Инструктаж по информационной безопасности — это ознакомление сотрудника с правилами ИБ компании под подпись: как обращаться с паролями, почтой, носителями и данными и что делать при инциденте. Вводный инструктаж проводят при приёме на работу, затем повторный — с периодичностью, установленной в компании, и внеплановый — после инцидентов. Каждый инструктаж записывают в журнал с подписями обеих сторон.
В этой статье — виды инструктажа, кто его проводит, программа, образец журнала инструктажей и памятка по ИБ для сотрудников в Word.
Инструктаж и обучение — не одно и то же. Инструктаж короткий: правила и подпись. Обучение глубже: темы с примерами, проверка знаний тестом и сертификат. Если нужен курс для всего штата, смотрите обучение сотрудников по информационной безопасности.
Зачем нужен инструктаж по информационной безопасности и обязателен ли он
Большинство правил ИБ работает только тогда, когда их знает человек за компьютером. Антивирус не помешает сотруднику продиктовать код из SMS «службе безопасности банка», а межсетевой экран — унести базу клиентов на личную флешку. Инструктаж закрывает этот разрыв: сотрудник узнаёт правила до того, как получит доступ к системам и данным.
У инструктажа три задачи:
- Донести правила. Сотрудник должен знать, что разрешено, что запрещено и к кому идти с вопросом.
- Зафиксировать факт. Подпись в журнале — доказательство, что работник ознакомлен с правилами. Это важно и при проверке, и при разборе инцидента.
- Разграничить ответственность. С работника, который расписался за правила и нарушил их, спросить проще: он знал, что делать нельзя. С того, кого никто не предупредил, спросить почти не за что.
На какие нормы опирается инструктаж по ИБ
Отдельного закона об инструктаже по информационной безопасности нет, но обязанность знакомить работников с правилами есть. По ч. 3 ст. 68 ТК РФ при приёме на работу работодатель знакомит работника под роспись с локальными актами, связанными с его работой, — в том числе с политикой ИБ. Операторы персональных данных дополнительно знакомят работников с правилами обработки ПДн по ст. 18.1 152-ФЗ.
Ниже — точные формулировки норм.
Трудовой кодекс РФ, ч. 3 ст. 68: «При приеме на работу (до подписания трудового договора) работодатель обязан ознакомить работника под роспись с правилами внутреннего трудового распорядка, иными локальными нормативными актами, непосредственно связанными с трудовой деятельностью работника, коллективным договором». Если в компании утверждены политика ИБ и инструкции пользователя, ознакомить с ними нового сотрудника под роспись — прямое применение этой нормы. Вводный инструктаж по ИБ — удобная форма такого ознакомления.
152-ФЗ «О персональных данных», ст. 18.1, ч. 1, п. 6. Среди мер, которые принимает оператор персональных данных, названо «ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников». Почти любая компания — оператор персональных данных хотя бы своих работников.
Приказ ФСТЭК России № 117 (для государственных информационных систем, иных информационных систем госорганов, ГУП и госучреждений; действует с 01.03.2026) требует мероприятий по повышению уровня знаний и информированности пользователей по вопросам защиты информации. По п. 57 «оценка уровня знаний должна проводиться не реже одного раза в три года или после компьютерного инцидента».
Для пользователей средств криптографической защиты (СКЗИ) действуют свои правила допуска и инструктажа — о них в статье инструктаж пользователей СКЗИ.
Какие бывают виды инструктажа по информационной безопасности
Виды инструктажа в ИБ не закреплены одним нормативным актом, как в охране труда. Компании обычно повторяют привычную схему: вводный, повторный и внеплановый. Порядок и периодичность закрепите в своём локальном акте — например, в политике ИБ или отдельном положении.
| Вид | Когда проводят | Что входит |
|---|---|---|
| Вводный | При приёме на работу, до выдачи доступа к системам | Общие правила ИБ, политика ИБ, инструкция пользователя, памятка |
| Повторный | С периодичностью, установленной в компании | Напоминание правил, изменения за период, разбор типичных ошибок |
| Внеплановый | После инцидента, при смене правил, систем или доступа | То, что изменилось или стало причиной инцидента |
| Целевой | Перед разовой работой с особыми данными или системами | Правила для конкретной задачи |
Вводный инструктаж по информационной безопасности
Вводный инструктаж по информационной безопасности проводят в первый рабочий день, до того как сотрудник получит учётную запись и доступ к данным. Логика простая: правила нужно знать раньше, чем появится возможность их нарушить. Сотрудник знакомится с политикой ИБ и инструкцией пользователя, получает памятку и расписывается в журнале инструктажей.
На вводном инструктаже сотруднику:
- рассказывают, какие правила ИБ действуют в компании и где лежат документы;
- выдают памятку по ИБ;
- объясняют, кому сообщать о подозрительных письмах, звонках и инцидентах;
- дают расписаться в журнале инструктажей и в листе ознакомления с политикой ИБ.
Удобно совместить вводный инструктаж по ИБ с оформлением на работу: кадровик собирает подписи под локальными актами, ответственный за ИБ проводит короткий разговор и выдаёт памятку.
Повторный и внеплановый инструктаж
Повторный инструктаж нужен, потому что правила забываются, а угрозы меняются. Периодичность компания выбирает сама и записывает в локальный акт. Для ГИС и информационных систем госорганов, ГУП и госучреждений ориентир задаёт приказ ФСТЭК России № 117: оценивать уровень знаний пользователей не реже одного раза в три года или после компьютерного инцидента.
Внеплановый инструктаж проводят по событию:
- произошёл инцидент — например, сотрудник ввёл пароль на фишинговой странице;
- изменились правила — утвердили новую политику паролей или запретили мессенджер;
- появилась новая система или сотрудник получил доступ к новым данным;
- сотрудник перешёл на другую должность.
Кто проводит инструктаж по информационной безопасности для сотрудников и кого инструктировать
Закон не называет конкретную должность, которая обязана проводить инструктаж по ИБ. Компания назначает ответственного сама — приказом или в политике ИБ. Обычно это:
- ответственный за ИБ или специалист отдела ИБ — если такой есть в штате;
- ИТ-специалист — в небольших компаниях, где ИБ входит в обязанности ИТ;
- руководитель подразделения — для повторного инструктажа своей команды по утверждённой программе;
- ответственный за организацию обработки персональных данных — в части ПДн: по ст. 22.1 152-ФЗ он обязан «доводить до сведения работников оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных».
Инструктировать нужно всех, кто получает доступ к информационным системам компании:
- штатных сотрудников — с первого дня;
- совместителей и стажёров;
- подрядчиков и аутсорсеров, которые работают в ваших системах, — по договору или отдельным листом ознакомления.
Отдельная группа — пользователи СКЗИ. Для них инструктаж проводит орган криптографической защиты информации по своей программе; общий инструктаж по ИБ этого не заменяет. Подробно — в статье инструктаж пользователей СКЗИ.
Что входит в программу инструктажа по информационной безопасности
Программа — это перечень тем, которые инструктор обязан пройти с сотрудником. Её утверждают вместе с журналом, чтобы каждый инструктаж был одинаковым по содержанию, кто бы его ни проводил.
Базовая программа вводного инструктажа по ИБ:
- Правила ИБ компании. Какие документы действуют, где они лежат, кто ответственный.
- Пароли и учётные записи. Требования к паролям, запрет передавать учётные данные, блокировка компьютера.
- Почта и фишинг. Как выглядит фишинговое письмо, что делать с подозрительным вложением.
- Звонки и мессенджеры. Социальная инженерия: «служба безопасности банка», «руководитель с нового номера».
- Съёмные носители и программы. Какие носители разрешены, почему нельзя ставить программы самостоятельно.
- Персональные данные. Какие данные считаются персональными, где их можно хранить и как передавать.
- Удалённая работа. Как подключаться к рабочим системам, чего нельзя делать с личного устройства.
- Инциденты. Что считать инцидентом, кому и как сообщать, почему важно сообщить сразу.
- Ответственность. Что грозит за нарушение правил — по локальным актам компании.
Темы 2–8 удобно вынести в памятку: сотрудник получит её на руки и сможет вернуться к правилам в любой момент.
Время вводного инструктажа — 20–40 минут. Дольше обычно не нужно: цель не прочитать лекцию, а донести правила и ответить на вопросы. Если нужна глубина — разбор реальных атак, тест, отдельные модули для ролей, — это уже корпоративный курс по ИБ.
Журнал инструктажей по информационной безопасности
Журнал инструктажей по информационной безопасности — документ, в котором фиксируют каждый проведённый инструктаж. Единой формы журнала для инструктажа по ИБ нормативные акты не устанавливают, поэтому компания утверждает её сама. Главное — чтобы по журналу было понятно, кого, когда, по какой теме и кто инструктировал, и чтобы стояли подписи обеих сторон.
