Инструкция по управлению доступом к ИСПДн: как составить, требования

Статус обязательная инструкция для управления доступом при обработке персональных данных в ИСПДн
Основание ст. 19 152-ФЗ; приказ ФСТЭК № 21 от 18.02.2013; ПП РФ № 1119
Публичность внутренний документ, доступ предоставляется по служебной необходимости
Кто утверждает руководитель организации, утверждает приказом
Обновлено июль 2026
Ответственный ответственный за организацию обработки персональных данных, назначаемый приказом

01 Назначение

Инструкция по управлению доступом к ИСПДн - руководство для внедрения

Практические правила, роли и контрольные материалы для организаторов обработки персональных данных

Назначение и область применения. Документ задаёт обязательные правила управления доступом при обработке персональных данных в ИСПДн, применяется ко всем подразделениям и информационным системам, где обрабатываются персональные данные. Инструкция внутреняя, доступ к ней и к правам доступа предоставляется по служебной необходимости; утверждается руководителем организации приказом. Актуализация и приведение правил в соответствие с требованиями контролирующих органов проводится ответственным за организацию обработки персональных данных.

Ключевые роли и обязанности. Ответственный за организацию обработки персональных данных обеспечивает назначение лиц с правом доступа, формирование регламента выдачи и отзыва прав, а также контроль исполнения. Руководители подразделений подтверждают служебную необходимость, администраторы ИСПДн выполняют техническую выдачу и ведут реестр учётных записей, служба кадров сообщает изменения статуса работников для своевременного отзыва прав. Система ролей и обязанности должны быть оформлены приказами, регламентами и журналами учёта.

Процедуры контроля доступа и требования к средствам аутентификации. Процедуры охватывают жизненный цикл учётной записи: запрос на доступ, согласование ответственным, выдача с оформлением прав по принципу наименьших привилегий, регулярный пересмотр и немедленный отзыв при смене должности или увольнении. Требования к средствам аутентификации включают многофакторную аутентификацию и управление секретами, ведение журналов доступа и их хранение для расследования инцидентов. Технические и организационные меры должны соответствовать уровню защищённости ИСПДн, назначенному в организации.

Артефакты внедрения, триггеры проверки и типичные ошибки. Для внедрения подготовьте приказ об утверждении правил, реестр учётных записей, форму заявки на доступ, журнал изменений прав и регламент взаимодействия с кадровой службой. Триггеры для внеплановой проверки: сообщение о несанкционированном доступе, смена организационной структуры, периодический аудит доступа. Частые ошибки - совместное использование учётных записей, отсутствие своевременного отзыва прав, отсутствие логирования действий с персональными данными; при проверке обратите внимание на доказуемость согласований и актуальность реестра.

Раскрыть полностью

02 Ответственность

Ответственность при непредставлении сведений о неправомерном доступе и нарушениях управления доступом

ч. 11 ст. 13.11 КоАП РФ - неуведомление о факте неправомерного доступа

Юридическое лицо 1 000 000 - 3 000 000 ₽
Должностное лицо 400 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽
Дисциплинарная и иная ответственность работников возможны дисциплинарные взыскания, вплоть до увольнения; ответственность по трудовому законодательству

Отсутствие или несоблюдение инструкции по управлению доступом увеличивает риск административного привлечения по ч. 11 ст. 13.11 КоАП РФ при непредставлении сведений о неправомерном доступе. При инциденте действует обязанность по уведомлению по ч. 3.1 ст. 21 152-ФЗ в течение 24 часов, поэтому типичные ошибки - отсутствие реестра инцидентов, задержка с расследованием, отсутствие фиксированных ответственных лиц и записей о выдаче/отзыве прав доступа, неполные журналы аудита. Кроме административной ответственности организации и должностных лиц, за нарушение правил обработки персональных данных возможны дисциплинарные меры в отношении работников, в том числе по положениям трудового законодательства. Для оценки риска и подготовки материалов к проверке проверяющим полезны приказы об организации обработки, журналы учёта доступа и документы расследования инцидентов.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Внутренняя обязательная инструкция по оформлению, разграничению и контролю доступа к ИСПДн. Адресована администраторам систем, кадровому подразделению, руководителям подразделений и ответственному за организацию обработки персональных данных.

