До 1 сентября 2015 года остаётся меньше двух месяцев. С этой даты вступает в силу 242-ФЗ: операторы обязаны записывать, систематизировать и хранить персональные данные россиян в базах, физически расположенных на территории РФ. Вопрос «переносить или нет» уже снят – остался практический вопрос «куда именно». От ответа зависит и бюджет, и аттестация, и скорость переезда. Разберём три реалистичных варианта площадки и критерии выбора между ними.

Три варианта размещения

Собственный ЦОД или серверная. Подходит крупным операторам и госорганам, у которых уже есть аттестованное помещение и штат. Полный контроль над железом и каналом, но капитальные затраты и сроки строительства несопоставимы с дедлайном. Если своего ЦОДа ещё нет – за оставшиеся недели его не построить и не аттестовать.

Аренда стойки (colocation) в коммерческом российском ЦОДе. Вы ставите своё оборудование в дата-центр уровня Tier III, провайдер отвечает за питание, охлаждение и физическую безопасность. Это разумный компромисс: данные остаются под вашим управлением, а инженерную обвязку обеспечивает площадка. Проверяйте, что ЦОД находится в РФ юридически и физически, а не только по вывеске.

Облако российского провайдера (IaaS). Самый быстрый способ уложиться в срок. Виртуальные машины поднимаются за часы, платёж – по факту потребления. Ключевое условие: и сам провайдер, и его дата-центры должны находиться в российской юрисдикции. Зарубежные гиперскейлеры с площадкой «где-то в Европе» под 242-ФЗ не подходят, даже если технически удобны.

Критерии выбора

Не гонитесь за самым дешёвым тарифом. Сопоставьте площадку с тремя требованиями.

Во-первых, юрисдикция и подтверждение. Запросите у провайдера документы: где физически стоят серверы, кому принадлежит юрлицо, есть ли аттестат соответствия требованиям ФСТЭК и лицензии на техническую защиту информации. Без бумаг площадка для ПД не годится.

Во-вторых, класс защищённости вашей ИСПДн. От него зависит набор требуемых мер – от межсетевого экранирования до средств защиты от несанкционированного доступа. Уточняйте заранее, какие сертифицированные СЗИ площадка предоставляет, а какие придётся разворачивать самим.

В-третьих, миграция и связность. Перенос боевой базы – это не копирование файлов. Нужны план переключения, окно простоя, обратный откат и проверка целостности. Если приложение разбито на сервисы, перевозить их можно поэтапно – мы писали об опыте дробления монолита на микросервисы, и для переезда такая архитектура заметно упрощает жизнь.

Что учесть в сроках

Полтора месяца – мало. Аудит текущих систем, выбор площадки, договор, развёртывание, тестовая миграция и аттестация легко съедают этот запас. Начинать стоило ещё весной; если вы только подступаетесь к задаче, наш разбор плана локализации за 100 дней поможет расставить этапы по приоритету и не упустить критичные. Параллельно держите в голове и требования к реестру отечественного ПО по 188-ФЗ – для госзаказчиков выбор площадки и выбор софта решаются в одной связке.

Если внутренней команды под переезд не хватает, всю цепочку – от аудита и подбора площадки до проектирования и развёртывания защищённой инфраструктуры в российских ЦОДах, миграции и сдачи в эксплуатацию – можно передать на сторону.

Вывод

Под 242-ФЗ выбор сводится к трём площадкам: свой ЦОД, аренда стойки или российское облако. Свой ЦОД к сентябрю не успеть, поэтому реальный выбор – между colocation и IaaS. Решайте по юрисдикции, классу защищённости и срокам миграции, а не по цене тарифа. Времени осталось ровно столько, чтобы успеть, если начать сейчас.