ТОП-10 аттестованных облаков под 152-ФЗ в 2026 году

Штрафы за утечку персональных данных растут. Вместе с ними растёт и цена ошибки: собрать инфраструктуру «хоть как-нибудь» уже не получится, нужна защищённая ИТ-среда для обработки данных, и зачастую — аттестованная под 152-ФЗ.

При этом ПДн есть почти у любой компании. Тут достаточно одного из пунктов, чтобы попасть в их число:

Тогда требования 152-ФЗ касаются и вас.

Приказ ФСТЭК № 21 описывает меры защиты для каждого уровня защищённости (всего их четыре: от УЗ-4 до УЗ-1). Часть из этих мер организационные, часть технические: средства ИБ, настройки, процессы. Для начала нужно собрать все требования, которые необходимо выполнить, и под них искать площадку, опираясь на нужный уровень защищённости и модель угроз.

Есть и хорошая новость. Защиту и аттестацию инфраструктуры не обязательно делать самим: это может взять на себя провайдер. Он отвечает за физическое оборудование, сеть и виртуализацию. На рынке много аттестованных облаков, которые закрывают эти уровни «из коробки».

Ниже мой субъективный рейтинг десяти облаков для работы с персональными данными. Я собрал его по открытым данным — сайтам провайдеров, пресс-релизам и презентациям. В карточках отдельно отмечаю, где есть сведения об аттестате, а где провайдер только заявляет о соответствии.

Перед рейтингом разберём критерии — как вообще выбирать облако под 152-ФЗ. Именно по ним стоит сравнивать провайдеров.

Проверьте, покрывает ли аттестат нужный вам уровень защищённости и конкретный облачный сегмент. В постановлении Правительства РФ № 1119 предусмотрены четыре уровня, от УЗ-4 до УЗ-1. Уровень зависит от категории данных, типа актуальных угроз, числа субъектов и того, обрабатываются ли данные сотрудников оператора.

Отдельно проверьте аттестат на приказ ФСТЭК № 21. Он регулирует состав мер защиты именно персональных данных в ИСПДн

Для государственных информационных систем (ГИС) сверяйте область аттестации с приказом ФСТЭК № 117, который вступил в силу 1 марта 2026 года. Аттестаты, выданные до этой даты, сохраняют силу.

Уточните, в каких российских ЦОД размещаются базы, подпадающие под требования локализации. Смотрите на отказоустойчивость: соответствует ли ЦОД Tier III или IV, есть ли геораспределенность, физическая защита. Уточните, что именно вы арендуете: выделенные серверы или ресурсы в общем пуле (multi-tenant). Для УЗ-1 часто нужен выделенный сегмент.

Если для вашего сервиса нужна доступность не ниже 99,9%, уточните SLA для конкретного продукта и конфигурации. Отдельно уточните время реакции на инциденты, особенно по безопасности.

Для защиты персональных данных важно, чтобы была возможность настроить частные сети, межсетевое экранирование и управление правилами файрвола на уровне облака, ГОСТ-VPN на сертифицированных СКЗИ (ViPNet, С-Терра, «Континент» и т.п.), защиту от DDoS и обнаружение вторжений.

Должны быть поддержка ГОСТ-шифрования и TLS 1.2+.

Ключи для УЗ-1 должны храниться в России и соответствовать требованиям ФСБ.

Отдельно важно узнать, можете ли вы настраивать собственные средства защиты (антивирус, СОВ, DLP) и есть ли ограничения на уровне гипервизора.

Часто потребуется поддержка ОС и СУБД из реестра отечественного ПО.

Узнайте, как именно провайдер помогает с миграцией и настройкой необходимых интеграций. Уточните, как будут реализованы гибридные сценарии: связь с вашей инфраструктурой через VPN или выделенные каналы.

Важный момент: порядок я составил по своему усмотрению. Если вам важно свериться с объективными оценками в отрасли, посмотрите «Рейтинг российских частных облаков 2026» от «Компьютерры». У них своя методика, и места провайдеров могут отличаться. Это релевантный рейтинг, т.к. приватные инсталляции остаются самым частым решением для облака под 152-ФЗ.

Геораспределенность: собственный ЦОД Tier III в Москве и 7 зон доступности для Disaster Recovery.

Сеть и СЗИ: логическая изоляция tenant-среды, сетевых сегментов и ролей доступа. Сертифицированные СЗИ и СКЗИ по приказу ФСБ №378. Система защиты включает в себя межсетевой экран, VPN, антивирусную защиту, шифрование данных и копирование данных, регистрацию событий безопасности. Полный перечень мер и средств защиты и подсистем представлен на сайте.

Миграция и совместимость: бесплатная миграция, интеграции с необходимыми ИБ-системами клиента.

Геораспределённость: на конец 2025 года и в начале 2026 года компания выделила два дата-центра, которые прошли аттестацию по первому уровню защищённости (УЗ-1).

Сеть и СЗИ: комплекс мер защиты данных в соответствии с 152-ФЗ. Сертифицированные средства защиты, ГОСТ-VPN, WAF, SOC.

Миграция и совместимость: специалисты MWS проведут индивидуальный анализ и помогут оценить потенциальные и фактические выгоды от перехода в облако MWS. Успешные примеры миграций в клиентских кейсах.

Геораспределённость: одна зона доступности для этого кластера — кластер Москва 152-ФЗ.

Сеть и СЗИ: реализованные меры защиты: повышенные стандарты безопасности ЦОД, система управления инцидентами информационной безопасности, защита канала связи администраторов облака сертифицированными средствами, инструменты для анализа уязвимостей, антивирусная защита, WAF. Серверы ФЗ-152 защищены системой DDoS-Guard, способной отразить атаку до 1,5 Tbps на сетевых уровнях L3/L4. Кластеризация, резервирование каналов связи, инфраструктуры.

