Академическая наука3034-40423034-404210.24412/3034-4042-2026-1-52-56OtherЦЕНТРЫ ОБРАБОТКИ ДАННЫХ КАК ОБЪЕКТ АУДИТА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИDATA CENTERS AS AN OBJECT OF INFORMATION SECURITY AUDITВласовНиколай ЕвгеньевичVlasovNikolay Evgenievichkolawlas@yandex.ruNational Research University «MIET»MoscowRussiaНациональный исследовательский университет «МИЭТ»МоскваРоссия07042026152560403202607042026

Статья представляет собой комплексный аналитический обзор, посвящённый вопросам организации и проведения аудита информационной безопасности (ИБ) центров обработки данных в Российской Федерации. В условиях стремительного роста российского рынка ЦОД и увеличения числа кибератак данная тема приобретает особую актуальность. Автор последовательно рассматривает ключевые аспекты темы. Статья открывается анализом динамики рынка ЦОД в России, подчёркивая его объём и возрастающую важность как элемента инфраструктуры. Далее приводится классификация ЦОД по различным параметрам: целям использования, назначению, размеру и уровням отказоустойчивости. Значительное внимание уделено детальному анализу актуальных угроз ИБ, включая DDoS-атаки, вредоносное ПО, внутренние угрозы, ошибки конфигурации и физические риски, с приведением статистических данных за 2023-2024 годы. Ядром работы является систематизация нормативно-правовых требований, предъявляемых к аудиту. Автор детально разбирает роль основных регуляторов: ФСТЭК России, ФСБРоссии и Роскомнадзора, а также релевантные федеральные законы (№152-ФЗ и №149-ФЗ) и национальные стандарты (ГОСТ Р ИСО/МЭК 27001). В статье четко регламентируется рекомендуемая периодичность проведения аудитов для различных типов организаций и систем (персональные данные, КИИ, государственные системы) и определяется перечень ключевых объектов проверки: физическая, техническая и организационная безопасность. Статья имеет практическую ценность и предназначена для широкого круга специалистов: руководителей, сотрудников служб ИБ, аудиторов, операторов ЦОД, а также студентов и исследователей в области информационной безопасности. Материал служит структурированным руководством, позволяющим понять полный цикл требований к аудиту ИБ ЦОД в России и обеспечить соответствие деятельности законодательству.

The article presents a comprehensive analytical review dedicated to the organization and conduct of information security (IS) audits for data centers in the Russian Federation. In the context of the rapid growth of the Russian data center market and the increasing number of cyberattacks, this topic is gaining particular relevance. The author sequentially examines keyaspects of the subject. The article begins with an analysis of the dynamics of the data center market in Russia, highlighting itsvolume and growing importance as an infrastructure element. This is followed by a classification of data centers according to various parameters: purpose of use, function, size, and levels of fault tolerance. Significant attention is paid to a detailed analysis of current IS threats, including DDoS attacks, malware, internal threats, configuration errors, and physical risks, supported by statistical data for 2023-2024. The core of the work is the systematization of regulatory requirements for such audits. The author provides a detailed breakdown of the role of keyregulators: the Federal Service for Technical and Export Control (FSTEC) of Russia, the Federal Security Service (FSB) of Russia, and Roskomnadzor, aswell asrelevant federal laws (No. 152-FZ and No. 149-FZ) and national standards (GOST R ISO/IEC 27001). The № 1 ( - ) 2026. 53 article clearly outlines the recommended frequency of audits for different types of organizations and systems (personal data, critical information infrastructure, state systems) and defines a list of keyaudit objects: physical, technical, and organizational security. The article haspractical value and is intended for a wide range of specialists: managers, information security personnel, auditors, data center operators, aswell asstudents and researchers in the field of information security. The material serves as a structured guide to understanding the full cycle of requirements for IS audits of data centers in Russia and ensuring compliance with legislation.

Аудит информационной безопасностицентр обработки данных (ЦОД)ФСТЭК РоссииФедеральный закон № 152-ФЗперсональные данныекритическая информационная инфраструктура (КИИ)ГОСТ Р ИСО/МЭК 27001DDoS-атакинормативно-правовое регулированиепериодичность провероксредства защиты информации (СЗИ)Information security auditdata processing center (DPC)FSTEC of RussiaFederal Law No. 152-FZpersonal datacritical information infrastructure (CII)GOST R ISO/IEC 27001DDoS attacksregulatory frameworkinspection frequencyinformation protection toolsОбзор регуляторных требований к информационной безопасности в РФ (2023) // Информационная безопасность. – 2023. – № 4. – С. 12–18.Исследование российского рынка ЦОД 2023-2024 / iKS-Consulting, CNews Analytics. – 2024. – URL: https://iks-consulting.ru/ (дата обращения: 15.10.2024).Обзор киберугроз для объектов критической информационной инфраструктуры Российской Федерации за 2023 год / Совет Безопасности Российской Федерации. – 2024. – URL: https://www.scrf. gov.ru/ (дата обращения: 15.10.2024).Петров А. В. Архитектура и классификация современных центров обработки данных. – М.: ИДАкадемическая наука № 1 (январь-март) 2026 г. 55 «Синергия», 2022. – 245 с.Смирнов С. И. Основные и резервные ЦОД: принципы построения отказоустойчивых систем // Труды научно-практической конференции «Инфофорум-2023». – М., 2023. – С. 45–52.Uptime Institute. Data Center Site Infrastructure Tier Standard: Topology. – 2021. – URL: https:// uptimeinstitute.com/tiers (дата обращения: 15.10.2024).Анализ DDoS-атак в первом квартале 2024 года / Selectel: [технический отчет]. – 2024. – URL: https://selectel.ru/blog/ (дата обращения: 15.10.2024).Приказ ФСТЭК России от 18.02.2013 № 21 (ред. от 11.11.2022) «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».Приказ ФСТЭК России от 11.02.2013 № 17 (ред. от 23.12.2020) «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».Приказ ФСТЭК России от 25.12.2017 № 235 (ред. от 26.06.2020) «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования».Приказ ФСТЭК России от 22.12.2020 № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».Приказ ФСБРоссии от 10.07.2014 № 378 (ред. от 15.03.2021) «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации».Федеральный закон от 27.07.2006 № 152-ФЗ (ред. от 14.07.2022) «О персональных данных» // Собрание законодательства РФ. – 2006. – № 31 (1 ч.). – Ст. 3451.Федеральный закон от 27.07.2006 № 149-ФЗ (ред. от 02.07.2021) «Об информации, информационных технологиях и о защите информации» // Собрание законодательства РФ. – 2006. – № 31 (1 ч.).ГОСТ Р ИСО/МЭК 27001-2021. Информационная безопасность, кибербезопасность и защита приватности. Системы менеджмента информационной безопасности. Требования. – Введ. 2022-0701. – М.: Стандартинформ, 2021. – 32 с.ГОСТ Р 57580-2017. Защита информации. Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения. – Введ. 2018-07-01. – М.: Стандартинформ, 2017. – 45 с.Федеральный закон от 30.12.2021 № 266-ФЗ «О внесении изменений в Федеральный закон «О персональных данных» // Собрание законодательства РФ. – 2022. – № 1 (часть I).Review of regulatory requirements for information security in the Russian Federation (2023) // Information Security. – 2023. – No. 4. – pp. 12–18.Research of the Russian data center market 2023–2024 / iKS-Consulting, CNews Analytics. – 2024. – URL: https://iks-consulting.ru/ (date of access: 15 October 2024).Review of cyber threats to critical information infrastructure facilities of the Russian Federation for 2023 / Security Council of the Russian Federation. – 2024. – URL: https://www.scrf.gov.ru/ (date of access: 15 October 2024).Petrov A. V. Architecture and classification of modern data processing centers. – Moscow: ID «Synergy», 2022. – 245 p.Smirnov, S. I. “Primary and Backup Data Centers: Principles of Building Fault-Tolerant Systems” // Proceedings of the Scientific and Practical Conference “Infoforum-2023”. Moscow, 2023, pp. 45–52.Uptime Institute. Data Center Site Infrastructure Tier Standard: Topology. 2021: https://uptimeinstitute. com/tiers (Accessed: October 15, 2024).Analysis of DDoS Attacks in the First Quarter of 2024 / Selectel: [technical report]. 2024: https:// selectel.ru/blog/ (Accessed: October 15, 2024).Order of the FSTEC of Russia dated February 18, 2013 No. 21 (asamended on November 11, 2022) «On Approval of the Composition and Content of Organizational and Technical Measures to Ensure the Security of Personal Data When Processing It in Personal Data Information Systems.»Order of the FSTEC of Russia dated February 11, 2013 No. 17 (asamended on December 23, 2020) «On Approval of the Requirements for the Protection of Information That Does NotConstitute a State Secret, Contained in State Information Systems.»Order of the FSTEC of Russia dated December 25, 2017 No. 235 (asamended on June 26, 2020) «On Approval of the Requirements for the Creation of Security Systems for Significant Objects of the Critical Академическая наука № 1 (январь-март) 2026 г. 56 Information Infrastructure of the Russian Federation and Ensuring Their Functioning.» [11] Order of the FSTEC of Russia dated December 22, 2020 No. 239 «On Approval of the Requirements for Ensuring the Security of Significant Objects of the Critical Information Infrastructure of the Russian Federation.»Order of the FSB of Russia dated July 10, 2014 No. 378 (asamended on March 15, 2021) «On Approval of the Composition and Content of Organizational and Technical Measures to Ensure the Security of Personal Data When Processing Them in Personal Data Information Systems Using Cryptographic Information Protection Tools.»Federal Law of July 27, 2006 No. 152-FZ (asamended on July 14, 2022) «On Personal Data» // Collected Legislation of the Russian Federation. - 2006. - No. 31 (part 1). - Art. 3451.Federal Law of July 27, 2006 No. 149-FZ (asamended on July 2, 2021) «On Information, Information Technologies, and Information Protection» // Collected Legislation of the Russian Federation. – 2006. – No. 31 (part 1).GOST R ISO/IEC 27001-2021. Information security, cybersecurity, and privacy protection. Information security management systems. Requirements. – Introduced on July 1, 2022. – Moscow: Standartinform, 2021. – 32 p.GOST R 57580-2017. Information protection. Ensuring information security of organizations of the banking system of the Russian Federation. General provisions. – Introduced on July 1, 2018. – M.: Standartinform, 2017. – 45 p.Federal Law of 30.12.2021 No. 266-FZ «On Amendments to the Federal Law «On Personal Data» // Collected Legislation of the Russian Federation. – 2022. – No. 1 (Part I).