Правила ведения журналов событий информационной безопасности ИСПДн: требования, как оформить

Статус обязательный при обработке персональных данных в ИСПДн, регламентирует порядок учёта и хранения журналов событий
Основание ч. 2 ст. 19 152-ФЗ, приказ ФСТЭК № 21 от 18.02.2013
Публичность внутренний документ организации
Кто утверждает руководитель организации (приказ об утверждении документа)
Обновлено июль 2026
Периодичность контроля поступления контроль поступления - не реже раза в неделю
Ответственный ответственный за организацию обработки персональных данных
Область применения применяется ко всем компонентам ИСПДн, где фиксируются действия пользователей и администраторов, влияющие на обработку ПДн

01 Назначение

Правила ведения журналов событий информационной безопасности ИСПДн

Краткое руководство для ответственных за обработку, администраторов и проверяющих

Назначение документа. Документ регламентирует порядок учёта, защиты и хранения журналов событий в информационных системах, где обрабатываются персональные данные. Правила устанавливают, какие события фиксируются, какие роли отвечают за сбор и проверку записей, а также связь журналов с процедурой уведомления о инцидентах и уровнями защищённости ИСПДн.

Область применения и ключевые роли. Правила применяются ко всем подсистемам и узлам ИСПДн, где происходит приём, хранение или обработка персональных данных: прикладные серверы, базы данных, шлюзы и журналы доступа. Ключевые роли: ответственный за организацию обработки персональных данных, администратор информационной безопасности, системный администратор, лицо, ведущее реестр журналов и проверяющие организации. Для каждой роли должен быть определён объём обязанностей и доступ к записям.

Содержание и требования к записям в журналах. Журналы должны фиксировать идентификатор субъекта действия, дату и время с указанием часового пояса, тип и результат операции, идентификатор объекта воздействия, случаи отказов и привилегированные операции. Записи необходимо защищать от несанкционированного изменения и обеспечивать их доступность для расследования инцидентов; требования по объёму и формату записей определяются в регламенте хранения и настройке подсистемы учёта событий.

Порядок контроля поступления и реагирования. Контроль поступления журналов в центральное хранилище выполняется регулярно, приоритетный порог проверки - не реже раза в неделю. Триггеры для срочной проверки: отсутствие ожидаемых потоков логов, резкий рост числа ошибок, индикаторы возможного инцидента. При признаках инцидента порядок действий и сроки уведомления заявляются в отдельном регламенте; своевременные журналы используются для выполнения требований по уведомлению об инцидентах.

Связанные внутренние документы и типичные ошибки внедрения. Обязательный комплект документов включает приказ об утверждении правил, регламент хранения журналов, реестр журналов и инструкции для администраторов по конфигурации источников логов. Частые ошибки при внедрении: отсутствие синхронизации времени на узлах, незашифрованное хранение журналов, незадокументированные точки сбора и отсутствие регулярного контроля поступления.

Раскрыть полностью

02 Ответственность

Административная ответственность за нарушение правил ведения журналов событий ИСПДн

ст. 13.11 КоАП РФ

Юридическое лицо административная ответственность по ст. 13.11 КоАП РФ, санкции - штрафы в пределах, установленных КоАП РФ в зависимости от состава правонарушения
Индивидуальный предприниматель административная ответственность по ст. 13.11 КоАП РФ, санкции - штрафы в пределах, установленных КоАП РФ
Должностное лицо административная ответственность по ст. 13.11 КоАП РФ, возможны штрафные санкции для ответственных лиц в зависимости от роли и степени нарушения
Физическое лицо (гражданин) административная ответственность по ст. 13.11 КоАП РФ при наличии соответствующего состава правонарушения

Невыполнение требований по учёту и хранению журналов событий, предусмотренных ч. 2 ст. 19 152-ФЗ и приказом ФСТЭК № 21, может привести к привлечению к административной ответственности по ст. 13.11 КоАП РФ. Конкретный размер санкций определяется составом правонарушения и нормами КоАП РФ. Типичные ошибки, которые повышают риск санкций: отсутствие приказа об утверждении правил, неполные или удалённые журналы, отсутствие регулярного контроля поступления и хранения записей (контроль поступления - не реже раза в неделю).

