Инструкция по информационной безопасности – один из тех документов, которые есть почти в каждой организации, но написаны они бывают по-разному: одни работают и реально защищают, другие пылятся в папке и никто их не читает. Ниже собраны примеры инструкции по информационной безопасности в разных форматах – для сотрудников, администраторов, удаленной работы, работы с персональными данными и ряда других типичных ситуаций.
В подборку вошли те варианты, с которыми чаще всего работают на практике: от базовых пользовательских инструкций до технических регламентов для IT-специалистов. Каждый пример показывает структуру, логику подачи и способ адаптации под конкретную задачу.
В подборке примеров инструкции по информационной безопасности:
- Инструкции для рядовых сотрудников
- Общая инструкция по ИБ для сотрудника офиса
- Инструкция по работе с корпоративной электронной почтой
- Инструкция по парольной политике
- Инструкции для удаленной работы
- Инструкция по информационной безопасности при удаленном доступе
- Инструкция по использованию личных устройств (BYOD)
- Инструкции по работе с персональными данными
- Инструкция оператора, обрабатывающего персональные данные
- Инструкция по уничтожению документов с персональными данными
- Технические инструкции для IT-персонала
- Инструкция системного администратора по управлению доступом
- Инструкция по реагированию на инциденты информационной безопасности
- Инструкции для отдельных сценариев
- Инструкция по безопасному использованию мессенджеров
- Инструкция по антивирусной защите рабочих станций
Примеры инструкции по информационной безопасности разных видов и форматов: основной FAQ
Что такое инструкция по информационной безопасности. Это нормативный внутренний документ организации, который устанавливает правила поведения сотрудников или технических специалистов при работе с информацией, системами и данными. Инструкция закрепляет конкретные требования, запреты и порядок действий – в отличие от политики ИБ, которая описывает общие принципы.
Основные форматы инструкций по ИБ:
- Пользовательская инструкция – для рядовых сотрудников, без технических подробностей, на понятном языке.
- Техническая инструкция – для IT-специалистов, системных администраторов, с конкретными техническими требованиями.
- Инструкция по отдельному процессу – парольная политика, работа с почтой, обращение с персональными данными.
- Инструкция по сценарию – удаленная работа, использование личных устройств, работа в командировке.
- Инструкция по реагированию – что делать при инциденте, утечке, подозрительном событии.
Где применяются. В коммерческих компаниях, государственных организациях, медицинских учреждениях, образовательных организациях – везде, где есть сотрудники, работающие с информационными системами или данными. Наличие ряда инструкций обязательно по требованиям законодательства РФ, в частности в части обработки персональных данных (152-ФЗ) и защиты государственных информационных систем.
Инструкции по информационной безопасности для рядовых сотрудников
Это самый массовый формат. Такие инструкции охватывают всех, кто работает с компьютером, корпоративными системами или данными клиентов. Главное требование к ним – доступность: текст должен быть понятен человеку без технической подготовки. Структура, как правило, включает назначение документа, перечень требований, запреты и порядок действий в нештатных ситуациях.
📌 Общая инструкция по информационной безопасности для сотрудника офиса
- Сценарий: базовый документ для всех сотрудников компании при приеме на работу или плановом ознакомлении
- Адресат: рядовой сотрудник без технической специализации
- Задача: установить минимальные обязательные правила работы с информацией и техникой
Пример:
ИНСТРУКЦИЯ ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ СОТРУДНИКОВ
ООО "НашаКомпания"
Версия 1.0. Утверждена приказом № __ от __.__.____
1. Назначение документа
Настоящая инструкция устанавливает обязательные правила обеспечения информационной безопасности для всех сотрудников ООО "НашаКомпания", использующих корпоративные информационные ресурсы.
2. Область применения
Инструкция распространяется на всех сотрудников, имеющих доступ к корпоративным информационным системам, рабочим станциям, электронной почте и иным информационным ресурсам компании.
3. Требования к работе на рабочем месте
3.1. Сотрудник обязан блокировать экран рабочей станции при любом отходе от рабочего места (сочетание клавиш Win+L или Ctrl+Alt+Del → "Заблокировать").
3.2. Запрещается оставлять рабочую станцию в разблокированном состоянии без присмотра.
3.3. Документы, содержащие конфиденциальную информацию, должны убираться в закрытые ящики или шкафы при отсутствии сотрудника на рабочем месте (политика чистого стола).
3.4. Запрещается записывать пароли на бумаге, стикерах или в незащищенных файлах.
4. Требования к использованию корпоративных устройств
4.1. Корпоративные устройства используются только в служебных целях.
4.2. Запрещается устанавливать программное обеспечение без согласования с IT-отделом.
4.3. Запрещается подключать личные съемные носители (флеш-накопители, внешние диски) к корпоративным устройствам без разрешения IT-отдела.
4.4. Запрещается выносить корпоративные устройства за пределы офиса без письменного разрешения руководителя.
5. Требования к работе с информацией
5.1. Конфиденциальная информация компании не подлежит передаче третьим лицам без письменного разрешения руководителя.
5.2. Запрещается обсуждать конфиденциальные сведения в общественных местах, по незащищенным каналам связи, в личных мессенджерах.
5.3. Рабочие документы хранятся только на корпоративных ресурсах (сетевые диски, корпоративные облачные хранилища). Использование личных облачных сервисов для хранения рабочих данных запрещено.
6. Действия при подозрении на инцидент
6.1. При обнаружении признаков заражения вирусом, несанкционированного доступа или утечки данных сотрудник обязан:
- немедленно отключить рабочую станцию от сети (вынуть сетевой кабель или отключить Wi-Fi);
- сообщить об инциденте в IT-отдел по телефону +7 (495) 123-45-67 или на адрес security@nash-site.ru;
- не пытаться самостоятельно устранить проблему.
6.2. Запрещается скрывать факт инцидента или пытаться устранить его последствия самостоятельно.
7. Ответственность
Нарушение требований настоящей инструкции влечет дисциплинарную ответственность в соответствии с трудовым законодательством РФ и внутренними нормативными документами компании.
С инструкцией ознакомлен(а): __________________ / __________________ / "__" _________ 20__ г.
- Почему подходит: охватывает ключевые ежедневные риски – незаблокированный экран, личные носители, хранение данных вне корпоративных систем.
