Регламент защиты информации ГИС

Зачем поставщику сведений собственный регламент защиты

Постановление Правительства РФ от 01.04.2025 № 411 описывает, как устроена ГИС «Профилактика»: кто вносит сведения, в какие сроки и по каким правилам. Но у постановления есть важная особенность — оно регулирует систему в целом, а не внутренний порядок работы конкретной организации. Между тем каждая школа, комиссия по делам несовершеннолетних, орган опеки или центр социального обслуживания, подключённая к системе, обрабатывает персональные данные несовершеннолетних — категорию, за защиту которой отвечает именно поставщик, а не оператор.

Регламент защиты информации — это внутренний документ, который закрепляет: кто в организации отвечает за работу с ГИС, как оформляются доступы, как подписываются сведения усиленной квалифицированной электронной подписью, что делать при увольнении сотрудника и как реагировать на инциденты. Без такого документа организация живёт в режиме «все всё делают по устной договорённости» — и первый же прокурорский запрос вскрывает этот хаос.

Практика надзора это подтверждает: по итогам одной проверки органов и учреждений профилактики в Курской области внесено 123 представления, и в них фигурируют в основном процедурные срывы — несвоевременное информирование, отсутствие назначенных ответственных, потерянные сроки. Регламент закрывает именно этот слой рисков.

Состав комплекта документов

Полноценный комплект для организации-поставщика обычно включает четыре уровня документов. Примерное наполнение:

Как регламент связан с требованиями ПП-411

Хорошая практика — не придумывать правила с нуля, а прямо переносить нормы постановления во внутренние документы. Минимальный набор опорных точек:

• Подпись. Сведения размещаются в системе под усиленной квалифицированной электронной подписью (п. 22 Положения) — в регламенте фиксируется, у кого хранится носитель УКЭП и кто вправе подписывать.
• Срок внесения. Информация размещается в течение 5 рабочих дней со дня её получения поставщиком (п. 13) — это норма, которую должен знать наизусть каждый ответственный сотрудник.
• Доступы и кадры. При увольнении или смене данных уведомление оператору направляется за 3 рабочих дня, перерегистрация занимает до 5 рабочих дней (п. 51); нарушение порядка ведёт к блокированию доступа — уведомление за 3 рабочих дня, блокирование за 5 (пп. 52–54).
• Хранение. Основные сведения хранятся не менее 5 лет, резервные копии — не менее 10 лет (пп. 25–26): цена ошибочной записи в системе очень высока, исправлять «по горячему» не всегда возможно.
• Контроль полноты. Оператор формирует сводный отчёт о характеристике полноты информации (п. 60) — пробелы организации видны на федеральном уровне.

Пошаговая разработка регламента

1. Определите, какие сведения ваша организация получает и обязана размещать: сопоставьте свои функции с перечнем из 22 групп поставщиков (п. 15 Положения).
2. Назначьте приказом ответственного за работу с ГИС и заместителя на случай отпуска и болезни — единственный специалист без дублётора это операционный риск.
3. Опишите в регламенте маршрут каждого типа сведений: кто получает, кто вносит, кто подписывает УКЭП, в какой срок — с привязкой к 5 рабочим дням из п. 13.
4. Закрепите кадровые процедуры: уведомление оператора за 3 рабочих дня при изменениях (п. 51), передача дел и носителей при увольнении.
5. Добавьте раздел об инцидентах: что считать инцидентом, кому сообщать, как фиксировать.
6. Проведите ознакомление сотрудников под подпись и поставьте регламент на пересмотр — минимум при каждом изменении нормативной базы: например, постановление Правительства № 1908 от 27.11.2025 уже меняло требования к ПП-411.

Типовые ошибки при разработке

Первая — регламент пишется «для проверяющего», а не для сотрудников: красиво оформленный документ, который никто не открывал после утверждения. Вторая — копирование чужого комплекта без привязки к своим функциям: у комиссии по делам несовершеннолетних и у детского сада состав сведений и маршруты разные. Третья — забытый блок про электронную подпись: носитель УКЭП хранится как канцелярская печать, без журнала передачи и правил замены при истечении срока действия сертификата. Четвёртая — устаревшие ссылки на нормативные акты: в частности, защита информации в государственных информационных системах теперь регулируется приказом ФСТЭК России № 117, применяемым с 01.03.2026, тогда как тексты со ссылкой на прежний приказ № 17 до сих пор кочуют из документа в документ.

Частые вопросы

Читайте также: какие документы нужны для подключения по ПП-411, назначение ответственного за ГИС, чек-лист аттестации ИСПДн, полный разбор постановления № 411.

Нормативная база