Главная

Журнал событий информационной безопасности ИСПДн

Обязательный внутренний журнал событий информационной безопасности ИСПДн, необходимый для контроля доступа, расследования инцидентов и сохранения доказательной ценности записей. Описывает обязательные атрибуты записи, требования к защите и доступу, ответственных за ведение и утверждение журнала, а также меры, обеспечивающие целостность и невозможность несанкционированного удаления записей, на которые проверяющие обращают внимание.

Статус обязательный при обработке персональных данных в ИСПДн
Основание ч. 2 ст. 19 152-ФЗ, приказ ФСТЭК № 21, ПП РФ № 1119
Область применения все компоненты ИСПДн организации, где осуществляется сбор, хранение или иная обработка персональных данных
Публичность внутренний документ, доступ ограничен службам безопасности, администраторам ИСПДн и ответственным за ПДн
Кто утверждает ответственный за безопасность персональных данных в ИСПДн
Ключевые требования регистрация действий пользователей и систем, ведение и защита журналов событий и доступа, обеспечение сохранности логов для расследования инцидентов и подтверждения соблюдения требований по уведомлению
Обновлено июль 2026

01 Назначение

Журнал событий информационной безопасности ИСПДн

Краткие практические указания по содержанию, ответственности и защите журналов

Назначение журнала. Журнал фиксирует действия пользователей и систем в ИСПДн для выявления и расследования инцидентов, восстановления событий и подтверждения соблюдения мер защиты персональных данных. Журнал служит источником фактических данных при проверках и внутренних расследованиях, а также элементом доказательной базы при необходимости уведомления уполномоченных органов.

Область применения и ответственные. Журнал ведётся для всех компонентов ИСПДн, где производится сбор, хранение или иная обработка персональных данных. Ответственность за организацию и утверждение порядка ведения журнала несёт ответственный за безопасность персональных данных в ИСПДн; доступ к журналам ограничивают службы безопасности и администраторы с разграничением прав.

Содержание записей и формат. В журнале фиксируют неавторизованные и авторизованные действия: входы и выходы пользователей, привилегированные операции, создание, изменение и удаление записей персональных данных, изменения конфигурации безопасности, ошибки и системные события. Записи должны содержать метку времени, идентификатор субъекта или процесса, тип события и контекст операции; рекомендуется единый формат и синхронизация времени по NTP для сопоставления логов.

Хранение, защита и использование журналов. Журналы нужно хранить в защищённом от несанкционированных изменений виде с разграничением доступа, регистрацией доступа к самим журналам и резервным копированием. При инциденте журналы используют для анализа и передачи сведений в установленные сроки; несвоевременное уведомление может повлечь ответственность. Политика хранения и процедуры работы с журналами должны быть документированы и проверяемы.

Раскрыть полностью

02 Ответственность

Ответственность за неуведомление о неправомерном доступе при работе ИСПДн

ч. 11 ст. 13.11 КоАП РФ, неуведомление или просрочка сообщения о факте неправомерного доступа

Юридическое лицо 1 000 000 - 3 000 000 ₽
Должностное лицо 400 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽

Штрафы предусмотрены за неуведомление или просрочку сообщения о факте неправомерного доступа к персональным данным. Отсутствие или ненадлежащее ведение журнала событий ИСПДн повышает риск просрочки уведомления и затрудняет формирование доказательной базы при проверке. Типичные ошибки операторов: отсутствие резервного хранения логов, незащищённый доступ к журналам, отсутствие регламентов по анализу и реагированию на события. Для соблюдения срока уведомления см. ч. 3.1 ст. 21 152-ФЗ; организационные требования - ч. 2 ст. 19 152-ФЗ.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Список распространённых названий помогает быстро найти нужный внутренний журнал при проверке и настройке логирования. Важно различать перечень регистрируемых событий, сам журнал хранения событий и журнал регистрации инцидентов - это разные документы с разными задачами.

Журнал регистрации событий ИБ ИСПДн
Журнал событий ИСПДн
Журнал аудита ИСПДн
Логи событий доступа к персональным данным
Реестр действий пользователей ИСПДн
Журнал регистрации доступа к ПДн
Системные журналы ИСПДн
Журнал контроля целостности и доступа ИСПДн
Журнал аудита безопасности информационной системы ПДн
Архив логов и журналов ИСПДн

04 Обязательное содержание

Чеклист содержания журнала событий ИСПДн

Чеклист разделов и элементов, которые должны быть в журнале событий для контроля операций и расследования инцидентов в ИСПДн.