- Что важно не испортить: раздел "Действия при инциденте" должен быть конкретным – с реальными контактами IT-отдела, иначе сотрудник не будет знать, куда обращаться.
- Политика чистого стола – требование убирать документы и освобождать экран при отсутствии на рабочем месте, чтобы посторонние не увидели конфиденциальные данные.
📌 Инструкция по работе с корпоративной электронной почтой
- Сценарий: отдельный документ по конкретному каналу коммуникаций
- Адресат: все сотрудники, использующие корпоративный email
- Задача: снизить риски фишинга, утечки данных через email и нецелевого использования почты
Пример:
ИНСТРУКЦИЯ ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ РАБОТЕ С КОРПОРАТИВНОЙ ЭЛЕКТРОННОЙ ПОЧТОЙ
ООО "НашаКомпания"
Версия 1.2. Утверждена приказом № __ от __.__.____
1. Общие положения
Корпоративная электронная почта является служебным средством коммуникаций и предназначена исключительно для решения рабочих задач. Настоящая инструкция устанавливает правила безопасного использования корпоративного email.
2. Правила работы с входящей почтой
2.1. При получении письма от незнакомого отправителя сотрудник обязан:
- проверить адрес отправителя полностью (не только отображаемое имя, но и сам адрес);
- не открывать вложения, если отправитель неизвестен или адрес выглядит подозрительно;
- не переходить по ссылкам в письме, если нет уверенности в их легитимности.
2.2. Признаки фишингового письма:
- требование срочно ввести логин и пароль;
- ссылки на сайты с похожими, но неточными адресами (например, nashakompaniya.ru вместо nashakompaniya.com);
- предложения о выигрышах, компенсациях, внезапных премиях;
- письма якобы от банков, налоговых органов или IT-отдела с просьбой подтвердить данные.
2.3. При получении подозрительного письма необходимо переслать его на адрес security@nash-site.ru и не отвечать отправителю.
3. Правила работы с исходящей почтой
3.1. Перед отправкой письма с вложением необходимо убедиться в правильности адреса получателя.
3.2. Запрещается пересылать на личные почтовые адреса документы, содержащие конфиденциальные данные компании или персональные данные клиентов.
3.3. Для отправки крупных файлов используется корпоративное облачное хранилище с отправкой ссылки, а не вложение файла напрямую в письмо.
3.4. Запрещается использовать корпоративный адрес для регистрации на сторонних сервисах, не связанных с работой.
4. Запреты
Запрещается:
- передавать доступ к корпоративной почте третьим лицам;
- использовать корпоративный адрес в личных целях;
- отключать двухфакторную аутентификацию, если она установлена;
- входить в корпоративную почту с чужих или общедоступных устройств без защищенного соединения.
5. Ответственный за вопросы по инструкции: IT-отдел, contact@nash-site.ru, +7 (495) 123-45-67.
- Почему подходит: фишинг через email – один из наиболее распространенных векторов атак, и конкретный список признаков помогает сотрудникам распознать угрозу без специальных знаний.
- Фишинг – вид мошенничества, при котором злоумышленники рассылают письма от имени известных организаций, чтобы получить логины, пароли или деньги.
- Что важно не испортить: раздел с признаками фишингового письма должен быть конкретным, а не абстрактным – чем точнее примеры, тем полезнее инструкция.
📌 Инструкция по парольной политике
- Сценарий: отдельный документ, регулирующий создание и хранение паролей
- Адресат: все сотрудники, имеющие учетные записи в корпоративных системах
- Задача: установить требования к сложности паролей, периодичности смены и правилам хранения
Пример:
ИНСТРУКЦИЯ ПО ПАРОЛЬНОЙ ПОЛИТИКЕ
ООО "НашаКомпания"
Версия 2.0. Утверждена приказом № __ от __.__.____
1. Требования к паролям
1.1. Пароль должен содержать не менее 10 символов.
1.2. Пароль должен включать:
- заглавные буквы латинского алфавита (A–Z);
- строчные буквы латинского алфавита (a–z);
- цифры (0–9);
- специальные символы (!, @, #, $, %, ^, &, * и другие).
1.3. Запрещается использовать в качестве пароля:
- имя, фамилию, дату рождения;
- название компании или подразделения;
- простые последовательности (12345678, qwerty, password);
- пароли, совпадающие с тремя предыдущими.
2. Периодичность смены паролей
2.1. Пароли к корпоративным системам подлежат обязательной смене не реже одного раза в 90 дней.
2.2. Пароль подлежит немедленной смене в случаях:
- подозрения на компрометацию;
- получения уведомления от IT-отдела;
- завершения работы подрядчика или временного сотрудника, которому был предоставлен доступ.
3. Правила хранения паролей
3.1. Запрещается записывать пароли на бумаге, в незащищенных текстовых файлах, на стикерах.
3.2. Для хранения паролей рекомендуется использовать корпоративный менеджер паролей (по согласованию с IT-отделом).
3.3. Запрещается передавать пароли коллегам, руководству или IT-специалистам в открытом виде. IT-отдел никогда не запрашивает пароли сотрудников.
4. Двухфакторная аутентификация
4.1. Для всех систем, поддерживающих двухфакторную аутентификацию (2FA), ее использование обязательно.
4.2. В качестве второго фактора используется приложение-аутентификатор или SMS на корпоративный номер телефона.
5. Ответственность
Сотрудник несет персональную ответственность за конфиденциальность своих учетных данных. Передача пароля третьим лицам является нарушением настоящей инструкции.
- Почему подходит: парольная политика – один из базовых документов ИБ, который реально снижает риск несанкционированного доступа при соблюдении требований.
- Двухфакторная аутентификация (2FA) – способ входа в систему, при котором помимо пароля требуется подтвердить личность вторым способом: кодом из SMS или приложения.
- Менеджер паролей – программа для безопасного хранения паролей в зашифрованном виде; исключает необходимость запоминать или записывать их.
- Что важно не испортить: пункт о том, что IT-отдел никогда не запрашивает пароли, – критически важен и должен быть сформулирован явно.
Инструкции по информационной безопасности при удаленной работе
Удаленный формат работы создает специфические риски: сотрудники используют домашние сети, личные устройства, публичные точки доступа. Инструкции для этого сценария должны учитывать именно эти уязвимости и давать конкретные поведенческие правила – а не просто дублировать общую инструкцию для офиса.