Инструкция по управлению доступом к информационным системам
Порядок предоставления доступа к ИСПДн
Регламент управления учётными записями
Положение о разграничении доступа к персональным данным
Порядок предоставления и отзыва прав доступа
Инструкция администратора по управлению доступом
Правила работы с учётными записями пользователей
Бланк заявки на доступ к ИСПДн

04 Обязательное содержание

Чеклист содержимого инструкции

Чеклист разделов и элементов, которые должны быть в инструкции по управлению доступом к ИСПДн, чтобы документ выполнял практическую функцию управления правами и реакцией на инциденты.

Утверждение и реквизиты Дата утверждения, распоряжение руководителя или номер приказа, ответственное лицо за документ, версия и история изменений.
Область применения и цели Краткое описание систем и типов персональных данных, на которые распространяется инструкция, цели управления доступом и ограничения публичности документа.
Роли и обязанности Перечень ролей (ответственный за организацию обработки, администраторы, владельцы систем, пользователи) с конкретными обязанностями и контактами ответственного лица.
Классификация пользователей и матрица прав доступа Правила распределения прав по категориям пользователей, описание типовых профилей доступа и критериев назначения привилегий.
Управление учётными записями и средствами аутентификации Процедуры создания, подтверждения личности, хранения учётных данных, требования к средствам аутентификации и срокам их смены, а также порядок защиты секретов.
Процедура выдачи, изменения и отзыва доступа Пошаговый порядок выдачи, изменения и немедленного отзыва доступа при переводе, увольнении или смене обязанностей, а также триггеры для автоматического отзыва.
Логирование, контроль и реагирование на инциденты Требования к учёту операций доступа, порядок расследования и исчисления факта неправомерного доступа, а также сроки и процедура уведомления при инциденте.

05 Применимость

Кому и в каких случаях нужна инструкция по управлению доступом к ИСПДн

Короткое описание областей применения и границ инструкции. Указано, для каких ролей и ситуаций документ обязателен, а когда требуется дополнительная или иная документация.

Обязательность и правовая основа Инструкция обязательна для подразделений и систем, в которых осуществляется обработка персональных данных в составе ИСПДн. Требование вытекает из положений о мерах защиты и уровнях защищённости информационных систем.
Ситуации введения или пересмотра инструкции Инструкция должна быть введена при вводе в эксплуатацию ИСПДн, при внедрении новых средств аутентификации или управления учётными записями, при организации удалённого доступа и при изменении круга лиц с правом доступа; документ оформляется как внутренний, утверждается приказом руководителя организации.
Кто использует и реализует инструкцию в работе Инструкция предназначена для руководителя организации, ответственного за организацию обработки персональных данных, администраторов ИТ, руководителей подразделений и сотрудников службы безопасности. Она задаёт порядок назначения и отзыва прав, распределение обязанностей и процессы учёта доступа.
Границы применимости и случаи, когда требуются дополнительные документы Инструкция не заменяет специальных регламентов при наличии отраслевых или иных нормативных требований к защите информации. При установленных регуляторных требованиях по уровням защищённости или по специфике ИСПДн инструкция дополняется или конкретизируется соответствующими регламентами и технической документацией.
Состав комплекта документов, в который входит инструкция Инструкция является частью комплекта документов об управлении доступом и обычно сопровождается приказом об утверждении, реестром учётных записей и прав доступа, журналом регистрации доступа, регламентом назначения и отзыва прав, а также технической документацией по средствам аутентификации и локальными положениями по обработке персональных данных.
Особенности для малых операторов и индивидуальных предпринимателей Инструкция требуется при наличии ИСПДн независимо от размера оператора. Объём и детализация инструкции соразмерятся с фактическим кругом обрабатываемых данных и применяемыми мерами защиты; при ограниченных ресурсах допускается концентрировать в документе только критичные процессы управления доступом.
Юридические требования по фиксации инцидентов и уведомлениям Инструкция должна предусматривать процедуры фиксации фактов неправомерного доступа и порядок реагирования, включая порядок уведомления уполномоченных органов в установленные законодательством сроки.

