Электронный архив: если "облако" взломают — отвечу я?

[advokat]

Храню дела на Yandex Disk. Клиент узнал и возмутился: «Вы нарушили тайну переписки!». Ст. 17 Закона об адвокатуре требует «надлежащей защиты», но нет критериев. Персональные серверы — дорого. Используете российские облака (VK Cloud, SberCloud)? Они действительно безопаснее?

[Yarobor]

Клиент, увы, не совсем не прав в своих опасениях. Yandex Disk – публичное облако общего назначения. Их политики безопасности и доступа к данным (в т.ч. по запросам госорганов) прописаны в оферте, которую вы приняли. Ст. 23 Конституции и ФЗ-152 "О персональных данных" – это база. Но адвокатская тайна – особая категория (ст. 8 ФЗ "Об адвокатской деятельности"). Проблема в том, что "надлежащая защита" в ст. 17 Закона об адвокатуре – это "серая зона". Использование любого публичного облака без дополнительных мер (шифрование на своей стороне ДО загрузки, управление ключами) – это риск. Российские облака (VK, Sber) в этом плане не панацея. Они также подпадают под ФЗ-152 и ФЗ-149 "Об информации" со всеми вытекающими обязанностями по предоставлению данных. Их ЦОДы могут быть сертифицированы ФСТЭК (уровень ЗК), но это про инфраструктуру, а не про ваши конкретные файлы и ваш контроль.

[yuliaandreeva]

Знакомая ситуация. После пары таких "разборов" перешла на связку: 1) Шифрованный контейнер (Veracrypt) на локальном диске для "горячих" и сверхконфиденциальных дел. 2) Для архивов и менее чувствительного – SberCloud Business, но ВСЕ файлы перед заливкой пакуются в запароленный архив (WinRAR с AES-256). Да, неудобно. Да, требует дисциплины. Но так я могу хоть как-то обосновать клиенту, что данные зашифрованы мной и ключ только у меня. Облако – лишь "глупая труба" для хранения "бинарного мусора". Насчет "безопаснее": SberCloud или VK Cloud имеют сертификаты ФСТЭК (УЗ 1, КЗ 1 или 2), что формально лучше, чем отсутствие таковых у публичных иностранных сервисов. Но "безопаснее ли" от запросов? Сомневаюсь. Ст. 10.1 ФЗ-149 обязывает оператора предоставлять информацию по запросу ФСБ, МВД, ФСО и т.д. Облако не может отказать, как бы оно ни называлось.