Графы журнала проведения инструктажа по ИБ
| № | Графа | Что писать |
|---|---|---|
| 1 | № п/п | Порядковый номер записи |
| 2 | Дата | Дата проведения инструктажа |
| 3 | ФИО инструктируемого | Полностью |
| 4 | Должность, подразделение | По штатному расписанию |
| 5 | Вид инструктажа | Вводный, повторный, внеплановый или целевой |
| 6 | Тема / документы | С какими документами ознакомлен: политика ИБ, инструкция, памятка |
| 7 | ФИО, должность проводившего | Кто проводил инструктаж |
| 8 | Подпись работника | Подтверждение, что инструктаж пройден |
| 9 | Подпись проводившего | Подтверждение, что инструктаж проведён |
Как вести журнал инструктажей по ИБ
- Назначьте ответственного за ведение журнала приказом или в политике ИБ.
- Пронумеруйте и прошейте листы бумажного журнала, количество листов заверьте подписью ответственного. Так журнал сложнее подменить задним числом.
- Одна запись — один инструктаж. Не объединяйте несколько сотрудников в одну строку: у каждого своя подпись.
- Указывайте документы в графе «Тема». Через год никто не вспомнит, с какой версией политики знакомили сотрудника.
- Срок хранения установите в номенклатуре дел организации. Специального срока для журнала инструктажей по ИБ в нормативных актах мы не нашли — закрепите свой и соблюдайте его.
Журнал можно вести и в электронном виде — в системе обучения или в специализированном ПО, если оно фиксирует, кто и когда ознакомился. Важно, чтобы электронная запись была так же надёжна, как подпись на бумаге: привязана к учётной записи сотрудника и не редактировалась задним числом.
Журнал инструктажа по информационной безопасности: образец
Скачать образец журнала учёта инструктажей по ИБ (Word)
В образце:
- титульный лист с полями «начат», «окончен», «ответственный»;
- порядок ведения журнала — шесть пунктов, которые можно оставить как есть или поправить под свои акты;
- таблица на 20 записей с графами из таблицы выше, альбомная ориентация.
Замените «[Наименование организации]» на название вашей компании и утвердите форму приказом вместе с программой инструктажа.
Так выглядит заполненная строка журнала:
| № | Дата | ФИО | Должность | Вид | Тема / документы | Проводил | Подписи |
|---|---|---|---|---|---|---|---|
| 14 | 03.11.2026 | Иванова А. С. | Бухгалтер, бухгалтерия | Вводный | Политика ИБ ред. 2, инструкция пользователя, памятка | Петров И. В., инженер ИБ | Обе стороны |
Фамилии здесь условные. В графе «Тема» указана редакция политики: если через год политику обновят, по журналу будет видно, с какой версией знакомили сотрудника и кому нужен внеплановый инструктаж.
Что делать, если сотрудник отказался расписаться
Такое случается редко, но к этому стоит быть готовым. Сначала выясните причину: часто человек просто не понял, за что расписывается, или не согласен с конкретным правилом. Объясните ещё раз и предложите задать вопросы ответственному за ИБ. Если отказ остаётся, на практике составляют акт об отказе от подписи в присутствии двух работников и прикладывают его к журналу. Доступ к системам до ознакомления с правилами лучше не выдавать.
Памятка по информационной безопасности для сотрудников
Памятка по информационной безопасности для сотрудников — одна страница с 10–12 правилами, которую выдают на вводном инструктаже вместе с подписью в журнале. Памятка не заменяет инструктаж, зато правила остаются перед глазами: её вешают у рабочего места или хранят в папке. Главное поле памятки — телефон, по которому сообщать об инциденте.
Хорошая памятка короткая и конкретная. Не «соблюдайте парольную политику», а «не сообщайте пароль никому — даже ИТ-службе». Вот двенадцать правил из нашего шаблона:
Правила информационной безопасности для сотрудников: текст памятки
- Пароли. Длинный уникальный пароль для каждой системы, не на стикере и никому не сообщать.
- Учётная запись. Работать только под своей, уходя — блокировать компьютер.
- Почта. Не открывать вложения и ссылки из неожиданных писем, проверять адрес отправителя.
- Звонки и мессенджеры. Срочная просьба перевести деньги или назвать код — повод перезвонить по известному номеру.
- Съёмные носители. Не подключать найденные и чужие флешки.
- Программы. Не устанавливать самостоятельно — через ИТ-службу.
- Персональные данные. Не пересылать в личную почту и мессенджеры.
- Документы. Не оставлять на столе и в принтере, ненужные — в шредер.
- Удалённая работа. Только через разрешённые средства, не с чужих компьютеров.
- Обновления. Не откладывать.
- Инцидент. Сообщить сразу — кому и по какому телефону, указано в памятке.
- Правила компании. Мешает правило — обсудить с ответственным за ИБ, а не обходить.
Скачать памятку по ИБ для сотрудников (Word)
В шаблоне есть строки для контакта ответственного за ИБ и подписи сотрудника об ознакомлении. Впишите свой телефон для сообщений об инцидентах: это самое полезное поле памятки.
Как провести инструктаж по ИБ: пошагово
- Утвердите документы. Политика ИБ, инструкция пользователя, программа инструктажа, форма журнала. Без утверждённых правил инструктировать не по чему. Образец политики — в статье политика ИБ: образец, а как разработать и утвердить её под вашу компанию — на странице политика информационной безопасности.
- Назначьте ответственного за проведение инструктажа и ведение журнала.
- Встройте инструктаж в приём на работу. Договоритесь с кадровой службой: новый сотрудник получает учётную запись только после записи в журнале.
- Проведите инструктаж по программе. Пройдите все темы, ответьте на вопросы, выдайте памятку.
- Оформите запись в журнале с подписями обеих сторон.
- Запланируйте повторный инструктаж с периодичностью из вашего локального акта и не забывайте о внеплановом после инцидентов.
- Обновляйте программу, когда меняются правила или появляются новые угрозы.
Если персональные данные в компании обрабатывают многие сотрудники, свяжите инструктаж с документами по ПДн — например, с положением о защите персональных данных.
Можно ли проводить инструктаж по ИБ онлайн
Инструктаж по информационной безопасности можно проводить онлайн, если факт ознакомления фиксируется так же надёжно, как подпись в бумажном журнале: отметка ставится из-под личной учётной записи, дата пишется автоматически, запись нельзя исправить задним числом. Вводный инструктаж всё же лучше проводить лично.
Онлайн-инструктаж удобен для повторного и внепланового: сотрудники в разных городах проходят его в удобное время, а ответственный видит, кто ещё не прошёл.
Что важно для онлайн-формата:
- Привязка к учётной записи. Отметка «ознакомлен» ставится из-под личной учётной записи сотрудника, а не общей.
- Неизменяемость. Запись нельзя отредактировать задним числом, а дата и время фиксируются автоматически.
- Содержание. Сотрудник видит тот же материал, что и на очном инструктаже: программу, документы, памятку.
- Проверка понимания. Хотя бы несколько контрольных вопросов в конце — иначе отметка ставится не глядя.
- Выгрузка. Ответственный может распечатать или выгрузить журнал, если его попросят при проверке.
Почему вводный — лично: новый сотрудник ещё не знает, кого спросить, и живой разговор в первый день снимает больше вопросов, чем видео.
Типичные ошибки при инструктаже по информационной безопасности
Инструктаж после выдачи доступа. Сотрудник неделю работает в почте и CRM, а инструктаж проводят «когда будет время». Правила должны прийти раньше доступа — договоритесь с ИТ-службой, что учётная запись создаётся только после записи в журнале.
Подпись без инструктажа. Сотруднику дают расписаться в журнале «за политику ИБ», не объяснив ни одного правила. Формально запись есть, но человек правил не знает, и при разборе инцидента такая подпись мало что доказывает.
Одна запись на весь отдел. Руководитель расписывается за команду или в журнал вписывают список фамилий с одной подписью. У каждого сотрудника должна быть своя строка и своя подпись.
Нет программы. Каждый инструктор рассказывает своё, и через год невозможно сказать, что именно знает сотрудник. Утвердите программу и указывайте в журнале, по какой программе и с какими документами знакомили.
Журнал не обновляется после изменений. Компания приняла новую парольную политику, а внеплановый инструктаж не провели. Любое изменение правил — повод для внепланового инструктажа и новой записи.
Подрядчики вне журнала. Внешние специалисты работают в ваших системах, но правила ИБ им никто не объяснял. Включите ознакомление с правилами в договор или ведите для подрядчиков отдельный лист ознакомления.
Когда инструктажа мало и нужен курс
Инструктаж хорошо работает для донесения правил, но у него есть пределы. Двадцать минут разговора и подпись в журнале не проверяют, понял ли сотрудник правила, и не показывают, как атака выглядит в реальности.
Курс нужен, если:
- в компании были инциденты из-за действий сотрудников;
- сотрудников много, и инструктировать каждого лично долго;
- нужно подтверждать знания тестом, а не только подписью;
- есть роли с особыми рисками: бухгалтерия, кадровая служба, руководители.
В таких случаях инструктаж остаётся первым шагом, а курс его дополняет. КиберОснова записывает курс по информационной безопасности под вашу компанию: на ваших правилах и примерах, видео или вебинаром, с тестом, журналом обучения и сертификатами для сотрудников. Курс можно загрузить в систему обучения компании, чтобы новые сотрудники проходили его при приёме.
Итог. Утвердите политику ИБ, программу и форму журнала, назначьте ответственного и проводите вводный инструктаж до выдачи доступа. Начните с готовых шаблонов: журнал инструктажей и памятка для сотрудников.
