Главная

Инструкция по защите технических средств ИСПДн

Инструкция регламентирует защиту технических средств ИСПДн: требования к настройке, учёту, эксплуатации, ремонту и списанию оборудования; ведёт её служба информационной безопасности или ответственный за организацию обработки, утверждает руководитель приказом. На проверке обращают внимание на блокировку экрана, актуальность обновлений и антивируса, управление установкой ПО и доступом, правила выноса и ремонта техники, размещение рабочих мониторов, порядок работы с личными устройствами и наличие записей о техническом обслуживании.

Статус обязательная инструкция для защиты технических средств при обработке персональных данных в ИСПДн
Основание ст. 19 152-ФЗ, приказ ФСТЭК № 21 (базовый набор мер по уровню защищённости)
Публичность внутренний документ, доступный для работников и ответственных за ИСПДн
Кто утверждает руководитель организации, приказом
Ответственный ответственный за организацию обработки персональных данных или служба информационной безопасности
Область применения технические средства и оборудование, используемые в ИСПДн, включая их настройку, эксплуатацию и обслуживание
Ответственность возможная дисциплинарная и административная ответственность за несоблюдение требований защиты технических средств
Обновлено июль 2026

01 Назначение

Инструкция по защите технических средств ИСПДн

Краткое руководство по требованиям, ответственности и проверке защитных мер для оборудования и систем ИСПДн

Назначение и область применения. Инструкция определяет обязанности и практические требования к защите технических средств и оборудования, используемых при обработке персональных данных в ИСПДн. Область применения включает серверы, рабочие станции, сетевое оборудование, системы хранения данных и периферийные устройства, а также их настройку, эксплуатацию и обслуживание. Утверждается приказом руководителя, исполнителем является ответственный за организацию обработки персональных данных или служба информационной безопасности.

Основные технические требования. Требования охватывают управление доступом и учётными записями, надёжную аутентификацию и управление ключами, защищённые конфигурации и контроль изменений, регулярные обновления и тестирование патчей, шифрование каналов и при необходимости хранения, антивирусную защиту и мониторинг целостности, логирование действий и событий, разделение тестовой и рабочей сред, а также организацию резервного копирования. Типичные ошибки при внедрении: использование заводских паролей, открытые административные порты, отсутствие учёта изменений и пропуски в журналировании.

Реагирование на инциденты безопасности. При подозрении на инцидент следует немедленно изолировать пострадавшие средства, зафиксировать состояние систем и доступные журналы, провести предварительную оценку влияния и задокументировать принятые меры. Уведомление уполномоченных органов и руководство осуществляется в установленные нормативом сроки, при этом важна сохранность первичных данных расследования и последовательность действий для последующей проверки.

Внедрение, контроль соответствия и ответственность. Организация внедряет инструкцию через реестр технических средств, базовые конфигурационные профили, инструкции по обслуживанию и план обучения для сотрудников. Контроль выполнения включает периодические проверки соответствия конфигураций, ревизию журналов доступа и отчёты по исправлению выявленных нарушений. За неисполнение требований предусмотрены меры дисциплинарной ответственности в соответствии с трудовым законодательством организации.

Раскрыть полностью

02 Ответственность

Ответственность при утечке персональных данных и связанные риски для инструкции по защите технических средств

ч. 12 ст. 13.11 КоАП РФ - утечка данных 1 000 - 10 000 субъектов

Юридическое лицо (организация) 3 000 000 - 5 000 000 ₽
Должностное лицо 200 000 - 400 000 ₽
Физическое лицо (гражданин) 100 000 - 200 000 ₽
Дисциплинарная ответственность работников по ст. 192 ТК РФ

Отсутствие или формальное исполнение инструкции повышает риск административной ответственности по ч. 12 ст. 13.11 КоАП РФ при утечке 1 000 - 10 000 записей и может сопровождаться дисциплинарными мерами по ст. 192 ТК РФ. Риски усиливаются при несоблюдении требований ст. 19 152-ФЗ и мер, рекомендованных приказом ФСТЭК № 21, при слабой аутентификации и отсутствии учёта изменений, а также при несвоевременном уведомлении об инциденте. Типичные ошибки операторов: отсутствие инвентаризации технических средств, стандартных конфигураций и журналирования, непрописанные процедуры администрирования и контроля доступа. Рекомендация для снижения риска: иметь утверждённую инструкцию с требованиями по настройке и управлению средствами, порядком учёта и реагирования на инциденты, и фиксировать периодический пересмотр.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Собранные короткие названия и разговорные формулировки для внутренней навигации и поиска инструкций по защите технических средств ИСПДн.

