Уровни защищённости ПДн: где хранить данные и какой хостинг

Почти любой сайт с формой заявки и любая CRM обрабатывают персональные данные. Закон требует не только хранить их в России и собирать согласия, но и защищать — причём уровень защиты зависит от того, какие это данные, сколько их и какие угрозы актуальны. Для этого существуют четыре уровня защищённости, установленные постановлением Правительства № 1119, и состав мер, утверждённый приказом ФСТЭК № 21. На практике владелец бизнеса сталкивается с этим в двух ситуациях: когда выбирает хостинг или облако «под 152-ФЗ» и когда приходит проверка или случается утечка.

В этой статье — понятное объяснение без юридического тумана: как определить свой уровень, какие меры он требует, что из этого делает хостинг-провайдер, а что остаётся на вас, и как не переплатить за «аттестованное облако», когда оно не нужно. Общие требования 152-ФЗ к сайту мы разбирали в статье 152-ФЗ: персональные данные на сайте, а правила локализации — в материале локализация ПДн и иностранные сервисы.

Три вопроса, которые определяют уровень

1. Какие категории данных: специальные (здоровье, убеждения и т. п.), биометрические, общедоступные или иные — к иным относятся обычные ФИО, телефоны, адреса, паспортные данные.
2. Чьи данные и сколько: только сотрудников оператора или клиентов и других лиц; меньше или больше 100 000 субъектов.
3. Какой тип угроз актуален: 1-й и 2-й типы связаны с недокументированными возможностями в системном или прикладном ПО, 3-й — угрозы без таких возможностей. Для большинства коммерческих компаний, использующих распространённое ПО, оператор обоснованно определяет актуальным 3-й тип угроз, но это решение нужно задокументировать в модели угроз.

Таблица уровней для типичных случаев

Ниже — упрощённая выжимка для угроз 3-го типа, самой частой ситуации у малого и среднего бизнеса. Полная матрица — в постановлении № 1119.

Какие меры требует каждый уровень

Приказ ФСТЭК № 21 содержит перечень мер по группам: идентификация и аутентификация, управление доступом, регистрация событий, антивирусная защита, обнаружение вторжений, контроль защищённости, защита среды виртуализации, защита каналов связи и другие. Чем выше уровень, тем больше мер обязательно. Для УЗ-4 и УЗ-3 базовый набор понятен любому толковому администратору.

Что делает хостинг, а что вы

Ответственность за защиту ПДн всегда лежит на операторе — вашей компании. Хостинг-провайдер, обрабатывающий данные по вашему поручению, отвечает перед вами за свою часть: физическую безопасность дата-центра, защиту среды виртуализации, сетевую инфраструктуру. Так называемые облака «под 152-ФЗ» — это инфраструктура, где провайдер уже выполнил свою часть мер для определённого уровня и может предоставить документы: аттестат или заключение об оценке, описание мер, договор поручения на обработку.

• Провайдер: дата-центр в России, физическая охрана, защита гипервизора, сегментация сети, сертифицированные межсетевые экраны в защищённом сегменте, документы.
• Вы: операционная система и приложения на серверах, учётные записи и права, обновления, журналы, резервные копии, защита веб-приложения, обучение сотрудников, организационные документы.

Когда нужен «облачный сегмент 152-ФЗ», а когда достаточно обычного VPS

Для УЗ-4 и часто для УЗ-3 закон не требует обязательной аттестации инфраструктуры — требует выполнения мер. Их можно выполнить и на обычном VPS у российского провайдера, если правильно настроить сервер и оформить документы. Защищённый сегмент удобен тем, что часть мер и документов уже готова, и это экономит время при проверке. Для УЗ-2 и УЗ-1, медицинских данных, государственных систем и работы с крупными заказчиками, которые требуют документов, защищённый сегмент практически обязателен.

Как выбрать между виртуальным хостингом, VPS и облаком в целом, мы разбирали в статье хостинг для сайта: VPS или облако.

Пример: CRM салона и интернет-магазин

Салон красоты: 8 000 клиентов в CRM, хранятся ФИО, телефон, история визитов, иногда день рождения. Данные иные, субъектов меньше 100 000, угрозы 3-го типа — УЗ-4. Достаточно облачной CRM с серверами в России или VPS с выполненными мерами, плюс внутренние документы: политика, перечень лиц с доступом, модель угроз, порядок реагирования на инциденты. Если в салоне есть медицинские услуги — косметология с медицинской лицензией — сведения о здоровье становятся специальной категорией, и уровень повышается до УЗ-3.

Интернет-магазин: 160 000 покупателей. Иные данные, больше 100 000 не сотрудников — УЗ-3. Требуется более строгий журнал событий, контроль защищённости, обоснованный выбор средств защиты. Здесь облачный сегмент 152-ФЗ часто экономит время и деньги по сравнению с самостоятельным выполнением всех мер.

Обязательные документы для любого уровня

• Уведомление в Роскомнадзор об обработке ПДн — большинство операторов обязаны его подать и актуализировать при изменениях.
• Политика обработки ПДн, опубликованная на сайте. Её можно собрать в генераторе политики конфиденциальности.
• Приказ о назначении ответственного за организацию обработки ПДн.
• Перечень обрабатываемых данных, целей и сроков хранения.
• Перечень лиц с доступом и обязательства о неразглашении.
• Модель угроз и акт определения уровня защищённости.
• Порядок реагирования на инциденты, включая уведомление Роскомнадзора об утечке. См. утечка ПДн: уведомление РКН за 24 и 72 часа.

Проверить, что ничего не забыто, поможет наш чек-лист 152-ФЗ. Пароли и политику доступа — генератор политики паролей.

План на две недели для небольшой компании

Если документов и мер пока нет, не нужно нанимать консультантов на полгода. Для компании с УЗ-4 базовый порядок наводится за две недели силами руководителя, администратора и, при необходимости, юриста на несколько часов.

1. День 1–2. Составьте карту данных: какие системы хранят ПДн (сайт, CRM, почта, таблицы, бухгалтерия, мессенджеры), где они физически находятся, кто имеет доступ.
2. День 3. Уберите лишнее: данные в зарубежных сервисах, общие таблицы с телефонами клиентов, старые выгрузки на ноутбуках сотрудников.
3. День 4–5. Определите уровень защищённости и тип угроз, оформите акт и короткую модель угроз.
4. День 6–8. Настройте технические меры: персональные учётные записи, двухфакторный вход в CRM и почту, разграничение прав, журналы, резервные копии с проверкой восстановления, обновления.
5. День 9–10. Подготовьте документы: политика, приказ об ответственном, перечень лиц с доступом, порядок реагирования на инциденты.
6. День 11–12. Проверьте и при необходимости подайте или актуализируйте уведомление в Роскомнадзор.
7. День 13–14. Проведите короткий инструктаж сотрудников: куда нельзя выгружать данные, что делать при подозрении на утечку, как сообщать об инциденте.

После этого остаётся поддерживать порядок: раз в квартал пересматривать доступы, раз в полгода проверять восстановление из копий, при каждом новом сервисе — проверять, где он хранит данные. Именно регулярность, а не толщина папки с документами, отличает компанию, которая переживёт инцидент, от той, что узнает о проблемах из новостей. О том, почему проверка восстановления важнее самого бэкапа, — в статье резервные копии: как настроить.

Отдельно проверьте подрядчиков, которые имеют доступ к данным: разработчиков сайта, интеграторов CRM, бухгалтерскую фирму, колл-центр. Каждый из них обрабатывает ПДн по вашему поручению, и в договоре с ним должны быть условия о конфиденциальности, мерах защиты и уведомлении вас об инцидентах. Доступы подрядчиков — персональные и ограниченные по сроку.

Цена ошибки

С 30 мая 2025 года за утечки персональных данных действуют оборотные штрафы, а за невыполнение мер защиты и неподачу уведомлений — отдельные составы КоАП. Но основная стоимость утечки — не штраф, а простой, потеря клиентов и репутации. Посчитать возможный ущерб от инцидента можно в калькуляторе ущерба, а размер штрафов — в статье оборотные штрафы за утечку.

Сравнить стоимость VPS, облака и защищённого сегмента для своей нагрузки поможет калькулятор стоимости хостинга: в нём можно задать ресурсы, резервное копирование и требования к размещению данных.

Если нужно определить уровень защищённости, подготовить документы или настроить сервер под требования — мы делаем это в рамках услуги кибербезопасность. Напишите нам, начнём с короткого аудита того, где и как у вас хранятся данные.