Регламент управления данными по жизненному циклу: шаблон, ежегодный пересмотр категорий и аудит
У большинства компаний есть отдельные правила про классификацию, про хранение, про резервные копии, про уничтожение. Их писали в разное время разные люди, и они не складываются в картину: непонятно, что происходит с данными между этапами, кто отвечает за переход и что проверяется. Регламент жизненного цикла собирает эти правила в одну последовательность и задаёт требования безопасности на каждом этапе: от момента, когда данные появились, до момента, когда их уничтожили. Рядом с ним нужны две процедуры, которые не дают регламенту стать бумагой: ежегодный пересмотр категорий и ежегодный аудит исполнения. Ниже шаблон, программа аудита, чек-листы и формы.
Отдельные этапы подробно описаны в других статьях: классификация, резервные копии, передача данных, уничтожение. Что и где хранится: реестр защищаемой информации.
Пять этапов и требования к каждому
| Этап | Требования безопасности | Контроль |
|---|---|---|
| 1. Классификация | Каждому набору данных присвоена категория и назначен владелец; категория записана в реестре | Реестр содержит все критичные системы, нет данных без категории |
| 2. Обработка | Доступ по ролям, минимально необходимый; действия с критичными данными записываются | Матрица доступа, журналы, квартальный аудит прав: аудит прав |
| 3. Хранение | Шифрование носителей, резервные копии по критичности, срок хранения определён, лишние копии не хранятся | Проверка шифрования, отчёты о копировании и восстановлении, поиск данных вне реестра: обнаружение данных |
| 4. Передача | Только по разрешённым каналам для данного класса, с шифрованием, по договору или основанию, с записью в реестр потоков | Реестр потоков, сверка с реальным трафиком |
| 5. Уничтожение | По истечении срока и по требованию субъекта, с подтверждением и актом, включая копии и резервные копии | Акты уничтожения, выборочная проверка отсутствия |
Шаблон регламента
РЕГЛАМЕНТ УПРАВЛЕНИЯ ДАННЫМИ ПО ЖИЗНЕННОМУ ЦИКЛУ
Версия 1.0, утверждён [дата], пересмотр ежегодно
1. Область: все данные ограниченного доступа в любой форме (электронные, бумажные),
включая персональные данные, коммерческую тайну и служебную информацию.
2. Роли
2.1. Владелец данных (руководитель подразделения): определяет категорию, утверждает доступ.
2.2. Ответственный за ИБ: определяет требования к защите, контролирует исполнение.
2.3. Администратор систем: обеспечивает техническое исполнение.
2.4. Ответственный за ПДн: контролирует сроки хранения и уничтожение ПДн.
3. Классификация
3.1. Данные классифицируются по методике (приложение 1) при появлении набора данных.
3.2. Категории и владельцы фиксируются в реестре защищаемой информации.
3.3. Категорирование пересматривается ежегодно (раздел 8).
4. Обработка
4.1. Доступ выдаётся по ролям в соответствии с матрицей доступа.
4.2. Для данных категории [высокая] ведётся журнал доступа и действует мониторинг.
4.3. Использование данных в тестовых средах запрещено; для тестов применяются обезличенные данные.
5. Хранение
5.1. Данные категории [высокая] хранятся только в системах из реестра, диски зашифрованы.
5.2. Резервные копии выполняются по расписанию, зависящему от критичности, восстановление проверяется ежеквартально.
5.3. Сроки хранения определены в реестре; хранение сверх срока запрещено.
6. Передача
6.1. Передача за пределы организации допускается только по каналам, разрешённым для данного класса (приложение 2).
6.2. Каждый поток вносится в реестр потоков до начала передачи.
6.3. Получатель принимает обязательства по защите (договор, поручение обработки, NDA).
7. Уничтожение
7.1. Данные уничтожаются по истечении срока или после достижения цели обработки.
7.2. Уничтожение включает основные хранилища, копии и резервные копии в установленные сроки.
7.3. Факт оформляется актом и записывается в реестр.
8. Контроль
8.1. Внутренний аудит выполнения регламента проводится не реже раза в год.
8.2. Результаты оформляются отчётом и реестром несоответствий.
8.3. Руководство получает итоговый отчёт и утверждает план устранения.Регламент остаётся коротким, а подробности вынесены в приложения и соседние документы. Чем он длиннее, тем меньше шансов, что его выполняют. Ключевое правило — каждый пункт должен иметь способ проверки; если проверить нельзя, пункт не нужен или формулировка размыта.
Ежегодный пересмотр категорирования
Категории данных, определённые три года назад, перестают отражать реальность: появились новые системы, изменились бизнес-процессы, поменялись угрозы и требования закона. Пересмотр раз в год — это не формальность, а короткая процедура из четырёх шагов.
- Соберите входные данные. Новые и изменённые системы за год (из заявок на изменения), инциденты и их причины, изменения нормативных требований, результаты поиска данных вне реестра, жалобы и запросы субъектов.
- Сверьте методику с практикой. Нет ли данных, которые сейчас не относятся ни к одной категории; не оказалась ли часть данных критичнее, чем считалось (после инцидента); не относятся ли данные к более низкой категории, и защита избыточна.
- Обновите реестр. Новые категории и изменения вносятся в реестр защищаемой информации и в матрицу доступа.
- Согласуйте с руководством. Итог оформляется короткой запиской: что изменилось, почему, какие меры из этого следуют. Подпись руководителя подтверждает пересмотр.
Методика классификации не должна быть старше трёх лет: если ей больше, её содержание пересматривается целиком, а не только категории. Результат пересмотра сохраняется как документ с датой.