Инструкция по защите рабочих мест
Правила работы с служебной компьютерной техникой
Требования к рабочему месту с персональными данными
Порядок приёма, ремонта и списания служебной техники
Инструкция по антивирусной защите рабочих станций
Требования по учёту и маркировке оборудования
Требования к защите портативных носителей и ноутбуков
Политика чистого стола и чистого экрана

04 Обязательное содержание

Что должно быть в инструкции по защите ТС

Чеклист разделов и элементов инструкции для защиты технических средств, используемых в ИСПДн. Пункты помогают проверить полноту требований, ответственности и мер реагирования.

Утверждение и ответственность Указаны лицо, утверждающее документ (руководитель, приказом), ответственный за содержание и контакты лиц, доводящих инструкцию до работников; фиксирована дата вступления в силу и порядок внесения изменений.
Область применения и реестр технических средств Чётко перечислены классы и конкретные виды ТС, попадающие под инструкцию (серверы, сетевое оборудование, рабочие станции, мобильные устройства, периферия), а также требование вести инвентарную запись и актуальность реестра.
Требования к настройке и конфигурации Прописаны минимальные безопасные конфигурации, порядок их применения и контроль отклонений, правила установки обновлений и проверки состояния после изменений конфигурации.
Управление доступом и аутентификацией Описаны роли и права доступа к ТС, правила учётных записей, требования к средствам аутентификации и управлению ими, порядок временного и экстренного предоставления/отзыва доступа.
Логирование, мониторинг и реагирование на инциденты Установлены требования к объёму и сохранности логов, правила мониторинга, порядок выявления инцидента и внутреннего реагирования, включая уведомление компетентных органов в сроки, указанные в законе.
Физическая защита и режим доступа к помещениям Описан режим доступа к помещениям с ИСПДн, требования к пропускному режиму, видеонаблюдению и защите оборудования от несанкционированного доступа и внешних воздействий.
Контроль исполнения, обучение и ответственность Зафиксированы обязанности по проведению инструктажей и проверок исполнения инструкции, порядок документирования нарушений и применяемые дисциплинарные меры и санкции за допущенные нарушения; указаны риски административной ответственности при утечке данных.

05 Применимость

Кому и в каких случаях нужна инструкция по защите технических средств ИСПДн

Краткое указание на круг организаций и ситуаций, для которых инструкция является обязательной или целесообразной. Учитывает статус документа, основание и область применения в паспорте документа.

Обязательность инструкции для операторов, обрабатывающих ПДн в ИСПДн Инструкция является обязательным внутренним документом для организаций, эксплуатирующих информационные системы персональных данных (ИСПДн); утверждается руководителем организации приказом и доступна работникам и ответственным за ИСПДн. Основа требований - необходимость применять организационные и технические меры защиты.
Кому адресована инструкция Организация в целом, её структурные подразделения и филиалы, службы информационной безопасности, ответственные за организацию обработки персональных данных, а также сотрудники, эксплуатирующие и обслуживающие технические средства, включённые в ИСПДн.
Область применения по составу технических средств Инструкция охватывает технические средства и оборудование, используемые в ИСПДн, включая их настройку, эксплуатацию и обслуживание; в тексте инструкции должны быть перечислены категории и реестр таких средств или ссылки на соответствующие реестры.
Когда требуется отдельный документ или дополнение Инструкция по защите технических средств дополняется или сопровождается иными регламентами при наличии специфики: регламентами контроля доступа, реестром технических средств, правилами удалённого доступа, инструкциями по обслуживанию подрядчиков и планом реагирования на инциденты. Для сложных или распределённых инфраструктур целесообразны отдельные инструкции по подсистемам.
Триггеры обновления инструкции Инструкция подлежит пересмотру при изменении состава технических средств, при внедрении новых уровней защищённости или криптографических механизмов, после реального инцидента безопасности и при изменении нормативных требований по защите ИСПДн.
Контроль соблюдения и ответственность Внутренняя обязанность обеспечения соблюдения инструкции возлагается на ответственного за организацию обработки персональных данных или службу информационной безопасности; нарушение требований инструкции может повлечь дисциплинарную и административную ответственность в соответствии с действующим законодательством.