Утверждённая форма и регламент В документе указана ответственная роль за ведение и утверждение журнала, порядок ввода записей, права доступа к журналу и регламент корректировок и восстановления при ошибках.
Охват компонентов ИСПДн Перечислены все компоненты и подсистемы ИСПДн, где ведётся журнал, с указанием централизованных и локальных источников логов и границ ответственности для распределённых и облачных сервисов.
Перечень регистрируемых событий Содержится детальный перечень событий и действий для регистрации: аутентификация, авторизация, изменение прав, доступ к данным, создание и удаление записей, системные ошибки и подозрительные попытки доступа.
Структура и обязательные поля записи Определены обязательные поля записи журнала: метка времени, идентификатор субъекта, роль/учётная запись, действие, объект операции, результат, сетевой адрес или источник запроса, уникальный идентификатор записи.
Защита, сохранность и контроль целостности Описаны меры защиты журналов от несанкционированного доступа и изменения, процессы резервного копирования и журналирования самих операций с логами, а также разграничение доступа для служб безопасности и администраторов.
Порядок использования при инцидентах и уведомлении Указан порядок извлечения и анализа записей при расследовании инцидента, ответственные за анализ и документирование, критерии триггеров для анализа и ссылка на обязанность оперативного уведомления при подтверждённом нарушении.

05 Применимость

Кому и когда нужен журнал событий ИСПДн

Короткая инструкция о сфере применения журнала событий информационной безопасности в ИСПДн, о ролях, триггерах для ведения и ситуациях, когда требуется отдельный документ или интеграция с централизованным логированием.

Кому предназначен Внутренний документ для служб безопасности, администраторов ИСПДн, операторов и ответственных за обработку персональных данных. Журнал служит для контроля действий пользователей и систем, расследования инцидентов и проверки соблюдения правил доступа.
Обязательность ведения Обязателен при обработке персональных данных в ИСПДн; журнал входит в систему мер по обеспечению уровня защищённости и регистрации действий.
Область применения по компонентам Охватывает все компоненты ИСПДн организации, где осуществляется сбор, хранение или иная обработка персональных данных, включая серверы, базы данных, сетевые устройства, прикладные сервисы и узлы интеграции с внешними провайдерами.
Кто утверждает и кто ведёт Утверждает ответственный за безопасность персональных данных в ИСПДн. Ведение и техническую поддержку журнала обеспечивают администраторы ИСПДн при взаимодействии со службой информационной безопасности.
Когда требуется отдельный документ или интеграция Разделяйте локальные журналы и отдельные регламенты для филиалов или самостоятельных подсистем ИСПДн, когда они функционируют как обособленные операционные единицы или находятся у сторонних провайдеров. При наличии централизованного SIEM требуется регламент интеграции и сопоставление форматов записей.
Триггеры для создания и обновления журнала Создание или пересмотр журнала необходим при вводе в эксплуатацию компонентов ИСПДн, при изменении уровня защищённости, после инцидентов или по результатам аудита и проверок.
Граничные случаи и типичные ошибки Не включайте в журнал события из систем, не относящихся к обработке персональных данных, без контроля. Частые ошибки: неполный перечень регистрируемых событий, недостаточная защита и доступность логов, хранение копий вне зоны контроля ИСПДн. Для перечня обязательных полей и формата записей см. чеклист содержания журнала событий.