06 Нормативная база

Нормативная база для инструкции по управлению доступом к ИСПДн

ст. 19 152-ФЗ предусматривает организационные и технические меры защиты персональных данных, включая разграничение прав доступа; для инструкции это означает фиксировать принципы разграничения, роли и обязанности, порядок выдачи и отзыва прав, а также механизмы контроля и учёта доступа к ИСПДн.
приказ ФСТЭК № 21 от 18.02.2013 определяет базовый набор мер по уровню защищённости информационных систем; для инструкции важны процедуры управления учётными записями и правами пользователей, требования к контролю жизненного цикла учётных записей и ведению журналов событий.
приказ ФСТЭК № 21 содержит меры по управлению средствами аутентификации и привилегированным доступом; инструкция должна регламентировать способы аутентификации, учёт и обращение с токенами и сертификатами, а также правила работы с привилегированными учетными записями и их аудит.
ПП РФ № 1119 устанавливает требования по уровням защищённости ИСПДн; инструкция должна соотнести процедуры доступа и контроля с присвоенным уровнем защищённости, прописать минимальные меры при обработке данных данного уровня и требования к подтверждению соответствия.
ч. 3.1 ст. 21 152-ФЗ регламентирует порядок информирования уполномоченных органов о фактах нарушения безопасности персональных данных, включая срок уведомления 24 часа; инструкция должна содержать алгоритм выявления и классификации инцидентов, порядок уведомления, набор ответственных и перечень необходимых доказательств.
ч. 11 ст. 13.11 КоАП предусматривает ответственность за неуведомление или просрочку уведомления о неправомерном доступе к персональным данным; для инструкции это причина описать процедуры регистрации инцидентов, формировать подтверждающие записи и регламентировать сроки действий для доказуемой реакции.
ст. 90 ТК РФ регулирует порядок обработки персональных данных работников и ответственность за нарушения трудового законодательства в этой сфере; инструкция должна ограничивать доступ сотрудников к данным коллег, описывать порядок предоставления доступа в кадровых процессах и меры при нарушениях доступа со стороны персонала.

Образец документа

Инструкция по управлению доступом к ИСПДн

Порядок оформления и контроля учётных записей и прав доступа в ИСПДн: кто согласует заявки и кто утверждает выдачу, как фиксировать выдачу и отзыв при переводе или увольнении, и почему общие учётные записи недопустимы...

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

План внедрения Инструкции по управлению доступом к ИСПДн

Порядок действий от подготовки проекта до приёма в эксплуатацию и организации контроля. Каждый шаг содержит ответственного и конкретный документ или запись, которые кладут в папку для проверяющего.

