Обновлено в 12:35

Ассоциация компаний интернет-торговли на фоне атак украинских дронов на российские дата-центры направила премьеру Михаилу Мишустину письмо, в котором попросила разрешить хранение и обработку персональных данных россиян в дружественных странах. Об этом пишет Forbes со ссылкой на источники в IT-отрасли, знакомые с письмом.

АКИТ предложила в качестве антикризисной меры ввести специальный правовой режим, позволяющий пострадавшим от атак компаниям временно размещать критически важные системы в зарубежных резервных дата-центрах, если обеспечить их работу в России невозможно. Причем это должна быть не одна страна, а несколько, говорит президент Ассоциации компаний интернет-торговли Артем Соколов.

— Действительно, много компаний пострадало от атак на ЦОДы. Значительное число участников электронной торговли сейчас зависит от таких сервисов, которые позволяют обеспечивать работу интернет-магазинов: и учетных, платежных систем, и баз данных. Нарушения их работы приводит к остановке продаж, отгрузок, к дополнительным расходам на восстановление, резервирование IT-инфраструктуры. На наш взгляд, нужно ввести специальный правовой режим, который позволит временно размещать критически важные системы на зарубежных резервных дата-центрах, там, где действительно можно обеспечить достаточную защиту персональных данных и использовать эти мощности как сервера для первичной обработки персональных данных наших граждан. К сожалению, из-за этих атак сложилась такая ситуация, когда в моменте просто не хватает мощностей, и эти мощности можно сейчас оперативно позаимствовать только в дружественных странах, у наших зарубежных партнеров.

— Вы не знаете, сами дружественные страны к этому готовы?

— Мы прорабатывали эти вопросы с некоторыми дружественными странами. В целом там есть мощности, но если мы все пойдем в одну какую-то страну, то их не хватит, поэтому явно нужен более широкий список. Безусловно, этот список должен быть из тех государств, которые обеспечивают адекватную защиту прав субъектов персональных данных. А какие именно — я думаю, нам уже здесь поможет определить регулятор, потому что всегда есть нюансы.

После атак на дата-центры «Яндекса» звучали вопросы о том, почему бы не перенести часть мощностей, например, в соседний Казахстан. Но сейчас это невозможно из-за закона о персональных данных, который обязывает хранить данные в России. Нужны специальные исключения, отмечает бизнес-консультант по информационной безопасности Positive Technologies Алексей Лукацкий.

— На самом деле переносу данных из российских ЦОДов за границу препятствует не закон Яровой, а законодательство о персональных данных, которое де-факто практически запрещает обработку персональных данных россиян за пределами Российской Федерации. Единственным вариантом решения этой проблемы является так называемая концепция Data Embassy, когда данные переносятся в российское посольство, находящееся в другом государстве. Такая практика была впервые отработана во время атак Ирана по центрам обработки данных Amazon в Бахрейне, и ряд компаний перенесли свои ЦОДы в другие государства. Такую же концепцию предложила нам буквально накануне Индия, но во всех этих случаях это практически нереализуемо не только по причине законодательных ограничений, но и по причине времени, потому что строительство нового центра обработки данных за пределами Российской Федерации требует не менее одного года, а может быть и более. А самое главное, что если мы захотим арендовать какие-то зарубежные вычислительные мощности, то мы столкнемся с тем, что их просто нет, потому что сегодня на мировом рынке достаточно большой дефицит по причине большого бума и спроса на искусственный интеллект.

— Получается, что практическая идея неплохая, но реализовать ее сложно?

— Основное ограничение — это законодательство, которое, с точки зрения Роскомнадзора, не очень позитивно смотрит на то, чтобы персональные данные обрабатывались за пределами Российской Федерации. Государство за многие годы, уже почти 15 лет, продвигает историю суверенитета данных, и пока отклонения от этого движения не замечено.

На рынке сейчас обсуждают, как все-таки защищать российские ЦОДы. Губернатор Кемеровской области предлагал строить дата-центры на глубине 300 метров, прямо в отработанных разрезах шахт карьеров. А в «Ростелекоме» заявили, что необходим центр обработки данных «судного дня» — площадка бэкапов, в которой в случае чего всегда можно будет восстановить свои сервисы.

«Ведомости» пишут, что «Яндекс» не успел продлить страховку дата-центров от терактов до атак дронов на свои ЦОДы. Часть инфраструктуры была застрахована в «Согазе» и «Ингосстрахе», но к моменту ударов покрытие террористических рисков уже закончилось. В «Яндексе» же заявили РБК, что эта информация не соответствует действительности, компания использует различные виды страхования для защиты активов, и полисы покрывают в том числе и террористические атаки, но детали договоров не раскрываются.