Главная

Приказ об утверждении матриц доступа пользователей к ИСПДн

Внутренний обязательный документ при обработке ПДн в ИСПДн, утверждает руководитель организации и ведётся службой информационной безопасности или администратором ИСПДн. Приказ должен фиксировать дату ввода в действие и отмену прежних редакций, ответственных за ведение матриц, место хранения, порядок ознакомления сотрудников под подпись и процедуру пересмотра прав, наличие этих элементов проверяют при проверках и аудитах.

Скачать образец документа

Статус обязательный при обработке ПДн в ИСПДн
Основание ст. 19 152-ФЗ, приказ ФСТЭК № 21
Публичность внутренний документ организации
Кто утверждает руководитель организации
Область применения и ведение применяется к учётным записям пользователей ИСПДн, ролям и правам доступа; ведение матриц - служба информационной безопасности или администратор ИСПДн
Актуализация июль 2026

01 Назначение

Краткое руководство по приказу об утверждении матриц доступа

Кого охватывает приказ, какие матрицы нужны, как организовать утверждение и поддержку

Назначение и область применения. Приказ утверждает единый порядок формирования матриц доступа пользователей к ИСПДн, обязательный при обработке персональных данных. Документ определяет состав данных матриц, ответственных за их ведение и порядок утверждения приказом руководителя организации. Применяется ко всем учетным записям, ролям и правам доступа в ИСПДн, включая системные и прикладные компоненты.

Содержание матрицы и формат хранения. Матрица должна содержать минимум поля: роль или должность, перечень информационных объектов и функций, назначаемые права доступа, обоснование права и ограничительные условия. Рекомендуется вести матрицы в централизованном реестре или табличном документе с версионностью и журналом изменений. Ведение матриц поручается службе информационной безопасности или администратору ИСПДн, при этом ответственность за соответствие бизнес-функциям лежит на руководителях подразделений. Актуализация сведений отражается в документе: июль 2026.

Процедура утверждения и изменение прав. Процесс включает подготовку матриц исполнителем, согласование с руководителями подразделений и кадровой службой при необходимости, утверждение приказом руководителя организации и занесение утвержденной версии в реестр. Изменения вносятся при смене обязанностей, переводе или увольнении работника и сопровождаются отметкой о лице, внесшем изменение, и дате. При возникновении исключений оформляется обоснование и срок действия исключения.

Практические рекомендации и типичные ошибки. Ориентируйтесь на принцип минимально необходимого доступа и разделение обязанностей. Избегайте совместных учетных записей, фиксируйте временные полномочия и их обоснование, связывайте учетные записи с реальными сотрудниками. Частые ошибки - отсутствие актуального реестра ролей, несвоевременное блокирование доступа при увольнении и отсутствие согласования привилегий с бизнес-владельцем. Ознакомление работников с локальным актом оформляйте под подпись.

Раскрыть полностью

02 Ответственность

Ответственность за отсутствие или неполноту матриц доступа в ИСПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Отсутствие утверждённых матриц доступа или несоответствие фактических прав заявленным в матрицах повышает риск привлечения по ч. 1 ст. 13.11 КоАП за обработку ПДн, не предусмотренную законом. Частые ошибки: приказ не оформлен, матрицы не обновляются при смене ролей, права в системе не согласованы с матрицами, сотрудники не ознакомлены с локальным актом. Для снижения риска сохраняйте в приказе дату утверждения, ответственного, версию матриц и журнал изменений - эти записи упрощают доказательную базу при проверке.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие варианты названия, которые организации используют для приказа об утверждении модели прав доступа к ИСПДн.

Приказ об утверждении матриц доступа
Приказ о разграничении прав доступа в ИСПДн
Приказ об утверждении ролевой модели доступа
Приказ об актуализации матриц доступа
Приказ о предоставлении доступа конкретным пользователям
Распоряжение об утверждении прав доступа
Матрицы прав доступа пользователей
Образец приказа об утверждении матриц доступа

04 Обязательное содержание

Чеклист для приказа об утверждении матриц доступа

Чеклист разделов и элементов, которые должны быть в приказе и в приложенных матрицах доступа пользователей к ИСПДн.