06 Нормативная база

Нормативная база для инструкции по защите технических средств ИСПДн

ст. 19 152-ФЗ Обязывает применять организационные и технические меры защиты персональных данных; инструкция должна перечислять требуемые меры для технических средств ИСПДн, распределять обязанности за их внедрение и контроль исполнения.
приказ ФСТЭК № 21 от 18.02.2013 Задаёт базовый набор мер по уровням защищённости; инструкция должна фиксировать применяемые требования к конфигурации, обновлениям, антивирусной защите и контролю целостности программного обеспечения для технических средств в соответствии с уровнем защиты.
приказ ФСТЭК № 21 Содержит меры по управлению средствами аутентификации и контролю доступа; инструкция должна определять порядок выдачи, хранения, аннулирования учётных данных и средств аутентификации, а также требования к журналированию доступа к системам ИСПДн.
п. 13 ПП РФ № 1119 Регламентирует режим безопасности помещений с ИСПДн; инструкция должна устанавливать требования к физической защите оборудования, учёту и хранению носителей, процедурам выдачи доступа и перемещения технических средств.
ч. 3.1 ст. 21 152-ФЗ Устанавливает обязанность уведомления об инцидентах обработки персональных данных в установленный срок, в том числе при утрате устройств; инструкция должна содержать критерии инцидента, порядок внутреннего реагирования и обязательство уведомления в пределах 24 часов ответственному органу.
ст. 21 152-ФЗ Описывает меры по прекращению обработки и уничтожению данных при наличии оснований; инструкция должна регламентировать порядок безопасного удаления персональных данных с устройств и вывода технических средств из эксплуатации.
ст. 192 ТК РФ Указывает на дисциплинарную ответственность за неисполнение обязанностей; инструкция должна фиксировать основания для дисциплинарных мер в случае нарушения правил эксплуатации и обслуживания технических средств ИСПДн.

08 Внедрение

Внедрение инструкции по защите технических средств ИСПДн

Пошаговый план от принятия решения до рабочего контура инструкции. В каждом шаге указаны ответственные и конкретный выходной документ для хранения в деле контроля.

1. Принятие решения и утверждение инструкции Согласовать проект инструкции с руководством и службой ИБ, подготовить приказ об утверждении; результат на выходе - Приказ об утверждении 'Инструкция по защите технических средств ИСПДн' с приложением текста инструкции и назначением ответственных.
2. Инвентаризация технических средств и определение границ ИСПДн Осуществить полный учет оборудования, карточки размещения и каналов связи, зафиксировать ответственных за каждый объект; результат на выходе - Акт инвентаризации ТС ИСПДн и Реестр оборудования с указанием мест размещения.
3. Классификация ТС и разработка типовых конфигураций Разбить ТС на уровни защищенности, подготовить типовые настройки и обязательный набор средств защиты для каждой группы; результат на выходе - Реестр типовых конфигураций и Положение по настройке ТС.
4. Внедрение настроек, управление доступом и журналирование Внедрить утвержденные конфигурации на реальных ТС, настроить средства аутентификации и ведение журналов доступа, зафиксировать изменения; результат на выходе - Реестр конфигураций с записями об изменениях и протоколами настройки.
5. Обучение и оформление ответственности эксплуатационного персонала Провести инструктажи и практические занятия для обслуживающего персонала, выдать памятки по повседневной эксплуатации и правилам обращения с ТС; результат на выходе - Журнал обучения и подписанные листы ознакомления.
6. Первичная проверка соблюдения, мониторинг и реагирование на инциденты Провести проверку соответствия внедренных мер требованиям инструкции, организовать регулярный мониторинг и определить процедуру реагирования; результат на выходе - Отчёт первичной проверки и комплект документов для проверяющего (Приказ, Акт инвентаризации, Реестр конфигураций, Журнал обучения). При инциденте оформить уведомление и журналы событий в соответствии с установленной процедурой.

09 Актуализация

Поводы для корректировки инструкции по защите технических средств ИСПДн

Инструкция должна меняться при фактических изменениях в технике, способах работы и требованиях безопасности. Каждый повод сопровождается конкретным действием: правка текста инструкции, издание приказа или уточнение инструкций эксплуатации и передачи техники.

