Перечень помещений, в которых размещена ИСПДн
Список кабинетов, серверных и архивов, где стоят компьютеры с персональными данными или хранятся их носители, с указанием режима доступа и ответственного за каждое помещение.
Зачем нужен документ
Защита персональных данных начинается не с антивируса, а с двери. Компьютер с кадровой базой, стоящий в проходном кабинете, и папки с личными делами в шкафу без замка сводят на нет любые технические меры: данные уносят руками, и следов это почти не оставляет. Перечень помещений нужен, чтобы организация сначала назвала места, где данные физически находятся, и только потом рассуждала о режиме.
Требование сформулировано в постановлении о уровнях защищённости прямо: оператор организует режим обеспечения безопасности помещений, в которых размещена информационная система, препятствующий возможности неконтролируемого проникновения или пребывания в них лиц, не имеющих права доступа. Перечень — первый шаг: без него непонятно, к каким именно помещениям это относится.
Самое полезное, что даёт составление перечня, — расширение картины. Почти всегда выясняется, что помещений больше, чем казалось: кроме серверной это бухгалтерия, кадры, приёмная с картотекой, склад с накладными, переговорная с общим компьютером и кабинет, где стоит сетевое хранилище резервных копий. Каждое из них — точка, через которую данные могут уйти, и каждое требует своего решения.
Чем грозит отсутствие
Санкции за отсутствие самого перечня нет — наказывают за последствия. Незапертый кабинет с личными делами или серверная с кодовым замком, код которого знает вся бухгалтерия, приводят к утечке, размер которой считают по числу пострадавших субъектов.
Как ещё называют этот документ
Что должно быть в документе
Форма не установлена. Критерий полноты: по перечню можно обойти организацию с планом этажа и проверить каждое помещение, не задавая уточняющих вопросов.
Требования законодательства
Как связан с другими документами
Перечень помещений — основание физического контура: он называет места, остальные документы описывают, кто туда входит и по каким правилам.
Когда обновлять документ
Документ про здание, а здание меняется реже систем — но каждое изменение здесь заметно сразу и проверяется глазами.
Что спросит проверяющий
Этот перечень проверяется не по бумаге, а ногами: с документом в руках проходят по кабинетам и сверяют написанное с увиденным.
Разбор эксперта
Перечень помещений почти всегда начинают писать с серверной — и почти всегда этим же и заканчивают. Между тем серверная как раз обычно в порядке: она заперта, ключ у администратора, туда никто не ходит. Настоящие находки в другом месте: шкаф с личными делами в коридоре, картотека в приёмной, куда любой посетитель приходит ждать, коробки с архивом бухгалтерии в помещении, которое одновременно служит кладовкой и курилкой. Мы советуем составлять перечень не по памяти, а обходом: взять план этажа и пройти его целиком, отмечая каждое место, где есть данные.
Второй по частоте разговор — про соразмерность. Малый бизнес пугается слова «режим» и думает, что от него ждут турникетов и охраны. Не ждут. Постановление говорит о режиме, препятствующем неконтролируемому проникновению, и для кабинета из трёх человек это запираемая дверь, известный круг тех, у кого ключ, и шкаф с замком для бумаг. Важно не количество техники, а способность объяснить: вот помещение, вот что мешает войти постороннему, вот кто за это отвечает.
И то, что почти всегда оказывается неучтённым, — люди, которые бывают в помещениях по расписанию, но в организации не работают. Уборщица с универсальным ключом заходит вечером во все кабинеты, когда там уже никого нет. Обслуживающая ИТ-компания приезжает в серверную. Арендодатель имеет свой комплект ключей по договору. Каждый из них — законное присутствие, но не описанное, а значит, режима в терминах постановления нет. Решается это парой строк: сопровождение работником либо прямое включение таких лиц в перечень допущенных с обоснованием.
Составляйте перечень обходом по плану этажа, а не по памяти: помещений всегда оказывается больше. Пишите только те средства охраны, которые действительно есть — заявленная, но отсутствующая сигнализация превращает документ в улику. Для каждого помещения назовите ответственного поимённо, иначе за запирание не отвечает никто. И отдельно опишите вечерний контур: уборка, подрядчики, арендодатель — те, кто бывает внутри, когда работников уже нет.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Все, где физически находятся персональные данные: серверная, кабинеты кадров и бухгалтерии, архив, касса, приёмная с картотекой, помещение с сетевым хранилищем резервных копий. Критерий простой — есть ли внутри техника с данными или их бумажные носители.
Да. Даже при полностью облачной системе остаются рабочие места, с которых в неё входят, и почти всегда бумажные документы. Помещения оператора никуда не исчезают, меняется только то, что в них стоит.
Нет. Постановление требует режима, препятствующего неконтролируемому проникновению, а не конкретных средств. Для небольшого офиса это запираемая дверь, ограниченный круг лиц с ключами и шкаф с замком для бумаг.
Включать в перечень наравне с собственными и отдельно оговаривать доступ арендодателя: если у него есть свой комплект ключей по договору, это должно быть описано, иначе режим формально не выполняется.
Квартира работника не помещение оператора, и в перечень она не попадает. Риск закрывается иначе: запретом выгрузок и печати на личной технике, работой только через защищённое подключение и обязанностями работника, закреплёнными в инструкции и соглашении.
Если на нём печатаются документы с персональными данными — да. Забытые в лотке распечатки и общий доступ к принтеру в проходном коридоре — одна из самых частых находок при проверке.
Перечень помещений отвечает на вопрос «какие комнаты входят в контур и какой в них режим», перечень мест хранения спускается внутрь помещения: конкретные шкафы, сейфы и ящики, где лежат бумажные и съёмные носители. В комплекте это разные позиции, и одна не заменяет другую.