Приказ о предоставлении пользователям доступа к ИСПДн: что включить, штрафы

Статус обязательный
Основание п. 13 ПП РФ № 1119, ч. 2 ст. 19 152-ФЗ
Публичность внутренний
Кто утверждает руководитель организации
Обновлено июль 2026
Ответственный ответственный за организацию обработки персональных данных
Область применения все сотрудники и внешние подрядчики, получающие доступ к ИСПДн
Ознакомление работников сотрудники знакомятся с приказом под подпись в соответствии со ст. 68 ТК РФ

01 Назначение

Приказ о предоставлении пользователей доступа к ИСПДн - краткое руководство

Практические указания по структуре приказа, ролям, ключевым разделам и типичным ошибкам при оформлении доступов

Назначение приказа и правовая основа. Приказ регламентирует порядок доступа пользователей к информационной системе персональных данных, обеспечивает выполнение требований по режиму безопасности помещений и по учету действий с данными. Документ обязателен для организаций и утверждается руководителем; за реализацию отвечает ответственный за организацию обработки персональных данных. При его подготовке опирайтесь на требования к режиму помещения и к правилам регистрации действий с данными.

Ключевые разделы приказа. Обязательные разделы: область применения и перечень систем ИСПДн, порядок выдачи и изменения прав доступа, требования к средствам аутентификации и их управлению, порядок учета и регистрации действий пользователей, обязанности ответственного и руководителей подразделений, порядок ознакомления сотрудников с локальными актами. В разделе по аутентификации опишите типы средств и правила их эксплуатации в соответствии с требованиями по управлению средствами аутентификации.

Роли и практическая последовательность оформления доступа. В приказе должны быть зафиксированы роли: ответственный за организацию обработки персональных данных, руководитель подразделения, исполнитель IT/администрирования. Практическая последовательность включает подтверждение необходимости доступа руководителем, оформление служебного основания или заявления, учет в реестре пользователей и внесение записи в журнал регистрации операций. Для каждой роли укажите обязательные документы и сроки выполнения процедур.

Типичные ошибки и триггеры для пересмотра прав. Частые ошибки: выдача прав без подтверждения необходимости, отсутствие разграничения уровня доступа, несвоевременное аннулирование при переводе или увольнении, отсутствие контроля за средствами аутентификации. Триггеры для пересмотра прав - изменение обязанностей, перевод сотрудника, увольнение, выявление инцидента безопасности; при инциденте оцените необходимость ограничения или отзыва доступа и инициируйте расследование в установленном порядке.

Раскрыть полностью

02 Ответственность

Административная ответственность за нарушение правил предоставления доступа к ИСПДн

ч. 1 ст. 13.11 КоАП РФ - обработка в случаях, не предусмотренных законом

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Отсутствие или несоблюдение приказа о предоставлении доступа к ИСПДн, выдача прав без оформления, отсутствие реестра доступов и регистрационных записей повышают риск привлечения по ст. 13.11 КоАП РФ. Частые недостатки - устное оформление доступа, отсутствие управления средствами аутентификации, неполная регистрация действий пользователей и несвоевременное реагирование на инциденты. Смягчить риск помогают оформленный приказ, реестр прав доступа, контроль аутентификации и учёт событий.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Документ фиксирует персональный состав пользователей ИСПДн, сроки и основания допусков, а также ответственных за выдачу и отзыв прав. Не путать с приказом об утверждении матрицы доступа, который задаёт набор прав по ролям, а не конкретных лиц.

Приказ о допуске к работе с персональными данными
Приказ о предоставлении доступа к информационной системе
Приказ о списке лиц, допущенных к обработке персональных данных
Приказ о предоставлении прав доступа пользователям
Приказ о допуске сотрудников к ИСПДн
Приказ об изменении состава пользователей ИСПДн
Распоряжение о допуске к ИСПДн
Приказ о назначении пользователей ИСПДн
Приказ о допуске к обработке персональных данных
Приказ о выдаче учётных записей ИСПДн
Приказ о прекращении доступа к ИСПДн

04 Обязательное содержание

Чеклист содержимого приказа

Короткий перечень разделов и элементов приказа о предоставлении доступа к ИСПДн, необходимых для внутренней проверки соответствия требованиям доступа и регистрации действий с персональными данными.

