Дата публикации: 21:58:32

Содержание

1. История создания и роль базы «Алушта»
2. Известные уязвимости и инциденты
3. Законодательная база и требования к защите персональных данных
4. Закупки и подрядчики: кто разрабатывал систему
5. Мнения экспертов по безопасности
6. Планы и прогнозы: какие изменения могут быть внедрены

История создания и роль базы «Алушта»

База данных «Алушта» – это централизованная информационная система Министерства обороны РФ‚ в которой хранятся личные кабинеты военнослужащих‚ их зарплатные ведомости‚ сведения о должностях‚ месте службы и прочие персональные данные. Создание проекта началось около десяти лет назад‚ а первая эксплуатация системы была запущена после заключения контракта в 2017 году на сумму 173 млн рублей (данные портала «Госзакупки»).

Система предназначена для:

• Автоматизации расчётов заработной платы;
• Учёта кадрового состава;
• Обеспечения доступа военнослужащих к своим личным данным через веб‑интерфейс.

Известные уязвимости и инциденты

Инцидент с «Фонтанкой.ру» (февраль 2018)

Петербургское издание «Фонтанка.ру» опубликовало материал‚ в котором журналисты продемонстрировали возможность получения персональных данных военнослужащего (майора Романа Филипова‚ пилота Су‑25‚ погибшего в Сирии) лишь по двум открытым параметрам: личный номер и дату рождения. С помощью этих данных они вошли в личный кабинет на сайте Минобороны и увидели:

• Размер заработной платы (чуть более 100 тыс. рублей в месяц);
• Должность и место службы;
• Финансовую информацию‚ доступную в открытом виде.

Министерство обороны отреагировало обвинениями в нарушении журналистской этики и угрозами привлечения правоохранительных органов‚ однако эксперты отметили‚ что уязвимость была в самом механизме аутентификации.

Технические детали уязвимости

По словам Романа Ромачева‚ генерального директора агентства разведывательных технологий «Р‑Техно»‚ система авторизации:

• Разработана более пяти лет назад и не претерпела существенных обновлений;
• Позволяет пройти аутентификацию‚ используя лишь данные‚ которые легко собираются из открытых источников (например‚ из открытых реестров или соцсетей);
• Не соответствует современным требованиям закона «О персональных данных» и международным стандартам (ISO 27001‚ NIST).

Законодательная база и требования к защите персональных данных

Согласно Федеральному закону № 152‑ФЗ «О персональных данных»‚ любой оператор обязан:

1. Обеспечивать конфиденциальность и целостность персональных данных;
2. Применять технические и организационные меры защиты‚ соответствующие уровню риска;
3. Проводить регулярные аудиты и тесты на проникновение.

Нарушения могут привести к административной ответственности (штрафы до 6 млн руб.) и репутационным потерям. В случае с «Алуштой» эксперты указывают‚ что текущая реализация явно не удовлетворяет этим требованиям.

Закупки и подрядчики: кто разрабатывал систему

Согласно данным портала «Госзакупки»‚ в 2017 году Минобороны заключило несколько ключевых контрактов:

• Контракт на ввод в эксплуатацию «Алушты» – 173 млн руб.
• Последующие контракты на техническую поддержку и доработку (2020‑2022 гг.) – суммарно более 80 млн руб.

За годы эксплуатации система несколько раз меняла подрядчиков‚ однако ни один из них публично не объявлял о полном пересмотре архитектуры безопасности.

Мнения экспертов по безопасности

Ниже – основные выводы‚ озвученные специалистами в области ИТ‑безопасности:

Планы и прогнозы: какие изменения могут быть внедрены

Официальные заявления Минобороны

С начала 2024 года в официальных пресс‑релизах Министерства обороны появилось несколько намёков:

• «Планируется модернизация ИТ‑инфраструктуры с учётом требований к защите персональных данных»;
• «В ближайшие годы будет проведена полная ревизия систем аутентификации».

Однако конкретных сроков и объёмов работ пока не объявлено.

Возможные технические меры

1. Многофакторная аутентификация (MFA) – внедрение одноразовых кодов‚ биометрии или токенов.
2. Шифрование данных в базе – использование AES‑256 для хранения личных данных.
3. Обновление протоколов доступа – переход от устаревшего HTTP/Basic к OAuth 2.0/OpenID Connect.
4. Регулярные penetration‑тесты – привлечение внешних аудиторских компаний.
5. Сегментация сети – изоляция серверов «Алушты» от публичного интернет‑периметра.

Организационные изменения

• Создание службы внутреннего контроля ИТ‑рисков в структуре Минобороны;
• Обучение персонала принципам кибербезопасности (phishing‑тренинги‚ работа с ПДн);
• Внедрение политики минимального доступа (principle of least privilege) для всех сотрудников.

Прогнозы экспертов

По мнению аналитиков из «Р‑Техно»‚ в ближайшие 2‑3 года Минобороны может:

• Подписать новый контракт с крупным ИТ‑конгломератом (например‚ «Калуга‑Тех» или «РосТех») на полную переработку архитектуры;
• Внедрить облачную платформу с сертификатами ФСТЭК;
• Перейти к использованию блокчейн‑технологий для неизменяемого журнала доступа к персональным данным.

База данных «Алушта» уже более десяти лет служит важным элементом кадровой и финансовой инфраструктуры Минобороны‚ однако её текущая реализация явно отстала от современных требований к кибербезопасности. Инцидент с «Фонтанкой.ру» продемонстрировал‚ что даже базовые данные (номер и дата рождения) позволяют получить доступ к конфиденциальной информации.

С учётом:

• Существующих уязвимостей в системе аутентификации;
• Требований закона «О персональных данных»;
• Нарастающего давления со стороны общественности и СМИ;
• Публичных заявлений Минобороны о планах модернизации‚

можно с высокой вероятностью ожидать‚ что в ближайшие годы будут приняты меры по:

1. Внедрению многофакторной аутентификации и шифрования данных;
2. Проведению независимых аудитов и регулярных тестов на проникновение;
3. Обновлению программного обеспечения и переходу к более надёжным протоколам доступа.

Тем не менее‚ без чётко объявленного графика и публичного контроля процесс модернизации может затянуться. Поэтому важно следить за официальными тендерными процедурами и публикациями в СМИ‚ а также за реакцией профильных органов (ФСТЭК‚ Роскомнадзор) на возможные нарушения.

Автор: виртуальный помощник ChatGPT‚ 2026 г.