Назначение и область применения. Перечень фиксирует, кто внутри организации имеет доступ к конкретным категориям персональных данных и на каком основании. Это внутренний документ с доступом по необходимости, который утверждается распоряжением руководителя и ведётся ответственным подразделением. Перечень служит основой для контроля соблюдения принципа минимизации доступа и для оперативного управления правами при организационных изменениях.
Обязательные реквизиты записи в перечне. Для каждой записи указывают должность и полномочия сотрудника, категорию обрабатываемых данных, объём допуска и период действия права доступа, основание допуска и ответственное лицо, а также место хранения носителей при наличии физического доступа. Формат записи должен позволять однозначно связать пользователя с конкретными правами и мотивирующими документами.
Порядок предоставления и прекращения доступа. Доступ оформляется по запросу уполномоченного руководителя или кадрового подразделения с документальным подтверждением основания и указанием уровня прав. При смене должности, переводе, увольнении или при установлении нарушений доступ пересматривают и при необходимости аннулируют. Управление средствами аутентификации и учётом полномочий организуют в соответствии с требованиями по защите и контролю доступа.
Актуализация, контроль и триггеры пересмотра. Актуализацию перечня проводят при кадровых изменениях, по результатам внутренних проверок и при инцидентах, которые могут затронуть права доступа. Перечень применяется в ходе аудитов и расследований для быстрой идентификации лиц с доступом и оценки объёма раскрытых данных. Ответственное подразделение хранит историю изменений для последующей проверки и аудита.
Позвонить