Утверждённая редакция и реквизиты В приказе указаны наименование документа, версия или номер, дата утверждения и подпись руководителя; отмечена дата последней актуализации (июль 2026).
Область применения Чёткое перечисление ИСПДн, к которым применяются матрицы, охватываемые категории учетных записей, ролей и ограничения применения; указано подразделение, ведущее матрицы (служба ИБ или администратор).
Ответственности и роли Таблица ролей с распределением обязанностей: кто формирует и обновляет матрицы, кто утверждает изменения, кто выполняет техническую реализацию и кто проводит контроль доступа, с контактами ответственных лиц.
Содержание матриц доступа Для каждой роли или учетной записи указаны набор прав, обоснование необходимости доступа, связанные ресурсы и критерии минимально достаточного доступа; формат матрицы должен позволять автоматическую и ручную валидацию.
Порядок внесения изменений Процедура изменения матриц с описанием стадий согласования, необходимых согласующих лиц, требований к обоснованию изменений и порядку обработки экстренных запросов.
Соответствие требованиям защищённости Пункт, подтверждающий соответствие матриц требованиям по мерам защиты и уровням защищённости информации, с указанием применимых нормативных актов.
Ознакомление работников и контроль Механизм ознакомления работников с приказом и приложенными матрицами под подпись, порядок ведения учёта ознакомления и процедуры фиксации и расследования случаев неправомерного доступа.

05 Применимость

Область применения приказа об утверждении матриц доступа

Кратко - кого и в каких случаях охватывает приказ, какие роли и артефакты он регламентирует. Указано, когда документ обязателен и с какими локальными актами его следует согласовывать.

Обязательность и нормативная основа Приказ обязателен для организаций, в которых персональные данные обрабатываются в ИСПДн; документ формализует утверждение матриц доступа как элемент организационных мер защиты и подтверждает соответствие базовым требованиям по уровню защищённости.
Кому применяется приказ Приказ применяется к учетным записям пользователей ИСПДн, к ролям и правам доступа. Охватывает рабочие и системные аккаунты, используемые для обработки персональных данных, а также описывает ответственность лиц, управляющих правами.
Кто утверждает и кто ведёт матрицы Утверждение приказа возлагается на руководителя организации. Ведение и актуализация матриц доступа поручаются службе информационной безопасности или администратору ИСПДн с указанием ответственных за изменение и контроль, а также порядка ознакомления работников с документом.
Когда приказ не применяется Приказ не применяется в организациях, где обработка персональных данных в ИСПДн отсутствует. В случаях, когда обработка ПДн осуществляется исключительно у внешних операторов по договору, порядок доступа оформляется в договорных условиях и локальных процедурах исполнителя.
Связь с требованиями по уровням защищённости и комплект документов При утверждении матриц учитывают отнесение ИСПДн к уровню защищённости и требования по набору мер, закреплённые в нормативных актах. В приказе обычно закрепляют приложение - собственно матрицы доступа, порядок выдачи и аннулирования прав и механизм контроля доступа.
Типичные пропуски и практические рекомендации В приказе рекомендуется явно указывать состав и формат матриц, ответственных за поддержку, критерии разграничения прав, порядок внесения изменений и контроль исполнения. Частые ошибки - отсутствие ответственного лица, неописанные критерии прав и отсутствие привязки матриц к ролям.

06 Нормативная база

Нормативная база для приказа об утверждении матриц доступа к ИСПДн

ст. 19 152-ФЗ обязывает оператора внедрять организационные и технические меры защиты персональных данных; приказ об утверждении матриц формализует разграничение прав доступа в ИСПДн и фиксирует документированные меры доступа и ответственных за их исполнение.
приказ ФСТЭК № 21 от 18.02.2013 содержит базовые требования к разграничению прав, управлению учётными записями и применению мер контроля доступа; матрицы переводят эти общие требования в конкретные роли, права и процедуры управления учётными записями.
ПП РФ № 1119 определяет требования по уровням защищённости ИСПДн и мерам для каждого уровня; приказ должен соотнести структуру матриц и набор прав с присвоенным уровнем защищённости и требуемыми ограничениями функций.
ст. 8 ТК РФ предоставляет работодателю право утверждать локальные нормативные акты; приказ служит локальным актом организации, который устанавливает обязательность матриц доступа и распределение обязанностей между службой ИБ и администратором ИСПДн.
ст. 68 ТК РФ требует ознакомления работников с локальными актами под подпись; содержание приказа должно предусматривать порядок доведения матриц до пользователей и хранение подтверждений ознакомления.
ч. 1 ст. 13.11 КоАП устанавливает ответственность за обработку персональных данных с нарушением установленных требований; наличие утверждённых матриц и регламентированных правил управления доступом уменьшает риски нарушений и служит доказательной базой при проверках.

