Регламент управления доступом к ИСПДн

Можно закупить любое защитное программное обеспечение, но если в информационной системе персональных данных (ИСПДн) остаются общие учётные записи «на весь отдел», пароли, которые никто не менял с момента внедрения системы, и бухгалтер с правами администратора «на всякий случай» — вся остальная защита теряет смысл. Управление доступом отвечает на базовый вопрос: кто, к каким данным и на каком основании имеет допуск.

Обязанность оператора принимать меры, необходимые и достаточные для защиты персональных данных, установлена статьёй 19 закона 152-ФЗ. Управление доступом — обозначаемая в требованиях регулятора группа мер УПД — входит в базовый состав почти для любой ИСПДн, независимо от уровня защищённости, определённого по Постановлению Правительства РФ № 1119 от 01.11.2012.

Основной принцип — персональная идентификация каждого пользователя. Общая учётная запись, под которой заходят несколько человек, не позволяет установить, кто именно совершил то или иное действие с данными, а значит делает бессмысленным журналирование событий.

Регламент фиксирует роли, а не должности: администратор системы, оператор ввода данных, пользователь с правом только на просмотр, ответственный за резервное копирование. У одного человека может быть несколько ролей, но каждая роль должна быть описана отдельно, с перечнем доступных действий.

1. Заявка на создание учётной записи — от кого и в каком виде подаётся.
2. Согласование выдачи конкретной роли ответственным лицом.
3. Техническое создание и настройка учётной записи под согласованную роль.
4. Периодический пересмотр действующих учётных записей на соответствие фактическим задачам.

Право доступа выдаётся не «с запасом на будущее», а строго под задачи, которые человек выполняет сейчас. Менеджеру по продажам не нужен доступ к персональным данным уволенных сотрудников, а курьеру — к разделу с медицинскими данными клиентов, даже если технически система это позволяет.

На практике регламент должен закрывать три ситуации сразу: расширение прав при переводе на новую должность, временный доступ на период замещения (отпуск, больничный коллеги) и разграничение прав между сотрудниками одного отдела, если их задачи с персональными данными не совпадают. Для каждой стоит прописать, кто принимает решение и как оно фиксируется — обычно достаточно короткой служебной записки или заявки в учётной системе.

Самое частое нарушение, которое находят при проверках, — действующая учётная запись уволенного сотрудника. Регламент должен прямо связывать кадровое событие с техническим действием.

1. Кадровая служба фиксирует событие — увольнение, длительный отпуск, декретный отпуск или перевод в другое подразделение с иным набором данных.
2. Кадровая служба направляет заявку на отзыв или изменение доступа администратору системы.
3. Администратор системы блокирует учётную запись полностью либо сужает права — в зависимости от характера события — в заранее оговорённый срок, желательно в день прекращения трудовых отношений или перевода.
4. Факт блокировки или изменения прав фиксируется во внутреннем списке учётных записей.

Ответственность за инициирование отзыва обычно возлагается на кадровую службу, а за техническое исполнение — на администратора системы; регламент должен назвать обоих поимённо или по должности.

Полезная практика — сверять список действующих учётных записей со штатным расписанием не реже раза в квартал. Такая сверка вылавливает случаи, когда кадровое событие было, а техническое действие по каким-то причинам не выполнили: например, заявку на блокировку забыли передать администратору или он был в отпуске в момент увольнения сотрудника.

Полный набор мер группы УПД, который перечисляет регулятор, рассчитан на системы с высоким уровнем защищённости и развитой ИТ-инфраструктурой. Небольшой компании с одной облачной CRM или бухгалтерской программой не нужен весь перечень — состав мер зависит от уровня защищённости конкретной ИСПДн, и это стоит явно отразить в самом документе: какие меры применяются в полном объёме, а какие — в сокращённом, соразмерном реальным рискам.

Руководителю без ИБ-подготовки достаточно закрыть три вещи: назначить приказом ответственного за учётные записи (даже если это тот же человек, что ведёт бухгалтерию или администрирует сайт), завести простой список «кто и к чему имеет доступ» и синхронизировать его с кадровыми событиями. Это не заменяет полноценный регламент, но делает его исполнимым, а не формальным документом «для проверки».