В эпоху глобальной цифровизации любая компания — от небольшого интернет-магазина до федерального банка — собирает, хранит и обрабатывает информацию о своих клиентах и сотрудниках. ФИО, номера телефонов, адреса электронной почты, история покупок и медицинские диагнозы — все это формирует колоссальные массивы информации. В Российской Федерации оборот такой информации строго регламентирован Федеральным законом № 152-ФЗ «О персональных данных». В условиях беспрецедентного роста кибератак и регулярных новостей об утечках баз данных, защита персональных данных на сервере стала для ИТ-директоров задачей номер один. В этой статье мы подробно разберем, как юридические нормы 152-ФЗ транслируются в конкретные инженерные решения, какие требования к серверу пдн предъявляют регуляторы, и как правильно спроектировать легитимную ИТ-инфраструктуру.
Основы 152-ФЗ: кого касается закон и что такое ИСПДн
Согласно 152-ФЗ, персональные данные (ПДн) — это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Если на вашем сервере крутится база данных сотрудников (1С:ЗУП), CRM-система с клиентами (Битрикс24) или даже простая форма обратной связи с сайта, ваша компания официально является оператором персональных данных.
Совокупность баз данных, а также ИТ-оборудования и программного обеспечения, с помощью которых осуществляется обработка этой информации, называется Информационной системой персональных данных (ИСПДн). Именно к архитектуре ИСПДн государство в лице ФСТЭК России (отвечает за техническую защиту) и ФСБ России (отвечает за криптографию) предъявляет строгие требования.
Правило локализации: где должен физически стоять 152 фз сервер?
Первое и самое главное инфраструктурное требование, заложенное в 242-ФЗ (закон, внесший изменения в 152-ФЗ), касается территориального расположения оборудования. При сборе персональных данных граждан Российской Федерации оператор обязан обеспечить их запись, систематизацию, накопление, хранение и извлечение с использованием баз данных, находящихся исключительно на территории РФ.
Это означает, что 152 фз сервер не может арендоваться в дата-центрах Amazon (AWS), Hetzner или DigitalOcean. Если ваша ИТ-инфраструктура распределена, первичный сбор и база-источник (Master Data) должны располагаться на российском сервере. Игнорирование этого правила — самый быстрый путь к блокировке ресурсов компании Роскомнадзором.
Уровни защищенности (УЗ) и их влияние на выбор железа
Технические требования к серверу пдн не одинаковы для всех. Они зависят от Уровня защищенности (УЗ), который вы должны присвоить своей системе в соответствии с Постановлением Правительства РФ № 1119. Уровней всего четыре (от УЗ-4 до УЗ-1, где 1 — самый высокий).
Уровень зависит от трех факторов:
1. Тип данных (общедоступные, иные, биометрические, специальные — например, данные о здоровье). 2. Чьи это данные (сотрудники или сторонние субъекты).
3. Количество субъектов (менее 100 000 или более 100 000 человек).
Например, если у вас интернет-магазин с базой на 50 000 клиентов (иные данные), вам потребуется УЗ-3. Если вы частная клиника и храните диагнозы (специальная категория) более 100 000 пациентов, вам потребуется максимальный УЗ-1. Чем выше УЗ, тем более сложное и дорогостоящее оборудование и программное обеспечение придется закупать.
Техническая реализация: требования к серверу ПДн
Когда уровень защищенности определен, в дело вступает Приказ ФСТЭК № 21. Он регламентирует меры технической защиты. Защита персональных данных на сервере — это комплексный подход, который затрагивает все уровни инфраструктуры.
1. Физическая безопасность и контроль доступа (СКУД)
Защита начинается не с антивируса, а с железной двери. Сервер, на котором хранятся ПДн, не может стоять под столом бухгалтера или в проходной комнате. Требования к серверу пдн подразумевают его размещение в изолированном серверном помещении или шкафу (стойке), доступ к которому строго регламентирован. Помещение должно быть оборудовано электронными замками с логгированием (кто и когда входил), системой видеонаблюдения и охранно-пожарной сигнализацией.
2. Аппаратные модули доверенной загрузки (АМДЗ)
Для систем УЗ-1 и УЗ-2 (а часто и для УЗ-3) ФСТЭК требует применения средств контроля целостности до загрузки операционной системы. Для этого используются Аппаратные модули доверенной загрузки (например, ПАК «Соболь» или «Аккорд»).
АМДЗ — это физическая плата расширения, которая устанавливается в сервер. До того как сервер загрузит Windows или Linux, АМДЗ перехватывает управление, запрашивает аппаратный ключ (токен) у администратора и проверяет, не изменились ли системные файлы и настройки BIOS/UEFI. Если злоумышленник попытается загрузиться с флешки, чтобы украсть базу данных в обход прав ОС, АМДЗ аппаратно заблокирует эту попытку.
3. Отказоустойчивость как элемент защиты (RAID и Резервирование)
В законе 152-ФЗ защита понимается не только как предотвращение кражи, но и как обеспечение доступности и целостности данных. Потеря базы данных из-за сгоревшего диска — это такое же нарушение закона, как и ее кража. Поэтому 152 фз сервер обязан строиться по отказоустойчивой архитектуре:
- Дисковая подсистема: Использование аппаратных RAID-контроллеров с кэшем и защитной батареей (BBU). Данные должны зеркалироваться (RAID 1, 10, 5, 6), чтобы выход из строя одного или двух накопителей не привел к потере ПДн.
- Электропитание: Сервер должен быть оснащен дублированными блоками питания, подключенными к разным лучам электросети или к надежным ИБП (источникам бесперебойного питания).
- Резервное копирование: Обязательное наличие системы регулярного бэкапа (BaR) на отчуждаемые носители или выделенные СХД.
4. Сетевая безопасность и криптография (ГОСТ)
Сервер не существует в вакууме, он обменивается данными с клиентами или другими филиалами. Если персональные данные передаются по открытым каналам связи (через Интернет), они обязаны шифроваться. Использовать обычный зарубежный VPN недостаточно.
По требованиям ФСБ, шифрование ПДн должно осуществляться с использованием сертифицированных Средств криптографической защиты информации (СКЗИ), поддерживающих ГОСТ-алгоритмы. Это могут быть аппаратные шлюзы (ViPNet Coordinator, Континент) или программные криптопровайдеры (КриптоПро CSP), установленные непосредственно на сервере.
5. Виртуализация в ИСПДн
Современная защита персональных данных на сервере немыслима без понимания принципов виртуализации, так как 90% инфраструктур сегодня — виртуальные. Если на одном физическом сервере (хосте) крутится виртуальная машина (ВМ) с персональными данными и ВМ с публичным веб-сайтом, регулятор рассматривает весь физический сервер как ИСПДн.
Чтобы избежать удорожания защиты, необходимо применять сегментирование. Среда виртуализации должна быть сертифицирована ФСТЭК (например, zVirt, ROSA Virtualization, ПК СВ «Брест»). Гипервизор должен уметь жестко изолировать память и сетевые интерфейсы виртуальных машин друг от друга, а администраторы виртуальной среды должны использовать строгую многофакторную аутентификацию.
Почему для ПДн выбирают серверы из реестра Минпромторга?
С технической точки зрения 152-ФЗ (в отличие от законов о КИИ) прямо не запрещает использовать иностранное серверное оборудование (HPE, Dell). Однако на практике построение легитимной инфраструктуры на базе отечественных серверов (Аквариус, YADRO, Гравитон, DEPO) значительно упрощает жизнь ИТ-отделу.
Во-первых, российские производители изначально проектируют свои платформы с учетом требований ФСТЭК. Во многие отечественные серверы чипы АМДЗ интегрированы прямо на материнскую плату с завода. Во-вторых, отечественные серверы имеют 100% подтвержденную совместимость с сертифицированными российскими операционными системами (Astra Linux, РЕД ОС), которые обладают встроенным мандатным контролем доступа. В-третьих, построение ИСПДн на доверенном российском ПАК (программно-аппаратном комплексе) снимает массу вопросов у аудиторов в процессе аттестации информационной системы.
Аттестация ИСПДн и штрафы
Финальным этапом технической реализации является оценка соответствия. Для государственных систем (ГИС) аттестация по требованиям безопасности информации обязательна. Для коммерческих ИСПДн достаточно оценки эффективности принятых мер (однако крупный бизнес предпочитает добровольно проходить полную аттестацию для снятия рисков).
Государство регулярно повышает цену ошибки. Штрафы Роскомнадзора за нарушения в сфере обработки ПДн (ст. 13.11 КоАП РФ) исчисляются сотнями тысяч рублей, а за повторные нарушения и невыполнение требований по локализации могут достигать десятков миллионов. Рассматриваются законопроекты об оборотных штрафах за утечки баз данных.
Заключение
Надежная защита персональных данных на сервере — это комплексный, многоуровневый процесс. Он не заканчивается на покупке антивируса. Закон 152-ФЗ требует от ИТ-директоров проектирования глубоко эшелонированной инфраструктуры, где каждый элемент — от замка на двери дата-центра и дублированных блоков питания до аппаратных криптошлюзов и сертифицированных гипервизоров — работает как единый механизм. Выполнение требований к серверу пдн защищает не только частную жизнь граждан, но и репутацию, а также бюджет вашей компании. Проектируйте ИСПДн грамотно, выбирайте отказоустойчивое, доверенное оборудование и привлекайте для аудита и аттестации лицензированных системных интеграторов.