📌 Инструкция по информационной безопасности при удаленном доступе к корпоративным системам
- Сценарий: сотрудник работает из дома или другого места вне офиса
- Адресат: сотрудники на дистанционном режиме работы
- Задача: обеспечить безопасное подключение к корпоративным ресурсам и снизить риски, связанные с незащищенными сетями
Пример:
ИНСТРУКЦИЯ ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ УДАЛЕННОЙ РАБОТЕ
ООО "НашаКомпания"
Версия 1.1. Утверждена приказом № __ от __.__.____
1. Назначение
Инструкция устанавливает требования к информационной безопасности для сотрудников, осуществляющих трудовую деятельность в дистанционном формате с доступом к корпоративным информационным системам.
2. Требования к рабочему месту
2.1. Рабочее место сотрудника должно быть организовано так, чтобы посторонние лица не имели доступа к экрану и не могли слышать рабочие переговоры.
2.2. Запрещается работать в общественных местах (кафе, транспорт, коворкинги) с документами, содержащими конфиденциальную информацию, без защищенного соединения.
2.3. При завершении работы устройство должно быть заблокировано или выключено.
3. Требования к сети
3.1. Для подключения к корпоративным системам обязательно использование корпоративного VPN.
3.2. Запрещается подключаться к корпоративным ресурсам через публичные Wi-Fi сети без активного VPN-соединения.
3.3. Домашний роутер должен быть защищен паролем не менее 12 символов. Рекомендуется использовать шифрование WPA2 или WPA3.
3.4. Запрещается отключать VPN-клиент в процессе работы с корпоративными системами.
4. Требования к устройствам
4.1. Для работы с корпоративными данными используются только устройства, одобренные IT-отделом.
4.2. На рабочем устройстве должно быть установлено актуальное антивирусное программное обеспечение.
4.3. Операционная система и программное обеспечение должны своевременно обновляться – не позднее 72 часов после выхода критических обновлений безопасности.
4.4. Запрещается использовать корпоративное устройство членам семьи или иным лицам.
5. Работа с данными
5.1. Все рабочие файлы хранятся только на корпоративных ресурсах. Локальное хранение рабочих данных на личных устройствах запрещено.
5.2. Передача рабочих документов через личные мессенджеры или личную почту запрещена.
5.3. Видеоконференции с обсуждением конфиденциальных вопросов проводятся только через одобренные корпоративные платформы.
6. Действия при нештатных ситуациях
6.1. При утере или краже корпоративного устройства сотрудник обязан немедленно сообщить в IT-отдел по телефону +7 (495) 123-45-67.
6.2. При подозрении на взлом учетной записи – немедленно сменить пароль и уведомить IT-отдел.
- Почему подходит: покрывает три главных риска удаленной работы – незащищенная сеть, использование личных устройств, хранение данных вне корпоративных систем.
- VPN (виртуальная частная сеть) – технология, которая создает зашифрованный туннель между устройством сотрудника и корпоративной сетью, защищая данные от перехвата.
- WPA2/WPA3 – стандарты шифрования Wi-Fi сетей; WPA3 – более современный и надежный вариант.
- Что важно не испортить: требование использовать VPN должно сопровождаться конкретными инструкциями от IT-отдела по его установке – иначе сотрудник не знает, что именно скачивать.
📌 Инструкция по информационной безопасности при использовании личных устройств (BYOD)
- Сценарий: компания разрешает использовать личные смартфоны, ноутбуки или планшеты для рабочих задач
- Адресат: сотрудники, которым разрешено работать с личных устройств
- Задача: установить правила, при которых личное устройство не становится точкой входа для атаки на корпоративные системы
Пример:
ИНСТРУКЦИЯ ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ ИСПОЛЬЗОВАНИИ ЛИЧНЫХ УСТРОЙСТВ (BYOD)
ООО "НашаКомпания"
Версия 1.0. Утверждена приказом № __ от __.__.____
1. Область применения
Инструкция распространяется на сотрудников, которым в соответствии с внутренним приказом разрешено использовать личные мобильные устройства (смартфоны, планшеты, ноутбуки) для выполнения рабочих задач и доступа к корпоративным ресурсам.
2. Требования к устройству перед допуском к корпоративным ресурсам
2.1. На устройстве должна быть установлена актуальная версия операционной системы.
2.2. На устройстве должен быть установлен экранный пароль или биометрическая защита.
2.3. Устройство не должно быть рутировано или взломано (jailbreak/root).
2.4. Устройство должно быть зарегистрировано в IT-отделе до начала использования в рабочих целях.
3. Правила использования
3.1. Корпоративные данные не сохраняются в личном облачном хранилище (iCloud, Google Drive личный аккаунт и т.п.).
3.2. Корпоративные приложения устанавливаются только из официальных магазинов приложений или по ссылке IT-отдела.
3.3. Для доступа к корпоративным системам с личного устройства обязательно используется корпоративный VPN.
3.4. Передача рабочих файлов через личные мессенджеры (WhatsApp, Telegram личный аккаунт) запрещена.
4. При утере или краже устройства
4.1. Сотрудник обязан немедленно сообщить в IT-отдел на адрес security@nash-site.ru или по телефону +7 (495) 123-45-67.
4.2. IT-отдел вправе дистанционно удалить корпоративные данные и приложения с утерянного устройства.
5. Право компании
Компания вправе проводить аудит корпоративных приложений и данных на зарегистрированных личных устройствах. Личные данные сотрудника при этом не проверяются и не копируются.
- Почему подходит: BYOD-политика без инструкции – распространенная уязвимость; документ четко разграничивает права компании и сотрудника, снижая конфликты.
- BYOD (Bring Your Own Device) – практика, при которой сотрудник использует личное устройство для рабочих задач.
- Jailbreak / root – взлом операционной системы устройства для получения расширенных прав; делает устройство уязвимым для вредоносного ПО.
- Что важно не испортить: раздел о праве компании на удаленное удаление данных должен быть сформулирован прозрачно – сотрудник должен знать об этом заранее и подписать согласие.
