Приказ о назначении ответственного за реагирование на инциденты информационной безопасности: штрафы, требования

01 Назначение

Приказ о назначении ответственного за реагирование на инциденты информационной безопасности

Краткие указания для утверждающего и ответственного о зоне действия приказа и практических шагах по внедрению

Назначение и цель приказа. Приказ формально назначает ответственного за реагирование на инциденты информационной безопасности, закрепляет его роль в координации расследований и во взаимодействии с подразделениями. Документ должен фиксировать полномочия ответственного, порядок принятия решений и порядок взаимодействия с руководителем организации и смежными службами.

Область действия и границы ответственности. Приказ применяется к подразделениям, участвующим в обработке персональных данных и в обеспечении информационной безопасности. В тексте укажите, за какие типы инцидентов отвечает назначаемое лицо, как распределяются обязанности между подразделениями и какие взаимодействия с внешними организациями возможны при наличии соответствующих обязанностей.

Связанные документы и доступность. Приказ должен ссылаться на регламент реагирования на инциденты, журнал регистрации инцидентов, Политику информационной безопасности и локальные акты по вопросам обработки персональных данных. Обеспечьте доступ назначенного лица к этим документам и к актуальным контактам ответственных подразделений.

Практические шаги при внедрении и типичные ошибки. При подготовке текста приказа включите контактные данные ответственного, перечень его полномочий, порядок отчетности и форму учёта инцидентов; согласуйте взаимодействие с ИТ и юридическим подразделением и проведите вводный инструктаж для исполнителей. Частые ошибки при внедрении - отсутствие чётких полномочий, несвязность приказа с регламентом реагирования и неполная фиксация канала обмена информацией.

Раскрыть полностью

02 Ответственность

Ответственность за неуведомление о неправомерном доступе при отсутствии/несвоевременном назначении ответственного

ч. 11 ст. 13.11 КоАП РФ - неуведомление о факте неправомерного доступа или просрочка уведомления

Юридическое лицо 1 000 000 - 3 000 000 ₽
Должностное лицо 400 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽

Назначение и документальное закрепление ответственного за реагирование снижает риск привлечения по ч. 11 ст. 13.11 КоАП при неуведомлении о неправомерном доступе. Типичные ошибки: формальный приказ без контактных данных и обязанностей, отсутствие регламента уведомления и сроков реакции (в том числе 24 часа для уведомления заинтересованных органов), нехватка записей о фактах и времени уведомления, отсутствие обучения и проверки исполнения. На проверке обратят внимание на факт назначения, регламент действий при инциденте и запись о своевременном уведомлении.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Сборка распространённых названий и поисковых запросов для внутреннего приказа руководителя, которым назначают ответственного за реагирование на инциденты информационной безопасности. Включены варианты с упоминанием уведомления регулятора, создания группы реагирования и образцов/бланков.

Приказ о назначении ответственного за реагирование на инциденты
Приказ об ответственном за инциденты информационной безопасности
Приказ о назначении ответственного за расследование инцидентов
Приказ о назначении ответственного за уведомление Роскомнадзора
Распоряжение о назначении ответственного за реагирование на инциденты
Приказ о создании группы реагирования на инциденты информационной безопасности
Образец приказа о назначении ответственного за инциденты
Бланк приказа о назначении ответственного за реагирование на утечки
Приказ об ответственном за инциденты при обработке персональных данных
Кто уведомляет Роскомнадзор об утечке персональных данных

04 Обязательное содержание

Чеклист содержания приказа

Короткий перечень ключевых разделов и элементов, которые должны быть в приказе о назначении ответственного за реагирование на инциденты информационной безопасности.

Утверждение и реквизиты Номер, дата, должность и подпись руководителя, отметка о вступлении в силу и ссылка на основание издания приказа.
Назначенное лицо и полномочия ФИО и должность назначаемого лица, перечень обязанностей по координации расследования и взаимодействию с подразделениями, а также полномочия и ограничения при принятии решений.
Порядок уведомлений и сроки Описание процедуры уведомления уполномоченного органа и заинтересованных сторон при инциденте, с указанием применимого срока уведомления 24 часа для соответствующих случаев.
Регистрация инцидентов и расследование Механизм регистрации инцидентов, форма журнала или реестра, ответственные за сбор доказательств, требования к сохранению записей и порядок проведения расследования.
Взаимодействие с подразделениями и подрядчиками Порядок взаимодействия с ИТ, службой безопасности, юридическим отделом и внешними подрядчиками во время реагирования, каналы обмена информацией и согласования действий.
Ответственность за несообщение Указание дисциплинарных мер за нарушение порядка реагирования и предупреждение о возможной административной ответственности за неуведомление о факте неправомерного доступа.

05 Применимость

Кому и когда нужен этот приказ

Краткие указания по применимости приказа о назначении ответственного за реагирование на инциденты информационной безопасности: для каких организаций он обязателен на практике, в каких случаях достаточно иных актов, как учитывать филиалы и связь с другими документами.

