Главная

Приказ об утверждении перечня лиц с доступом в помещения ИСПДн

Устанавливает официальный перечень лиц, допущенных к помещениям с ИСПДн; утверждается руководителем организации или уполномоченным им лицом, ведёт ответственный за организацию обработки. Приказ фиксирует состав лиц и основания доступа, дату ввода в действие и отмены прежних редакций, порядок ознакомления работников под подпись, критерии пересмотра и связь с режимом безопасности помещений для сотрудников и подрядчиков.

Статус обязательный локальный акт при обработке ПДн в ИСПДн, регламентирует допуск лиц в помещения
Основание ст. 18.1 и ст. 19 Федерального закона 152-ФЗ; п. 13 Постановления Правительства РФ № 1119
Публичность внутренний документ, не подлежит общедоступной публикации
Кто утверждает руководитель организации или уполномоченное им лицо
Ответственный ответственный за организацию обработки ПДн, назначаемый в установленном порядке (ст. 22.1 152-ФЗ)
Область действия для помещений с ИСПДн и для сотрудников и подрядчиков, имеющих физический доступ

01 Назначение

Приказ об утверждении перечня лиц с доступом в помещения ИСПДн: назначение и применение

Краткие указания по составу перечня, ролям, контролю и типичным ошибкам при организации физического доступа

Назначение приказа. Приказ закрепляет локальную процедуру допуска в помещения, где размещены ИСПДн, и устанавливает границы физического доступа для сотрудников и подрядчиков. Документ обязателен при обработке ПДн и служит доказательством организованных мер по обеспечению безопасности помещений и контроля доступа.

Что должно входить в перечень и приложение к приказу. Перечень содержит для каждого лица: фамилию, должность, основание допуска (трудовой договор, договор подряда, приказ), уровень доступа и сроки действия допуска или отметку о бессрочном доступе. В приложениях указывают реквизиты удостоверяющих документов, даты инструктажей, ответственных за сопровождение и форму отметок при изменении статуса доступа.

Роли и ответственности. Приказ утверждает руководитель организации или уполномоченное им лицо, а ведение и актуализацию перечня возлагают на ответственного за организацию обработки ПДн. Работники знакомятся с приказом под подпись, за неисполнение правил допуска возможна дисциплинарная ответственность в соответствии с трудовым законодательством.

Контроль, верификация и типичные ошибки. При проверке обращают внимание на акт утверждения приказа, соответствие фактического доступа перечню, наличие подписей и отметок об инструктажах, а также журналы прохода и сканы удостоверений. Частые ошибки - отсутствие правового основания допуска подрядчиков, неустановленные сроки действия допусков и отсутствие отметок об отзыве доступа при увольнении или окончании работы по договору.

Раскрыть полностью

02 Ответственность

Административная ответственность по ч. 1 ст. 13.11 КоАП за отсутствие или ненадлежащее ведение приказа о перечне лиц с доступом в помещения ИСПДн

ч. 1 ст. 13.11 КоАП РФ

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Недостатки в оформлении или исполнении приказа об утверждении перечня лиц с доступом в помещения ИСПДн - отсутствие оформленного документа, неактуальный перечень, допуск подрядчиков без контроля, отсутствие журналов и ознакомления под подпись - повышают риск применения административной ответственности. Типичные ошибки: приказ не зарегистрирован или не подписан, не назначен ответственный за организацию обработки, сотрудники и подрядчики не ознакомлены с режимом доступа. Для снижения риска: утвердить и вести приказ с регистрацией, назначить ответственного, вести перечень и журналы доступа, регламентировать допуск подрядчиков и хранить подтверждения ознакомления и ревизии.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Варианты названий локального приказа, фиксирующего перечень лиц, допущенных в помещения, где размещены ИСПДн. Не путать с приказом о допуске к персональным данным в информационной системе - это разные списки и разные приложения к приказу.

