Главная

Инструкция по защите машинных носителей персональных данных

Практическая инструкция по хранению, маркировке, шифрованию, транспортировке и уничтожению сменных и переносных носителей с персональными данными, с правилами выдачи и приёма. Утверждает руководитель организации, исполнение ведёт ответственный за организацию обработки ПДн или уполномоченное подразделение; при проверке оценивают регистрацию носителей, наличие шифрования, журналы выдачи и акты уничтожения.

Скачать образец документа

Статус обязательный документ при обработке ПДн в ИСПДн
Основание ст. 19 152-ФЗ, приказ ФСТЭК № 21
Публичность внутренний, доступ ограничен по служебной необходимости
Кто утверждает руководитель организации
Ответственный за исполнение ответственный за организацию обработки ПДн или уполномоченное подразделение
Область применения машинные носители, используемые для хранения и транспортировки ПДн в ИСПДн, включая сменные и переносные носители
Обновлено июль 2026

01 Назначение

Инструкция по защите машинных носителей персональных данных

Назначение и область применения. Краткое руководство для сотрудников и подразделений, отвечающих за хранение и транспортировку машинных носителей с персональными данными в составе ИСПДн. Документ регламентирует правила обращения с разъемными, сменными и переносными носителями, границы применения процедур и перечень материалов, подлежащих учёту и защите. Область действия охватывает носители, используемые для хранения, переноса и временного обмена данными между элементами ИСПДн.

Роли, утверждение и ответственность. Утверждение инструкции осуществляет руководитель организации. Исполнение возлагается на ответственного за организацию обработки персональных данных или уполномоченное подразделение. В обязанности исполнителя входят ведение учёта носителей, контроль доступа, ведение журналов передачи и хранение сопроводительной документации, а также организация обучения пользователей правилам обращения с носителями.

Практические требования к хранению, транспортировке и использованию. Носители должны быть отмечены в учётной форме, храниться в выделенных местах с контролем доступа и при необходимости запечатываться или размещаться в запираемых контейнерах. При транспортировке применяется сопровождение и регистрация передачи по журналу, при работе с переносными носителями допускается подключение к рабочим системам только после проверки на вредоносное ПО и соответствия требованиям безопасности. Предпочтительно использование сертифицированных или утверждённых организацией типов носителей и, при наличии технической возможности, применение средств криптографической защиты конфиденциальной информации.

Уничтожение носителей, документооборот и действия при инцидентах. Порядок вывода из эксплуатации и уничтожения носителей оформляют актом с подтверждением об окончательной непригодности для восстановления данных. Журналы учёта и акты уничтожения хранятся в установленном подразделением порядке. При выявлении утечки или несанкционированного доступа действия по исследованию, локализации и уведомлению организуют в рамках нормативной базы; фиксация фактов, сроки уведомлений и материал для проверок оформляются документально и передаются ответственным лицам.

Раскрыть полностью

02 Ответственность

Административная ответственность при массовой утечке ПДн и сопутствующие риски для инструкции по защите носителей

ч. 14 ст. 13.11 КоАП РФ - утечка данных более 100 000 субъектов

Юридическое лицо (оператор, владелец данных) 10 000 000 - 15 000 000 ₽
Должностное лицо 400 000 - 600 000 ₽
Физическое лицо (гражданин) 300 000 - 400 000 ₽

Отсутствие или формальное исполнение инструкции по защите машинных носителей повышает риск квалификации инцидента как массовой утечки и привлечения по ч. 14 ст. 13.11 КоАП. Кроме того возможна ответственность по другим частям ст. 13.11 при неуведомлении или при мнимом обезличивании, а также обязанность срочного уведомления по ч. 3.1 ст. 21 152-ФЗ. Типичные операционные ошибки, приводящие к риску привлечения: несоблюдение процедур маркировки и учёта сменных носителей, отсутствие шифрования/защиты при транспортировке, отсутствие акта уничтожения носителя. Эти риски усиливаются при нарушении требований по уровням защищённости и порядку уничтожения носителей.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Документ регламентирует обращение с машинными носителями персональных данных на всех этапах их жизненного цикла: учёт, маркировка, хранение, шифрование, транспортировка, передача, приём и уничтожение. Под машинными носителями понимаются как сменные накопители, так и встроенные хранилища и устройства с памятым, которую нельзя извлечь отдельным модулем.

