Пригодится такая  рекомендация 👍 Спасибо!)

В сетке люди разной квалификации и хотелось понять на каком уровне люди находят взаимосвязи :)

Если более предметно, то: OLPT-нагрузка, СУБД PosgreSQL в отказоустойчивом кластере на базе Линукс(если вдруг есть разница - ubuntu 20.04 lts). Основной риск - внутренний нарушитель, который хочет утащить персональные данные. Субъектов в системе более 100 тысяч. Организационные меры ввели в виде ответственности должностных лиц , регламентов доступа и т.д. В группе риска администраторы СУБД, разработчики информационной системы, системные администраторы и пользователи CRM. Права доступа настроили, прикрутили логирование на всех уровнях, начиная от CRM, заканчивая операционной системой серверов с производственной БД/бэкапами и СУБД. Между CRM и СУБД есть шифрование TLS.

Собственно меры немного строгие, но как я понял, то к таким многие стремятся. А вопрос насколько сильно производительность может упасть после дополнительной защиты. Рассматривается пока класс решений DBF, чтобы в реальном времени тормозить подозрительную активность. Плюс моделируем как именно можно осуществить утечку через производственные процессы - из-за передачи бэкапов с реальными данными разработчикам CRM(внутренним разработчикам) для отладки и тестов. Я так понимаю в идеале можно обезличивать копии баз данных, шифровать их для исключения кражи администраторами серверов. Возможно вы в практике сталкивались с чем-то из этого, какие СЗИ внедряли, если не секрет?

Уф. Что касается любого фаервола, даже обладая большей информацией от текущей инфре и нагрузках, которую она держит - никто точных цифр не даст. Лично на моем опыте больше нагрузки давал waf, но в любом случае, это нормальная гигиена, которая глобально не защити от всего.

Вот услышал про CRM, а если штатно у какой-то роли заявлена функциональная возможность экспорта данных о клиентах, то не будет же блокировать dbf такую операцию, ну если надо. а если не надо? зачем такую возможность давать на уровне приклада? ок, движемся дальше, а если это допустимо, и если мы это не бросим, то в каких рамках можно пользоваться экспортированными данными? Это терминальный доступ? А на терминале есть тот же сикрет диск? А если не терминальный, то на арме есть тот же сикрет диск? А выход в интернет? Выхода в интернет нет, а есть ли доступ к почте? А почту можно рассылать внутри домена? Или можно наружу? А почта мониторится?

Тут по каждому пункту можно задавать до бесконечности вопросов, и в зависимости от ответов готовить новую пачку. Вплоть до того, что даже закрывшись метровыми бетонными стенами с ПДн можно «произвести фотофиксацию на портативное устройство»))

Благодарю за такой развернутый ответ и ход рассуждений!)

А может сможете посоветовать - как найти компании, которые обязаны соблюдать требования 21 приказа ФСТЭК?

P.S. Про устройство для фотофиксации - в точку. Против лома нет приема, как говорится. Хоть перед каждым рабочим местом по 2 камеры ставь))

Ну вот опять)) «Вам шашечки, или ехать?» ))) Нужна формальная аттестация под 21 приказ? Или нужен реальный аудит системы/комплекса систем, со всеми вытекающими, где аттестация - как опция?

если нужен подрядчик - можно написать в ЛС, обсудим

А возможно сможете поделиться, какие доводы можно привести для того, чтобы обосновать руководству необходимость инвестировать в определенный набор средств для защиты информации?)

А как считаете, есть смысл шифровать такие данные в продакшн-базе? Сталкивались ли с тем, что IT/ИБ подразделения не шифровали бэкапы баз?