О компании Услуги Ситуации Отрасли Органы Блог Отзывы F.A.Q. Кейсы Контакты
+7 (901) 499-39-49
Главная
Блог
Памятка по использованию облачных сервисов и приложений (для РФ, 152-ФЗ)

Памятка по использованию облачных сервисов и приложений (для РФ, 152-ФЗ)

+7 (495) 134-80-68

1. Сводный список решений

<p><strong>Категория</strong></p> <p><strong>Рекомендовано (RU/есть локализация/договор поручения)</strong></p> <p><strong>С осторожностью (условия/ограничения)</strong></p> <p><strong>Не рекомендуется (ключ. причины)</strong></p>
<p><strong>Почта/офис</strong></p> <p>Яндекс 360, VK WorkSpace, МойОфис (RU дата-центры)</p> <p>Microsoft 365 (только при локализации в РФ, DPA, ограничение трансгранички)</p> <p>Google Workspace (нет локализации в РФ, риски по ст. 18 ФЗ-152)</p>
<p><strong>Хранилище/облако</strong></p> <p>Яндекс Диск, VK Cloud, Ростелеком Облако</p> <p>Microsoft Azure (RU-регионы, договор поручения)</p> <p>Dropbox, Google Drive (нет локализации, неконтролируемая трансграничка)</p>
<p><strong>Мессенджеры/ВКС</strong></p> <p>VK WorkSpace, TrueConf (RU, СКЗИ), Яндекс Телемост</p> <p>Zoom (при условии выбора RU-серверов, договора)</p> <p>WhatsApp, Telegram (нет договора поручения, неконтролируемая передача)</p>
<p><strong>CRM/Helpdesk</strong></p> <p>1С-CRM, Битрикс24 (RU дата-центры), amoCRM (RU-локализация)</p> <p>Salesforce (только при трансграничных основаниях)</p> <p>Zendesk (нет локализации, риск трансгранички)</p>
<p><strong>Dev/CI/CD/VCS</strong></p> <p>GitFlic, Яндекс Cloud DevTools</p> <p>GitHub (только при ограничении обработки ПДн, без персонала)</p> <p>GitLab SaaS (междунар. дата-центры, нет локализации)</p>
<p><strong>Бэкап/EDR/MDM</strong></p> <p>Касперский, Dr.Web, Ростелеком-Солар</p> <p>Veeam Cloud Connect (только RU-провайдеры)</p> <p>iCloud, Google One (нет локализации, трансграничка без оснований)</p>

2. Таблица оценки сервисов (типовой шаблон)

<p><strong>Сервис</strong></p> <p><strong>Вендор/юрисдикция</strong></p> <p><strong>Дата-центры (RU/мир)</strong></p> <p><strong>DPA/договор поручения</strong></p> <p><strong>Локализация (п.5 ст.18)</strong></p> <p><strong>Трансграничка (ст.12)</strong></p> <p><strong>Сертификация (ФСТЭК/ФСБ)</strong></p> <p><strong>Итог</strong></p> <p><strong>Источники</strong></p>
<p>Яндекс 360</p> <p>Яндекс, РФ</p> <p>РФ</p> <p>да (публичная оферта)</p> <p>да</p> <p>нет</p> <p>н/д</p> <p>Реком.</p> <p>Яндекс Trust Center</p>
<p>VK WorkSpace</p> <p>VK, РФ</p> <p>РФ</p> <p>да</p> <p>да</p> <p>нет</p> <p>н/д</p> <p>Реком.</p> <p>VK Политика</p>
<p>Microsoft 365</p> <p>Microsoft, США</p> <p>мир + частично RU (через партнеров)</p> <p>да (DPA)</p> <p>условно (при RU-хостинге)</p> <p>США/ЕС</p> <p>н/д</p> <p>Осторожно</p> <p>Microsoft Trust Center</p>
<p>Google Workspace</p> <p>Google, США</p> <p>мир</p> <p>да (DPA)</p> <p>нет</p> <p>США/ЕС</p> <p>нет</p> <p>Не реком.</p> <p>Google Data Locations</p>

(Примечание: данные приведены на 21.08.2025, требуется периодическая проверка актуальности)

3. Риски и меры

<p><strong>Риск</strong></p> <p><strong>Закон/норма</strong></p> <p><strong>Что это значит</strong></p> <p><strong>Рекомендуемая мера</strong></p>
<p>Локализация отсутствует</p> <p>п.5 ст.18 ФЗ-152</p> <p>Данные первично пишутся вне РФ</p> <p>Выбирать RU-регионы/платформы; менять архитектуру</p>
<p>Трансграничка без основания</p> <p>ст.12 ФЗ-152</p> <p>Передача в юрисдикции без «адекватной защиты»</p> <p>Получить согласие субъекта; заключить договор; сменить сервис</p>
<p>Нет DPA/договора поручения</p> <p>ст.6, ст.18, ст.19 ФЗ-152</p> <p>Нет разграничения ролей «оператор–порученец»</p> <p>Заключить договор поручения или не использовать сервис</p>
<p>Нет сертифицированных СЗИ</p> <p>ПП 1119, Приказ ФСТЭК 21</p> <p>Нарушение мер защиты ПДн</p> <p>Использовать сертифицированные СЗИ/СКЗИ (ФСТЭК, ФСБ)</p>
<p>Использование несертифицированного СКЗИ</p> <p>ПП РФ 512</p> <p>Запрет при защите ИСПДн</p> <p>Применять только СКЗИ из реестра ФСБ</p>

4. Политика использования и запреты

  • Разрешено: российские облачные сервисы (при наличии договора поручения, локализации и базовых мер защиты).
  • С осторожностью: международные SaaS (Microsoft, Zoom) — только при договоре, локализации в РФ, ограничении категорий ПДн.
  • Запрещено: сервисы без локализации и без договора поручения (Google Drive, WhatsApp, iCloud).
  • Согласование с ИБ/Юристом обязательно, если:
    • сервис обрабатывает специальные/биометрические ПДн,
    • компания относится к КИИ или госсектору,
    • идет интеграция в кадровые, бухгалтерские или медицинские процессы.

5. Приложения

5.1 Чек-лист при вводе нового сервиса

  1. Где расположены дата-центры?
  2. Есть ли DPA/договор поручения?
  3. Поддерживается ли локализация (RU-регион)?
  4. Используется ли шифрование (СКЗИ, TLS, AES)?
  5. Есть ли субподрядчики (Sub-processors)?
  6. Предусмотрены ли SLA и гарантии доступности?
  7. Ведется ли журналирование действий?
  8. Можно ли ограничить экспорт данных?
  9. Проведена ли DPIA/оценка вреда?
  10. Кто контактное лицо у вендора по ИБ?

5.2 Шаблон договора поручения / DPA

(рекомендуется использовать формы Роскомнадзора и адаптировать к SaaS).

5.3 Перечень официальных источников

  • ФЗ-152 «О персональных данных»
  • ПП РФ № 1119
  • Приказ ФСТЭК № 21
  • ПП РФ № 687
  • ПП РФ № 512
  • КоАП РФ ст.13.11
  • УК РФ ст.137

Возврат к списку