Изменение нормативных требований и обязательных мер защиты Появились новые или уточнённые требования к организационным и техническим мерам защиты, к управлению средствами аутентификации или к базовому набору мер по уровням защищённости. Пересмотреть требования инструкции, привести контрольные параметры и процедуры в соответствие, оформить изменения приказом руководителя и довести до ответственных за ИСПДн.
Инцидент с техническим средством, приводящий к утечке или компрометации Потеря, кража или заражение устройства, несанкционированный доступ через подключённые периферийные устройства, а также случаи подтверждённой утечки персональных данных. По результатам расследования обновить разделы об инцидент-реакции, сроках и порядке уведомления, правах и обязанностях ответственных; при необходимости включить новые технические меры и контроль доступа.
Внедрение или централизованное обновление средств защиты и управления Появление централизованных средств шифрования дисков, управления мобильными устройствами, EDR/антивируса или смена схемы управления аутентификацией влияет на требования к конфигурации и эксплуатации техники. Адаптировать требования к настройке и эксплуатации, прописать процесс развёртывания и контроль соответствия, обновить инструкции для администраторов и пользователей.
Изменение режима работы сотрудников - удалённая или гибридная работа Широкий вынос техники за пределы офиса, регулярная работа через домашние сети или в общественных местах требует новых правил хранения, транспортировки и защиты экрана и данных. Добавить отдельный раздел с требованиями к мобильным устройствам, шифрованию, минимальным настройкам безопасности и правилам работы вне защищённой сети.
Смена подрядчика по обслуживанию, ремонт или списание техники Новый сервисный центр, передача техники в ремонт, обмен устройств или их списание меняют порядок передачи, требования к очистке носителей и риски утраты данных. Уточнить порядок передачи техники в ремонт и при списании, закрепить обязанности по обезличиванию и проверке накопителей, включить контроль передачи в журнал приёма-выдачи.

10 Проверка

Инспектор проверит

Документы и материалы проверки исполнения инструкции по защите технических средств ИСПДн.

Вопрос 01 «Предъявите документ, подтверждающий утверждение инструкции и порядок её введения в действие.»
Вопрос 02 «Предъявите документы по управлению доступом и средствами аутентификации.»
Вопрос 03 «Предъявите материалы по конфигурации, обновлению и техническому сопровождению технических средств ИСПДн.»
Вопрос 04 «Предъявите документы по фиксации и реагированию на инциденты с персональными данными.»
Вопрос 05 «Предъявите подтверждение мер физической защиты и режима доступа к помещениям с оборудованием ИСПДн.»

Инспектор при проверке, может запросить:

приказ об утверждении инструкции по защите технических средств ИСПДн и записи о доведении инструкции до ответственных и работников
реестры учётных записей, правила управления средствами аутентификации, ведомости прав доступа и журналы учёта сеансов
регламенты настройки и эксплуатации оборудования, конфигурационные файлы, журналы обновлений и акты технического обслуживания
порядок реагирования на инциденты, журналы событий, отчёты расследований и подтверждения направления уведомления в уполномоченный орган при необходимости
перечень помещений с режимом доступа, журналы входа-выхода, инструкции по охране и акты проверок инженерных и противопожарных систем

11 Экспертная позиция

Неочевидный риск и практическая мера

Частая ошибка - свести инструкцию к набору настроек без процессов верификации и учёта. Если не вести реестр устройств, конфигурационные снимки и контроль обновлений, конфигурный дрейф и уязвимые прошивки останутся незамеченными, это усложнит расследование и восстановление после инцидента. В инструкцию обязательно включите процедуры приёмки и списания оборудования, регулярное снятие и проверку контрольных сумм конфигураций, разделение прав администраторов и регламент реагирования с порядком уведомления об инцидентах, установленным нормативными актами. Закрепите ответственность сотрудников и критерии приемлемого риска для оперативных проверок.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - Инструкция по защите технических средств ИСПДн

Инструкция утверждается руководителем организации приказом. Ответственность за внедрение и соблюдение мер защиты возлагается на ответственного за организацию обработки персональных данных или на службу информационной безопасности; они организуют контроль исполнения и документирование нарушений.

Заказать инструкцию по защите технических средств ИСПДн в комплекте с документами для утверждения

Закажите адаптацию инструкции по защите технических средств ИСПДн и комплект документов для утверждения и подтверждения исполнения. В комплекте: проект приказа об утверждении, журнал учёта оборудования, шаблон акта списания, образцы записей о ремонте и обслуживании, перечень контрольных точек для проверяющих и рекомендации по настройкам. Подходит для работников и ответственных за ИСПДн.

Заказать инструкцию и комплект документов

Инструкция по защите технических средств ИСПДн

Инструкция по защите технических средств ИСПДн

Ответственность при утечке персональных данных и связанные риски для инструкции по защите технических средств

Как ещё называют этот документ

Что должно быть в инструкции по защите ТС

Кому и в каких случаях нужна инструкция по защите технических средств ИСПДн

Нормативная база для инструкции по защите технических средств ИСПДн

Связанные документы для инструкции по защите технических средств ИСПДн

Связанные документы

Внедрение инструкции по защите технических средств ИСПДн

Поводы для корректировки инструкции по защите технических средств ИСПДн

Инспектор проверит

Неочевидный риск и практическая мера

Частые вопросы - Инструкция по защите технических средств ИСПДн

База знаний содержит 268 документов

Заказать инструкцию по защите технических средств ИСПДн в комплекте с документами для утверждения

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями