оборотный штраф за повторную утечку ПДн
С 30.05.2025 первичная утечка — до 15 млн ₽, повторная — 1–3% выручки, от 20 до 500 млн ₽.
420-ФЗ от 30.11.2024OpenDSPM · безопасность данных
Узнайте, где персональные данные и кто их видит, — до утечки, а не после.
OpenDSPM сканирует базы и хранилища, находит паспорта, СНИЛС, ИНН, номера карт — всего 69 типов данных, — оценивает риск с учётом 152-ФЗ и 187-ФЗ и показывает, у кого есть доступ. Вы видите, что закрывать первым, — до проверки и до утечки. Ставится на ваш сервер, видеокарта не нужна.
● on-prem · без видеокарты
● SSO OIDC
● оповещения → SIEM · CEF · LEEF
каталог данных · примерсканирование
pg · crm.public.customersпаспорт РФ · СНИЛС ✓
mysql · billing.paymentsномер карты · Луна ✓
s3://exports/clients.csvИНН ✓ · ФИО
kafka · orders.eventsтелефон РФ
analytics_ro → billing.paymentsлишнее право → REVOKE
152-ФЗПП 1119187-ФЗГОСТ Р 57580.1
✓ риск 0–100 с учётом 152-ФЗ и 187-ФЗинкрементально
69типов данных из коробки — от паспорта РФ и СНИЛС до IBAN
8типов хранилищ — от PostgreSQL и ClickHouse до Kafka и S3
31стандарт и ~250 требований в каталоге — от 152-ФЗ до PCI DSS
24 чна уведомление РКН об утечке — столько даёт 152-ФЗ
Интерфейс
Так выглядит OpenDSPM в работе
Каталог данных: где лежат персональные и платёжные данные, у кого к ним доступ и какие права закрыть первыми.
Демонстрационные данные.
Почему сейчас
Штрафы стали оборотными. «Не знали, что там ПДн» — больше не аргумент.
Персональные данные расползаются по рабочим базам, аналитике, очередям и выгрузкам в S3, а права доступа копятся годами. После инцидента регулятор спрашивает конкретно: какие данные, где лежат, у кого был доступ. Отвечать на это нужно до утечки.
на уведомление РКН об утечке
Результаты расследования — за 72 часа. Без карты данных за сутки не ответить, чьи данные затронуты и сколько их.
152-ФЗ, ст. 21 ч. 3.1из 119 баз российских компаний
Утекли с января по сентябрь 2026 года. Средний ущерб от одной утечки в мире — $4,99 млн.
F6, iXBT, 13.10.2026 · IBM, 29.07.2026Как это работает
Хранилища → каталог данных → доступ и риск → действие.
01
Подключение
Подключаете PostgreSQL, MySQL, ClickHouse, MongoDB, Kafka, Redis, Elasticsearch и S3 , а в S3 — файлы CSV, Parquet, JSON, Excel и другие.
02
Классификация
Шаблоны, словари, контрольные суммы и нейросетевое распознавание находят 69 типов данных и раскладывают их по 4 уровням чувствительности.
03
Доступ и риск
По каждому объекту — кто имеет к нему доступ и риск 0–100: влияние × вероятность с поправкой на 152-ФЗ и 187-ФЗ.
04
Действие
Отзыв лишних прав прямо в источнике (превью), каталог требований для проверки, события — в SIEM и почту, задачи — в Jira.
Возможности
Не просто «нашли ПДн», а понятно, с чего начать и что закрыть.
69 типов данных с проверкой контрольных сумм
Паспорт РФ, включая загранпаспорт с MRZ, СНИЛС, ИНН, номера карт, IBAN, телефон РФ, ФИО, водительское удостоверение. ИНН, СНИЛС, карты (алгоритм Луна), IBAN, CPF и CNPJ сверяются по контрольной сумме — меньше ложных срабатываний на случайных наборах цифр.
Шаблоны, словари и нейросети
Шаблоны и словари ловят структурированные данные, нейросетевое распознавание сущностей (Presidio + spaCy, GLiNER) — имена и другие данные в свободном тексте на русском, английском и португальском. ИИ-классификация — в превью.
Базы, очереди, поиск и файлы
PostgreSQL, MySQL, ClickHouse, MongoDB, Kafka, Redis, Elasticsearch и S3, а в S3 — CSV, JSON/JSONL, Parquet, Avro, ORC, XML, Excel и текст. Повторные проходы инкрементальные: по схеме, числу строк, времени изменения и контрольным суммам.
Кто видит чувствительные данные
Анализ прав доступа во всех хранилищах, кроме MongoDB (Elasticsearch — при включённом X-Pack security), и 7 типов рисков доступа. В PostgreSQL, MySQL и ClickHouse лишние права отзываются прямо из платформы (превью).
Риск 0–100 — видно, с чего начинать
Оценка «влияние × вероятность» по каждому объекту с повышающими коэффициентами, если данные подпадают под 152-ФЗ или 187-ФЗ. Понятно, какие таблицы и выгрузки закрывать первыми.
Каталог: 31 стандарт и ~250 требований
152-ФЗ, ПП 1119, приказ ФСТЭК № 21, 187-ФЗ, ГОСТ Р 57580.1, а также GDPR, PCI DSS, ISO 27001, HIPAA, SOC 2 и NIST CSF — основа для подготовки к проверке. Не юридическое заключение.
Поиск данных субъекта по запросу
Находит, в каких хранилищах лежат данные конкретного человека, — чтобы ответить на запрос субъекта по фактам, а не по памяти. Удалять данные по запросу платформа не умеет — это делается в системах-источниках.
События — туда, где их разбирают
14 типов событий — в webhook, Slack, Teams, SIEM (HTTP или syslog; JSON, CEF, LEEF с HMAC-подписью), почту и Jira.
Роли, единый вход и журнал без правок
8 ролей и 92 права, свои роли, вход по OIDC. Журнал аудита только на добавление — защищён триггерами БД, выгружается в JSON, CSV и syslog. Значения в интерфейсе и ответах API маскируются.
Кому полезно
DPO — карта данных. ИБ — риск и доступ. ИТ — что именно исправить.
DPO и ответственному за ПДн
Где и какие персональные данные хранятся, уровни чувствительности, требования 152-ФЗ и ПП 1119 в каталоге, поиск данных субъекта по запросу.
CISO и ИБ
Риск 0–100 по каждому объекту, кто имеет доступ к чувствительным данным, 7 типов рисков доступа, события в SIEM, неизменяемый журнал действий.
DBA и ИТ
Конкретные таблицы и учётные записи с лишними правами, отзыв прав в PostgreSQL, MySQL и ClickHouse (превью), автоматические проверки безопасности БД, задачи в Jira.
Развёртывание
Одна команда установки. Один сервер. Без видеокарты.
- Установка
- Одной командой
sudo ./dspm-linux-amd64 install --license X.lic, лицензия — файлом - Эксплуатация
- Команды установщика
doctor,upgrade,rollback,backup,restore - Сервер
- Ubuntu 24.04 или 26.04, amd64, Docker Compose. Память — от 8 ГБ, рекомендуем 16 ГБ; диск — от 20 ГБ, рекомендуем 40 ГБ. Видеокарта не нужна
- Хранилища
- PostgreSQL, MySQL, ClickHouse, MongoDB, Kafka, Redis, Elasticsearch, S3; анализ прав — для всех, кроме MongoDB (Elasticsearch — с X-Pack security)
- Файлы в S3
- CSV, JSON/JSONL, Parquet, Avro, ORC, XML, Excel, текст
- Проверки БД
- Каталог из 58 контролей безопасности баз данных, 18 из них выполняются автоматически
- Вход и роли
- SSO по OIDC (PKCE); 8 ролей — admin, ciso, dpo, security_analyst, dba, auditor, it_engineer, viewer — 92 права и свои роли; рабочие пространства и проекты
- Аудит и интеграции
- Журнал только на добавление, экспорт в JSON, CSV, syslog; оповещения — webhook, Slack, Teams, SIEM (HTTP, syslog; JSON, CEF, LEEF с HMAC-подписью), почта, Jira
- В превью
- Отзыв прав в источнике (PostgreSQL, MySQL, ClickHouse), ИИ-классификация, происхождение данных, мониторинг доступа
Пилот за 30 дней
Через месяц — отчёт: где лежат ПДн и у кого лишний доступ.
