Минцифры предлагает обязать интернет-сервисы хранить данные об авторизациях пользователей три года
Минцифры вынесло на обсуждение новые антифрод-меры. Один из наиболее заметных пунктов для владельцев сайтов, информационных систем и приложений — обязанность хранить сведения о регистрации, авторизациях и прекращении регистрации пользователей в течение трёх лет. Пока это проект федерального закона, а не действующая обязанность.
Что предлагается
Проект распространяет требование на сайты, веб-страницы, информационные системы и программы, работающие в России. Сведения о регистрации, авторизациях и прекращении регистрации пользователей предлагается хранить три года с момента окончания соответствующих действий.
Состав сведений и порядок их предоставления уполномоченным органам должен быть определён Правительством отдельно. Операторов персональных данных также предлагается обязать передавать в ЕСИА сведения о согласиях на обработку персональных данных, полученных вне ЕСИА.
Планируемая дата вступления основных изменений в силу — 1 марта 2028 года. Общественное обсуждение проекта должно завершиться 15 октября 2026 года, поэтому окончательные формулировки ещё могут измениться.
Почему это важно для ИБ
Трёхлетняя ретенция событий аутентификации превращает журналы доступа из краткосрочного эксплуатационного инструмента в долгоживущий массив данных, для которого придётся обеспечивать полноту, целостность, доступность и контролируемый доступ.
Отдельный вопрос — объём собираемых сведений и наличие в журналах персональных данных. До выхода финальной редакции и подзаконных требований нельзя считать состав обязательных полей определённым.
Что проверить
- какие события регистрации, входа, выхода и удаления учётной записи фиксируются сейчас;
- реальный срок хранения журналов и возможность увеличить его до трёх лет;
- объём хранилища и рост стоимости длительной ретенции;
- защиту журналов от изменения и несанкционированного доступа;
- какие персональные данные и технические идентификаторы попадают в записи;
- как сейчас учитываются согласия на обработку персональных данных.
Что делать
До принятия закона не вводить несуществующие обязательные требования. Практический подготовительный шаг — провести инвентаризацию журналов аутентификации и оценить, сможет ли инфраструктура обеспечить трёхлетнее хранение без потери управляемости и доказуемости.
После публикации окончательного текста потребуется отдельно проверить круг обязанных лиц, состав сохраняемых данных, порядок предоставления сведений и переходные сроки.