# Перечень ИСПДн: образец, инструкция пользователя и матрица доступа

> Источник: https://ftex.pro/blog/perechen-ispdn/  
> Опубликовано: 07.10.2026  
> Раздел: Персональные данные  
> Описание: Перечень ИСПДн: что считать информационной системой по п. 10 ст. 3 ФЗ-152, образец таблицы, инструкция пользователя и матрица доступа по ПП № 1119 и 687.  
> Издатель: Финансово-технологический институт (ftex.pro), образовательная лицензия Л035-01270-29/05390506

**Коротко: документа с названием «перечень ИСПДн» в 152-ФЗ и в постановлении № 1119 мы не нашли, это практика.** Но информационная система персональных данных в законе есть (п. 10 ст. 3), и защиту по постановлению № 1119 строят для каждой такой системы. Поэтому оператору удобно иметь список: что за система, чьи данные в ней, где она стоит и кто к ней допущен. Ниже образец таблицы, а также разделы про инструкцию пользователя и матрицу доступа, которые к этому списку обычно прилагают.

 

Документы по 152-ФЗ под ваш бизнес · правки до вашего «принимаю» · состав называем до оплаты

 

Перечни, инструкции, журналы и положение под ваши системы — 9 900 ₽

 

[Собрать пакет под мой бизнес →](https://ftex.pro/dokumenty-po-152-fz/)

 

**Главное**

 

- **ИСПДн — это совокупность баз данных с персональными данными и технологий и технических средств, которые их обрабатывают** (п. 10 ст. 3).
- **Закон не требует «перечня ИСПДн» по названию.** Требует другое: защищать данные в системе по уровню защищённости (постановление № 1119).
- **Перечень — наша рекомендация.** Он помогает определить уровень по каждой системе и ответить на вопросы уведомления и проверяющих.
- **Инструкция пользователя** закрывает ознакомление работников с правилами (п. 6 ч. 1 ст. 18.1). Название документа закон не задаёт.
- **Матрица доступа** — удобная форма для документа с перечнем лиц, доступ которых необходим для работы (п. 13 «в» постановления № 1119).
- **Модель угроз в эту статью не входит,** это отдельная тема.

 

## Что считать информационной системой

 

По п. 10 ст. 3 ФЗ-152 это совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. Автоматизированной называется обработка «с помощью средств вычислительной техники» (п. 4 ст. 3). По нашему прочтению, под определение попадают не только 1С и CRM, но и база заявок на сайте и таблица с данными клиентов на компьютере бухгалтера. Облачный сервис тоже система: если он обрабатывает данные по вашему поручению, договор с ним должен предусматривать обязанность обеспечить безопасность данных (п. 3 постановления № 1119).

 

Бумажные журналы и картотеки, по нашему прочтению, в перечень ИСПДн не входят. Для них действует постановление № 687: по каждой категории данных нужно определить места хранения и перечень лиц, имеющих доступ (п. 13).

 

## Зачем нужен перечень: уровни защищённости

 

Постановление № 1119 устанавливает четыре уровня защищённости (п. 8). Уровень зависит от типа актуальных угроз, категорий данных и числа субъектов (п. 9–12). Условия сформулированы «для информационной системы», поэтому по нашему прочтению уровень определяют для каждой системы отдельно. Тип угроз определяет оператор (п. 6 и 7). Требования растут по ступеням:

 

| Уровень | Что добавляется к требованиям | Пункт ПП № 1119 |
|---|---|---|
| 4-й | Режим помещений, сохранность носителей, документ с перечнем лиц с доступом, средства защиты с оценкой соответствия, когда они нужны для нейтрализации актуальных угроз | 13 |
| 3-й | К требованиям 4-го: назначено лицо, ответственное за безопасность данных в системе | 14 |
| 2-й | К требованиям 3-го: доступ к электронному журналу сообщений только у тех, кому он нужен для работы | 15 |
| 1-й | К требованиям 2-го: автоматическая регистрация изменения полномочий по доступу, подразделение или функции по обеспечению безопасности | 16 |

 

Для небольшой системы с обычными данными (не специальные и не биометрические), угрозами 3-го типа и менее чем 100 000 субъектов, не являющихся работниками оператора, п. 12 называет 4-й уровень. Как определить тип угроз и уровень для вашей системы, решает оператор, мы делаем это документом: [модель угроз персональных данных](https://ftex.pro/model-ugroz-pdn/) от 12 900 ₽.

 

## Образец таблицы перечня ИСПДн

 

Образец, подставьте свои данные. Организация и системы вымышленные.

 

| Система | Цель | Чьи данные | Категории | Где размещена | Обработка по поручению | Уровень |
|---|---|---|---|---|---|---|
| Кадровая программа | Кадровый учёт, расчёт зарплаты | Работники | Иные (проверьте, нет ли специальных) | Сервер в офисе ООО «Образец» | Нет | Определён документом от __.__.20__ |
| CRM «Клиенты» | Заключение и исполнение договоров | Клиенты | Иные | Облачный сервис, серверы в России | Провайдер сервиса, договор от __.__.20__ | Определён документом от __.__.20__ |
| База заявок сайта | Обработка обращений | Посетители сайта | Иные | Хостинг в России | Хостинг-провайдер, договор от __.__.20__ | Определён документом от __.__.20__ |
| Таблица расчётов бухгалтера | Бухгалтерский учёт | Работники, контрагенты-физлица | Иные | Компьютер бухгалтера | Нет | Определён документом от __.__.20__ |

 

Колонку «Где размещена» заполняйте внимательно: сведения о месте нахождения базы данных граждан России входят в уведомление (п. 10.1 ч. 3 ст. 22), а запись и хранение их данных, с исключениями, должны идти в базах на территории России (ч. 5 ст. 18). Если сервис зарубежный, прочитайте [об уведомлении о трансграничной передаче](https://ftex.pro/blog/uvedomlenie-o-transgranichnoj-peredache/). Данные по целям и категориям берите из [перечня персональных данных](https://ftex.pro/blog/perechen-personalnyh-dannyh/).

 

## Как составить перечень

 

- **Обойдите отделы** и спросите, где лежат данные людей: программы, облака, почта, таблицы, мессенджеры.
- **Запишите систему и цель.** Одна цель может обслуживаться несколькими системами, это нормально.
- **Отметьте поручения.** Кому вы передали обработку и есть ли договор (п. 3 постановления № 1119).
- **Назначьте ответственного за систему** и укажите, где хранится документ об уровне защищённости.
- **Утвердите приказом и пересматривайте** при появлении новой программы или смене хостинга. Приказ и сроки пересмотра закон не называет, это практика.

 

## Инструкция пользователя ИСПДн

 

Закон документа с таким названием не требует. Но он обязывает знакомить работников, которые непосредственно обрабатывают данные, с законодательством, политикой и локальными актами и (или) обучать их (п. 6 ч. 1 ст. 18.1). Операторы и получившие доступ лица обязаны не раскрывать данные третьим лицам без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7). Инструкция — короткий способ донести это до работника. Структура ниже наша рекомендация:

 

| Раздел | Что записать |
|---|---|
| Допуск | Доступ выдаётся по должности и только к тем системам, которые нужны для работы. Учётная запись личная, передавать её нельзя |
| Пароли и рабочее место | Требования к паролям, блокировка экрана, запрет оставлять документы и носители без присмотра |
| Работа с данными | Не копировать данные на личные устройства и в личные мессенджеры, не выгружать больше нужного, не передавать третьим лицам без основания |
| Носители | Использовать только учтённые носители, о правилах учёта: [журнал учёта носителей](https://ftex.pro/blog/zhurnal-ucheta-nositelej-pdn/) |
| Если что-то пошло не так | Потеряли носитель, переслали не тому, заметили чужой доступ: сообщить ответственному в тот же день. У оператора на уведомление Роскомнадзора об инциденте 24 часа (ч. 3.1 ст. 21), подробнее в статье [об утечке за 24 часа](https://ftex.pro/blog/utechka-personalnyh-dannyh-24-chasa/) |
| Ответственность | Ссылка на дисциплинарную и иную ответственность за нарушение (ст. 90 ТК для данных работников) |

 

С инструкцией знакомят под роспись; для документов о порядке обработки данных работников такое ознакомление требует п. 8 ст. 86 ТК. Дополнительно многие берут [обязательство о неразглашении](https://ftex.pro/blog/obyazatelstvo-o-nerazglashenii-pdn/). Инструкция адресована работнику, а инструкция ответственного — другой документ: [инструкция ответственного](https://ftex.pro/blog/instrukciya-otvetstvennogo-za-obrabotku-pdn/).

 

## Матрица доступа

 

Закон прямо называет установление правил доступа к данным в информационной системе и регистрацию действий с ними среди мер защиты (п. 8 ч. 2 ст. 19). Постановление № 1119 для всех уровней требует, чтобы руководитель утвердил документ с перечнем лиц, доступ которых к данным в системе необходим для служебных (трудовых) обязанностей (п. 13 «в»). На первом уровне добавляется автоматическая регистрация изменения полномочий (п. 16 «а»). Форму документа закон не задаёт; матрица «роль на систему» — наша рекомендация. Образец:

 

| Роль | Кадровая программа | CRM «Клиенты» | База заявок сайта |
|---|---|---|---|
| Руководитель | Чтение | Чтение | Чтение |
| Специалист по кадрам | Чтение, изменение, выгрузка | Нет доступа | Нет доступа |
| Бухгалтер | Чтение данных для расчёта | Нет доступа | Нет доступа |
| Менеджер по продажам | Нет доступа | Чтение и изменение своих клиентов | Чтение |
| Системный администратор | Техническое обслуживание, чтение содержимого по заявке | То же | То же |
| Ответственный за ПДн | Чтение для контроля | Чтение для контроля | Чтение для контроля |

 

Как вести матрицу: основание доступа — должность и задача, а не удобство. При увольнении или переводе доступ закрывают в тот же день (практика). Матрицу пересматривают при смене ролей и новых системах. Для бумажных документов вместо матрицы в постановлении № 687 стоит требование определить места хранения и перечень лиц (п. 13).

 

## Типичные ошибки

 

- **В перечне только «1С».** Забыты почта, CRM, облачный диск и таблицы на личных компьютерах.
- **Нет уровня защищённости.** Систему записали, а документ об уровне не составили.
- **Нет договоров с обработчиками.** Если хостинг или облако обрабатывают данные по вашему поручению (по нашему прочтению, это зависит от услуги), с ними нужен договор.
- **Общие учётные записи.** Тогда в матрице одна роль, а в жизни пять человек.
- **Матрица не обновляется** после ухода сотрудников. Об ответственности работника: [за разглашение](https://ftex.pro/blog/otvetstvennost-rabotnika-za-razglashenie-pdn/).

 

## Как мы помогаем

 

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Сразу о границах: настраивать защиту, ставить средства защиты информации и проводить аттестацию мы не берём, на это нужна лицензия ФСТЭК.

 

- **[Документы по 152-ФЗ](https://ftex.pro/dokumenty-po-152-fz/) — 9 900 ₽.** Политика, согласия, положение, приказы, перечни, инструкции и журналы по вашей ситуации. Правки включены, пока вы не примете пакет. Точный состав называем до оплаты.
- **[Модель угроз и уровень защищённости](https://ftex.pro/model-ugroz-pdn/) — от 12 900 ₽.** Только документы: тип угроз, уровень по постановлению № 1119 и перечень мер. Внедрять меры можно силами вашего ИТ.
- **[Сопровождение](https://ftex.pro/soprovozhdenie-po-pdn/) — 1 990 ₽ в месяц или 19 900 ₽ в год.** Обновляем документы при смене систем и закона. Все [услуги ФТИ](https://ftex.pro/uslugi/): пакет «Старт» 14 900 ₽ вместо 18 700 ₽.

 

Консультация бесплатная · скажем честно, что вам нужно, а что нет

 

Составим перечень систем и разберём, где у вас данные

 

[Узнать, что нужно мне →](https://ftex.pro/dokumenty-po-152-fz/)

 

Остальной комплект и что в нём обязательно: хаб [документы по персональным данным](https://ftex.pro/blog/dokumenty-po-personalnym-dannym/), положение [о защите данных](https://ftex.pro/blog/polozhenie-o-zashchite-personalnyh-dannyh/), хаб [политика обработки](https://ftex.pro/blog/politika-obrabotki-personalnyh-dannyh/).

 

## Нормативные документы

 

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

 

- [Федеральный закон № 152-ФЗ, статья 3 — основные понятия, пункты 4 и 10](https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/)
- [Федеральный закон № 152-ФЗ, статья 19 — меры по обеспечению безопасности, часть 2](https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/)
- [Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, ознакомление работников](https://www.consultant.ru/document/cons_doc_LAW_61801/eeeebe22bf738fd65bb66b95cc278911ae2525ee/)
- [Федеральный закон № 152-ФЗ, статья 7 — конфиденциальность персональных данных](https://www.consultant.ru/document/cons_doc_LAW_61801/a15bab6050028753706f22c32fe60627a7be79f9/)
- [Федеральный закон № 152-ФЗ, статья 22 — уведомление, сведения о базе данных и о защите](https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/)
- [Федеральный закон № 152-ФЗ, статья 18 — часть 5 о базах данных на территории России](https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/)
- [Федеральный закон № 152-ФЗ, статья 21 — часть 3.1 об инцидентах](https://www.consultant.ru/document/cons_doc_LAW_61801/d3fe43a7c415353b17faab255bc0de92bea127da/)
- [Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите данных в информационных системах, уровни защищённости](https://base.garant.ru/70252506/)
- [Постановление Правительства РФ от 15.09.2008 № 687 — обработка данных без использования средств автоматизации](https://base.garant.ru/193875/)
- [Трудовой кодекс РФ, статья 86 — обработка данных работника, ознакомление под роспись](https://www.consultant.ru/document/cons_doc_LAW_34683/01f6157ff985b3cbbb50eb88fa6e26f30202532a/)
- [Трудовой кодекс РФ, статья 90 — ответственность за нарушение норм о данных работника](https://www.consultant.ru/document/cons_doc_LAW_34683/c3be99092ba7b07c366a06164bb2b2b135873064/)

## Частые вопросы

### Обязателен ли перечень ИСПДн?

Документа с таким названием в 152-ФЗ и постановлении № 1119 мы не нашли. Закон требует защищать данные в информационной системе по уровню защищённости. Список систем помогает это делать, но это практика, а не норма.

### Что такое ИСПДн простыми словами?

По п. 10 ст. 3 ФЗ-152 это совокупность баз данных с персональными данными и технологий и технических средств, которые их обрабатывают. Например, кадровая программа, CRM, база заявок на сайте.

### Чем перечень ИСПДн отличается от перечня персональных данных?

Перечень персональных данных отвечает на вопрос, какие данные и для каких целей. Перечень ИСПДн отвечает на вопрос, в каких системах они обрабатываются. Подробнее в статье о перечне персональных данных.

### Для каждой ли системы нужен свой уровень защищённости?

Условия уровней в постановлении № 1119 сформулированы для информационной системы (п. 9–12), поэтому по нашему прочтению уровень определяют для каждой системы. Тип угроз определяет оператор (п. 6 и 7).

### Нужна ли инструкция пользователя ИСПДн?

Документ с таким названием закон не требует. Но оператор знакомит работников, обрабатывающих данные, с законодательством и локальными актами и (или) обучает их (п. 6 ч. 1 ст. 18.1). Инструкция — удобная форма, структура наша рекомендация.

### Что обязательно в матрице доступа?

Форму закон не задаёт. По п. 13 «в» постановления № 1119 руководитель утверждает документ с перечнем лиц, которым доступ нужен для служебных обязанностей. Матрица «роль на систему» это показывает наглядно, это наша рекомендация.

### Кто утверждает перечень ИСПДн и матрицу доступа?

Перечень лиц с доступом по постановлению № 1119 утверждает руководитель оператора (п. 13 «в»). Для перечня систем закон лица не называет, обычно его утверждает приказом тот же руководитель, это практика.

### Что делать, если данные хранятся в облаке или на хостинге?

Облако или хостинг записывают в перечень как систему, указывают провайдера и, если он обрабатывает данные по вашему поручению (это зависит от услуги, по нашему прочтению), проверяют договор: он должен предусматривать обязанность обеспечить безопасность данных (п. 3 постановления № 1119). Место размещения баз граждан России важно по ч. 5 ст. 18.

### Входят ли бумажные журналы в перечень ИСПДн?

По нашему прочтению нет: это обработка без средств автоматизации. Для неё действует постановление № 687: по каждой категории данных определяют места хранения и перечень лиц с доступом (п. 13).

### Составит ли ФТИ перечень ИСПДн, инструкцию и матрицу доступа, и сколько это стоит?

Перечни, инструкции и журналы входят в пакет «Документы по 152-ФЗ» за 9 900 ₽: сначала разбираем ваши системы и людей, состав называем до оплаты, правки включены. Определение типа угроз и уровня защищённости — отдельно, от 12 900 ₽. Настройку защиты и средства защиты информации мы не берём.