Регламенты по информационной безопасности: доступ, пароли, резервное копирование в

На практике во многих организациях в есть общая политика информационной безопасности, но нет конкретных правил, которые объясняют сотрудникам и администраторам, что именно нужно делать. Кто получает доступ к 1С или CRM, какие требования к паролям, как часто и куда создаются резервные копии — часто решается «по телефону» или по факту. До первого инцидента или проверки.

Из этого материала вы узнаете, какие три базовых регламента нужны практически каждой компании, что в них должно быть, как они связаны с требованиями 152-ФЗ и приказов ФСТЭК, а также каких ошибок стоит избегать при их подготовке и внедрении.

Какие регламенты нужны

Ни один закон не содержит закрытого перечня «регламентов по ИБ» для коммерческой организации. Состав документов определяется задачами бизнеса, требованиями 152-ФЗ к операторам персональных данных, а для госсектора и КИИ — приказами ФСТЭК. Однако три регламента, которые мы рассматриваем, закрывают основные организационные риски и обязательны для большинства компаний, обрабатывающих ПДн.

Регламент управления доступом

Это документ, который определяет, кто и на каких основаниях получает доступ к информационным системам, приложениям, базам данных и помещениям. В нём фиксируется порядок заведения учётных записей, изменения полномочий при переводе сотрудника и прекращения доступа при увольнении.

Минимальный состав регламента управления доступом:

• перечень информационных систем и типов доступа;
• роли (пользователь, администратор, ответственный за обработку ПДн, внешний подрядчик);
• процедура согласования заявки на доступ (кто инициатор, кто утверждает);
• сроки отключения учётной записи после увольнения или изменения роли;
• особые правила для привилегированных пользователей (администраторы домена, СУБД, резервных копий);
• ведение журнала выдачи, изменения и прекращения доступа.

Для операторов персональных данных правило доступа прямо указано в п. 8 ч. 2 ст. 19 152-ФЗ: «правила доступа к персональным данным, регистрация и учёт действий». На практике это означает не только технические ограничения, но и документально закреплённый порядок.

Если вы обрабатываете ПДн, перечень лиц, имеющих доступ к ним, утверждается приказом руководителя (пп. «в» п. 13 ПП № 1119 для 4-го уровня защищённости). Регламент управления доступом становится дополнением к такому приказу и описывает процедуру.

Парольная политика

Парольная политика — это отдельный документ или раздел политики ИБ, который устанавливает единые требования к аутентификации. Без неё сотрудники используют одинаковые простые пароли, записывают их на стикеры или передают друг другу. Это одна из самых частых причин несанкционированного доступа.

Что рекомендуется закрепить в парольной политике:

• минимальная длина пароля — не менее 8–12 символов (для администраторов — строже);
• требование к сложности: строчные и прописные буквы, цифры, специальные символы;
• срок действия пароля (например, 90 дней) и запрет повторного использования недавних паролей;
• запрет на общие учётные записи и передачу паролей третьим лицам;
• правила хранения паролей (менеджер паролей, запрет записи в открытом виде);
• требования к многофакторной аутентификации для удалённого доступа и привилегированных учётных записей.

Для операторов ПДн парольная политика является практическим наполнением меры «управление доступом» из приказа ФСТЭК № 21. Отдельно отметим: сам приказ № 21 не содержит конкретных параметров пароля — их определяет сама организация исходя из уровня защищённости ИСПДн, определённого по ПП № 1119.

Резервное копирование

Регламент резервного копирования определяет, какие данные копируются, с какой периодичностью, где хранятся копии и кто отвечает за их создание и восстановление. Основная цель — обеспечить возможность восстановления персональных данных и критичных сервисов после сбоя, утечки или атаки.

Ключевые элементы регламента резервного копирования:

• перечень систем и данных, подлежащих резервному копированию (1С, CRM, базы данных, файловые хранилища, конфигурации оборудования);
• периодичность полного и инкрементального копирования (например, еженедельно полное, ежедневно инкрементальное);
• сроки хранения резервных копий и место хранения (отдельный физический носитель, облако, изолированное помещение);
• процедура проверки восстановления — тестовый запуск восстановления на отдельном стенде не реже раза в квартал;
• ответственное лицо за выполнение и контроль графика копирования;
• порядок действий при утрате данных и план восстановления.

Для операторов ПДн обязанность восстановления персональных данных прямо названа в п. 7 ч. 2 ст. 19 152-ФЗ. Без регламента резервного копирования и регулярной проверки восстановления невозможно подтвердить выполнение этой меры.

Связь с мерами приказов ФСТЭК

Регламенты управления доступом, парольной политики и резервного копирования являются документальным оформлением организационных мер, предусмотренных системой нормативных актов ФСТЭК. Для разных категорий организаций эта связь выглядит следующим образом.

Для коммерческих ИСПДн (приказ ФСТЭК № 21 от 18.02.2013). В приказе определены 15 групп мер защиты информации: ИАФ (идентификация и аутентификация), УПД (управление доступом), ЗНИ (защита носителей информации), РСБ (резервное копирование) и другие. Регламент управления доступом раскрывает меры УПД, парольная политика — часть меры ИАФ, регламент резервного копирования — меру РСБ. Хотя приказ № 21 не использует термин «организационно-распорядительные документы», на практике требования к мерам выполняются через локальные акты, утверждаемые руководителем.

Для государственных информационных систем (приказ ФСТЭК № 117 от 11.04.2025, действует с 01.03.2026). Здесь требования к документам прямо названы: п. 14 «а» — политика защиты информации, пп. 14 «г», «д» и п. 25 — внутренние стандарты и внутренние регламенты по защите информации. Регламенты управления доступом, парольной политики и резервного копирования обязательны и утверждаются руководителем госоргана или уполномоченным лицом.

Для значимых объектов КИИ (приказ ФСТЭК № 239 от 25.12.2017). Приложение к приказу содержит так называемые «нулевые» меры: ИАФ.0, УПД.0, ЗНИ.0, РСБ.0 и другие — «Регламентация правил и процедур». Для каждой из 17 групп мер должен быть разработан организационно-распорядительный документ. Регламенты по доступу, паролям и резервному копированию входят в этот перечень.

Для обычной коммерческой компании, которая не является субъектом КИИ, не обрабатывает ПДн и не работает с ГИС, эти регламенты не обязательны по закону. Однако они настоятельно рекомендуются, поскольку фиксируют порядок, который в случае утечки, трудового спора или требования контрагента поможет доказать принятие разумных мер.

Типовые ошибки

1. ✗ Считать, что регламенты по доступу и паролям не обязательны, если никто не проверяет

Как правильно: для операторов персональных данных это часть мер по ст. 19 152-ФЗ. РКН вправе запросить документы по ст. 18.1 и 19. Отсутствие регламентов может быть квалифицировано как нарушение обработки ПДн.

2. ✗ Использовать одинаковые или простые пароли, хранить их в общем файле

Как правильно: утвердить парольную политику, обязать использовать уникальные сложные пароли, ввести срок их действия и запретить передачу третьим лицам. Для администраторов и удалённого доступа рекомендуется MFA.

3. ✗ Делать резервные копии, но никогда не проверять восстановление

Как правильно: регламент должен предусматривать регулярное тестовое восстановление. Непроверенная копия может оказаться нерабочей именно в момент сбоя.

4. ✗ Не фиксировать изменения доступа, особенно при увольнении сотрудников

Как правильно: вести журнал выдачи, изменения и прекращения доступа. Учётная запись уволенного работника должна блокироваться в день увольнения, а права подрядчиков — по окончании договора.

5. ✗ Скачать шаблоны регламентов из интернета и утвердить без адаптации

Как правильно: документы должны соответствовать реальным процессам, используемым системам и структуре организации. Иначе они не работают и при проверке выявятся расхождения.

Чем поможет МелданаСБ

Мы готовим правовой и организационный пакет документов по ИБ и персональным данным для коммерческих компаний в и по всей России дистанционно. В состав пакета входят в том числе регламенты управления доступом, парольная политика, правила использования ИТ, регламент резервного копирования, а также политика обработки ПДн, положение об обработке ПДн, приказ об ответственном, формы согласий и другие документы по 152-ФЗ.

Мы адаптируем документы под ваши процессы, а не выдаём пустой шаблон. Утверждает документы руководитель вашей организации. Техническую часть (определение уровня защищённости ИСПДн, модель угроз, система защиты, инструкции по СЗИ) мы сопровождаем методически или вместе с партнёром-лицензиатом ФСТЭК.

Частые вопросы

Пакет документов по информационной безопасности и персональным данным — это не просто формальность, а рабочий инструмент, который снижает риски утечек, споров с работниками и претензий со стороны регуляторов. Ознакомьтесь подробнее с услугой «Документы по информационной безопасности», посмотрите отдельно политику обработки персональных данных или методическое сопровождение модели угроз.