Главная

Порядок доступа в помещения, в которых размещены ИСПДн

Порядок устанавливает правила доступа в помещения с ИСПДн: категории доступа и требования к допуску, учет и контроль выдачи ключей и пропусков, сопровождение посетителей, порядок закрытия помещений, действия при утере ключа и при обнаружении незапертой двери, а также места хранения носителей с ПДн. Утверждает руководитель; исполнение обеспечивает ответственный за организацию обработки при участии службы информационной безопасности; на проверке оценивают журнал выдачи ключей, перечень лиц с доступом и записи о закрытии помещений.

Скачать образец документа

Статус обязательный для организаций, обрабатывающих персональные данные в ИСПДн
Основание п. 13 ПП РФ № 1119; п. 13 ПП РФ № 687; ст. 19 и ч. 3.1 ст. 21 152-ФЗ
Публичность внутренний, служебный документ регламентного уровня
Кто утверждает руководитель организации приказом
Ответственный ответственный за организацию обработки персональных данных
Область действия помещения, где размещены ИСПДн, включая места хранения носителей с ПДн и зоны контроля доступа
Ответственность возможна дисциплинарная и административная ответственность за нарушение порядка доступа; обязанность уведомлять о инцидентах в установленные сроки
Дата обновления июль 2026

01 Назначение

Порядок доступа в помещения, в которых размещены ИСПДн

Краткие указания для разработки, внедрения и контроля порядка доступа к помещениям с ИСПДн, включая зоны хранения носителей и пункты контроля доступа

Назначение и область действия. Документ регламентирует порядок организации доступа в помещения, где размещены информационные системы персональных данных, а также в сопредельные зоны хранения носителей и контрольные пункты. Применяется ко всем подразделениям и третьим лицам, имеющим технический или служебный доступ к таким помещениям. Утверждается руководителем организации приказом, ответственным за организацию обработки персональных данных определяются полномочия по контролю и выдаче допусков.

Категории доступа и требования к допуску. Разграничьте категории доступа - постоянный персонал, временные исполнители, подрядчики и посетители - и для каждой категории опишите форму допуска: наличие распоряжения или записи в реестре, подтверждение личности, выдача идентификатора или пропуска с ограничением прав. Определите места хранения носителей персональных данных и согласуйте перечень лиц с доступом к ним. Управление средствами аутентификации и учет прав доступа оформите в сопроводящих приказах и реестрах.

Реакция на инциденты доступа и уведомления. Опишите бизнес-процесс обнаружения и локализации несанкционированного доступа, порядок приостановки доступа подозреваемых лиц и передачу дела для внутреннего расследования. Установите ответственность за своевременное информирование руководства и уполномоченных органов; при инцидентах обеспечьте уведомление в установленный законом срок. Сохранение материалов расследования и инициирование корректирующих мер должно выполняться под контролем ответственного за обработку персональных данных.

Типичные ошибки, контроль и сопровождающие документы. Частые нарушения - нечетко обозначенные границы помещений, совместное использование пропусков и ключей, отсутствие реестров допущенных лиц и журналов входа, несогласованные работы подрядчиков. Для контроля введите регулярные проверки соответствия реестров фактическим доступам и процедуру пересмотра допусков при кадровых изменениях или при перемещении оборудования. Ведите комплект служебных документов: приказ об утверждении порядка, приказы о допуске и отозвании доступов, реестр допущенных лиц и журналы работ; предусмотрите дисциплинарные меры за нарушения трудовых обязанностей.

Раскрыть полностью

02 Ответственность

Ответственность за неуведомление о неправомерном доступе к ПДн и риски, связанные с отсутствием Порядка доступа

ч. 11 ст. 13.11 КоАП РФ, применение при непредставлении или несвоевременном представлении сведений о неправомерном доступе

Юридическое лицо 1 000 000 - 3 000 000 ₽
Должностное лицо 400 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽

Отсутствие или формальное ведение Порядка доступа в помещения с ИСПДн повышает вероятность неправомерного доступа и задержки в его обнаружении, что может повлечь привлечение по ч. 11 ст. 13.11 КоАП РФ за неуведомление о факте неправомерного доступа. Типичные ошибки операторов: отсутствие реестра лиц с доступом и мест хранения носителей, неведение журналов выдачи ключей и посещений, отсутствие процедур фиксации и немедленного уведомления инцидента. Дополнительно возможна дисциплинарная ответственность сотрудников за неисполнение обязанностей и риск нарушения требований по уведомлению в 24 часа по ч. 3.1 ст. 21 152-ФЗ. Практический минимум защиты: приказ руководителя с утверждением перечня мест хранения носителей и списка лиц с доступом, регистр доступа, регламент уведомлений об инцидентах с распределением ответственности и подтверждением действий по расследованию.

03 Синонимы и поисковые названия

Варианты названий документа

Часто один и тот же регламент называют по-разному в зависимости от практик организации и используемых средств контроля доступа. Ниже - рабочие варианты названий, которые помогают найти и сопоставить документы в фирменных архиве и у подрядчиков.

Инструкция по пропускному режиму в помещениях с ПДн
Правила доступа в помещения с ИСПДн
Порядок выдачи ключей и электронных пропусков
Регламент доступа в серверную
Правила поведения и режима в помещениях с персональными данными
Инструкция по организации доступа в контролируемую зону
Порядок оформления доступа подрядчиков в помещения с ПДн
Порядок сопровождения и учёта посетителей в помещениях с данными
Порядок учёта и контроля ключей от помещений с ПДн
Регламент контроля доступа и регистрации посещений

04 Обязательное содержание

Чеклист элементов порядка доступа

Чеклист разделов и элементов, которые должны быть в документе о порядке доступа в помещения, где размещены ИСПДн.

Утверждение и область действия Фиксированы дата и лицо, утвердившее документ приказом руководителя, и чётко описана область действия - все помещения с ИСПДн, места хранения носителей и зоны контроля доступа.
Перечень помещений и мест хранения носителей Содержится инвентаризация помещений и точное указание мест хранения носителей персональных данных с границами зон контроля доступа.
Категории доступа и перечни лиц Определены категории доступа по функциям, нормы прав для каждой категории и порядок формирования и ведения перечней лиц с доступом.
Порядок оформления и учёта доступа Регламентированы процедуры выдачи пропусков и допусков, порядок регистрации входа/выхода, ответственные за учёт и требования к хранению записей журналов.
Требования к средствам контроля и аутентификации Указаны используемые средства контроля доступа и требования к управлению средствами аутентификации, включая порядок их администрирования и учёта.
Порядок реагирования на инциденты доступа Прописан порядок действий при выявлении неправомерного доступа, обязанности ответственных и срок уведомления уполномоченных органов и внутреннего ответственного.
Ответственность и меры воздействия Описаны дисциплинарная и иные меры ответственности за нарушения правил доступа, а также порядок документирования нарушений и применения мер.

05 Применимость

Кому и когда применять Порядок доступа в помещения с ИСПДн

Документ устанавливает границы доступа, категории лиц и порядок учёта при работе с помещениями, где размещены ИСПДн. Применяется для организации безопасного режима и распределения ответственности.

Обязательность для операторов, эксплуатирующих ИСПДн Обязателен для организаций, обрабатывающих персональные данные в ИСПДн; охватывает установку режима безопасности помещений и организационные меры защиты.
Область действия и границы применения Охватывает все помещения, где расположены ИСПДн, зоны контроля доступа и места хранения носителей с персональными данными; в документе следует явно обозначить границы применимости для каждой площадки.
Категории доступа и перечни лиц Формализует категории доступа (оперативный, сервисный, архивный и т. п.), устанавливает требования к оформлению списков лиц с доступом, срокам и основаниям доступа, а также местам хранения носителей для каждой категории.
Управление средствами аутентификации и учёт доступа Определяет правила выдачи и аннулирования учётных данных, ведения журналов доступа и управления средствами аутентификации, в том числе для сервисного и удалённого доступа.
Порядок реагирования на факты неправомерного доступа Фиксирует порядок расследования, внутреннего уведомления и уведомления уполномоченных органов, сроки реакции и документирование инцидента; также фиксирует ответственность за непредставление информации о факте доступа.
Когда требуется дополнительная документация Порядок доступа не заменяет общие регламенты по физической и пожарной безопасности; для объектов с повышенными требованиями защищённости оформляют отдельные регламенты, паспорта безопасности и инструкции.

06 Нормативная база

Нормативная основа порядка доступа в помещения с ИСПДн

п. 13 ПП РФ № 1119 Обязывает ввести режим безопасности для помещений с ИСПДн; для этого порядка доступа нужно определить зоны и их режимы, процедуры входа и выхода, правила сопровождения посетителей и порядок контроля нахождения лиц в помещениях.
п. 13 ПП РФ № 687 Требует по каждой категории носителей указать места их хранения и перечень лиц с доступом; порядок должен фиксировать каталоги мест хранения, порядок передачи носителей, учёт и процедурные условия доступа к материальным носителям ПДн.
ст. 19 152-ФЗ Устанавливает обязанность принимать организационные и технические меры защиты; документу следует закрепить распределение ролей и ответственности, используемые технические средства контроля доступа, журналирование и периодическую проверку эффективности мер.
ч. 3.1 ст. 21 152-ФЗ Обязует уведомлять о фактах неправомерного доступа в установленный срок; порядок доступа должен содержать алгоритм обнаружения инцидента, ответственных за уведомление и сроки передачи информации и доказательной базы для последующего расследования.
приказ ФСТЭК № 21 Регламентирует управление средствами аутентификации; в порядке доступа необходимо прописать порядок выдачи, хранения и аннулирования учетных данных и других средств аутентификации, требования к их защите и контролю использования при входе в охраняемые зоны.
ч. 11 ст. 13.11 КоАП Фиксирует административную ответственность за неуведомление о неправомерном доступе; порядок должен предусматривать порядок информирования уполномоченных органов и внутренние процессы для своевременного выполнения обязанности во избежание правонарушений.
ст. 192 ТК РФ Регулирует дисциплинарную ответственность работников; документу следует определить основания дисциплинарных мер за нарушение режима доступа, порядок расследования нарушений и ответственные должностные лица за применение дисциплинарных мер.

Образец документа

Порядок доступа в помещения, в которых размещены ИСПДн

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения Порядка доступа в помещения с ИСПДн

Последовательные действия от подготовки до контроля работоспособности режима доступа. Каждый шаг указывает исполнителя и конкретный результат, который положить в папку к проверяющему.

1. Подготовка проекта порядка и перечней Ответственный за организацию обработки персональных данных собирает данные о помещениях и носителях, формирует проект Порядка, приложение «Перечень помещений с ИСПДн» и проект «Перечень категорий лиц с доступом». На выходе - оформленный проект приказа с приложениями в редакторском виде.
2. Утверждение приказом руководителя Руководитель утверждает приказ об установлении Порядка; в приказе фиксируются дата, номер, лицо, ответственное за исполнение. На выходе - подписанный приказ об утверждении Порядка и запись о регистрации приказа в журнале приказов.
3. Формирование перечней лиц и реестров доступа Ответственный совместно со службой охраны формирует Перечень лиц с доступом по категориям, реестр выданных пропусков и журнал учета выдачи ключей и носителей. На выходе - реестр помещений, перечень лиц с подписями и журнал учета пропусков, помещенные в служебную папку.
4. Внедрение режима физического контроля и управления доступом Служба охраны и служба ИБ настраивают контрольные точки и процедуры идентификации, оформляют инструкции по обращению с носителями и средствами аутентификации. На выходе - инструкция по режиму доступа и протокол настройки контрольных точек.
5. Ввод в действие и инструктаж персонала Ответственный проводит инструктажы для лиц с доступом, собирает подписи о принятии обязанностей и выдает пропуска. На выходе - протокол ввода в действие, список обученных с подписями и реестр активированных пропусков.
6. Контроль, проверка и реагирование на нарушения Организовать периодические проверки соблюдения Порядка, фиксировать нарушения в акте проверки и при инцидентах готовить уведомление в установленные сроки. На выходе - акты проверок, служебные записки о нарушениях и документированное уведомление об инциденте.

09 Актуализация

Поводы для обновления Порядка доступа

Порядок доступа актуален пока отвечает фактической обстановке и требованиям защиты. Любое изменение в планировке, технике, составе лиц или по результатам инцидента должно запускать корректировку правил и реестров доступа.

Переезд или изменение планировки помещений При смене помещения, перестановке кабинетов или появлении общих коридоров пересматриваются зоны контроля доступа, места хранения носителей с ПДн и списки лиц с доступом, чтобы правила соответствовали фактической геометрии и маршрутам прохода. Обновить схему доступа и перечни мест хранения, внести поправки в порядок и утвердить приказом
Внедрение или замена средств контроля доступа и видеонаблюдения Переход на электронные замки, карточные системы или централизованные журналы требует переработки процедур выдачи, аннулирования и учёта прав доступа, а также правил хранения и просмотра видеозаписей. Описать процедуры управления аутентификацией и журналами, удалить устаревшие положения про механические ключи
Смена подрядчика по охране или клинингу Новый персонал получает физический доступ к помещениям с ИСПДн; порядок должен предусматривать требования к допускам, инструктажу, сопровождению и учёту временных пропусков в договоре с подрядчиком и в реестре доступа. Закрепить условия сопровождения и учёта в договоре, внести правила в порядок доступа и реестр временных допусков
Инцидент безопасности или обнаруженный несанкционированный доступ После факта несанкционированного доступа или иного инцидента проводится анализ причин и эффективности действующих правил, вносятся корректировки в порядок и реестры, а также выполняются обязательные уведомления и регламенты реагирования. Провести расследование, зафиксировать корректирующие меры, подготовить уведомление и отчет в установленные сроки
Плановая проверка соответствия режима доступа По результатам внутренней проверки оценивается исполнение пунктов порядка, актуальность реестров и работа средств контроля; пункты, которые не выполняются, либо исполняют, либо корректируются с указанием ответственных и сроков. Проверить реестры, журналы и реализацию мер; зафиксировать нарушения и принять решение об изменении порядка или обеспечении исполнения

10 Проверка

Инспектор проверит документы и материалы по порядку доступа в помещения с ИСПДн

Документы и материалы проверки, необходимые для оценки соблюдения режима доступа в помещениях, где размещены ИСПДн, включая места хранения носителей и зоны контроля доступа.

