ФЗ-152 и принтер: как ваш МФУ превращается в 500-тысячный штраф

Представьте утро понедельника. Вы приходите в офис, наливаете кофе, включаете компьютер. А там - письмо счастья. Не от клиента, не от поставщика тонера. От Роскомнадзора.

«Выявлены нарушения законодательства о персональных данных». Штраф для юридического лица: до 500 000 рублей. Для должностного лица: до 75 000. И это только первый раз. Если повторятся - можно влететь на полмиллиона лично.

Вы перечитываете. Думаете: «У нас же всё защищено. Антивирус, пароли, firewall. Какие персональные данные? Мы ж IT-компания / клиника / юрфирма, у нас всё по фэншую».

А потом выясняется: штраф не за взломанный сервер. И не за утечку базы с флешки. А за принтер в коридоре, который печатает зарплатные ведомости, договоры и копии паспортов - и при этом торчит в открытом Wi-Fi без пароля, с полным жёстким диском внутри и историей печати за последние три года.

Звучит как анекдот? Анекдоты заканчиваются смехом. А 152-ФЗ заканчивается актом проверки.

Глава первая: ваш принтер - компьютер. Просто вы об этом забыли

В голове среднего офисного сотрудника принтер существует где-то между чайником и шредером: нажал кнопку - бумажка вышла. Что там внутри - неважно, главное, чтобы не скрипел.

А внутри - полноценный компьютер. Процессор, оперативная память, операционная система (часто Linux-подобная), сетевой стек. И, в случае современных МФУ среднего и премиального сегмента - жёсткий диск или SSD на 40–250 ГБ.

Зачем принтеру жёсткий диск? Чтобы хранить:

• Историю печати (кто, когда и что печатал)
• Отсканированные документы (если сканировали «в сеть» или на email)
• Копии факсов (да, факсы ещё живы в 2026-м, удивительно)
• Образы документов в очереди печати
• Логи сетевой активности

То есть ваш принтер - архив всей документооборотки компании за последние N лет. И он стоит в коридоре. Без присмотра. С наклейкой IP-адреса на корпусе (чтобы удобнее было подключаться).

Глава вторая: три способа слить персональные данные через принтер

Способ 1. «Гостевой Wi-Fi» и принтер в одной сети

Классика жанра. У вас есть гостевая Wi-Fi сеть. У вас есть офисная сеть. У вас есть сисадмин, который «пока что» посадил всё в одну подсеть, потому что «так проще». У вас есть принтер Kyocera / HP / Canon с веб-интерфейсом по адресу 192.168.1.50 и стандартным паролем admin/admin.

Результат: любой гость, подключившийся к Wi-Fi «Office_Guest_Free», открывает браузер, вбивает 192.168.1.50, заходит в админку без пароля и скачивает историю печати за полгода. Там - ФИО, ИНН, зарплаты, договоры, медицинские карты. Всё, что печатала ваша бухгалтерия в 8 утра, сидя за чашкой кофе.

«Но у нас пароль стоит!» - скажете вы. Да, пароль. «12345678» или серийный номер, написанный на корпусе. Это как замок на шкафчик в фитнес-клубе: защищает от честных людей.

Способ 2. Жёсткий диск при продаже или утилизации

Компания растёт. Старый принтер HP LaserJet 600 с 80-гигабайтным HDD отправляется на Авито за 5000 рублей. Новый владелец включает его, заходит в сервисное меню, и вуаля - на диске лежат сканы паспортов клиентов, договоры аренды, кадровые приказы.

Вы думаете, я утрирую? В 2010 году исследователи из America's Digital Army купили на вторичном рынке 200 бывших в употреблении принтеров. На жёстких дисках 60% из них остались документы предыдущих владельцев. Включая чеки, налоговые декларации, медицинские заключения.

В России с этим ещё веселее: мы принтеры не выбрасываем, мы их «передаём по договору». Без очистки данных. Потому что никто не знает, как очистить.

Способ 3. Удалённая печать и «облака»

Сотрудник на удалёнке печатает документ на офисный принтер через Google Cloud Print, HP Smart, Canon PRINT Business или аналог. Документ уходит через сервера в Калифорнию, обрабатывается там, возвращается обратно. Вы уверены, что это соответствует требованиям локализации персональных данных? Роскомнадзор - нет.

Глава третья: сколько стоит беззаботность (с цифрами, как вы любите)

Статья 13.11 КоАП РФ - нарушение законодательства о персональных данных.

Для юридических лиц:

• Первое нарушение: от 30 000 до 500 000 рублей.
• Повторное нарушение (если уже было предписание): от 100 000 до 500 000 рублей. Или административное приостановление деятельности до 90 суток.

Для должностных лиц (директор, IT-директор, специалист по ИБ):

• От 10 000 до 75 000 рублей. При повторном - до 100 000.

Для индивидуальных предпринимателей:

• От 15 000 до 75 000 рублей.

И это только штрафы КоАП. Отдельно идут проверки, предписания, устранение нарушений, возможные иски от клиентов (если данные утекли), репутационные потери.

Сравните: выездная диагностика сетевой безопасности принтеров - 5000–15000 рублей. Настройка сегментации сети и смена паролей - 2 часа работы сисадмина. Штраф - до 500 000. Математика простая, как дважды два. Просто директор об этом обычно узнаёт после.

Глава четвёртая: PSID - или как «убить» диск одним кодом с наклейки

А теперь - момент, ради которого некоторые дочитали до сюда. Потому что есть технология, которая превращает «ой, а как же нам очистить диск перед продажей?» в «нажал кнопку - и всё».