03 Синонимы и поисковые названия

Как ещё называют этот документ

Набор названий помогает быстро найти документ в реестре и в разговоре с командой. В связке обычно три разных файла: перечень регистрируемых событий, требования к самим записям журнала и регламент поддержания работоспособности сбора логов, в том числе контроль поступления и реакция на сбои.

Порядок ведения журналов событий информационной безопасности
Правила работы с логами ИСПДн
Проверка поступления и полноты логов
Регламент просмотра журналов аудита ИСПДн
Порядок действий при переполнении журнала событий
Ротация логов и синхронизация времени
Ответственные за журналы событий информационной безопасности
Действия при прекращении сбора логов
Требования к атрибутам записей журнала
Требования к хранению и защите журналов
Мониторинг целостности и контроль доступа к журналам

04 Обязательное содержание

Чеклист содержания Правил ведения журналов событий ИСПДн

Чеклист разделов и элементов документа, необходимых для надёжного учёта, хранения и использования журналов событий при обработке персональных данных.

Утверждение и ответственные лица Указать документ, подтверждающий утверждение (приказ), дату вступления в силу и конкретных ответственных за ведение и контроль журналов, включая контакт и полномочия.
Область применения и объекты журналирования Перечислить системы, подсистемы и типы событий, которые подлежат журналированию (входы, действия с учётными записями, изменения прав, доступ к ПД и т.п.), а также границы исключений.
Формат записей и обязательные поля Описать структуру записи журнала и обязательные поля (время, идентификатор субъекта/процесса, действие, объект действия, результат), формат временной метки и требования к синхронизации времени.
Хранение, защита и целостность записей Описать место и способы хранения журналов, меры защиты от удаления и подмены, механизмы контроля целостности и резервного копирования, а также порядок восстановления при утрате данных.
Доступы, разграничение и учёт операций с журналами Установить правила предоставления и отзыва прав на просмотр и администрирование журналов, принцип разделения обязанностей и запись всех операций с файлами журналов.
Контроль поступления и мониторинг Регламентировать порядок контроля поступления журналов от систем, способ проверки актуальности и полноты записей, а также периодичность сверок и алгоритмы оповещений по аномалиям; при наличии внутренней практики указать частоту проверок.
Взаимосвязь с расследованием инцидентов и уведомления Предусмотреть процедуру извлечения и сохранения записей для расследования инцидентов информационной безопасности, порядок передачи данных и сроки, связанные с уведомлением уполномоченных органов и пострадавших.

05 Применимость

Область применения Правил ведения журналов событий ИСПДн

Краткие указания, кому и в каких ситуациях обязателен этот внутренний документ организации. Учитывает требования по учёту, хранению и использованию журналов событий при обработке персональных данных в составе ИСПДн.

Обязательность применения Документ обязателен для подразделений и информационных систем организации, в которых осуществляется обработка персональных данных в составе ИСПДн; регламентирует порядок учёта, хранения и обеспечения целостности журналов событий.
Кому нужен документ Правила применяют оператор ИСПДн, ответственный за организацию обработки персональных данных, администраторы информационных систем и специалисты по информационной безопасности, настраивающие логирование и обеспечивающие доступ к журналам.
Когда применять Правила вводят при вводе в эксплуатацию ИСПДн, при изменении архитектуры логирования или настроек учёта событий, а также при проведении расследований инцидентов и подготовке материалов для уведомления о нарушениях обработки персональных данных.
Границы применимости Правила распространяются именно на журналы событий, связанные с обработкой персональных данных в ИСПДн; они не заменяют отраслевые регламенты для иных информационных систем и не применяются к журналам, не содержащим персональных данных.
Особенности при разном уровне защищённости Если ИСПДн имеет присвоенный уровень защищённости, к правилам добавляются требования и параметры журналирования, хранения и защиты журналов в соответствии с установленным уровнем.

