Пункт 4.3 приложения 3 к ПТКЗИ: контроль физического доступа к помещениям

Смысл требования

Пункт 4.3 приложения 3 к ПТКЗИ – практический разбор требования «физический доступ». Пункт 4.3 устанавливает требование к физической защите помещений, в которых постоянно размещаются активы информационной системы и средства защиты информации. Его смысл состоит в том, что владелец ИС должен контролировать, кто имеет физический доступ к таким помещениям, на каком основании, в каком режиме и каким образом этот доступ ограничивается, регистрируется и пересматривается.

Практически это требование закрывает риск, который часто недооценивают при проектировании СЗИ. Можно корректно настроить учётные записи, журналирование, межсетевой экран и резервное копирование, но оставить серверную комнату, коммуникационный шкаф, помещение с сетевым оборудованием или рабочие места с активами ИС без управляемого физического режима. В таком случае значительная часть технических мер защиты может быть обойдена прямым физическим воздействием: отключением оборудования, подключением постороннего устройства, извлечением носителя, доступом к консоли, перезагрузкой, подменой кабеля или несанкционированным обслуживанием.

Формулировка требования

Приложение 3 к Положению о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утверждённому приказом Оперативно-аналитического центра при Президенте Республики Беларусь от 20 февраля 2020 г. № 66, в редакции приказа от 10 декабря 2024 г. № 259, с учётом изменений, внесённых приказом от 27 мая 2026 г. № 98 (далее – Приложение 3 к ПТКЗИ), раздел «Требования по защите системы защиты информации информационной системы», пункт 4.3: «обеспечение контроля и управления физическим доступом в помещения, в которых постоянно размещаются активы информационной системы, средства защиты информации».

Обязательность применения

По таблице приложения 3 требование пункта 4.3 является обязательным для всех классов типовых ИС: 4-ин, 4-спец, 4-бг, 4-юл, 4-дсп, 3-ин, 3-спец, 3-бг, 3-юл, 3-дсп. Рекомендательного режима применения для данного требования не предусмотрено.

Это означает, что физический доступ должен быть урегулирован независимо от класса ИС. При этом глубина реализации может отличаться. Для небольшой ИС достаточно понятного режима доступа к помещению, перечня допущенных лиц, контроля ключей и запрета несанкционированного доступа. Для серверных, ЦОД, помещений связи, узлов с СЗИ и административных зон требуется более строгая модель: СКУД, журнал посещений, сопровождение сторонних лиц, видеонаблюдение при необходимости, регулярный пересмотр допущенных лиц и документальное оформление исключений.

Какие помещения следует учитывать

На практике пункт 4.3 часто ошибочно сводят только к серверной комнате. Это неполно. Требование говорит о помещениях, где постоянно размещаются активы ИС и СЗИ. Поэтому сначала нужно определить, какие физические зоны относятся к ИС, а затем установить для них соразмерный режим контроля.

• Серверные помещения. Комнаты, где размещаются серверы, системы хранения, гипервизоры, инфраструктурные сервисы, резервное копирование и иные вычислительные активы ИС.
• Помещения связи и коммутационные узлы. Зоны, где находятся коммутаторы, маршрутизаторы, оптические кроссы, патч-панели, телекоммуникационные шкафы и оборудование доступа.
• Помещения с СЗИ. Места размещения межсетевых экранов, СКЗИ, СЗИ от НСД, IDS/IPS, средств журналирования, средств контроля целостности и иных компонентов системы защиты.
• Административные рабочие места. Помещения, где постоянно размещаются АРМ администраторов, с которых осуществляется управление активами ИС или СЗИ.
• Пользовательские рабочие зоны. Помещения, где постоянно размещаются рабочие станции, терминалы или иные активы ИС. Для них обычно применяется общий режим доступа в помещение и локальные меры защиты рабочих мест, если риск ниже, чем для серверной или узла связи.
• Площадки внешнего размещения. ЦОД, облачная инфраструктура, IaaS-платформа или помещение провайдера, где физический контроль фактически осуществляется другой организацией. В таком случае владелец ИС должен иметь договорные и документальные подтверждения режима физической защиты со стороны провайдера.

Важный практический момент: все помещения не обязаны иметь одинаковый режим. Серверная, коммутационный шкаф в коридоре и кабинет пользователя требуют разных мер. Но для каждой зоны должно быть понятно, почему выбран именно такой уровень контроля и как он соотносится с размещёнными там активами.

Связь со структурной схемой ИС

Требование пункта 4.3 нельзя рассматривать отдельно от структурной схемы ИС. В структурной схеме должны быть отражены места размещения физических устройств, относящихся к активам ИС, средства защиты информации, физические линии связи и физические границы ИС. Следовательно, если на схеме указаны серверная, стойка, помещение связи, площадка ЦОД или иная физическая зона, по ним должен быть понятен и режим физического доступа.