Инструкции по работе с персональными данными
Требования 152-ФЗ обязывают операторов персональных данных разрабатывать внутренние документы, регулирующие обращение с такими данными. Инструкции этого типа – обязательная часть пакета документации по защите персональных данных. Они должны быть конкретными, охватывать весь жизненный цикл данных и распределять ответственность между сотрудниками.
📌 Инструкция оператора, обрабатывающего персональные данные
- Сценарий: документ для сотрудника, который в рамках своих обязанностей работает с персональными данными клиентов, партнеров или работников
- Адресат: менеджер, оператор колл-центра, HR-специалист, бухгалтер – все, кто имеет доступ к ПДн
- Задача: установить правила обращения с персональными данными в соответствии с 152-ФЗ
Пример:
ИНСТРУКЦИЯ ПОЛЬЗОВАТЕЛЯ, ДОПУЩЕННОГО К ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
ООО "НашаКомпания"
Версия 1.3. Утверждена приказом № __ от __.__.____
1. Общие положения
1.1. Настоящая инструкция разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных" и устанавливает порядок работы сотрудников ООО "НашаКомпания" с персональными данными (далее – ПДн).
1.2. К работе с ПДн допускаются только сотрудники, включенные в Перечень лиц, имеющих доступ к персональным данным, утвержденный руководителем организации.
2. Основные понятия
Персональные данные – любая информация, относящаяся прямо или косвенно к определенному физическому лицу: ФИО, дата рождения, адрес, телефон, email, паспортные данные и т.д.
Оператор ПДн – организация или физическое лицо, которое обрабатывает персональные данные.
3. Обязанности сотрудника при работе с ПДн
3.1. Обрабатывать ПДн только в объеме и целях, предусмотренных должностными обязанностями.
3.2. Не передавать ПДн третьим лицам без письменного согласия субъекта ПДн или законного основания.
3.3. Хранить носители с ПДн в закрытых ящиках или сейфах при отсутствии на рабочем месте.
3.4. При работе на компьютере с ПДн блокировать экран при отходе от рабочего места.
3.5. Не оставлять распечатанные документы с ПДн без присмотра.
3.6. Не копировать ПДн на личные носители и не пересылать на личные email-адреса.
4. Запреты
Сотруднику запрещается:
- передавать ПДн по незащищенным каналам связи;
- обсуждать ПДн субъектов в присутствии посторонних лиц;
- использовать ПДн в личных целях;
- хранить ПДн на личных устройствах или в личных облачных сервисах;
- предоставлять доступ к ПДн лицам, не включенным в Перечень допущенных.
5. Обращение с запросами субъектов ПДн
5.1. При обращении физического лица с запросом о предоставлении информации о его ПДн сотрудник обязан в течение одного рабочего дня передать запрос ответственному за обработку ПДн.
5.2. Самостоятельно отвечать на такие запросы без согласования с ответственным лицом запрещается.
6. Действия при инциденте с ПДн
6.1. При обнаружении или подозрении на утечку ПДн сотрудник обязан немедленно уведомить ответственного за обработку ПДн и IT-отдел.
6.2. С 1 сентября 2022 года организация обязана уведомить Роскомнадзор об инциденте в течение 24 часов с момента обнаружения.
7. Ответственность
Нарушение правил обращения с ПДн влечет дисциплинарную, административную и уголовную ответственность в соответствии с законодательством РФ.
- Почему подходит: документ закрывает требования 152-ФЗ и охватывает весь ежедневный цикл работы с персональными данными – от хранения до ответов на запросы субъектов.
- 152-ФЗ – Федеральный закон "О персональных данных", устанавливающий правила обработки и защиты персональных данных в России.
- Роскомнадзор – федеральный орган исполнительной власти, уполномоченный в области защиты персональных данных в РФ.
- Что важно не испортить: раздел об уведомлении Роскомнадзора должен содержать актуальные сроки – они менялись, поэтому перед публикацией нужно сверяться с действующей редакцией закона.
📌 Инструкция по уничтожению документов, содержащих персональные данные
- Сценарий: регулирование порядка уничтожения бумажных и электронных носителей с ПДн по истечении срока хранения или при отзыве согласия субъектом
- Адресат: сотрудники, ответственный за обработку ПДн, IT-отдел
- Задача: исключить возможность восстановления уничтоженных персональных данных
Пример:
ИНСТРУКЦИЯ ПО УНИЧТОЖЕНИЮ ДОКУМЕНТОВ И НОСИТЕЛЕЙ, СОДЕРЖАЩИХ ПЕРСОНАЛЬНЫЕ ДАННЫЕ
ООО "НашаКомпания"
Версия 1.0. Утверждена приказом № __ от __.__.____
1. Основания для уничтожения ПДн
Уничтожение персональных данных производится в случаях:
- достижения целей обработки ПДн;
- истечения срока хранения, установленного законодательством или внутренними документами;
- отзыва субъектом ПДн согласия на обработку;
- вступления в силу судебного решения об уничтожении ПДн;
- выявления незаконно обрабатываемых ПДн.
2. Уничтожение бумажных носителей
2.1. Бумажные документы с ПДн уничтожаются с использованием шредера (измельчителя бумаги) с уровнем секретности не ниже P-4 (частицы не более 2×15 мм).
2.2. Запрещается выбрасывать документы с ПДн в мусорные корзины без предварительного уничтожения.
2.3. Уничтожение производится комиссией в составе не менее двух человек.
2.4. По факту уничтожения составляется Акт об уничтожении персональных данных.
3. Уничтожение электронных носителей и данных в ИС
3.1. Удаление ПДн из информационных систем производится IT-отделом с применением средств гарантированного удаления данных (многократная перезапись или физическое уничтожение носителя).
3.2. Обычное удаление файла или форматирование диска не является достаточным методом уничтожения ПДн.
3.3. Съемные носители (флеш-накопители, CD/DVD) с ПДн уничтожаются физически или с применением специализированного ПО для безвозвратного удаления данных.
4. Документирование
4.1. Каждый факт уничтожения ПДн фиксируется в Журнале уничтожения персональных данных.
4.2. Акт об уничтожении хранится не менее трех лет.
5. Ответственный за исполнение: ответственный за обработку персональных данных ООО "НашаКомпания".
- Почему подходит: процедура уничтожения ПДн – часть обязательного комплекта документов оператора; отсутствие регламента может повлечь штраф при проверке Роскомнадзора.