1. Подготовка проекта и утверждение Ответственный за организацию обработки подготавливает проект Инструкции с приложениями (матрица ролей, форма заявки, журнал учёта). Руководитель утверждает приказом. Результат: приказ об утверждении Инструкции и утверждённая редакция инструкции, запись в журнале приказов.
2. Составление матрицы ролей и прав доступа Ответственный совместно с руководителями подразделений формирует матрицу роль-привилегия с указанием должностей и областей доступа. Результат: файл 'Матрица доступа к ИСПДн' с отметкой об утверждении.
3. Регламентация выдачи, изменения и отзыва доступа IT-администратор и ответственный внедряют порядок подачи заявок, согласования и оформления отзывов доступа, фиксируют операции в журнале выдач. Результат: форма заявки на доступ и журнал учёта выдач доступа.
4. Настройка учётных записей и средств аутентификации IT-администратор настраивает учётные записи и политики аутентификации в соответствии с требуемым уровнем защищённости, фиксирует изменения в отчёте о внедрении. Результат: реестр учётных записей и отчёт о выполненных настройках.
5. Ознакомление сотрудников и оформление ответственности Отдел кадров совместно с ответственным проводит инструктаж по правилам доступа и фиксирует подписи сотрудников. Результат: реестр ознакомления с датами и подписями, приказ о назначении ответственных при необходимости.
6. Проверка соответствия и приём в эксплуатацию Служба внутреннего контроля проверяет соответствие настроек, матрицы и журналов требованиям Инструкции и документирует результаты. Результат: акт внутренней проверки доступа и папка для проверяющего с перечисленными документами.
7. Регламентация инцидентной процедуры и уведомлений Ответственный и служба ИБ фиксируют порядок действий при выявлении неправомерного доступа, ведут журнал инцидентов и готовят шаблон уведомления по установленной процедуре. Результат: журнал инцидентов и шаблон уведомления об инциденте.

09 Актуализация

Поводы для пересмотра и переутверждения Инструкции по управлению доступом к ИСПДн

Инструкция пересматривается при любых изменениях в технологиях, процессах или выявленных несоответствиях исполнению. Обновления оформляются приказом руководителя и фиксируются в папке документации с указанием ответственных и даты вступления в силу.

Внедрение новой информационной системы или облачного сервиса При появлении нового сервиса, интеграций или передачи данных третьим лицам - уточнять владельца сервиса и владельца данных, порядок согласования запросов доступа, меры по хранению и управлению ключами и учетными данными. Документ должен содержать требования к классификации данных и ограничения для сервисных аккаунтов. Обновить разделы «Категории данных», «Матрица ролей», «Порядок выдачи и хранения ключей», утвердить приказом.
Смена ответственного лица или системного администратора При переходе обязанностей проверять, что преемник обладает описанной процедурой и доступами. Подтвердить полноту документации для передачи, отозвать личные учётные данные увольняемого и зафиксировать назначение новым приказом. Провести проверку полноты инструкций и сценариев передачи, оформить приказ о назначении, обновить матрицу прав и перечень пользователей.
Появление удалённого или внешнего доступа Любые изменения, вводящие удалённый доступ сотрудников или подрядчиков, требуют отдельной процедуры с ограничением прав, контролем сессий и многофакторной аутентификацией. Необходимо прописать сроки действия временных доступов и требования по журналированию подключений. Ввести правила временных учётных записей, требования МФА и контроля сессий, утвердить дополнения приказом.
Инцидент или отработка близкого к инциденту случая По результатам расследования фиксировать пробелы процедуры выдачи, изменения или отзыва доступа. Вносить корректировки, если установлено, что отсутствие или неправильное исполнение шага привело или могло привести к несанкционированному доступу. Актуализировать инструкции с указанием устранённых ошибок, обновить процедуру уведомления и журнал событий, провести целевое обучение исполнителей.
Изменения в кадровых процедурах, влияющие на момент прекращения прав доступа При внедрении электронных кадровых практик, дистанционного увольнения или изменении механизмов приостановления работы договора - синхронизировать момент отзыва доступов с HR-процессом и определить ответственных за своевременное блокирование. Согласовать с HR алгоритм уведомления ИТ, внести изменения в инструкцию и матрицу прав, зафиксировать ответственность приказом.

10 Проверка

Инспектор проверит

Документы и материалы, которые инспектор проверит при контроле исполнения Инструкции по управлению доступом к ИСПДн.