06 Нормативная база

Нормативная база для правил ведения журналов событий ИСПДн

ч. 2 ст. 19 152-ФЗ Обязывает применять организационные и технические меры защиты, включая регистрацию действий с персональными данными; в рамках правил журналов это означает описание перечня событий для фиксации, правил доступа к журналам, мер по их сохранности и проверке целостности.
приказ ФСТЭК № 21 от 18.02.2013 Задает базовые требования по регистрации событий безопасности и порядку работы с журналами; правила должны регламентировать формат записей, централизованный сбор, мониторинг пропусков записи и порядок реагирования на сбои в регистрации.
ПП РФ № 1119 Определяет уровни защищённости ИСПДн и обязательный набор мер для каждого уровня; правила журналирования должны учитывать присвоенный уровень при выборе объёма логируемых событий, требований к защите журналов и минимальном составе записей.
ч. 3.1 ст. 21 152-ФЗ Устанавливает обязанность уведомлять регулятора о случаях нарушения безопасности в предусмотренные сроки; правила журналов должны обеспечивать возможность оперативного выявления инцидента и формирования доказательной базы для такого уведомления.
ст. 13.11 КоАП РФ Зафиксированные в журналах события служат доказательствами соблюдения требований по защите персональных данных и могут использоваться при проверках и разбирательствах в рамках административной ответственности.

08 Внедрение

Этапы внедрения Правил ведения журналов событий ИСПДн

Краткий план от принятия решения до рабочего контура и первой проверки. Для каждого шага указан ответственный и конкретный результат на выходе - документ или запись, которые лягут в основу контроля и дальнейших проверок.

1. Утверждение Правил Подготовить проект Правил и оформить приказ об утверждении. Результат на выходе - подписанный Приказ об утверждении Правил ведения журналов событий информационной безопасности ИСПДн и запись в реестре локальных актов организации.
2. Определение перечня и структуры журналов Согласовать перечень регистрируемых событий, обязательные поля записи, формат временных меток и минимальные требования к содержимому журнала. Результат на выходе - Реестр регистрируемых событий и Инструкция по структуре журнала.
3. Настройка средств учёта и защиты журналов Настроить логирование на системах, синхронизацию времени, меры защиты целостности и хранения, а также резервное копирование. Результат на выходе - Акт ввода в эксплуатацию журнала событий и конфигурационные файлы/инструкция по настройке.
4. Организация контроля поступления и доступности журналов Внедрить ежедневный контроль поступления записей и еженедельную сверку наличия журналов и целостности записей, фиксировать отклонения в процедурном журнале. Результат на выходе - Журнал контроля поступления событий с регулярными записями не реже одного раза в неделю.
5. Интеграция с регламентом реагирования на инциденты Установить порядок передачи копий журналов при расследовании инцидентов и сроки передачи информации о признаках инцидента. Результат на выходе - дополнение к Регламенту реагирования и инструкция по передаче материалов расследования.
6. Проверка соответствия и корректирующие действия Провести приёмо-сдаточную проверку настроек и политики доступа, затем периодические внутренние аудиты соблюдения Правил. Результат на выходе - Акт проверки соблюдения Правил и План корректирующих мероприятий с назначенными исполнителями и сроками.

09 Актуализация

Поводы для обновления Правил ведения журналов событий ИСПДн

Краткий перечень конкретных ситуаций и результатов контроля, при которых Правила требуют правки, переиздания или издания сопутствующего приказа.

