Политика хранения документов для передачи файлов

Политика хранения документов для инструментов передачи файлов определяет, как долго загруженные файлы остаются на серверах, когда происходит автоматическое удаление, каким образом юридическая блокировка приостанавливает удаление и кто вправе изменять настройки по умолчанию. По 152-ФЗ персональные данные российских граждан должны первично обрабатываться на серверах, расположенных в России, — а значит, хранение файлов с персональными данными требует задокументированных сроков и технически подтверждённого удаления. Для большинства организаций оптимальная схема: 7-дневный срок по умолчанию для разовых передач, отдельный архивный маршрут для документов под требованиями длительного регуляторного хранения и неизменяемый флаг юридической блокировки. Политика должна быть задокументирована, согласована юридическим отделом и технически исполнена — не просто описана.

Зачем инструментам передачи нужна отдельная политика

Политика хранения, разработанная для корпоративного хранилища или DMS, не переносится на сервисы передачи файлов. Инструменты передачи по своей природе временны: файл хранится несколько дней, пока получатель его не скачает. Смешение двух ролей порождает типичные ошибки. Первая — использование ссылки передачи как «архива» (файл исчезнет по истечении срока). Вторая — хранение данных передачи слишком долго, что создаёт ответственность за записи, которые должны находиться в DMS.

Политика должна чётко указывать: инструменты передачи — курьеры, а не склады. Всё, что требует длительного хранения, копируется в назначенный репозиторий до истечения срока действия ссылки. Роскомнадзор (Роскомнадзор) при проверках соответствия 152-ФЗ рассматривает именно технически подтверждённое удаление, а не просто декларацию о намерениях.

Рабочие окна истечения срока

7-дневный срок по умолчанию подходит для большинства деловых передач. Получатели обычно скачивают файлы в течение 48 часов, а оставшееся время покрывает часовые пояса и задержки. Для чувствительных категорий — медицинских сведений, платёжной информации, персональных данных — срок в 24 часа или режим «истечение после первой загрузки» соответствует принципу минимальной необходимости, закреплённому в 152-ФЗ. Для долгосрочных проектов, таких как строительные тендеры или комнаты due diligence, подходит срок от 30 до 90 дней.

Выбирайте значения по умолчанию исходя из сценария использования, а не единой цифры для всего. При этом каждое отклонение от базового срока должно фиксироваться в журнале с указанием основания.

Автоматическое удаление и криптографическое стирание

Механизм удаления имеет значение для доказательства соответствия требованиям. Используются два подхода. Удаление на уровне файла убирает объект из основного хранилища и реплик, после чего резервные копии истекают в течение нескольких недель — это слабое место при проверках. Криптографическое стирание шифрует каждый файл уникальным ключом; при наступлении срока удаления ключ уничтожается. Зашифрованный текст немедленно становится нечитаемым, даже если он физически ещё присутствует в резервной копии.

NIST SP 800-88 Rev. 1 принимает уничтожение ключей как допустимый метод санитарной очистки зашифрованных носителей. Для журнала аудита это даёт чистую картину: событие с временной меткой и идентификатором файла, а не размытое ожидание ротации резервных копий.

Рабочий процесс юридической блокировки

Когда судебный процесс обоснованно ожидается, автоматическое удаление соответствующих файлов должно быть приостановлено. Рабочий процесс: юридический отдел определяет хранителей и типы файлов, ИТ или администратор помечает соответствующие передачи, система блокирует удаление до снятия блокировки, а журнал аудита фиксирует объём и длительность блокировки.

Инструменты без флага юридической блокировки вынуждают экспортировать всё в систему хранения — это дорого и чревато пропусками. Для небольших организаций задокументированный ручной экспорт в WORM-архив до наступления блокировки работает, но политика должна предписывать еженедельные проверки в ходе судебного разбирательства.

Согласование хранения с регуляторными требованиями

Разные регуляторы устанавливают разные минимальные сроки. В российском контексте 152-ФЗ требует хранить персональные данные только в течение срока, необходимого для достижения цели обработки, а 242-ФЗ обязывает первично хранить персональные данные российских граждан на серверах в России. ФСТЭК устанавливает требования к защите информации в государственных информационных системах, включая сроки и процедуры удаления.

Для организаций, работающих с международными стандартами: HIPAA предусматривает 6 лет для журналов аудита, SOX — 7 лет для рабочих документов аудита, FINRA 4511 и SEC 17a-4 — от 3 до 6 лет для брокерско-дилерских записей, ITAR — 5 лет. Построение графика хранения означает сопоставление каждой категории документов с наиболее длительным применимым требованием.

Подтверждение работоспособности политики

Политика хранения без доказательств — это намерение. Ежеквартальные выборочные проверки должны охватывать образец передач и подтверждать: был ли файл удалён по расписанию, зафиксировано ли удаление в журнале, была ли приостановлена автоматическая очистка при наличии юридической блокировки. Ежегодный аудит охватывает полноту политики.

При проверках Роскомнадзором потребуются: график хранения, конфигурация инструмента и образцы журналов удаления. SOC 2 Type II в рамках TSC CC6.5 специально проверяет контроль хранения и удаления. ISO 27001 при повторной сертификации также запрашивает выборки событий удаления.

Управление действиями пользователей

Политики дают сбой, когда пользователи их обходят. Технические средства помогают: отключите локальное скачивание там, где это возможно, наносите водяные знаки на чувствительные файлы с помощью инструментов вроде Seclore или Azure Information Protection, и проверяйте журналы загрузок, а не только выгрузок.

Обучение при найме и ежегодные повторные инструктажи, чёткие формулировки в политике допустимого использования и последствия за нарушения, прописанные в трудовых договорах, — ключевые меры контроля. Политика хранения настолько сильна, насколько осознанно себя ведёт самый слабый пользователь.

Трансграничные аспекты

Файл, переданный из Москвы в Берлин, может одновременно подпадать под требования 152-ФЗ и GDPR. Когда они расходятся, применяется более строгий стандарт, но анализ должен быть задокументирован. Для смешанных регионов политика должна указывать, нормы какой юрисдикции применяются к каждой категории файлов. Транснациональные организации нередко принимают политику «наивысшего общего знаменателя»: если хотя бы одна регулируемая категория требует семи лет, весь этот рабочий процесс следует семилетнему сроку.

HexaTransfer по умолчанию использует 7-дневный срок действия с криптографическим стиранием (ключи уровня файла уничтожаются при удалении), работает на инфраструктуре ЕС и предоставляет журналы на уровне каждой загрузки. Попробуйте на hexatransfer.com — бесплатно, без регистрации, максимум 10 ГБ.

Цель политики хранения — не хранить всё вечно и не удалять всё немедленно. Это способность дать защищённый, последовательный ответ на вопрос «почему этот файл ещё здесь?» или «почему вы его удалили?». Сопоставьте типы документов со сроками хранения, выберите инструменты передачи, которые технически соблюдают эти сроки, и фиксируйте переходы в журнале. В этом и состоит вся работа.