Называется она PSID. Расшифровывается как Physical Security ID. И это не маркетинговая страшилка, а реально работающий механизм, который используется в самозашифровывающихся дисках (Self-Encrypting Drive, SED).

Что это такое

PSID - 32-значный буквенно-цифровой код. Напечатан на физической этикетке самого жёсткого диска - обычно рядом с серийным номером. Не в прошивке принтера. Не в файловой системе. Только на наклейке. Потеряли наклейку - потеряли код.

Как это работает

SED-диск шифрует все данные на лету с помощью специального ключа (Media Encryption Key, MEK). Вы этого не замечаете: печатаете, сканируете, копируете - диск сам шифрует и расшифровывает. Пока диск стоит в принтере и питание есть - всё работает прозрачно.

А теперь фокус. Если вы подключаете диск к компьютеру с поддержкой функции «PSID Revert» и вводите этот 32-значный код с наклейки - диск мгновенно возвращается в заводское состояние. Ключ шифрования стирается. И всё, что было на диске, становится не просто «удалённым» - оно становится математически нечитаемым. Потому что зашифрованные данные без ключа - просто шум.

Почему это важно для 152-ФЗ

Вспомните, что мы говорили про утилизацию: «просто сброс до заводских настроек не стирает данные с диска - миф». Для обычных дисков - да, миф. Для SED-дисков с PSID - уже не миф, а правильная процедура.

Разница принципиальная:

• Обычный сброс = выкинули ключ от сейфа, но сейф остался. Кто-то с инструментами может вскрыть.
• PSID Revert = сейф испарился вместе с содержимым. Восстанавливать нечего.

Криптографическое стирание (Cryptographic Erase) - именно так называется этот процесс - признано достаточным для уничтожения персональных данных в большинстве регуляторных требований. И PSID - самый быстрый и надёжный способ его выполнить.

Но есть нюанс: PSID не защищает данные при повседневной работе. Он не заменяет пароли, не заменяет сегментацию сети, не защищает от того, что принтер стоит в коридоре с открытым веб-интерфейсом. Это инструмент уничтожения после использования, а не защиты во время. То есть PSID - не замена всем мерам, а очень полезное дополнение.

Глава пятая: чек-лист «не получить штраф за принтер»

Вот что нужно сделать, пока к вам не пришли люди в серьёзных костюмах с блокнотами.

1. Проверьте, есть ли в принтере жёсткий диск

Зайдите в веб-интерфейс принтера (обычно 192.168.x.x). Найдите раздел «Настройки хранилища», «Job Storage», «Hard Disk». Если диск есть - включите шифрование (если поддерживается) или настройте автоматическое удаление задач после печати. Если принтер старый и не поддерживает шифрование - либо отключите хранение, либо признайте, что это дыра, и закройте её технически, либо замените парк.

2. Смените стандартные пароли

Admin / 1234 / серийный номер - не считаются паролями. Это приглашение. Установите сложные пароли на:

• Веб-интерфейс принтера
• Панель управления (если есть функция)
• Доступ к сканированию по сети

3. Сегментируйте сеть

Принтеры должны жить в отдельном VLAN. Гостевой Wi-Fi не должен видеть офисные принтеры. Это базовая гигиена, как мыть руки после улицы.

4. Отключите ненужные сервисы

Google Cloud Print (хотя Google его закрыл, в прошивках остались хвосты), HP ePrint, публичные облака для сканирования, FTP-сервер на принтере (да, некоторые МФУ умеют в FTP, и он включён по умолчанию). Если не используете - вырубайте.

5. Ведите учёт и утилизацию

При продаже или списании принтера жёсткий диск должен быть либо изъят и уничтожен, либо очищен специализированным ПО (Secure Erase). Если на диске есть PSID - используйте PSID Revert. Это самый быстрый и надёжный способ. Просто «сброс до заводских настроек» не стирает данные - миф. А PSID Revert - не миф, это криптографическое стирание.

Глава шестая: когда вызывать мастера (и почему это не стыдно)

Если после прочтения этого текста вы посмотрели на свой парк принтеров и поняли, что половину из этого списка сделать невозможно (потому что прошивка старая, потому что нет сисадмина, потому что «у нас всё работает, не трогай») - нормально.

Большинство офисов в России живут в режиме «пока не сломалось». Но 152-ФЗ - как раз тот случай, когда «сломалось» наступает в виде письма от Роскомнадзора, а не в виде замятия бумаги.

Что делает сервисный инженер по безопасности печати:

• Аудит сетевых настроек парка принтеров
• Включение шифрования и безопасного удаления
• Настройку VLAN и ограничений доступа
• Извлечение и уничтожение HDD при утилизации (включая PSID Revert, если поддерживается)
• Документирование всего этого для проверяющих органов

Стоит это в разы дешевле штрафа. И в десятки раз дешевле репутационных потерь, когда клиенты узнают, что их паспортные данные утекли через проданный на Авито принтер.

Эпилог: мораль басни

Ваш принтер знает о вашей компании больше, чем некоторые сотрудники. Он помнит каждую зарплатную ведомость, каждый договор, каждый скан паспорта. Он молчит - пока его не взломают, не продадут или не проверят.

152-ФЗ не требует от вас абсолютной неуязвимости. Он требует принятия мер. Пароль на веб-интерфейс - мера. Отдельный VLAN - мера. Очистка диска перед продажей - мера. PSID Revert - тоже мера. Причём одна из самых эффективных.

Не делать ничего и надеяться, что «нас это не коснётся» - тоже мера. Просто она стоит от 30 000 до 500 000 рублей.

Печатайте безопасно. Или мы приедем и настроим. Хотите проверить, что хранит ваш принтер и не грозит ли вам штраф - оставьте заявку на аудит.