152-ФЗ для серверов: что важно
152-ФЗ — это закон о персональных данных, который действует в России с 2006 года. Но с каждым годом требования ужесточаются: локализация данных, обязательное уведомление Роскомнадзора, штрафы за утечки. В 2026 году оборотные штрафы достигают 3% выручки компании. Это не теоретическая угроза — регуляторы активно проверяют бизнес, а утечки происходят регулярно.
Хорошая новость: соответствие 152-ФЗ — это не «космос». Это конкретный набор мер: настройки сервера, шифрование, аудит, управление доступом. В этой статье — практическое руководство по 152-ФЗ для серверов: что настроить, какие требования, как проходить проверки. Если нужно привести сервер в соответствие 152-ФЗ — поможем.
Что такое 152-ФЗ
152-ФЗ — Федеральный закон «О персональных данных». Он регулирует сбор, обработку, хранение и защиту персональных данных граждан РФ.
Что относится к персональным данным
- ФИО: фамилия, имя, отчество;
- Контакты: телефон, email, адрес;
- Документы: паспорт, СНИЛС, ИНН;
- Финансы: банковские карты, счета;
- Здоровье: медицинские данные;
- Биометрия: фото, отпечатки пальцев;
- Онлайн-данные: IP, cookies, поведение на сайте.
Кто обязан соблюдать
- Все операторы: те, кто обрабатывает персональные данные;
- Интернет-магазины: данные покупателей;
- Клиники: данные пациентов;
- Сайты с формами: даже простые лендинги;
- SaaS-сервисы: данные пользователей;
- Компании с сотрудниками: кадровый учёт.
💡 Важно
Даже если у вас небольшой сайт с формой обратной связи — вы уже оператор персональных данных. И требования 152-ФЗ на вас распространяются.
Требования к серверам
152-ФЗ предъявляет конкретные требования к серверам, на которых обрабатываются персональные данные.
| Требование | Что значит |
|---|---|
| Локализация | Данные граждан РФ хранятся на территории РФ |
| Защита | Шифрование, файрвол, антивирус |
| Управление доступом | Разграничение прав, логирование |
| Резервное копирование | Регулярные бэкапы, восстановление |
| Учёт носителей | Контроль съёмных дисков |
| Обучение сотрудников | Персонал знает о требованиях |
| Уведомление РКН | Регистрация оператора |
| Согласия | Пользователи дают согласие на обработку |
Уровни защищённости
152-ФЗ определяет 4 уровня защищённости персональных данных (УЗ). Чем выше уровень, тем строже требования:
- УЗ-4: минимальные требования для базовых данных;
- УЗ-3: для большинства коммерческих систем;
- УЗ-2: для медицинских и финансовых данных;
- УЗ-1: для государственных систем и особо чувствительных данных.
Локализация данных
Одно из главных требований — данные граждан РФ должны храниться на серверах в России.
Что это значит
- Базы данных: основная БД с персональными данными — в РФ;
- Файлы: документы, изображения пользователей — в РФ;
- Логи: записи о действиях пользователей — в РФ;
- Бэкапы: резервные копии — тоже в РФ;
- Облака: зарубежные облака (AWS, Google, Azure) не подходят;
- Резервирование: если данные уходят за рубеж — нужна локализация.
Что подходит
- Российские облака: Yandex Cloud, VK Cloud, Cloud.ru, Selectel, MWS;
- Российские ДЦ: собственные серверы в ДЦ на территории РФ;
- VPS/VDS: у российских провайдеров;
- Выделенные серверы: в ДЦ на территории РФ.
💡 Важно
Даже если ваша компания небольшая, но вы обрабатываете данные граждан РФ — базы должны быть в России. Зарубежные облака под запретом.
Защита данных
Защита персональных данных — это набор мер на разных уровнях: сервер, приложение, сеть, физический доступ.
Меры защиты
- Шифрование: данные шифруются при передаче (TLS) и хранении (AES-256);
- Файрвол: ограничение сетевого доступа;
- Антивирус: защита от вредоносного ПО;
- Обновления: регулярная установка патчей;
- 2FA: для доступа к серверам и админкам;
- WAF: защита от веб-атак (SQL-инъекции, XSS);
- IDS/IPS: обнаружение вторжений;
- DLP: защита от утечек данных.
Средства защиты информации (СЗИ)
Для УЗ-2 и УЗ-1 обязательно использование сертифицированных ФСТЭК средств защиты информации:
- Secret Net: для защиты от НСД;
- Dallas Lock: защита информации;
- VipNet: защищённые каналы связи;
- Континент-АП: для сетевой защиты;
- Антивирус Касперского: сертифицированный ФСТЭК.
Управление доступом
Управление доступом — это контроль за тем, кто и к каким данным имеет доступ.
