Главная

Перечень лиц, имеющих доступ в помещения с ИСПДн

Обязательный внутренний документ при обработке персональных данных в ИСПДн, утверждаемый приказом руководителя и ведётся ответственным за организацию обработки персональных данных. Уточняет категории сотрудников и третьих лиц (уборщицы, подрядчики, арендодатель), места хранения носителей и регламент допуска; при проверке смотрят фактический список допущенных, записи о допусках и соблюдение режима безопасности помещений.

01 Назначение

Перечень лиц, имеющих доступ в помещения с ИСПДн

Внутренний документ, обязательный при обработке персональных данных в помещениях с ИСПДн; утверждается приказом руководителя, ведется ответственным за обработку

Краткое назначение. Перечень фиксирует круг лиц, допущенных в помещения, где эксплуатируются информационные системы персональных данных. Документ служит для организации режима доступа, оперативного реагирования при инцидентах и подтверждения законности допусков при проверках.

Область применения и границы. Применяется к физическим помещениям с ИСПДн: серверные, комнаты хранения носителей, архивы, помещения резервного копирования, стойки и шкафы с оборудованием, а также к зонам, где осуществляется прямой физический доступ к системам и носителям. Не включает удаленный доступ без физического посещения помещения.

Содержание перечня. В реестре указывают Ф. И. О., должность и подразделение, основание допуска (приказ, договор), период действия допуска, средство идентификации или пропуск, перечень зон доступа и примечания об ограничениях. Перечень должен включать сотрудников организации и подрядчиков, для которых предусмотрен физический доступ.

Триггеры обновления и порядок изменений. Обновление перечня происходит при приеме на работу, увольнении, переводе, смене обязанностей, замене подрядчика или после инцидента, затрагивающего доступы. Перечень утверждается приказом руководителя, ведется и актуализируется назначенным ответственным; при расследовании инцидента перечень помогает установить круг лиц, подлежащих уведомлению и проверке.

Контроль, роль ответственного и типичные ошибки. За формирование и ведение перечня отвечает ответственный за организацию обработки персональных данных в сотрудничестве с службами безопасности и кадровым подразделением. Частые ошибки - несвоевременное исключение уволенных, отсутствие основания допуска в приказе, неполный учёт подрядчиков и несовпадение заявленных зон доступа с фактическими. Несоблюдение требований режима безопасности может повлечь дисциплинарную или административную ответственность и осложнить расследование утечек.

Раскрыть полностью

02 Ответственность

Ответственность при утечке данных и нарушениях режима доступа к помещениям с ИСПДн

ч. 13 ст. 13.11 КоАП РФ - утечка данных 10 000 - 100 000 субъектов

Юридическое лицо 5 000 000 - 10 000 000 ₽
Должностное лицо 300 000 - 500 000 ₽
Физическое лицо (гражданин) 200 000 - 300 000 ₽
Дополнительные последствия возможны дисциплинарные меры, обязанность уведомления о нарушении в установленные сроки и иные санкции в зависимости от состава правонарушения

Суммы приведены по ч. 13 ст. 13.11 КоАП РФ при факте утечки данных в диапазоне 10 000 - 100 000 субъектов. Отсутствие или неактуальность перечня лиц с доступом к помещениям с ИСПДн повышает риск несанкционированного доступа и косвенно увеличивает вероятность наступления административной ответственности по указанной части статьи. Кроме административных штрафов, возможны дисциплинарные меры работодателя и обязанность уведомления по правилам, установленным 152-ФЗ, а также иные последствия при нарушении трудового законодательства или требований по защите средств аутентификации. Типичные ошибки операторов: несвоевременное снятие доступа при увольнении, нет регистратора изменений в перечне, отсутствие обоснования категорий доступа.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Краткие альтернативные названия внутреннего документа, фиксирующего перечень лиц с физическим доступом в помещения, где хранятся или обрабатываются персональные данные. Названия отражают формулировки приказов, приложения к приказам и регистрационные формы для контроля доступа.

Список лиц, допущенных в помещения с ИСПДн
Реестр доступа в помещения хранения персональных данных
Перечень работников с правом входа в серверные помещения
Список допущенных в контролируемую зону
Реестр выдачи ключей и пропусков для помещений с ПДн
Перечень лиц, допущенных в защищаемые помещения
Приложение к приказу о режиме доступа в помещения
Список сотрудников с доступом в архив и кадровое делопроизводство
Кто имеет доступ в помещения с персональными данными

04 Обязательное содержание

Что должно быть в перечне лиц с доступом

Чеклист элементов документа, достаточных для управления и контроля физического доступа в помещения, где размещены ИСПДн. Фокус на полномочном составе записей, зонировании доступа и процедурах выдачи/отзыва.

