Переход в облако без аудита договора с провайдером — это риск штрафов до 18 млн рублей по новым поправкам в КоАП за утечку персональных данных. Для бухгалтерии, где сосредоточены ПДн сотрудников и контрагентов, критически важна не просто «безопасность», а строгое соответствие 152-ФЗ и локализация баз данных на территории РФ.
Локализация данных: где физически лежат базы
Согласно ст. 18.1 закона 152-ФЗ, первичный сбор и хранение персональных данных граждан РФ должны осуществляться на серверах внутри страны. На практике это означает, что использование зарубежных SaaS-решений (например, старых версий QuickBooks или зарубежных CRM с модулями учета) без зеркалирования данных в РФ незаконно. Ошибка многих компаний — верить фразе «сервера в Европе/США, там безопаснее». С точки зрения Роскомнадзора, это прямое нарушение, которое может привести к блокировке ресурса в течение 24-48 часов после выявления.
Кейс: Компания с оборотом 500 млн руб. использовала облачный сервис с серверами в Нидерландах. При проверке выяснилось, что база сотрудников (ФИО, ИНН, паспортные данные) хранится вне РФ. Результат: предписание об устранении нарушений и риск административного штрафа. Переход на российское Облачное ПО для бухгалтерии решил проблему за 3 рабочих дня.
Вывод эксперта: Выбирайте только тех провайдеров, которые предоставляют адрес ЦОД в РФ и готовы зафиксировать это в SLA. Любое «облако» без российского дата-центра — юридическая мина.
Статус провайдера: оператор или обработчик данных
Главная юридическая ошибка — отсутствие договора о поручении обработки персональных данных. В схеме «Компания → Облачный сервис» компания остается Оператором, а провайдер становится лицом, осуществляющим обработку по поручению. Если в договоре нет четкого перечня действий с данными (сбор, систематизация, хранение), ответственность за любую утечку целиком ложится на бухгалтера и гендиректора, а не на сервис.
Проверьте, включены ли в договор следующие пункты: обязательство провайдера соблюдать конфиденциальность, требования к технической защите (согласно приказам ФСТЭК и ФСБ) и порядок уведомления об инцидентах. В среднем, качественный договор на обслуживание облачной 1С занимает 15-20 страниц и включает детальное приложение по безопасности.
Вывод эксперта: Не подписывайте типовые «оферты» на одну страницу. Требуйте полноценный договор поручения на обработку ПДн, иначе вы не сможете переложить ответственность на провайдера в случае взлома.
Уровни защиты и требования ФСТЭК
Для бухгалтерского ПО критичен уровень защищенности ПДн (УЗ). Большинство компаний попадают под 3-й или 4-й уровень. Это диктует требования к шифрованию: использование TLS 1.2/1.3 для передачи данных и AES-256 для хранения. Если провайдер использует устаревший SSL или не имеет сертификации ЦОД по стандарту TIA-942 (уровня Tier III и выше), вероятность потери данных при сбое или кражи ключей возрастает в разы.
Сравните: дешевые хостинги за 500-1000 руб./мес часто экономят на бэкапах, делая их раз в неделю. Профессиональное Облачное ПО для бухгалтерии с соблюдением норм безопасности обеспечивает инкрементные бэкапы каждые 15-60 минут и хранение копий в двух географически разнесенных ЦОД.
Вывод эксперта: Цена ниже 3000-5000 руб. за полноценный облачный сервер для компании из 5+ человек часто означает экономию на безопасности. Это неоправданный риск при стоимости восстановления данных из «битого» бэкапа от 50 000 руб. и выше.
Правовой разбор: SaaS против VDS/VPS
С юридической точки зрения разница между SaaS (готовое приложение) и VDS (аренда виртуального сервера с установленным ПО) колоссальна. В SaaS вы доверяете данные вендору, который сам управляет обновлениями. В VDS вы сами отвечаете за настройку прав доступа и установку патчей безопасности. Ошибка в настройке прав доступа (например, открытый порт RDP) делает вас виновным в утечке, даже если сервер принадлежит провайдеру.
Кейс: В SaaS-решении ошибка в коде провайдера ведет к утечке — виноват вендор. В VDS бухгалтер оставил пароль «123456» на административном доступе → данные украли → провайдер не виноват, так как обеспечивал только доступ к «железу» и виртуализации.
Вывод эксперта: Для малого бизнеса (до 10 чел.) идеален SaaS — минимум ответственности за администрирование. Для среднего бизнеса с кастомными доработками лучше VDS, но только при наличии системного администратора, который закроет дыры в безопасности.
Вывод
Юридическая легитимность облачного учета держится на трех столпах: локализация серверов в РФ, договор поручения обработки ПДн и соответствие ЦОД уровню защищенности ФСТЭК. Мой вердикт: избегайте бесплатных или сверхдешевых сервисов без прозрачного договора. Оптимальный выбор — российские облачные провайдеры с сертификатом Tier III, предлагающие гибридную модель: стандартный SaaS для базовых функций и VDS для кастомизированных баз. Начните с аудита текущего договора: если в нем нет пункта о локализации данных в РФ — меняйте провайдера немедленно.