По 152-ФЗ персональные данные граждан РФ при миграции в облако должны храниться в базах на территории России — поэтому облако под ПДн выбирают с дата-центрами в РФ, а для государственных и значимых систем используют аттестованные сегменты. В облако можно выносить большинство сервисов, включая обработку ПДн, если соблюдены требования к локализации, защите и договору с провайдером. Перенос делают поэтапно: классификация данных, выбор площадки, защита и контролируемая миграция.
Что требует 152-ФЗ при работе с ПДн
- Локализация. Запись, систематизация, накопление и хранение ПДн граждан РФ — в базах на территории России.
- Защита. Технические и организационные меры по уровню защищённости информационной системы персональных данных (ИСПДн).
- Согласие и цели. Обработка только с согласия и в заявленных целях.
- Договор с провайдером. Условия обработки и ответственность сторон при размещении в облаке.
Что можно и что нельзя выносить в облако
| Можно в облако (при соблюдении требований) | Требует особого внимания / ограничений |
|---|---|
| ИСПДн в облаке РФ с нужным уровнем защиты | Хранение ПДн граждан РФ в зарубежном ЦОД |
| Резервные копии ПДн в российском облаке | ГИС и значимые системы — только аттестованные сегменты |
| Веб-сервисы, почта, тестовые среды | Гостайна и спецтребования — отдельный режим |
| Сервисы без ПДн — практически без ограничений | Передача ПДн за рубеж без оснований |
Аттестованные облака
Для государственных информационных систем и значимых ИСПДн нужны облачные сегменты, прошедшие аттестацию по требованиям ФСТЭК. Такие площадки уже включают сертифицированные средства защиты, что снижает объём работ на стороне клиента.
- Аттестованный сегмент в российском ЦОД.
- Сертифицированные средства защиты информации.
- Документы, подтверждающие соответствие, для проверяющих органов.
Подбор площадки и платформы удобно вести вместе с обзором российских облачных платформ.
Этапы миграции ПДн в облако
- Шаг 1. Классификация. Какие данные относятся к ПДн, какой уровень защищённости ИСПДн нужен.
- Шаг 2. Выбор площадки. Облако в РФ, при необходимости — аттестованный сегмент.
- Шаг 3. Проектирование защиты. Меры по уровню защищённости, шифрование, контроль доступа.
- Шаг 4. Тестовый перенос. Проверка работоспособности и защиты на некритичных данных.
- Шаг 5. Миграция и документирование. Перенос с планом отката и оформление документов соответствия.
Для части систем оптимальна гибридная схема: самые чувствительные ПДн остаются на локальной площадке, остальное — в облаке.
Поможем перенести системы с ПДн в облако по 152-ФЗ: классификация, защита, аттестованная площадка.
Частые вопросы
Где по 152-ФЗ нужно хранить персональные данные?
Запись, систематизация, накопление и хранение персональных данных граждан РФ должны вестись в базах на территории России. Поэтому при миграции в облако выбирают провайдера с дата-центрами в РФ, а для государственных и значимых систем — аттестованные облачные сегменты.
Можно ли вообще хранить ПДн в облаке?
Да, 152-ФЗ не запрещает облако — он требует локализации в РФ и надлежащей защиты. ИСПДн можно размещать в российском облаке с нужным уровнем защищённости, а для ГИС и значимых систем использовать аттестованные сегменты. Зоны ответственности с провайдером фиксируют в договоре.
Что такое аттестованное облако?
Это облачный сегмент в российском ЦОД, прошедший аттестацию по требованиям ФСТЭК и включающий сертифицированные средства защиты информации. Такие площадки нужны для государственных информационных систем и значимых ИСПДн и снижают объём работ по защите на стороне клиента.
Кто отвечает за данные в облаке?
Оператором персональных данных остаётся ваша компания — облако не снимает с неё ответственности. Провайдер обеспечивает площадку и часть мер защиты, но распределение зон ответственности обязательно прописывают в договоре, чтобы было ясно, кто и за что отвечает.
С чего начать миграцию ПДн в облако?
С классификации данных и определения нужного уровня защищённости ИСПДн. Затем выбирают площадку в РФ (при необходимости аттестованную), проектируют меры защиты, делают тестовый перенос на некритичных данных и завершают миграцию с планом отката и оформлением документов соответствия.