Приказ о допуске работников в помещения с ПДн
Приказ об утверждении перечня допущенных в защищаемые помещения
Приказ о режиме доступа в помещения с персональными данными
Приказ об утверждении порядка доступа в серверную
Распоряжение о допуске в контролируемую зону
Приказ о назначении ответственных за помещения с ИСПДн
Приказ о перечне лиц с доступом в защищённые помещения
Приказ о допуске сотрудников и подрядчиков в помещения с ИСПДн
Приказ о ведении и учёте списка лиц с физическим доступом

04 Обязательное содержание

Чеклист содержания приказа

Чеклист разделов и элементов приказа, необходимых для корректного оформления и контроля допуска лиц в помещения с ИСПДн.

Утверждённый перечень лиц Перечень лиц или категорий лиц с доступом в помещения ИСПДн, оформленный как приложение к приказу с указанием оснований допуска и предусмотренных уровней доступа.
Область действия приказа Чёткое указание помещений, подсистем ИСПДн и групп лиц (сотрудники, подрядчики, посетители), на которые распространяется приказ.
Роли и ответственные Назначение ответственного за организацию обработки ПДн и указание лица, утверждающего приказ (руководитель или уполномоченное лицо), с перечислением их обязанностей в части допуска.
Порядок включения и исключения из перечня Процедура и критерии внесения и исключения лиц из перечня, перечень оформляемых подтверждающих документов и лицо, принимающее решение.
Режим доступа и меры защиты Описание уровней доступа, требований к физической охране помещений и прочих организационно-технических мер, обеспечивающих режим безопасности ИСПДн.
Ознакомление и ответственность Порядок ознакомления лиц с содержанием приказа под подпись и указание дисциплинарной ответственности за нарушения правил допуска.
Временный и подрядный доступ, журнал учёта Порядок выдачи временных пропусков и допуска подрядчиков, требования к сопровождению и обязанность вести журнал или реестр фактов доступа.

05 Применимость

Применимость приказа об утверждении перечня лиц с доступом в помещения ИСПДн

Кратко о том, где и кому нужен приказ: документ обязателен для организаций, эксплуатирующих помещения с ИСПДн и обрабатывающих ПДн, регулирует порядок физического допуска и ответственность.

Обязательное применение Приказ обязателен для операторов, эксплуатирующих помещения с ИСПДн и осуществляющих обработку персональных данных; устанавливает перечень лиц, допущенных в эти помещения, и условия допуска.
Кого охватывает приказ Сотрудники организации, системные администраторы, инженеры эксплуатации, подрядные организации и иные лица, которым требуется физический доступ в помещения с ИСПДн, включая временных исполнителей и посетителей с допуском.
Публичность и ознакомление Приказ является внутренним локальным актом и не подлежит общедоступной публикации; работники и подрядчики подлежат ознакомлению с приказом под подпись в порядке, предусмотренном локальными правилами.
Особые и временные допуски Для подрядчиков, сервисных инженеров и посетителей порядок допуска оформляют временной записью в перечне или отдельным пропуском с указанием срока, зон доступа и ответственных за выдачу и отзыв допуска.
Границы применимости и альтернативы Приказ применим к физическим помещениям с ИСПДн; если доступ регулируется иным централизованным регламентом безопасности или контрактными условиями, используется соответствующий документ при условии совместимости с локальными актами по обработке ПДн.
Ответственность за исполнение и контроль Утверждение приказа возложено на руководителя или уполномоченное им лицо, исполнение контролирует ответственный за организацию обработки персональных данных; за нарушения возможны предусмотренные дисциплинарные меры.

06 Нормативная база

Нормативная основа приказа об утверждении перечня лиц с доступом в помещения ИСПДн

