Регистр доступа к персональным данным: как вести учет действий и подтвердить соответствие требованиям регуляторов

Содержание

1. Краткое содержание
2. Введение
3. Что такое регистр доступа ПДн
4. Нормативная основа: что реально требуют регуляторы
5. Какие данные должен содержать регистр доступа ПДн
6. Как это работает на практике
7. Архитектура учета доступа: от Excel до SIEM и IAM
8. Практические примеры
9. Типичные ошибки при ведении регистра ПДн
10. Лучшие практики ведения регистра доступа ПДн
11. Сравнение подходов к ведению регистра
12. Рекомендации эксперта
13. Чек-лист внедрения регистра доступа ПДн
14. FAQ
15. Основные выводы
16. Источники и нормативная база

Краткое содержание

Регистр учета доступа к персональным данным — это не просто таблица с фамилиями сотрудников. Это связка организационного документа и технических журналов, которая показывает, кто, когда, на каком основании и какие действия совершал с персональными данными. В российском законодательстве нет единой унифицированной формы такого регистра для всех операторов, но есть обязательное требование: установить правила доступа к персональным данным и обеспечить регистрацию и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных. Это следует из статьи 19 Федерального закона №152-ФЗ.

На практике регистр доступа ПДн нужен для трех задач: доказать соответствие персональных данных требованиям закона, быстро расследовать инцидент и контролировать, чтобы сотрудники имели доступ только к тем данным, которые действительно нужны им для работы.

Введение

В компаниях часто говорят: «У нас доступ к персональным данным есть только у ответственных сотрудников». На словах звучит хорошо. Но на проверке или после инцидента возникает простой вопрос: чем это подтверждается?

Кто именно имел доступ к клиентской базе? Когда бухгалтеру выдали права в 1С? Почему сотрудник отдела продаж мог выгрузить файл с телефонами клиентов? Кто смотрел карточку пациента? Был ли доступ у уволенного администратора закрыт вовремя?

Ответы на такие вопросы нельзя держать «в голове у айтишника». Их нужно фиксировать. Именно для этого нужен регистр учета доступа к персональным данным: не декоративный документ, который один раз положили в папку, а рабочий инструмент контроля.

Что такое регистр доступа ПДн

Регистр учета доступа к персональным данным — это документированная система учета прав и действий пользователей, которые получают доступ к персональным данным. В простом виде это может быть таблица или журнал. В зрелой инфраструктуре это набор взаимосвязанных источников: кадровые данные, заявки на доступ, матрица ролей, журналы ИСПДн, события SIEM, отчеты DLP, IAM/IDM и результаты периодической ревизии прав.

Регистр доступа ПДн — это способ подтвердить, что доступ к персональным данным выдается контролируемо, используется по назначению, фиксируется техническими средствами и регулярно пересматривается.

Что важно понимать: регистр не должен подменять собой логи. И логи не должны подменять собой регламент. Если у компании есть только Excel со списком сотрудников, но нет системных событий, она не сможет доказать, что конкретный сотрудник действительно не выгружал данные. Если есть только логи, но нет приказов, ролей и оснований доступа, будет сложно объяснить, почему у пользователя были такие права.

Нормативная основа: что реально требуют регуляторы

152-ФЗ: правила доступа и регистрация действий

Статья 19 Федерального закона №152-ФЗ требует принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий. Там же закреплена обязанность устанавливать правила доступа к ПДн и обеспечивать регистрацию и учет всех действий, совершаемых с персональными данными в ИСПДн.

Постановление Правительства №1119

Постановление №1119 устанавливает уровни защищенности персональных данных и требования к защите ПДн в информационных системах. Для темы учета доступа важно, что безопасность строится как система организационных и технических мер, а не как один журнал или один антивирус.

Приказ ФСТЭК №21

Приказ ФСТЭК №21 раскрывает состав мер защиты ПДн: идентификация и аутентификация, управление доступом, защита носителей, регистрация событий безопасности, обнаружение вторжений, контроль защищенности, управление инцидентами и конфигурацией.

Трудовой кодекс РФ

Для персональных данных работников важно учитывать статью 88 ТК РФ: работодатель должен разрешать доступ к персональным данным работников только специально уполномоченным лицам и только в объеме, необходимом для выполнения конкретных функций.

Какие данные должен содержать регистр доступа ПДн

Хороший регистр должен отвечать на пять вопросов: кто получил доступ, к каким данным, на каком основании, что сделал и кто проверял актуальность доступа.

Как это работает на практике

Назначение доступа

Сотрудник приходит в компанию или переводится на новую роль. Руководитель инициирует заявку, владелец бизнес-процесса подтверждает необходимость доступа, ИБ оценивает риск, ИТ выдает права. В регистре фиксируется основание, роль, срок действия, система и согласующие лица.

Использование доступа

Пользователь работает с ПДн. Его действия фиксируются системными журналами, журналами приложений, DLP, SIEM, средствами аудита баз данных или PAM. При отклонениях формируется инцидент.

Изменение и отзыв доступа

При переводе или увольнении права пересматриваются. В зрелых компаниях работает процесс Joiner-Mover-Leaver: новый сотрудник получает минимально необходимый доступ, при переводе права пересматриваются, при увольнении доступ закрывается немедленно.

Архитектура учета доступа: от Excel до SIEM и IAM

Базовый уровень

Локальный акт, матрица ролей, журнал выдачи доступа, приказ о допущенных лицах, встроенные логи систем и ручной пересмотр прав.

Средний уровень

IAM/IDM, AD/LDAP, DLP, SIEM, журнал заявок, отчеты по правам и регулярная ревизия.

Зрелый уровень

IAM/IDM с процессами JML, PAM для администраторов, SIEM с корреляцией событий, DLP/DCAP, аудит баз данных, централизованное хранение логов, WORM/immutable storage, интеграция с кадровыми системами и формализованное реагирование.

Практические примеры

HR и персональные данные работников

У отдела кадров есть доступ к паспортным данным, СНИЛС, ИНН и документам сотрудников. Нужно утвердить перечень допущенных лиц, разделить права, фиксировать выгрузки и печать, проверять закрытие доступа при увольнении.

CRM и клиентская база

Основной риск — выгрузка клиентской базы перед увольнением или передача контактов подрядчику. Нужно контролировать массовые выгрузки, экспорт в CSV, доступ к не своим клиентам, отправку через почту и мессенджеры.

Сайт с формами заявок

Даже если сайт собирает только имя и телефон, нужно понимать, кто видит заявки в CMS, кто получает уведомления на почту, кто имеет доступ к CRM и как закрывается доступ подрядчиков после окончания работ.

Типичные ошибки при ведении регистра ПДн

• Вести только список допущенных лиц и не фиксировать реальные действия.
• Не учитывать сервисные и администраторские учетные записи.
• Не закрывать доступ при увольнении или переводе сотрудника.
• Использовать общие учетные записи.
• Хранить логи слишком мало или не анализировать их.
• Давать администраторам возможность удалить собственные журналы действий.
• Сохранять в логах слишком много самих персональных данных.

Лучшие практики ведения регистра доступа ПДн

• Принцип минимально необходимых прав.
• Ролевая модель доступа.
• Регулярный пересмотр прав.
• Отдельный контроль привилегированных пользователей.
• Централизация логов в SIEM.
• Защита журналов от изменения и удаления.
• Документирование оснований доступа.

Сравнение подходов к ведению регистра

Рекомендации эксперта

1. Не ограничивайтесь формальным списком сотрудников.
2. Связывайте доступ с бизнес-ролью и основанием.
3. Закрывайте временные доступы автоматически.
4. Отдельно контролируйте выгрузки и массовые просмотры.
5. Используйте SIEM, DLP, IAM/IDM и PAM там, где риск выше.
6. Проверяйте, что журналы нельзя изменить или удалить без следа.
7. Проводите тестовые расследования.

Чек-лист внедрения регистра доступа ПДн

Организационная часть

• Определены ИСПДн и места обработки ПДн.
• Утверждены правила доступа к ПДн.
• Назначены ответственные лица.
• Сформирован перечень допущенных лиц.
• Описаны роли и матрица доступа.
• Установлен порядок выдачи, изменения и отзыва прав.

Техническая часть

• Настроена идентификация и аутентификация.
• Исключены общие учетные записи.
• Фиксируются действия с ПДн.
• Журналы защищены от изменения и удаления.
• Настроен сбор событий в SIEM или централизованное хранилище.

FAQ

Обязательно ли вести отдельный регистр доступа к ПДн?

Единой обязательной формы для всех операторов нет. Но организация должна иметь документированный и технически подтверждаемый способ учета доступа и действий с ПДн.

Можно ли вести регистр в Excel?

Можно как базовую меру для небольшого контура, но Excel не заменяет техническое журналирование.

Что важнее: список допущенных лиц или технические логи?

Нужны оба инструмента. Список показывает, кто должен иметь доступ. Логи показывают, что реально происходило.

Сколько хранить журналы доступа?

Универсального срока для всех операторов нет. Срок закрепляется в локальных документах с учетом рисков, требований отрасли и задач расследования.

Основные выводы

• Регистр учета доступа ПДн — это доказательная система контроля доступа и действий.
• 152-ФЗ требует правил доступа и регистрации всех действий с ПДн в ИСПДн.
• ПП №1119 и приказ ФСТЭК №21 задают требования к системе защиты и регистрации событий.
• Для персональных данных работников важно учитывать статью 88 ТК РФ.
• Зрелая модель связывает матрицу ролей, заявки, логи, SIEM, DLP, IAM/IDM и пересмотр прав.

Источники и нормативная база

1. Федеральный закон №152-ФЗ «О персональных данных», статья 19
2. Постановление Правительства РФ №1119
3. Приказ ФСТЭК России №21
4. Трудовой кодекс РФ, статья 88
5. NIST SP 800-53 Rev. 5
6. NIST SP 800-12, Audit Trails