Журнал поэкземплярного учета машинных носителей персональных данных, это обязательный документ для любой организации, которая обрабатывает персональные данные с помощью информационных систем. Он позволяет точно отслеживать, какие носители, где находятся, в каком состоянии и какие данные на них записаны. Ведение журнала регламентировано требованиями Федерального закона № 152-ФЗ «О персональных данных» и подзаконных актов Роскомнадзора.
Цели и задачи журнала
- обеспечить контроль за передвижением и состоянием каждого носителя;
- минимизировать риски утечки, утраты или несанкционированного доступа к ПДн;
- обосновать меры защиты, применённые к конкретному носителю;
- дать аудиторам возможность быстро проверить фактическое наличие носителей.
Перечень носителей, подлежащих учету
Учету подлежат все носители, способные хранить машиночитаемую информацию, включая:
- жёсткие диски (HDD, SSD);
- съёмные USB-накопители;
- SD-карты, microSD-карты;
- оптические диски (CD, DVD, Blu-ray);
- магнитные ленты (LTO, DDS и т.п.);
- образы виртуальных машин и контейнеров, если они содержат ПДн;
- криптографические токены и защищённые флеш-накопители.
Обязательные реквизиты журнала
| № | Реквизит | Описание |
|---|---|---|
| 1 | Уникальный инвентарный номер | присваивается единожды на весь срок жизни носителя |
| 2 | Наименование носителя | модель, серийный номер производителя |
| 3 | Тип носителя | HDD, SSD, USB и т.п. |
| 4 | Место физического хранения | адрес, № сейфа, стойки, серверной комнаты |
| 5 | ФИО ответственного лица | сотрудник, закреплённый за носителем |
| 6 | Дата поступления в организацию | когда носитель впервые был введён в оборот |
| 7 | Дата последнего обновления сведений | для актуализации данных |
| 8 | Перечень обрабатываемых ПДн | указать категории субъектов и типы данных |
| 9 | Степень защищённости (класс КЗИ) | 1, 2, 3 или 4-й класс защищённости ИСПДн |
| 10 | Сведения о средствах криптографической защиты | шифрование, маркировка, аппаратные ключи |
| 11 | Статус носителя | в обороте / на хранении / утилизирован / уничтожен |
Порядок заполнения
- Регистрация нового носителя
При поступлении носителя в организацию заполняются все обязательные реквизиты, после чего носителю присваивается инвентарный номер. В журнале делается запись о дате поступления и ФИО лица, принявшего носитель. - Фиксация перемещений
Каждое перемещение носителя (передача от сотрудника к сотруднику, перемещение между помещениями, временный вынос за пределы организации) фиксируется в журнале: дата, кто передал, кто принял, цель перемещения, новое место хранения. - Инвентаризация
Не реже 1 раза в год проводится инвентаризация: фактическое наличие каждого носителя сверяется с журналом. Результаты заносятся в журнал с подписями ответственных лиц. - Утилизация/уничтожение
При выводе носителя из оборота в журнале фиксируются:- дата принятия решения;
- способ уничтожения (физическое разрушение, программное стирание, демагнетизация);
- ФИО исполнителя и членов комиссии;
- акт об уничтожении (номер, дата).
Пример фрагмента журнала
┌────┬────────┬────────────┬────────┬─────┬────────────┬────────────┬────────────┬────────────┬──────┬────────┐ │ № │Инв. № │Наименование│ Тип │Место│Ответств. │Поступил │Статус │Категория ПД│Класс │Примеч. │ ├────┼────────┼────────────┼────────┼─────┼────────────┼────────────┼────────────┼────────────┼──────┼────────┤ │ 1 │HDD-001 │WD Red 4Tb │HDD │СК-1 │Иванов И.И. │ │в обороте │Сотрудники │ 3 │Шифр. │ │ 2 │USB-012 │Kingston 32 │USB │СК-2 │Петрова Л.Н.│ │утилизирован│Клиенты │ 4 │Акт №5 │ └────┴────────┴────────────┴────────┴─────┴────────────┴────────────┴────────────┴────────────┴──────┴────────┘
Ответственность
За ведение журнала отвечает оператор персональных данных (руководитель организации) либо назначенное им ответственное лицо (специалист по ИБ или секретарь). Нарушение порядка учета грозит:
- административным штрафом по ч. 4 ст. 13.11 КоАП РФ (от 50 000 до 200 000 руб.);
- приостановкой обработки ПДн по решению Роскомнадзора;
- уголовной ответственностью при утечке сведений (ст. 137 УК РФ).
Советы по автоматизации
- Используйте системы учета активов (CMDB) или DLP-решения, поддерживающие инвентаризацию носителей.
- Подключите штрихкоды/RFID для быстрой проверки наличия.
- Ведите электронный журнал в Excel или специализированном ПО, но храните распечатку на бумаге — требование 152-ФЗ о «возможности предоставления в уполномоченный орган».
Журнал поэкземплярного учета машинных носителей персональных данных — это не просто формальность, а ключевой инструмент для обеспечения безопасности и доказательства соблюдения законодательства. Грамотно организованный процесс учета позволит быстро реагировать на инциденты, пройти любую проверку и защитить репутацию организации.