Вопрос 01 «Предъявите приказ об утверждении Инструкции и подтверждение назначения ответственного за организацию обработки.»
Вопрос 02 «Предъявите регламенты и реестры, подтверждающие порядок выдачи, изменения и учёта прав доступа.»
Вопрос 03 «Предъявите подтверждение порядка управления жизненным циклом учётных записей, включая действия при увольнении или переводе.»
Вопрос 04 «Предъявите сведения о применяемых средствах аутентификации и правилах их эксплуатации.»
Вопрос 05 «Предъявите документы по учёту и реагированию на инциденты, связанные с доступами к ИСПДн.»

Инспектор при проверке, может запросить:

приказ об утверждении Инструкции по управлению доступом к ИСПДн; распоряжение или приказ о назначении ответственного за организацию обработки персональных данных
реестры учётных записей и прав доступа; регламенты или инструкции по выдаче и изменению прав доступа; шаблоны заявок и журналы согласования прав
журналы операций с учётными записями; инструкции по блокированию и удалению учётных записей; акты или журналы отзыва прав при прекращении трудовых отношений
перечень используемых средств аутентификации и требования к ним; политика управления паролями и многофакторной аутентификацией; журналы управления ключами и токенами
журнал инцидентов информационной безопасности; акты расследований инцидентов и заключения о причинах; уведомления о случаях неправомерного доступа и записи об их отправке в уполномоченные органы

11 Экспертная позиция

Операционный риск - деактивация и аттестация прав

Частая реальная проблема - инструкция ограничивается порядком выдачи прав и не описывает управление жизненным циклом доступа. В итоге права сохраняются после изменения статуса сотрудника или при временных делегированиях, растёт риск неправомерного доступа. Рекомендуется дополнить инструкцию практическими процессами: уникальные учётные записи и разграничение привилегий, синхронизация с кадровыми событиями для автоматической деактивации, реестр и журнал всех изменений прав, чёткая процедура экстренного доступа с последующим аудитом, регулярная аттестация прав и назначение ответственных. Параллельно закрепите порядок уведомления об инцидентах и порядок реагирования.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - инструкция по управлению доступом к ИСПДн

Инструкция утверждается руководителем организации приказом. Исполнение обеспечивает назначенный приказом ответственный за организацию обработки персональных данных, он организует выдачу и отзыв доступов и контроль соблюдения процедур.

Инструкция по управлению доступом к ИСПДн

Инструкция по управлению доступом к ИСПДн - руководство для внедрения

Ответственность при непредставлении сведений о неправомерном доступе и нарушениях управления доступом

Как ещё называют этот документ

Чеклист содержимого инструкции

Кому и в каких случаях нужна инструкция по управлению доступом к ИСПДн

Нормативная база для инструкции по управлению доступом к ИСПДн

План внедрения Инструкции по управлению доступом к ИСПДн

Поводы для пересмотра и переутверждения Инструкции по управлению доступом к ИСПДн

Инспектор проверит

Операционный риск - деактивация и аттестация прав

Частые вопросы - инструкция по управлению доступом к ИСПДн

База знаний содержит 268 документов

Заказать инструкцию по управлению доступом к ИСПДн в комплекте

Инструкция по управлению доступом к ИСПДн

Инструкция по управлению доступом к ИСПДн - руководство для внедрения

Ответственность при непредставлении сведений о неправомерном доступе и нарушениях управления доступом

Как ещё называют этот документ

Чеклист содержимого инструкции

Кому и в каких случаях нужна инструкция по управлению доступом к ИСПДн

Нормативная база для инструкции по управлению доступом к ИСПДн

Сопутствующие документы и связь между ними

Связанные документы

План внедрения Инструкции по управлению доступом к ИСПДн

Поводы для пересмотра и переутверждения Инструкции по управлению доступом к ИСПДн

Инспектор проверит

Операционный риск - деактивация и аттестация прав

Частые вопросы - инструкция по управлению доступом к ИСПДн

База знаний содержит 268 документов

Заказать инструкцию по управлению доступом к ИСПДн в комплекте

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями