После серии атак беспилотников на российские дата-центры крупнейшие интернет-компании попросили разрешить хранить и обрабатывать персональные данные россиян за рубежом. Бизнес предлагает временно переносить критически важные системы в дружественные страны, если российская инфраструктура выходит из строя.
Ассоциация компаний интернет-торговли (АКИТ), объединяющая Ozon, Wildberries, «Яндекс Маркет», «Купер» и другие крупные площадки, 15 октября направила письмо премьер-министру Михаилу Мишустину. Организация предлагает создать специальный правовой режим для компаний, пострадавших от масштабных аварий и повреждений цифровой инфраструктуры. В АКИТ подтвердили обращение к правительству.
Предлагаемый механизм позволит размещать приложения, базы данных и другие критически важные системы в зарубежных резервных центрах обработки данных (ЦОД), когда обеспечить их работу на российских площадках невозможно. Разрешение должно действовать только на период восстановления инфраструктуры. АКИТ предлагает установить предельный срок применения специального режима до 1 марта 2028 года, после чего временное исключение прекратит действовать.
Свободно переносить серверы за границу компаниям не разрешат даже при принятии инициативы. Для запуска специального режима потребуется официально подтвердить происшествие, доказать невозможность обеспечить работу критических систем в России и выполнить требования информационной безопасности. Перечень допустимых государств определит уполномоченный орган, а порядок выдачи разрешений АКИТ предлагает разработать совместно с Минцифры и Роскомнадзором.
Ассоциация также просит не вводить дополнительные платежи за международный интернет-трафик, необходимый для создания резервных копий и восстановления сервисов. После устранения последствий аварии компании должны будут вернуться к обычному порядку обработки персональных данных. Помимо зарубежного резервирования, АКИТ предложила налоговые отсрочки, мораторий на проверки и льготы для восстановления повреждённых объектов.
Главным препятствием остаётся российское законодательство. С 1 июля 2025 года действуют ужесточённые требования к локализации данных. При сборе персональной информации граждан России запрещено использовать зарубежные базы для её записи, накопления, хранения и обновления, за предусмотренными законом исключениями. Для пострадавших компаний АКИТ предлагает временно отступить от действующих ограничений.
При этом полный запрет на передачу персональных данных за границу отсутствует. В разъяснениях Минцифры от 12 мая 2025 года говорится, что сведения, первоначально собранные в российских базах, допускается передавать за рубеж при соблюдении установленных требований. Однако хранить персональные данные, включая резервные копии, собирающие их операторы должны с использованием российских баз. Поэтому перенос рабочих систем в иностранный ЦОД нельзя автоматически приравнивать к разрешённой трансграничной передаче.
Предложенная схема содержит ещё одно противоречие. Эксперт по защите персональных данных Алексей Мунтян обратил внимание, что специальный режим планируют включать только после подтверждённой аварии. Компании, которые хотят заранее подготовить зарубежную инфраструктуру на случай катастрофы, не смогут воспользоваться таким исключением до происшествия. Для защиты информации эксперт рекомендует шифровать зарубежные копии, хранить ключи в России и сохранять ответственность оператора перед пользователями.
Поводом для обращения стала серия ударов по инфраструктуре «Яндекса». В ночь с 7 на 8 октября беспилотники серьёзно повредили дата-центр в Сасове Рязанской области, после чего компания полностью остановила площадку. Утром 9 октября пострадал комплекс в Калуге, где часть оборудования вышла из строя. В ночь на 11 октября беспилотники атаковали ещё один дата-центр во Владимире. Его работу также пришлось остановить.
Последствия затронули не только внутренние системы «Яндекса». Облачная платформа Yandex Cloud потеряла доступность двух зон размещения вычислительных ресурсов и перешла в аварийный режим. Пользователи столкнулись с перебоями в «Яндекс Go», «Яндекс Пэй», «Яндекс Еде» и других сервисах. Массовые сбои затронули и сторонние компании, хотя связь каждой неполадки с атаками на дата-центры отдельно не подтверждена.
Повреждение сразу нескольких площадок показало ограниченность привычного географического резервирования, когда сервисы распределяют между дата-центрами в разных регионах. Даже при наличии резервных копий для восстановления нужны свободные серверы, системы хранения, электропитание и каналы связи. Yandex Cloud временно ограничила выделение дополнительных вычислительных ресурсов и рекомендовала клиентам рассматривать альтернативные площадки для восстановления инфраструктуры.
Угроза затронула и финансовый сектор. В ночь на 14 октября беспилотники атаковали центр обработки данных Сбербанка в Балаково Саратовской области. Первый заместитель председателя правления банка Александр Ведяхин подтвердил происшествие, но заверил, что все системы и сервисы работают штатно. Глава Минцифры Максут Шадаев ранее назвал масштаб атак на дата-центры «Яндекса» беспрецедентным и сообщил, что ведомство обсуждает защиту подобных объектов совместно с Минобороны.
Ассоциация больших данных, объединяющая «Яндекс», VK, Сбербанк, ВТБ, МТС и другие крупные компании, поддержала идею временного зарубежного резервирования. По оценке объединения, российская инфраструктура строилась без учёта нынешних рисков масштабных физических атак, а быстро восстановить критически важные системы внутри страны удаётся не всегда. При этом ассоциация выступает за развитие отечественных ЦОД и считает зарубежные мощности дополнением, а не заменой российской инфраструктуры.
Однако перенос крупных вычислительных систем за границу осложняют не только юридические ограничения. Партнёр ComNews Research Леонид Коник оценивает потребность большого дата-центра в электроэнергии на уровне 50–80 МВт. Найти сопоставимые свободные мощности в дружественных странах непросто, а создание нового комплекса требует времени. Даже разрешение правительства не гарантирует, что зарубежный оператор сможет немедленно принять нагрузку крупной российской платформы.
Инициатива АКИТ пока остаётся предложением, а не действующим разрешением. Правительству предстоит решить, допустимо ли временно ослаблять требования к локализации персональных данных ради устойчивости цифровых сервисов и как контролировать безопасность информации за пределами страны. Отдельный вопрос заключается в том, поможет ли аварийный режим, который начинает действовать только после повреждения инфраструктуры, компаниям достаточно быстро восстановить работу.