Политика безопасности сопоставления токенов

Lexaris — lexaris.ru
Версия: 2026-03-19
Оператор: ИП Кудрявцев Степан Александрович, ОГРН 324784700000012, ИНН 780252833730

Настоящий документ генерируется динамически на основании настроек, установленных Оператором в Панели управления Платформы. Значения, выделенные курсивом, являются текущими настройками и могут быть изменены Оператором в пределах, установленных законодательством.

---

О назначении настоящего документа

Настоящая Политика безопасности маппинга токенов (далее — «Политика») регулирует обращение с наиболее чувствительным элементом системы анонимизации Платформы Lexaris — таблицей маппинга токенов (далее — «Маппинг»).

Маппинг — это таблица соответствия между маркерами-заместителями (например, [ФИО_1], [АДРЕС_1]) и реальными персональными данными (например, «Иванов Пётр Сергеевич», «г. Москва, ул. Ленина, д. 5, кв. 12»). Компрометация Маппинга полностью отменяет анонимизацию: зная Маппинг, любой может восстановить все персональные данные из анонимизированного текста.

Настоящая Политика описывает технические и организационные меры, обеспечивающие защиту Маппинга на каждом этапе его жизненного цикла.

---

1. Маппинг токенов: критичность и модель угроз

1.1 Что такое Маппинг

Маппинг токенов — структурированная таблица, содержащая:
- токен (маркер-заместитель): уникальный идентификатор, заменяющий персональные данные в анонимизированном тексте (например, [ФИО_1], [ИНН_2], [ТЕЛЕФОН_3]);
- реальное значение: соответствующие персональные данные (например, «Сидорова Мария Ивановна», «7701234567», «+7 (999) 123-45-67»);
- тип сущности: категория персональных данных (ФИО, адрес, ИНН, СНИЛС, телефон и т.д.);
- метаданные: позиция в тексте, уровень конвейера, обнаруживший сущность.

1.2 Критичность Маппинга

Маппинг является «Розеттским камнем» анонимизации. Если анонимизированный текст + Маппинг оказываются у одного лица, анонимизация полностью отменена.

Модель угроз:
- Угроза 1: Несанкционированный доступ к Маппингу на сервере → деанонимизация всех документов;
- Угроза 2: Утечка Маппинга при передаче → компрометация всех связанных PII;
- Угроза 3: Несвоевременное уничтожение → расширение окна уязвимости;
- Угроза 4: Совместная утечка анонимизированного текста + Маппинга → полная деанонимизация.

1.3 Правовая квалификация

Маппинг токенов содержит персональные данные в смысле ст. 3 ФЗ-152 и подлежит защите в соответствии с требованиями ФЗ-152, подзаконных актов ФСТЭК и Роскомнадзора.

---

2. Шифрование в состоянии покоя

2.1 Алгоритм шифрования

Маппинг токенов шифруется алгоритмом AES-256-GCM (Advanced Encryption Standard, 256-битный ключ, режим Galois/Counter Mode):
- AES-256 обеспечивает конфиденциальность данных;
- GCM обеспечивает аутентификацию и целостность (обнаружение несанкционированных изменений);
- Каждый Маппинг шифруется уникальным ключом шифрования данных (DEK).

2.2 Управление ключами

• DEK генерируется криптографически стойким генератором случайных чисел;
• DEK не хранится в базе данных вместе с зашифрованным Маппингом;
• DEK защищён мастер-ключом (KEK — Key Encryption Key);
• Мастер-ключ хранится отдельно от базы данных, в конфигурации сервера приложения.

2.3 Раздельное хранение

Зашифрованный Маппинг и ключи к нему никогда не хранятся в одном месте:
- Зашифрованный Маппинг — в базе данных;
- Ключи — в конфигурации сервера;
- Компрометация одного компонента без другого не позволяет получить доступ к Маппингу.

---

3. Жизненный цикл: сессионная привязка и автоуничтожение

3.1 Сессионный жизненный цикл

Маппинг токенов имеет ограниченный жизненный цикл, привязанный к сессии обработки:

3.2 Режимы хранения

Пользователь может выбрать режим хранения Маппинга:

3.2.1 Краткосрочный (4 часа):
- Маппинг автоматически уничтожается через 4 часа после создания;
- подходит для разовых операций, когда деанонимизация не планируется;
- минимальное окно уязвимости.

3.2.2 Стандартный (24 часа):
- Маппинг доступен в течение 24 часов;
- подходит для рабочих сессий, когда может потребоваться деанонимизация в течение дня;
- режим по умолчанию.

