Приказ о проведении периодического обучения работников по защите ПДн
Приказ, которым обучение по защите персональных данных превращается из разовой акции в процедуру: с периодичностью, программой, ответственным за проведение и фиксацией того, кто и когда обучение прошёл.
Зачем нужен документ
Технические меры защищают от того, что можно перехватить или взломать. От работника, который сам отдаёт данные, они не защищают вовсе. Звонок «из службы безопасности банка», письмо «предоставьте список сотрудников для проверки», просьба коллеги скинуть базу в мессенджер — эти сценарии проходят мимо любых средств защиты, потому что действие выполняет законный пользователь с законными правами.
Обучение — единственная мера против этого класса угроз, а приказ существует, чтобы оно происходило регулярно. Разовая акция при внедрении комплекта не работает: через год половина людей новая, остальные помнят факт занятия, но не его содержание. Приказ задаёт периодичность, ответственного и способ фиксации.
Второй, менее очевидный смысл — доказательство. При разборе инцидента организация должна показать, что принимала меры, а не только писала документы. Ведомость с подписями и датами занятий — самое наглядное подтверждение из возможных, куда убедительнее ссылок на политику.
Чем грозит отсутствие
Штрафа за непроведённое обучение нет. Есть прямая связь между необученным работником и масштабом утечки: одно открытое письмо с вредоносной ссылкой или один отданный по телефону доступ дают злоумышленнику ту же базу целиком.
Как ещё называют этот документ
Что должно быть в документе
Приказ короткий, программа занятий — приложением. Критерий полноты: понятно, кого, как часто, чему учат и где расписываются.
Требования законодательства
Как связан с другими документами
Приказ замыкает человеческий контур: он заставляет остальные три документа повторяться во времени.
Когда обновлять документ
Сам приказ переиздают редко, а вот программу занятий стоит менять почти каждый раз — иначе люди слушают одно и то же.
Что спросит проверяющий
Обучение проверяется двумя движениями: смотрят ведомость и разговаривают с работником. Расхождение между ними и есть результат проверки.
Разбор эксперта
Обучение — та мера, которая даёт наибольший эффект на вложенный рубль, и та, которую пропускают первой. Причина понятна: она не покупается и не настраивается, её нужно делать руками каждый год. Между тем защищаться сегодня приходится в первую очередь от сценариев, где технические средства бессильны: человеку звонят, пишут, представляются проверяющим — и он сам отдаёт данные, пользуясь своими законными правами. Ни одно средство защиты этого не остановит, потому что с точки зрения системы всё происходит штатно.
Второе — про периодичность. Мы регулярно видим приказы с обучением раз в квартал: выглядит серьёзно, не выполняется никогда. Через год в ведомости два занятия вместо четырёх, и это уже нарушение собственного документа — то есть хуже, чем если бы стояло «раз в год». Наш совет: ставьте выполнимую периодичность, годовую, и добавляйте вводный инструктаж при приёме на работу. Второе важнее первого: именно новые работники, пришедшие после планового занятия, остаются необученными на месяцы, и статистика инцидентов это подтверждает.
И третье — про содержание. Занятие, на котором пересказывают статьи закона, проходит мимо: люди не соотносят нормы со своими действиями. Работает разбор конкретных ситуаций, желательно своих: письмо, которое действительно приходило в бухгалтерию; звонок, который получал ваш менеджер; случай у коллег по отрасли. Сорок минут с тремя живыми примерами и одним практическим правилом — «сомневаешься, перезвони по известному номеру» — дают больше, чем любой курс с сертификатом.
Ставьте годовую периодичность и добавляйте вводный инструктаж при приёме — именно новички остаются необученными дольше всех. Стройте занятие на разборе реальных ситуаций, а не на пересказе закона. Обязательно фиксируйте результат ведомостью с датами: при разборе инцидента это лучшее доказательство принятых мер. И закрепите обязанность проходить обучение в должностных инструкциях — иначе явка добровольная.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Закон периодичность не задаёт — её устанавливает организация. Рабочий ориентир: раз в год для всех, вводный инструктаж при приёме и внеплановое занятие после значимых изменений или инцидента.
Для рядовых работников — нет, достаточно внутреннего занятия, которое проводит ответственный за организацию обработки. Внешнее обучение с документом имеет смысл для самого ответственного и для специалистов по защите информации.
Обычно ответственный за организацию обработки персональных данных. Главное, чтобы эта обязанность была в его должностной инструкции, иначе занятие проводится «когда получится».
Ведомость или журнал: дата, тема, фамилии, подписи. Это и есть документ, который предъявляют при проверке и при разборе инцидента.
Проводить вводный инструктаж при приёме на работу, до допуска к данным. Без этого новый работник остаётся без подготовки до следующего года — самый частый пробел.
Кратко — да. Мошеннический звонок может принять любой, а посторонний в кабинете проходит мимо того, кто оказался рядом. Для них достаточно разбора памятки.
Можно: запись занятия, короткий курс во внутренней сети, тест. Важно сохранить фиксацию прохождения и проверку знаний — иначе останется только галочка о просмотре.