На прошлой неделе Госдума приняла поправки, обязывающие операторов хранить персональные данные россиян на серверах внутри страны. Норма вступит в силу не сразу, но готовиться стоит уже сейчас. Большинство компаний не знают точно, где физически лежат их базы: данные расползлись по облачным сервисам, SaaS-подпискам, копиям в аналитических системах и ноутбуках сотрудников. Прежде чем переносить что-либо, нужно понять, что именно у вас есть и куда оно течёт. Это и есть аудит размещения данных – фундамент любого плана приведения в соответствие.
Инвентаризация: найдите все хранилища
Начните с полного списка систем, которые хранят или обрабатывают персональные данные. Это не только основная СУБД. Сюда попадают резервные копии, реплики, журналы, очереди сообщений, файловые шары, CRM и почтовые рассылки через внешние сервисы, выгрузки в Excel у аналитиков. Отдельная зона риска – зарубежные SaaS: трекеры задач, формы обратной связи, чат-поддержка, веб-аналитика. Каждый из них где-то держит ваши данные, и часто этот «где-то» – дата-центр за пределами РФ.
Не забудьте про устройства сотрудников. Мобильные телефоны и личные ноутбуки давно стали полноценными точками хранения. Если вы разрешаете доступ к рабочим системам с личной техники, эти данные тоже нужно учесть – мы подробно разбирали риски в материале про мобильность и BYOD. Результат этого этапа – реестр: система, тип данных, физическое расположение серверов, оператор, договор.
Классификация и карта потоков
Не все данные одинаковы. Разделите их по чувствительности и по тому, попадают ли они под определение персональных данных по 152-ФЗ. Отдельно отметьте специальные категории – здоровье, биометрию, судимости. Это определит приоритет миграции: то, что регулируется жёстче, переносим первым.
Дальше постройте карту потоков. Откуда данные приходят, через какие системы проходят, куда уходят, в каких точках пересекают границу. Трансграничная передача – главный объект внимания. Часто данные уезжают за рубеж незаметно: через CDN, через аналитический пиксель, через интеграцию с внешним API. Карта вскрывает эти маршруты и показывает, какие из них придётся перестроить. На этом этапе разрозненные источники имеет смысл свести в единую картину управления данными и BI, чтобы оценить, что реально используется, а что можно отключить без потерь.
План миграции и приоритеты
Полная инвентаризация почти всегда выявляет данные, которые никому не нужны: устаревшие выгрузки, тестовые копии с боевыми персональными данными, дубли. Самый дешёвый способ снизить риск – удалить лишнее. Меньше данных – меньше объектов для переноса и контроля.
Для остального составьте план переноса в российскую инфраструктуру. Здесь помогает контейнеризация: упакованные в контейнеры приложения переезжают между площадками предсказуемо, без сюрпризов с окружением – мы писали об этом подходе в заметке про Docker и libcontainer. Параллельно пересмотрите договоры с подрядчиками и SaaS-провайдерами: где находятся их серверы и готовы ли они предоставить размещение в РФ.
Юридическую сторону требований и сроки мы разобрали отдельно – в обзоре закона о локализации персональных данных.
Вывод
Аудит – это не разовая бумага, а рабочая карта вашей инфраструктуры данных. Сделайте его сейчас, пока есть запас времени до вступления нормы в силу. Компании, которые начнут с инвентаризации и классификации, перейдут к миграции спокойно и по плану. Те, кто будет ждать дедлайна, столкнутся с авральным переносом боевых систем – а это самый дорогой и рискованный сценарий.
