Правила доступа в помещение с информационной системой персональных данных (ИСПДн) представляют собой важный инструмент для контроля и управления физическим доступом к техническим устройствам, средствам защиты информации и системам обеспечения, которые составляют основу ИСПДн.
Оператор персональных данных обязан строго контролировать и управлять доступом к этим устройствам, а также к помещениям, где они расположены. Это позволяет предотвратить несанкционированное проникновение и обеспечить надежную защиту обрабатываемых данных и инфраструктуры ИСПДн в целом.
Контроль и управление физическим доступом включают в себя несколько ключевых аспектов:
- Определение лиц, имеющих доступ: Определение круга сотрудников, обладающих правом доступа к техническим средствам, средствам защиты информации и системам обеспечения, а также в помещения, где они расположены, является важнейшим этапом контроля.
- Санкционирование доступа: Физический доступ к указанным устройствам должен быть санкционирован, а его учет и контроль — осуществляться в строгом соответствии с установленными правилами.
Разработка правил доступа в помещение, в котором размещена ИСПДн
Правила доступа в помещение, где находится ИСПДн, предназначены для создания безопасного режима, который исключает возможность неконтролируемого проникновения и пребывания в нем лиц, не имеющих соответствующего разрешения. Эти правила действуют как в рабочее, так и в нерабочее время, а также в экстренных ситуациях.
Все сотрудники оператора, независимо от их должности, имеют право работать с ИСПДн и считаются ее пользователями. Ответственность за соблюдение правил и поддержание безопасности в помещении возлагается на каждого сотрудника.
Руководители подразделений и сотрудники оператора несут личную ответственность за обеспечение постоянного закрытия дверей на замок и их открытие только для санкционированного доступа.
Размещение, специальное оборудование и организация режима в помещении, в котором размещена ИСПДн
Помещение, где находится ИСПДн, расположено в пределах контролируемой зоны (мера ЗТС.2), границы которой определяются периметром ограждающих конструкций. Для обеспечения постоянного закрытия и открытия дверей устанавливаются надежные замки, ключи от которых нумеруются и имеют уникальные идентификаторы. Маркировка с идентификатором наносится непосредственно на ключи и должна быть стойкой к износу.
Ключи от входных дверей помещения, в котором размещена ИСПДн, учитываются и выдаются ответственным за выдачу ключей под расписку в специальном журнале. Дубликаты ключей хранятся у руководителя оператора в опечатанных прочных упаковках (тубусах).
В случае утраты ключа от входной двери в помещение, где находится ИСПДн, замок подлежит замене или переделке его секрета с изготовлением новых ключей. Все эти действия сопровождаются составлением соответствующего акта с последующим учетом и выдачей ключей.
В помещении, где расположена ИСПДн, устанавливается режим, обеспечивающий сохранность системы, аутентифицирующей и парольной информации, а также исключающий возможность неконтролируемого доступа посторонних лиц. Этот режим включает в себя запирание помещения на ключ как при входе, так и при выходе из него в рабочее время.
Доступ в помещение, в котором размещена ИСПДн, в рабочее время
Право доступа в помещение, где находится ИСПДн, в рабочее время имеют сотрудники оператора, включенные в специальный перечень лиц. Этот перечень составляется и регулярно обновляется руководителями подразделений, в которых эксплуатируется ИСПДн.
Перед вскрытием помещения, в котором размещена ИСПДн, сотрудники оператора обязаны провести внешний осмотр двери и замка, чтобы убедиться в их целостности. После этого они могут открыть дверь и осмотреть помещение.
В случае обнаружения неисправности двери или запирающих устройств, сотрудники оператора должны:
- Не вскрывать помещение и доложить руководителю.
- В присутствии не менее двух других сотрудников, один из которых является вышестоящим руководителем, вскрыть помещение и осмотреть его.
- Составить акт о выявленных нарушениях и передать его руководителю для организации служебного расследования.
Категорически запрещается нахождение посторонних лиц в помещении, где размещена ИСПДн, во время работы с ней. Доступ в помещение лиц, не имеющих права доступа, осуществляется только в присутствии сотрудников оператора, имеющих такой доступ.
В рабочее время сотрудники оператора, имеющие право доступа в помещение с ИСПДн, не должны оставлять его незапертым в отсутствие других сотрудников. По окончании рабочего дня они обязаны закрыть помещение на ключ.
Доступ в помещение, в котором размещена ИСПДн, в нерабочее время
Доступ в помещение, в котором находится ИСПДн, в нерабочее время имеют только сотрудники оператора, включенные в соответствующий перечень. Вскрытие помещения осуществляется на основании письменного распорядительного акта (приказа или распоряжения) о привлечении к работе в нерабочее время (праздничный или выходной день).
Доступ в помещение, в котором размещена ИСПДн, в нештатных ситуациях
В нештатных ситуациях, таких как срабатывание пожарной сигнализации, аварии в системах энерго-, водо- и теплоснабжения, а также в других подобных случаях, действия сотрудников оператора должны осуществляться в соответствии с установленными правилами пожарной безопасности и другими правилами обеспечения безопасности жизнедеятельности. По возможности, сотрудники, работающие в этом помещении, должны контролировать доступ обслуживающего или иного персонала.
Требования к усилению ЗТС.3
- Оператором персональных данных должны применяться автоматизированные системы контроля и управления доступом (СКУД), обеспечивающие контроль и учет физического доступа к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены с учетом ГОСТ Р 51241-2008.
- Оператором персональных данных должны применяться средства видеонаблюдения, обеспечивающие регистрацию доступа к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены.
- Оператор персональных данных обеспечивает интеграцию системы контроля и управления доступом (СКУД) со средствами идентификации и аутентификации пользователей в ИСПДн в соответствии с ИАФ.1, ИАФ.6 и средствами управления доступом в соответствии с УПД.2, УПД.10.
