Перечень лиц, имеющих доступ в помещения с ИСПДн

Поимённый список работников, которым разрешён вход в помещения из перечня мест размещения ИСПДн, с указанием конкретных помещений, основания допуска и того, чем вход обеспечивается: ключом, картой или кодом.

Перечень допущенных к данным и перечень допущенных в помещения — разные списки. Уборщица заходит в кабинет кадров, но прав в системе не имеет; удалённый бухгалтер работает с базой, но в офис не приходит месяцами.

Статусобязательный при обработке ПДн в ИСПДн Основаниеп. 13 ПП РФ № 1119, ст. 19 152-ФЗ Публичностьвнутренний Кто утверждаетруководитель приказом Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Режим помещения существует ровно до тех пор, пока известен круг тех, кто может войти. Как только ключ оказывается «у всех на всякий случай», а код от серверной знает половина офиса, запертая дверь перестаёт быть мерой защиты и становится декорацией. Перечень лиц с доступом в помещения — документ, который этот круг фиксирует.

Требование выводится из формулировки постановления: режим должен препятствовать неконтролируемому проникновению или пребыванию лиц, не имеющих права доступа. Значит, у кого-то право доступа есть, и организация обязана уметь назвать этих людей поимённо — иначе понятие «не имеющих права» лишено смысла.

Практическая польза обнаруживается при первой же сверке ключей. Почти всегда находятся комплекты на руках у тех, кому они давно не нужны: у бывшего завхоза, у работника, перешедшего в другой отдел, у подрядчика, который делал ремонт два года назад. Список заставляет задать по каждому вопрос «зачем ему сюда входить» — и значительная часть строк этого вопроса не выдерживает.

Этот перечень отвечает на вопрос «кто входит», а «куда именно и с каким режимом» — задача перечня помещений: документы читаются в паре, и каждая фамилия здесь должна ссылаться на помещение оттуда.

02 Ответственность

Чем грозит отсутствие

Отдельного штрафа за перечень нет. Есть цена вечера, когда в кабинете кадров оказался человек, которого там быть не должно: архив личных дел за десять лет — это не десяток субъектов, а десятки тысяч, и санкция считается по их числу.

ч. 13 ст. 13.11 КоАП РФ — утечка данных 10 000–100 000 субъектов

Юридическое лицо5 000 000 – 10 000 000 ₽

Должностное лицо300 000 – 500 000 ₽

Граждане200 000 – 300 000 ₽

Масштаб физической утечки задаётся не тем, кто вошёл, а тем, что лежит внутри. В бухгалтерии за несколько лет накапливаются данные всех контрагентов и работников, в кадрах — все, кто когда-либо работал, включая уволенных. Именно поэтому круг допущенных в такие помещения обычно должен быть уже, чем круг допущенных к текущей рабочей базе.

Ключ у того, кто уволился, — открытая дверь. Пропуск сдают, а ключ от кабинета часто нет: он не числится ни за кем и не значится ни в одном документе.

Уборка и обслуживание — законное присутствие. Эти люди бывают внутри регулярно и как раз тогда, когда в помещении никого нет. Не описать их — значит оставить в режиме дыру, о которой все знают.

Доступ бывшего работника в помещение — тот же инцидент. Неправомерный доступ к персональным данным не различает способ: через учётную запись или через незакрытую дверь. Срок уведомления Роскомнадзора одинаковый.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Список лиц, допущенных в помещения с ИСПДн

—Перечень работников с правом входа в серверную

—Список допущенных в контролируемую зону

—Реестр выдачи ключей от помещений с ПДн

—Кто имеет доступ в помещения с персональными данными

—Перечень лиц, допущенных в защищаемые помещения

—Приложение к приказу о режиме доступа в помещения

—Список сотрудников с доступом в архив и кадры

Не путать с перечнем допущенных к самим данным: тот про права в информационной системе. Пересечение частичное, и именно поэтому документы не объединяют: у половины строк основания разные.

04 Обязательное содержание

Что должно быть в документе

Форма не установлена. Критерий полноты: по строке видно, кто, куда и почему может войти, и чем этот вход обеспечен физически.

Фамилия и должность. Поимённо. «Работники бухгалтерии» не позволяет ни ограничить круг, ни спросить с конкретного человека за незапертую дверь.

Помещения, в которые допущен. Не «во все» и не «по необходимости», а перечисление номеров из перечня помещений. Доступ в серверную и доступ в кабинет кадров — разные вещи.

