Администратор ИС отвечает за техническое сопровождение, настройку прав доступа, установку средств защиты информации, контроль за работой системы и устранение сбоев. Для подтверждения выполнения требований закона эти функции должны быть возложены на конкретное лицо официальным приказом руководителя организации.
Обоснование по законодательству
- Ст. 18.1 ФЗ-152 — оператор обязан назначить лиц, ответственных за организацию обработки и защиту ПДн.
- Ст. 19 ФЗ-152 — оператор должен принимать организационные и технические меры для защиты ПДн.
- Постановление Правительства РФ № 1119, п. 2, пп. «б», «е» — требует разграничивать доступ пользователей к ИС и назначать ответственных за обеспечение безопасности ПДн.
- ГОСТ Р 57580.1-2017 и методические рекомендации ФСТЭК — предусматривают закрепление полномочий администраторов систем в организационно-распорядительных документах.
Практика проверок Роскомнадзора
На проверках Роскомнадзор и ФСТЭК нередко запрашивают приказы о назначении администраторов ИС и документы, подтверждающие разграничение доступа. В одной организации администрированием занимался фактически IT-специалист, но приказа не было. Проверка признала это нарушением организационных мер защиты. Там, где приказ оформлен и обязанности прописаны в должностной инструкции, претензий не возникало.
Что важно учитывать компаниям
- Приказ должен содержать: ФИО и должность сотрудника, обязанности по администрированию ИС, ответственность за выполнение требований безопасности ПДн.
- В крупных компаниях может быть несколько администраторов (по системам или направлениям), но ответственность всё равно фиксируется приказом.
- Обязанности администратора лучше дополнительно прописать в должностной инструкции и регламенте администрирования ИС.
Рекомендации и выводы
Да, приказ о назначении администратора информационной системы обязателен. Он фиксирует, кто отвечает за техническую защиту ПДн, и подтверждает выполнение требований ФЗ-152. Рекомендуем:
- Издать приказ о назначении администратора ИС.
- Закрепить его полномочия в должностной инструкции и внутреннем регламенте.
- Обеспечить ведение журналов администрирования и контроля доступа.
- Включить приказ в общий пакет документов по ПДн для предъявления при проверках.
Компания ICTech поможет вашей организации правильно оформить приказ о назначении администратора ИС, разработать должностные инструкции и регламенты, чтобы исключить риски претензий Роскомнадзора и ФСТЭК.