- Шредер уровня P-4 – измельчитель, уничтожающий бумагу на частицы размером не более 2×15 мм; такой уровень считается достаточным для конфиденциальных документов.
- Что важно не испортить: указание на то, что обычное удаление файла не является уничтожением ПДн, – принципиальный момент, который многие упускают.
Технические инструкции по информационной безопасности для IT-персонала
Технические инструкции адресованы системным администраторам, IT-специалистам и офицерам безопасности. Они отличаются от пользовательских более высокой степенью детализации, конкретными техническими требованиями и четкими процедурами. Читатель таких документов обладает специальными знаниями, поэтому базовые понятия можно не расшифровывать.
📌 Инструкция системного администратора по управлению правами доступа
- Сценарий: регламентация процессов предоставления, изменения и отзыва прав доступа к корпоративным системам
- Адресат: системный администратор, IT-менеджер
- Задача: исключить несанкционированный доступ за счет четкого управления учетными записями
Пример:
ИНСТРУКЦИЯ ПО УПРАВЛЕНИЮ ПРАВАМИ ДОСТУПА К ИНФОРМАЦИОННЫМ СИСТЕМАМ
ООО "НашаКомпания"
Версия 2.1. Утверждена приказом № __ от __.__.____
1. Назначение
Инструкция определяет порядок создания, изменения, блокировки и удаления учетных записей пользователей, а также управления правами доступа к информационным системам ООО "НашаКомпания".
2. Принципы управления доступом
2.1. Принцип минимальных привилегий: пользователю предоставляется только тот уровень доступа, который необходим для выполнения должностных обязанностей.
2.2. Принцип разделения обязанностей: критические операции не должны быть доступны одному пользователю единолично.
2.3. Принцип персональной ответственности: каждый пользователь работает под уникальной учетной записью; групповые или анонимные аккаунты запрещены.
3. Предоставление доступа
3.1. Основанием для создания учетной записи и предоставления прав доступа является заявка, подписанная руководителем подразделения и согласованная с офицером безопасности.
3.2. Заявка подается через корпоративную систему заявок (service@nash-site.ru) не позднее чем за 2 рабочих дня до даты выхода сотрудника.
3.3. Системный администратор создает учетную запись в течение 1 рабочего дня с момента получения согласованной заявки.
3.4. Первоначальный пароль выдается пользователю лично или через защищенный канал. При первом входе пользователь обязан сменить пароль.
4. Изменение прав доступа
4.1. Изменение прав доступа производится на основании заявки руководителя подразделения.
4.2. При переводе сотрудника на другую должность права доступа по предыдущей должности отзываются в день перевода.
5. Блокировка и удаление учетных записей
5.1. Учетная запись блокируется в день увольнения или отстранения сотрудника – не позднее момента прекращения трудовых отношений.
5.2. HR-отдел уведомляет IT-отдел об увольнении сотрудника не позднее чем за 1 рабочий день через заявку в системе или по адресу it@nash-site.ru.
5.3. Учетная запись окончательно удаляется через 30 дней после блокировки при отсутствии оснований для ее восстановления.
6. Привилегированные учетные записи
6.1. Административные учетные записи используются только для выполнения задач, требующих повышенных привилегий.
6.2. Для повседневной работы администраторы используют обычные пользовательские учетные записи.
6.3. Все действия с привилегированных учетных записей фиксируются в журнале аудита.
7. Периодический пересмотр прав доступа
7.1. Не реже одного раза в квартал системный администратор совместно с руководителями подразделений проводит аудит прав доступа.
7.2. Неиспользуемые учетные записи (нет активности более 60 дней) блокируются по результатам аудита.
- Почему подходит: управление доступом – фундаментальный контроль ИБ; документ закрывает полный цикл жизни учетной записи и снижает риск "забытых" активных аккаунтов уволенных сотрудников.
- Принцип минимальных привилегий (Least Privilege) – пользователь получает только те права, которые нужны для его работы, ни больше.
- Привилегированные учетные записи – аккаунты с расширенными правами (администраторы, root-пользователи), способные вносить системные изменения.
- Что важно не испортить: процедура блокировки при увольнении должна быть привязана к конкретному сроку и к взаимодействию с HR – без этого учетные записи уволенных регулярно остаются активными.
📌 Инструкция по реагированию на инциденты информационной безопасности
- Сценарий: документ для IT-специалистов и офицера безопасности, описывающий порядок действий при выявлении инцидента ИБ
- Адресат: IT-отдел, офицер безопасности, руководство
- Задача: минимизировать ущерб от инцидента за счет четкой последовательности действий
Пример:
ИНСТРУКЦИЯ ПО РЕАГИРОВАНИЮ НА ИНЦИДЕНТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ООО "НашаКомпания"
Версия 1.4. Утверждена приказом № __ от __.__.____
1. Назначение
Инструкция определяет порядок обнаружения, регистрации, реагирования и расследования инцидентов информационной безопасности в ООО "НашаКомпания".
2. Классификация инцидентов
| Уровень | Описание | Примеры | Время реакции |
| Критический | Угроза непрерывности бизнеса или массовая утечка данных | Шифровальщик, компрометация домена, утечка ПДн | Немедленно, круглосуточно |
| Высокий | Значительный ущерб, затрагивает несколько систем | Взлом учетной записи администратора, DDoS-атака | В течение 1 часа |
| Средний | Ограниченное воздействие, одна система или пользователь | Заражение одной рабочей станции, фишинговое письмо | В течение 4 часов |
| Низкий | Незначительное событие, требует мониторинга | Многократные неудачные попытки входа, подозрительный трафик | В течение рабочего дня |
3. Порядок действий при инциденте
Шаг 1. Обнаружение и первичная оценка
- Зафиксировать дату, время и описание события.
- Определить предварительный уровень инцидента по таблице классификации.
- Немедленно уведомить офицера безопасности и руководителя IT-отдела.
Шаг 2. Локализация
- Изолировать пораженные системы от сети (отключить от LAN, отключить Wi-Fi).
- Не выключать устройства до сбора данных для расследования (если это не усугубляет ситуацию).
- Заблокировать скомпрометированные учетные записи.
Шаг 3. Сбор данных
- Снять образ оперативной памяти и дисков пораженных систем при необходимости.
