Приказ об утверждении перечня лиц с доступом в помещения ИСПДн
Распорядительный документ, который вводит в действие перечень допущенных в помещения и правила режима: с указанной даты они обязательны, прежняя редакция утрачивает силу, работники знакомятся под подпись.
Зачем нужен документ
Перечень допущенных в помещения можно составить за час: таблица, фамилии, номера кабинетов. Но пока он лежит файлом на компьютере ответственного, это не документ организации, а его личные заметки. Приказ превращает таблицу в обязательное правило: называет дату, с которой она действует, и людей, которые обязаны её соблюдать.
Практическую роль приказа проще всего увидеть при разборе нарушения. Работник пустил постороннего в архив — что нарушено? Ответ «у нас так не принято» юридически пуст. Ответ «нарушен пункт перечня, утверждённого приказом от такого-то числа, с которым работник ознакомлен под подпись» даёт основание и для дисциплинарной меры, и для объяснения проверяющему, что меры приняты, а не только описаны.
Вторая функция — фиксация редакции. Перечень меняется постоянно: люди приходят, уходят, переезжают между кабинетами. Без приказа с датой невозможно ответить на вопрос, какая версия действовала в момент инцидента, а это первый вопрос при любом серьёзном разборе.
Чем грозит отсутствие
Неутверждённые документы юридически равны их отсутствию. С точки зрения проверки организация, у которой перечень есть, но не введён в действие, мер не приняла — со всеми последствиями по общей норме.
Как ещё называют этот документ
Что должно быть в документе
Требований к форме нет, действуют общие правила распорядительных документов. Критерий полноты: по приказу видно, что утверждено, с какой даты, кто отвечает и кто обязан соблюдать.
Требования законодательства
Как связан с другими документами
Приказ — замок физического контура: он вводит в действие всё, что описано в двух перечнях и порядке.
Когда обновлять документ
Приказ переиздают не по расписанию, а вслед за приложениями: меняется перечень — меняется и то, чем он утверждён.
Что спросит проверяющий
Приказ смотрят быстро и по формальным признакам — но именно эти признаки решают, считаются ли меры принятыми.
Разбор эксперта
К приказам относятся как к обёртке: главное — содержательные документы, а приказ «допишем потом». На практике всё наоборот. Содержательный документ без даты ввода в действие юридически не существует, и в спорной ситуации организация оказывается в положении, когда правила вроде бы есть, а сослаться не на что. Мы видели десятки комплектов, где перечни были аккуратными и подробными, но ни один не был утверждён — с точки зрения проверки это ровно то же, что их отсутствие.
Второе, что стоит делать сразу, — отменять прежнюю редакцию в тексте нового приказа. Пункт «считать утратившим силу приказ от такого-то числа» занимает строку, а без него через два года в папке лежат четыре перечня, и на вопрос «кто допущен в архив» организация отвечает встречным вопросом «а по какому приказу». Это же спасает при разборе инцидента: видно, какая редакция действовала в конкретный день.
И то, что почти всегда забывают, — лист ознакомления для новых работников. Приказ издали, всех ознакомили, папку закрыли. Через год половина коллектива сменилась, и никто из новых подписи не ставил. Формально они не обязаны соблюдать режим, и дисциплинарное взыскание за оставленную открытой дверь развалится. Правильное решение — не переиздавать приказ, а включить ознакомление с ним в процедуру приёма на работу: подписал трудовой договор — подписал и лист.
Утверждайте перечень лиц и порядок доступа одним приказом и одной датой — режим вводится пакетом. Обязательно включайте пункт об отмене прежней редакции, иначе версии накапливаются. Назовите ответственного за ведение перечня поимённо и убедитесь, что он об этом знает. И встройте ознакомление в процедуру приёма на работу — это единственный способ, при котором лист остаётся полным без ручного контроля.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Да, и так удобнее: режим вводится одной датой. Главное — назвать оба документа приложениями и перечислить их в тексте, а не писать «утвердить документы по режиму доступа».
Если общий приказ прямо перечисляет перечень лиц и порядок доступа среди утверждаемых документов — отдельный не нужен. Дублировать одно и то же двумя приказами не стоит: возникает вопрос, какой из них действует.
При смене одного-двух человек проще издать приказ о внесении изменений с новой строкой. Когда правок накопилось много, издаётся новая редакция перечня с отменой прежней — иначе восстановить действующий состав становится невозможно.
Издать текущей датой и не пытаться датировать задним числом. Отсутствие приказа за прошлые периоды — риск сам по себе, а поддельная дата превращает его в самостоятельную проблему.
Обычно ответственного за обеспечение безопасности ПДн, но допустим и административно-хозяйственный руководитель — он ближе к ключам и помещениям. Важно, чтобы у человека были реальные полномочия выдавать и забирать ключи.
Всех, кто бывает в помещениях с данными, а не только допущенных по перечню. Правило «не пускать посторонних и не оставлять их одних» касается каждого.
Нет, документ остаётся действующим: приказ издаёт организация, а не конкретный человек. Переиздать имеет смысл, если одновременно поменялись состав допущенных или сами правила.