Безопасность Nextcloud: шифрование, права доступа и 152-ФЗ

Своё облако даёт компании то, чего нет у публичного сервиса: полный контроль над тем, где лежат данные, кто к ним имеет доступ и как это фиксируется. Nextcloud для этого предлагает набор встроенных инструментов, и большинство из них включается в панели администратора без доработок.

Разберём, что есть в арсенале и как это настраивается на практике. Общий обзор платформы — в статье Nextcloud для бизнеса.

Шифрование

При передаче. Весь трафик между пользователем и сервером идёт по HTTPS. Это базовая настройка, без неё облако не запускается.

При хранении. Серверное шифрование защищает файлы на хранилище. Особенно полезно, когда файлы лежат во внешнем S3 или на сетевом хранилище: тот, у кого есть доступ к дискам, увидит только зашифрованные данные.

Сквозное шифрование. Отдельные папки шифруются на устройстве пользователя и расшифровываются только на его устройствах. Сервер хранит их, но прочитать не может — даже администратор. Это режим для самого чувствительного: кадровые документы, финансовая отчётность, данные клиентов. Ограничение тоже стоит знать: такие файлы нельзя редактировать в браузере совместно, а ключ, потерянный вместе со всеми устройствами, восстанавливается только через ключ восстановления, который нужно сохранить при включении.

Вход и учётные записи

• Двухфакторная аутентификация — приложение-генератор кодов, аппаратные ключи и другие способы. Её можно сделать обязательной для всех или для отдельных групп, например для администраторов и бухгалтерии.
• Единый вход через Active Directory, LDAP, SAML или OpenID Connect. Уволенный сотрудник отключается в каталоге — и теряет доступ к облаку сразу.
• Политика паролей — длина, сложность, срок действия, проверка по базам утёкших паролей.
• Защита от перебора. Nextcloud сам замедляет и блокирует попытки подбора пароля с одного адреса.
• Пароли для приложений. Клиент синхронизации и телефон получают отдельные токены, а не основной пароль. Потерянное устройство отзывается из панели в один клик.

Права доступа

Группы и общие папки. Права выдаются отделу, а не каждому человеку. Новый сотрудник добавляется в группу и сразу видит нужное.

Права внутри папки. В общей папке отдела можно закрыть подпапку «Зарплата» от всех, кроме руководителя и бухгалтера.

Внешние ссылки под контролем. Обязательный пароль и срок действия по умолчанию, запрет скачивания, ссылки только на загрузку. Администратор может вообще запретить внешние ссылки для определённых групп.

Контроль доступа по правилам. Файлы с меткой «конфиденциально» нельзя открыть вне офисной сети. Документы определённого типа нельзя выгрузить на мобильное устройство. Правила строятся из меток, групп, IP-адресов, времени и типа устройства.

Журнал действий и контроль

• Журнал аудита фиксирует входы, открытие, изменение, удаление файлов и выдачу доступа. Нужен и для расследования инцидентов, и для отчётности по защите персональных данных.
• Лента активности — каждый пользователь видит, что происходило с его файлами: кто открыл, кто изменил, кто поделился.
• Политики хранения. Автоматическое удаление файлов по сроку или по метке — например, анкеты кандидатов через определённое время.
• Версии и корзина защищают от случайного удаления и от шифровальщиков: если файлы на компьютере сотрудника испорчены и синхронизировались, предыдущие версии остаются на сервере.

Антивирус и проверка настроек

К Nextcloud подключается антивирус, который проверяет загружаемые файлы до того, как они попадут к коллегам.

В панели администратора есть встроенная проверка безопасности и настроек: она показывает, что не настроено или настроено неоптимально. Её стоит смотреть после каждого обновления.

Nextcloud и 152-ФЗ

Если в облаке хранятся персональные данные — анкеты сотрудников, договоры с физлицами, базы клиентов, — к нему применяются требования закона о персональных данных. Своё облако упрощает техническую часть:

• Место хранения. Сервер размещается в российском дата-центре, и вы точно знаете, где физически лежат данные.
• Разграничение доступа. Группы, права на папки и правила контроля доступа закрывают требование, чтобы к данным имели доступ только уполномоченные сотрудники.
• Учёт действий. Журнал аудита фиксирует, кто и когда работал с файлами.
• Защита каналов и носителей. HTTPS и шифрование хранилища.

Но техника — только часть. Нужны ещё политика обработки персональных данных, уведомление Роскомнадзора, внутренние приказы и модель угроз. Что именно — в статье 152-ФЗ и персональные данные на сайте: принципы для облака те же.

Базовая гигиена сервера

То, что защищает облако снаружи — со стороны инфраструктуры, а не платформы:

• своевременные обновления Nextcloud, операционной системы и компонентов;
• закрытые лишние порты, доступ по SSH только по ключам;
• резервные копии в другом дата-центре, недоступные с самого сервера облака;
• мониторинг и уведомления о подозрительных входах.

Общие принципы — в статье безопасность сайта: основы.

Минимальный набор при запуске

Первые три пункта входят в наше базовое рабочее пространство за 10 000 ₽:

1. HTTPS с автоматическим продлением сертификата.
2. Обязательная двухфакторная аутентификация.
3. Права через группы и общие папки отделов.

Остальное стоит включить с первого дня, и это мы настраиваем по согласованию:

4. Пароль и срок действия на внешних ссылках по умолчанию.
5. Журнал аудита.
6. Антивирус на загружаемые файлы.
7. Резервные копии в другом дата-центре с проверкой восстановления.
8. План обновлений.

Сквозное шифрование, правила контроля доступа и политики хранения добавляются под конкретные требования компании.

Итог

Nextcloud даёт полноценный набор инструментов защиты: шифрование на трёх уровнях, гибкие права, двухфакторную аутентификацию, журнал действий и контроль доступа по правилам. Главное преимущество своего облака в том, что все эти настройки в ваших руках: вы решаете, где лежат данные, кто их видит и что фиксируется.

Мы организуем рабочее пространство на Nextcloud за 10 000 ₽ с HTTPS, двухфакторной аутентификацией и правами по отделам, а дополнительные настройки безопасности, включая требования 152-ФЗ, согласуем под вашу задачу. Расскажите о ней в форме на главной. Стоимость — в статье сколько стоит своё облако на Nextcloud, устройство сервера — в статье корпоративное облако на своём сервере.