ПОЛИТИКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

ИП Макаренко А. Г. / Онлайн‑сервис «Gorizont‑team.ru»
Версия от «02» августа 2025 г.

1. Назначение и сфера действия
1.1. Политика устанавливает единые требования к защите информационных активов Сервиса «Gorizont‑team.ru», размещённого на платформе Tilda Publishing и интегрирован с сервисами BookNow и ЮKassa.
1.2. Обязательна для всех сотрудников, специалистов, подрядчиков, имеющих доступ к активам Сервиса.
1.3. Основой являются: ФЗ‑152, ГОСТ Р 57580.1‑2017, приказ ФСТЭК № 239, метод. рекомендации Роскомнадзора‑2025, ISO/IEC 27001:2022, PCI‑DSS v4.0.

2. Определения
  • Информационный актив — данные, ПО, оборудование, репутация.
  • Критический инцидент — утечка ПДн, простой Сервиса > 60 мин или ущерб > 100 000 ₽.
  • Владелец актива — лицо, определяющее ценность и доступ.


3. Роли и ответственность
  • Собственник бизнеса — Макаренко А. Г.; утверждает политику, обеспечивает ресурсы.
  • Ответственный за ИБ / DPO — Макаренко А. Г.; ведёт реестр ПДн, журнал инцидентов, общается с РКН.
  • Системный администратор — управляет облачными ресурсами Tilda, Selectel, мониторингом и резервным копированием.
  • Разработчики/подрядчики — обязаны соблюдать Secure Coding Guidelines, проводить код‑ревью и исправлять уязвимости.
  • Специалисты сервиса — используют систему BookNow только через корпоративные учётки; разглашение логина запрещено.


4. Классификация активов
  1. Публичные — контент сайта, SEO‑материалы. Защита: контроль целостности Git‑репозитория, доступ «только чтение» для подрядчиков.
  2. Конфиденциальные — фин отчёты, переписка. Защита: TLS 1.3, доступ через Google Workspace с 2FA, шифрование Google Drive.
  3. Персональные данные (ПДн) — Ф. И. О., контакты, cookie, IP‑адреса. Защита: AES-256 в базе BookNow, маскирование IP в Метрике, журнал доступа.
  4. Критические — токены ЮKassa (формат token, без хранения PAN)

5. Платформенная и физическая безопасность
  • 5.1. Витрина сайта (Tilda Publishing, РФ)Хостинг — Tilda Cloud (ДЦ Selectel, Москва/Санкт-Петербург, Tier III).
  • Назначение — хранение статических страниц, медиа-контента, маркетинговых виджетов.
  • Персональные данные не кешируются: формы бронирования и обратной связи реализованы через iframe BookNow, данные сразу поступают в защищённое хранилище BookNow и на сайт не сохраняются.
  • 5.2. Платформа бронирования BookNow (ООО «БУКНАУ», РФ)Дата-центры — Selectel (Москва, СПб) и Ростелеком (Калуга), Tier III, ISO 27001.
  • Шифрование БД — AES-256-GCM «при покое»; резервные копии — 30 дней в отдельном кластере Selectel Object Storage (шифрование — AES-256, TLS 1.3).
  • Доступ администраторов — VPN WireGuard + 2FA; секреты в HashiCorp Vault (HSM).
  • Назначение — хранение записей клиентов, уведомления, CRM-функции.
  • 5.3. API-микросервисы Оператора (Selectel, РФ)Размещение в приватном Kubernetes-кластере Selectel; отказоустойчивость — 3 зоны доступности.
  • Используются для авторизации, расчёта цен, выдачи информации на витрину.
  • Обмен с BookNow осуществляется по REST API через приватный Peering VLAN, шифрование — TLS 1.3.
  • 5.4. Резервное копированиеОсновные бэкапы (сайт, API) — Selectel Object Storage (Москва), сохранность — 30 дней (7 hot + 23 cold).
  • DR-копии (архив) — Ростелеком Cloud Storage, сохранность — 90 дней; шифрование на клиенте AES-256 перед загрузкой.
  • 5.5. Механизмы защитышифрование данных в покое (AES-256) и при передаче (TLS 1.3, HSTS);
  • изоляция prod-среды от test/dev;
  • role-based access control (минимум привилегий);
  • SIEM-мониторинг + журналирование (90 дней hot, 365 дней cold storage);
  • ежегодный penetration-тест и оценка соответствия мер защиты (моделирование угроз в соответствии с Методикой ФСТЭК 2022 г.);
  • реагирование на инциденты по ГОСТ Р ISO/IEC 27035-2021.
5.6. Сроки хранения данных
Персональные данные хранятся только столько времени, сколько необходимо для достижения заявленных в настоящей Политике целей либо для исполнения требований закона.
  • Данные учётной записи Пользователя (имя, e-mail, номер телефона, история бронирований) сохраняются до момента самостоятельного удаления Пользователем аккаунта и ещё шесть месяцев в карантинном режиме — это необходимо для предотвращения случайной утраты информации и расследования возможных инцидентов.
  • Финансовые документы и сведения, подтверждающие расчёты (чеки, акты, выписки ЮKassa), хранятся пять лет во исполнение статьи 21 Федерального закона № 402-ФЗ «О бухгалтерском учёте».
  • Журналы безопасности и событий (логи авторизации, изменения прав доступа, системные ошибки) сохраняются не менее 365 дней, что соответствует требованиям приказа ФСТЭК РФ № 239 и Методики моделирования угроз 2022 года.
  • Обезличенные аналитические данные (агрегированная статистика посещений и продаж) могут храниться и обрабатываться до трёх лет в маркетинговых и статистических целях, после чего подлежат удалению или дальнейшему хранению исключительно в обезличенном виде.

5.7. Трансграничная передачаНе осуществляется, за исключением случаев, прямо предусмотренных законодательством РФ или отдельно согласованных с Пользователем.


  • 6. Управление доступом
Модель: RBAC + Principle of Least Privilege (минимально-необходимые права).
  • Аутентификация: единый вход Google Workspace (SAML SSO) + обязательная 2-FA (основной фактор — FIDO2-ключ, резервный — TOTP-приложение).
  • On / Off-boarding-чек-лист:
  1. отключить SSO-учётку; 2) отозвать VPN-/SSH-ключ; 3) исключить из групп доступа GitLab, BookNow, Grafana; 4) задокументировать событие в Service Desk.

7. Криптография
  • Каналы связи: TLS 1.3 + HSTS (315 360 00 сек), конфигурация сервера — рейтинг A+ по SSL Labs.
  • Данные «в покое»: резервные копии PostgreSQL шифруются AES-256-GCM; ключи хранятся в HashiCorp Vault (HSM, ГОСТ Р 34.12-2015) и ротируются каждые 6 месяцев.
  • Платёжная информация: ЮKassa передаёт только токены формата token; PAN-данные у Оператора и BookNow не сохраняются.

8. Сетевая безопасность
  • Периметр: Cloudflare WAF (Managed Rules OWASP Top-10 2025, Bot Fight Mode).
  • Geo-фильтр: блокировка TOR exit-нод и стран из списка санкционных/военных рисков (Иран, КНДР, Украина и др.).
  • Защита L3-L7: Cloudflare DDoS для домена gorizont-team.ru; статический контент на Tilda — собственный анти-DDoS CDN.
  • Сегментация VPC: DMZ (frontend) → APP (backend) → DB; default-deny, разрешения по белым спискам.

9. Логирование и мониторинг
  • Системные журналы: Grafana Loki + Promtail, retention 90 дней (hot) / 365 дней (cold).
  • Действия пользователей BookNow: суточный экспорт audit-trail в Selectel Object Storage (формат JSON, AES-256).
Alerting: канал @gt_sec_alerts в Telegram; события уровня critical дублируются SMS-уведомлением владельцу.

10. Резервное копирование и восстановление (Disaster Recovery)
База данных PostgreSQL
  • Ежесуточно выполняется полный pg_dump, а каждые 15 минут архивируются журналы WAL.
  • Бэкапы загружаются в объектное хранилище Selectel (территория РФ) через зашифрованный канал TLS 1.3; данные в хранилище зашифрованы AES-256.
  • Срок хранения резервных копий — 30 дней.

Контейнерные образы Docker
  • При каждом релизе актуальный образ отправляется в приватный Registry на Selectel OS.
  • Скрипт-cron выполняет тестовое восстановление и запуск контейнера раз в неделю; результаты протоколируются в Service Desk.

Статический контент Tilda
  • Один раз в неделю осуществляется экспорт проекта в архив .zip, который сохраняется на локальном NAS-сервере (RAID-6, шифрование дисков AES-256).
  • Контрольная сверка целостности SHA-256 выполняется автоматически после копирования.

Целевые показатели устойчивости
  • RTO (максимальное время простоя) — не более 4 часов.
  • RPO (потеря данных) — не более 15 минут.

Периодический аудит DR-процедур
  • Раз в квартал производится выборочное восстановление среды «под ключ» (база, образы, статика) на тестовом кластере; результаты и отклонения фиксируются в отчёте DPO.
  • При изменении архитектуры или обнаружении критических уязвимостей сценарии DR-восстановления актуализируются в срок до 10 рабочих дней.
Таким образом, резервное копирование и процессы Disaster Recovery обеспечивают выполнение целевых метрик RTO/RPO и соответствуют требованиям приказа ФСТЭК № 239, ГОСТ Р ISO/IEC 27031-2021 и отраслевой лучшей практике.

11. Управление уязвимостями
  • S-AST/D-AST: OWASP ZAP — для каждого релиза.
  • Dependency-scans: Dependabot / npm audit fix — еженедельно; критические CVSS ≥ 9 устраняются ≤ 24 ч.
  • Внешний аудит: OpenVAS — ежеквартально; отчёты хранит DPO.

12. Менеджмент инцидентов
  1. Обнаружение: SOC-алёрт / обращение пользователя.
  2. Классификация: низкий → средний → высокий → критический.
  3. Локализация: остановка сервиса, ротация ключей, откат релиза.
  4. Устранение: патч, удаление вредоноса, верификация.
  5. Уведомления: — Роскомнадзор ≤ 72 ч при утечке ПДн; — Пользователи ≤ 24 ч.
  6. Post-mortem: детальный отчёт, корректировка политики и контрольных процедур.

13. Обучение персонала
  • Вводный инструктаж ИБ + ФЗ‑152.
  • Ежегодное e‑learning «Secure Coding, GDPR, ФЗ‑152».
  • Фишинг‑симуляция раз в квартал; успешный клик < 5 %.

14. Аудит и пересмотр
  • Внутренний аудит — min 1 раз в год (чек‑лист ИБ + PCI).
  • Внешний аудит — по запросу партнёров; отчёт хранит DPO.
  • Пересмотр Политики — при значимых изменениях или ежегодно.
15. Ответственность
Нарушение Политики влечёт дисциплинарную, административную или уголовную ответственность.

16. Вступление в силу
Дата: «02» августа 2025 г.
Made on
Tilda