Образец инструкции по идентификации и аутентификации пользователей ИСПДн (ИАФ)

Что должно быть в документе

• уникальный идентификатор у каждого пользователя и запрет общих учётных записей;
• требования к аутентификации: пароль или иное средство, сложность, срок действия, основания смены;
• обязанность пользователя не раскрывать аутентификационные данные и не хранить их в открытом виде;
• блокировка учётной записи при превышении числа неверных попыток;
• незамедлительная блокировка идентификаторов уволенных и переведённых работников.

Как оформить

1. Определите, какие меры группы применимы к вашему уровню защищённости: состав мер задан приказом ФСТЭК России от 18.02.2013 № 21 и уточняется по результатам определения уровня защищённости.
2. Опишите в инструкции то, что действительно выполняется: инструкция, которую не соблюдают, на проверке хуже её отсутствия — она доказывает, что порядок установлен и нарушается.
3. Утвердите инструкцию приказом об утверждении локальных актов по защите информации — без приказа документ не введён в действие.
4. Ознакомьте под подпись работников, которых инструкция касается, и фиксируйте ознакомление в журнале.
5. Пересматривайте инструкцию при изменении состава систем, средств защиты или уровня защищённости — иначе она описывает вчерашнюю инфраструктуру.

Типовой образец, актуален на 2026 год. Это ориентир — заполните поля в квадратных скобках и адаптируйте под свои процессы. Чтобы собрать документ под ваш профиль, с подстановкой реквизитов и в актуальной редакции, воспользуйтесь сервисом.

УТВЕРЖДЕНА
приказом [наименование организации]
от «___» __________ 20__ г. № _____

ИНСТРУКЦИЯ
по идентификации и аутентификации пользователей информационной системы персональных данных

1. Общие положения
1.1. Инструкция определяет порядок идентификации и аутентификации пользователей ИСПДн [наименование организации] и обязательна для всех пользователей и администраторов.
1.2. Разработана с учётом приказа ФСТЭК России от 18.02.2013 № 21 (группа мер ИАФ).

2. Правила идентификации и аутентификации
2.1. Каждому пользователю присваивается уникальная учётная запись; общие (обезличенные) записи для работы с персональными данными не используются.
2.2. Доступ предоставляется после успешной аутентификации. Требования к паролю: длина не менее [N] символов, [состав символов], срок действия [N] дней, смена при компрометации — незамедлительно.
2.3. Пользователь не сообщает пароль другим лицам и не хранит его в открытом виде.
2.4. При [N] неверных попытках учётная запись блокируется на [срок] и разблокируется [кем и как].
2.5. Учётные записи уволенных и переведённых работников блокируются в день прекращения оснований доступа.

3. Ответственность
3.1. За нарушение требований работник несёт ответственность в соответствии с законодательством и локальными актами организации.

Ответственный за обеспечение безопасности _______________ / _______________ /
С инструкцией ознакомлен(а): _____________ / _____________ / «___» ______ 20__ г.

Частые вопросы