Ассоциация компаний интернет-торговли (АКИТ) на фоне атак БПЛА на российские дата-центры попросила правительство разрешить хранить и обрабатывать персональные данные россиян в дружественных странах. Об этом Forbes рассказали три источника в IT-отрасли, знакомых с письмом, направленным АКИТ Мишустину 15 октября. Ассоциация предложила ввести специальный правовой режим, позволяющий пострадавшим от атак компаниям временно размещать критически важные системы в зарубежных резервных дата-центрах, если обеспечить их работу в России невозможно.

Специальный правовой режим позволит временно размещать критически важные системы в зарубежных резервных дата-центрах, если обеспечить их работу на российских площадках невозможно. Для этого ассоциация предлагает предусмотреть временное исключение из требований закона «О персональных данных», которые обязывают использовать российские базы данных при первичной обработке персональной информации граждан. Специальный режим предлагается применять на период восстановления инфраструктуры, но не позднее 1 марта 2028 года.

Воспользоваться им компании смогут при официальном подтверждении инцидента, невозможности обеспечить работу критически важных систем в России и соблюдении требований информационной безопасности.

Перечень стран, в которых будет разрешено размещать данные, предлагается определить уполномоченному органу. Порядок выдачи временных разрешений АКИТ предлагает разработать вместе с Минцифры и Роскомнадзором. После стабилизации ситуации компании должны будут вернуться к обычному порядку обработки данных, следует из письма. Ассоциация также предлагает не вводить дополнительные платежи за международный трафик, необходимый для резервирования информации и восстановления сервисов.

В Ассоциации больших данных (АБД, объединяет «Яндекс», VK, «Сбер», Т-Банк, Россельхозбанк, Билайн, МТС, ВТБ, Avito, HeadHunter, Точка Банк, Аналитический центр при правительстве) назвали предложение АКИТ «логичной антикризисной мерой». «Российские дата-центры и требования к хранению данных формировались в иных условиях, без учёта нынешних рисков масштабных атак на цифровую инфраструктуру. Сегодня быстро восстановить критически важные системы внутри страны не всегда возможно», — отметила пресс-служба АБД в комментарии Forbes.

В ассоциации добавили, что бизнесу необходим механизм временного зарубежного резервирования с соблюдением требований безопасности и обязательным возвращением к российскому режиму обработки данных. «При этом важно не ограничиваться временными исключениями, а пересмотреть подходы к резервированию и использованию облачных сервисов. Параллельно необходимо стимулировать строительство российских ЦОД в регионах с доступной электроэнергией. Зарубежные мощности должны дополнять отечественную инфраструктуру, а не заменять её», — считают в ассоциации.

При этом предлагаемый АКИТ специальный правовой режим, если его введут, будет включаться только после подтвержденного инцидента — он «фактически закрепит, что заранее держать резерв за рубежом нельзя», обратил внимание эксперт по защите персональных данных и соучредитель Regional Privacy Professionals Association (RPPA) Алексей Мунтян. «Это ограничит компании, которые моделируют угрозы и распределяют копии по разным площадкам до удара, а не после. Между тем требование о локализации, как следует из части 5 статьи 18 152-ФЗ, касается только сбора персональных данных, так что добросовестный бизнес может позаботиться о данных граждан уже сейчас. Риски повышают и мораторий на проверки в том же пакете, и выбор стран по дружественности, а не по уровню защиты данных», — заявил Мунтян Forbes. Он подчеркнул, что копии за рубежом «стоит хранить зашифрованными с ключами в России, сохранив полную ответственность компании перед покупателями».

О том, что размещение дата-центров за рубежом могло бы стать идеальной защитой от атак БПЛА, заявил Forbes ранее партнер ComNews Research Леонид Коник. Однако в реальности такой вариант отпадает, предупреждал он. «В дружественных странах трудно найти 50-80 МВт мощности, которая требуется для большого ЦОДа, а закон о персональных данных россиян значительно усложняет их трансграничную передачу. Между тем почти все сервисы «Яндекса» имеют дело с персональными данными», — говорил эксперт.

Украинские беспилотники ранее в октябре атаковали три дата-центра «Яндекса». О последнем ударе — по ЦОДу во Владимире — компания сообщила рано утром 11 октября, до этого ущерб был нанесен дата-центрам в Сасове (Рязанская область) и Калуге. Атаки привели к сбоям в работе таких сервисов компании, как «Яндекс Пэй», «Яндекс Go», «Яндекс Про», «Яндекс Еда» и др. Проблемы возникли и у других компаний — так, пользователи 11 октября жаловались на неполадки в работе Delivery Club, ivideon.com, «М.Видео», «Вкусно — и точка», «Додо Пиццы», «Дом.ру», «Магнита», GGSel, DDX Fitness, War Thunder, Циана и т.д., свидетельствовали данные «Сбой.рф» и Detector404.

Глава Минцифры Максут Шадаев 12 октября назвал атаку на дата-центры «Яндекса» беспрецедентной и отметил, что ведомство совместно с Минобороны обсуждает защиту таких объектов. Ситуация с «Яндексом» обсуждается в правительстве, но говорить о возможных финансовых потерях граждан пока рано, заявили на следующий день в Кремле.

В ночь на 14 октября атаке БПЛА подвергся дата-центр Сбербанка в Балаково Саратовской области, о чем сообщил первый зампредседателя правления финансовой организации Александр Ведяхин. Он заверил, что все системы и сервисы Сбербанка работают штатно.

Источник Форбс

Фото:  Антон Гвоздиков / Фотобанк Лори