Приказ об утверждении матриц доступа пользователей к ИСПДн
Распорядительный документ, которым руководитель вводит матрицы доступа в действие: с какой даты они применяются, кто отвечает за исполнение и какая редакция считается актуальной.
Зачем нужен документ
Матрица доступа рождается в переписке: администратор свёл таблицу, ответственный за безопасность её посмотрел, руководитель кивнул. Пока этого не оформили приказом, у документа нет ни даты начала действия, ни обязательности, ни версии. Спросить с работника за выход за пределы своих прав по такой таблице невозможно: он с ней не знакомился и не обязан был.
Приказ решает три задачи сразу: вводит матрицы в действие с конкретной даты, отменяет прежнюю редакцию, чтобы в организации не ходили две версии, и назначает ответственных за исполнение и пересмотр. Всё остальное — содержание прав — остаётся в самой матрице, приложением.
Практическая ценность приказа проявляется в двух ситуациях. Первая — проверка: вопрос «чем утверждена действующая редакция» задают почти всегда, и ответ должен быть реквизитами, а не файлом на диске. Вторая — разбор инцидента: когда выясняется, что человек видел то, чего видеть не должен, приказ и подпись об ознакомлении отделяют дисциплинарный проступок от организационного бардака.
Чем грозит отсутствие
Отдельной санкции за неутверждённую матрицу нет. Но разграничение доступа — это мера защиты по статье 19 закона, а мера считается принятой, когда она введена в действие. Таблица без приказа введённой не считается: организация не может показать ни даты, с которой правила действуют, ни того, что работники о них знают.
Как ещё называют этот документ
Что должно быть в документе
Приказ короткий — обычно страница. Критерий полноты: по нему видно, что утверждено, с какой даты, что этим отменено и кто за что отвечает.
Требования законодательства
Как связан с другими документами
Приказ — замок контура доступа: он придаёт силу тому, что описано в остальных трёх документах.
Когда обновлять документ
Приказ переиздаётся ровно тогда, когда меняется матрица: у них общий жизненный цикл.
Что спросит проверяющий
Приказ проверяют быстро — он короткий. Смотрят на реквизиты, приложения и подписи об ознакомлении.
Разбор эксперта
Приказ об утверждении матриц — документ, который проще всего сделать правильно и легче всего испортить. Испортить можно одним способом: издать один раз при подготовке комплекта и больше не трогать, продолжая править саму матрицу. Через два года получается приказ трёхлетней давности с приложением, которое переписывали пять раз, и ни один документ в организации не отвечает на вопрос, какая версия действует. Правило простое: меняется матрица — переиздаётся приказ, других вариантов нет.
Второе, о чём почти никогда не думают, — ознакомление. Приказ обычно показывают администратору, потому что «это его тема». Между тем матрица описывает права обычных работников, и если бухгалтер не знает, что выгрузка ему не положена, спросить с него за выгрузку нельзя. Мы советуем знакомить всех, чьи роли в матрице названы, и делать это в момент выхода на работу вместе с остальными локальными актами — тогда лист ознакомления заполняется сам собой.
И приём, который экономит организации много времени: издавать приказ пакетом. Матрицы, перечень допущенных лиц и перечень ИСПДн связаны настолько плотно, что менять их по отдельности почти никогда не приходится. Один приказ, три приложения, одна дата — и при следующем пересмотре не придётся выяснять, почему перечень обновили в марте, а матрицу в сентябре, и какие полгода между ними считать действующими.
Заведите правило: новая матрица — новый приказ с отменой прежнего, точечных правок приложения не делаем. Ставьте отдельным пунктом дату ввода в действие и поручение привести настройки систем в соответствие со сроком. Знакомьте под подпись не только администраторов, но и всех, чьи роли есть в матрице. И утверждайте матрицы вместе с перечнем допущенных лиц одним приказом — они меняются одновременно.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Можно — например, в составе приказа о вводе в действие всего комплекта документов. Важно не количество приказов, а то, чтобы у действующей редакции были дата, номер и подпись руководителя.
Да, если меняется содержание прав. Именно поэтому матрицу строят от ролей, а не от фамилий: кадровые изменения тогда не требуют переиздания, а меняют только перечень допущенных лиц.
Администраторов ИСПДн, руководителей подразделений и работников, чьи роли перечислены в матрице. Ознакомление удобнее проводить в момент приёма на работу вместе с другими локальными актами.
Ничего — пункт просто не нужен. Он появляется со второй редакции и содержит номер и дату предыдущего приказа.
Может лицо, которому такие полномочия переданы доверенностью или приказом о распределении обязанностей. В этом случае в преамбуле лучше сослаться на документ о полномочиях, чтобы вопрос не возникал при проверке.
Приложение. Это удобнее и юридически чище: у приложения та же дата и тот же номер, и невозможна ситуация, когда матрица живёт своей жизнью, а приказ своей.
Разбирать построчно: либо снимать лишние права, либо обосновывать их и издавать новую редакцию. Молча привести приказ в соответствие с системой — худший вариант: так утверждается всё, что накопилось само.