Инструкция пользователя информационной системы

Инструкция пользователя информационной системы — организационно-распорядительный документ, устанавливающий правила работы сотрудников с информационной системой, в которой обрабатываются персональные данные.

Требование наличия инструкции вытекает из:

• ФЗ-152, ст. 18.1, п. 1 — оператор обязан применять организационные и технические меры;
• Приказ ФСТЭК № 21, мера УПД.13 — управление доступом пользователей к ИС;
• Приказ ФСТЭК № 21, мера ПАВ.2 — антивирусная защита, правила для пользователей;
• ПП РФ № 1119, п. 13 — организация режима безопасности помещений.

Инструкция решает три задачи:

1. Информирует сотрудников о правилах безопасной работы с ПДн;
2. Фиксирует ответственность — ознакомление под роспись создаёт юридическое основание для привлечения к дисциплинарной ответственности;
3. Выполняет требования регулятора — при проверке ФСТЭК и Роскомнадзора инструкция входит в обязательный пакет ОРД.

Раздел «Запрещённые действия» — ключевой с точки зрения проверяющих органов. Типовые запреты:

• Передавать учётные данные (логин/пароль) другим сотрудникам, в том числе руководителю;
• Записывать пароли на бумаге, в файлах, в мессенджерах;
• Оставлять без присмотра рабочую станцию с незаблокированной сессией;
• Устанавливать стороннее ПО без согласования с администратором ИСПДн;
• Отключать средства защиты (антивирус, межсетевой экран, средства контроля доступа);
• Копировать ПДн на личные устройства, облачные хранилища, личную почту;
• Использовать личные USB-носители для хранения и переноса ПДн;
• Предоставлять доступ к ИСПДн третьим лицам без письменного разрешения;
• Выносить документы с ПДн за пределы контролируемой зоны без разрешения;
• Обсуждать ПДн в публичных местах, мессенджерах, социальных сетях.

Каждый пункт запрета должен быть обоснован ссылкой на конкретную меру из Приказа ФСТЭК № 21 (УПД, ЗНИ, АВЗ и др.).

Инструкция без ознакомления под роспись не имеет юридической силы. Порядок:

1. Утверждение. Инструкция утверждается приказом руководителя организации. Рекомендуется утверждать одновременно с положением об обработке ПДн и приказом о назначении ответственного.

2. Ознакомление. Каждый сотрудник, имеющий доступ к ИСПДн, должен быть ознакомлен под роспись. Лист ознакомления — обязательное приложение к инструкции.

3. Повторное ознакомление. При существенном изменении инструкции (новые ИСПДн, новые средства защиты, изменение политик) — повторное ознакомление всех пользователей.

4. Новые сотрудники. Ознакомление с инструкцией — до предоставления доступа к ИСПДн (не после!).

5. Хранение. Листы ознакомления хранятся весь период работы сотрудника + 3 года после увольнения.

При проверке Роскомнадзора и ФСТЭК запрашиваются именно листы ознакомления — не сама инструкция, а доказательства, что сотрудники с ней ознакомлены. Проверьте готовность документов к проверке.