ст. 18.1 152-ФЗ предусматривает обязанность оператора принимать меры по обеспечению безопасности при обработке ПДн и издавать локальные акты; для данного приказа это основание формализовать порядок составления, утверждения и обновления перечня лиц с доступом, распределение ответственности и процедур хранения и учета списков.
ст. 19 152-ФЗ устанавливает требование организации организационно-технических мер защиты персональных данных, включая физические меры; применение к приказу - определение мер контроля доступа, требований к допуску в помещения ИСПДн и порядка документирования фактов доступа.
п. 13 ПП РФ № 1119 регламентирует режим безопасности помещений, в которых размещены средства обработки ПДн; для приказа это основание вводить требования к режиму доступа, маршрутам прохода, средствам охраны и учёту посетителей и подрядчиков.
ст. 22.1 152-ФЗ определяет фигуру ответственного за организацию обработки и его полномочия; для приказа это основание возложить на указанное лицо ведение и пересмотр перечня, координацию с HR и службой безопасности, а также контроль исполнения требований доступа.
ст. 68 ТК РФ требует ознакомить работников с локальными нормативными актами под подпись; для данного приказа это обязанность обеспечить документальные подтверждения ознакомления сотрудников с порядком доступа и с правилами поведения в защищённых помещениях.
ст. 192 ТК РФ предусматривает дисциплинарную ответственность за нарушение трудовой дисциплины; применительно к приказу это правовая основа для закрепления дисциплинарных мер за нарушение режима доступа и за несоблюдение предписанных процедур.
ч. 1 ст. 13.11 КоАП устанавливает ответственность за обработку персональных данных с нарушением требований закона; для приказа это основание формализовать меры предотвращения неправомерной обработки через ограничение физического доступа и порядок взаимодействия с подрядчиками и посетителями.

08 Внедрение

Внедрение приказа об утверждении перечня лиц с доступом в помещения ИСПДн

Последовательные шаги от подготовки проекта приказа до проверки исполнения. Каждый шаг содержит исполнителя и конкретный выходной документ, который кладут в служебную папку для контроля.

1. Подготовка проекта приказа Ответственный за организацию обработки ПДн формирует проект приказа на основании существующих требований по безопасности помещений ИСПДн. На выходе - файл «Проект приказа об утверждении перечня лиц с доступом в помещения ИСПДн» и пояснительная записка с обоснованием предложенных категорий доступа.
2. Согласование перечня и прав доступа Служба безопасности совместно со службой кадров проверяет основания допуска лиц, категории доступа и перечень помещений. На выходе - документ «Перечень лиц с доступом в помещения ИСПДн» в установленной форме и протокол согласования с указанием критериев допуска.
3. Утверждение и издание приказа Руководитель организации или уполномоченное им лицо подписывает приказ. На выходе - зарегистрированный приказ «Об утверждении перечня лиц с доступом в помещения ИСПДн» с регистрационным номером и датой вступления в силу.
4. Ввод в действие и оформление ознакомления После издания приказа ответственный за организацию обработки ПДн совместно со службой безопасности организует ознакомление лиц под роспись и оформление пропусков или прав доступа. На выходе - журнал ознакомления с приказом и журнал учета посещений помещений ИСПДн.
5. Проверка соблюдения и меры при нарушениях Ответственный за организацию обработки ПДн и служба безопасности проводят первичную проверку исполнения приказа, фиксируют несоответствия актом проверки и передают материалы в службу кадров для принятия мер. На выходе - акт проверки соблюдения порядка доступа и запись о принятых дисциплинарных мерах в кадровом деле.

09 Актуализация

Поводы для переиздания или изменения приказа

Приказ переиздают не по формальностям, а при фактических изменениях, влияющих на состав допущенных, режим помещений или полномочия ответственных. Документ должен соответствовать реальному распоряжению доступа и иметь оформленные изменения и листы ознакомления.