Образец документа

Приказ об утверждении матриц доступа пользователей к ИСПДн

Можем адаптировать под Вас, звоните: 8 800 333 8 222

Или напишите, мы сейчас онлайн

Скачайте БЕСПЛАТНО и найдите внутри:

Шаблон документа с понятной структурой
Формулировки и поля для заполнения под вашу ситуацию
Места, где нужно учитывать реальные процессы Вашей организации
Возможность самостоятельно доработать документ
Можно разобраться самостоятельно, а можно заказать адаптацию документа под вашу организацию

Скачать образец документа

08 Внедрение

Шаги внедрения приказа об утверждении матриц доступа пользователей к ИСПДн

Порядок внедрения охватывает назначение ответственных, формирование и согласование матриц, утверждение приказом и ввод в эксплуатацию с последующим контролем. Результаты каждого шага должны иметь конкретные регистрационные документы.

1. Принятие решения и назначение ответственных Руководитель организации издаёт распоряжение о необходимости разработки матриц доступа, назначает ответственного за организацию обработки и ответственного исполнителя за матрицы. На выходе - приказ о назначении ответственных и постановка задачи службе информационной безопасности и администратору ИСПДн.
2. Сбор исходных данных и подготовка проекта матриц Служба информационной безопасности совместно с администратором ИСПДн и кадровой службой формируют список учётных записей, привязку рабочих функций к ролям и перечень ресурсов. На выходе - проект матриц прав доступа и реестр учётных записей для согласования.
3. Согласование проекта матриц с подразделениями Рабочая группа проводит проверку соответствия прав рабочим функциям, согласует исключения и резервы доступа с руководителями подразделений и кадровой службой. На выходе - протокол согласования матриц и версия матриц, готовая к утверждению.
4. Утверждение приказом и ввод в действие Руководитель организации утверждает согласованные матрицы приказом об утверждении матриц доступа к ИСПДн, указывает дату ввода в действие и ответственных за исполнение. На выходе - подписанный приказ об утверждении матриц доступа.
5. Внедрение изменений, ознакомление и контроль Администратор ИСПДн реализует права по утверждённым матрицам, служба ИБ фиксирует изменения в журнале учётных записей, кадровая служба организует ознакомление сотрудников под подпись. На выходе - запись в журнале учётных записей, акт ввода в действие и реестр ознакомления сотрудников.

09 Актуализация

Поводы для переиздания приказа об утверждении матриц доступа

Приказ переиздаётся при изменении действующей матрицы доступа, при подключении новых систем, по результатам ревизии прав или при инцидентах, требующих корректировки прав. Переиздание должно фиксировать новую редакцию приложения «Матрицы доступа» и отменять предыдущую редакцию для исключения двусмысленности.

Изменение ролей, прав или структуры матрицы доступа Появление новой роли, введение нового права или изменение сопоставления ролей и полномочий делает предыдущую редакцию недействующей. Точечные правки в системах без официальной редакции приказа снижают управляемость и прослеживаемость. Подготовить новую редакцию приложения «Матрицы доступа», издать приказ с указанием отмены прежней редакции, уведомить службу ИБ и администраторов ИСПДн о дате вступления в силу.
Подключение новой информационной системы или сервиса Подключение сервиса требует включения соответствующего столбца или секции в матрицу и пересмотра правил назначения прав для групп пользователей. Это влияет на учётные записи и механизмы разграничения доступа. Обновить матрицу с учётом новой ИС, провести согласование с владельцем сервиса и службой ИБ, издать приказ и зафиксировать изменения в реестре учётных записей.
Ревизия прав и выявление избыточных полномочий Аудит прав показывает накопленные избыточные или устаревшие полномочия. Если изменения остаются только в настройках, теряется формальная прослеживаемость и контроль над доступом. Оформить результаты ревизии новой редакцией матрицы, издать корректирующий приказ с указанием исполнителей и сроков снятия прав, зафиксировать запись в журнале учёта доступа.
Реорганизация подразделений или изменение штатной структуры Смена наименований подразделений, перераспределение обязанностей и изменение штатной структуры приводят к изменению ролей и их сопоставления в матрице; старая редакция становится нечитаемой. Привести матрицы в соответствие со структурой, издать новую редакцию приказа, назначить ответственных за миграцию прав и контроль корректности переноса.
Инцидент безопасности или выводы проверки безопасности Инцидент с несанкционированным доступом к ПДн или результаты проверки ИБ, выявившие недостатки в разграничении прав, требуют срочной коррекции матриц и формального закрепления изменений приказом. Срочно пересмотреть матрицы, ограничить или перераспределить доступы, подготовить и издать корректирующий приказ с мерами контроля и проверкой исполнения.