Утверждение и реквизиты Наличие приказа руководителя с датой, номером и подписью, указание ответственного за содержание перечня и сроков его пересмотра.
Область применения и список помещений Чёткое перечисление помещений и зон с ИСПДн, границ зоны доступа и ссылки на план помещений или схему зонирования.
Структура записи о лице с доступом Для каждой записи указано ФИО, должность, подразделение, категория доступа, основание доступа, срок действия, идентификатор доступа и применяемые методы аутентификации.
Разграничение прав по зонам Матрица соответствия категорий лиц и их прав по конкретным помещениям и носителям, с кратким обоснованием необходимости доступа для каждой категории.
Порядок выдачи, продления и отзыва доступа Процедура действий при добавлении или исключении лица из перечня, включая требования к заявке, согласованиям и порядок оформления временного доступа для подрядчиков и посетителей.
Учёт доступа и места хранения носителей Описание форм журналов учёта доступа или ссылок на реестры, указание места хранения идентификаторов и носителей с персональными данными.
Ответственность и порядок реагирования при инцидентах доступа Положение о дисциплинарной и другой ответственности за нарушение режима доступа и указание на порядок уведомления и действий при инцидентах, затрагивающих доступ в помещения.

05 Применимость

Область применимости перечня лиц с доступом в помещения с ИСПДн

Краткие указания, кому и когда необходим внутренний перечень лиц с правом доступа в помещения, где размещены информационные системы персональных данных (ИСПДн). Указаны границы применения, ответственные и связь с другим регламентирующим комплектом документов.

Организации и подразделения, для которых нужен перечень Документ обязателен для организаций и их подразделений, в которых ведётся обработка персональных данных в ИСПДн и имеются выделенные помещения или стойки с оборудованием. Включает головные офисы, филиалы и отдельные структурные подразделения, где физически размещены ИСПДн.
Ситуации, когда ведение перечня обязательно Ведение и утверждение перечня лиц требуется при организации режима безопасности помещений, где размещены ИСПДн, в целях реализации организационно-технических мер защиты персональных данных и разграничения физического доступа.
Кто утверждает и кто отвечает за документ Перечень является внутренним документом и утверждается приказом руководителя организации. Ответственность за подготовку, актуализацию и контроль исполнения возлагается на ответственного за организацию обработки персональных данных и подразделения безопасности.
Границы применения и исключения Документ не применяется в подразделениях, где отсутствуют помещения с ИСПДн или где доступ к ПДн осуществляется исключительно удалённо без выделенных помещений. При совместном использовании помещений у разных операторов требуется отдельный перечень для каждого оператора или иное согласование прав доступа.
Применение в филиалах, арендованных и совместных помещениях Для филиалов и арендованных помещений перечень ведётся для каждой юридической единицы отдельно с учётом полномочий локальных администраторов и договорных условий с арендодателем или совладельцами помещения. В случае совместного размещения следует зафиксировать зоны ответственности и правила взаимодействия по допуску и контролю доступа.
Связь с другими внутренними документами и мерами защиты Перечень дополняет приказ об организации доступа, журналы учёта допусков и процедуры управления средствами аутентификации. Список лиц должен быть согласован с мерами управления доступом и иными регламентами информационной безопасности.