Что настроить
- Роли: разделение по ролям (admin, manager, viewer);
- Минимум привилегий: каждый имеет доступ только к тому, что нужно;
- Персональные учётные записи: у каждого свой логин, никаких общих аккаунтов;
- 2FA: для администраторов — обязательно;
- Парольная политика: сложные пароли, смена при уходе;
- Учёт увольнений: при уходе сотрудника — блокировка всех доступов;
- Аудит доступов: логирование всех входов и действий;
- Временные доступы: для подрядчиков — с ограничением по времени.
Что фиксировать
- Приказы: кто имеет доступ к ПДн;
- Согласия: от сотрудников на обработку данных;
- Журналы: учёт доступа к ПДн;
- Регламенты: как работать с ПДн.
Аудит и логирование
Аудит — это регулярная проверка безопасности. Логирование — запись всех действий с персональными данными.
Что логировать
- Доступ к ПДн: кто, когда, что смотрел;
- Изменения: кто что менял в данных;
- Экспорт: кто выгружал данные;
- Входы в систему: успешные и неудачные;
- Ошибки: сбои, попытки взлома;
- Админские действия: изменение прав, пользователей.
Что важно
- Хранение: минимум 1 год, лучше 3 года;
- Защита: логи нельзя изменить или удалить;
- Доступ: только для ответственных лиц;
- Анализ: регулярный просмотр;
- Оповещения: на подозрительные действия.
💡 Важно
Регулярный аудит — требование 152-ФЗ. Проводите его не реже раза в год, а лучше ежеквартально. Подробнее — в статье Аудит безопасности.
Уведомления об инцидентах
С 2022 года операторы обязаны уведомлять Роскомнадзор об утечках персональных данных в течение 24 часов.
Что нужно сделать при утечке
- Обнаружить: факт утечки или подозрение на неё;
- Оценить: какие данные, сколько, каковы последствия;
- Уведомить РКН: в течение 24 часов через портал;
- Остановить: устранить причину утечки;
- Расследовать: провести внутреннее расследование;
- Уведомить субъектов: сообщить пользователям;
- Документировать: сохранить все материалы.
Что включать в уведомление
- Общие сведения: кто оператор, контакты;
- Характер утечки: что произошло;
- Категории данных: что было скомпрометировано;
- Количество субъектов: сколько человек затронуто;
- Меры: что предпринято для устранения.
Штрафы
С 2023–2026 годов штрафы за нарушения 152-ФЗ существенно выросли. За утечки введены оборотные штрафы.
| Нарушение | Штраф |
|---|---|
| Обработка без согласия | до 700 000 ₽ |
| Отсутствие уведомления РКН | до 300 000 ₽ |
| Невыполнение требований локализации | до 18 000 000 ₽ |
| Утечка ПДн (первое нарушение) | 3–5 млн ₽ |
| Утечка ПДн (повторное) | 1–3% выручки (не менее 20–25 млн ₽) |
| Утечка биометрии | до 500 млн ₽ |
| Неисполнение требований РКН | до 6 000 000 ₽ |
Штрафы применяются к операторам любого размера — от ИП до крупных корпораций. Один инцидент может обойтись в десятки миллионов рублей.
💡 Важно
Соответствие 152-ФЗ дешевле штрафов в десятки раз. Настройка защиты — это инвестиция, а не расход.
Чек-лист соответствия 152-ФЗ
Организационные
- Уведомление РКН подано
- Назначен ответственный за ПДн
- Есть политика обработки ПДн
- Есть согласия на обработку
- Сотрудники обучены
Технические
- Данные в РФ (локализация)
- Шифрование при передаче и хранении
- Файрвол и антивирус
- 2FA для админов
- Аудит и логирование
Управление доступом
- Персональные учётные записи
- Минимум привилегий
- Сложные пароли
- Блокировка при уходе
- Логирование доступов
Восстановление
- Регулярные бэкапы
- Хранение в РФ
- Тестирование восстановления
- Документированный процесс
- План действий при сбое
Наши рекомендации
Что вы получаете, заказывая 152-ФЗ у нас
- Аудит — что соответствует, что нет
- План — что настроить в первую очередь
- Настройку защиты — шифрование, 2FA, файрвол
- Локализацию — перенос данных в РФ
- Аудит и логирование — доказательства соблюдения
- Документацию — для проверок РКН
📌 Итоговый вывод
152-ФЗ — это не формальность, а реальная защита бизнеса от штрафов и утечек.
Что нужно знать:
- Что такое 152-ФЗ — закон о персональных данных
- Требования — локализация, защита, аудит, управление доступом
- Локализация — данные граждан РФ в РФ
- Защита — шифрование, файрвол, 2FA, WAF
- Аудит — логирование всех действий с ПДн
- Уведомления — об инцидентах в РКН за 24 часа
- Штрафы — от 700 тыс ₽ до 3% выручки
Также рекомендуем: аудит безопасности, файрвол на сервере, Fail2ban, SSH-ключи и 2FA, с чего начать защиту, настройка безопасности.