Данные нового порядка

Андрей Мелузов, руководитель департамента ИТ-аутсорсинга ГК «КОРУС Консалтинг», комментирует ситуацию, связанную с вступлением в силу закона о защите персональных данных в России.

Начало осени ознаменовалось принципиальными изменениями в требованиях к хранению и обработке персональных данных. Согласно Федеральному закону № 242-ФЗ, с 1 сентября нынешнего года все персональные данные граждан РФ должны храниться и обрабатываться только на территории России.

Кампания по переносу персональных данных россиян на территорию страны стартовала чуть более года назад, после того как 21 июля 2014 года президент РФ Владимир Путин подписал соответствующие изменения в законодательство. Изначально они должны были вступить в силу 1 сентября 2016 года, однако в процессе согласования Госдума сдвинула этот срок на 1 января 2015 год, чем породила волну недовольства со стороны операторов персональных данных, которым в результате многочисленных обращений к власти удалось выторговать отсрочку до начала учебного года. Несмотря на последующие протесты зарубежных компаний, подпадающих под действие 242-ФЗ, позиция чиновников осталась неизменной, и обсуждение сроков вступления изменений в силу было прекращено в одностороннем порядке. По оценке Минкомсвязи, в России создана вся необходимая инфраструктура для хранения и обработки персональных данных, а многочисленные дата-центры на территории страны готовы принять всех желающих.

Однако, несмотря на это, на пути реализации закона возникло множество трудностей. В частности, крупнейшие зарубежные системы бронирования авиабилетов заявили о неготовности к оперативным изменениям существующей ИТ-архитектуры. А поскольку Роскомнадзор наделен правом проверки любых компаний на соответствие новым законодательным требованиям и в случае нарушений включать их в «реестр нарушителей прав субъектов персональных данных» (со всеми вытекающими последствиями, включая блокировку загрузки их сайтов на территории страны), то пострадать могли не только сами компании, но и их клиенты, в числе которых множество россиян. Поэтому в Минкомсвязи решили вывести из-под действия новых требований участников систем глобальной дистрибуции авиабилетов, что, в свою очередь, сопровождалось негативным фоном со стороны аналитиков. В частности, по оценке Европейского центра по международной политической экономии (The European Centre for International Political Economy, ECIPE), данные инновации могут повлечь ущерб для ВВП страны на уровне 286 млрд рублей.

Благие намерения

Основополагающей целью изменений в законодательство о персональных данных провозглашена сохранность личной информации россиян и сокращение количества ее утечек. По мнению Александра Шипулина, системного аналитика отдела инфраструктурного программного обеспечения компании «Открытые Технологии», она вполне достижима, поскольку 242-ФЗ позволит пользователям различных сервисов узнать о недобросовестности некоторых операторов ПДн. «Важно понимать, что это не попытка создать великий китайский файервол – новые требования направлены на то, чтобы заставить безответственных операторов соблюдать законодательство РФ в области сохранности личных данных», – подчеркивает Александр Шипулин.

Однако многие представители ИТ-отрасли сомневаются в эффективности новых законодательных веяний. Руководитель аналитического центра «Зекурион» Владимир Ульянов отмечает, что защищенность персональных данных мало определяется географией их физического хранения, но гораздо сильнее зависит от процедур и технических средств, которые оператор использует для их защиты. Получается, что требования законодательства и реальная защита от тех же утечек существуют отдельно друг от друга.

• Владимир Ульянов, руководитель аналитического центра «Зекурион»:

«Основной недостаток законодательства в области защиты персональных данных заключается в том, что оно не гарантирует безопасности информации».

По мнению Андрея Мелузова, руководителя департамента ИТ-аутсорсинга ГК «КОРУС Консалтинг», 242-ФЗ может только усложнить ситуацию с утечками данных, поскольку многие компании будут вынуждены искать обходной путь, пытаясь сохранить прежний порядок вещей. В результате архитектура сервисов может усложниться в связи с добавлением новых звеньев в процессе регистрации и обновления информации о пользователе и из-за этого стать менее надежной.

Политический фактор

Эксперты ИТ-рынка сходятся во мнении, что изменениям в законодательстве о персональных данных не в последнюю очередь поспособствовала большая политика. «В условиях сложной политической обстановки и обостренных отношений с Западом наши спецслужбы, представляющие исполнительную власть, при попытке сбора и обработки данных с Facebook, LinkedIn и других иностранных информационных источников столкнулись с тем, что они находятся на серверах зарубежных стран и наше законодательство на них не распространяется. В связи с этим в рамках закона было введено требование о том, что первичная регистрация и обновления должны производиться в системах, расположенных на серверах внутри РФ, чтобы компания, у которой запрашиваются данные, была под юрисдикцией России», – отмечает Андрей Мелузов («КОРУС Консалтинг»).

• Андрей Мелузов, руководитель департамента ИТ-аутсорсинга ГК «КОРУС Консалтинг»:

«Многие компании еще не до конца понимают, что именно им необходимо делать в связи с новыми требованиями законодательства. Поэтому большинство идет по пути максимальной подстраховки, то есть переноса ИТ-ресурсов на отечественные серверы».

По оценке Дениса Матеева, главы представительства ESET в России и СНГ, на принимаемые государством решения существенное влияние оказывает внешняя политика. Действие закона о персональных данных напрямую затрагивает только российские юридические лица, а это лишь часть айсберга. Значительным объемом данных россиян, в частности транзакциями через Интернет, оперируют западные компании, не имеющие юридических лиц в нашей стране. «Если рассматривать требования закона в отношении персональных данных россиян, говорить о повышении их сохранности несколько преждевременно. Интернет – сложная для государственного регулирования система, поэтому есть риск, что выполнение требований по хранению данных будет носить формальный характер. В условиях отсутствия эффективных механизмов контроля компании могут имитировать переезд на российские серверы», – подчеркивает Денис Матеев. По его мнению, крайне важно, чтобы от законодательных инициатив и мер, принимаемых компаниями, не пострадали обычные пользователи.

• Денис Матеев, глава представительства ESET в России и СНГ:

«Важно, чтобы запретительные меры не мешали игрокам рынка работать, а частным пользователям – получать качественные конкурентоспособные продукты и сервисы».

 «Требование хранить личную информацию российских граждан на российских же серверах скорее обусловлено желанием получить больший контроль над этими данными. Информация на иностранных серверах практически недоступна российским правоохранительным органам. Кроме того, государство стремится обеспечить контроль над данными на случай экстраординарных ситуаций, например если сервис или компания под давлением локальных или международных требований перекроет доступ к информации для российских пользователей», – полагает Владимир Ульянов («Зекурион»).

Мед и деготь

Несмотря на сильную политическую подоплеку, 242-ФЗ способен оказать существенное практическое влияние на ИТ-отрасль. По оценке Михаила Луковникова, директора по развитию бизнеса ЦОД «ТрастИнфо», вступление в силу этого закона – один из главных катализаторов развития российского рынка услуг коммерческих дата-центров. «Еще два-три года назад, прогнозируя рост потребностей рынка, крупные сервис-провайдеры начали проектирование и строительство новых мощностей ЦОД. Теперь эти инвестиционные проекты, скорость реализации которых могла бы существенно замедлиться в текущих нестабильных условиях на рынке, будут оперативно завершены, чтобы обеспечить ресурсами для хранения данных в пределах страны всех желающих. Это приведет не только к экстенсивному разрастанию рынка, но и к его дальнейшему качественному развитию: усилению здоровой конкуренции, формированию отраслевых стандартов, гибкой тарифной политики, повышению уровня сервисов, выводу на рынок новых, в первую очередь облачных услуг», – прогнозирует Михаил Луковников.

• Михаил Луковников, директор по развитию бизнеса ЦОД «ТрастИнфо»:

«Мы отмечаем значительный рост спроса на услуги размещения данных в коммерческих дата-центрах в России».

Владимир Ульянов («Зекурион») соглашается с тем, что именно владельцы дата-центров более других выигрывают от новых законодательных инициатив. В условиях, когда большинство российских ЦОДов заполнено не более чем на 40% и привлекать новых клиентов становится все труднее, подобную нормативную уступку иначе как подарком не назовешь. «Построить собственный дата-центр — задача нетривиальная и под силу не каждой компании. Кроме того, сроки окупаемости дата-центров в среднем составляют 5-10 лет. Поэтому операторов ПДн, которые займутся стройкой собственных площадок, будет немного, а остальные начнут арендовать уже действующие мощности, что подтолкнет рынок и привлечет на него новых игроков», – уверен Владимир Ульянов.

Впрочем, у этой медали есть и обратная сторона. Дмитрий Дудко («АйТи») опасается, что подобное развитие рынка дата-центров приведет к снижению качества услуг. «Для обеспечения услуг по хранению и обработке персональных данных дата-центр должен как минимум иметь лицензии ФСТЭК на техническую защиту конфиденциальной информации и работу с криптографией, а также установить требуемые средства по защите персональных данных. Далеко не каждый дата-центр может себе это позволить. Не говоря уже о том, что размещение информационной системы персональных данных в аттестованном ЦОДе не делает саму систему аттестованной», – поясняет Дмитрий Дудко.

• Дмитрий Дудко, руководитель проектов центра компетенции информационной безопасности компании «АйТи»:

«Большинство российских дата-центров не готовы принять операторов персональных данных, так как, помимо лицензий на техническую защиту и работу с криптографий, им необходимо реализовать ряд технических и организационных мер для соответствия законодательным требованиям».

Боевая неготовность

Хотя требования 242-ФЗ и вступили в силу с 1 сентября 2015 года, многие компании не спешат их выполнять. По мнению Андрея Мелузова («КОРУС Консалтинг»), главным образом потому, что суть их до сих пор понятна не всем и может трактоваться по-разному. А в этой ситуации никто не готов инвестировать средства в миграцию ИТ-инфраструктуры на отечественные серверы. Кроме того, многие надеются, что их это попросту не коснется.

«Мы не наблюдаем активного переноса. Российские дата-центры в принципе готовы принять всех желающих, но это не может произойти мгновенно, поскольку необходимо установить дополнительные стойки и ввести в строй соответствующие вычислительные мощности. Для этого нужно осуществить закупки серверов и другого оборудования. Без четко выраженного спроса этого никто не делает», – констатирует Сергей Таран, генеральный директор компании «Онланта» (группа компаний ЛАНИТ). Кроме того, он обращает внимание на проблему взаимосвязанности данных в информационных системах зарубежных компаний. Перенос данных российских граждан из этих систем на территорию РФ влечет необходимость переписывать часть прикладного ПО, чтобы оно могло работать в новой конфигурации хранения данных.

• Сергей Таран, генеральный директор компании «Онланта» (группа компаний ЛАНИТ):

«242-ФЗ окажет положительное влияние на российский рынок облачных сервисов, способствуя увеличению спроса на них».

Тем не менее подвижки в реализации новых законодательных требований все-таки происходят. О готовности хранить персональные данные россиян на территории РФ уже заявили уже около ста международных компаний, среди которых такие крупные, как AliExpress.com, Booking.com, Uber, а также eBay и принадлежащая ему платежная система PayPal. «С момента подписания 242-ФЗ наблюдается повышение активности операторов персональных данных в части адаптации инфраструктуры под его требования. Наибольшую активность проявляют ритейл и банковский сектор», – констатирует Александр Шипулин («Открытые Технологии»).

• Александр Шипулин, системный аналитик отдела инфраструктурного программного обеспечения компании «Открытые Технологии»:

«После вступления в силу 242-ФЗ подготовленные площадки, отвечающие всем требованиям регулятора, могут стать дефицитными, что будет способствовать повышению цен на них».

Разгон облаков

Эксперты расходятся в оценке того, какое влияние окажут законодательные изменения в области хранения и обработки персональных данных на рынок облачных сервисов в России. Так, по мнению Дмитрия Дудко («АйТи»), качество услуг сервис-провайдеров снизится, а операционные расходы существенно возрастут. «Правила игры для иностранных облачных сервис-провайдеров несколько усложнились. Но если российский рынок вносит значительный вклад в общий оборот компании, она перестроит бизнес в соответствии с новым законодательством», – убежден Денис Матеев, глава представительства ESET в России и СНГ. Однако, по его мнению, новые реалии не окажут существенного влияния на рынок облачных сервисов.

Михаил Луковников («ТрастИнфо») полагает, что число российских клиентов, использующих облачные сервисы и услуги ЦОД от зарубежных поставщиков, безусловно уменьшится, однако это не изменит расклад сил на глобальном рынке. Что касается российского рынка публичных и частных облаков, на него новый закон может оказать положительное влияние. «Компании, которые уже начали переход к российским провайдерам, обнаружили, что их сервисные предложения по качеству и широте не уступают, а во многих случаях и превосходят уровень зарубежных. Рынок не стоит на месте, у российских провайдеров накоплена обширная проектная практика и возможность адаптировать лучшие мировые наработки для проектов в России», – уверен Михаил Луковников.

Материал опубликован в журнале «IT-Manager», 28.09.2015