенсирующих мер. Обновить чек-листы и план тестирования, провести целевое сканирование и при необходимости тест на проникновение; по результатам обновить инструкции и обоснования компенсирующих мер.

10 Проверка

Инспектор проверит

Документы и материалы проверки инструкции по контролю (анализу) защищённости персональных данных.

Вопрос 01 «Предъявите документ об утверждении инструкции и полномочиях лица, его утвердившего.»
Вопрос 02 «Предъявите план и методику проведения контрольных проверок с указанием периодичности и критериев оценки.»
Вопрос 03 «Предъявите результаты предыдущих проверок и документы по принятым корректирующим мерам.»
Вопрос 04 «Предъявите доказательства исполнения технических мер защиты, указанных в инструкции.»
Вопрос 05 «Предъявите документы, подтверждающие назначение ответственных и порядок контроля доступа к средствам защиты.»

Инспектор при проверке, может запросить:

приказ или распоряжение об утверждении инструкции по контролю защищённости персональных данных
план или график контрольных мероприятий по анализу защищённости персональных данных, методика оценки эффективности мер защиты
отчёты о результатах оценки эффективности мер защиты, протоколы проверок и записи о внедрённых корректирующих действиях
журналы обновления баз признаков вредоносных программ, отчёты о тестировании и работоспособности средств защиты, планы и журналы резервного копирования, обоснования компенсирующих мер
приказы о назначении ответственных лиц, реестр ответственных, журналы учёта доступа к средствам защиты и протоколы контроля прав доступа

11 Экспертная позиция

Сделать инструкцию инструментом, а не формальностью

Частая ошибка - формальная инструкция без привязки к реальным границам и объектам ИСПДн: план проверок есть, но подлежащие проверке системы, критерии работоспособности средств защиты и сценарии восстановления не описаны. Практический приём: ввести обязательные разделы с картой ИСПДн (объекты, владельцы, критичность), матрицу соответствия мер защиты и минимальные критерии работоспособности, а также правила документированного обоснования компенсирующих мер. Это сократит количество «пустых» актов проверок и ускорит выявление реальных рисков.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - Инструкция по контролю защищённости ПДн

Инструкция обязательна при наличии информационной системы персональных данных в организации. Утверждает документ руководитель организации или уполномоченное им лицо; в папке хранения оставляйте приказ об утверждении и дату введения инструкции.

Заказать инструкцию по контролю защищённости персональных данных и комплект доказательств

Закажите разработку или адаптацию инструкции под вашу информационную систему персональных данных в составе комплекта локальных нормативных актов и подтверждений. В комплект входят: проект инструкции, проект приказа об утверждении, журнал контроля, образцы отчётов и перечень подтверждающих материалов - ссылки на репозиторий или резервные копии, скриншоты, экспорт логов доступа. Пакет формируют с учётом требований ст. 19 Федерального закона «О персональных данных» и базовых мер приказа ФСТЭК № 21, готов для утверждения руководителем организации.

Заказать инструкцию и комплект доказательств