06 Нормативная база

Нормативная база для перечня лиц с доступом в помещения с ИСПДн

п. 13 ПП РФ № 1119 Обосновывает требование ввести режим безопасности для помещений с ИСПДн. Для перечня это означает необходимость регламентации категорий помещений и категорий лиц, порядок допуска и контроля пребывания, а также периодичность пересмотра перечня в рамках режима безопасности.
ст. 19 152-ФЗ Указывает на обязанность применять организационные и технические меры защиты, включая физическую. Перечень лиц служит документальным механизмом ограничения физического доступа и учета ответственных лиц для целей аудита и подтверждения принятых мер защиты.
приказ ФСТЭК № 21 Регламентирует управление средствами аутентификации и контроля доступа. В контексте перечня это требует фиксировать сведения о выданных средствах доступа, ответственных за их выдачу и отзыв, а также обеспечить связь перечня с журналами прохода и системами контроля доступа.
п. 13 ПП РФ № 687 Предписывает определить места хранения материальных носителей и установить перечень лиц с доступом к ним. Для операционного перечня важно указывать не только лиц, но и конкретные места хранения носителей, условия доступа и ответственных за хранение.
ст. 90 ТК РФ Ограничивает доступ работников к персональным данным коллег и закрепляет трудовую ответственность за нарушения. Перечень используется как основание для применения дисциплинарных мер и для обоснования доступа в рамках трудовых функций.
ч. 3.1 ст. 21 152-ФЗ Квалифицирует неправомерный доступ как инцидент, требующий уведомления в установленные сроки. Поддержание актуального перечня ускоряет выявление и расследование инцидента, позволяет оперативно определить затронутых субъектов и ответственных сотрудников.
ч. 13 ст. 13.11 КоАП Фиксирует наличие административной ответственности за утечку персональных данных. Для перечня это значение в демонстрации контролируемого режима доступа при проверках и в минимизации рисков, ведущих к административной ответственности.

08 Внедрение

Внедрение перечня лиц с доступом в помещения с ИСПДн

План внедрения охватывает сбор исходных данных, подготовку и утверждение приказа, организацию учета доступа и проверку готовности к контролю. Ответственный за организацию обработки персональных данных координирует работу служб и оформляет результаты.

1. Идентификация помещений и классификация носителей Собрать перечень помещений, где размещены ИСПДн, привязать категории обрабатываемых носителей и определить оптимальный набор лиц для доступа к каждому помещению. Результат - «Реестр помещений и предложенный перечень лиц с доступом».
2. Подготовка и согласование проекта приказа Сформировать проект приказа руководителя об утверждении перечня лиц с доступом в помещения с ИСПДн, согласовать с юридическим отделом и руководителем службы безопасности. Результат - проект приказа 'Перечень лиц, имеющих доступ в помещения с ИСПДн' для подписания.
3. Ввод в эксплуатацию реестра и учет доступа После приказа внести данные в реестр лиц с доступом и организовать учет выдачи средств доступа, включая записи о выданных пропусках и привязке к конкретному помещению. Результат - утверждённый реестр лиц с доступом и журнал выдачи пропусков.
4. Инструктаж и подписание обязанностей Провести инструктаж допущенных лиц по правилам работы в помещениях с ИСПДн, получить их письменные обязательства по соблюдению режима и правилам обращения с носителями. Результат - протокол инструктажа и подписанные инструкции по порядку доступа.
5. Контроль готовности и передача материалов проверяющему Провести контрольную проверку соответствия перечня и реестров приказу, зафиксировать результаты внутренней проверки и сформировать комплект документов для инспектора. Результат - записка о внутренней проверке с указанием мест хранения реестра и сопроводительная папка для проверки.

09 Актуализация

Поводы для обновления перечня лиц с доступом в помещения с ИСПДн

Перечень устаревает быстро - изменения в кадрах, договорах, помещениях и инциденты требуют своевременной корректировки. Ниже ключевые поводы и рекомендуемые действия при каждом из них.

Приём на работу и увольнение При приёме и при увольнении запись в перечне должна меняться одновременно с кадровым событием. При увольнении оформляется акт возврата пропуска и ключей, в перечне фиксируется дата возврата, при электронных системах доступы и идентификаторы блокируются. Внести изменение в перечень и в приказ, оформить акт возврата пропуска, заблокировать электронные идентификаторы, при необходимости обновить журналы доступа.
Перевод сотрудника в другое подразделение При переводе необходимо пересмотреть набор разрешений: сохранить доступ только при непосредственной необходимости и добавить доступ к новым помещениям по служебной необходимости. Бесконтрольные наслоения прав приводят к избыточному доступу. Скорректировать запись в перечне, пересмотреть роль и набор прав доступа, при необходимости внести изменения в приказ об организации доступа.
Смена подрядчика или исполнителя работ Замена подрядчика меняет состав лиц с допуском в помещения. Перечень должен синхронизироваться с договором и актами допуска, чтобы избежать ситуаций, когда посторонние работники сохраняют прежний доступ. Обновить перечень в соответствии с новым договором, проверить наличие оформленных допусков у новых сотрудников и отозвать доступ у ушедших исполнителей.
Утеря ключа, компрометация идентификатора или замена замка Потеря или компрометация физического ключа или электронного идентификатора - триггер для немедленных мер: блокировка идентификаторов, смена замочных элементов при подозрении на несанкционированный доступ и анализ событий доступа за период возможного инцидента. Заблокировать скомпрометированные идентификаторы, при необходимости заменить замок или конфигурацию контроллера доступа, провести аудит журналов доступа и оценку инцидента по регламенту уведомления.
Ввод нового помещения или изменение назначения комнаты При появлении нового помещения, изменении назначения или размещении архивов и серверного оборудования нужно заранее определить круг лиц с доступом и прописать режим доступа в перечне, чтобы доступ не оставался «по ситуации». Добавить помещение в классификацию, назначить ответственных и обновить перечень уполномоченных лиц и приказ об организации доступа.