10 Проверка

Инспектор проверит

Документы и материалы проверки по приказу об утверждении матриц доступа пользователей к ИСПДн.

Вопрос 01 «Предъявите приказ об утверждении матриц доступа пользователей к ИСПДн.»
Вопрос 02 «Предъявите действующие матрицы доступа по пользователям и ролям ИСПДн.»
Вопрос 03 «Предъявите документы о назначении лиц, ведущих матрицы и администрирующих учётные записи.»
Вопрос 04 «Предъявите записи об ознакомлении работников с приказом и правилами доступа.»
Вопрос 05 «Предъявите журналы изменений матриц и учёта операций с правами доступа.»

Инспектор при проверке, может запросить:

актуальную редакцию приказа об утверждении матриц доступа пользователей к ИСПДн, подписанную руководителем и с датой утверждения
матрицы доступа пользователей и ролей с указанием прав, критериев назначения и сопутствующих приложений
приказ о назначении ответственных лиц, перечень ответственных сотрудников с указанием должностей и контактных данных
журналы ознакомления или листы ознакомления работников с подписью, подтверждающие ознакомление в соответствии со внутренними актами
журналы изменений матриц с датами и авторами, журналы учёта выдачи и изменения прав доступа, записи аудита по критическим учётным записям

11 Экспертная позиция

Риск избыточных прав и практическая привязка матриц

Частая ошибка - утверждённая матрица существует формально, но не связана с реальными задачами и процессом выдачи прав: роль присваивает набор привилегий, которые никто не контролирует при смене обязанностей. Рабочий приём: строьте матрицы через конкретные сценарии операций, указывайте владельца строки и критерии одобрения, фиксируйте триггеры пересмотра (при приёме, переводе, увольнении, изменении роли). Это уменьшит число «широких» ролей и упростит доказательство корректности при проверке.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу об утверждении матриц доступа

Приказ обязателен при обработке персональных данных в ИСПДн и применяется к учётным записям, ролям и правам доступа. Он закрепляется как внутренний локальный документ и утверждается руководителем организации. В тексте приказа следует указать зону применения, ответственных лиц и дату актуализации; в текущем документе это июль 2026.

Заказать приказ об утверждении матриц доступа к ИСПДн

Закажите подготовку и адаптацию приказа об утверждении матриц доступа к ИСПДн, необходимого при обработке персональных данных. В поставку входит комплект документов для ведения матриц доступа: готовые таблицы матриц, образец приказа с указанием ответственных (служба информационной безопасности или администратор ИСПДн), журнал учёта прав и формы ознакомления работников. Подготовка учитывает текущую структуру учётных записей и роли в системе.

Скачать образец Заказать приказ и комплект локальных нормативных актов

Приказ об утверждении матриц доступа пользователей к ИСПДн

Краткое руководство по приказу об утверждении матриц доступа

Ответственность за отсутствие или неполноту матриц доступа в ИСПДн

Как ещё называют этот документ

Чеклист для приказа об утверждении матриц доступа

Область применения приказа об утверждении матриц доступа

Нормативная база для приказа об утверждении матриц доступа к ИСПДн

Связанные документы и роль приказа

Связанные документы

Шаги внедрения приказа об утверждении матриц доступа пользователей к ИСПДн

Поводы для переиздания приказа об утверждении матриц доступа

Инспектор проверит

Риск избыточных прав и практическая привязка матриц

Частые вопросы по приказу об утверждении матриц доступа

База знаний содержит 268 документов

Заказать приказ об утверждении матриц доступа к ИСПДн

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями