Перечень лиц, допущенных к ИСПДн: приказ, поля и снятие доступа
Утвердите одним приказом список людей, которым разрешён доступ к информационной системе персональных данных (ИСПДн), и сверяйте его с живыми учётными записями. Без списка проверка Роскомнадзора упирается в вопрос «кто вообще имеет право сюда входить». Это не список ключей от шкафа с бумагами: бумажные носители. И не матрица «роль — право» одной CRM: матрица роли.
Оговорка. Статья не юридическая консультация. Перечень лиц с допуском — требование к защите ПДн в информационных системах по постановлению Правительства РФ от 01.11.2012 № 1119 (набор для 4-го уровня защищённости и выше, пункты 13–16). Редакцию проверяйте: постановление № 1119. Организационные меры оператора — статьи 18.1 и 19 152-ФЗ. Локальные акты согласуйте с юристом. Структура близка к области безопасности ПДн в методике контроля Группы Сбер (источник); это методика для крупных компаний, мы пересказываем её своими словами.
Зачем отдельный перечень
Заявка на доступ говорит, что человеку выдали право. Перечень говорит, что руководитель это право утвердил списком, а не «так сложилось». При увольнении или смене должности строка должна закрыться в тот же контур, что и учётка: заявка и отзыв, доступ при увольнении.
Поля списка
| Поле | Пример | Зачем |
|---|---|---|
| ФИО и должность | Иванов И.И., бухгалтер | Сверка с кадрами |
| Система | ИСПДн «Кадры», 1С ЗУП | Не один список «на всё» |
| Роль / право | чтение карточек, без выгрузки | Связь с матрицей ролей |
| Основание | должностная инструкция, заявка № 14 | Не «по дружбе» |
| Дата включения | 03.03.2026 | Возраст допуска |
| Дата исключения | пусто или 12.10.2026 | Живая строка или архив |
| Подрядчик | да / нет, договор № | Внешние не теряются |
Ведите как таблицу с датой версии. Старые версии не выбрасывайте: при проверке спрашивают, кто имел доступ в прошлом квартале. Модель угроз и уровень защищённости, от которых зависит набор мер: постановление № 1119.
Приказ
Приказ о допуске к информационной системе персональных данных
1. Утвердить перечень лиц, допущенных к обработке ПДн в ИСПДн «ИМЯ»,
в редакции приложения на дату приказа.
2. Включать и исключать лиц только по заявке на доступ после подписи
руководителя системы.
3. Ответственный за актуальность перечня: ФИО (кадры совместно с ИТ).
4. Сверять перечень с учётными записями раз в квартал, акт сверки
хранить с версией таблицы.Ожидаемо: номер, дата, подпись руководителя оператора, приложение-таблица. Не копируйте этот текст в приказ без юриста: это каркас полей, не готовый локальный акт.
Сверка раз в квартал
- Выгрузите учётки системы (или группы AD, которые туда пускают).
- Сопоставьте с открытыми строками перечня: лишняя учётка — отзыв; строка без учётки — ошибка кадров или ИТ.
- Подрядчики: договор жив, срок не вышел, VPN не «навсегда».
- Акт: дата, расхождения, что закрыли. Положите рядом с версией списка.
К проверке оператора перечень обычно просят вместе с моделью угроз и журналами: подготовка к проверке. Общий минимум мер: чек-лист защиты ПДн.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Список «все сотрудники» | Это не допуск. Разбейте по системам и ролям |
| Уволенный в перечне, учётка жива | Нет связки с отзывом. Закройте оба конца в один день |
| Только бумажный шкаф, ИСПДн без списка | Перепутали 687 и 1119. Заведите перечень на систему |
| Подрядчик в общем чате с выгрузкой | Нет строки и договора. Либо оформите, либо заберите доступ |
Где это в модели зрелости
Материал относится к направлению «Безопасность данных» (хаб: данные, карта: карта зрелости) и к регуляторике ПДн. Для 4-го уровня защищённости по постановлению № 1119 перечень, утверждённый руководителем, входит в минимальный набор. Это не GDPR и не замена 152-ФЗ.
Как проверить
- Есть приказ и таблица с датой версии; открытые строки не включают уволенных.
- Три случайные учётки системы есть в перечне; три закрытые строки не имеют входа.
- Последний квартальный акт сверки не старше четырёх месяцев.
- Подрядчики названы, с номером договора и датой окончания.
Источники
- Постановление Правительства РФ от 01.11.2012 № 1119. Гарант. Проверяйте редакцию.
- Федеральный закон от 27.07.2006 № 152-ФЗ, статьи 18.1 и 19. КонсультантПлюс.
