Копии в вашем S3: как устроена защита в «+Альянс Бэкап Яндекс 360»

Прежде чем подключать к почте и Диску компании сервис бэкапа, я хочу получить ответы на четыре вопроса. Куда уходят копии. Чем они зашифрованы. Кто и что может с ними делать. Что остаётся у самого сервиса.

Ниже эти ответы для «+Альянс Бэкап Яндекс 360» — в том виде, в каком их можно нести службе безопасности. Начну с шести пунктов, которые проще закрыть до первого запуска: тариф, хранилище, человек с правами владельца, мастер-ключ, IMAP у сотрудников и активные учётные записи.

Коротко

• Копии «+Альянс Бэкап Яндекс 360» уходят только в S3-совместимое хранилище клиента, облачное или своё.
• Копии шифруются по двухуровневой схеме KEK + DEK, алгоритмы — AES-256-GCM и RSA-4096-OAEP.
• В «+Альянс Бэкап Яндекс 360» права выдаются по операциям: чтение, восстановление и скачивание, каждое — для своих данных или для всех. Выше стоят «Полные права» и роль владельца, owner: она достаётся тому, кто подключил организацию.
• У «+Альянс Бэкап Яндекс 360» хранятся служебные данные: сведения об организации и сотрудниках, записи о копиях, журнал операций и публичная часть мастер-ключа. Содержимое писем и файлов сервис передаёт в S3-хранилище клиента и у себя не сохраняет. Регион хранения копий клиент выбирает сам, когда подбирает S3-провайдера.
• Вывода о соответствии 152-ФЗ статья не делает. «Бэкап Яндекс 360» — в реестре российского ПО: запись № 35522 от 05.10.2026, наименование в реестре — «+Альянс Бэкап».

С чего начать: шесть пунктов до подключения

Подключение бэкапа к организации Яндекс 360 упирается в шесть вещей. Почти каждую можно закрыть заранее.

1. Тариф Яндекс 360. Сервису нужна организация в Яндекс 360 на тарифе «Основной» или выше.
2. Хранилище S3. Для каждого подключения нужны четыре поля: Access Key, Secret Key, название бакета и хост провайдера, например storage.yandexcloud.net. Подключений можно завести несколько — к разным провайдерам или бакетам. Порядок, в котором бакеты используются, меняется перетаскиванием.
3. Кто подключает организацию. Роль owner автоматически достаётся тому, кто запустил подключение. Если это не владелец организации в Яндекс 360, приложение выдаст одноразовую ссылку для владельца. Ссылка живёт один час, поэтому о времени с владельцем договоритесь заранее.
4. Мастер-ключ. Ключ шифрования нужно сгенерировать и активировать. Бакет подключили, ключ не активировали — приложение выведет предупреждение: настройка хранилища неполная. Приватную часть ключа сервер отдаёт один раз, файлом. Место для этого файла выберите до нажатия кнопки.
5. IMAP у сотрудников. Чтобы почта копировалась, сотрудник включает доступ по IMAP для сторонних приложений в настройках своей учётной записи. Без этого копирование почты невозможно, так что людей предупредите до первого запуска.
6. Активные учётные записи. Заблокированных и удалённых сотрудников сервис не копирует. Уже снятые копии таких учётных записей можно просмотреть и скачать, запустить по ним миграцию и перенести в архив, если архивное хранение есть в тарифе. Если с сотрудника сняли лицензию, на эти операции остаётся 30 дней. Так что уходящего сотрудника копируйте до блокировки.

Куда уходят копии: один протокол, место выбираете вы

«+Альянс Бэкап Яндекс 360» отправляет копии только по протоколу S3. На файловую систему, по SFTP или WebDAV сервис не пишет. Ограничение касается протокола, а не места: если на своём сервере, NAS или СХД поднят S3-совместимый сервис, копии уезжают туда, в ваш контур. Обычная сетевая шара без S3 не подойдёт.

«+Альянс Бэкап Яндекс 360» работает посредником: данные из сервисов Яндекса приходят через API и напрямую уходят в бакеты S3, указанные администратором. Содержимое писем и файлов сервис на своих серверах не сохраняет. У приложения остаются служебные записи: об организации, её сотрудниках, снятых копиях и выполненных операциях. В ваш контур облачная версия «+Альянс Бэкап» при этом не ставится: она предоставляется как сервис. Для установки в своей сети есть отдельный продукт — «+Альянс Бэкап On-prem», он поставляется готовой виртуальной машиной Hyper-V.

Из облачных площадок подойдут Yandex Object Storage, VK Cloud, Selectel и другие российские. Требование к хранилищу одно — S3-совместимый интерфейс. Своё хранилище перед боевым запуском проверьте: подключите бакет, снимите контрольную копию одного сотрудника и посмотрите результат в разделе «Операции».

Бакетов можно завести несколько и расставить по приоритету. Когда в текущем хранилище кончается место, сервис сам направляет данные в следующее. Запасного бакета нет — добавьте ещё один с более высоким приоритетом или освободите место в заполненном. Заполненный бакет можно временно отключить в настройках подключения.

Экран «Хранилища S3»: подключённые бакеты с заполнением в гигабайтах, счётчик «S3 · 1 из 4», у активного хранилища метка «#1». Надпись под заголовком: при нехватке места в текущем хранилище данные автоматически направляются в следующее по приоритету. Имена бакетов, объёмы и дата обновления на снимке — демонстрационные.

Чем зашифрованы копии

Шифрование в «+Альянс Бэкап Яндекс 360» двухуровневое. Каждая копия шифруется собственным ключом — это DEK, алгоритм AES-256-GCM. Сам DEK шифруется мастер-ключом организации — это KEK, RSA-4096-OAEP. Ключи у каждой организации свои.

Приватный ключ сервис не хранит. Ключ выдаётся один раз, при создании мастер-ключа. Дальше вы передаёте его сервису только на время операции: восстановления, скачивания, миграции или выпуска сертификата сотрудника.

Службе безопасности можно переслать страницу продукта: на ней есть и двухуровневая схема, и оба алгоритма.

Экран «Шифрование и ключи»: активный мастер-ключ (KEK), ключи доступа пользователей и параметры шифрования. Мастер-ключ — пара RSA-4096, ключ копии (DEK) — AES-256-GCM, пользовательский сертификат — X.509 сроком на 365 дней.

Роли: кому что выдавать

Доступ в «+Альянс Бэкап Яндекс 360» раздаётся правами. Операций три: чтение, восстановление и скачивание. Каждая выдаётся отдельно — для своих данных или для данных всех сотрудников. В API чтение и восстановление называются self_read и self_restore для своих данных, full_read и full_restore — для всех. В интерфейсе права на скачивание подписаны «Скачивание своих» и «Скачивание всех».

«Полные права», full, стоят выше. Они включают чтение, восстановление и скачивание всех данных и добавляют управление: например, запуск копирования, групповые политики и лицензии. Удаление копии в корзину — тоже «Полные права». Отдельно существует роль «Владелец», owner. Владелец может всё, что дают «Полные права», и то, что закрыто остальным: например, удалить из корзины навсегда.

По умолчанию сотрудник получает «Чтение своих». Права назначаются по одному сотруднику или сразу всему отделу.

Операции с ключами тоже привязаны к правам. Мастер-ключ выпускает только владелец. Пользовательский сертификат выпускает сотрудник с «Полными правами» или владелец, и только при наличии мастер-ключа. И то и другое можно отозвать.

Поэтому «Полные права» я бы выдавал поштучно. Аудитору хватит права «Чтение всех», full_read. Тому, кто восстанавливает чужие ящики по заявкам, — права «Восстановление всех», full_restore. Кроме права, для восстановления и скачивания нужен ещё ключ доступа. Остальным оставьте право по умолчанию.

Экран прав доступа: матрица прав — чтение, восстановление и скачивание отдельно для своих данных, отдельно для всех, плюс полные права.

Кто что сделал, видно в журнале. Сервис записывает каждую операцию вместе с её инициатором и хранит историю изменений политик. Есть экспорт в CSV и уведомления о результатах копирования — в приложении и на e-mail. Раздел «Операции» ведёт журнал копирования, восстановления, скачивания и миграции — с результатами каждой операции.

Вход, сессии и доступ внешних систем

В «+Альянс Бэкап Яндекс 360» входят по OAuth 2.0 под учётной записью владельца организации Яндекс 360. Пароли при этом не передаются и не хранятся. При регистрации приложение запрашивает доступ к данным учётной записи: портрет, дата рождения, адрес электронной почты, логин, имя, фамилия, пол и номер телефона. Этот перечень покажите службе ИБ заранее, чтобы вопрос о нём не всплыл в день подключения.

Сессия веб-интерфейса защищена httpOnly-cookie: из клиентского кода страницы токен авторизации недоступен. Весь обмен между приложением, сервисами Яндекса и S3 идёт по HTTPS с TLS.

Сторонние системы ходят в API по паролям приложений; сам внешний API есть на тарифах «Бизнес» и «Корпоративный». Пароль приложения — это Bearer-токен, и чтобы его получить, нужны «Полные права». Права пароля равны правам пользователя, который его создал. Срок действия выбирают при выпуске: бессрочно, 30, 90 или 365 дней. Пароль у пользователя один: новый отзывает прежний, а «Отозвать» отключает пароль сразу и основную сессию не затрагивает.

Обращайтесь с таким паролем как с доступом администратора. Под каждую интеграцию заведите свою учётную запись, иначе вторая интеграция, получая пароль, отзовёт пароль первой. Срок ставьте конечный, а не «бессрочно». Интеграцию отключили — пароль отзовите.

Что хранит сам сервис и как быть с 152-ФЗ и реестром

У сервиса «+Альянс Бэкап Яндекс 360» остаётся служебная база приложения. В ней — организация и её настройки, сотрудники, учётные записи для входа, сведения о резервных копиях и публичная часть мастер-ключа. Ещё сервис сохраняет реквизиты и контактное лицо, которые вы заполняете после подключения, и ведёт журнал операций, где у каждой указан инициатор. Писем и файлов в служебной базе нет: сами копии лежат в вашем S3-хранилище.

Вывода о соответствии «+Альянс Бэкап Яндекс 360» требованиям 152-ФЗ я здесь не делаю. Страну, где окажутся копии, вы определяете сами, когда выбираете провайдера и регион бакета. Для собственной оценки по 152-ФЗ документы о площадке хранения берите у того провайдера, у которого стоит ваш бакет.

В реестре российского ПО модуль «Бэкап Яндекс 360» указан альтернативным наименованием программы «+Альянс Бэкап»: реестровая запись № 35522 от 05.10.2026. Если запись в реестре — условие вашей закупки, сверьте номер и дату в самом реестре.

Сравниваете несколько сервисов — пригодится статья «Семь вопросов поставщику резервного копирования».

Частые вопросы

Можно ли писать копии на NAS или файловый сервер без S3?

В облачной версии — нет, без S3 не получится. На файловую шару, по SFTP и по WebDAV «+Альянс Бэкап Яндекс 360» копии не отправляет. NAS или сервер подойдут, когда на них поднят S3-совместимый сервис, например MinIO. Прежде чем пускать туда все копии, снимите одну контрольную.

Почему у сотрудника не копируется почта?

Проверьте, открыт ли у сотрудника IMAP для сторонних программ в его учётной записи Яндекс 360. Для «+Альянс Бэкап Яндекс 360» это обязательное условие. Если доступ по IMAP включён, откройте нужную операцию копирования в разделе «Операции»: в карточке операции есть журнал и кнопка перезапуска задач с ошибками.

Что будет с копиями, если подписка или пробный период закончатся?

Сроки в «+Альянс Бэкап Яндекс 360» зависят от события, и отсчёт идёт от его даты:

• Лицензию сняли с сотрудника, подписка действует. 30 дней его копии можно смотреть, скачивать, переносить миграцией к сотруднику с лицензией, а при архивном хранении в тарифе — переводить в архив. Когда срок выйдет, обычные копии удаляются, в том числе из вашего S3-хранилища. Архивные живут свой срок, пока действуют подписка и архивное хранение.
• Закончилась оплаченная подписка. Первые 30 дней копии открыты для просмотра и скачивания. Следующие 60 дней они скрыты, и доступ к ним даёт техподдержка по запросу. На 90-й день копии удаляются, в том числе из S3. Если лицензии сняли потому, что тариф закончился или уменьшился, после 30 дней копии так же скрыты 60 дней и удаляются на 90-й.
• Организацию заблокировали или пробный период кончился без покупки. Смотреть и скачивать копии можно 30 дней, и больше ничего. Потом они удаляются, и из вашего хранилища тоже.

С копиями под защитой WORM при окончании подписки выходит иначе. Объекты таких копий стираются из бакета только после того, как выйдет срок защиты, а до тех пор занимают место. Отдельный случай — архивная копия, срок хранения которой истёк раньше срока защиты, например потому, что закончилась подписка: 30 дней её можно только просматривать и скачивать, затем она удаляется из приложения, а объекты в бакете остаются до конца защиты.

О предстоящем удалении сервис пишет на почту: первое письмо уходит за 7 дней до окончательного удаления, дальше письма идут каждый день. Администратору они приходят в любом случае, остальным сотрудникам — когда у них в профиле включена рассылка. Скачивайте нужное в первые 30 дней: потом копии либо удаляются, либо — после конца оплаченной подписки или снятия лицензий из-за тарифа — ещё 60 дней открываются только через техподдержку. Копии под защитой WORM заберите, пока подписка действует.

Кому давать доступ к чужим копиям?

В «+Альянс Бэкап Яндекс 360» чужие ящики и диски открывают права со словом «всех»: «Чтение всех», «Восстановление всех», «Скачивание всех». Выдавайте их поимённо и по задаче: чтение — аудитору, восстановление — тому, кто разбирает заявки. «Полные права» включают все три, поэтому их оставьте узкому кругу людей.

Александр Жогов, основатель компании «+Альянс».