Как ограничить физический доступ к данным от внутреннего нарушителя?

Физический доступ к бумаге и устройствам нужно оценивать отдельно от паролей. Меры должны учитывать служебную необходимость и реальные рабочие процессы.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2023-08-14

Короткий ответ

Нужно ограничить возможность физически добраться до носителей и устройств с персональными данными. Пароли и антивирус не защитят бумажный архив или оставленный без присмотра рабочий компьютер, если человек может свободно ими воспользоваться. Именно на этот риск обращала внимание рекомендация о внутреннем нарушителе в августе 2023 года.

Внутренний нарушитель не обязательно имеет право работать со всеми сведениями организации. У сотрудника может быть доступ в помещение, но отсутствовать служебная необходимость знакомиться с конкретными анкетами или выгружать базу клиентов.

Что проверить на практике

Пройдите путь данных внутри компании: где принимают документы, кто их переносит, где хранят бумагу и съёмные носители, кто может остаться у включённого компьютера. Так легче увидеть ситуацию, в которой правила на бумаге расходятся с реальным доступом.

Например, если личные дела лежат в общем шкафу, одного положения о конфиденциальности недостаточно для ограничения доступа. Нужно определить, кто действительно работает с этими документами и как исключается свободный доступ остальных. Точные меры выбираются по обстоятельствам: универсального требования установить одинаковые замки во всех организациях из рекомендации не следует.

Как связать правила и действия работников

Внутренние инструкции должны объяснять обращение с документами и устройствами в понятных сотруднику ситуациях. Важно не только утвердить порядок, но и проверить, можно ли его выполнить на конкретном рабочем месте.

Статья 19 Закона № 152-ФЗ требует принимать меры для защиты данных от неправомерного доступа и других неправомерных действий. Физический контроль – часть оценки безопасности наряду с техническими и организационными мерами. Он не заменяет разграничение прав в системе, а закрывает другой способ получить сведения: через помещение, бумагу или само устройство.

Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.