Область действия и утверждение Указаны сфера применения приказа (системы и подсистемы ИСПДн, категории ПД), дата и утверждение руководителем организации, а также ссылка на ответственного за организацию обработки персональных данных.
Роли и таблица полномочий Таблица с перечнем ролей (руководитель, ответственный за организацию обработки, администраторы, пользователи), их правами доступа и кто уполномочен назначать и отзывать доступ; порядок ознакомления работников под подпись.
Порядок предоставления и прекращения доступа Пошаговая процедура выдачи, изменения и отзыва доступа (заявка, согласование, выдача учетных данных, временные учётные записи), с указанием ответственных за каждый шаг и триггеров для отзыва доступа.
Требования к аутентификации и управлению учетными данными Требования по типам средств аутентификации, правила создания и смены паролей, порядок хранения и блокировки учётных записей, а также порядок управления средствами аутентификации.
Журналирование и регистрация действий Описан формат и место хранения журналов регистрации доступа и действий с персональными данными, ответственные за ведение журналов и требования к сохранности записей.
Режим безопасности помещений и реагирование на инциденты Положения о режиме доступа к помещениям с ИСПДн, ограничениях физического доступа и пошаговый порядок уведомления и реагирования на инциденты, включая ответственное лицо для уведомления в установленный срок.

05 Применимость

Область применения

Краткое определение круга лиц и ситуаций, в которых организация обязана иметь приказ о предоставлении доступа к ИСПДн, а также случаи, когда приказ не требуется или требует локальных дополнений.

Кому обязателен приказ Приказ обязателен для всех сотрудников, подрядчиков и внешних исполнителей, которым предоставляется доступ к информации в информационной системе, содержащей персональные данные, а также для администраторов и операторов ИСПДн. Утверждение и ответственность закрепляются за руководителем и ответственным за обработку персональных данных.
Когда приказ нужен Приказ требуется при вводе в эксплуатацию информационной системы, используемой для обработки персональных данных, при организации удаленного или локального доступа к таким системам и при наличии помещений с режимом безопасности для ИСПДн.
Случаи, когда приказ не применяется Приказ не применяется в организациях, которые не эксплуатируют ИСПДн и не обрабатывают персональные данные в своих информационных системах. В таких случаях управленческие акты по доступу к иным информационным ресурсам оформляются отдельно и не заменяют приказ о доступе к ИСПДн.
Особенности для филиалов и структурных подразделений Филиалы и обособленные подразделения подпадают под действие общего приказа организации; при необходимости вводятся локальные приложения или дополнительные инструкции, закрепляющие порядок выдачи и прекращения доступа с учётом специфики подразделения.
Требования к учёту и регистрации доступа Приказ должен регламентировать порядок учёта пользователей и регистрацию действий в системе, включая порядок выдачи учётных записей и средств аутентификации, а также ответственность за ведение журналов и их хранение.
Триггеры для выдачи, изменения и прекращения доступа Типичные триггеры: приём на работу, перевод на иную должность, смена функциональных обязанностей, временное привлечение исполнителя, увольнение, выявление инцидента информационной безопасности или требование проверяющих органов. Приказ должен предусматривать порядок действий по каждому триггеру.
Ознакомление с приказом и фиксация факта ознакомления Работники и подрядчики, получающие доступ к ИСПДн, должны быть ознакомлены с приказом и сопутствующими локальными актами под подпись; факт ознакомления фиксируется в личном деле или в электронном реестре.

06 Нормативная база

Нормативная база для приказа о предоставлении доступа к ИСПДн

п. 13 ПП РФ № 1119 обязательность утверждения перечня лиц и должностей, которым необходим доступ к помещениям и системам ИСПДн; роль приказа - закрепить критерии включения в перечень, порядок формирования и актуализации списков, ответственных за ведение реестра и порядок отзывов доступа при изменении служебных обязанностей или увольнении
ч. 2 ст. 19 152-ФЗ необходимость закрепить в приказе правила предоставления и ограничения доступа к персональным данным, порядок выдачи учетных записей и прав доступа, а также регистрацию действий пользователей в информационной системе для последующего аудита и расследования инцидентов
ст. 19 152-ФЗ требование внедрить организационные и технические меры защиты при предоставлении доступа; для приказа это означает описать роли и обязанности по управлению доступом, контроль исполнения мер защиты и механизм взаимодействия с ответственным за обработку персональных данных
приказ ФСТЭК № 21 предписание по управлению средствами аутентификации и учетными данными; в приказе по доступу нужно регламентировать порядок создания, выдачи, хранения, блокировки и отзыва учетных средств, требования к средствам аутентификации и ведению соответствующих журналов
ст. 68 ТК РФ обязанность ознакомить работников с локальным актом под подпись; приказ должен предусмотреть порядок ознакомления сотрудников с правилами доступа, форму и хранение подписных листов, а также лицо, ответственное за контроль ознакомления
ч. 3.1 ст. 21 152-ФЗ требование по уведомлению уполномоченных лиц при инцидентах с персональными данными в установленный срок; приказу целесообразно включить обязанность фиксировать несанкционированные доступы, порядок внутреннего оповещения и взаимодействия с ответственным за обработку для дальнейшего уведомления регулятора при необходимости
ч. 1 ст. 13.11 КоАП административная ответственность за обработку персональных данных в случаях, не предусмотренных законом; приказ должен устанавливать запреты на предоставление доступа без правового основания и меры по приостановке доступа при выявлении неправомерной обработки

Образец документа

Приказ о предоставлении пользователям доступа к ИСПДн

Предоставляет работникам доступ к ИСПДн в пределах их должностных обязанностей, определяет объём предоставляемых прав и устанавливает обязанность соблюдать требования по защите персональных данных и информационной безопасности

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа о предоставлении доступа к ИСПДн

Порядок внедрения переводит решение о доступе в поимённые учётные записи, устанавливает ответственность и набор документов для проверки. Включены роли исполнителей и конкретные результаты на выходе.

1. Принятие решения и подготовка проекта приказа Руководитель организации согласует необходимость и объём доступа, ответственному за организацию обработки передаётся подготовить проект приказа. Результат: проект приказа «О предоставлении пользователям доступа к ИСПДн», комплект обоснований и ссылка на матрицу разграничения доступа.
2. Составление поимённого списка и матрицы доступа Ответственный за обработку вместе с администратором информационных систем формируют поимённый список пользователей и матрицу разграничения доступа с указанием ролей и объёмов прав. Результат: приложение к приказу «Поимённый список пользователей» и файл «Матрица разграничения доступа».
3. Настройка учётных записей и средств аутентификации Администратор информационных систем создаёт учётные записи по матрице, настраивает средства аутентификации и фиксирует выдачу учётных данных. Результат: журнал выдачи учётных записей и записи в системе учёта учётных данных.
4. Ознакомление работников под подпись Кадровая служба организует ознакомление назначенных пользователей с приказом и локальными правилами по работе с ИСПДн, получает подписи и оформляет расписки. Результат: расписки об ознакомлении и запись в личном деле работника.
5. Настройка журналирования и процедура инцидентного реагирования Специалист по информационной безопасности обеспечивает включение регистрации действий пользователей, настраивает хранение логов и согласует процедуру уведомления об инциденте. Результат: журнал регистрации действий и регламент уведомления об инцидентах.
6. Приёмка и первичная проверка рабочего контура Внутренний аудитор совместно с ответственным за обработку проверяет соответствие приказа, поимённого списка, матрицы и журналов требованиям и оформляет акт приёмки. Результат: акт приёмки в эксплуатацию и комплект документов для контроля (приказ, приложение, матрица, журналы).

09 Актуализация

Поводы для изменения приказа о предоставлении доступа к ИСПДн

Приказ - оперативный управленческий акт, который пересматривают по обстоятельствам, а не по календарю. Каждый из перечисленных поводов требует либо правки приложения, либо издания нового приказа, либо временной блокировки доступа с последующей проверкой полномочий.

