Перечень работников, допущенных к сведениям, составляющим коммерческую тайну

Вид документа Перечень
Назначение Учёт работников, допущенных к сведениям, составляющим коммерческую тайну
Область применения Применяется при введённом режиме коммерческой тайны и при наличии процесса допуска в организации
Что включает перечень ФИО, должность, категория или объём доступа, основание допуска, даты предоставления и прекращения доступа
Ответственный за ведение Определяется организацией

01 Назначение

Краткое описание перечня допущенных работников

Что фиксируется, когда применяется и как соотносится с другими локальными актами по режиму коммерческой тайны

Назначение и область применения. Перечень предназначен для учёта работников, допущенных к сведениям, составляющим коммерческую тайну. Применяется при введённом режиме коммерческой тайны и в случаях, когда в организации реализован процесс допуска работников к таким сведениям.

Состав записей. В перечне фиксируются фамилия, имя, отчество работника, занимаемая должность, категория или объём доступа, основание допуска, даты предоставления и прекращения доступа. В документ вносятся только данные, необходимые для учёта доступа, лишние персональные сведения не включаются.

Ведение и ответственные. Форма перечня и порядок его ведения определяются организацией. Конкретный ответственный за ведение перечня определяется организацией. Перечень обновляют при изменении основания допуска, объёма доступа или при прекращении допуска.

Ограничения и связь с другими документами. Перечень дополняет и не заменяет другие локальные акты по режиму, в частности Перечень должностей работников, имеющих доступ к сведениям, составляющим коммерческую тайну, и Журнал учета лиц, получивших доступ к сведениям, составляющим коммерческую тайну. Перечень фиксирует факт и границы доступа конкретных лиц, но не раскрывает содержание охраняемых сведений; недопустимо указывать доступ «ко всей информации» без обоснования.

Раскрыть полностью

02 Риски

Последствия отсутствия или неполноты Перечня допущенных работников

Неясность объёма и категории доступа Без полного перечня невозможно точно установить, к каким конкретно сведениям допущен работник; это затрудняет разграничение прав, приводит к избыточным допускам и повышает риск несанкционированного распространения информации, а также усложняет управление доступом при изменении служебных функций.
Проблемы с контролем сроков допуска Отсутствие или неполнота дат предоставления и прекращения доступа мешает своевременному отзыву прав доступа после смены обязанностей или прекращения работы с информацией, что удлиняет период действия ненужных допусков и создаёт дополнительные задержки при восстановлении нормальной работы подразделений.
Сложности при аудите и разбирательствах Неполные сведения об основаниях допуска и подтверждающих документах затрудняют установление, кто и на каком основании имел доступ; это увеличивает объём проверок, замедляет внутренние расследования и осложняет принятие управленческих решений по защите сведений.
Смешение перечней и неразграничение ролей Если Перечень не разделён по функциям или совпадает с другими списками, возникает риск предоставления доступа шире, чем необходимо; это ухудшает контроль, требует перераспределения ресурсов на исправление допусков и может привести к сбоям в операционной деятельности.

03 Синонимы и поисковые названия

Варианты названия

Поисковые и разговорные названия перечня, который фиксирует конкретных работников, допущенных к сведениям, составляющим коммерческую тайну.

Перечень допущенных работников
Перечень работников с доступом к коммерческой тайне
Перечень сотрудников, допущенных к коммерческой тайне

04 Содержание

Содержательные элементы Перечня

Перечень должен фиксировать данные, достаточные для учёта работников, допущенных к сведениям, составляющим коммерческую тайну, и для контроля начала и прекращения доступа.

Идентификационные данные работника ФИО и должность работника; в Перечне не включают лишние персональные данные, только сведения, необходимые для однозначной идентификации.
Категория или объём доступа Указание категории доступа или описания объёма информации, к которой допущен работник, с достаточной ясностью для разграничения прав доступа в организации.
Основание допуска Пункт Перечня содержит ссылку на основание допуска работника к сведениям, позволяющее установить правовую или организационную причину и дату допуска.
Даты предоставления и прекращения доступа Фиксация даты начала доступа и, при необходимости, даты прекращения доступа; при прекращении указывается также основание прекращения.
Ответственный за ведение Перечня Указание лица или подразделения, ответственного за актуализацию и хранение Перечня, определяемых организацией.
Связь с другими учётными документами Ссылка на связанные локальные акты для согласованного учёта и контроля доступа, в том числе: Перечень должностей работников, имеющих доступ к сведениям, составляющим коммерческую тайну; Журнал учета лиц, получивших доступ к сведениям, составляющим коммерческую тайну.

05 Применимость

Кому и в каких случаях применяется перечень

Перечень служит для учёта работников, допущенных к сведениям, составляющим коммерческую тайну. Применяется при введённом режиме коммерческой тайны и при наличии в организации процесса допуска.

Работники, допущенные к сведениям Перечень ведётся по работникам, которым предоставлен доступ к сведениям, составляющим коммерческую тайну. В записях фиксируются ФИО, должность, категория или объём доступа, основание допуска, даты предоставления и прекращения доступа.
Использование при оформлении доступа Перечень применяется для учёта начала и завершения допуска: запись в перечне отражает момент предоставления доступа и момент его прекращения, что облегчает контроль и последующие хозяйственные действия.
Организационная группировка записей Записи в перечне могут группироваться по подразделениям или по должностям, если это предусмотрено внутренними правилами организации; форма и способ группировки определяет организация.
Когда перечень не применяется Перечень не используется, если режим коммерческой тайны в организации не введён или если процесс допуска фактически отсутствует. В перечне не включаются лишние персональные данные и не оформляются права на доступ «ко всей информации» без служебной необходимости.
Ответственность за ведение Ответственный за ведение перечня определяется организацией. Перечень предназначен для учёта и контроля допусков, а не для самостоятельного установления режима.

