Облако ФЗ-152: как бизнесу хранить персональные данные и не попасть на штрафы

Если ваша компания собирает хотя бы имя и телефон клиента — вы уже оператор персональных данных. С 30 мая 2025 года штрафы за нарушения в этой сфере выросли в разы: за утечку данных организация заплатит до 15 миллионов рублей, за утечку биометрии — до 20 миллионов, а при повторном инциденте грозят оборотные штрафы — от 1 до 3% годовой выручки (минимум 20–25 млн в зависимости от категории данных, максимум 500 млн рублей). Роскомнадзор в 2026 году перешёл к полномасштабному применению обновлённых норм. Вопрос «соответствует ли наша инфраструктура закону» перестал быть теоретическим — это вопрос выживания бизнеса.

Что требует ФЗ-152 от бизнеса

Закон распространяется на любую организацию, которая собирает, хранит или обрабатывает сведения о физических лицах. ФИО, электронная почта, номер телефона — всё это персональные данные.

Оператор обязан подать уведомление в Роскомнадзор, разработать модель угроз, применять сертифицированные средства защиты информации и хранить данные граждан РФ исключительно на территории России. С сентября 2025 года согласие на обработку ПДн оформляется только отдельным документом.

Цена ошибки высока. Штраф по основному составу — обработка данных без законного основания — составляет от 150 до 300 тысяч рублей для юрлиц. За незаконную передачу данных свыше 100 тысяч человек — до 15 миллионов, за утечку биометрии — до 20 миллионов. ИП приравняли к юрлицам, а в ряде случаев предусмотрена уголовная ответственность.

Почему собственная инфраструктура — не всегда решение

Первая мысль многих руководителей — решить вопрос самостоятельно: поставить серверы, нанять безопасника и пройти аттестацию. На практике этот путь оказывается значительно сложнее и дороже, чем кажется на старте.

Начнём с помещения. Серверная комната должна соответствовать требованиям физической безопасности: контроль доступа с журналированием, видеонаблюдение с архивом, автоматическое газовое пожаротушение, резервное электропитание и климат-контроль с мониторингом температуры. Всё это проектируется, закупается, монтируется и обслуживается — а значит, требует капитальных вложений и постоянных эксплуатационных расходов.

Далее — средства защиты информации. Для обеспечения нужного уровня защищённости потребуются сертифицированные межсетевые экраны, системы обнаружения и предотвращения вторжений, средства антивирусной защиты, средства криптографической защиты каналов связи. Причём «сертифицированные» — это не просто любые продукты корпоративного класса, а именно решения, прошедшие оценку соответствия и получившие сертификаты ФСТЭК и ФСБ России. Выбор таких продуктов на рынке ограничен, а стоимость лицензий и внедрения существенно выше, чем у несертифицированных аналогов.

Отдельная статья затрат — документация. Оператор ПДн обязан разработать и поддерживать в актуальном состоянии внушительный комплект организационно-распорядительных документов: модель угроз безопасности, технический проект системы защиты, политику обработки персональных данных, регламенты реагирования на инциденты, журналы учёта доступа и носителей. Подготовка этих документов требует квалификации на стыке юриспруденции и информационной безопасности — специалистов такого профиля на рынке немного, а их услуги стоят дорого.

И, наконец, аттестация. Даже когда всё оборудовано и настроено, систему нужно аттестовать — пригласить лицензиата ФСТЭК, который проведёт комплексную проверку и выдаст аттестат соответствия. Этот процесс занимает от нескольких недель до нескольких месяцев, а его стоимость для средней компании начинается от сотен тысяч рублей.

Совокупные затраты на создание собственной аттестованной инфраструктуры для компании среднего размера легко достигают нескольких миллионов рублей — ещё до запуска в эксплуатацию. К этому добавляются регулярные расходы на продление лицензий, обновление средств защиты, обучение персонала и повторную аттестацию при каждой существенной модернизации. Кроме того, рынок специалистов по ИБ остаётся дефицитным: найти и удержать квалифицированного сотрудника, который будет ежедневно поддерживать систему в соответствии с требованиями, — задача сама по себе.

Облако ФЗ-152: как это работает

Аттестованное облако — это не обычный хостинг с пометкой «серверы в России». Это принципиально иной тип инфраструктуры: изолированный сегмент облачной платформы, который целиком — от физического оборудования до уровня виртуализации — спроектирован, настроен и аттестован под требования законодательства о защите персональных данных.

