Акт проверки наличия и состояния машинных носителей
Документ инвентаризации носителей: подтверждает, что каждый учтённый диск, флешка или лента физически на месте и в рабочем состоянии. Единственная процедура в комплекте, способная обнаружить не нарушение правил, а пропажу.
Зачем нужен документ
Учёт машинных носителей — требование приказа ФСТЭК, и организации обычно его выполняют: журнал заведён, номера присвоены, выдачи записаны. Но у любого учёта есть слабое место, которое сам учёт закрыть не может. Запись в журнале подтверждает, что носитель когда-то был получен и за кем-то закреплён. Она не подтверждает, что он существует сегодня.
Именно этот разрыв закрывает акт проверки наличия и состояния. Комиссия берёт учётные записи и физически находит каждую позицию: вот диск в сервере, вот флешка у бухгалтера, вот лента в сейфе. Позиции, которые не удалось найти, попадают в акт отдельным списком — и с этого момента организация знает то, чего не знала утром.
Вторая половина названия — «и состояния» — не декоративная. Заодно проверяется, в каком виде носитель дожил до сегодняшнего дня: работает ли, не повреждён ли, не валяется ли в ящике стола вместо сейфа, соответствует ли его фактическое местонахождение записи. Носитель, который числится в защищённом помещении, а обнаружен в тумбочке, формально не потерян, но защищён он ровно никак.
Чем грозит отсутствие
Собственного состава у этого акта нет, и об этом стоит сказать прямо: ни одна норма кодекса не наказывает за непроведённую инвентаризацию носителей. Наказывают за утечку и за молчание о ней. Разбор вилок за утечку мы вынесли в парную карточку, чтобы не повторять одно и то же дважды.
Закон требует уведомить Роскомнадзор в течение двадцати четырёх часов с момента установления факта неправомерной передачи данных и представить результаты внутреннего расследования в течение семидесяти двух часов. Ключевое слово здесь — «установления». Пока никто не сверяет записи с предметами, факт не устанавливается никогда, и срок формально не течёт.
Как ещё называют этот документ
Что должно быть в документе
Форма нормативно не установлена. Полнота проверяется одним признаком: видно ли из акта, что комиссия держала носители в руках, а не читала про них в журнале.
Требования законодательства
Как связан с другими документами
Акт стоит поперёк всей линии документов о носителях: он берёт то, что в них записано, и сверяет с действительностью.
Когда обновлять документ
Подписанный акт не переписывают — он относится к своей дате и уходит в архив. Обновляется типовая форма и, что важнее, назначается следующая проверка.
Что спросит проверяющий
Акт инвентаризации носителей читают вместе с журналом учёта и почти всегда с одной и той же целью — понять, была ли проверка настоящей.
Разбор эксперта
Я много раз видел, как эта проверка вырождается в сверку журнала с журналом. Комиссия собирается в переговорной, открывает учётные записи, убеждается, что номера не пропущены и подписи стоят, и подписывает акт. Формально проверка проведена, фактически не сделано ничего: ни один носитель не побывал в руках. Отличить такой акт от настоящего просто — в нём нет колонки «по факту». Если в таблице одна графа о местонахождении, значит, её переписали из журнала, а не установили.
Второе наблюдение касается результата. Инвентаризация, которая ничего не находит, — плохая инвентаризация. Это единственный документ комплекта, где пустой результат означает не порядок, а слабую проверку. Флешка, забытая в командировке; диск, оставшийся в списанном ноутбуке; накопитель, числящийся за человеком, уволившимся два года назад, — это норма жизни любой организации, а не признак разрухи. Признак разрухи — три акта подряд без единой находки.
Третье — что делать с ненайденным носителем, и здесь я советую решить заранее. Соблазн понятен: записать «отсутствует, ведётся поиск» и вернуться к вопросу через год. Но пропавший носитель с персональными данными — это установленный факт неправомерного доступа, пока не доказано обратное, а доказать обратное нечем. Со дня подписания акта у организации идут сутки на уведомление регулятора. Поэтому порядок действий на этот случай должен быть написан до проверки, а не сочиняться в тот день, когда комиссия развела руками.
Закрепите периодичность и состав комиссии в правилах ведения журнала учёта носителей — тогда под каждую проверку не понадобится отдельный приказ. Сделайте в форме две колонки о местонахождении, «по журналу» и «по факту»: одна эта деталь превращает документ в рабочий инструмент. Заведите раздел для носителей, найденных вне учёта, — они будут всегда. Не включайте ответственного за учёт единственным членом комиссии. И пропишите заранее, что происходит с позицией, которую не нашли: кто оценивает состав данных на ней и кто принимает решение об уведомлении.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Норматив периодичность не устанавливает — её определяет сам оператор и закрепляет в правилах ведения журнала учёта. Рабочий ориентир: раз в год по всему парку, плюс внеплановая проверка при смене ответственного за учёт и после любого инцидента.
Можно, если принцип и объём выборки описаны в самом акте. Проблема выборки в другом: пропажу она находит случайно. Для парка в несколько десятков позиций сплошная проверка занимает полдня и надёжнее любой выборки.
Как минимум два человека, и ответственный за учёт носителей не может быть единственным подписантом — иначе документ подтверждает сам себя. Обычный состав: ответственный за безопасность данных, представитель подразделения и работник, ведущий журнал.
Считать это инцидентом и включать регламент реагирования. Оценивается, какие данные на носителе были, после чего принимается решение об уведомлении Роскомнадзора. Срок в двадцать четыре часа отсчитывается от установления факта, то есть от подписания акта, а не от дня, когда носитель исчез.
Да. Машинный носитель — это и жёсткий диск сервера, и накопитель ноутбука, и лента резервного копирования, а не только флешки. Для встроенных носителей проверяется наличие самого устройства и соответствие места размещения записи.
Занести в акт отдельным разделом, установить принадлежность и решить: принять на учёт либо изъять. Личные носители в рабочих машинах — самая частая находка инвентаризации и самый распространённый канал бесконтрольного выноса данных.
Нет. Внутренняя проверка охватывает процессы и документы целиком, носители в ней — один из пунктов, который почти всегда проходят бегло. Здесь тема узкая, и именно поэтому расхождения находятся.