07 Внедрение

Шаги внедрения и ведения Перечня допущенных работников

Последовательность действий от решения о допуске до фиксации прекращения доступа: исполнители фиксируют основание допуска, вносят и обновляют записи в Перечне. Ответственные определяются организацией.

1. Принятие решения о допуске Руководитель структурного подразделения принимает решение о допуске сотрудника к сведениям, составляющим коммерческую тайну, и оформляет соответствующее основание допуска; основание направляется ответственному за ведение Перечня.
2. Внесение записи в Перечень Ответственное лицо вносит запись в Перечень с обязательными полями: ФИО, должность, категория или объём доступа, основание допуска, дата предоставления доступа; запись фиксирует текущее состояние доступа.
3. Ознакомление работника и фиксация факта Служба кадров или руководитель подразделения обеспечивает ознакомление работника с режимом коммерческой тайны и фиксирует факт ознакомления в Перечне; фиксация служит подтверждением получения информации о правилах доступа.
4. Проверка актуальности и внесение изменений Ответственное лицо проверяет актуальность сведений в Перечне в порядке, установленном организацией, и при необходимости вносит изменения: корректирует даты, обновляет объём доступа или аннулирует запись; изменения отражаются в Перечне.
5. Прекращение допуска и отражение в Перечне При прекращении доступа руководитель подразделения или ответственное лицо фиксирует дату и основание прекращения доступа; в Перечне проставляется запись о прекращении доступа и сохраняется история изменений.

08 Актуализация

Поводы для пересмотра Перечня допущенных работников

Перечень пересматривают при изменениях в составе и функциях работников, основаниях и объёме доступа, при прекращении допуска, при выявлении нарушений режима и при изменении порядка допуска. При каждом поводе уточняют соответствующие поля записи.

Изменение состава работников или их должностных обязанностей При приёме, переводе или увольнении работника, а также при изменении его должностных обязанностей, влияющих на допуск, проверить и обновить запись в Перечне. Обновить ФИО, должность, дату предоставления доступа и при необходимости категорию или объём доступа.
Изменение основания или объёма доступа Если изменились основания допуска или изменился объём доступа работника, зафиксировать новые параметры доступа в Перечне и указать актуальное основание. Уточнить поле «основание допуска» и поле «категория/объём доступа» в соответствующей записи.
Прекращение допуска При прекращении допуска по любой причине зафиксировать дату прекращения и причину, чтобы запись отражала актуальное состояние доступа. Внести дату прекращения доступа и краткое описание основания прекращения в запись Перечня.
Выявление нарушения режима или несанкционированного доступа При обнаружении факта нарушения режима коммерческой тайны или несанкционированного доступа временно отразить изменение статуса допуска и обеспечить последующее уточнение записи. Обновить статус записи, указать дату и характер приостановки доступа; отразить необходимость дальнейших организационных мер.
Изменение процедуры или порядка допуска в организации Если организация меняет порядок принятия решений о допуске или последовательность действий при выдаче и прекращении доступа, привести Перечень в соответствие с новыми правилами. Пересмотреть порядок заполнения полей Перечня и скорректировать записи в соответствии с обновлённой процедурой.

09 Практическая проверка

Содержание и ключевые проверки Перечня допущенных работников

Вопросы для самопроверки соответствия Перечня целям учёта допущенных к сведениям, составляющим коммерческую тайну, и для оценки полноты записей.

Вопрос 01 «Содержит ли Перечень сведения о ФИО, должности, категории или объёме доступа, основании допуска и датах предоставления и прекращения доступа?»
Вопрос 02 «Разграничен ли в Перечне объём доступа для разных работников и указана ли категория доступа для каждой записи?»
Вопрос 03 «Указаны ли основания допуска и подтверждающие его даты в записях Перечня?»
Вопрос 04 «Определён ли ответственный за ведение и актуализацию Перечня?»
Вопрос 05 «Не содержит ли Перечень лишних персональных данных, не относящихся к учёту допусков?»

Что должно быть на месте:

Записи с ФИО, должностью, категорией или объёмом доступа, основанием допуска и датами начала и окончания доступа.
Указание категории или объёма доступа для каждого работника в отдельной записи.
Наличие записей об основании допуска и датах предоставления и прекращения доступа.
Указание ответственного лица или подразделения за ведение и актуализацию Перечня.
Отсутствие в записях персональных данных, не связанных с оформлением допуска и объёмом доступа.

10 Экспертная позиция

Согласование полноты записей и минимизации данных

Баланс между учётом доступа и ограничением персональных данных

Перечень должен одновременно фиксировать все необходимые реквизиты - ФИО, должность, объём доступа, основание и даты - и не становиться хранилищем лишних персональных данных. Частая несогласованность: широкая формулировка доступа без конкретизации основания. Практический приём: в Перечне указывать идентифицирующие реквизиты, конкретизацию объёма доступа и явное указание основания допуска, а при любом изменении доступа сверять и оперативно обновлять запись в соответствии с принятым решением.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

11 Вопросы и ответы

Частые вопросы о Перечне допущенных работников

Перечень служит учёту работников, допущенных к сведениям, составляющим коммерческую тайну. В нём фиксируют ФИО, должность, категорию или объём доступа, основание допуска и даты предоставления и прекращения доступа.

Заказать оформление перечня допущенных работников

Заказать оформление Перечня работников, допущенных к сведениям, составляющим коммерческую тайну, для учёта допусков; в перечне указывают ФИО, должность, категорию или объём доступа, основание допуска и даты предоставления и прекращения доступа; применяется при введённом режиме коммерческой тайны и наличии процесса допуска.

Заказать оформление перечня