Инструкция по защите машинных носителей персональных данных
Инструкция по обращению с машинными носителями ПДн
Порядок использования съёмных носителей персональных данных
Правила работы с флешками и внешними дисками
Инструкция по учёту и защите машинных носителей
Порядок защиты носителей информации с персональными данными
Правила шифрования и уничтожения сменных носителей
Регламент учёта и уничтожения машинных носителей

04 Обязательное содержание

Чеклист для инструкции по защите машинных носителей ПДн

Чеклист разделов и элементов, которые должны быть в инструкции, чтобы документ корректно описывал порядок обращения с машинными носителями, их хранение, транспортировку, выдачу и уничтожение в рамках обработки ПДн.

Утверждение и область применения Указана дата и подпись руководителя, определён круг ответственных (ответственный за организацию обработки или уполномоченное подразделение) и ограничения доступа к документу по служебной необходимости.
Классификация носителей и перечень объектов Перечислены типы машинных носителей, подпадающие под действие инструкции (стационарные, сменные, переносные, транспортируемые носители), и критерии включения носителя в зону контроля.
Требования к маркировке, хранению и транспортировке Описаны правила маркировки носителей, условия хранения в защищённых помещениях и меры при транспортировке (контейнеры, шифрование, сопровождение, регистрация передачи), включая условия для внешней перевозки.
Порядок выдачи, возврата и учёта Установлен регламент выдачи и возврата носителей, журнал учёта выдач и возвращений, требования к ведению логов и ответственности лиц, передающих и принимающих носители.
Процедура уничтожения и подтверждение результата Описаны методы и условия уничтожения носителей, форма акта о подтверждении уничтожения и порядок хранения такого акта для проверок.
Реагирование на инциденты и уведомления Предусмотрен порядок действий при утрате или компрометации носителя, сроки внутреннего доклада и внешнего уведомления при необходимости, а также ссылки на возможную административную ответственность.

05 Применимость

Кому и когда нужна инструкция по защите машинных носителей ПДн

Краткие указания, для каких подразделений и при каких обстоятельствах организация должна иметь инструкцию по обращению, хранению, транспортировке и уничтожению машинных носителей, содержащих персональные данные.

Объекты применения Инструкция распространяется на машинные носители, используемые для хранения и транспортировки персональных данных в информационной системе персональных данных, включая сменные и переносные носители и встроенные накопители.
Когда документ обязателен Документ обязателен при обработке персональных данных в информационной системе персональных данных; инструкция входит в комплект организационно-технических мер защиты.
Кому адресована и кто утверждает Инструкция предназначена для руководителя организации, ответственного за организацию обработки ПДн, уполномоченных подразделений и работников, взаимодействующих с машинными носителями; утверждается руководителем организации.
Границы: когда нужна дополнительная документация Инструкция не заменяет другие обязательные документы комплекта защиты: регламенты по хранению и маркировке носителей, порядок уничтожения и план реагирования на инциденты по защите ПДн.
Ситуации, когда инструкция сама по себе недостаточна Если обработка ПДн требует специальных мер по уровню защищённости или проводится распределённо между юридическими лицами, требуются дополнительные документы: политика обработки ПДн, локальные регламенты подразделений, акты уничтожения носителей.
Область применения по структурам и ролям Применяется ко всем юридическим лицам, филиалам и структурным подразделениям организации, а также к отдельным рабочим местам и мобильным офисам, где используются машинные носители с персональными данными.
Юридические риски при несоблюдении За несоблюдение требований по защите носителей персональных данных предусмотрены административные меры ответственности, в том числе по положениям КоАП, применимые при нарушениях и утечках данных.

06 Нормативная база

Нормативная база для инструкции по защите машинных носителей ПДн

ст. 19 152-ФЗ устанавливает обязанность обеспечивать организационные и технические меры при обработке персональных данных, обосновывает необходимость наличия инструкции, фиксирующей требования к хранению, контролю доступа и распределению ответственности за машинные носители ПДн.
приказ ФСТЭК № 21 от 18.02.2013 определяет базовый набор мер защиты для средств хранения информации, включая учёт и маркировку носителей, физический и логический контроль доступа, порядок уничтожения и управление средствами аутентификации; инструкция должна соотнести процедуры и регламенты по носителям с этими мерами.
ПП РФ № 1119 задаёт требования по уровням защищённости ИСПДн, инструкция по носителям должна привязывать конкретные организационные и технические меры к требуемому уровню и документировать соответствие.
ч. 3.1 ст. 21 152-ФЗ регламентирует обязанность уведомлять о компьютерных инцидентах, инструкция должна описывать порядок реагирования на утрату или компрометацию носителя, внутреннюю эскалацию и оперативное уведомление компетентных органов в сроки, указанные в законе, включая оперативное извещение в пределах 24 часов.
ч. 11 ст. 13.11 КоАП предусматривает административную ответственность за неуведомление о неправомерном доступе, инструкция должна установить регламенты уведомлений, регистрационный учёт инцидентов и комплект доказательств для подтверждения исполнения обязанностей.
ч. 12 - 14 ст. 13.11 КоАП описывает ответственность за случаи утечки персональных данных и критерии оценки факта утечки, инструкция должна содержать критерии отличия обезличивания от мнимого, порядок оценки масштаба утечки и алгоритм действий при подтверждённом инциденте.
приказ РКН № 179 от 28.10.2022 требует подтверждения уничтожения данных актом, инструкция должна установить форму и содержание акта уничтожения машинных носителей, порядок привлечения ответственных лиц и сроки хранения таких актов как доказательство утилизации.

