Также: подотчетность, прослеживаемость действий
Свойство, при котором действия субъекта можно однозначно проследить до него самого и потребовать ответа за них.
Подотчетность опирается на персональные учетные записи, журналирование событий и защиту журналов от изменения. Она связана с неотказуемостью, но шире нее: кроме доказательства действия включает ответственность за него и возможность расследования.
Свойство, обеспечивающее возможность однозначно отнести действия субъекта к самому субъекту (перевод).
Источник: NIST SP 800-57 Part 2 Rev. 1 (через глоссарий NIST CSRC: accountability)
В ИСПДн каждое действие с ПДн должно быть привязано к конкретному пользователю: оператор обязан обеспечить регистрацию и учет всех действий с ПДн в информационной системе (ч. 2 ст. 19 152-ФЗ, меры ИАФ.1 и РСБ.1–РСБ.7 приказа ФСТЭК № 21). Общие учетные записи и отключенное журналирование делают расследование инцидента невозможным.
Неотказуемость доказывает, что действие совершил именно этот субъект и он не может от него отказаться, а подотчетность – это обязанность отвечать за действия и возможность их проследить.
Аудитор проверяет, что у каждого пользователя есть персональная учетная запись, события доступа к ПДн регистрируются, журналы хранятся установленный срок и защищены от правки. Типичная ошибка: общие учетные записи администраторов и журналы, которые администратор может удалить.
Примеры применения (3)
- Журнал фиксирует, какой пользователь и когда просмотрел или изменил карточку клиента в ИСПДн
- При расследовании инцидента по журналам восстанавливают, под какой учетной записью выгружены ПДн
- Общие учетные записи запрещены: иначе действия нельзя отнести к конкретному сотруднику
Связанные понятия
Источники (3)
- Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»
- Федеральный закон № 152-ФЗ «О персональных данных»
- NIST SP 800-53 Rev. 5 «Security and Privacy Controls for Information Systems and Organizations»
Как это проверяют на аудите: курс «Аудитор ИСПДн 2.0» Все термины ИБ
Определение: Школа персональных данных № 1. Обновлено 02.10.2026