Природа HAI · безопасность и сроки
PDF
●Цифровое направление «Природа HAI» · дорожная карта · статусы на 26.10.2026

Технические меры защиты закрыты.
Осталось правовое и организационное.

  • Доступ, резервные копии, мониторинг, защита сайтов и контроль выкладок действуют на рабочих серверах в России и проверены.
  • Внутренний контур готов к проверке СБ. «Природа 2» и ЦРМ работают с входом только по приглашению; проверка СБ и бета — 18.11.
  • Афиша работает, документы приведены к 152‑ФЗ; до открытия для поиска — уведомление в Роскомнадзор и договоры с обработчиками.
  • Открытые пункты: ответственный за ПДн, юрлицо, договоры поручения обработки ПДн, уведомление в Роскомнадзор, тексты юриста, утверждение документов СБ.
01Шкала по секторам

Что и когда закрывается

  • сделано
  • в работе / сейчас
  • дальше
  • РуководствоЮристСБИПКоманда

Команда«Природа 2», Штаб, ЦРМ

Меры действуют

Сдерживает: политика и согласие от юриста, проверка СБ

    • Встреча Руководство
    • Письмо СБ Команда
    • Модель угроз и регламенты — на утверждение СБ СБ
    • Проверка СБ и бета СБ
    • Публичный веб Команда
    • Тексты юриста Юрист
    • Защита от DDoS Руководство
Подробнее

Приложение и ЦРМ работают на сервере в Санкт-Петербурге, вход только по приглашению, доступ к данным разграничен на сервере. ЦРМ фестиваля переведена в «Природу 2» без расхождений данных. Внешним участникам приложение не открывается до политики и согласия от юриста. Формат проверки согласован: СБ ФАКТа проверяет сервер и приложение, команда закрывает замечания.

СобытияАфиша

Меры действуют

Сдерживает: уведомление в РКН, договоры с обработчиками, вычитка юристом

    • Ответы по детям (5 вопросов) Руководство
    • Состав данных в уведомлениях команде Руководство
    • Уведомление в РКН (черновик готов) ИП
    • DKIM и DMARC Команда
    • Вычитка юристом Юрист
    • Договоры с обработчиками Юрист
    • Открытие для поиска Команда
Подробнее

Политика обработки ПДн и согласие приведены к 152‑ФЗ, включая данные детей; согласие на cookie запрашивается до загрузки аналитики; у событий есть возрастная маркировка. Сайт закрыт от поисковиков. До открытия: уведомление в Роскомнадзор (черновик готов, подаёт ИП), договоры поручения с обработчиками, ответственный за ПДн, вычитка юристом.

Связинетворкинг на внешних событиях

В работе

Сдерживает: защита выгрузки данных участников

    • Закрыть выгрузку данных участников Команда
    • Перенаправление аудитории Команда
    • Договор поручения ПДн для организатора Юрист
Подробнее

Разработка приостановлена. До следующего события нужно закрыть выгрузку данных участников в ЦРМ (проверка согласия, разделение по событиям, отдельные ключи) и вход на сервер по паролю. Для работы с организаторами нужен договор поручения обработки ПДн.

B2Bзаказная разработка и внедрение ИИ

Требует решения

Сдерживает: юрлицо исполнителя, договор, NDA, поручение обработки ПДн · запаса по срокам нет

    • Поручение юрдепартаменту Руководство
    • Юрлицо исполнителя Руководство
    • Договор, NDA, поручение ПДн Юрист
    • Кабинет клиента Команда
Подробнее

В проектах для заказчиков команда — обработчик ПДн по поручению заказчика. Работа с первым заказчиком (ЭТИС) начинается после определения юрлица исполнителя, договора, NDA и соглашения о поручении обработки ПДн. Запаса по срокам нет.

B2Cличные ИИ-агенты «Гера»

Требует решения

Сдерживает: юрлицо оператора ПДн, политика и оферта · запас 3 рабочих дня

    • Закрытый пилот идёт Команда
    • Юрлицо оператора ПДн Руководство
    • Политика и оферта с реквизитами Юрист
    • Открытие пользователям Команда
Подробнее

Идёт закрытый пилот. Открытие пользователям — после определения юрлица оператора ПДн и реквизитов в политике и оферте. Запас по срокам — 3 рабочих дня.

Сквозноеответственный, юрист, хостинг

Требует решения

Сдерживает: ответственный за безопасность и юрконтур, юрист

    • Ответственный за безопасность и юрконтур, контакт по инцидентам Руководство
    • Юрист Руководство
    • Юрлицо для «Геры» и B2B Руководство
    • Передача постоянной структуре Руководство
    • Пентест раз в полгода, по требованиям СБ СБ
Подробнее

Хостинг в России (Timeweb, Санкт-Петербург). Афиша работает на ИП; для «Геры», B2B и мобильных сторов нужно готовить юридическое обеспечение.

