Журнал учёта выдачи первичных паролей ИСПДн: штрафы, что проверить

Статус рекомендуемый, обязателен при выдаче первичных паролей администратором
Основание ч. 2 ст. 19 152-ФЗ; ч. 3.1 ст. 21 152-ФЗ; приказ ФСТЭК № 21 от 18.02.2013; ПП РФ № 1119
Назначение учёт фактов выдачи первичных паролей, фиксация получателя, даты и основания выдачи
Публичность внутренний, предназначен для администраторов и ответственных за безопасность
Кто утверждает администратор ИСПДн или назначенный ответственный за безопасность
Обновлено июль 2026

01 Назначение

Журнал учёта выдачи первичных паролей ИСПДн

Рекомендуемый внутренний документ для администраторов и ответственных за безопасность, обновлено июль 2026

Назначение и область применения. Журнал предназначен для фиксирования фактов выдачи первичных паролей при создании и передаче учетных записей в ИСПДн. Применяется при выдаче паролей администратором или назначенным ответственным и служит средством документирования основания доступа и последующего контроля.

Обязательные поля записи. В журнале фиксируют, как минимум, дату и время выдачи, ФИО и должность получателя, идентификатор учетной записи, основание выдачи (приказ или заявление/заявка), фамилию администратора, срок действия первичного пароля и отметку о его смене. Формат записи должен обеспечивать однозначную связь записи с конкретной выдачей и возможность последующей верификации.

Роли, утверждение и хранение. Форму журнала утверждает администратор ИСПДн или назначенный ответственный за безопасность; именно они несут ответственность за ведение, сохранность и выдачу копий по запросу проверяющих. Журнал можно вести в бумажном виде или в электронном реестре с обеспечением контроля доступа и резервного хранения.

Практика ведения, контроль и типичные ошибки. Запись выполняется при фактической передаче первичного пароля; периодические сверки журнала с регистрами учётных записей помогают выявлять несоответствия. Типичные ошибки - пропуски в записях, отсутствие подписи администратора, хранение журнала в доступном виде и выдача паролей по устной заявке. При выявлении утраты или подозрения на неправомерный доступ следует задействовать внутренний порядок реагирования и выполнить уведомления в сроки, установленные нормативами.

Раскрыть полностью

02 Ответственность

Ответственность при непредставлении сведений об инциденте, связанная с журналом учёта первичных паролей

ч. 11 ст. 13.11 КоАП РФ, неуведомление о факте неправомерного доступа к персональным данным

Юридическое лицо 1 000 000 - 3 000 000 ₽
Должностное лицо 400 000 - 800 000 ₽
Физическое лицо (гражданин) 50 000 - 100 000 ₽

Неполное или отсутствующее ведение журнала усложняет подтверждение факта и сроков уведомления уполномоченного органа при выявлении неправомерного доступа, что повышает риск применения ч. 11 ст. 13.11 КоАП РФ. Типичные ошибки операторов: нефиксирование получателя или основания выдачи первичного пароля, отсутствие подписи или отметки времени, использование общих первичных паролей, отсутствие связи записи журнала с регистрацией инцидента. Практические меры снижения риска: фиксировать полные данные получателя, дату и основание выдачи, хранить электронную копию журнала с управлением прав доступа и привязывать запись к материалам инцидента.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Краткие названия и синонимы, которые используют администраторы и ответственные за безопасность для обозначения журнала учёта выдачи первичных паролей ИСПДн; охватывают первичную выдачу и восстановление доступа, включая временные пароли.

Журнал учёта выдачи первичных паролей
Журнал выдачи первичных паролей ИСПДн
Форма учёта временных паролей
Журнал регистрации выдачи учётных данных
Ведомость выдачи паролей пользователям
Журнал сброса и повторной выдачи паролей
Реестр выдачи паролей и временных учетных данных
Учёт выдачи первичных паролей по 152-ФЗ

04 Обязательное содержание

Чеклист для журнала учёта выдачи первичных паролей

Чеклист ключевых элементов журнала, необходимых при выдаче первичных паролей в ИСПДн. Подходит для внутренних записей администраторов и ответственных за безопасность.

Утверждение и ответственный В журнале указана утверждённая редакция, дата утверждения и лицо, ответственное за ведение журнала (администратор ИСПДн или назначенный ответственный).
Идентификация получателя Запись содержит полное имя получателя, должность или подразделение, идентификатор учётной записи, контакт и подтверждение получения (подпись или электронная метка), с указанием даты и времени.
Основание выдачи Фиксируется основание выдачи первичного пароля: служебная необходимость, восстановление доступа или поручение уполномоченного лица; при делегировании указывается поручение и его реквизиты.
Информация о пароле и способ передачи Указан идентификатор первичного пароля без хранения его в открытом виде, метод передачи получателю и способ подтверждения приёма записи о передаче.
Особые сценарии выдачи Отмечены граничные случаи: экстренная выдача, удалённая передача, выдача по доверенности; каждой записи сопровождается краткое обоснование и дополнительные меры проверки личности получателя.
Хранение и доступ к записям Указаны место и форма хранения журнала, меры защиты и список лиц с правом доступа или редактирования записей; при необходимости присутствует указание на срок хранения в внутреннем регламенте.

05 Применимость

Кому и когда нужен журнал учёта выдачи первичных паролей

Краткое пояснение о случаях использования журнала: кто ведёт, когда обязателен и когда журнал нецелесообразен. Подходит для администраторов и ответственных за безопасность ИСПДн.

Обязательное ведение при ручной выдаче первичных паролей Необходим в тех случаях, когда администратор ИСПДн вручную передаёт первичный пароль пользователю; служит для фиксации получателя, даты и основания выдачи и обеспечивает учёт доступов при применении организационно-технических мер защиты.
Рекомендуется для операторов и подразделений с локальным администрированием Подходит для организаций и подразделений, где выдача первичных паролей выполняется локальными администраторами; помогает формализовать ответственность, упорядочить выдачу и соответствовать требованиям управления средствами аутентификации и уровням защищённости.
Не применяется при централизованной или автоматизированной выдаче Журнал нецелесообразен, если первичные пароли не выдаются вручную, а формируются и распространяются автоматически через центральный провайдер удостоверений или сервис поставщика; в таких случаях учёт ведётся средствами централизованной регистрации и логирования поставщика.
Использование журнала при расследовании инцидентов Журнал служит источником информации при проверке фактов доступа и подготовке материалов для уведомления о компьютерных инцидентах и внутреннего расследования; полезен для восстановления хронологии событий и определения ответственных.
Утверждение и ограничение доступа Ведётся как внутренний документ; утверждает администратор ИСПДн или назначенный ответственный за безопасность. Доступ к журналу должен быть ограничен администраторам и ответственным за безопасность, чтобы сохранить точность и конфиденциальность записей.

06 Нормативная база

Нормативная база для журнала учёта выдачи первичных паролей

ч. 2 ст. 19 152-ФЗ Обязывает организовать правила доступа и регистрацию действий пользователей; для журнала это правовое основание фиксировать факт выдачи первичного пароля, идентификатор получателя, дату и основание выдачи для последующей проверки доступа.
ст. 19 152-ФЗ Требует внедрения организационных и технических мер защиты персональных данных; журнал служит средством контроля обращения аутентификационных данных и подтверждением выполнения мер управления доступом к ИСПДн.
приказ ФСТЭК № 21 от 18.02.2013 Задает базовый набор мер по уровню защищённости; для журнала означает необходимость фиксировать способ и условия выдачи первичных паролей, а также подтверждение получения администратором или ответственным лицом.
приказ ФСТЭК № 21 Подчеркивает требования по управлению средствами аутентификации; журнал используется как операционный инструмент учёта выдачи учетных данных и как источник данных при аудите исполнения процедур управления паролями.
ПП РФ № 1119 Регламентирует требования к уровням защищённости ИСПДн; журнал помогает показать соответствие выбранному уровню защиты в части учёта и обращения первичных средств аутентификации и формировать перечень обязательных полей для записи.
ч. 3.1 ст. 21 152-ФЗ Устанавливает обязанность уведомлять о фактах нарушения безопасности в установленные сроки; журнал обеспечивает хронологию выдачи паролей, необходимую для оценки объема и времени возможного компромета и подготовки уведомлений.
ч. 11 ст. 13.11 КоАП Отражает риск административной ответственности за неуведомление о неправомерном доступе; корректно ведимый журнал служит доказательной базой проверки реакции организации и выполнения обязанностей по уведомлению контролирующих органов.

08 Внедрение

Шаги внедрения журнала учёта выдачи первичных паролей ИСПДн

Последовательные действия от решения о введении журнала до регулярной проверки его ведения. В каждом шаге указан ответственный и конкретный выходной документ или запись.

1. Принятие решения и официальное утверждение журнала Администратор ИСПДн или назначенный ответственный оформляет решение об введении журнала и издаёт приказ об утверждении формы и порядка ведения журнала. На выходе - «Приказ об утверждении Журнала учёта выдачи первичных паролей» и регистрационная запись в журнале приказов организации.
2. Подготовка бланка журнала и инструкции по заполнению Составляется бланк журнала с полями для даты, Ф. И. О. получателя, основания выдачи, Ф. И. О. администратора и отметки о передаче. На выходе - файл бланка «Журнал учёта выдачи первичных паролей (форма)» и краткая инструкция по заполнению для администраторов.
3. Назначение ответственных и оформление доступа к журналу Оформляется приказ о назначении ответственного за ведение журнала и перечень сотрудников, имеющих право вносить записи. На выходе - «Приказ о назначении ответственного за ведение журнала» и реестр уполномоченных лиц с подписью руководителя.
4. Ввод в эксплуатацию и начало ведения журнала Перед началом использования проверяют наличие утверждённого бланка и приказа, проводят краткий инструктаж уполномоченных лиц. На выходе - заполненный первый лист журнала с подписью администратора и пометкой о вводе в действие.
5. Контроль соответствия и подготовка к проверкам Проводится внутренняя проверка соблюдения порядка выдачи первичных паролей и полноты записей в журнале, в результате составляют акт проверки. В папку для проверяющего кладут: приказ об утверждении журнала, бланк журнала, актуальные страницы журнала и приказы о назначении ответственных.

