Ассоциация больших данных предложила разрешить резервное хранение персональных данных россиян в зарубежных ЦОД

50 минут назад

© Сгенерировано ИИ

Ассоциация больших данных (АБД) предложила разработать единые правила размещения персональных данных россиян в дата-центрах дружественных стран. Инициатива связана с атаками на российскую вычислительную инфраструктуру и необходимостью обеспечить восстановление цифровых сервисов при повреждении основных площадок. Однако для её реализации потребуется определить правовые условия зарубежного резервирования, требования к безопасности информации и ответственность операторов. Эксперт K2 Cloud Анжелика Захарова рассказала RUБЕЖ, какие ограничения и риски необходимо учитывать при выборе иностранного ЦОД.

Что предлагает Ассоциация больших данных

Ассоциация больших данных заявила о готовности совместно с участниками рынка разработать принципы безопасного хранения и обработки персональных данных граждан России в дата-центрах дружественных государств. Об этом 21 октября сообщил ComNews⁠.

Предлагается установить единые требования к защите персональных данных, срокам их хранения и порядку передачи информации зарубежным провайдерам. По замыслу АБД, такой механизм позволит российским компаниям заранее размещать резервные данные за пределами страны, не дожидаясь повреждения основной инфраструктуры.

Предполагается, что специальные правила будут действовать ограниченный период. При этом использование иностранных площадок не должно снижать уровень защиты информации или освобождать российские компании от предусмотренной законодательством ответственности.

Инициатива возникла после октябрьских атак беспилотников на дата-центры российских компаний. Как ранее сообщал RUБЕЖ⁠, после повреждения инфраструктуры «Яндекса» Минцифры и Минобороны начали обсуждать дополнительные меры защиты ЦОД. Впоследствии журнал рассказывал⁠ об атаке на дата-центр Сбербанка и вопросах резервирования инфраструктуры. Повреждение вычислительных площадок продемонстрировало, что восстановление сервисов может требовать не только резервных копий, но и доступных вычислительных мощностей, каналов связи и заранее подготовленных процедур переключения.

В АБД считают, что распределение данных между несколькими площадками, в том числе расположенными в разных странах, способно снизить зависимость бизнеса от масштабных инфраструктурных инцидентов.

Бизнес предлагает два варианта зарубежного резервирования

Предложение АБД развивает инициативу Ассоциации компаний интернет-торговли (АКИТ), которая ранее обратилась к премьер-министру Михаилу Мишустину с просьбой разрешить российским компаниям временно использовать дата-центры дружественных государств.

АКИТ предложила специальный правовой режим для организаций, пострадавших от масштабных аварий и повреждений цифровой инфраструктуры. Он должен позволить размещать резервную инфраструктуру за рубежом, если восстановить работу критичных систем на российских площадках невозможно.

Согласно предложению, такой режим может действовать в период восстановления инфраструктуры, но не позднее 1 марта 2028 года.

Подход АБД отличается тем, что предусматривает возможность заранее подготовить зарубежную резервную инфраструктуру. Это важно для компаний, которым необходимо регулярно обновлять копии данных и проверять восстановление сервисов до возникновения аварии.

Таким образом, отраслевые объединения предлагают два связанных, но не полностью совпадающих механизма: временный перенос инфраструктуры после подтверждённого инцидента и заблаговременное резервирование на иностранных площадках.

Оба варианта потребуют правовой определённости. Пока речь идёт о предложениях участников рынка, а не о принятых изменениях законодательства.

Какие ограничения устанавливает закон о персональных данных

Основным препятствием для реализации инициатив остаются требования Федерального закона № 152-ФЗ «О персональных данных».

С 1 июля 2025 года действует новая редакция части 5 статьи 18 закона. При сборе персональных данных граждан России она запрещает использовать базы данных, расположенные за пределами страны, для записи, систематизации, накопления, хранения, уточнения и извлечения такой информации, за исключением предусмотренных законом случаев.

При этом требования локализации необходимо отличать от правил трансграничной передачи данных. Статья 12 закона № 152-ФЗ предусматривает возможность передачи персональных данных иностранным получателям при соблюдении установленной процедуры, включая уведомление Роскомнадзора.

Таким образом, правомерность конкретной схемы резервирования зависит от того, какие операции выполняются с данными, где размещены используемые базы и на каких основаниях информация передаётся иностранному получателю. Разрешённая трансграничная передача сама по себе не отменяет требований к локализации.

Участники рынка расходятся в оценке возможности реализации инициативы без изменения закона. Опрошенные ComNews юристы указывают, что для специального режима зарубежного хранения может потребоваться отдельное законодательное исключение. В качестве одного из вариантов рассматривается временное разрешение на использование иностранных ЦОД при соблюдении дополнительных требований к защите информации.

K2 Cloud: зарубежная площадка не снимает ответственность с российского оператора

Руководитель практик 1С и кибербезопасности K2 Cloud Анжелика Захарова в комментарии RUБЕЖ отметила, что зарубежное резервирование действительно позволяет снизить зависимость от инфраструктурных сбоев в пределах одной страны. Однако для большинства российских компаний, работающих с персональными данными, такой вариант сопряжён с существенными правовыми ограничениями.