06 Нормативная база

Нормативная база для журнала событий информационной безопасности ИСПДн

ч. 2 ст. 19 152-ФЗ устанавливает обязанность организовать правила доступа и регистрацию действий при работе с персональными данными; для журнала означает необходимость фиксировать события доступа, операции с ПДн, изменения прав и системные события, которые служат первичным источником информации при проверке инцидентов и расследованиях
приказ ФСТЭК № 21 от 18.02.2013 определяет базовый набор технических мер для систем защиты информации; для журнала это требования к объёму и форматам регистрируемых событий, защите записей от удаления и модификации, сохранности метаданных, синхронизации времени и обеспечению целостности логов для последующего анализа
ПП РФ № 1119 задаёт уровни защищённости ИСПДн и обязательный состав мер для каждого уровня; для журнала означает, что объём регистрируемых событий, требования к хранению и криптозащите журналов и порядок доступа должны соответствовать присвоенному уровню и быть задокументированы
ч. 3.1 ст. 21 152-ФЗ устанавливает обязанность уведомлять регулятора о нарушении прав субъектов ПДн в 24 часа с момента выявления; журнал должен позволять оперативно извлекать доказательства выявления, фиксировать время и содержание события и поддерживать трассировку для подтверждения своевременности уведомления
ч. 11 ст. 13.11 КоАП предусматривает административную ответственность за непредоставление сведений о случаях неправомерного доступа и несвоевременное уведомление; журнал служит доказательной базой для подтверждения факта обнаружения, действий по реагированию и отправки уведомлений регулирующему органу
ст. 19 152-ФЗ общая норма об организационных и технических мерах защиты персональных данных; применительно к журналу обозначает обязанность документировать порядок ведения журналов, распределение ролей доступа к ним, процедуры хранения и архивирования и меры по предотвращению несанкционированного доступа к записям

08 Внедрение

Внедрение журнала событий информационной безопасности ИСПДн

Пошаговая инструкция от принятия решения до рабочего контура журнала событий. Каждый шаг - ответственный и конкретный выходной документ или запись, которые положить в папку для проверки.

1. Принятие решения и назначение ответственности Ответственный за безопасность персональных данных в ИСПДн оформляет приказ об организации ведения журнала событий ИСПДн, назначает ответственных за ведение и контроль журнала, указывает состав участников работ.
2. Определение области и перечня регистрируемых событий Служба информационной безопасности совместно с администраторами ИСПДн составляет Перечень регистрируемых событий и матрицу соответствия событий компонентам ИСПДн; оформляет Перечень регистрируемых событий как приложение к журналу.
3. Настройка систем учёта и сбор логов Администраторы ИСПДн реализуют и документируют настройки журналирования в системах, фиксируют конфигурации в служебном файле конфигурации и вносят запись о настройках в журнал учёта изменений.
4. Обеспечение защиты, хранения и доступа к журналам Служба информационной безопасности утверждает регламент хранения и защиты журналов с указанием прав доступа, способов архивирования и мер целостности; оформляет регламент как отдельный документ и делает запись о месте хранения архивов.
5. Проверка целостности, контроля доступа и порядок при инциденте Провести проверку настроек и контрольных сумм журналов, зафиксировать результаты актом проверки; согласовать порядок передачи материалов при подозрении на инцидент и перечень документов для дальнейшего расследования.
6. Утверждение, ввод в действие и инструктаж Ответственный утверждает журнал и сопутствующие документы приказом, проводит инструктаж администраторов и лиц с правом доступа; оформляет приказ об утверждении и запись о проведённом инструктаже.

09 Актуализация

Поводы для обновления журнала событий информационной безопасности ИСПДн

Конкретные события и изменения, при которых журнал событий должен быть разработан, пересмотрен или переиздан. Для каждого повода указан ожидаемый результат правки.

Первичное внедрение ИСПДн или ввод в эксплуатацию новых подсистем При запуске ИСПДн, подключении новых компонент или при вводе в эксплуатацию подсистем, где обрабатываются персональные данные, необходимо сформировать и утвердить журнал событий с перечнем регистрируемых событий и правилами хранения записей. Утвердить журнал приказом или распоряжением, сохранить копию в деле ИСПДн и обеспечить начальную настройку логирования.
Изменение состава, архитектуры или конфигурации ИСПДн При добавлении, удалении или значительной переработке компонентов ИСПДн, переходе на новое ПО или изменении схемы взаимодействия систем обновить перечень событий, формат логов и места их хранения. Обновить перечень регистрируемых событий и настройки систем сбора логов, внести изменения в журнал и проконтролировать корректность новых записей.
Факт неправомерного доступа или иные инциденты безопасности После выявления инцидента с утратой конфиденциальности, несанкционированным доступом или иного события, подпадающего под обязанность уведомления, пересмотреть записи журнала, обеспечить сбор и защиту исходных логов для расследования. Зафиксировать инцидент в журнале, сохранить исходные логи в защищённом хранилище и при необходимости скорректировать состав регистрируемых событий.
Результаты внутренней проверки, аудита или расследования При выявлении в ходе аудита или проверки несоответствий в регистрации действий, пропусков логов или недостаточной защите журналов - пересмотреть правила регистрации, хранения и доступа к журналам. Внести корректировки в журнал и сопутствующие процедуры, подготовить приказ о доработке и зафиксировать сроки исполнения.
Изменение требований к уровням защищённости ИСПДн При установлении или пересмотре уровня защищённости ИСПДн необходимо привести журнал в соответствие с новыми требованиями по объёму и критериям регистрации событий. Адаптировать формат и объём собираемых событий, дополнить меры по защите и сохранности журналов, зафиксировать изменения в документации ИСПДн.