10 Проверка

Инспектор проверит

Документы и материалы проверки по перечню лиц, имеющих доступ в помещения с ИСПДн.

Вопрос 01 «Предъявите перечень лиц, имеющих доступ в помещения с ИСПДн.»
Вопрос 02 «Покажите приказ об утверждении перечня и документ, который его регламентирует.»
Вопрос 03 «Как ведется учет доступа в помещения с ИСПДн?»
Вопрос 04 «Предоставьте сведения об актуализации перечня и назначении ответственных лиц.»
Вопрос 05 «Какие инструкции и регламенты действуют при нарушении режима доступа и утечке ПДн?»

Инспектор при проверке, может запросить:

актуальный перечень лиц, имеющих доступ в помещения с ИСПДн, с указанием ролей и категорий доступа
приказ руководителя об утверждении перечня, с подписью, датой и ссылкой на ответственное лицо
журналы учета прохода или автоматические логи системы контроля доступа с записями за проверяемый период
записи об обновлениях перечня с датами и фамилиями ответственных, приказы о назначении ответственных за организацию обработки ПДн
инструкция по реагированию на инциденты, регламент уведомления уполномоченных органов и журнал регистрации инцидентов

11 Экспертная позиция

Риск устаревшего перечня и практическая мера

Частая и малоочевидная причина инцидентов - разрозненные или неактуальные списки доступа, которые не связаны с кадровыми событиями и с управлением аутентификацией. Последствие - посторонние лица сохраняют физический или системный доступ, а расследование затягивается. Практический приём: вести единый реестр доступа, разделённый по категориям помещений и мест хранения носителей, привязывать изменения к кадровым операциям и к учетам аутентификации, фиксировать срок действия доступа и причину выдачи. Регулярные сверки ответственного списка с данными HR и с журналами доступа снижает риск несанкционированного проникновения и ускоряет реагирование на инциденты.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по перечню лиц с доступом в помещения с ИСПДн

В перечень вносят всех, кто получает физический доступ в помещения с ИСПДн или к носителям и оборудованию, хранящим персональные данные: штатных сотрудников, сотрудников аутсорсинга и подрядчиков, сервисных инженеров и других лиц, чья работа связана с такими помещениями. Исключения остаются только для тех, кто не входит в зону доступа и не взаимодействует с носителями ПД.

Заказать перечень лиц с доступом в помещения с ИСПДн

Закажите готовый перечень лиц с доступом в помещения, где размещены информационные системы персональных данных (ИСПДн), с адаптацией под структуру вашей организации. В комплект включены: шаблон перечня в табличном формате, образец приказа руководителя об утверждении, журнал регистрации допусков, форма отметки ознакомления сотрудников, инструкция по ведению и актуализации перечня и базовый комплект доказательств для проверки (приказ, заполненный перечень, журнал). Документ оформляется на ответственное за организацию обработки персональных данных и встраивается в локальные нормативные акты. Поможет обеспечить учёт доступов и подготовиться к проверке органов контроля. Срок подготовки и согласования - по договорённости.

Заказать перечень и комплект документов

Перечень лиц, имеющих доступ в помещения с ИСПДн

Перечень лиц, имеющих доступ в помещения с ИСПДн

Ответственность при утечке данных и нарушениях режима доступа к помещениям с ИСПДн

Как ещё называют этот документ

Что должно быть в перечне лиц с доступом

Область применимости перечня лиц с доступом в помещения с ИСПДн

Нормативная база для перечня лиц с доступом в помещения с ИСПДн

Связанные документы и записи

Связанные документы

Внедрение перечня лиц с доступом в помещения с ИСПДн

Поводы для обновления перечня лиц с доступом в помещения с ИСПДн

Инспектор проверит

Риск устаревшего перечня и практическая мера

Частые вопросы по перечню лиц с доступом в помещения с ИСПДн

База знаний содержит 268 документов

Заказать перечень лиц с доступом в помещения с ИСПДн

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями