Безопасность и 152-ФЗ: что проверить перед стартом
Безопасность и 152-ФЗ: что проверить перед стартом — доступы, 2FA, бэкапы, документы и данные в РФ.
Безопасность и 152-ФЗ: что проверить перед стартом
Безопасность сервиса — это не строчка в договоре, а список проверяемых вещей: где лежат данные, кто имеет доступ, что происходит при сбое и какие документы можно показать проверяющему. Чем раньше этот список составлен, тем дешевле обходится ошибка.
Ниже — что сделано в MSG.Center, что нужно проверить владельцу и какие ограничения стоит знать заранее, а не узнавать о них из инцидента.
Инфраструктура
| Что | Как сделано |
|---|---|
| Размещение | VDS в Москве, РФ; nginx, PHP 8.3-FPM, MySQL 8, Redis 7 |
| Шифрование канала | Let's Encrypt, HSTS, TLS 1.2/1.3, оценка SSL Labs A+ |
| Доступ по SSH | только по ключам |
| Сеть | UFW: открыты только необходимые порты; MySQL, Redis и служебные порты закрыты |
| Защита от подбора | fail2ban по сервисам, sysctl-хардненинг, автообновления безопасности |
| Аудит сервера | Lynis 77/100 |
| Веб-защита | .env, vendor, storage, database, .git недоступны снаружи |
| Мониторинг | проверка 11 сервисов, HTTPS, сертификата, диска, памяти и очереди почты каждые 5 минут с алертами |
| Бэкапы | ежедневно ночью, хранение 7 дней; offsite-копия на отдельный ПК, хранение 14 дней |
Цифры выше — результат проверок, а не обещание. Они полезны как отправная точка для разговора с ИБ-службой: часть вопросов снимается сразу.
Доступы и роли
Самая частая причина утечек — не взлом сервера, а лишние права у людей.
- Двухфакторная аутентификация поддерживается; для администраторов её стоит включить принудительно.
- Парольная политика в production: минимум 12 символов, разные регистры, цифры, символы, проверка на утечки.
- Роли разделены: супер-администратор, администраторы с наборами прав, роли в командах. Редактор может публиковать и согласовывать, но не управлять платежами.
- Журнал действий фиксирует входы, правки, публикации, согласования и подключения каналов.
- Токены соцсетей хранятся в зашифрованном виде; для ВКонтакте — в отдельной таблице с шифрованием.
- Демо-режим на проде отключён и блокирует изменения, если его включить.
Правило, которое стоит ввести в команде: у каждого сотрудника — своя учётная запись. Общие логины экономят минуту и стоят дороже при разборе инцидента.
Данные и 152-ФЗ
Что важно знать:
- Данные в РФ. База, файлы и почта размещены на сервере в Москве. Платёжные данные не хранятся: оплата проходит на стороне банка.
- Публичные документы. Оферта, пользовательское соглашение, политика конфиденциальности, согласия на обработку данных и рассылки, политика cookie, оплата и возвраты, маркировка рекламы, реквизиты — опубликованы и доступны на сайте; перечень — в разделе
/legal. - Внутренний пакет оператора. Подготовлены положение об обработке данных, приказы, перечень данных и мест обработки, акт классификации (уровень защищённости УЗ-2), модели угроз и нарушителя, оценка вреда, регламент инцидентов с уведомлением регулятора в течение 24 часов, порядок уничтожения, журналы согласий и обращений, DPA для клиентов.
- Трансграничная передача. Если используется зарубежный AI-провайдер, требуется отдельное согласие пользователя. Для каналов Meta действует обязательный дисклеймер.
- Тестовый режим до уведомления. До подачи уведомления в Роскомнадзор публичные формы не должны собирать реальные персональные данные — на этот период включается тестовый режим.
Важная оговорка: пакет документов подготовлен как шаблоны и требует финальной проверки юристом. Мы не выдаём его за готовое юридическое заключение.
Пошагово: что проверить за 30 минут
- Включите двухфакторную аутентификацию всем администраторам.
- Проверьте список администраторов: лишние — снять права.
- Убедитесь, что у редакторов нет доступа к платежам и настройкам сервера.
- Проверьте, что новые пользователи подтверждают e-mail.
- Посмотрите журнал действий за последнюю неделю: неожиданные входы и подключения каналов.
- Проверьте свежесть резервной копии и то, что восстановление действительно выполнялось.
- Отзовите старые API-ключи и MCP-токены, которые больше не используются.
- Проверьте, что демо-режим выключен.
- Убедитесь, что на сайте опубликованы актуальные правовые документы с вашими реквизитами.
- Зафиксируйте ответственного за обработку персональных данных.
Что честно не сделано
- 2FA включена не у всех администраторов на момент запуска — это нужно сделать принудительно.
- Шифрование offsite-бэкапов в плане; сейчас offsite-копии защищены доступом к машине и проверкой архива.
- Пакет документов — шаблоны, требующие проверки юристом.
- Уведомление в Роскомнадзор зависит от владельца: реквизиты, решение по AI-провайдеру, решение по Meta-каналам.
- Ни один сервис не гарантирует 100% защиту. Для корпоративных клиентов разумно дополнительное ИБ-согласование и DPA.
Вопросы, которые задаёт ИБ-служба
- Где физически находятся данные и есть ли резервная площадка?
- Кто имеет доступ к базе и как этот доступ журналируется?
- Как быстро вы узнаете об инциденте и как уведомляете клиентов?
- Какие меры применяются к токенам соцсетей?
- Есть ли DPA и можно ли его подписать?
Ответы на первые четыре вопроса есть в этой статье и в документации; DPA — в пакете документов оператора.
Частые вопросы
Можно ли подключить корпоративный SSO? В текущей версии вход через Fortify: логин, пароль, 2FA. Отдельного SAML/OIDC-модуля в поставке нет.
Кто видит переписку в инбоксе? Участники команды с доступом к инбоксу. Права настраиваются ролями.
Что будет при утечке токена? Токен можно отозвать: доступ прекращается сразу, журнал покажет, какие действия выполнялись.
Что дальше
Посмотрите возможности платформы и кейсы, чтобы оценить процесс целиком. Если нужен доступ к документам и проверка настроек — зарегистрируйтесь; условия и тарифы — на странице тарифов.
Источники
content/features/07-security-legal.md, docs/18-РФ-приземление-ПД.md §1–5, docs/15-ФИНАЛЬНАЯ-ПРИЁМКА.md §1–2, legal/README.md.