- Собрать логи систем, межсетевых экранов, антивируса за период инцидента.
- Зафиксировать все действия по реагированию в Журнале инцидентов.
Шаг 4. Устранение
- Удалить вредоносное ПО или устранить уязвимость, ставшую причиной инцидента.
- Восстановить системы из чистых резервных копий при необходимости.
- Сменить все пароли, которые могли быть скомпрометированы.
Шаг 5. Восстановление и проверка
- Подключить системы к сети только после подтверждения их чистоты.
- Провести усиленный мониторинг в течение 72 часов после восстановления.
Шаг 6. Постинцидентный анализ
- Не позднее 5 рабочих дней после закрытия инцидента подготовить Отчет об инциденте.
- Провести разбор причин и определить меры для предотвращения повторения.
- При необходимости обновить инструкции и технические средства защиты.
4. Уведомление регуляторов
При инцидентах, связанных с утечкой персональных данных, уведомление Роскомнадзора производится в сроки, установленные действующей редакцией 152-ФЗ. Уведомление подготавливает ответственный за обработку ПДн совместно с офицером безопасности.
5. Контакты для эскалации:
Офицер безопасности: security@nash-site.ru, +7 (495) 123-45-67
Руководитель IT-отдела: it@nash-site.ru
- Почему подходит: инструкция по реагированию на инциденты – один из ключевых документов зрелой системы ИБ; без нее при реальном инциденте сотрудники действуют хаотично и усугубляют ущерб.
- Шифровальщик (ransomware) – вредоносная программа, которая шифрует файлы на устройстве и требует выкуп за расшифровку.
- DDoS-атака – массовая атака на сервер или сеть с целью перегрузки и прекращения работы сервиса.
- Что важно не испортить: раздел "Локализация" должен содержать явный запрет выключать устройства до сбора данных – это частая ошибка, уничтожающая доказательную базу.
Инструкции по информационной безопасности для отдельных сценариев
Помимо общих и технических инструкций, на практике часто нужны узкоспециализированные документы под конкретные инструменты или ситуации. Ниже – образцы для двух наиболее востребованных сценариев: работа с мессенджерами и антивирусная защита рабочих станций.
📌 Инструкция по безопасному использованию корпоративных мессенджеров
- Сценарий: регулирование работы с мессенджерами, используемыми для корпоративных коммуникаций
- Адресат: все сотрудники, использующие корпоративные мессенджеры
- Задача: снизить риски утечки информации через мессенджеры и установить правила их использования
Пример:
ИНСТРУКЦИЯ ПО БЕЗОПАСНОМУ ИСПОЛЬЗОВАНИЮ КОРПОРАТИВНЫХ МЕССЕНДЖЕРОВ
ООО "НашаКомпания"
Версия 1.0. Утверждена приказом № __ от __.__.____
1. Допустимые мессенджеры
1.1. Для деловых коммуникаций сотрудники используют только одобренные корпоративные мессенджеры, перечень которых утвержден IT-отделом и размещен на внутреннем портале.
1.2. Передача конфиденциальной информации компании, персональных данных клиентов или сотрудников через личные аккаунты в любых мессенджерах запрещена.
2. Правила работы в корпоративном мессенджере
2.1. Учетная запись в корпоративном мессенджере создается только на корпоративный номер телефона или корпоративный email.
2.2. Передача учетных данных (логин, пароль, коды подтверждения) третьим лицам запрещена.
2.3. Перед отправкой файла убедитесь, что получатель – именно тот человек, которому он предназначен. Ошибочная отправка конфиденциального документа является инцидентом ИБ и подлежит немедленному сообщению в IT-отдел.
2.4. Запрещается добавлять в корпоративные рабочие чаты лиц, не являющихся сотрудниками компании, без разрешения руководителя.
3. Запреты
- Запрещается пересылать из корпоративного мессенджера в личный мессенджер документы, данные клиентов, внутренние переписки.
- Запрещается делать скриншоты конфиденциальных переписок и передавать их третьим лицам.
- Запрещается использовать корпоративный мессенджер для обсуждения вопросов, не связанных с работой, если это нарушает конфиденциальность данных.
4. При увольнении
4.1. Сотрудник обязан сообщить IT-отделу о необходимости удаления корпоративного аккаунта в мессенджере в день увольнения.
4.2. Самостоятельное удаление переписок из корпоративных чатов без разрешения IT-отдела запрещено.
5. Ответственный за вопросы по инструкции: IT-отдел, it@nash-site.ru.
- Почему подходит: мессенджеры стали основным каналом деловых коммуникаций, но при этом остаются одним из главных источников утечек – особенно при ошибочной отправке файлов не тому адресату.
- Что важно не испортить: список одобренных мессенджеров должен быть актуальным и доступным для сотрудников; устаревший перечень делает инструкцию бесполезной.
📌 Инструкция по антивирусной защите рабочих станций
- Сценарий: установка требований к антивирусной защите рабочих мест сотрудников
- Адресат: IT-специалисты (в части настройки) и все сотрудники (в части поведения)
- Задача: обеспечить актуальность и корректную работу антивирусного ПО на всех рабочих станциях
Пример:
ИНСТРУКЦИЯ ПО АНТИВИРУСНОЙ ЗАЩИТЕ РАБОЧИХ СТАНЦИЙ
ООО "НашаКомпания"
Версия 1.2. Утверждена приказом № __ от __.__.____
1. Общие требования
1.1. На всех рабочих станциях, подключенных к корпоративной сети, должно быть установлено антивирусное программное обеспечение, одобренное IT-отделом.
1.2. Самостоятельная установка, удаление или замена антивирусного ПО сотрудниками запрещена.
1.3. Отключение антивирусной защиты, в том числе временное, допускается только по письменному разрешению руководителя IT-отдела и только на время выполнения конкретной технической задачи.
2. Требования к обновлению
2.1. Антивирусные базы данных обновляются автоматически не реже одного раза в сутки.
2.2. IT-отдел контролирует актуальность баз на всех рабочих станциях через централизованную консоль управления.
2.3. Рабочие станции, на которых антивирусные базы не обновлялись более 72 часов, блокируются IT-отделом до устранения проблемы.
