В современных условиях‚ где информационная безопасность и защита персональных данных выходят на первый план‚ журнал учета машинных носителей становится ключевым документом для любой организации‚ работающей с конфиденциальной информацией. Этот журнал — не просто формальность‚ а важнейший инструмент контроля‚ учета и обеспечения безопасности данных.

Что такое журнал учета машинных носителей и зачем он нужен?

Машинный носитель информации — это любое устройство или материал‚ предназначенное для записи‚ хранения и обработки информации в машиночитаемом виде (жесткие диски‚ SSD‚ флеш-накопители‚ DVD‚ ленты и т.д.).

Журнал учета машинных носителей — это документ (чаще всего в виде бумажной или электронной книги)‚ где фиксируются все факты появления‚ перемещения‚ установки‚ изъятия и уничтожения таких носителей‚ особенно если на них хранятся персональные данные (ПДн) или конфиденциальная информация.

Главные цели ведения журнала:

• Контроль и отслеживание: Какие носители‚ где‚ когда и кому были выданы/установлены.
• Обеспечение безопасности: Предотвращение утечек через контроль за физическим доступом к носителям.
• Аудирование: Возможность быстро восстановить цепочку событий при инциденте.
• Соответствие законодательству: Выполнение требований 152-ФЗ «О персональных данных»‚ приказов ФСТЭК и ФСБ.
• Учет для инвентаризации: Четкое знание парка носителей в организации.

Нормативная база: что требует закон?

Обязательность ведения журнала обусловлена не одним ГОСТом‚ а комплексом нормативных актов:

1. Федеральный закон № 152-ФЗ «О персональных данных»: Требует обеспечения безопасности ПДн‚ что включает учет носителей.
2. Приказ ФСТЭК России от № 21 (и актуальные редакции): Прямо предписывает вести учет машинных носителей ПДн. В пункте 4.3.4 указано‚ что учет встроенных носителей может вестись в журналах материально-технического учета‚ но для съемных носителей требуется отдельный учет.
3. Приказы отраслевых ведомств: Например‚ Приказ МЧС России от № 684 утверждает рекомендуемый образец журнала учета машинных носителей информации и машинных документов (Форма 25) для подведомственных организаций.
4. Внутренние инструкции: Организации на основе нормативов разрабатывают собственные регламенты (например‚ «Инструкция по обработке и защите персональных данных»)‚ где утверждают конкретную форму журнала и порядок его ведения.

Форма журнала: что такое «Форма 25» и другие варианты

Наиболее распространенным и рекомендованным образцом является Журнал учета машинных носителей информации и машинных документов (Форма 25). Он универсален и подходит как для носителей ПДн‚ так и для других конфиденциальных данных.

Структура и графы Формы 25

Типовая форма включает следующие обязательные столбцы:

• Дата и регистрационный номер: Порядковый номер записи.
• Вид машинного носителя: HDD‚ SSD‚ флешка‚ DVD‚ лента и т.д.
• Заводской (серийный) номер носителя: Уникальный идентификатор.
• Учетный номер носителя: Внутренний номер‚ присваиваемый организацией.
• Наименование (модель) носителя и его объем.
• Учетный номер средства вычислительной техники (СВТ)‚ в которое носитель установлен (например‚ номер компьютера или сервера).
• Место эксплуатации (помещение).
• ФИО сотрудника‚ имеющего допуск к носителю/устройству (ответственный).
• Дата выдачи носителя сотруднику (если это съемный носитель).
• Дата и причина возврата/изъятия.
• Гриф секретности (конфиденциальности) информации‚ хранящейся на носителе.
• Отметка об уничтожении (способ‚ дата‚ ответственные лица‚ подписи).

Виды журналов для разных целей

Практика может предполагать ведение нескольких специализированных журналов:

1. Журнал учета стационарно установленных носителей: Для жестких дисков‚ встроенных в компьютеры и серверы. Учитывается в составе СВТ.
2. Журнал учета съемных машинных носителей ПДн: Для флешек‚ внешних HDD‚ карт памяти. Самый критичный с точки зрения контроля.
3. Журнал учета отчуждаемых машинных носителей ПДн (Приложение 9 к типовым инструкциям): Фиксирует все случаи передачи носителей (продажа‚ списание‚ передача на утилизацию) с особой тщательностью.

Кто и как должен вести журнал: практические рекомендации

Ответственные лица

Ведение журнала обычно возлагается на:

• Службу информационной безопасности (СИБ) или инженера по защите информации.
• Администратора информационных систем.
• Материально-ответственных лиц (в части учета носителей как имущества).

Ключевые правила ведения

1. Немедленная регистрация: Каждый новый носитель (даже купленный в магазине) должен быть зарегистрирован в журнале до первого использования для работы с конфиденциальными данными.
2. Идентификация: На каждый носитель (особенно съемный) наносится уникальный инвентарный ярлык/штамп с его учетным номером‚ соответствующим записи в журнале.
3. Фиксация всех перемещений: Выдача сотруднику‚ установка в устройство‚ передача между отделами‚ возврат на склад — все фиксируется с подписью получателя/отдающего.
4. Контроль за списанием: Уничтожение носителя (физическое или программное) должно быть оформлено актом с подписями ответственных лиц и отметкой в журнале.
5. Хранение журнала: Бумажный журнал хранится в сейфе или охраняемом помещении. Электронный журнал должен быть защищен от несанкционированного доступа и редактирования (использование ЭЦП‚ версионность).
6. Периодическая проверка: Регулярная сверка данных в журнале с фактическим наличием носителей (инвентаризация).

Типичные ошибки и как их избежать

• «Учет в голове»: Использование носителей без регистрации. Решение: Внедрить процедуру «регистрация перед первым использованием».
• Неполные записи: Отсутствие серийных номеров или ФИО ответственных. Решение: Использовать утвержденную форму (Форма 25) и контролировать заполнение всех граф.
• Отсутствие контроля за съемными носителями: Раздача флешек без записи. Решение: Запретить использование несанкционированных носителей‚ выдавать только зарегистрированные.
• Проблемы с «встроенными» носителями: Неучет HDD в ноутбуках сотрудников; Решение: Учитывать их в журнале при выдаче ноутбука под расписку‚ а при списании техники, фиксировать уничтожение диска.
• Утеря журнала: Хранение в небезопасном месте. Решение: Дублирование (электронная копия)‚ хранение в сейфе.

Журнал учета машинных носителей — это не «бумажка для проверяющих»‚ а действенный механизм управления рисками информационной безопасности. Его корректное ведение позволяет организации:

• Доказать добросовестность и выполнение требований законодательства о защите ПДн.
• Оперативно реагировать на инциденты‚ связанные с утерей или кражей носителей.
• Контролировать жизненный цикл каждого устройства хранения данных.

Основа для ведения такого журнала — Форма 25 или утвержденная организацией форма на ее основе‚ разработанная с учетом требований Приказа ФСТЭК № 21 и отраслевых нормативных документов. Главное — не форма‚ а системность‚ дисциплина и ответственность всех сотрудников‚ работающих с информацией.

Примечание: Конкретная форма журнала и порядок его ведения должны быть утверждены внутренним документом организации (приказом‚ инструкцией) с учетом ее специфики и требований регуляторов. Рекомендуется консультироваться со специалистами по ИБ.