Изменился состав допущенных При приёме, увольнении или переводе сотрудников и подрядчиков перечень лиц, имеющих физический доступ, должен быть актуализирован. Мелкие корректировки можно оформлять приказом об изменениях, крупные - новой редакцией приказа. Обновить приложение «Перечень лиц», издать приказ об изменении или новую редакцию приказа, обеспечить подписи в листе ознакомления.
Появилось или изменилось помещение с ИСПДн Открытие серверной, архива, переезд подразделения или смена границ охраняемых зон требуют корректировки перечня помещений и круга допущенных лиц, чтобы физический доступ соответствовал реальному распоряжению. Актуализировать перечень помещений, сопоставить список допущенных и издать приказ о включении новых помещений в зону доступа.
Изменились правила доступа или технические средства Внедрение электронных замков, изменение процедуры сопровождения подрядчиков, изменение графика уборки или иных процедур, влияющих на порядок физического доступа, делает прежний перечень и регламенты несоответствующими фактической практике. Привести порядок доступа и приложение с перечнем лиц в соответствие с новыми правилами; при необходимости издать приказ о новом порядке доступа.
Сменился ответственный за организацию обработки Если лицо, указанное в приказе как ответственный за режим или за организацию обработки ПДн, уволено или переведено, документ должен ссылаться на действующего исполнителя полномочий. Внести изменение в приказ или переиздать приказ с указанием нового ответственного и обеспечить его ознакомление с документом.
По результатам проверки, инцидента или реорганизации Внутренний аудит, расследование инцидента с несанкционированным доступом, реорганизация подразделений или дисциплинарные случаи выявляют несоответствия между приказом и практикой доступа и требуют приведения документа в порядок. Переиздать приказ или выпустить приказ об изменениях, зафиксировать дисциплинарные и организационные меры и обеспечить подписями ознакомления лиц из обновлённого перечня.

10 Проверка

Инспектор проверит

Документы и материалы проверки, подтверждающие утверждение перечня лиц и порядок допуска в помещения ИСПДн.

Вопрос 01 «Предъявите приказ об утверждении перечня лиц с доступом в помещения ИСПДн.»
Вопрос 02 «Предъявите перечень лиц, допущенных в помещения ИСПДн.»
Вопрос 03 «Предъявите записи учета выдачи пропусков и ключей или выгрузки СКУД по допущенным лицам.»
Вопрос 04 «Предъявите подтверждения ознакомления работников и подрядчиков с приказом и требованиями режима помещения.»
Вопрос 05 «Предъявите документы, регламентирующие режим безопасности помещений и порядок допуска подрядчиков.»

Инспектор при проверке, может запросить:

текст приказа об утверждении перечня лиц в ИСПДн, с подписью руководителя или уполномоченного лица и датой
перечень лиц, допущенных в помещения ИСПДн, с ФИО, должностями, указанием сотрудник/подрядчик, основаниями допуска, уровнем и сроком доступа
журналы учета выдачи пропусков и ключей или выгрузки системы контроля доступа с указанием владельцев, дат выдачи и возврата
листы ознакомления работников и подрядчиков с локальными актами под подпись и датой, приказы о назначении ответственных лиц
инструкции и регламенты по режиму безопасности помещений ИСПДн, приказы или акты о допуске подрядчиков и перечни ответственных за сопровождение работ

11 Экспертная позиция

Синхронизация приказа с реестром доступа

Частая ошибка - приказ утверждает перечень лиц формально, но он не связан с учётными системами доступа и журналами выдачи. Практический приём: привязать приказ к реестру СКУД и журналам выдачи пропусков, зафиксировать триггеры пересмотра перечня при увольнении, смене подрядчика и изменении зон доступа, хранить выгрузки и записи прохода как доказательства и прописать порядок аннулирования прав доступа. Обязать ознакомление с приказом под подпись.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по приказу об утверждении перечня лиц с доступом в помещения ИСПДн

Приказ обязателен как локальный акт при обработке персональных данных в помещениях с ИСПДн - он регламентирует допуск лиц и режим доступа. Документ утверждает руководитель организации или уполномоченное им лицо, а за подготовку и исполнение отвечает назначенный ответственный за организацию обработки ПДн.

Заказать приказ и комплект локальных актов по допуску в помещения ИСПДн

Подготовим приказ с утвержденным перечнем лиц и обеспечим комплект внутренних актов для документального оформления допуска в помещения с ИСПДн. В работе адаптируем текст под структуру вашей организации и назначенного ответственного за организацию обработки. Заказ включает подготовку документов под подпись руководителя и набор доказательств для внутренней проверки. Документ внутренний, не подлежит общедоступной публикации.

Заказать приказ и комплект локальных актов