Кейс SLEM: почему бизнес-стратегию нельзя реализовать, не проверив, где физически лежат ваши данные 🔎 Технологическая компания из сферы коммуникаций планировала выход в B2B, работу с образовательными учреждениями, госсектор и инвестраунды. Ни один из этих шагов не был бы реализуем - потому что данные пользователей хранились за пределами России. И никто в компании не видел в этом блокер. Расскажем, как мы это обнаружили и что сделали дальше.

Продукт растёт, пользователи есть, команда уже думает не о том, «взлетит ли», а о том, куда расти дальше. Запрос к нам не звучал как: «Проведите аудит информационной безопасности».

Мы начали с другого - с разговора с CEO и CTO о том, куда движется бизнес и что должно произойти с продуктом, чтобы туда прийти.

💡 И в этом разговоре обнаружился блокер, который в бизнес-плоскости никто не видел.

Данные пользователей хранились в сервисе, физически расположенном за пределами России.

Для CEO и CTO это выглядело как техническая деталь: сервис работает, всех устраивает, продукт растёт. Вопросов к такой глубине пока не поступало.

Но 152-ФЗ требует, чтобы базы данных с персональными данными граждан РФ находились на территории России. И каждая следующая цель компании: B2B-контракты, образовательные учреждения, госсектор, инвестраунды - рано или поздно упирается в due diligence и проверку соответствия.

То есть это был не «технический нюанс». Это была точка, в которой стратегия роста останавливалась.

🧩 Мы не стали говорить клиенту «у вас нарушение» - мы не могли этого утверждать без обследования фактической архитектуры и потоков данных.

Мы сказали другое: при таком расположении данных ни один из следующих шагов не пройдёт проверку в текущем виде. И чем позже это исправить, тем дороже будет откат.

📌 Договорились с CEO о последовательности: Сначала - миграция данных на территорию РФ. Это на стороне компании, и это должно случиться до, а не после следующего этапа роста.

Затем - пул работ SLEM: формирование IT/ИБ-контура, документов и мероприятий с регуляторами и лицензиатами, которые нужны, чтобы B2B, работа с образовательными учреждениями, госсектор и инвестраунды стали не гипотезой, а реализуемым планом.

Разделение неслучайное - нет смысла выстраивать документированный контур поверх архитектуры, которую всё равно придётся переносить.

🔻 Комментарий SLEM: Мы никогда не считали, что IT/ИБ-контур бизнеса существует отдельно от стратегии. И этот кейс — очередное практическое подтверждение: компаниям уже нельзя смотреть на IT как только на «технический вопрос для соответствующих ролей». А несоблюдение, как казалось, формального требования вроде «расположения проекта» может стать блокером для решающих бизнес-процессов. А казалось бы — какая разница, где находится, если всё прекрасно работает? #SLEM #кейс #ИБ #compliance #стратегия #техдолг #ФЗ152