Ежегодный аудит исполнения
Аудит отвечает на вопрос «делаем ли мы то, что написано в регламенте». Он выполняется раз в год собственным подразделением (внутренний контроль) или с привлечением независимой стороны. Важно, чтобы проверяющий не был владельцем проверяемого процесса: администратор не должен проверять сам себя.
План аудита (создаётся заранее и утверждается руководителем):
План аудита выполнения регламента управления данными
Период: 4 квартал. Руководитель аудита: специалист ИБ (не участвует в администрировании проверяемых систем).
Область: критичные системы из реестра (CRM, 1С, кадровая база, файловый сервер).
Сроки: подготовка 1 неделя, проверка 2 недели, отчёт 1 неделя.
Методы: изучение документов, выборочная проверка на системах, технические проверки (скрипты), опросы.
Критерии: пункты регламента версии 1.0.
Результат: отчёт и реестр несоответствий; утверждение плана исправлений руководителем.Что проверять на каждом этапе
| Этап | Что проверить на выборке | Как |
|---|---|---|
| Классификация | Пять систем: есть категория, владелец, подтверждение владельца | Реестр, подписи, интервью с владельцем |
| Обработка | Права пяти пользователей соответствуют роли; для критичных данных журнал доступа ведётся | Выгрузка прав, журнал, выборка записей: мониторинг доступа |
| Хранение | Диски зашифрованы; копии созданы по расписанию; тест восстановления выполнен за квартал; данных вне реестра нет | Проверка настроек, отчёты, поиск данных скриптом |
| Передача | Пять потоков: канал разрешён для класса, шифрование включено, договор есть, поток в реестре | Реестр потоков, конфигурации, договоры, сверка трафика |
| Уничтожение | Для трёх случаев истёкшего срока есть акты; в системах и копиях данных нет | Акты, проверка запросами и поиском |
Выбирайте выборку не по списку, который вам подготовили, а случайно: попросите показать пять систем, названных вами в момент проверки. Подготовленные образцовые примеры показывают лучший случай, а не типичный. Для технических проверок используйте уже готовые скрипты: они одинаковы для всех систем и воспроизводимы.
Отчёт и реестр несоответствий
Отчёт короткий: что просмотрено, что найдено, что делать. Результат каждой находки заносится в реестр несоответствий со сроком и владельцем исправления:
id,этап,находка,критичность,владелец,срок,статус
NC-01,Хранение,"На файловом сервере найдены выгрузки клиентов вне реестра",высокая,Руководитель продаж,2026-12-15,в работе
NC-02,Уничтожение,"Нет акта уничтожения для 14 договоров с истекшим сроком",средняя,Ответственный за ПДн,2027-01-31,новое
NC-03,Передача,"Поток FL-021 не внесён в реестр",средняя,Финансовый директор,2026-11-30,закрытоПравило процесса то же, что в управлении уязвимостями: закрывает находку проверяющий после подтверждения, а не исполнитель по слову. Результат (отчёт, реестр, утверждённый план исправлений) докладывается руководству. Через квартал статус несоответствий сверяется в рабочем порядке, а не откладывается до следующего аудита.
Какие артефакты хранить
| Что хранить | Что показывает |
|---|---|
| Утверждённый регламент управления данными с версией и датой | Жизненный цикл данных регламентирован, требования безопасности формализованы для каждого этапа |
| Материалы ежегодного пересмотра категорирования: записка, обновлённый реестр, подпись руководства | Подходы к категорированию пересматриваются ежегодно |
| План аудита, отчёт, реестр несоответствий со сроками и статусами | Регулярный аудит выполняется и ведёт к исправлениям |
| Подтверждения исполнения: акты уничтожения, отчёты восстановления, реестр потоков | Процесс соответствует регламенту на практике |
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Регламент утверждён, а практика другая | Нет аудита и ознакомления. Проведите разбор с владельцами данных и запланируйте проверку |
| Аудит проводит администратор своих систем | Нет независимости. Поручите другому сотруднику, руководителю или внешней стороне |
| Найденные несоответствия не закрываются | Нет сроков и владельцев. Введите реестр и ежеквартальный разбор статусов |
| Пересмотр категорий превращается в переписывание таблицы | Не собраны входные данные. Начинайте с инцидентов, заявок на изменения и результатов поиска данных |
| Аудит занимает месяцы | Слишком широкая область. Сузьте до критичных систем, остальные добавляйте по очереди |
Где это в модели зрелости
Материал относится к направлению «Безопасность данных» (хаб: безопасность данных, карта: карта зрелости). На третьем уровне жизненный цикл управления данными регламентирован полностью (классификация, обработка, хранение, уничтожение) и процесс соответствует регламенту, а подходы к категорированию пересматриваются ежегодно; на четвёртом аудит выполнения требований по жизненному циклу проводится не реже раза в год с независимой экспертизой или внутренним контролем. Регламент, пересмотр и аудит вместе закрывают эти три пункта.
Как проверить
- Регламент утверждён, в нём есть все пять этапов, и для каждого указан способ проверки.
- За последний год есть материалы пересмотра категорирования с подписью руководителя.
- Есть план и отчёт аудита, а в реестре несоответствий видны сроки и статусы.
- Выборочно: три несоответствия из прошлого аудита либо закрыты, либо находятся в работе в срок.
- Проверяющий не был владельцем проверяемых процессов.
Источники
- CIS Control 3, защита данных: cisecurity.org/controls.
- NIST SP 800-53 Rev. 5, управление данными и уничтожение носителей (MP): csrc.nist.gov.
- ISO/IEC 27002:2022, управление информацией и удаление информации: iso.org. Не закон РФ.
