Положение о разграничении прав доступа с матрицей доступа — образец 2026
Образец приказа и положения о разграничении прав доступа к информационным системам с матрицей доступа: минимальные полномочия, заявка на доступ, увольнение, подрядчики, ревизия прав. DOCX + PDF.
- 152-ФЗ, ст. 19
- Приказ ФСТЭК № 21
- 149-ФЗ, ст. 16
Коротко. Положение о разграничении прав доступа устанавливает, кто и на каком основании получает доступ к информационным системам, как права меняются при переводе и отзываются при увольнении, а матрица доступа фиксирует, у кого какие права сейчас. Это основа принципа минимальных полномочий: без неё через год у бухгалтера оказывается доступ ко всему, а у уволенного подрядчика — рабочая учётная запись. Управление доступом входит в меры защиты персональных данных по приказу ФСТЭК № 21.
Структура документа
- Приказ: утверждение положения и матрицы, ответственный за ведение матрицы, ревизия фактических прав и блокировка неиспользуемых учётных записей, ознакомление
- Общие положения: доступ только после ознакомления с политикой, памяткой и инструктажа
- Принципы: минимальные полномочия, индивидуальные учётные записи, отдельные административные учётные записи, доступ подрядчиков на срок работ
- Порядок предоставления, изменения и прекращения доступа: заявка, согласование, исполнение; перевод, увольнение, внеплановая блокировка
- Контроль: ревизия прав раз в полгода и срок устранения расхождений
- Форма заявки на предоставление или изменение доступа
- Матрица доступа: система, роль, уровень доступа, Ф. И. О.; лист ознакомления
Состав всех уровней — на странице комплекта документов по информационной безопасности.
Зачем нужно положение
Права доступа имеют свойство накапливаться. Работник переходит из отдела продаж в бухгалтерию и сохраняет доступ к CRM, подрядчик закончил работы, но его учётная запись живёт, у половины компании права администратора «чтобы не мешало». Положение о разграничении доступа превращает выдачу прав в процедуру: заявка, согласование, исполнение, отметка в матрице и регулярная ревизия.
Для систем с персональными данными управление доступом входит в состав мер по приказу ФСТЭК № 21, а для режима коммерческой тайны ограничение доступа и учёт допущенных лиц — обязательные меры ст. 10 98-ФЗ. Матрица доступа закрывает обе задачи одним документом.
Что в образце
Приказ. Утверждает положение и матрицу, поручает ответственному за ИБ вести матрицу, а администратору — провести ревизию фактических прав и заблокировать неиспользуемые и обезличенные учётные записи.
Принципы. Доступ — по минимально необходимым полномочиям, у каждого — индивидуальная учётная запись, у администраторов — отдельные административные учётные записи, не применяемые для повседневной работы. Подрядчики получают доступ на срок работ по договору с условиями о конфиденциальности.
Порядок. Заявка руководителя подразделения, согласование с ответственным за ИБ, исполнение администратором. При переводе избыточные права отзываются за три рабочих дня, при увольнении учётные записи блокируются, а токены и пропуска изымаются в последний рабочий день; пароли общих ресурсов меняются.
Контроль и формы. Ревизия раз в полгода, форма заявки и матрица доступа с типовыми строками: основная система, сайт, учётные системы, серверы, облачная консоль, СКЗИ, мониторинг, резервные копии, общие папки, почта.
Как заполнить
- Удалите строки матрицы с системами, которых у вас нет, и добавьте свои.
- Для каждой системы перечислите роли и впишите конкретных работников и подрядчиков.
- Договоритесь с кадровой службой: она заранее сообщает ответственному за ИБ об увольнениях и переводах.
- Проведите первую ревизию по приказу — она почти всегда находит забытые учётные записи.
Частые ошибки
- Матрица составлена один раз. Через полгода она не совпадает с действительностью и ничего не доказывает.
- Увольнение без блокировки. Учётная запись уволенного работника — готовая точка входа.
- Администраторы работают под административной учётной записью каждый день. Одно письмо с вредоносным вложением — и злоумышленник получает полные права.
- «Уровни доступа» без описания. В матрице должно быть понятно, что значит «чтение/запись» для конкретной системы.
Частые вопросы
Кто должен заполнять матрицу доступа?
В образце матрицу ведёт и актуализирует ответственный за ИБ при кадровых изменениях и изменении состава систем, а права в системах выдаёт администратор по согласованной заявке. Разделение ролей нужно, чтобы администратор не выдавал права сам себе и коллегам без контроля.
Как часто пересматривать права доступа?
В образце — ревизия не реже раза в шесть месяцев: сверка фактических учётных записей с матрицей, поиск неиспользуемых и избыточных. Расхождения устраняются за пять рабочих дней, результаты оформляются служебной запиской руководителю.
Нужна ли матрица доступа небольшой компании?
Да, хотя бы короткая: пять–десять строк по основным системам. Она отвечает на вопрос «у кого есть доступ к клиентской базе», который задают при проверке по персональным данным, расследовании утечки и введении режима коммерческой тайны.