10 Проверка

Инспектор проверит

Документы и материалы проверки по журналу событий информационной безопасности ИСПДн, которые инспектор запросит при выездной или документарной проверке.

Вопрос 01 «Предъявите журнал событий информационной безопасности ИСПДн за проверяемый период.»
Вопрос 02 «Предъявите документ, которым утверждён порядок ведения журнала и распределены ответственные лица.»
Вопрос 03 «Предъявите сведения о мерах защиты журналов и обеспечении их сохранности.»
Вопрос 04 «Предъявите материалы по расследованию инцидентов, где использовались записи журнала.»
Вопрос 05 «Предъявите документы по управлению доступом к журналам и учёту действий администраторов.»

Инспектор при проверке, может запросить:

журнал событий информационной безопасности ИСПДн за проверяемый период, содержащий записи о входах в систему, выдаче и снятии прав, изменениях конфигурации и ошибках системы
приказ или распоряжение об утверждении порядка ведения журнала и назначении ответственных за его ведение и хранение
регламенты хранения и резервного копирования журналов, настройки системы логирования, результаты проверок целостности и доступности логов
протоколы расследований инцидентов, выдержки из журнала событий, акты и уведомления в уполномоченные органы при наличии
реестр прав доступа к компонентам ИСПДн, журналы действий администраторов и записи об изменениях учётных записей

11 Экспертная позиция

Неочевидный риск при ведении журнала событий

Частая ошибка - рассматривать журнал как пассивный архив. На практике это активный контрольный механизм, поэтому критично обеспечить целостность, непрерывность и доступность логов для расследований. Практические меры: разделение прав записи и чтения, защита доступа к журналам отдельными учетными записями, синхронизация времени на всех компонентах, регулярная экспортная копия логов в изолированный защищённый архив, применение хеширования или цифровых подписей для обнаружения изменений, шифрование при хранении и передаче, журналирование привилегированных действий и настройка мониторинга аномалий с регламентом реагирования. Документируйте порядок ведения, ротации и проверки целостности журналов и назначьте ответственных за каждый этап.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по журналу событий ИСПДн

Журнал фиксирует события информационной безопасности в тех компонентах ИСПДн, где обрабатываются персональные данные. Ведение журнала поручается ответственному за безопасность персональных данных в ИСПДн и администраторам систем в рамках их полномочий. Журнал служит источником для расследования инцидентов и подтверждения контроля доступа.

Заказать журнал событий ИСПДн и комплект подтверждающих материалов

Подготовим и адаптируем журнал событий для вашей ИСПДн вместе с комплектом сопроводительных материалов: образцом приказа об учёте журналов, формой журнала, инструкцией по хранению и защите записей, шаблонами экспорта логов и чеклистом для проверки готовности. Набор нужен для сохранения доказательной ценности при расследовании инцидентов, контроля доступа и документального подтверждения исполнения обязанностей ответственных за ПДн. Включаем согласование с ответственным за безопасность ПДн, настройку параметров логирования и краткий инструктаж персонала по ведению журнала.

Заказать журнал и комплект материалов

Журнал событий информационной безопасности ИСПДн

Журнал событий информационной безопасности ИСПДн

Ответственность за неуведомление о неправомерном доступе при работе ИСПДн

Как ещё называют этот документ

Чеклист содержания журнала событий ИСПДн

Кому и когда нужен журнал событий ИСПДн

Нормативная база для журнала событий информационной безопасности ИСПДн

Сопутствующие документы для журнала событий ИСПДн

Связанные документы

Внедрение журнала событий информационной безопасности ИСПДн

Поводы для обновления журнала событий информационной безопасности ИСПДн

Инспектор проверит

Неочевидный риск при ведении журнала событий

Частые вопросы по журналу событий ИСПДн

База знаний содержит 268 документов

Заказать журнал событий ИСПДн и комплект подтверждающих материалов

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями