Назначение документа. Регламент описывает порядок регистрации фактов выдачи первичных паролей для учётных записей в информационных системах, в том числе при приёме на работу и при сбросе пароля. Цель - обеспечить прослеживаемость действий, разграничить доступ по служебной необходимости и снизить риск несанкционированного доступа к персональным данным.
Область применения и роли. Правила применяются ко всем системам, где выдаётся первичный пароль пользователю или сервисному аккаунту в рамках обработки персональных данных. Ключевые роли - руководитель организации (утверждает порядок приказом), ответственный за организацию обработки, уполномоченный сотрудник ИТ или службы информационной безопасности (назначается приказом), а также получатель пароля и руководитель подразделения, инициирующий выдачу.
Обязательные поля журнала и порядок внесения записей. В журнале фиксируют дату и время выдачи, фамилию и инициалы получателя, подразделение, назначение учётной записи или причина выдачи, уникальный идентификатор учётной записи, способ передачи пароля и подписи ответственного и получателя. Запись выполняется в момент фактической выдачи; при очной передаче отмечают идентификацию получателя, при удалённой - способ подтверждения личности и средство передачи. Журнал ведут в бумажной форме или в защищённом электронном реестре с ограничением доступа по служебной необходимости.
Контроль, инциденты и связь с нормативной основой. Доступ к журналу предоставляют только уполномоченным сотрудникам, проверки проводят при внутреннем аудите и по запросу контролирующих органов. Записи журнала служат основанием для расследования инцидентов и взаимодействия с уведомлениями об инцидентах в соответствии с установленными сроками. Невыполнение требований по учёту и защите первичных паролей увеличивает риск привлечения к административной ответственности в случаях утечки персональных данных.
Позвонить