Безопасность и 152-ФЗ
Безопасность — это процесс и границы, а не «сертификат на стене». Ниже — что делаем и чего не обещаем.
ПДн и 152-ФЗ
- Согласие отдельным чекбоксом и отдельным документом
- Минимизация: только контакт и ответы квалификации
- PII не уходят в зарубежные LLM
- Удаление по запросу; retention — решается договором (GAP до юрлица)
Доступ
- RBAC: owner / editor / operator / reviewer
- Оператор видит только свои каналы
- Аудит действий в security_events
- 2FA/TOTP в админке
Приложение
- CSP, security-заголовки, no-store для SSR
- Rate limit и honeypot на формах
- Секреты только в env
- Регулярные проверки зависимостей
Раскрытие уязвимостей
- security.txt с каналом связи
- Ответ по уязвимости в разумный срок
- Публичное раскрытие — по согласованию
- Не обещаем «абсолютную защиту»