Принятие на работу При оформлении нового сотрудника доступы оформляют на основании приказа и поимённого приложения, учетную запись заводят после внесения в приказ, не по устной договорённости. В приложении указывают роль, набор прав и срок, если доступ временный. Внести сотрудника в поимённое приложение и только после этого создать учётную запись; проставить отметку приказа в учётной записи.
Увольнение или перевод работника При прекращении трудовых отношений доступы исключают в день увольнения и блокируют учётную запись; при внутреннем переводе корректируют сочетание старых и новых прав, чтобы избежать дублирующих полномочий. Перевод требует сверки матрицы и фактических пользователей. Отметить исключение или изменение в приложении приказа, инициировать блокировку или корректировку учётной записи в день события; провести сверку прав.
Изменение роли или объёма прав Если при перераспределении обязанностей меняется роль в матрице, достаточно заменить ссылку на роль в приложении при условии, что набор прав не должен корректироваться вручную. Если права перечислены в приказе полностью, требуется издать новую редакцию приказа. Внести корректировку в приложение или подготовить новую редакцию приказа; после изменения провести тестовые проверки доступа и зафиксировать результаты.
Введение новой информационной системы или привлечение внешнего подрядчика Доступ к вновь вводимой ИС оформляют отдельным приказом или приложением с указанием круга лиц и сроков. Для подрядчиков оформляют временный допуск, привязанный к договору и срокам работ; учитывают режим безопасности помещений и требования к средствам аутентификации. Издать отдельный приказ или приложение с поимённым списком и сроком действия допуска; оформить условия в договоре и настроить управление средствами аутентификации.
Инцидент безопасности, аудит или обнаруженные несоответствия Нахождение активных учётных записей, не отражённых в приложении, или события, связанное с утечкой или несанкционированным доступом, требует немедленной блокировки и расследования. При инциденте действия согласуют с обязанностью уведомления в установленные сроки и с записью результатов проверки. Временно заблокировать сомнительные учётные записи, провести расследование и аудит прав, при необходимости издать корректирующий приказ и выполнить обязательные уведомления по регламенту.

10 Проверка

Инспектор проверит

Документы и материалы проверки, на которые инспектор ориентируется при оценке порядка предоставления, оформления и отзыва доступа к ИСПДн.

Вопрос 01 «Предъявите основание приказа об установлении порядка предоставления доступа к ИСПДн.»
Вопрос 02 «Предъявите реестр учётных записей и сведения о текущих правах доступа пользователей.»
Вопрос 03 «Предъявите документы по назначению ответственных и процедурам отзыва доступа.»
Вопрос 04 «Предъявите учётные и контрольные записи по использованию учётных записей.»
Вопрос 05 «Предъявите подтверждения обучения и правила управления средствами аутентификации.»

Инспектор при проверке, может запросить:

актуальную редакцию приказа об утверждении порядка предоставления доступа к ИСПДн с подписью руководителя и датой
реестр учётных записей и список пользователей с указанием ролей, прав доступа, основания выдачи и сроков действия доступа
приказы и распоряжения о назначении ответственных за выдачу и отзыв доступа, акты об отзыве доступа и протоколы принятия решений
журнал регистрации действий пользователей и логи доступа к ИСПДн с отметками времени и идентификаторами пользователей
подписанные листы ознакомления сотрудников с правилами доступа, инструкции по управлению учётными данными и документы по управлению средствами аутентификации (политики паролей, настройки многофакторной аутентификации)

11 Экспертная позиция

Риски при выдаче и отзыве доступа к ИСПДн

Неразвешивание доступа по жизненному циклу учётной записи - частая скрытая проблема. При выдаче «по должности» без обоснования и без привязки к событию из HR формируется запас избыточных прав, остаются общие или неиспользуемые аккаунты, усложняется расследование инцидентов. Рабочий приём - связать выдачу прав с документированным обоснованием и событием (приём, смена роли, проект), обязать уникальные учётные записи и централизованное управление средствами аутентификации, вести регистрацию действий и процедуру быстрой блокировки при кадровых изменениях. Это снизит риск несанкционированного доступа и упростит доказательную базу при проверках.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу о предоставлении доступа к ИСПДн

Приказ должен фиксировать круг пользователей и основания доступа, порядок выдачи и отзыва прав, уровни доступа и ограничения по функциям, требования к аутентификации и управлению учетными данными, порядок регистрации действий с данными и порядок ознакомления работников с локальными правилами. В приказе также полезно закрепить ответственную роль за организацию обработки и порядок документирования изменений в правах доступа.

Заказать приказ о предоставлении пользователям доступа к ИСПДн в составе комплекта

Закажите подготовку и адаптацию приказа о предоставлении доступа к ИСПДн, готового к утверждению руководителем. В комплекте: проект приказа, журнал учёта доступов и регистраций действий с данными, шаблон ознакомления работников под подпись, рекомендации по управлению средствами аутентификации и связке с матрицей доступа. Включено сопровождение при утверждении и вводе в действие ответственным за организацию обработки персональных данных.

Скачать образец Заказать приказ в комплекте