Безопасность и соответствие 152-ФЗ

Что это

Безопасность MSG.Center — три уровня.

1. Инфраструктура (сервер в Москве, РФ)

• VDS в РФ (JSC IOT, Москва): nginx + PHP 8.3-FPM + MySQL 8 + Redis 7.
• Сетевой доступ: SSH только по ключам, UFW (открыты только 22/25/80/443/465/587/993/143), MySQL/Redis/служебные порты закрыты.
• Защита от атак: fail2ban (по сервисам) + watchdog, sysctl-хардненинг, автоматические обновления безопасности.
• TLS: Let's Encrypt, оценки SSL Labs A+, HSTS, TLS 1.2/1.3.
• Аудит сервера: Lynis 77/100.
• Веб-защита: .env, vendor, storage, database, .git недоступны снаружи (403); webmail закрыт от индексации.
• Мониторинг: проверка 11 сервисов, HTTPS, сертификата, диска, памяти, очереди почты, failed_jobs и свежести бэкапа каждые 5 минут с email-алертами.
• Бэкапы: ежедневно 03:30 (БД, файлы, почта, конфиги, секреты; хранение 7 дней; восстановление проверено) + offsite на отдельный ПК в 04:30 (хранение 14 дней, gzip-проверка).

2. Приложение

• Аутентификация: Fortify — вход по логину/e-mail, регистрация, сброс пароля, подтверждение e-mail, двухфакторная аутентификация.
• Пароли: в production-режиме — минимум 12 символов, разные регистры, цифры, символы, проверка на утечки.
• Роли: супер-админ, администраторы с наборами прав, роли в командах (администратор/редактор/участник), отдельные права на публикацию и каналы.
• Журнал действий (Audit Log): кто, когда, что сделал — вход, правки, публикации, согласования, подключения каналов.
• Токены соцсетей: токены ВКонтакте шифруются в отдельной таблице (vk_accounts); сессии браузерных каналов (в будущем TenChat) — шифрование AES-256-GCM на стороне bridge.
• Демо-режим отключён на проде и блокирует изменения, если его включить.
• Импорт/загрузка файлов: ограничения по типам и размерам, проверка владельца файла.

3. Соответствие 152-ФЗ

• Пакет публичных документов (12) и 9 опубликованных страниц: оферта, пользовательское соглашение, политика конфиденциальности, согласие на обработку ПД, cookie, согласие на рассылки, оплата/возвраты, маркировка рекламы, реквизиты, /legal.
• Внутренний пакет оператора (20 документов, приватный, снаружи 403): положение об обработке ПД, приказы, перечень ПД и мест обработки, акт классификации ИСПДн (УЗ-2), модели угроз и нарушителя, оценка вреда, план мероприятий, регламент инцидентов (уведомление РКН 24 часа), порядок уничтожения, журналы согласий/обращений, DPA для клиентов, трансграничная передача, уведомление в РКН.
• Данные в РФ: БД, файлы и почта — на сервере в Москве; зарплатные/платёжные данные не хранятся (платежи — на стороне банка).
• Трансграничная передача: при использовании зарубежного AI-провайдера (например, DeepSeek) требуется отдельное согласие пользователя; Meta-каналы (Facebook/Instagram) — с обязательным дисклеймером.
• Минимизация и сроки хранения: перечень данных и сроки хранения зафиксированы во внутреннем пакете; есть процедура уничтожения.
• Мультиязычность: интерфейс и правовые страницы на RU; интерфейс — RU/EN/DE/BE/KK.

Кому нужно

• Агентствам — хранить доступы клиентов и не рассылать пароли в мессенджерах.
• Интернет-магазинам — соблюсти 152-ФЗ при работе с базой покупателей.
• Корпоративным клиентам — пройти внутреннюю проверку безопасности и ИБ-опросник.
• Владельцу сервиса — доказать, что данные в РФ и есть пакет документов.

Что автоматизируется полностью

• Резервное копирование и offsite-копия.
• Мониторинг доступности и алерты.
• Журналирование действий.
• Блокировка опасных операций в production.
• Очистка кэшей и обслуживание (по расписанию).