3.2.3 По запросу:
- Маппинг хранится до явного удаления Пользователем или до удаления учётной записи;
- подходит для долгосрочных проектов;
- Пользователь принимает на себя повышенную ответственность за безопасность.

3.3 Невозможность восстановления

После уничтожения Маппинга деанонимизация невозможна. Это проектное решение, а не дефект:
- Маппинг не сохраняется в резервных копиях сервера (см. п. 4.1);
- Оператор не имеет технической возможности восстановить уничтоженный Маппинг;
- Пользователь несёт ответственность за экспорт Маппинга до его уничтожения, если деанонимизация может потребоваться в будущем.

---

4. Отсутствие серверного резервного копирования маппинга

4.1 Проектное решение

Маппинги токенов намеренно исключены из серверного резервного копирования. Это сознательное проектное решение, основанное на принципе минимизации данных (ст. 5 ч. 6 ФЗ-152):

• резервные копии базы данных не содержат Маппингов;
• если Маппинг уничтожен (автоматически или вручную), он не может быть восстановлен ни Оператором, ни Пользователем;
• данное ограничение обеспечивает криптографическую гарантию того, что уничтоженный Маппинг действительно уничтожен.

4.2 Последствия для Пользователя

• Если Пользователь удалил Маппинг или срок его жизни истёк, деанонимизация текста невозможна;
• Оператор не несёт ответственности за невозможность деанонимизации вследствие истечения срока хранения Маппинга;
• Пользователю настоятельно рекомендуется экспортировать Маппинг до истечения срока его жизни, если деанонимизация может потребоваться.

---

5. Исключение доступа персонала

5.1 Техническое ограничение

Доступ сотрудников и администраторов Оператора к Маппингам токенов ограничен на техническом уровне, а не только на уровне политик:

• Маппинг зашифрован AES-256-GCM; доступ к расшифрованному содержимому требует ключа, недоступного на уровне базы данных;
• административный интерфейс Платформы не предоставляет функции просмотра или экспорта Маппингов других Пользователей;
• журналы доступа (audit log) фиксируют все обращения к Маппингам.

5.2 Организационные меры

• Ни один сотрудник Оператора не имеет служебной необходимости в доступе к содержимому Маппингов;
• Процедуры технической поддержки не предусматривают доступ к Маппингам Пользователей;
• В случае запроса Пользователя на помощь с деанонимизацией, помощь оказывается исключительно посредством предоставления инструментов (API-эндпоинт, интерфейс), а не путём прямого доступа к Маппингу.

---

6. Обработка в оперативной памяти

6.1 Принцип минимизации записи на диск

Где технически возможно, операции с Маппингом выполняются в оперативной памяти сервера:
- создание Маппинга в процессе анонимизации;
- доступ к Маппингу при деанонимизации;
- промежуточные вычисления.

На диск записывается только зашифрованный Маппинг для постоянного хранения (в пределах срока жизни).

6.2 Защита от утечки через swap

Серверы Оператора настроены таким образом, чтобы минимизировать риск записи чувствительных данных из оперативной памяти в swap-файл.

---

7. Криптографическое уничтожение (Crypto Erasure)

7.1 Метод уничтожения

При уничтожении Маппинга (автоматическом или по запросу Пользователя) применяется метод криптографического уничтожения (crypto erasure):

1. DEK (ключ шифрования данных), которым зашифрован Маппинг, уничтожается первым;
2. Зашифрованные данные Маппинга удаляются из базы данных;
3. После уничтожения DEK даже при теоретическом восстановлении зашифрованных данных из базы их расшифровка невозможна.

7.2 Преимущества crypto erasure

• Мгновенное уничтожение: достаточно уничтожить ключ (наносекунды), а не перезаписывать данные;
• Гарантия: без ключа зашифрованные данные неразличимы от случайного шума;
• Устойчивость к физическому восстановлению данных с носителя.

---

8. Экспорт Маппинга Пользователем

8.1 Право на экспорт

Пользователь вправе экспортировать (скачать) Маппинг токенов для собственных нужд:
- экспорт в зашифрованном формате (защита паролем Пользователя);
- экспорт доступен в течение срока жизни Маппинга;
- после экспорта ответственность за безопасность Маппинга переходит к Пользователю.

8.2 Ответственность Пользователя за экспортированный Маппинг

Экспортировав Маппинг, Пользователь принимает на себя полную ответственность за:
- хранение файла в защищённом месте;
- предотвращение утечки или компрометации;
- уничтожение файла после утраты необходимости;
- все последствия компрометации экспортированного Маппинга.