Образец документа

Инструкция по защите машинных носителей персональных данных

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения инструкции по защите машинных носителей ПДн

Пошаговый план от принятия решения до рабочей эксплуатации и первой проверки. Каждый шаг содержит исполнителя и конкретный выходной документ для передачи проверяющему.

1. Принятие решения и назначение ответственных Руководитель принимает приказ о введении инструкции, назначает ответственного за организацию обработки ПДн и уполномоченное подразделение, фиксирует сроки и ресурсы. На выходе - приказ с приложением плана работ и указанием ответственных.
2. Инвентаризация и классификация машинных носителей Ответственный проводит учёт всех сменных и переносных носителей, присваивает уникальные номера или бирки, фиксирует местоположение и назначение, классифицирует по степени критичности. На выходе - заполненный Журнал учёта машинных носителей и реестр с пометками о классификации.
3. Внедрение технических и организационных мер Служба ИБ и ИТ реализуют меры защиты по уровню: шифрование и контроль доступа, физическое хранение в опечатанных контейнерах или сейфах, учётные метки, журналы доступа и резервное хранение. На выходе - Акт внедрения мер защиты и реестр настроек оборудования и программных средств.
4. Установление правил выдачи, передачи и обучения Разработать и утвердить формы заявления на использование носителя, порядок выдачи и возврата, процедуры сопровождения при транспортировке, а также обучение и инструктаж сотрудников. На выходе - утверждённые формы, журнал выдачи носителей и обучающий материал с отметками об освоении.
5. Уничтожение носителей, реакция на инциденты и проверка соответствия Утвердить процедуру подтверждения уничтожения с оформлением акта, порядок регистрации и уведомления при инцидентах, включая сроки оперативного реагирования, провести контрольную проверку готовности и собрать папку для проверяющего. На выходе - Акт уничтожения носителя, Отчёт о внутренней проверке и папка проверки с приказом, журналами и актами.

09 Актуализация

Поводы для пересмотра и переиздания инструкции

Конкретные технологические, организационные и нормативные изменения, после которых инструкция должна быть доработана или издан приказ с поправками. В поводе указывают, что править - текст инструкции, реестр носителей, порядок передачи и подтверждения уничтожения, а также кто отвечает за исполнение.

Появление новых типов носителей или сценариев их использования Появление или официальное введение в эксплуатацию новых устройств и способов хранения данных - внешние SSD, корпоративные смартфоны и планшеты, переносные носители, виртуальные диски и синхронизация облачных хранилищ на рабочих устройствах, а также использование личных устройств сотрудниками. Триггер требует дополнить перечень носителей, правила учёта и маркировки, пересмотреть меры контроля доступа и порядок выдачи разрешений. Обновить реестр носителей, включить новые категории и прописать меры защиты и ограничения по перемещению
Изменение политики шифрования и штатных средств защиты Внедрение или отключение штатного шифрования, обновление механизмов управления ключами или смена штатных средств защиты меняют риск выноса данных и допустимые сценарии их транспортировки. Нужно оценить влияние на требования к хранению, учёту и процедурам при передаче техники внешним лицам. Уточнить положения инструкции о шифровании, обновить требования к учёту и правилам вывоза
Смена подрядчика ремонта или порядок обслуживания техники Привлечение нового сервисного поставщика, изменение гарантийных процедур или практика замены дисков при обслуживании требуют пересмотра правил передачи оборудования, контроля носителей при сдаче в ремонт и требований к подтверждению очистки или уничтожения замененных носителей. Зафиксировать новые правила передачи оборудования внешним исполнителям и процедуру подтверждения уничтожения/возврата носителей
Инцидент с утратой или несанкционированным выносом носителя После факта утраты, кражи или обнаружения несанкционированного доступа проводят разбор: зафиксировать статус шифрования, наличие учёта, сроки доклада и цепочку распоряжений. Результаты расследования определяют срочные правки в инструкции и процедуры уведомления. Внести срочные изменения в инструкцию и временные меры реагирования на выявленные пробелы
Изменение уровня защищённости ИСПДн или новых нормативных требований Переклассификация информации или изменение обязательных требований по уровню защищённости системы влечёт за собой пересмотр набора организационных и технических мер, правил учёта, хранения и подтверждения уничтожения носителей, а также обязанностей ответственных лиц. Сопоставить новый уровень защитённости с текущим содержанием инструкции и провести корректировку мер и ролей

