АКИТ попросила у властей разрешение на вывод персональных данных россиян за рубеж после ударов по ЦОД

АКИТ 15 октября направила премьер-министру Михаилу Мишустину письмо с предложением разрешить аварийное размещение и обработку персональных данных россиян за рубежом, сообщил Forbes со ссылкой на трех представителей ИТ-отрасли, знакомых с документом. В ассоциации подтвердили отправку письма.

Поводом стали недавние атаки беспилотников на российские центры обработки данных (ЦОД). В течение нескольких дней октября были повреждены три дата-центра «Яндекса» в Сасове, Калуге и Владимире. После третьей атаки, произошедшей 11 октября, владимирская площадка полностью остановила работу, а компания рекомендовала клиентам использовать альтернативную инфраструктуру. Сбои затронули как собственные сервисы «Яндекса», так и сторонние компании, использовавшие его облако. 14 октября атаке подвергся ЦОД Сбербанка в Балакове Саратовской области. В банке подтвердили нападение, уточнив, что все его системы и сервисы продолжили работать штатно.

АКИТ предлагает разрешить пострадавшим компаниям временно переносить критически важные системы на зарубежные резервные площадки. Для получения разрешения потребуется официальное подтверждение инцидента, невозможности обеспечить работу этих систем в России и соблюдения требований информационной безопасности. Перечень допустимых стран должен определить уполномоченный государственный орган, а порядок выдачи разрешений предлагается разработать совместно с Минцифры и Роскомнадзором. Специальный режим предлагается сохранить до восстановления российской инфраструктуры, но не позднее 1 марта 2028 года. После его завершения компании должны вернуться к обычному порядку обработки персональных данных.

Для реализации инициативы АКИТ просит предусмотреть временное исключение из требований закона «О персональных данных». Часть 5 статьи 18 закона № 152-ФЗ ограничивает использование зарубежных баз данных для ряда операций с персональными данными россиян при их сборе. При этом сама по себе трансграничная передача ранее собранных в России данных регулируется отдельно.

В июле SecPost рассказывал о принятом Госдумой во втором и третьем чтениях законопроекте, меняющем порядок оценки защиты персональных данных при их передаче за рубеж. Документ предусматривает, что Роскомнадзор должен учитывать как законодательство иностранного государства, так и практику его применения.

В Ассоциации больших данных поддержали предложение АКИТ, назвав его логичной антикризисной мерой. Там считают, что после масштабных атак быстро восстановить критически важные системы внутри России удается не всегда. Зарубежные площадки могут стать дополнительным резервом при соблюдении требований безопасности и обязательном возвращении к российскому порядку обработки данных.

При этом эксперты, с которыми SecPost ранее обсуждал экстренную миграцию из ЦОД «Яндекса», предупреждали о возможных ошибках при переносе систем к другим облачным провайдерам. Настройки межсетевых экранов, разграничения доступа и мониторинга безопасности на разных платформах могут существенно различаться. Если при переезде не адаптировать защиту к новой инфраструктуре, возрастает риск утечек данных и сбоев в работе сервисов.

У предложенного АКИТ режима есть и другое слабое место, считают опрошенные Forbes специалисты. Разрешение на зарубежное резервирование предполагается выдавать только после подтвержденного инцидента. Это ограничит возможности компаний, которые заранее распределяют резервные копии между несколькими площадками, чтобы подготовиться к возможной аварии.

По мнению экспертов, при выборе зарубежных ЦОД следует учитывать прежде всего уровень защиты данных в конкретной стране. Резервные копии рекомендуется хранить в зашифрованном виде, оставляя ключи шифрования в России. Ответственность перед пользователями за сохранность их данных при этом должна оставаться за российскими компаниями.