Организации, для которых приказ целесообразен и практичен Внутренний документ применим организациям, которые обрабатывают персональные данные и в практике оформляют локальные акты по вопросам обработки. Приказ формализует назначение ответственного за расследование инцидентов и взаимодействие между подразделениями, утверждается руководителем организации.
Случаи, когда оформление важно из-за требований уведомления При наличии риска неправомерного доступа или иного инцидента, при котором может потребоваться уведомление уполномоченного органа в установленный срок, приказ помогает зафиксировать ответственного и порядок действий.
Когда приказ не нужен Не применяется к организациям, которые не осуществляют обработку персональных данных. Также отдельный приказ может быть излишним, если назначение и полномочия уже подробно зафиксированы в действующей политике информационной безопасности или в регламенте реагирования.
Применимость для филиалов и обособленных подразделений Если филиал самостоятельно осуществляет обработку ПДн, целесообразно оформить назначение ответственного локальным приказом. При централизованной обработке допустимо единственное приказное оформление на всю организацию с указанием зоны ответственности подразделений.
Связь приказа с мерами защиты и политикой Приказ должен согласовываться с внутренними документами об оценке и мерах защиты персональных данных; он дополняет политику и регламенты, не заменяет требования по обеспечению защиты данных.
Кто оформляет и что должно быть учтено Приказ издаёт и утверждает руководитель организации. В тексте целесообразно зафиксировать полномочия назначенного лица, порядок координации расследований, взаимодействие с внешними органами и требования по срокам уведомлений.

06 Нормативная база

Нормативная основа приказа о назначении ответственного за реагирование на инциденты ИБ

ч. 3.1 ст. 21 152-ФЗ обязывает уведомить уполномоченный орган о факте инцидента в течение 24 часов; приказ закрепляет лицо, ответственное за своевременное формирование и отправку первичных сведений
ч. 3.1 ст. 21 152-ФЗ регламентирует представление результатов внутреннего расследования в установленный срок, в том числе подготовку документов для передачи уполномоченному органу в течение 72 часов; роль ответственного - организовать сбор и верификацию материалов
ст. 21 152-ФЗ определяет необходимость взаимодействия оператора с государственными системами обнаружения атак и уполномоченными органами; приказ фиксирует порядок взаимодействия и контактные обязанности назначенного лица
ч. 1 ст. 19 152-ФЗ устанавливает обязанность оператора принимать меры защиты персональных данных; назначение ответственного обеспечивает координацию реализации мер защиты и оперативное реагирование на угрозы и факты неправомерного доступа
п. 2 ч. 1 ст. 18.1 152-ФЗ требует издания локальных актов по вопросам обработки персональных данных; приказ служит таким локальным актом для закрепления обязанностей по реагированию на инциденты и процедур взаимодействия подразделений
п. 1 ч. 1 ст. 18.1 152-ФЗ предусматривает документирование и утверждение политики по обеспечению безопасности ПДн; приказ дополняет политику распределением ролей и ответственностей в реагировании на инциденты
ч. 11 ст. 13.11 КоАП фиксирует риск административной ответственности за неуведомление или просрочку уведомления о неправомерном доступе; назначение ответственного снижает риск нарушения сроков и обеспечивает наличие контактного лица для проверок

08 Внедрение

Шаги внедрения приказа о назначении ответственного за реагирование на инциденты ИБ

Последовательность от подготовки проекта приказа до проверки работоспособного контура реагирования. В каждом шаге указан владелец и конкретный документ на выходе.

1. Подготовка проекта приказа и сопутствующих локальных актов Инициатор (служба информационной безопасности) готовит проект приказа с указанием полномочий, обязанностей и контактов назначаемого лица, а также проект регламента реагирования и форму журнала инцидентов. Результат на выходе: файл «Проект приказа о назначении ответственного», проект регламента, проект формы журнала и пометка в реестре проектов локальных актов.
2. Утверждение приказа руководителем организации Руководитель организации рассматривает проект и подписывает приказ. Результат на выходе: подписанный приказ «О назначении ответственного за реагирование на инциденты информационной безопасности», копия в личном деле назначаемого и запись в реестре приказов организации.
3. Назначение полномочий и передача регламента назначаемому Назначаемому лицу официально передают утвержденный регламент реагирования, инструкцию по ведению журнала и перечень контактных лиц. Результат на выходе: подтверждение ознакомления назначаемого, заверенное подписью, и заполненная форма передачи документов.
4. Настройка процедуры уведомления и отработки 24-часового срока Совместно с юридическим отделом и службой ИБ отрабатывают порядок сбора информации и порядок направления уведомлений, утверждают форму уведомления и канал связи на 24 часа. Результат на выходе: документ «Порядок уведомления об инциденте» и утвержденная форма уведомления.
5. Проверка готовности и ввод в рабочий контур Проводят внутреннюю проверку: имитация инцидента, отработка уведомления, проверка заполнения журнала. Результат на выходе: протокол проверки готовности с выводами и планом исправлений, внесение записи в журнал инцидентов и указание ответственных за устранение замечаний.

09 Актуализация

Поводы для пересмотра и переиздания приказа

Приказ пересматривают не по календарю, а при изменениях, которые нарушают работоспособность контура реагирования: смена лиц, каналов оповещения, организационная реорганизация, передача ИТ на подряд или результаты реальных проверок. В каждом случае приказ правится или переиздаётся с фиксированием даты, реестра контактов и правил замещения.

Смена ответственного или его заместителя При смене лица, ответственного за реагирование, или назначении/отставке заместителя приказ переиздаётся незамедлительно. Пока нет официального документа, остаётся неясным, чьё уведомление считается уведомлением оператора и когда начинается отсчёт сроков уведомления. Переиздать приказ с указанием нового лица и даты вступления в должность; оформить акт передачи обязанностей; обновить реестр контактов и права доступа к системам оповещения.
Изменение канала сообщения о инцидентах Если меняется основной канал сообщения - корпоративная почта, дежурный телефон или мессенджер - приказ должен содержать новый канал и резервный путь. Без обновления сообщения могут уходить в «пустоту» и теряться цепочки оповещения. Обновить приказ и реестр каналов оповещения; определить резервные каналы и порядок эскалации; провести тест связи и зафиксировать результаты.
Передача ИТ или мониторинга внешнему подрядчику При передаче функций эксплуатации, мониторинга или первого уровня поддержки подрядчику подрядчик часто первым обнаруживает признаки инцидента. Приказ должен отражать обязанности подрядчика по уведомлению организации и порядок взаимодействия. Внести в приказ обязанность подрядчика немедленно информировать ответственного; согласовать в договоре сроки и формат сообщения; прописать контроль за исполнением обязанности в служебных процедурах.
Появление филиалов или удалённых подразделений Открытие филиала, удалённой рабочей точки или существенное расширение штатной структуры меняет маршрут оповещений. Сотрудники в другом городе должны иметь понятный локальный контакт и знать алгоритм сообщения ночью и в праздники. Назначить локальных контактных лиц и включить их в приказ; задокументировать маршруты передачи сообщения и провести инструктаж удалённых сотрудников.
Учения, реальный инцидент или изменение сроков уведомления После учений или реального инцидента выполняют разбор; часто выявляются пробелы в правах подписи, замещении или времени реакции. При изменении законодательных сроков уведомления приказ и регламенты требуют приведения в соответствие. Провести разбор происшествия или учений, зафиксировать недостатки и внести изменения в приказ и сопутствующие регламенты; при изменении сроков уведомления обновить процедуры оповещения и ссылки на нормативы.

10 Проверка

Инспектор проверит

Документы и материалы проверки по приказу о назначении ответственного за реагирование на инциденты информационной безопасности.

Вопрос 01 «Предъявите приказ о назначении ответственного за реагирование на инциденты информационной безопасности.»
Вопрос 02 «Укажите, кем назначен ответственный и какие у него полномочия.»
Вопрос 03 «Опишите порядок действий при обнаружении инцидента и сроки уведомления контролирующих органов.»
Вопрос 04 «Какие документы подтверждают проведение расследования и устранение последствий инцидента?»
Вопрос 05 «Кем и как обеспечивается непрерывность реагирования при отсутствии назначенного лица?»

Инспектор при проверке, может запросить:

приказ о назначении ответственного за реагирование на инциденты информационной безопасности с подписью руководителя и датой
должностная инструкция или положение об ответственном за реагирование, регламентирующие полномочия и порядок взаимодействия с подразделениями
регламент реагирования на инциденты с процедурами оповещения, сроками уведомления и записями, подтверждающими направление уведомлений в установленные сроки
журнал регистрации инцидентов, отчеты о расследовании, акты устранения причин и протоколы служебных проверок, журналы доступа или лог-файлы, подтверждающие ход расследования
приказ о назначении заместителя или распоряжение о распределении обязанностей, записи о проведенном обучении и инструктажах, планы дежурств

11 Экспертная позиция

Практический риск при назначении ответственного

Частая ошибка - формальное назначение без явно зафиксированных полномочий, доступа к журналам и механизмов эскалации. Приказ должен конкретизировать полномочия по приостановке операций при подозрении на утечку, порядок взаимодействия с подразделениями и внешними органами, заменяемость и режим доступности ответственного, а также триггеры начала расследования. Это снижает риск несвоевременного уведомления и связанных административных последствий.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу о назначении ответственного за реагирование на инциденты ИБ

На практике обязателен локальный документ, фиксирующий назначение и полномочия лица, которое координирует расследование и взаимодействие с подразделениями. Приказ утверждает руководитель организации и связывается с общими локальными актами по защите данных.

Заказать приказ о назначении ответственного за реагирование на инциденты информационной безопасности

Закажите подготовку приказа о назначении ответственного за реагирование на инциденты информационной безопасности. Это внутренний документ, обязательный на практике. В комплект входят проект приказа, положение о порядке реагирования, журнал регистрации инцидентов, шаблоны записей о расследованиях и перечень типичных подтверждающих материалов для проверок. Адаптация под структуру организации и оформление подтверждений включены.

Заказать приказ и комплект документов

Приказ о назначении ответственного за реагирование на инциденты информационной безопасности