---

9. Эндпоинт деанонимизации

9.1 Безопасность доступа

Эндпоинт деанонимизации (API для восстановления персональных данных из анонимизированного текста) защищён:
- Аутентификация: доступ только для авторизованных Пользователей (JWT-токен);
- Авторизация: Пользователь может деанонимизировать только собственные Маппинги;
- Rate limiting: ограничение количества запросов к эндпоинту деанонимизации (предотвращение перебора);
- Audit logging: каждый запрос к эндпоинту деанонимизации фиксируется в журнале аудита с временной меткой, идентификатором Пользователя и IP-адресом.

9.2 Мониторинг аномалий

Оператор осуществляет мониторинг аномальной активности по эндпоинту деанонимизации:
- массовые запросы в короткий период;
- запросы с нетипичных IP-адресов;
- иные паттерны, указывающие на возможную компрометацию учётной записи.

---

10. B2B API: защита маппинга при интеграции

10.1 Принцип разделения

При использовании B2B API (программный интерфейс для корпоративных интеграций):
- API-ответы содержат только анонимизированный текст;
- Маппинг токенов не включается в API-ответы;
- деанонимизация доступна только через отдельный защищённый эндпоинт (см. п. 9);
- API-ключ не даёт прямого доступа к хранилищу Маппингов.

10.2 Рекомендации для B2B-партнёров

B2B-партнёрам, интегрирующим API Lexaris, рекомендуется:
- не хранить Маппинги на своей стороне дольше необходимого;
- обеспечить шифрование Маппингов, если они сохраняются локально;
- реализовать собственные механизмы аудита доступа к Маппингам.

---

11. Инцидент безопасности: порядок реагирования

11.1 Компрометация Маппинга = утечка PII

Если Маппинг (или его часть) стал доступен несанкционированному лицу, данное событие квалифицируется как инцидент утечки персональных данных, поскольку Маппинг позволяет восстановить все персональные данные из анонимизированного текста.

11.2 Порядок реагирования

При обнаружении или обоснованном подозрении на компрометацию Маппинга:

Немедленные действия Оператора:
1. Изоляция затронутых данных;
2. Криптографическое уничтожение скомпрометированного Маппинга (если он ещё хранится на сервере);
3. Уведомление затронутых Пользователей в течение 24 часов;
4. Фиксация обстоятельств инцидента.

Уведомление регулятора:
В соответствии со ст. 21 ФЗ-152, при установлении факта неправомерной обработки персональных данных Оператор обязан прекратить неправомерную обработку и уведомить субъектов персональных данных или их представителей.

Действия Пользователя:
- Рассматривать все персональные данные, содержавшиеся в скомпрометированном Маппинге, как потенциально раскрытые;
- При необходимости уведомить субъектов персональных данных, чьи данные были затронуты;
- Обратиться к Оператору для получения информации об объёме и характере компрометации.

11.3 Каналы уведомления

Для сообщения об инцидентах безопасности:
- Электронная почта: info@lexaris.ru с пометкой «ИНЦИДЕНТ БЕЗОПАСНОСТИ»;
- Оператор обязуется ответить на сообщение об инциденте безопасности в течение 4 часов.

---

12. Связь с иными правовыми документами

Настоящая Политика применяется совместно с:
1. Пользовательским соглашением Lexaris;
2. Политикой конфиденциальности;
3. Уведомлением об обработке данных при использовании ИИ (ai_data_processing_notice.md);
4. Уведомлением о трансграничной обработке данных (cross_border_processing_notice.md);
5. Дисклеймером об обнаружении ИИ (ai_detection_disclaimer.md);
6. Дисклеймером о точности анонимизации (anonymization_accuracy_disclaimer.md).

---

13. Контакты

По вопросам безопасности маппинга токенов:

• Инциденты безопасности: info@lexaris.ru
• Общие вопросы: info@lexaris.ru

ИП Кудрявцев Степан Александрович
Россия, Санкт-Петербург
ОГРН 324784700000012 | ИНН 780252833730

---

Настраиваемые параметры

Следующие параметры настраиваются Оператором в Панели управления Платформы. Указанные ниже значения являются значениями по умолчанию.

Все параметры настраиваются в: Панель управления → Настройки → Сроки хранения

---

Настоящая Политика вступает в силу с 2026-03-19 и является неотъемлемой частью Пользовательского соглашения Lexaris.