Вопрос 01 «Предъявите приказ об утверждении Порядка доступа и документы, подтверждающие его изменения.»
Вопрос 02 «Предъявите перечни мест хранения носителей и списки лиц, имеющих доступ.»
Вопрос 03 «Предъявите журналы учета и записи контроля доступа за проверяемый период.»
Вопрос 04 «Предъявите регламент действий при фактах неправомерного доступа и подтверждения направленных уведомлений.»
Вопрос 05 «Предъявите документы о назначении ответственных и о применении мер за нарушение режима доступа.»

Инспектор при проверке, может запросить:

приказ об утверждении Порядка доступа в помещения, в которых размещены ИСПДн, с подписью руководителя; распоряжения или протоколы о внесенных изменениях и даты их вступления в силу
перечень мест хранения носителей персональных данных; перечень сотрудников и подрядчиков с правом доступа с указанием оснований и уровней доступа
журналы учета входа и выхода в помещения с ИСПДн; журналы или системы контроля доступа с отметками времени, идентификаторами и подтверждениями событий
регламент действий при фактах неправомерного доступа и порядок уведомления уполномоченных лиц; копии уведомлений о фактах неправомерного доступа с датами отправки и отметками регистрации
приказы о назначении ответственных за организацию обработки персональных данных и за допуск в помещения; внутренние положения о дисциплинарной ответственности и приказы о применении дисциплинарных мер

11 Экспертная позиция

Ключевой операционный риск

Главная уязвимость - формальный приказ о порядке доступа, не связанный с реальными операциями: отсутствуют карта зон и мест хранения, правила временного доступа и механизм контроля за носителями. Практический приём - сделать порядок рабочим: описать зоны с привязкой активов, ввести ролевые перечни доступа по принципу наименьших привилегий, регламент для временных посетителей и подрядчиков с сопровождением, централизованный учёт носителей, журнал входов/выходов и логи, режим управления средствами аутентификации, триггеры для пересмотра прав (смена персонала, ввод оборудования, инцидент), а в порядке прописать сценарий реагирования с фиксацией инцидента и уведомлением в течение 24 часов и указанием мер дисциплинарной и административной ответственности.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по порядку доступа в помещения с ИСПДн

Порядок утверждает руководитель организации приказом. За организацию и контроль исполнения закрепляют ответственного за организацию обработки персональных данных, который ведёт перечни лиц с доступом и контролирует соблюдение режима безопасности.

Заказать Порядок доступа в помещения с ИСПДн в комплекте локальных актов

Закажите Порядок доступа для помещений, где размещены ИСПДн, в составе комплекта локальных актов для организации обработки персональных данных. В комплект включены: приказ руководителя об утверждении, журнал учета посещений и выдачи пропусков/ключей, формы заявлений на допуск, порядок сопровождения посетителей, образец уведомления об инциденте (уведомление в течение 24 часов), скриншоты настроек контроля доступа и сохраненные логи доступа как подтверждения. Документ уменьшает риски непрозрачного доступа и помогает собрать необходимые материалы для внутренней проверки.

Скачать образец Заказать в комплекте локальных актов

Порядок доступа в помещения, в которых размещены ИСПДн

Порядок доступа в помещения, в которых размещены ИСПДн

Ответственность за неуведомление о неправомерном доступе к ПДн и риски, связанные с отсутствием Порядка доступа

Варианты названий документа

Чеклист элементов порядка доступа

Кому и когда применять Порядок доступа в помещения с ИСПДн

Нормативная основа порядка доступа в помещения с ИСПДн

Связанные документы и материалы для порядка доступа

Связанные документы

Шаги внедрения Порядка доступа в помещения с ИСПДн

Поводы для обновления Порядка доступа

Инспектор проверит документы и материалы по порядку доступа в помещения с ИСПДн

Ключевой операционный риск

Частые вопросы по порядку доступа в помещения с ИСПДн

База знаний содержит 268 документов

Заказать Порядок доступа в помещения с ИСПДн в комплекте локальных актов

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями