Персональные данные

Перечень ИСПДн: образец, инструкция пользователя и матрица доступа

Редактор ФТИ 7 октября 2026 9 мин чтения

Коротко

Закон не называет «перечень ИСПДн» отдельным документом, но защита по постановлению № 1119 строится для каждой информационной системы. Разбираем, что считать ИСПДн, как составить таблицу, что писать в инструкции пользователя и как оформить матрицу доступа.

Коротко: документа с названием «перечень ИСПДн» в 152-ФЗ и в постановлении № 1119 мы не нашли, это практика. Но информационная система персональных данных в законе есть (п. 10 ст. 3), и защиту по постановлению № 1119 строят для каждой такой системы. Поэтому оператору удобно иметь список: что за система, чьи данные в ней, где она стоит и кто к ней допущен. Ниже образец таблицы, а также разделы про инструкцию пользователя и матрицу доступа, которые к этому списку обычно прилагают.

Документы по 152-ФЗ под ваш бизнес · правки до вашего «принимаю» · состав называем до оплаты

Перечни, инструкции, журналы и положение под ваши системы — 9 900 ₽

Собрать пакет под мой бизнес →

Главное

ИСПДн — это совокупность баз данных с персональными данными и технологий и технических средств, которые их обрабатывают (п. 10 ст. 3).
Закон не требует «перечня ИСПДн» по названию. Требует другое: защищать данные в системе по уровню защищённости (постановление № 1119).
Перечень — наша рекомендация. Он помогает определить уровень по каждой системе и ответить на вопросы уведомления и проверяющих.
Инструкция пользователя закрывает ознакомление работников с правилами (п. 6 ч. 1 ст. 18.1). Название документа закон не задаёт.
Матрица доступа — удобная форма для документа с перечнем лиц, доступ которых необходим для работы (п. 13 «в» постановления № 1119).
Модель угроз в эту статью не входит, это отдельная тема.

Что считать информационной системой

По п. 10 ст. 3 ФЗ-152 это совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. Автоматизированной называется обработка «с помощью средств вычислительной техники» (п. 4 ст. 3). По нашему прочтению, под определение попадают не только 1С и CRM, но и база заявок на сайте и таблица с данными клиентов на компьютере бухгалтера. Облачный сервис тоже система: если он обрабатывает данные по вашему поручению, договор с ним должен предусматривать обязанность обеспечить безопасность данных (п. 3 постановления № 1119).

Бумажные журналы и картотеки, по нашему прочтению, в перечень ИСПДн не входят. Для них действует постановление № 687: по каждой категории данных нужно определить места хранения и перечень лиц, имеющих доступ (п. 13).

Зачем нужен перечень: уровни защищённости

Постановление № 1119 устанавливает четыре уровня защищённости (п. 8). Уровень зависит от типа актуальных угроз, категорий данных и числа субъектов (п. 9–12). Условия сформулированы «для информационной системы», поэтому по нашему прочтению уровень определяют для каждой системы отдельно. Тип угроз определяет оператор (п. 6 и 7). Требования растут по ступеням:

Уровень	Что добавляется к требованиям	Пункт ПП № 1119
4-й	Режим помещений, сохранность носителей, документ с перечнем лиц с доступом, средства защиты с оценкой соответствия, когда они нужны для нейтрализации актуальных угроз	13
3-й	К требованиям 4-го: назначено лицо, ответственное за безопасность данных в системе	14
2-й	К требованиям 3-го: доступ к электронному журналу сообщений только у тех, кому он нужен для работы	15
1-й	К требованиям 2-го: автоматическая регистрация изменения полномочий по доступу, подразделение или функции по обеспечению безопасности	16

Для небольшой системы с обычными данными (не специальные и не биометрические), угрозами 3-го типа и менее чем 100 000 субъектов, не являющихся работниками оператора, п. 12 называет 4-й уровень. Как определить тип угроз и уровень для вашей системы, решает оператор, мы делаем это документом: модель угроз персональных данных от 12 900 ₽.

Образец таблицы перечня ИСПДн

Образец, подставьте свои данные. Организация и системы вымышленные.

Система	Цель	Чьи данные	Категории	Где размещена	Обработка по поручению	Уровень
Кадровая программа	Кадровый учёт, расчёт зарплаты	Работники	Иные (проверьте, нет ли специальных)	Сервер в офисе ООО «Образец»	Нет	Определён документом от __.__.20__
CRM «Клиенты»	Заключение и исполнение договоров	Клиенты	Иные	Облачный сервис, серверы в России	Провайдер сервиса, договор от __.__.20__	Определён документом от __.__.20__
База заявок сайта	Обработка обращений	Посетители сайта	Иные	Хостинг в России	Хостинг-провайдер, договор от __.__.20__	Определён документом от __.__.20__
Таблица расчётов бухгалтера	Бухгалтерский учёт	Работники, контрагенты-физлица	Иные	Компьютер бухгалтера	Нет	Определён документом от __.__.20__

Колонку «Где размещена» заполняйте внимательно: сведения о месте нахождения базы данных граждан России входят в уведомление (п. 10.1 ч. 3 ст. 22), а запись и хранение их данных, с исключениями, должны идти в базах на территории России (ч. 5 ст. 18). Если сервис зарубежный, прочитайте об уведомлении о трансграничной передаче. Данные по целям и категориям берите из перечня персональных данных.

Как составить перечень

Обойдите отделы и спросите, где лежат данные людей: программы, облака, почта, таблицы, мессенджеры.
Запишите систему и цель. Одна цель может обслуживаться несколькими системами, это нормально.
Отметьте поручения. Кому вы передали обработку и есть ли договор (п. 3 постановления № 1119).
Назначьте ответственного за систему и укажите, где хранится документ об уровне защищённости.
Утвердите приказом и пересматривайте при появлении новой программы или смене хостинга. Приказ и сроки пересмотра закон не называет, это практика.

Инструкция пользователя ИСПДн

Закон документа с таким названием не требует. Но он обязывает знакомить работников, которые непосредственно обрабатывают данные, с законодательством, политикой и локальными актами и (или) обучать их (п. 6 ч. 1 ст. 18.1). Операторы и получившие доступ лица обязаны не раскрывать данные третьим лицам без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7). Инструкция — короткий способ донести это до работника. Структура ниже наша рекомендация:

Раздел	Что записать
Допуск	Доступ выдаётся по должности и только к тем системам, которые нужны для работы. Учётная запись личная, передавать её нельзя
Пароли и рабочее место	Требования к паролям, блокировка экрана, запрет оставлять документы и носители без присмотра
Работа с данными	Не копировать данные на личные устройства и в личные мессенджеры, не выгружать больше нужного, не передавать третьим лицам без основания
Носители	Использовать только учтённые носители, о правилах учёта: журнал учёта носителей
Если что-то пошло не так	Потеряли носитель, переслали не тому, заметили чужой доступ: сообщить ответственному в тот же день. У оператора на уведомление Роскомнадзора об инциденте 24 часа (ч. 3.1 ст. 21), подробнее в статье об утечке за 24 часа
Ответственность	Ссылка на дисциплинарную и иную ответственность за нарушение (ст. 90 ТК для данных работников)

С инструкцией знакомят под роспись; для документов о порядке обработки данных работников такое ознакомление требует п. 8 ст. 86 ТК. Дополнительно многие берут обязательство о неразглашении. Инструкция адресована работнику, а инструкция ответственного — другой документ: инструкция ответственного.

Матрица доступа

Закон прямо называет установление правил доступа к данным в информационной системе и регистрацию действий с ними среди мер защиты (п. 8 ч. 2 ст. 19). Постановление № 1119 для всех уровней требует, чтобы руководитель утвердил документ с перечнем лиц, доступ которых к данным в системе необходим для служебных (трудовых) обязанностей (п. 13 «в»). На первом уровне добавляется автоматическая регистрация изменения полномочий (п. 16 «а»). Форму документа закон не задаёт; матрица «роль на систему» — наша рекомендация. Образец:

Роль	Кадровая программа	CRM «Клиенты»	База заявок сайта
Руководитель	Чтение	Чтение	Чтение
Специалист по кадрам	Чтение, изменение, выгрузка	Нет доступа	Нет доступа
Бухгалтер	Чтение данных для расчёта	Нет доступа	Нет доступа
Менеджер по продажам	Нет доступа	Чтение и изменение своих клиентов	Чтение
Системный администратор	Техническое обслуживание, чтение содержимого по заявке	То же	То же
Ответственный за ПДн	Чтение для контроля	Чтение для контроля	Чтение для контроля

Как вести матрицу: основание доступа — должность и задача, а не удобство. При увольнении или переводе доступ закрывают в тот же день (практика). Матрицу пересматривают при смене ролей и новых системах. Для бумажных документов вместо матрицы в постановлении № 687 стоит требование определить места хранения и перечень лиц (п. 13).

Типичные ошибки

В перечне только «1С». Забыты почта, CRM, облачный диск и таблицы на личных компьютерах.
Нет уровня защищённости. Систему записали, а документ об уровне не составили.
Нет договоров с обработчиками. Если хостинг или облако обрабатывают данные по вашему поручению (по нашему прочтению, это зависит от услуги), с ними нужен договор.
Общие учётные записи. Тогда в матрице одна роль, а в жизни пять человек.
Матрица не обновляется после ухода сотрудников. Об ответственности работника: за разглашение.

Как мы помогаем

ФТИ — учебный центр, персональными данными мы занимаемся для себя каждый день. Услуги ведёт юрист, работаем дистанционно по всей России. Сразу о границах: настраивать защиту, ставить средства защиты информации и проводить аттестацию мы не берём, на это нужна лицензия ФСТЭК.

Документы по 152-ФЗ — 9 900 ₽. Политика, согласия, положение, приказы, перечни, инструкции и журналы по вашей ситуации. Правки включены, пока вы не примете пакет. Точный состав называем до оплаты.
Модель угроз и уровень защищённости — от 12 900 ₽. Только документы: тип угроз, уровень по постановлению № 1119 и перечень мер. Внедрять меры можно силами вашего ИТ.
Сопровождение — 1 990 ₽ в месяц или 19 900 ₽ в год. Обновляем документы при смене систем и закона. Все услуги ФТИ: пакет «Старт» 14 900 ₽ вместо 18 700 ₽.

Консультация бесплатная · скажем честно, что вам нужно, а что нет

Составим перечень систем и разберём, где у вас данные

Узнать, что нужно мне →

Остальной комплект и что в нём обязательно: хаб документы по персональным данным, положение о защите данных, хаб политика обработки.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Обязателен ли перечень ИСПДн?

Документа с таким названием в 152-ФЗ и постановлении № 1119 мы не нашли. Закон требует защищать данные в информационной системе по уровню защищённости. Список систем помогает это делать, но это практика, а не норма.

Что такое ИСПДн простыми словами?

По п. 10 ст. 3 ФЗ-152 это совокупность баз данных с персональными данными и технологий и технических средств, которые их обрабатывают. Например, кадровая программа, CRM, база заявок на сайте.

Чем перечень ИСПДн отличается от перечня персональных данных?

Перечень персональных данных отвечает на вопрос, какие данные и для каких целей. Перечень ИСПДн отвечает на вопрос, в каких системах они обрабатываются. Подробнее в статье о перечне персональных данных.

Для каждой ли системы нужен свой уровень защищённости?

Условия уровней в постановлении № 1119 сформулированы для информационной системы (п. 9–12), поэтому по нашему прочтению уровень определяют для каждой системы. Тип угроз определяет оператор (п. 6 и 7).

Нужна ли инструкция пользователя ИСПДн?

Документ с таким названием закон не требует. Но оператор знакомит работников, обрабатывающих данные, с законодательством и локальными актами и (или) обучает их (п. 6 ч. 1 ст. 18.1). Инструкция — удобная форма, структура наша рекомендация.

Что обязательно в матрице доступа?

Форму закон не задаёт. По п. 13 «в» постановления № 1119 руководитель утверждает документ с перечнем лиц, которым доступ нужен для служебных обязанностей. Матрица «роль на систему» это показывает наглядно, это наша рекомендация.

Кто утверждает перечень ИСПДн и матрицу доступа?

Перечень лиц с доступом по постановлению № 1119 утверждает руководитель оператора (п. 13 «в»). Для перечня систем закон лица не называет, обычно его утверждает приказом тот же руководитель, это практика.

Что делать, если данные хранятся в облаке или на хостинге?

Облако или хостинг записывают в перечень как систему, указывают провайдера и, если он обрабатывает данные по вашему поручению (это зависит от услуги, по нашему прочтению), проверяют договор: он должен предусматривать обязанность обеспечить безопасность данных (п. 3 постановления № 1119). Место размещения баз граждан России важно по ч. 5 ст. 18.

Входят ли бумажные журналы в перечень ИСПДн?

По нашему прочтению нет: это обработка без средств автоматизации. Для неё действует постановление № 687: по каждой категории данных определяют места хранения и перечень лиц с доступом (п. 13).

Составит ли ФТИ перечень ИСПДн, инструкцию и матрицу доступа, и сколько это стоит?

Перечни, инструкции и журналы входят в пакет «Документы по 152-ФЗ» за 9 900 ₽: сначала разбираем ваши системы и людей, состав называем до оплаты, правки включены. Определение типа угроз и уровня защищённости — отдельно, от 12 900 ₽. Настройку защиты и средства защиты информации мы не берём.