09 Актуализация

Триггеры для пересмотра журнала учёта выдачи первичных паролей

Обновлять бланк журнала или правила его ведения при изменении способа выдачи, состава ИС, факторов аутентификации или после инцидента. Изменения фиксировать в приказе или приложении к инструкции, с указанием ответственных и сроков.

Появление новой информационной системы В журнале должна появиться графа с наименованием или кодом ИС либо выделенный раздел, чтобы записи по разным системам не смешивались и сохранилась трассируемость выдач. Добавить графу 'Информационная система' или завести отдельный раздел; обновить инструкцию по заполнению и распределению записей между системами.
Изменился способ передачи первичных паролей При переходе на защищённые сервисы, одноразовые ссылки или внутренние порталы графа 'способ передачи' и порядок подтверждения получения должны соответствовать новому каналу. Адаптировать бланк и инструкцию: уточнить виды способов передачи, критерии допустимости и процедуру фиксации подтверждения получения.
Внедрена автоматическая смена пароля при первом входе Если система принудительно меняет первичный пароль, записи в журнале должны формироваться по данным системы или ссылке на системный лог, а не только ручными отметками. Согласовать источник данных для заполнения поля 'смена при первом входе', прописать порядок интеграции с логами и обновить инструкцию по верификации записи.
Переход на многофакторную аутентификацию Выдача токенов или других средств аутентификации фиксируется в отдельном реестре; в журнале оставляют ссылку на этот реестр и идентификатор устройства, чтобы не дублировать записи. Завести сопутствующий реестр средств аутентификации, добавить в журнал поле с идентификатором средства или ссылку на запись в реестре.
Инцидент компрометации первичных паролей или несанкционированный доступ При установлении утечки канала передачи или факта компрометации инициируется проверка выданных паролей, ревизия записей в журнале и решение о принудительной смене/аннулировании выданных паролей. Провести ревизию записей по затронутому каналу, отозвать скомпрометированные пароли, зафиксировать меры и сроки уведомления уполномоченных органов и внутренних ответственных.

10 Проверка

Инспектор проверит

Документы и материалы проверки журнала учёта выдачи первичных паролей ИСПДн.

Вопрос 01 «Предъявите записи журнала за проверяемый период.»
Вопрос 02 «Предъявите документ, подтверждающий полномочия лица, выдающего первичные пароли.»
Вопрос 03 «Предъявите форму журнала и методику её заполнения.»
Вопрос 04 «Предъявите подтверждения случаев выдачи первичных паролей при восстановлении доступа и при смене сотрудников.»
Вопрос 05 «Предъявите документы, регламентирующие хранение и передачу первичных паролей.»

Инспектор при проверке, может запросить:

записи журнала учёта выдачи первичных паролей за проверяемый период, с указанием получателя, даты, основания выдачи и подписи администратора
приказ о назначении администратора или ответственного за безопасность, перечень уполномоченных лиц
типовая форма журнала и инструкция по заполнению, образцы заполненных записей
записи о выдаче первичных паролей при восстановлении доступа или при смене сотрудников с указанием основания выдачи и подтверждением получения
положение по управлению учетными записями и средствами аутентификации, журналы контроля доступа к хранилищу паролей, инструкции по безопасной передаче первичных паролей

11 Экспертная позиция

Ключевой риск и практическая мера

Частая операционная проблема - журнал воспринимают как формальность и не связывают каждую запись с реальной процедурой идентификации. Вследствие этого встречаются записи без подписи, выдача первичного пароля лицам без полномочий и отсутствие сопоставления с учётной записью. Рекомендуем ввести двухканальную фиксацию: бумажная запись с подписью и скан в защищённом хранилище с метаданными (время, удостоверение, номер заявки), сопоставление записей журнала с системными логами и периодическая сверка на предмет расхождений. При дистанционной выдаче вводите временные одноразовые коды и подтверждение по второму каналу, чтобы исключить споры о том, кому выдан пароль.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по журналу учёта выдачи первичных паролей ИСПДн

Ведение журнала рекомендуется и фактически обязательно при непосредственной выдаче первичных паролей администратором ИСПДн: журнал обеспечивает фиксацию получателя, даты и основания выдачи как элемент организационно-технических мер защиты. Если в организации назначен ответственный за безопасность или администратор, журнал используют как подтверждение правил доступа и регистрации действий.

Заказать журнал учёта выдачи первичных паролей и комплект документов

Закажите готовый журнал для учёта выдачи первичных паролей в составе комплекта документов для ИСПДн. В комплект входят шаблон журнала в печатной и электронной форме, образец приказа об утверждении, бланки отметок о смене пароля и инструкция по ведению и хранению записей - чтобы фиксировать получателя, дату и основание выдачи и иметь комплект подтверждений на проверке. Включена краткая консультация по адаптации под вашу роль администратора и правила доступа.

Заказать журнал и комплект локальных нормативных актов

Журнал учёта выдачи первичных паролей ИСПДн