Коробка Битрикс24 и 152-ФЗ: почему данные держат на своём сервере

Коробочная версия Битрикс24 разворачивается на сервере самой компании - все персональные данные, файлы и история сделок физически остаются в её контуре. Для госсектора, банков, медицины и объектов КИИ это не вопрос удобства, а требование регуляторов и корпоративной политики безопасности.

Облако и коробка: в чём принципиальная разница для данных

В облачном Битрикс24 данные хранятся в дата-центрах оператора. Для российских порталов в зоне .ru это серверы АО «Корп Софт» и ООО «Цифровое облако» (VK Cloud) - все площадки расположены в Москве, на территории РФ. Это закрывает базовое требование локализации, но не даёт компании прямого контроля над инфраструктурой.

Коробочная версия устанавливается на сервер самой компании - в собственном ЦОДе, на арендованном выделенном сервере или в частном облаке внутри корпоративной сети. Как следствие:

компания сама определяет физическое расположение данных;
компания сама решает, кто имеет доступ к серверу и базе данных;
компания сама конфигурирует резервное копирование, шифрование и сетевую изоляцию;
интеграция с внутренней ИБ-инфраструктурой (SIEM, DLP, корпоративный PKI) выполняется без посредников.

Это принципиальное отличие от облака, где перечисленные параметры определяет вендор.

Подробнее о мотивах перехода читайте в статье «Почему растущие компании переводят Битрикс24 в коробку».

Коробка и 152-ФЗ: что даёт свой сервер

Федеральный закон № 152-ФЗ «О персональных данных» (п. 5 ст. 18) обязывает операторов при сборе персональных данных граждан РФ обеспечивать их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации.

Коробочный Битрикс24, развёрнутый на сервере в РФ, помогает выстроить соответствие этому требованию: данные физически не покидают российскую инфраструктуру, трансграничная передача исключена на уровне архитектуры.

Кроме того, компания становится единственным оператором своих данных в полном смысле слова - она самостоятельно организует и осуществляет их обработку, определяет цели и несёт всю ответственность. В облачной схеме 1С-Битрикс24 выступает обработчиком по поручению оператора, что добавляет договорный уровень и ограничивает прямой контроль.

Важная оговорка. Сам факт установки коробки на свой сервер не означает автоматического соответствия 152-ФЗ. Соответствие - это комплекс: организационные меры, технические средства защиты, регламенты, назначение ответственного лица, уведомление Роскомнадзора. Коробка лишь создаёт инфраструктурную основу, которой в облаке нет. Для формального подтверждения соответствия рекомендуем привлекать профильных специалистов по информационной безопасности.

Кому особенно важен свой контур

Запрос на коробочное развёртывание устойчиво исходит из нескольких отраслей.

Госсектор и государственные компании

Государственные органы и компании с госучастием нередко обязаны обрабатывать данные исключительно в государственной или ведомственной инфраструктуре. Облачные SaaS-решения, даже российские, требуют дополнительного согласования или прямо запрещены внутренними регламентами. Коробка разворачивается в периметре ведомственной сети и не создаёт внешних зависимостей.

Банки и финансовые организации

Банк России устанавливает требования к защите информации (ГОСТ Р 57580, положения 683-П, 719-П), которые предполагают контроль над инфраструктурой обработки данных. CRM с клиентской базой, историей операций и документами по сделкам должна вписываться в аттестованный контур. Коробочный Битрикс24 допускает интеграцию с корпоративными средствами защиты и журналирования.

Страховые компании

Страховщики хранят чувствительные персональные данные: паспортные данные, медицинские сведения, имущественное положение клиентов. Внутренние политики ИБ и требования регулятора (ЦБ РФ) часто предписывают держать такие данные в собственном контуре.

Медицина

Медицинские организации работают с врачебной тайной и специальными категориями персональных данных (ст. 10 152-ФЗ). Для них требования к защите заведомо жёстче, чем для общего случая. Коробка позволяет держать базу пациентов, историю обращений и документы на сервере клиники - без передачи третьим лицам.

Пример типовой конфигурации для медицинского центра: «Битрикс24 для медицинского центра и реабилитационной клиники».

Объекты КИИ (187-ФЗ)

Компании, признанные субъектами критической информационной инфраструктуры (энергетика, транспорт, телеком, химическая промышленность и др.), обязаны выполнять требования 187-ФЗ и приказов ФСТЭК. Значимые объекты КИИ должны использовать сертифицированные или аттестованные информационные системы. Коробочный Битрикс24 имеет сертификат ФСТЭК России № 4750 (выдан 13.12.2023, действует до 13.12.2028) на версию «Энтерпрайз» - это подтверждение соответствия 4-му уровню доверия согласно требованиям ФСТЭК 2020 года. Сертификат подтверждает функции идентификации, аутентификации, управления доступом и регистрации событий безопасности.

Что коробка даёт сверх облака в контексте ИБ

Как в коробочном сценарии все компоненты остаются внутри корпоративного периметра: Битрикс24 взаимодействует с внутренними системами напрямую, без выхода наружу.

flowchart LR
    subgraph Периметр компании
        B24[Битрикс24\nкоробка]
        DB[(База данных\nна своём сервере)]
        IB[Средства защиты ИБ\nSIEM / DLP / WAF]
        AD[AD / LDAP]
        ONE_C[1С / ЗУП]
        B24 <--> DB
        B24 <--> IB
        B24 <--> AD
        B24 <--> ONE_C
    end
    Users[Сотрудники] --> B24

Конкретные преимущества коробки перед облаком в части информационной безопасности:

Параметр	Облачный Битрикс24	Коробочный Битрикс24
Физическое расположение данных	Дата-центры вендора (РФ)	Сервер компании - любое место на выбор
Управление резервными копиями	На стороне вендора	Полностью в руках компании
Интеграция с корпоративными СЗИ	Ограничена	Прямая (SIEM, DLP, WAF, СКЗИ)
Сетевая изоляция	Нет	Полная - вплоть до air-gap
Свой SSL-сертификат	Нет	Да
Работа в закрытом контуре	Нет	Да (часть инструментов настраивается на серверах компании)
Интеграция с AD / LDAP	Ограничена тарифом	Поддерживается
Журналирование событий безопасности	Частичное	Полное, с доступом к backend
Сертификат ФСТЭК	Нет	№ 4750, версия «Энтерпрайз»

Закрытый контур. Коробочный Битрикс24 может работать в полностью изолированной сети - без доступа к внешним серверам. Часть инструментов в таком режиме недоступна (они по умолчанию обращаются к облачным серверам Битрикс24), но их можно настроить для работы внутри сети компании через поддержку вендора.

Политика безопасности. В коробке настраивается гибкая политика сессий: привязка к IP-адресу или маске сети, срок активности авторизации, максимальное число одновременных сессий на пользователя, контрольное слово для восстановления пароля. Для группы администраторов действует автоматически повышенный уровень безопасности.

Защита мобильного приложения. Для чувствительных отделов можно включить запрет на скриншоты и копирование текста в мобильном приложении - на уровне конкретных сотрудников или подразделений.

Если вы ещё не переходили на коробку - изучите пошаговый план перехода с облака.

Честные оговорки: коробка ≠ автоматическое соответствие

Несколько вещей, которые важно понимать до принятия решения:

Сервер требует защиты. Ответственность за безопасность сервера, операционной системы, СУБД и сетевого окружения полностью переходит к компании. Вендор поставляет специальный пакет «Битрикс: Виртуальная машина» - преднастроенный стек серверного ПО - но администрировать его нужно самостоятельно.

Нужны организационные меры. 152-ФЗ требует не только технической защиты, но и: назначения ответственного за обработку ПД, утверждения политики, регламентов, журналов обращений. Это не автоматизируется установкой коробки.

Уведомление Роскомнадзора обязательно. С 1 сентября 2022 года операторы персональных данных обязаны уведомить Роскомнадзор. Коробочная установка не освобождает от этой обязанности.

Обновления - ваша ответственность. В облаке обновления приходят автоматически. В коробке их нужно устанавливать самостоятельно. Устаревшее окружение (например, CentOS 7, которая вышла из поддержки) создаёт реальные риски безопасности - об этом подробнее в статье «Почему пора обновить коробочный Битрикс24».

Аттестация - отдельный процесс. Наличие сертификата ФСТЭК на продукт не означает автоматической аттестации вашей информационной системы. Для объектов КИИ и ГИС аттестация проводится отдельно по требованиям регулятора.

Про ИИ-функции - отдельная тема. Если вы используете ИИ-инструменты Битрикс24, данные для их работы могут обрабатываться иначе, чем основные данные CRM. Подробнее об этом - в статье «Где ИИ Битрикс24 обрабатывает данные: приватность, 152-ФЗ и контроль».

Как АС Проект помогает с внедрением в регулируемых отраслях

АС Проект - платиновый партнёр Битрикс24 - имеет опыт внедрения коробочной версии в организациях, работающих в условиях требований к защите персональных данных. По нашей практике, проекты в регулируемых отраслях имеют ряд типовых особенностей:

Предпроектное обследование включает аудит существующей инфраструктуры и требований ИБ-службы до начала работ.
Техническое задание учитывает ограничения сетевого контура, требования к журналированию и интеграциям с внутренними системами (1С, AD, СКЗИ).
Закрытый контур проектируется заранее - определяется, какие модули Битрикс24 работают офлайн, а какие требуют настройки на внутренних серверах.
Резервное копирование настраивается под требования регламентов компании - схемы, частота, хранение резервных копий.

Если вам нужна консультация по развёртыванию коробки с учётом требований 152-ФЗ или 187-ФЗ - напишите нам на info@acp-24.ru. Обсудим задачу и предложим подходящую конфигурацию.