По словам Анжелики Захаровой, изменения законодательства, вступившие в силу 1 июля 2025 года, существенно ограничивают возможность размещения персональных данных россиян за рубежом, в том числе их резервных копий. Эксперт считает, что для большинства компаний, работающих с персональными данными, зарубежное резервирование не подходит.

«Наличие основной базы данных в России само по себе не означает, что её копию можно хранить за рубежом», — подчёркивает Анжелика Захарова.

По её мнению, для большинства организаций более практичным решением остаётся резервирование внутри страны с использованием географически распределённых площадок. Такой подход позволяет повысить устойчивость инфраструктуры, не создавая дополнительных рисков, связанных с иностранной юрисдикцией.

Однако правовые ограничения — не единственная проблема. При использовании зарубежного облака российский оператор может столкнуться с трудностями контроля за действиями сотрудников провайдера, получения технических журналов и расследования инцидентов.

«Оператор может иметь ограниченные возможности контролировать действия администраторов иностранного провайдера, получать журналы событий и расследовать инциденты», — отмечает Анжелика Захарова.

По словам эксперта, зарубежный провайдер действует в другой правовой среде. В случае изменения условий обслуживания, возникновения спора или инцидента заказчику может быть сложнее добиться необходимых действий от поставщика инфраструктуры.

Особое значение эти риски приобретают при утечках персональных данных. Анжелика Захарова обращает внимание на сложности их расследования. Российский оператор обязан уведомлять Роскомнадзор об инцидентах в установленные законом сроки, однако получение необходимых сведений от зарубежного провайдера может затянуться.

При этом ответственность перед регулятором остаётся у российской компании, а возможность добиться компенсации от иностранного подрядчика зависит от условий договора и применимого законодательства.

Какие требования необходимо предъявлять к иностранному ЦОД

По мнению Анжелики Захаровой, при оценке зарубежной резервной площадки компания должна прежде всего установить, где физически размещаются данные и их копии, кто имеет к ним доступ и соответствует ли выбранная схема требованиям законодательства.

При оценке площадки эксперт рекомендует проверять действующие сертификаты соответствия требованиям безопасности. По её мнению, они позволяют оценить зрелость процессов провайдера и его готовность системно вкладываться в защиту данных заказчиков. Не менее важны возможности аудита и заранее согласованный порядок расследования инцидентов.

С технической стороны Анжелика Захарова выделяет шифрование данных, разграничение прав доступа и многофакторную аутентификацию. Управление ключами шифрования желательно отделить от администрирования облачной инфраструктуры, чтобы снизить риски несанкционированного доступа к защищённой информации.

Отдельное требование — ведение журналов действий пользователей и администраторов с защитой записей от изменения. Для российского заказчика важно заранее определить, какие сведения он сможет получить при расследовании утечки и в какие сроки провайдер обязан их предоставить.

Также следует оценить инструменты безопасности, доступные непосредственно через облачную консоль. Они позволяют заказчику самостоятельно контролировать часть операций с инфраструктурой, не полагаясь исключительно на внутренние процедуры поставщика услуг.

При этом, подчёркивает Захарова, даже широкий набор технических средств не заменяет внутренних регламентов, ответственных сотрудников и регулярной проверки эффективности защиты.

Что изменится для бизнеса, если инициативу поддержат

Принятие специальных правил зарубежного резервирования потенциально расширит выбор инфраструктурных решений для компаний, работающих с большими объёмами персональных данных и критичными цифровыми сервисами.

В первую очередь такой механизм может быть востребован крупными интернет-платформами, маркетплейсами и другими организациями, для которых продолжительная недоступность ИТ-систем непосредственно влияет на обслуживание клиентов и проведение операций.

Однако возможность использовать иностранный ЦОД не означает автоматического повышения катастрофоустойчивости. Зарубежная площадка должна быть связана с основной инфраструктурой надёжными каналами передачи данных, располагать достаточными вычислительными ресурсами и обеспечивать восстановление приложений в пределах допустимого времени простоя.

Компании также потребуется учитывать стоимость международного трафика, особенности договоров с иностранными провайдерами, порядок возвращения данных в российскую инфраструктуру и риски изменения условий доступа к зарубежным сервисам.

В случае введения временного режима отдельным вопросом станет его завершение. Организациям необходимо будет заранее предусмотреть, как перенести данные и сервисы обратно, подтвердить удаление зарубежных копий и обеспечить непрерывность работы при смене площадки.

Для российских операторов ЦОД инициатива может стать дополнительным стимулом развивать географически распределённые мощности и сервисы аварийного восстановления внутри страны. Такой подход уже рассматривают отдельные участники рынка как альтернативу зарубежному размещению.

Пока же предложение АБД остаётся предметом отраслевого обсуждения. Его дальнейшая реализация будет зависеть от позиции регуляторов и того, удастся ли согласовать требования к непрерывности цифровых сервисов с действующими правилами обработки персональных данных.

Главный вопрос заключается не только в возможности разместить резервную копию за пределами России, но и в том, сможет ли компания обеспечить её законное хранение, контролировать безопасность и восстановить работу критичных систем после аварии.