10 Проверка

Инспектор проверит

Документы и материалы проверки по инструкции по защите машинных носителей персональных данных, подтверждение назначения ответственных и реализацию мер контроля.

Вопрос 01 «Предъявите инструкцию по защите машинных носителей персональных данных и документ об её утверждении.»
Вопрос 02 «Кто отвечает за хранение, учёт и транспортировку носителей в вашей организации?»
Вопрос 03 «Какие процедуры действуют для маркировки, хранения и выдачи сменных и переносных носителей?»
Вопрос 04 «Предъявите документы, подтверждающие порядок удаления и уничтожения данных с носителей.»
Вопрос 05 «Где фиксируются случаи утраты, выявленного неправомерного доступа или других инцидентов с носителями?»

Инспектор при проверке, может запросить:

утверждённую редакцию инструкции по защите машинных носителей персональных данных, приказ или распоряжение руководителя об утверждении
приказ о назначении ответственного за организацию обработки ПДн или распоряжение подразделения, должностные инструкции и контактные данные ответственного
инструкции и регламенты по учёту и маркировке носителей, журналы учёта и выдачи-возврата носителей, схемы хранения и описи мест складирования
процедуры по очистке и уничтожению носителей, акты списания и акты уничтожения носителей, документы о применении средств и методов удаления данных
журналы учёта инцидентов и утрат носителей, акты расследования инцидентов, уведомления в уполномоченные органы и отчёты об устранении последствий

11 Экспертная позиция

Критические риски при учёте, транспортировке и утилизации носителей

Неочевидный, но частый источник утечек - потеря контроля при перемещении и выбытии носителей: без чёткой процедуры и формальных актов даже зашифрованный носитель может быть доступен посторонним, а мнимое обезличивание привести к квалификации инцидента. Рекомендую включить в инструкцию обязательную маркировку и учёт каждого носителя, журнал передачи с подписью передающего и принимающего, регламент опечатывания при транспортировке, правило оформления акта приёма-передачи и актов уничтожения, а также назначение ответственного за хранение и транспортировку. Определите триггеры для внеплановой проверки - передача третьим лицам, ремонт, списание - и состав минимального пакета материалов для расследования и уведомления, чтобы обеспечить соответствие требованиям по мерам защиты и регламентам подтверждения уничтожения.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Инструкции по защите машинных носителей ПДн

Инструкцию утверждает руководитель организации, доступ к ней ограничивается по служебной необходимости. За исполнение отвечает ответственный за организацию обработки персональных данных или уполномоченное подразделение, указанное в инструкции. В документе укажите контактное лицо и порядок эскалации при нарушениях.

Заказать инструкцию по защите машинных носителей в комплекте для ИСПДн

Обязательный внутренний документ для работы с машинными носителями ПДн в ИСПДн, утверждается руководителем. Закажите адаптацию инструкции под вашу организацию вместе с комплектом локальных нормативных актов и доказательств для проверок. В комплект входят приказ о мерах защиты, журнал учёта выдачи и приёма носителей, правила маркировки и шифрования, акт уничтожения, скриншоты интерфейсов, URL-отчёты и логи доступа.

Скачать образец Заказать инструкцию в комплекте документов и доказательств

Инструкция по защите машинных носителей персональных данных

Инструкция по защите машинных носителей персональных данных

Административная ответственность при массовой утечке ПДн и сопутствующие риски для инструкции по защите носителей

Как ещё называют этот документ

Чеклист для инструкции по защите машинных носителей ПДн

Кому и когда нужна инструкция по защите машинных носителей ПДн

Нормативная база для инструкции по защите машинных носителей ПДн

Связанные документы

Связанные документы

Шаги внедрения инструкции по защите машинных носителей ПДн

Поводы для пересмотра и переиздания инструкции

Инспектор проверит

Критические риски при учёте, транспортировке и утилизации носителей

Частые вопросы по Инструкции по защите машинных носителей ПДн

База знаний содержит 268 документов

Заказать инструкцию по защите машинных носителей в комплекте для ИСПДн

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями