Контекст. 80 000 контактов клиентов = персональные данные. Oasis — оператор ПДн по 152-ФЗ: хранение в РФ, ограничение доступа, шифрование, аудит, реакция на инциденты.
Подход. Абсолютной невзламываемости не существует — строим эшелонированную оборону: 7 слоёв (сеть, доступы, приложение, шифрование, секреты, бэкапы, аудит) + соответствие 152-ФЗ + правила работы с AI.
Архитектура (3 зоны). Периметр (Nginx HTTPS + VPN + firewall) → приложения (проекты, Git, Docker dev/stage/prod) → закрытая зона данных (PostgreSQL, секреты, логи; без выхода в интернет). Битрикс24 / Google Sheets / телефония стекаются в единую БД в РФ. Бэкапы — шифрованные, в другой ЦОД.
Хостинг. ufo.hosting (ЦОД в РФ = локализация ПДн). Прод — тариф Okul (16 vCPU / 16 ГБ / 210 ГБ NVMe, 5 000 руб/мес), dev/stage — Brachium (977 руб/мес). Запросить поручение на обработку ПДн.
Доступы. Least privilege. Новый разработчик — только dev на обезличенной БД, ПДн недоступны; в прод деплоит админ после ревью. Персональные ключи; увольнение = отзыв доступов в тот же день.
Безопасность. TLS + VPN, шифрование диска и чувствительных полей БД, бэкапы 3-2-1 с проверкой восстановления, секреты в Vault, аудит-логи, уведомление РКН при утечке в 24 часа. AI: реальные ПДн во внешние LLM (Claude) не отправляем.
Бюджет. От ~3 000 руб/мес (эконом) до ~7 200 руб/мес (рекомендуемый). Дешевле любого штрафа за утечку.
Уже работает в OCC. Мультиарендность (company_id), ролевой доступ (PermissionService), шифрование полей (Fernet), 2FA (TOTP), зашифрованные офсайт-бэкапы, автосканер секретов. Не теория — боевая система.
Тезис защиты. Мы не обещаем «нас не взломают». Мы строим так, что пробой одного слоя не открывает данные, инцидент обнаруживается и локализуется за минуты — и всё это в правовом поле 152-ФЗ.