3. Проверка и сканирование
3.1. Полное сканирование рабочей станции проводится автоматически не реже одного раза в неделю (в нерабочее время).
3.2. Все файлы, полученные из внешних источников (email, съемные носители, загрузки из интернета), проверяются антивирусом перед открытием.
3.3. Съемные носители проверяются автоматически при подключении к рабочей станции.
4. Действия при обнаружении угрозы
4.1. При обнаружении антивирусом угрозы сотрудник обязан:
- не закрывать уведомление антивируса самостоятельно;
- немедленно сообщить в IT-отдел по телефону +7 (495) 123-45-67 или на адрес it@nash-site.ru;
- не продолжать работу на данной рабочей станции до получения разрешения от IT-отдела.
4.2. IT-специалист проводит проверку, изолирует или лечит пораженную систему и фиксирует инцидент в журнале.
5. Ответственность за соблюдение: руководитель IT-отдела несет ответственность за актуальность антивирусной защиты на всех рабочих станциях организации.
- Почему подходит: инструкция разграничивает зоны ответственности IT-отдела (настройка, мониторинг) и рядовых сотрудников (поведение при обнаружении угрозы), что на практике снижает хаос при инцидентах.
- Централизованная консоль управления – программный инструмент, позволяющий IT-отделу управлять антивирусным ПО на всех устройствах компании из одного места.
- Что важно не испортить: требование "не закрывать уведомление антивируса" – нетривиальное правило, которое нужно прописать явно, иначе большинство сотрудников просто нажмут "Закрыть".
Как создать инструкцию по информационной безопасности. Правила и этапы сборки с примерами
Примеры выше показывают рабочую логику разных форматов инструкций по ИБ. Ниже – не абстрактный совет "напишите хорошо", а разбор того, из каких блоков собирается такой документ и как подставить в каждый блок свое содержание. Блок нужен для того, чтобы вы могли собрать инструкцию под свою задачу, а не скопировать чужую структуру вслепую.
Базовая схема сборки инструкции по ИБ
- Назначение и область применения
- Адресат и круг лиц
- Основные требования и правила (разбитые по тематическим блокам)
- Запреты
- Действия в нештатных ситуациях
- Ответственность
- Контакты и порядок обращений
- Подпись об ознакомлении (для пользовательских инструкций)
Обязательны: блоки 1, 2, 3, 4, 5, 6.
Изменяемы по ситуации: блок 7 (контакты) и блок 8 (подпись).
Таблица блоков инструкции по информационной безопасности
| Блок | Зачем нужен | Что сюда подставляется | Пример заполнения |
| Назначение и область применения | Объяснить, зачем документ существует и на кого распространяется | Цель документа, перечень систем или процессов, круг лиц | Инструкция устанавливает правила работы с корпоративной почтой для всех сотрудников компании |
| Адресат и круг лиц | Исключить размытость: кто именно обязан соблюдать документ | Должности, подразделения, роли или признак (все, кто имеет доступ к системе) | Распространяется на всех сотрудников, имеющих учетную запись в корпоративной почте |
| Основные требования | Описать конкретные правила поведения или технические требования | Пронумерованные правила, разбитые по тематическим подразделам | 3.1. Блокировать экран при отходе от рабочего места. 3.2. Не устанавливать ПО без согласования с IT-отделом |
| Запреты | Явно зафиксировать недопустимые действия | Список конкретных запрещенных действий | Запрещается передавать пароли коллегам. Запрещается хранить рабочие данные на личных устройствах |
| Действия в нештатных ситуациях | Дать четкий алгоритм при инциденте, чтобы не было хаоса | Пошаговые действия: что сделать первым, куда сообщить, чего не делать | При подозрении на вирус: отключить от сети, позвонить в IT-отдел, не пытаться устранить самостоятельно |
| Ответственность | Зафиксировать правовые последствия нарушения | Ссылка на трудовое законодательство, виды ответственности (дисциплинарная, административная, уголовная) | Нарушение влечет дисциплинарную ответственность в соответствии с ТК РФ и внутренними регламентами |
| Контакты | Дать сотруднику понятный путь для обращения | Телефон, email IT-отдела или офицера безопасности | IT-отдел: it@nash-site.ru, +7 (495) 123-45-67 |
| Подпись об ознакомлении | Зафиксировать факт ознакомления сотрудника с документом | Строки для подписи, расшифровки и даты | С инструкцией ознакомлен(а): ___ / ___ / "__" _____ 20__ г. |
Пошаговая сборка на одном кейсе
Сценарий: небольшая компания в сфере бухгалтерского аутсорсинга хочет создать инструкцию по ИБ для своих сотрудников, которые работают с финансовыми данными клиентов и персональными данными физических лиц.
Шаг 1. Назначение и область применения.
Цель – установить правила защиты данных клиентов. Область – все сотрудники, работающие с клиентскими базами и финансовой документацией.
Шаг 2. Адресат.
Бухгалтеры, менеджеры по работе с клиентами, руководители проектов – все, кто имеет доступ к клиентским данным в системе учета.
Шаг 3. Основные требования.
Три тематических подраздела: работа на рабочем месте (блокировка экрана, политика чистого стола), работа с данными клиентов (только корпоративные хранилища, запрет личной почты), парольная политика (сложный пароль, смена каждые 90 дней, 2FA).
Шаг 4. Запреты.
Передача данных клиентов через личные мессенджеры. Хранение отчетов на личных устройствах. Предоставление доступа к системе учета посторонним лицам.
Шаг 5. Действия при инциденте.
При подозрении на утечку данных клиента: немедленно уведомить руководителя и IT-специалиста. Не пытаться скрыть факт. Зафиксировать, какие данные могли быть затронуты.
Шаг 6. Ответственность.
Ссылка на ТК РФ, 152-ФЗ, договорные обязательства перед клиентами.
Шаг 7. Контакты.
Ответственный по ИБ: security@nash-site.ru.
Шаг 8. Подпись.
Стандартная строка для подписи и даты ознакомления.
Готовая собранная версия (фрагмент)
ИНСТРУКЦИЯ ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ДЛЯ СОТРУДНИКОВ
ООО "АутсорсБух"
Версия 1.0. Утверждена приказом № __ от __.__.____
1. Назначение и область применения
Инструкция устанавливает обязательные правила обеспечения информационной безопасности для всех сотрудников ООО "АутсорсБух", имеющих доступ к данным клиентов, финансовой документации и корпоративным информационным системам.
2. Требования к работе с данными клиентов
2.1. Данные клиентов хранятся только на корпоративных ресурсах (сетевые диски, корпоративная система учета). Хранение на личных устройствах и в личных облачных сервисах запрещено.
2.2. Передача данных клиентов осуществляется только через корпоративную почту или защищенные корпоративные каналы. Использование личных мессенджеров и личной почты для этих целей запрещено.
2.3. Отчеты и документы с данными клиентов распечатываются только при служебной необходимости и хранятся в закрытых ящиках.
3. Запреты
- Запрещается передавать данные клиентов третьим лицам без письменного согласования с руководителем.
- Запрещается предоставлять доступ к корпоративной системе учета лицам, не являющимся сотрудниками компании.
- Запрещается хранить пароли в незащищенном виде.
4. Действия при инциденте
При подозрении на утечку данных клиентов сотрудник обязан немедленно уведомить руководителя и ответственного по ИБ: security@nash-site.ru, +7 900 000 00-00. Скрывать факт инцидента запрещено.
5. Ответственность
Нарушение настоящей инструкции влечет дисциплинарную ответственность, а в случаях, предусмотренных законодательством РФ, – административную и уголовную ответственность.
С инструкцией ознакомлен(а): __________________ / __________________ / "__" _________ 20__ г.
Границы применимости и типичные ошибки
Когда схема работает хорошо:
- Документ создается для конкретного адресата с понятной зоной ответственности.
- Требования привязаны к реальным рискам организации, а не скопированы из интернета без адаптации.
- Инструкция регулярно актуализируется при изменении процессов, систем или законодательства.
Где схема ломается:
- Инструкция написана "для галочки" и не отражает реальную работу сотрудников – тогда ее не соблюдают.
- Требования слишком общие ("соблюдать конфиденциальность") без конкретных правил поведения – непонятно, что именно делать.
- Отсутствует раздел "Действия при инциденте" – при реальном событии сотрудники не знают, что делать.
Что нельзя выкидывать:
- Раздел с запретами – без него сотрудник не знает, что именно недопустимо.
- Контакты IT-отдела или ответственного по ИБ – инструкция без них не закрывает цикл действий при инциденте.
- Ссылку на ответственность – без нее документ не имеет правовой силы.
Что нельзя переносить бездумно из чужого примера:
- Конкретные сроки обновления ПО и пароля – они должны соответствовать реальным возможностям вашей IT-инфраструктуры.
- Ссылки на законодательство – нормы меняются, всегда проверяйте актуальную редакцию.
- Контактные данные – в примерах используются рыбы данных, в реальном документе нужны реальные контакты.
Практические советы по составлению инструкций по информационной безопасности
| Аспект | Рекомендация | Типичная ошибка |
| Язык документа | Пишите на понятном языке для своей аудитории: для рядовых сотрудников – без технического жаргона, для IT – с конкретикой | Один документ для всех уровней сотрудников – в итоге непонятен никому |
| Конкретность требований | Каждое требование должно быть проверяемым: "блокировать экран при отходе" – да, "соблюдать осторожность" – нет | Общие формулировки, которые нельзя ни проверить, ни нарушить |
| Актуальность | Пересматривайте инструкцию не реже раза в год или при значимых изменениях в системах и законодательстве | Документ трехлетней давности с устаревшими требованиями и несуществующими контактами |
| Ознакомление | Фиксируйте факт ознакомления подписью сотрудника или электронным подтверждением | Инструкция есть, но никто не знает о ее существовании |
| Структура | Используйте нумерацию разделов и пунктов – это упрощает ссылки на конкретные требования при разборе нарушений | Сплошной текст без структуры, из которого ничего не найти |
| Связка с другими документами | Инструкция должна быть частью системы: политика ИБ → инструкция → журналы и акты | Инструкция существует сама по себе, не связана с другими внутренними документами |
6 практических приемов при создании инструкции по информационной безопасности
- Начинайте с рисков, а не с шаблона. Определите, какие угрозы актуальны именно для вашей организации – утечка данных клиентов, фишинг, использование личных устройств – и пишите под них.
- Разделяйте аудиторию. Инструкция для бухгалтера и инструкция для системного администратора – разные документы. Попытка создать один документ для всех приводит к тому, что он не работает ни для кого.
- Проверяйте каждое требование на выполнимость. Если требование невозможно соблюсти в реальных условиях работы (нет технических средств, нет обучения), оно не будет работать.
- Не забывайте про раздел "Действия при инциденте". Именно этот раздел работает в момент кризиса. Без него инструкция защищает только в спокойное время.
- Используйте нумерацию пунктов. Это позволяет однозначно ссылаться на конкретное требование при разборе нарушения: "нарушен п. 3.2 Инструкции" – понятнее, чем "нарушена политика безопасности".
- Проводите краткий инструктаж при ознакомлении. Сотрудник, который просто расписался в листе ознакомления, не обязательно понял документ. Короткий устный разбор ключевых требований значительно повышает реальное соблюдение.
Еще несколько важных приемов
- Включайте конкретные контакты. "Обратитесь в IT-отдел" – слабо. "Позвоните по номеру +7 (495) 123-45-67 или напишите на it@nash-site.ru" – работает.
- Разграничивайте "должен" и "запрещено". Требования и запреты лучше выносить в отдельные разделы или визуально разделять – это снижает путаницу при чтении.
- Адаптируйте под специфику отрасли. Медицинская организация, интернет-магазин и промышленное предприятие имеют разные ключевые риски – шаблонная инструкция без адаптации закрывает их плохо.
Готовые примеры инструкции по информационной безопасности, собранные в этой статье, показывают, как один и тот же базовый формат адаптируется под разные задачи: пользовательские правила, технические регламенты, работу с персональными данными, удаленный доступ. Структура документа при этом остается узнаваемой – меняется глубина, аудитория и конкретные требования.
Самое важное при работе с образцами инструкций по ИБ – не переносить их содержание буквально, а адаптировать под реальные процессы, системы и риски своей организации. Хорошая инструкция по информационной безопасности – это не формальный документ для проверяющих, а рабочий инструмент, который сотрудники реально читают и соблюдают.