Основание допуска. Конкретная задача: сопровождение систем, ведение кадрового учёта, работа с кассой, уборка. Основание проверяется первым.

Чем обеспечен вход. Ключ, электронная карта, код замка, биометрия. Для ключей — номер комплекта, для карт — идентификатор: без этого невозможно сверить документ с тем, что на руках.

Дата выдачи и дата возврата. Пустая графа возврата у человека, уволенного полгода назад, — готовая находка проверки и реальный риск.

Отметка об ознакомлении. Работник расписывается, что предупреждён о режиме: не пускать посторонних, не передавать ключ, запирать при выходе.

Отдельный раздел для внешних лиц. Уборка, ИТ-подрядчик, арендодатель, охрана. Либо они в перечне с условием сопровождения, либо в документе прямо сказано, что без сопровождения работника они внутрь не проходят.

05 Правовая база

Требования законодательства

п. 13 ПП РФ № 1119режим против неконтролируемого проникновения и пребывания

ст. 19 152-ФЗмеры по защите данных, включая физические

приказ ФСТЭК № 21контроль доступа в помещения с техническими средствами

п. 13 ПП РФ № 687условия хранения материальных носителей

ст. 90 ТК РФограничение доступа работников к данным других работников

ч. 3.1 ст. 21 152-ФЗнеправомерный доступ — инцидент, уведомление в 24 часа

ч. 13 ст. 13.11 КоАПутечка данных, санкция по числу субъектов

Прямой нормы «вести список допущенных в помещения» в 152-ФЗ нет: требование выводится из обязанности установить режим. Практический критерий тот же, что и с логическим доступом — организация должна быть способна назвать поимённо всех, кто может войти в помещение с данными, и объяснить по каждому основание. Если назвать не получается, режима нет независимо от того, что написано в документах.

06 Связи в комплекте

Как связан с другими документами

Перечень лиц — вторая половина физического контура: помещения названы, теперь к ним привязаны люди.

Перечень помещений — куда именно. Перечень помещений задаёт список и режим; каждая строка допуска ссылается на конкретное помещение оттуда, иначе документ невозможно проверить.

Порядок доступа — процедура. Порядок доступа описывает, как человек попадает в этот список и как из него исчезает: выдача и сдача ключей, действия при утере, сопровождение посетителей.

Приказ — сила документа. Приказ об утверждении вводит редакцию в действие и отменяет предыдущую.

Логический доступ — соседний контур. Перечень допущенных к данным и матрица отвечают за права в системе. Полная картина по человеку собирается из двух контуров сразу.

Места хранения носителей — что внутри. Перечень мест хранения показывает, к каким шкафам и сейфам человек получает доступ, войдя в помещение.

07 Актуализация

Когда обновлять документ

Документ про людей и ключи, поэтому устаревает быстро — и почти всегда молча.

Приём и увольнение

Оба события в тот же день. При увольнении ключ или карта сдаётся вместе с пропуском, в перечне проставляется дата возврата, при электронном замке — блокируется идентификатор.

Перевод в другое подразделение

Самый тихий случай: человек остаётся в организации, доступ по прежнему кабинету никто не забирает, а по новому добавляется. Через год он ходит везде.

Смена подрядчика

Новая клининговая компания, новый ИТ-аутсорсер — новые люди с прежним уровнем доступа. Строка в перечне должна меняться вместе с договором.

Замена замка или утеря ключа

Утерянный ключ — повод не только заменить личинку, но и пересобрать список комплектов: обычно выясняется, что учёт вёлся приблизительно.

Новое помещение в перечне

Появился архив, переехал сервер — сразу определить, кто в это помещение входит, а не оставлять «пока по ситуации».

Плановая ревизия ключей

Раз в полгода физически собрать и пересчитать комплекты. Это единственный способ узнать, сколько ключей на самом деле существует.

08 Проверка

Что спросит проверяющий

Проверка этого перечня выглядит буднично: просят показать ключи и назвать, у кого они. Расхождение находится за несколько минут.

Сколько ключей существует. Спрашивают число комплектов и где они сейчас. Ответ «где-то ещё один был» означает, что круг лиц не ограничен и режим не выполняется.

Совпадает ли список с кадровым составом. Уволенные с невозвращённым ключом и работающие вне перечня — первое, что видно при сверке.

Кто входит в нерабочее время. Уборка, охрана, арендодатель. Спрашивают, сопровождает ли их кто-то и на каком основании они внутри.

Чем обоснован доступ. По выборочным фамилиям: зачем этому человеку входить в архив. Ответ «он тут рядом сидит» означает, что необходимость не оценивалась.

Как оформляются посетители. Подрядчики, ремонтники, курьеры: есть ли отметка о входе, оставляют ли их одних в помещении с данными.

Ознакомлены ли работники. Подписи о правилах режима. Без них спрашивать за оставленную открытой дверь не с кого.

09 Разбор эксперта

Разбор эксперта

Самая частая ошибка — считать этот перечень копией списка допущенных к данным. Списки пересекаются едва наполовину. Уборщица и электрик входят в кабинет кадров, но в системе их нет вообще; удалённый бухгалтер работает с базой ежедневно, а в офисе был последний раз зимой; системный администратор есть в обоих, но по разным основаниям. Попытка свести всё в одну таблицу заканчивается тем, что часть строк выглядит абсурдно, документ теряет доверие и перестаёт вестись.

Второе — учёт ключей. В большинстве организаций никто не может назвать точное число комплектов от кабинета бухгалтерии: часть выдавалась много лет назад, часть дублировалась «на всякий случай», один лежит у вахтёра. Мы советуем начинать не с документа, а с инвентаризации: собрать все ключи физически, пересчитать, лишние сдать, при необходимости заменить личинки — и только потом вписывать номера комплектов в перечень. Написанный до инвентаризации документ описывает вымышленный порядок.

И то, о чём почти не думают, — вечерний контур. Днём в помещении работают люди, и посторонний заметен. После шести приходят уборщики, иногда охрана обходит кабинеты, раз в квартал появляется арендодатель со своим комплектом. Именно в это время помещение с данными остаётся наедине с теми, кого нет ни в одном списке. Решение недорогое: либо уборка в присутствии работника, либо кабинеты с данными убираются по отдельному графику под сопровождением, либо эти люди прямо включаются в перечень с подписью об ответственности.

Что мы советуем при подготовке комплекта

Ведите два разных списка — в помещения и к данным, не пытайтесь их слить. Начните с физической инвентаризации ключей: обычно их больше, чем считалось. Обязательно заведите графу даты возврата — без неё нельзя показать, что доступ уволенного закрыт. И отдельно опишите вечерний контур: уборка, охрана, арендодатель — те, кто бывает внутри, когда работников уже нет.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Чем этот перечень отличается от перечня допущенных к персональным данным?

Тот про права в информационной системе, этот про физический вход в помещение. Списки пересекаются частично: уборщица входит, но прав в системе не имеет, удалённый работник — наоборот. В комплекте это две отдельные позиции.

Включать ли уборщиц и охрану?

Да, либо включать с указанием условия сопровождения, либо прямо написать, что без сопровождения работника они в помещения с данными не проходят. Молчание — самый плохой вариант: люди внутри бывают, а в документах их нет.

А подрядчиков и арендодателя?

Тоже. У арендодателя по договору обычно есть свой комплект ключей — это надо либо отразить, либо переоформить доступ так, чтобы вход был только в присутствии представителя организации.

Нужно ли вести журнал входа?

Обязательного требования нет. Для серверной и архива журнал или электронная система контроля доступа полезны: они дают ответ на вопрос «кто был внутри» при разборе инцидента. Для обычного кабинета достаточно перечня и режима запирания.

Что делать при увольнении?

Забирать ключ или блокировать карту в день увольнения и ставить дату возврата в перечне. Удобнее встроить это в общий чек-лист вместе со сдачей пропуска и закрытием учётных записей.

Ключ потерян — что делать?

Заменить личинку или перекодировать замок и пересобрать список комплектов. Отдельно оценить, был ли доступ посторонних к данным: если да, это инцидент со сроком уведомления Роскомнадзора.

Можно ли обойтись одной строкой «руководитель — во все помещения»?

Для руководителя это допустимо и обычно так и делают. Но остальные строки должны быть конкретными: универсальный доступ у широкого круга лиц означает, что разграничения нет, и режим существует только на бумаге.

Связанные документы

Перечень помещений, в которых размещена ИСПДнПеречни, матрицы, схемы Порядок доступа в помещения, в которых размещены ИСПДнИнструкции и регламенты Приказ об утверждении перечня лиц с доступом в помещения ИСПДнПриказы

Все документы комплекта

Перечень лиц с доступом в помещения — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66