Образец инструкции по управлению доступом в ИСПДн (УПД)

Что должно быть в документе

• порядок предоставления, изменения и прекращения доступа с указанием, кто принимает решение;
• разграничение прав по должностным обязанностям и принцип минимальных привилегий;
• правила работы с привилегированными (административными) учётными записями;
• периодический пересмотр прав и сверку с фактическими настройками систем;
• порядок учёта: заявка, приказ или журнал предоставления доступа.

Как оформить

1. Определите, какие меры группы применимы к вашему уровню защищённости: состав мер задан приказом ФСТЭК России от 18.02.2013 № 21 и уточняется по результатам определения уровня защищённости.
2. Опишите в инструкции то, что действительно выполняется: инструкция, которую не соблюдают, на проверке хуже её отсутствия — она доказывает, что порядок установлен и нарушается.
3. Утвердите инструкцию приказом об утверждении локальных актов по защите информации — без приказа документ не введён в действие.
4. Ознакомьте под подпись работников, которых инструкция касается, и фиксируйте ознакомление в журнале.
5. Пересматривайте инструкцию при изменении состава систем, средств защиты или уровня защищённости — иначе она описывает вчерашнюю инфраструктуру.

Типовой образец, актуален на 2026 год. Это ориентир — заполните поля в квадратных скобках и адаптируйте под свои процессы. Чтобы собрать документ под ваш профиль, с подстановкой реквизитов и в актуальной редакции, воспользуйтесь сервисом.

УТВЕРЖДЕНА
приказом [наименование организации]
от «___» __________ 20__ г. № _____

ИНСТРУКЦИЯ
по управлению доступом в информационной системе персональных данных

1. Общие положения
1.1. Инструкция определяет порядок предоставления, изменения и прекращения доступа к ИСПДн [наименование организации].
1.2. Разработана с учётом приказа ФСТЭК России от 18.02.2013 № 21 (группа мер УПД).

2. Правила управления доступом
2.1. Доступ предоставляется на основании [заявки руководителя подразделения / приказа] в объёме должностных обязанностей работника.
2.2. Решение о предоставлении принимает [должность]; настройку выполняет [должность администратора].
2.3. Привилегированные учётные записи выдаются [кому и на каких условиях], их использование фиксируется в журнале регистрации событий.
2.4. Права пересматриваются не реже [периодичность]; результаты пересмотра оформляются [чем].
2.5. Доступ прекращается в день увольнения, перевода или изменения обязанностей работника.

3. Ответственность
3.1. За нарушение требований работник несёт ответственность в соответствии с законодательством и локальными актами организации.

Ответственный за обеспечение безопасности _______________ / _______________ /
С инструкцией ознакомлен(а): _____________ / _____________ / «___» ______ 20__ г.

Частые вопросы