Типовая ошибка – на схеме показать серверы, сетевое оборудование и СЗИ, но не иметь перечня помещений, ответственных лиц, режима допуска и подтверждений контроля. В результате структурная схема существует сама по себе, а физическая безопасность – сама по себе. Для проверки это слабая позиция, потому что физическое размещение активов должно быть связано с фактическим контролем доступа к этим местам.

Что следует подтвердить при проверке

При проверке пункта 4.3 оценивается не только наличие замка на двери. Проверяющий смотрит, установил ли владелец ИС управляемый режим физического доступа, соответствует ли он фактическому размещению активов, кто имеет право входа, как доступ предоставляется, как прекращается и чем подтверждается.

• определены ли помещения, в которых постоянно размещаются активы ИС и СЗИ;
• соответствует ли перечень помещений структурной схеме и фактическому размещению оборудования;
• закреплён ли порядок физического доступа в ЛПА, регламенте эксплуатации, инструкции администратора, положении о пропускном режиме или ином ОРД;
• определён ли перечень лиц, имеющих постоянный доступ в серверные, помещения связи, зоны размещения СЗИ и административные помещения;
• установлен ли порядок допуска временных посетителей, подрядчиков, специалистов сопровождения и представителей провайдера;
• ведётся ли учёт входов, выдачи ключей, карт доступа, посещений или работ в помещениях с активами ИС и СЗИ;
• проводится ли пересмотр прав физического доступа при увольнении, смене должности, завершении договора или изменении состава ИС;
• есть ли технические или организационные меры, исключающие свободный доступ посторонних лиц к оборудованию, портам, носителям, консолям и средствам защиты.

Слабая реализация – когда доступ в серверную фактически имеют все сотрудники ИТ, обслуживающая организация, электрики, клининг или охрана без индивидуального учёта и без закреплённого порядка. Ещё более слабая ситуация – когда ключ хранится “у дежурного” или “в шкафу”, а фактический вход в помещение никак не фиксируется.

Варианты реализации

Организационный вариант.

Владелец ИС утверждает перечень помещений с активами ИС и СЗИ, список допущенных лиц, порядок выдачи ключей или карт, порядок допуска посетителей и порядок фиксации посещений. Такой вариант может быть достаточным для небольшой ИС при условии, что физический доступ действительно ограничен и контролируется. Основной риск – зависимость от дисциплины персонала и слабая доказательность при отсутствии журналов или технических средств контроля.

Технический вариант.

Физический доступ ограничивается техническими средствами: СКУД, электронными ключами, замками, датчиками открытия, журналами проходов, видеонаблюдением, охранной сигнализацией, запираемыми стойками и контролем доступа к шкафам. Такой подход даёт более сильную доказательную базу, но сам по себе не заменяет порядок допуска. Если СКУД есть, но непонятно, кто и почему включён в группы доступа, требование исполнено неполно.

Комбинированный вариант.

Наиболее устойчивый подход. Владелец ИС документально определяет помещения, режимы доступа, роли и порядок допуска, а технически реализует ограничения через замки, СКУД, журналы, видеонаблюдение и контроль ключей. Для серверных, ЦОД, помещений связи, зон размещения СЗИ и административных рабочих мест этот вариант обычно наиболее обоснован.

Особый случай: облако, IaaS и размещение у провайдера

Если активы ИС функционируют на базе информационной системы другого владельца, собственник ИС может использовать требования, уже реализованные в аттестованной СЗИ провайдера, в порядке пункта 15 Положения и на основании договора. Это относится и к физической защите площадки, если соответствующая мера входит в аттестованный контур провайдера.

В документах необходимо разделить зоны ответственности: какие помещения и оборудование контролирует провайдер, какие – владелец ИС, кто допускается к физическому обслуживанию, как согласуются работы и какие подтверждения предоставляются. Одной фразы «размещено в облаке» недостаточно.

Если часть оборудования остаётся у владельца – например, рабочие станции, криптографические шлюзы, маршрутизаторы или административные АРМ, – физический доступ к этим помещениям должен регулироваться самим владельцем.

Что целесообразно закрепить в ТЗ, ЛПА и ОРД

В ТЗ следует определить требование к физическим границам ИС и контролю помещений, а в ЛПА и ОРД – порядок допуска, сопровождения посетителей, обслуживания оборудования и пересмотра прав физического доступа.

Для пункта 4.3 внутренние документы должны описывать не общий “пропускной режим”, а порядок физического доступа именно к помещениям с активами ИС и СЗИ. Общий режим здания может быть фоном, но для серверных, помещений связи и зон с СЗИ обычно требуется более точная регламентация.

• перечень помещений, в которых постоянно размещаются активы ИС и СЗИ;
• категории помещений по уровню критичности: серверные, коммутационные, пользовательские, административные, помещения с СЗИ;
• перечень лиц, имеющих постоянный физический доступ;
• порядок предоставления, изменения, временного расширения и отзыва физического доступа;
• порядок допуска подрядчиков, сервисных организаций, представителей провайдера, охраны и иных сторонних лиц;
• порядок выдачи, хранения, возврата и учёта ключей, карт доступа или иных средств прохода;
• порядок фиксации посещений и работ в помещениях с активами ИС и СЗИ;
• порядок пересмотра перечня допущенных лиц;
• действия при утрате ключа, карты доступа, нарушении режима или выявлении несанкционированного доступа;
• порядок подтверждения физической защиты при размещении активов у внешнего провайдера.

Для помещений с обычными рабочими местами допустим менее строгий режим, если он обоснован. Но для помещений, где размещаются серверы, телекоммуникационное оборудование, СЗИ и административные консоли, режим физического доступа должен быть значительно жёстче и лучше документирован.

Возможность технической реализации и инструменты

Уровень технических мер должен соответствовать назначению помещения и риску физического воздействия.

• Механические и электронные средства ограничения доступа. Замки, электронные пропуска, контроллеры и разграничение зон применяются с учётом критичности помещения.
• Регистрация доступа. Журналы посещений, события СКУД и заявки на допуск позволяют подтвердить основание и время нахождения.
• Сопровождение посетителей и подрядчиков. Работы проводятся в согласованное время, в присутствии ответственного лица и с фиксацией выполненных действий.
• Видеонаблюдение и охранная сигнализация. Используются как дополнительные меры там, где это оправдано риском и режимом объекта.
• Защита шкафов и локальных узлов. Если оборудование находится вне серверной, физический доступ ограничивается на уровне шкафа, стойки, помещения или охраняемой зоны.

СКУД или видеонаблюдение не являются самоцелью. Проверяется управляемость допуска к конкретным помещениям и соответствие фактического режима утверждённой модели.

Типичные ошибки при реализации

• требование сводится только к наличию замка на серверной двери;
• не определён перечень помещений, где постоянно размещаются активы ИС и СЗИ;
• структурная схема показывает размещение оборудования, но режим доступа к этим местам не описан;
• ключи от серверной или коммутационного шкафа хранятся без учёта и доступны широкому кругу лиц;
• подрядчики и сервисные специалисты допускаются без сопровождения и без регистрации работ;
• после увольнения или смены должности физический доступ не пересматривается;
• оборудование и СЗИ размещаются в общих помещениях без запираемых шкафов и ограничения доступа;
• СКУД существует, но группы доступа не соответствуют фактическим обязанностям работников;
• при размещении в ЦОД или облаке отсутствуют договорные подтверждения режима физической защиты провайдера;
• видеонаблюдение ошибочно считают полноценной заменой управлению физическим доступом.

Вывод

Пункт 4.3 следует рассматривать как требование к управляемому физическому периметру ИС. Его нельзя закрыть только общим пропускным режимом организации или наличием двери с замком. Нужно определить помещения, где постоянно размещаются активы ИС и СЗИ, связать их со структурной схемой, установить режим доступа, определить допущенных лиц и обеспечить фиксацию посещений или иной доказуемый контроль.

Для небольшой ИС может быть достаточно перечня помещений, ограниченного круга допущенных лиц, учёта ключей и запрета свободного доступа. Для серверных, ЦОД, помещений связи, зон размещения СЗИ и административных рабочих мест предпочтителен комбинированный подход: ЛПА, СКУД или учёт ключей, журнал посещений, сопровождение сторонних лиц, контроль запираемых шкафов и регулярный пересмотр доступа. Требование считается исполненным тогда, когда владелец ИС способен доказать, что физический доступ к помещениям с активами ИС и СЗИ не является свободным или неформальным, а находится под установленным и фактически действующим контролем.

Связанные материалы

• Реквизиты доступа, установленные по умолчанию
• Синхронизация системного времени
• Изоляция сети управления активами и СЗИ

Нормативная основа

• Приказ ОАЦ № 66 в редакции приказа № 259 от 10.12.2024 с учётом изменений, внесённых приказом № 98 от 27.05.2026 с учётом изменений, внесённых приказом № 98 от 27.05.2026 с учётом изменений, внесённых приказом № 98 от 27.05.2026 – приложение 3, пункт 4.3; пункт 11 о физических границах и местах размещения активов; пункт 15 о применении мер провайдера по договору. Официальный текст