Порядок доступа в помещения, в которых размещены ИСПДн
Правила, по которым люди попадают в помещения с персональными данными и покидают их: кто выдаёт ключи и под какую подпись, как проходят посетители, что делают в конце дня и что считать нарушением режима.
Зачем нужен документ
Списки помещений и допущенных людей описывают статику: вот кабинеты, вот те, кто может в них войти. Но нарушения режима происходят в движении: ключ передали на время и забыли забрать, дверь оставили открытой на обед, ремонтника пустили одного, потому что все были на совещании. Порядок доступа существует, чтобы у каждого такого момента был заранее описанный правильный ход.
Документ отвечает на четыре практических вопроса: как ключ попадает к человеку и как возвращается, что происходит с помещением в конце рабочего дня, как внутрь попадает тот, кого в перечне нет, и что делать, когда режим уже нарушен. Последний вопрос важнее первых трёх: именно он превращает набор правил в работающую процедуру.
Отдельная ценность — в том, что порядок снимает бытовые конфликты. Когда написано, что кабинет кадров убирается в присутствии работника, а не вечером после всех, это уже не придирка к клинингу, а исполнение установленного режима. Когда написано, что ключ выдаётся под роспись, отказ выдать его «просто так» перестаёт быть личной позицией завхоза.
Чем грозит отсутствие
Нарушение физического режима почти никогда не выглядит как утечка в момент, когда происходит. Посторонний в кабинете, незапертая дверь в архив, пропавший ключ — это признаки неправомерного доступа, и по закону у организации есть 24 часа на уведомление Роскомнадзора с момента обнаружения. Порядок доступа — то место, где написано, кто и как этот сигнал передаёт.
Как ещё называют этот документ
Что должно быть в документе
Форма не установлена. Критерий полноты: по документу новый работник должен понять, что делать с ключом и с посетителем, не спрашивая коллег.
Требования законодательства
Как связан с другими документами
Порядок — процедурная часть физического контура: он приводит в движение два перечня и стыкуется с реагированием на инциденты.
Когда обновлять документ
Порядок живёт дольше перечней — он про правила, а не про людей. Но каждое изменение обстановки проверяет его на выполнимость.
Что спросит проверяющий
Порядок проверяют не чтением, а вопросами к работникам: если правила живые, ответы совпадают у разных людей и с текстом документа.
Разбор эксперта
Порядок доступа — тот документ, который чаще всего пишут заведомо невыполнимым. В типовом шаблоне появляются бюро пропусков, круглосуточная охрана и журналы входа в каждое помещение — для организации на пятнадцать человек это фантастика, и через неделю про документ забывают. Мы всегда советуем обратное движение: описать то, что реально делается сейчас, вычеркнуть лишнее, добавить два-три выполнимых правила и утвердить. Скромный, но соблюдаемый порядок защищает лучше подробного и мёртвого — при разборе инцидента сравнивают именно с ним.
Второе, на чём мы настаиваем, — пункт про обнаружение нарушения. Правила обычно описывают, как всё должно быть, и молчат о том, что делать, когда уже не так. А ведь именно тут теряются часы: работник видит открытую дверь архива, закрывает её и не считает нужным кому-то сообщать. Между тем это признак неправомерного доступа, и срок уведомления Роскомнадзора отсчитывается от момента обнаружения, а не от момента, когда до руководства дошла молва. Одна строка «увидел — сообщи ответственному в тот же день» стоит дороже целого раздела про пропускной режим.
И третье — уборка. Это самый недооценённый пункт физического режима: люди с универсальным ключом заходят во все кабинеты тогда, когда там уже никого нет, и делают это годами. Ни у кого нет злого умысла, но состояние ровно то, которое постановление называет неконтролируемым пребыванием. Рабочих решений всего три: убирать помещения с данными в присутствии работника, вынести уборку таких кабинетов в отдельный график с сопровождением или включить конкретных людей в перечень допущенных с подписью об ответственности. Любое из них закрывает вопрос, отсутствие всех трёх — нет.
Пишите порядок под свой масштаб: выполнимые правила вместо шаблонного пропускного режима. Обязательно включите пункт о том, что делать при обнаружении нарушения, и назовите адресата сигнала — это прямо влияет на соблюдение суточного срока уведомления. Отдельно закройте уборку и подрядчиков: сопровождение или включение в перечень. И проведите ознакомление под подпись — без него документ не порождает обязанностей ни у кого.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Да, но короткий. Для небольшого офиса это одна-две страницы: кто хранит ключи, что проверяется в конце дня, как проходят посетители и кому сообщать о нарушении. Объём здесь не показатель качества.
Прямого требования нет. Для серверной и архива журнал или электронная система полезны — они дают ответ на вопрос «кто был внутри» при разборе инцидента. Для обычного кабинета достаточно правил запирания и учёта ключей.
Через сопровождение работником и отметку о входе. Оставлять их одних в помещении с данными нельзя; если работы длительные, технику с данными на время работ лучше вынести или помещение освободить.
Выбрать одно из трёх: уборка в присутствии работника, отдельный график для кабинетов с данными под сопровождением или включение конкретных уборщиков в перечень допущенных с подписью об ответственности. Условие полезно продублировать в договоре с клининговой компанией.
Это признак возможного неправомерного доступа. Первое действие — заменить личинку или перекодировать замок, второе — оценить, могли ли посторонние попасть к данным. Если да, включается процедура инцидента с суточным сроком уведомления.
Технически можно, но неудобно: перечни меняются при каждом кадровом событии, а правила живут годами. Объединённый документ придётся переутверждать каждый месяц, и обычно его просто перестают обновлять.
Всех, кто бывает в помещениях с данными. Правило «не пускать посторонних и не оставлять их одних» касается любого работника, а не только тех, у кого есть ключ.