02Что сделано на 26.10.2026

Уже работает

Команда«Природа 2», Штаб, ЦРМ

  • Командное приложение и ЦРМ работают на сервере в Санкт-Петербурге, вход только по приглашению
  • ЦРМ фестиваля перенесена в «Природу 2», данные сверены без расхождений; сайт фестиваля передаёт заявки в новую ЦРМ
  • Мессенджер по функциям близок к Telegram, автотесты на рабочем сервере пройдены
  • Закрыт технический аудит: разграничение доступа к данным, вход на сервер по ключу, ежедневные резервные копии с проверкой восстановления

СобытияАфиша

  • Работает в боевом режиме: аккаунт зрителя, абонементы, рассылка, карточки детей; заказы передаются в ЦРМ
  • Опубликованы политика, согласие, оферта и правила возврата; документы приведены к 152‑ФЗ, включая данные детей
  • Согласие на cookie до загрузки аналитики, возрастная маркировка событий, защита сайта на уровне сервера
  • Подготовлен черновик уведомления в Роскомнадзор

Связинетворкинг на внешних событиях

155активных участников
112запросов
34встречи
  • Платформа проверена на двух живых событиях; цифры выше — «Эмпатиум»
  • Механизм подбора участников перенесён в «Природу 2»
  • История контактов участников перенесена в ЦРМ
  • Подготовлен проект встраиваемой версии под отдельные события

B2Bзаказная разработка и внедрение ИИ

  • Работает страница для бизнеса с записью на консультацию и ИИ-разбором брифов; курс из 22 уроков
  • Готов новый B2B-сайт: 7 направлений, кейсы, форма заявки — ждёт согласования к публикации
  • Подготовлен шаблон договора с первым заказчиком (ЭТИС) и вопросы юристу

B2Cличные ИИ-агенты «Гера»

  • Работают бот и личный кабинет: календарь с напоминаниями, задачи, разборы встреч, партнёрская программа
  • Опубликован сайт «Геры»; идёт закрытый пилот
  • Разработан основной объём функций; часть включается после решений руководства и юрлица

Сквозноебезопасность и инфраструктура

  • Хостинг в России: Timeweb, Санкт-Петербург
  • На сайтах включены заголовки безопасности и CSP; самопроверка 6 сайтов — уязвимостей high и critical нет
  • Старые тестовые стенды удалены с сервера, оставлен один штатный механизм резервного копирования
  • Подготовлен и проверен переход подписи токенов на ES256
03Контрольные точки безопасности

Технические меры действуют и проверены. Открытое — за руководством, юристом и СБ

Закрыто 8

Действует на рабочих серверах и проверено.

  • Разграничение доступа к данным, вход только по приглашению
  • Резервные копии: ежедневно, с шифрованием и проверкой восстановленияОсталось: офлайн-копия ключа у владельца
  • Мониторинг с оповещением, журналы веб-сервера 180 днейОсталось: утвердить сроки хранения
  • Заголовки безопасности, CSP и TLS на сайтах, ограничение частоты запросовОсталось: записи CAA в DNS
  • Самопроверка 6 сайтов на уязвимости: high и critical нетОсталось: внешний пентест — по требованиям СБ
  • Контроль секретов и уязвимых зависимостей при каждой выкладке
  • ИИ: пользователь может отказаться от обработки, проверка на сервере
  • Афиша: документы по 152‑ФЗ, cookie-согласие, данные детейОсталось: вычитка юристом, 5 вопросов по детям

В работе 2

Делает команда, решения руководства не нужно (кроме окна работ).

  • Переход подписи токенов на ES256 — готовоОсталось: согласовать ночное окно
  • «Связи»: выгрузка данных участников в ЦРМОсталось: проверка согласия, отдельные ключи

Требует решения 7

Нужен документ или решение вне команды разработки.

  • Уведомления команде в Telegram содержат ФИО участниковПривести в соответствие с политикой
  • Защита от DDoSРешение о подключении
  • Уведомление в РоскомнадзорПодать от ИП, черновик готов
  • Договоры поручения с обработчиками и заказчиками, NDAПоручение юрдепартаменту
  • Политика и согласие «Природы 2»Тексты юриста
  • Модель угроз, регламент доступа, порядок реагирования на инцидентыУтверждение СБ
  • Ответственный за ПДн и контакт по инцидентамРешение 27.10
04Что требуется от руководства

Шесть решений

  1. 1

    Определить ответственного за безопасность и правовой контур (ФАКТ или своя структура) и контакт по инцидентам; поручить юрдепартаменту договор заказной разработки, NDA и договор поручения обработки ПДн — со сроком.

  2. 2

    Определить юрлицо для B2B и «Геры».

  3. 3

    Найти юриста по цифровым платформам: вычитка документов Афиши, «Геры», «Природы 2».

  4. 4

    Согласовать с СБ ФАКТа проверку сервера и приложения до беты 18.11, требования к пентесту и утверждение модели угроз и регламентов.

  5. 5

    Афиша: подать уведомление в Роскомнадзор, ответить на 5 вопросов по детям, определить состав данных в уведомлениях команде.

  6. 6

    Решить вопрос защиты от DDoS; согласовать ночное окно смены ключей подписи.