Сервер по 152-ФЗ: как выбрать хостинг для обработки персональных данных
Разбираемся в требованиях 152-ФЗ без юридического сленга. Когда нужен аттестат ФСТЭК, УЗ-1 / УЗ-2 и кто несёт ответственность в облаке.
Если вы собираете ФИО и телефоны клиентов — вы оператор ПДн по 152-ФЗ. Базы данных граждан РФ обязаны физически находиться на территории России. Для базовой защиты (УЗ-3/УЗ-4) подойдёт любой российский VPS с правильной настройкой ОС. Для медицины, банков и крупных баз (>100К) арендуйте аттестованное облако (IaaS 152-ФЗ с сертификатом ФСТЭК), иначе штрафы до 6 млн рублей.
- Даже простое ФИО + телефон на сайте — это уже обработка персональных данных (ПДн), подпадающая под 152-ФЗ.
- Провайдер IaaS не несёт ответственности за ваши данные. Он отвечает только за инфраструктуру (до гипервизора или стойки).
- Для обработки медицинских, биометрических данных или баз >100 000 человек нужен УЗ-1/УЗ-2 и аттестат ФСТЭК.
- Аренда защищённого облака по 152-ФЗ экономит 3–6 месяцев времени и миллионы рублей на самостоятельной сертификации.
Когда нужен защищённый сервер по 152-ФЗ
По закону №152-ФЗ «О персональных данных», любой сайт или сервис, собирающий связку информации, позволяющую идентифицировать человека (например, ФИО + email + телефон), становится оператором ПДн.
Первое и главное требование закона (ст. 18 п. 5): первичный сбор и хранение ПДн российских граждан должны осуществляться на серверах, физически находящихся на территории РФ. Сервер в Германии от Hetzner для хранения базы пользователей из России — это прямое нарушение и блокировка от Роскомнадзора.
Уровни защищенности (УЗ-1 — УЗ-4)
Уровень защиты (УЗ) определяет технические требования к серверу:
УЗ-4 (самый низкий): база менее 100 000 человек, не сотрудники, обычные данные. Требуется базовая защита (пароли, файрвол). Подойдёт обычный российский VPS + самостоятельная настройка ОС и шифрования.
УЗ-3: база более 100 000 человек. Требуются средства защиты информации (СЗИ) — межсетевые экраны, антивирусы, средства обнаружения вторжений (СОВ).
УЗ-2 и УЗ-1 (самые строгие): медицинские, биометрические данные, спецкатегории, базы более 100 000 человек. Требуется аттестация всей инфраструктуры по требованиям ФСТЭК и ФСБ (криптография).
Разделение ответственности в облаке (IaaS)
Важно понимать: покупка аттестованного IaaS не делает вас автоматически «чистыми» перед законом. Провайдер (например, Selectel или Cloud.ru) берёт на себя ответственность только за инфраструктурный уровень: физическую безопасность дата-центра, гипервизор, каналы связи и СЗИ сетевого уровня.
Вы (клиент) несёте ответственность за ОС виртуальной машины, приложения, базы данных, шифрование внутри VM и выдачу доступов вашим сотрудникам.
Если хакер взломает ваше приложение из-за SQL-инъекции, виноват не провайдер 152-ФЗ, а ваш код. Провайдер лишь закрывает от Роскомнадзора ту часть вопросов, которая касается физики и виртуализации.
Что выгоднее: своё железо или аттестованное облако?
Самостоятельная аттестация собственной стойки в дата-центре на соответствие УЗ-1/УЗ-2 — это покупка сертифицированных межсетевых экранов (ViPNet, Континент), лицензий на ОС (Astra Linux Special Edition), заказ аудита у лицензиата ФСТЭК. Бюджет начинается от 1–2 млн рублей и занимает 3–6 месяцев.
Аренда готового аттестованного сегмента (IaaS 152-ФЗ) у провайдера стоит на 20–40% дороже обычного облака, но вы получаете инфраструктуру за 1 день и готовый пакет документов для РКН/ФСТЭК.
Проверенные серверы от надежных провайдеров
Serverspace
vStack KZ Basic
CPU
2 ядер • 3 ГГц
RAM
2 ГБ
Диск
40 ГБ NVMe
Канал
200 Мбит/с
549 ₽/мес
Selectel
Cloud Lite 1
CPU
1 ядер • 2.6 ГГц
RAM
1 ГБ
Диск
10 ГБ SSD
Канал
200 Мбит/с
550 ₽/мес
Часто задаваемые вопросы (FAQ)
Можно ли использовать зарубежный хостинг для ПДн?
Для первичного сбора и хранения ПДн граждан РФ — категорически нет (нарушение локализации). Можно использовать зарубежный сервер как транзитный узел, если основная база лежит в России.
Подойдёт ли обычный VPS в России для интернет-магазина?
Да, если магазин собирает только ФИО, телефон и адрес (обычно это УЗ-3 или УЗ-4). Главное — сервер должен быть в РФ, а внутри настроена базовая безопасность (файрвол, пароли).