Критерии успеха согласуем до старта. От вас — сервер в контуре, доступ к хранилищам и ответственные от ИБ, DPO и администраторов БД.
ШАГ 01
Задача
Выбираем хранилища и критерии успеха вместе с вашими ИБ, DPO и ИТ.
ШАГ 02
Установка
Разворачиваем на вашем сервере одной командой установщика — за день.
ШАГ 03 · 30 ДНЕЙ
Пилот
Сканируем ваши данные в режиме наблюдения: права в источниках не меняем.
ШАГ 04
Решение
Отчёт: где лежат персональные данные, у кого лишний доступ и что закрывать первым, — и решение о запуске.
Для пилота нужен сервер от 8 ГБ памяти и 20 ГБ диска (рекомендуем 16 и 40 ГБ); видеокарта не нужна.
Вопросы
Что обычно спрашивают DPO, ИБ и ИТ
Какие хранилища поддерживаются?
PostgreSQL, MySQL, ClickHouse, MongoDB, Kafka, Redis, Elasticsearch и S3. Права доступа анализируются во всех, кроме MongoDB, а в Elasticsearch — при включённом X-Pack security. Файловые шары SMB/NFS, SharePoint и Microsoft 365, облачные сервисы и Snowflake сейчас не поддерживаются — сверим вашу инфраструктуру до пилота.
OpenDSPM будет сам менять права в базах?
Отзыв лишних прав прямо в источнике есть для PostgreSQL, MySQL и ClickHouse, и эта функция пока в превью. В пилоте права не меняем: работаем в режиме наблюдения, а что и когда отзывать, решают владельцы систем.
Маскирует ли OpenDSPM данные в самой базе?
Нет. Маскирование работает в интерфейсе платформы и в ответах API: сотрудники видят, что и где найдено, без лишнего раскрытия значений. Данные в источнике остаются как есть.
Это гарантия соответствия 152-ФЗ?
Нет, и честнее сказать об этом сразу. Каталог из 31 стандарта и ~250 требований помогает подготовиться к проверке и показать, где лежат данные и у кого к ним доступ, но это не юридическое заключение. Выводы о соответствии делают ваши юристы и DPO.
Сколько времени займёт сканирование и не нагрузит ли оно рабочие базы?
Начинаем с согласованных хранилищ; Зависит от объёма данных, числа хранилищ и их нагрузки, поэтому цифр на словах не обещаем — замеряем в пилоте на ваших данных. Повторные проходы инкрементальные: платформа сверяет схему, число строк, время изменения и контрольные суммы.
Можно ли поставить в контур без интернета?
OpenDSPM ставится и работает на вашем сервере. Полностью изолированный контур как поддерживаемый режим — с обновлениями и всем жизненным циклом — сейчас не заявляем. Если он нужен, обсудим требования до пилота.
У нас есть DLP — зачем OpenDSPM?
DLP следит за каналами передачи. OpenDSPM показывает, где данные лежат в базах и хранилищах и у кого к ним лишний доступ, — именно об этом регулятор спросит после инцидента.
Есть ли сертификат ФСТЭК?
Нет. Для проверки есть каталог требований 152-ФЗ, ПП 1119, приказа ФСТЭК № 21, 187-ФЗ и ГОСТ Р 57580.1 и журнал аудита только на добавление.
Пилот OpenDSPM
Покажем ПДн и лишний доступ на ваших данных, а не на демо-стенде.
Оставьте заявку — согласуем хранилища для пилота, ответственных и критерии успеха.
Заявка отправлена
Свяжемся с вами по указанной почте, чтобы согласовать пилот OpenDSPM.