До 1 сентября 2015 года остаётся меньше ста дней. С этой даты вступает в силу 242-ФЗ: операторы обязаны записывать, систематизировать, накапливать и хранить персональные данные граждан России в базах, физически расположенных на территории страны. Роскомнадзор уже ведёт реестр нарушителей и получил право блокировать ресурсы. Времени на раскачку нет – ниже чек-лист, который мы прогоняем с заказчиками из бизнеса и госсектора.

Что именно требует закон

242-ФЗ не запрещает трансграничную передачу данных. Он требует, чтобы первичная запись и хранение шли в российской базе, а зарубежная копия была вторичной. Это меняет архитектуру, а не отменяет интеграции с иностранными сервисами.

Разберите систему по шагам:

  • Составьте реестр всех баз, где есть ПДн граждан РФ: CRM, биллинг, кадровый учёт, формы на сайте, аналитика, рассылки.
  • Отметьте, где база физически размещена – площадка в РФ, зарубежный хостинг, облако вроде AWS или Azure.
  • Зафиксируйте потоки: куда уходят данные при регистрации, оплате, интеграции с партнёрами.
  • Проверьте, какая запись является первичной. Если форма пишет сразу в зарубежный сервис – это нарушение.

Без этой карты любые работы по переносу превратятся в угадывание.

Перенос инфраструктуры в РФ

Когда карта готова, выбирайте площадку. Для госсектора это, как правило, аттестованный ЦОД с лицензиями ФСТЭК и ФСБ. Для бизнеса – российский провайдер с подтверждённым размещением серверов на территории страны.

Сам перенос мы дробим на управляемые блоки. Контейнеризация здесь сильно упрощает миграцию: образ, собранный по Open Container Initiative, переезжает между площадками без переписывания окружения. Это снижает риск того, что после переноса приложение поведёт себя иначе.

Отдельно решите вопрос с импортозамещением ПО. Параллельно с 242-ФЗ заработал реестр отечественного софта по 188-ФЗ, и для госзаказчиков выбор продуктов из реестра становится не пожеланием, а обязанностью при закупках. Учтите это при подборе СУБД и прикладных систем для новой площадки.

Доказательная база и контроль

Соответствие нужно не только обеспечить, но и доказать при проверке. Готовьте документы: уведомление в Роскомнадзор с указанием места хранения, модель угроз, перечень мер защиты, договоры с площадкой.

Технически держите под рукой подтверждение, где реально лежат данные и кто к ним обращался. Здесь выручает централизованный сбор логов на ELK: по журналам видно, что первичная запись идёт в российскую базу, а доступы фиксируются. Для инспектора это объективное свидетельство, для вас – инструмент расследования инцидентов.

Проверьте перед сроком:

  • Уведомление в Роскомнадзор подано и отражает новое место хранения.
  • Первичная запись ПДн идёт в базу на территории РФ – по всем потокам без исключения.
  • Резервные копии не вывозят первичные данные за пределы страны в обход требований.
  • Меры защиты соответствуют уровню защищённости ИСПДн по приказам ФСТЭК.
  • Журналы доступа собираются и хранятся достаточно долго.

Вывод

Сто дней – реальный срок, если двигаться от карты данных к переносу и доказательной базе, а не наоборот. Тяните до августа – попадёте в очередь к хостерам и не успеете аттестовать площадку. Внешний аудит и сопровождение миграции под 242-ФЗ – от инвентаризации баз до подготовки к проверке Роскомнадзора – проще доверить тем, кто уже прошёл этот путь с другими операторами.