Инструкция ответственного за безопасность материальных носителей персональных данных
Документ, который превращает требование «установить перечень лиц с доступом к носителям» в живую роль: кто ведёт учёт дел, выдаёт их под запись, проверяет наличие и что делает в первые минуты, когда носитель не нашёлся.
Зачем нужен документ
Постановление № 687 требует установить перечень лиц, имеющих доступ к материальным носителям. Но список фамилий сам по себе ничего не защищает: нужно, чтобы у бумаги был хозяин — человек, который знает, сколько дел в шкафу, кто взял папку и когда вернул. Инструкция описывает эту роль.
Отличие бумаги от системы здесь принципиально. В информационной системе учёт доступа ведёт сама система: журнал пишется без участия человека. У шкафа журнала нет, поэтому учёт возможен только ручной — под запись при выдаче и возврате. Это выглядит старомодно, но другого способа узнать, у кого сейчас дело, не существует.
Вторая, менее очевидная функция — быстрая реакция на утрату. Когда носитель не находится, у организации есть двадцать четыре часа на уведомление Роскомнадзора, и в уведомлении нужно указать, чьи данные и сколько субъектов затронуто. Ответственный за носители — единственный, кто может ответить на это за минуты, а не за сутки.
Чем грозит отсутствие
Ключевой риск этой роли не в учёте, а в молчании. Утрата носителя — это неправомерный доступ к персональным данным, то есть инцидент, о котором нужно сообщить регулятору в течение суток. За неуведомление и просрочку установлен отдельный состав.
Как ещё называют этот документ
Что должно быть в документе
Инструкция пишется от действий, а не от полномочий: сотрудник должен прочитать её и понять, что делает утром, что при выдаче дела и что в аварийной ситуации.
Требования законодательства
Как связан с другими документами
Инструкция — исполнительная часть бумажного контура: остальные документы описывают, а она действует.
Когда обновлять документ
Инструкция меняется вместе с процессами и после каждого сбоя в них.
Что спросит проверяющий
Роль проверяют по учёту и по одному сценарию: «а если дело не найдётся?»
Разбор эксперта
Главная ценность этой инструкции не в учёте, а в одной фразе про сроки доклада. Человеческая реакция на пропавшую папку всегда одинаковая: искать самому. Сотрудник перекладывает бумаги, спрашивает коллег, ждёт до завтра — и это абсолютно понятно, потому что докладывать о своей потере неприятно. Проблема в том, что двадцать четыре часа на уведомление регулятора идут с момента выявления инцидента, а не с момента, когда организация решила его признать. Поэтому в инструкции должно стоять число: не нашёл за час — доложил, поиск продолжается параллельно.
Второе, что мы почти всегда добавляем, — расписку при выдаче дела. Звучит архаично, но альтернативы нет: у шкафа не бывает журнала доступа. Достаточно простой таблицы «дело, кто взял, когда, когда вернул» на внутренней стороне дверцы шкафа. Это дешевле любой системы и решает главный вопрос при инциденте — у кого носитель был последним.
Третье — про увольнения. Дела теряются не при взломах, а при кадровых перестановках: человек ушёл, папки остались в его тумбочке, тумбочку через месяц освободили. Мы советуем встроить проверку наличия носителей в чек-лист увольнения — тем же пунктом, что и сдачу ключей и пропуска. Тогда роль ответственного работает сама, без напоминаний со стороны службы безопасности.
Пропишите срок доклада об утрате в часах — это самая важная строка документа. Заведите простой учёт с нумерацией дел и таблицу выдачи-возврата: без неё при инциденте нельзя установить ни состав данных, ни последнего держателя. Поставьте квартальную проверку наличия с оформлением результата. И добавьте проверку носителей в чек-лист увольнения — именно там теряется больше всего бумаги.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Прямой нормы нет, но постановление № 687 требует установить перечень лиц, имеющих доступ к носителям, и обеспечить их сохранность. Без назначенного человека это превращается в формулировку «все аккуратно обращаются с документами», которая мерой защиты не является.
В небольшой организации — да, обычно так и делают. Но обязанности описывают отдельно: у ответственного за обработку задачи процессные (политика, перечни, обучение), а здесь физические — учёт, выдача, проверка наличия.
Чтобы при утрате знать, у кого носитель был последним, и что в нём лежало. У шкафа нет журнала доступа, поэтому единственный способ — запись при выдаче. Таблица на внутренней стороне дверцы шкафа закрывает вопрос.
Зафиксировать время обнаружения, доложить ответственному за обработку и руководителю в срок, указанный в инструкции, определить состав данных в утраченном носителе — и продолжать поиск параллельно. Молчание опасно: срок уведомления регулятора идёт с момента выявления инцидента.
Если утрачены персональные данные и это повлекло нарушение прав субъектов — да, в течение двадцати четырёх часов, а затем в течение семидесяти двух часов сообщить результаты внутреннего расследования. Бумажная утечка ничем не отличается от электронной.
Разумный ориентир — раз в квартал, с оформлением результата. Проверка обнаруживает тихие потери: дела, которые никто не крал, но которых уже нет.
Машинные носители — флешки, диски, съёмные накопители, у них свой журнал учёта и свои требования. Здесь речь о материальных носителях в смысле постановления № 687: делах, папках, журналах, картотеках, бумажных копиях документов.