Изменение правовой или нормативной базы Принятие или корректировка федеральных нормативных актов и ведомственных требований, влияющих на порядок учёта, хранения или защиты журналов событий. Внести изменения в Правила и оформить приказ об их утверждении.
Инцидент информационной безопасности, затрагивающий журналы Фиксация несанкционированного доступа к журналам, их удаления, изменения или прекращения сбора событий, а также другие события, ставящие под угрозу надёжность учёта. Провести расследование, восстановить учёт, при необходимости обновить Правила и обеспечить уведомление в сроки, установленные нормативными актами.
Нарушение регулярности или полноты поступления журналов по результатам контроля Контроль поступления журналов не реже раза в неделю выявил отсутствие файлов/записей, несоответствие структуры или повторяющиеся ошибки передачи данных. Инициировать корректировку настроек сбора и хранения, провести восстановление данных и согласовать изменения в Правилах и настройках средств учёта.
Изменение состава ИСПДн или объёма обрабатываемых персональных данных Ввод в эксплуатацию новых сервисов, изменение перечня обрабатываемых категорий персональных данных или масштабная реорганизация систем, влияющие на перечень и объём журналов. Пересмотреть перечень и структуру журналов, скорректировать права доступа и порядок хранения, оформить изменения приказом об утверждении Правил.

10 Проверка

Инспектор проверит ведение и хранение журналов событий ИСПДн

Документы и материалы проверки по соблюдению Правил ведения журналов событий ИСПДн.

Вопрос 01 «Предъявите Правила ведения журналов событий ИСПДн и документ об их утверждении.»
Вопрос 02 «Предъявите журналы регистрации событий информационной безопасности за проверяемый период.»
Вопрос 03 «Кто назначен ответственным за ведение и хранение журналов и как закреплены его обязанности?»
Вопрос 04 «Какие технические меры применены для защиты журналов и контроля их целостности?»
Вопрос 05 «Как фиксируется поступление журналов и имеются ли отчёты по контролю их поступления?»

Инспектор при проверке, может запросить:

актуальную редакцию Правил ведения журналов событий ИСПДн, приказ об утверждении Правил
журналы регистрации событий информационной безопасности за проверяемый период с отметками времени и идентификаторами субъектов доступа
приказ о назначении ответственного за ведение журналов, должностная инструкция ответственного, регламент учёта журналов
конфигурация системы журналирования с настройками ротации и хранения, записи контроля целостности журналов, перечень прав доступа к журналам
журналы поступления и приёма, отчёты или акты сверки поступления журналов, регистр контроля поступления

11 Экспертная позиция

Риск задержки обнаружения и практический приём

Риск: при ручном контроле поступления журналов не реже раза в неделю пропуски и остановки сбора могут оставаться незамеченными вплоть до момента проверки, что замедляет расследование инцидентов и усложняет своевременное реагирование. Практический приём: внедрить автоматический сбор и мониторинг поступления журналов с контрольными суммами и метками времени, хранить логи в отдельном защищённом репозитории в режиме только дозаписи, настроить ежедневные контрольные сводки и триггеры оповещения о разрывах в потоке. Обязательная дополнительная мера - синхронизация времени по всем источникам и привязка правил ротации и хранения логов к уровню защищённости ИСПДн, чтобы упростить формирование доказательной базы при проверках.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по Правилам ведения журналов событий ИСПДн

Да. Ведение журналов событий является обязательной мерой при обработке персональных данных в ИСПДн, так как требует организация и регистрация действий с данными в рамках мер защиты информации и уровня защищённости.

Заказать Правила ведения журналов событий ИСПДн в комплекте локальных нормативных актов

Закажите адаптацию Правил ведения журналов событий информационной безопасности ИСПДн с включением приказа об утверждении и комплектом подтверждающих документов. В комплект входят шаблон журнала регистрации, инструкция по хранению и учёту записей, образцы записей контроля поступления (контроль не реже раза в неделю) и перечень документов для проверки. Документ внутренний, утверждается руководителем организации.

Заказать комплект: правила и журналы

Правила ведения журналов событий информационной безопасности ИСПДн