Что именно стоит за этим определением? На уровне дата-центра — это сертифицированный ЦОД с круглосуточной физической охраной, многоуровневым контролем доступа, резервированием каналов связи и электропитания. На уровне платформы — сертифицированные гипервизор и система хранения данных, прошедшие оценку соответствия по требованиям ФСТЭК. На уровне сетевого периметра — межсетевые экраны, системы обнаружения вторжений, средства антивирусной защиты и шифрования, также имеющие действующие сертификаты. Всё это работает как единая защитная среда, а не как набор разрозненных продуктов.

Закон выделяет четыре уровня защищённости персональных данных — от УЗ-4 (минимальный) до УЗ-1 (максимальный, необходимый при обработке биометрии и специальных категорий ПДн, таких как сведения о здоровье, расовой принадлежности, политических взглядах). Уровень определяется на основе модели угроз и зависит от типа данных, объёма обрабатываемых записей и характера угроз. Качественные облачные провайдеры обеспечивают аттестацию вплоть до УЗ-1, что покрывает потребности даже самых зарегулированных отраслей — медицины, финансов, государственного сектора.

Главное преимущество облачного подхода — чёткое разделение ответственности между провайдером и клиентом. Провайдер отвечает за всё, что связано с инфраструктурой: физическую безопасность ЦОД, сертификацию и обновление средств защиты, сетевую изоляцию клиентских сред, мониторинг инцидентов, техническое обслуживание и прохождение аттестации. За клиентом остаются организационные меры: разработка внутренней политики обработки ПДн, получение согласий от субъектов данных, назначение ответственного лица, ведение журналов и реагирование на запросы Роскомнадзора. Такое разделение радикально снижает порог входа — бизнесу не нужно с нуля строить защитный контур и содержать штат специалистов по ИБ.

Есть и экономический аргумент. Облако ФЗ-152 переводит капитальные затраты в операционные: вместо единовременных инвестиций в оборудование, лицензии и аттестацию компания платит ежемесячную абонентскую плату за потребляемые ресурсы. Это позволяет масштабироваться без повторной сертификации — наращивать мощности по мере роста бизнеса, а не закупать оборудование «с запасом».

Например, Cloud4Y предоставляет аттестованное облако ФЗ-152, в котором сертифицированы все ключевые элементы виртуализации: гипервизор вычислительных ресурсов, система управления виртуализованной сетью передачи данных, платформа виртуализации и система хранения данных. Провайдер выступает лицом, отвечающим за обработку ПДн по поручению оператора, а комплекс организационно-технических мер гарантирует невозможность реализации угроз как со стороны обслуживающего персонала, так и со стороны других клиентов, размещённых в облаке. Бизнес получает готовую защищённую среду и может сосредоточиться на развитии продукта, а не на борьбе с регуляторными требованиями.

На что обратить внимание при выборе провайдера

Не каждое облако с пометкой «ФЗ-152» реально соответствует требованиям. Перед выбором проверьте: есть ли аттестат соответствия — документ от лицензиата ФСТЭК, а не маркетинговое обещание; есть ли у провайдера лицензии ФСТЭК и ФСБ; расположены ли дата-центры на территории РФ; какой уровень защищённости поддерживается — УЗ-3 не подойдёт, если вам нужен УЗ-1; предусмотрены ли SLA с финансовыми гарантиями доступности; помогает ли провайдер с документацией — моделью угроз, техническим проектом, комплектом ОРД.

Кому необходимо облако ФЗ-152

Облачные решения для ПДн востребованы прежде всего там, где объём и чувствительность данных особенно высоки: медицина (врачебная тайна, данные пациентов), финтех и страхование (паспортные и финансовые данные), e-commerce (клиентские базы, программы лояльности), HR-tech (резюме, сведения о зарплатах), госсектор и подрядчики госзаказов.

Но фактически любой бизнес с CRM-системой или формой обратной связи на сайте подпадает под требования закона о защите персональных данных.

Итог

Закон ужесточается, проверки Роскомнадзора учащаются. Переход в аттестованное облако ФЗ-152 — самый быстрый и экономически оправданный способ привести инфраструктуру в соответствие. Оцените свою текущую систему хранения персональных данных и начните с консультации у аттестованного облачного провайдера.