Миграция и совместимость: отдельная услуга миграции.

Геораспределенность: возможно размещение с резервированием на двух площадках: в Москве (gis-1) и в Санкт-Петербурге (gis-2).

Сеть и СЗИ: глобальный роутер для гибридной схемы, приватная/публичная подсеть. Сертифицированные СЗИ, включая МЭ, по модели pay-as-you-go. Можно подключить средства безопасности.

Миграция и совместимость с другими решениям Selectel — выделенными серверами, облачными базами данных, Managed Kubernetes, VMware (публичным и частным облаком).

Стоимость: соответствие 152-ФЗ входит в стоимость облачных серверов — подробнее о модели оплаты облачной платформы.

Геораспределенность: не заявлена. Есть ЦОД Tier III, есть сертификаты Uptime Institute. Количество площадок и регионов не указано.

Сеть и СЗИ: детали сегментации не указаны. Есть встроенные сервисы ИБ: IAM, ACLs, группы безопасности, аудит-логи, Anti-DDoS на сетевом уровне и бэкап. Отдельно настраивают средства защиты ИСПДн (антивирус, межсетевые экраны, защиту каналов связи, СОВ, защиту от НСД и веб-приложений, Anti-DDoS приложений) и предоставляют их как услугу с поддержкой.

Миграция и совместимость: отдельная услуга миграции инфраструктуры.

Геораспределенность: одна зона доступности — размещение в ЦОД уровня Tier III в Москве.

Сеть и СЗИ: Антивирус Kaspersky Security, криптошлюз С-Терра, отказоустойчивый магистральный узел, СЗИ от НСД SecretNet Studio, Kaspersky Endpoint Security, средства анализа защищённости XSpider, защита виртуальной среды vGate, межсетевой экран Checkpoint. Широкий спектр дополнительных услуг по защите ПД и сопровождение информационных систем.

Миграция и совместимость: отдельная услуга миграции инфраструктуры.

Геораспределённость: 4 географически распределённые зоны, собственные каналы связи.

Сеть и СЗИ: Комплекс мер защиты данных в соответствии с 152-ФЗ. Физическая безопасность, мониторинг, защита данных, управление доступом, шифрование, сетевая безопасность, безопасность ОС. VPC, Private Endpoint (в связанном разделе).

Миграция и совместимость: много возможностей миграции и интеграций. API, совместимые с популярными облачными платформами. Поддержка миграции 24/7.

Геораспределенность: собственные ЦОД Tier III в Москве и Санкт-Петербурге.

Сеть и СЗИ: реализованы межсетевой экран, криптошлюз, ГОСТ-VPN, антивирус, DDoS-защита, сканер уязвимостей. Контроль доступа на виртуальном и физическом уровнях.

Миграция и совместимость: возможна миграция из других облаков и с локальной инфраструктуры.

Геораспределённость: решения Айтеко.Cloud развёрнуты в дата-центре «ТрастИнфо». Это отказоустойчивый центр уровня Tier III.

Сеть и СЗИ: комплекс мер защиты данных в соответствии с 152-ФЗ для УЗ-2. В публичных материалах подробно не описаны.

Миграция и совместимость: в облаке 152-ФЗ Айтеко.Cloud дополнительно готовы к использованию: Managed Kubernetes, Резервное копирование, Объектное хранилище S3. Индивидуальный подход к каждому клиенту.

Геораспределенность: дата-центры в России: в Москве, Санкт-Петербурге, Новосибирске.

Сеть и СЗИ: реализованы меры и средства защиты в соответствии с приказом ФСТЭК №21. Подробно описаны в акте оценки эффективности. Дополнительные сервисы, которые клиент может подключить для своей зоны ответственности: Firewall, роутеры, WAF, защита от DDoS-атак, сервис сканирования и поиска уязвимостей на серверах с белыми IP, бэкапы.

Миграция и совместимость: помощь с миграцией, команда сама переносит и настраивает виртуализацию.

Оператор ПДн, то есть вы. Провайдер отвечает за свою часть: ЦОД, сеть, виртуализацию. Но ответственность перед регулятором и субъектами данных остаётся на вас. Поэтому зону ответственности лучше сразу прописать в договоре и отдельно подумать о защите гостевых ОС и данных.

Нет. Аттестат подтверждает, что защищена инфраструктура провайдера. Всё, что вы развернёте поверх, остаётся вашей зоной: учётные записи, приложения, настройки доступа, свои средства защиты. Хорошо, когда провайдер чётко показывает, где проходит эта граница, и помогает с консультацией.

Он зависит от трёх вещей: типа ПДн, типа актуальных угроз и числа субъектов. Определять его нужно до выбора облака. Если сомневаетесь, обсудите это с ИБ-специалистами или провайдером: многие помогают с расчётом на старте. У Linx прямо заявлена услуга аудита соответствия 152-ФЗ.

При сборе персональных данных граждан РФ для операций, перечисленных в части 5 статьи 18 закона № 152-ФЗ, действуют требования локализации с предусмотренными законом исключениями. Для резервного копирования за рубеж отдельно проверяйте применимость правил трансграничной передачи по статье 12. Пример разбора такого сценария есть на Хабре.

Три вещи:

Для высоких уровней защищённости чаще берут частное облако или выделенный сегмент: изоляция проще, а требования понятнее. Для УЗ-2 и ниже часто хватает публичного облака. Окончательный выбор зависит от вашей модели угроз, нагрузки и бюджета.