Где заканчивается обещание «данные остаются у нас»

Локальную модель часто выбирают ради контроля над внутренними документами. Но сервер, на котором работают RAG, модель, журнал запросов и индексы, остаётся обычным компьютером. Его накопитель можно вынуть при ремонте, отправить поставщику по гарантии, потерять вместе с устройством или списать без надлежащей процедуры. Если данные на диске доступны без ключа, никакое отсутствие внешнего API не поможет.

Шифрование диска решает определённую задачу: защищает данные «в покое», когда накопитель или выключенный компьютер оказался у человека без права доступа. Microsoft описывает BitLocker именно как защиту от раскрытия данных на потерянных, украденных и неправильно утилизированных устройствах. Документация Ubuntu аналогично объясняет полнодисковое шифрование на базе LUKS как защиту при утрате или краже устройства. Это зрелые механизмы операционных систем, а не новая функция ИИ.

Для малого бизнеса вывод простой: прежде чем загрузить в локальный контур клиентские документы, проверьте не только серверную комнату, но и состояние шифрования каждого тома, где окажутся исходники, векторная база, временные файлы, журналы и выгруженные копии. «Зашифрован системный диск» не означает, что отдельный диск с документами тоже защищён.

От какой угрозы шифрование помогает, а от какой — нет

Если злоумышленник получает выключенный сервер или извлечённый накопитель, правильно настроенное шифрование тома затрудняет чтение файлов без ключа. В Windows для защиты ключа обычно применяют TPM; дополнительные способы проверки при запуске зависят от конфигурации и допустимой операционной нагрузки. В Linux LUKS шифрует блочное устройство и может открываться парольной фразой или механизмом, связанным с TPM. Конкретную схему нужно тестировать на вашем оборудовании и версии ОС.

Но после штатного запуска том открыт для работающей системы. Пользователь или вредоносный процесс с достаточными правами может читать доступные ему файлы через ОС; шифрование диска не заменяет учётные записи, права на каталог, сетевую изоляцию, обновления и журналирование. Оно также не исправляет ошибку RAG, который показывает документ человеку без полномочий. Для этих угроз нужны другие уровни контроля.

Есть и обратная сторона: автоматический запуск 24/7 может конфликтовать с требованием ручного ввода секретной фразы после отключения питания. Нельзя обещать одновременно нулевое участие человека при старте и максимально строгую предзагрузочную проверку без обсуждения способа выдачи ключа. Управляйте этим как бизнес-компромиссом: кто поднимет сервис ночью, за какое время и что будет, если устройство или TPM потребует восстановления.

Карта данных до выбора настройки

Сначала отметьте все места, куда попадают данные. Для типичного локального RAG это исходное файловое хранилище, база метаданных, векторный индекс, временные результаты OCR и извлечения текста, логи запросов, контейнерные тома, файловый кэш и резервные копии. Не всякая инсталляция использует каждый компонент; проверять нужно фактические пути и тома, а не типовую схему из презентации.

Затем установите для каждого места: содержит ли оно персональные или коммерчески чувствительные сведения, кто вправе читать его при работающей системе, зашифровано ли оно на носителе и каким способом восстанавливается ключ. Векторный индекс не следует автоматически объявлять безопасным: в payload могут лежать текстовые фрагменты и идентификаторы документов. При этом статья не утверждает, что из любого embedding можно восстановить оригинал. Риск оценивают по реальному содержимому, а не по слову «вектор».

Особое внимание — временным данным. Конвертация PDF, OCR и загрузка моделей могут использовать другие диски или папки, чем основное приложение. Если закрыть шифрованием только «папку с базой», чувствительная копия может остаться в рабочем каталоге. Перед вводом в эксплуатацию проверьте маршруты файлов на тестовых документах и настройте очистку там, где это уместно.

Ключ восстановления — часть системы, а не записка под клавиатурой

Шифрование добавляет новый риск доступности: ключ можно потерять, а после изменения оборудования или настроек загрузки система может запросить восстановление. Microsoft отдельно документирует сценарии BitLocker Recovery и рекомендует хранить сведения для восстановления в безопасном месте. Для LUKS также необходимо заранее продумать запасной способ открытия и административную процедуру. Если зашифрованный диск невозможно открыть после замены материнской платы или ухода единственного администратора, защита превратится в простой сервиса.

Назначьте владельца ключей и резервного владельца. Храните ключи отдельно от самого сервера и от архивов данных; выдачу фиксируйте. Не помещайте секрет в статью, чат, репозиторий или незашифрованный файл на той же машине. Проверьте, может ли уполномоченный сотрудник восстановить доступ на тестовом оборудовании без участия человека, который настраивал систему. После использования аварийного ключа пересмотрите, требуется ли его замена по вашей политике.

Резервные копии — отдельный объект защиты. Шифрование рабочего тома не означает, что экспортированный архив, снапшот или внешний USB-диск тоже зашифрован. Для них нужны самостоятельные настройки, права и проверка восстановления. Рекомендации NIST по безопасности хранения выделяют и шифрование, и изоляцию, и подтверждение возможности восстановления: один контроль не заменяет другой.

Проверка без дорогого проекта

За одну неделю можно провести инвентаризацию на одном узле без миграции платформы. ИТ-ответственный перечисляет диски и папки с данными, проверяет фактическое состояние защиты, тестирует выключение и повторный запуск по согласованному окну, а затем на отдельном тестовом носителе отрабатывает восстановление. Используйте обезличенные или тестовые документы; не устраивайте рискованный эксперимент на единственном рабочем сервере.

Результат пилота — короткая таблица: том, тип данных, метод защиты, ответственный за ключ, место безопасного хранения копии ключа, время возврата сервиса и обнаруженные незашифрованные выгрузки. Если выяснится, что защитить критичный том без неприемлемого простоя пока нельзя, это управленческое решение: изменить архитектуру хранения, режим запуска или допустимый риск до загрузки чувствительной базы знаний.

Экономику считайте через стоимость настройки и проверки, дополнительное время запуска после сбоя и ожидаемые потери при утрате носителя. Универсальной цены «за гигабайт безопасности» нет: у мастерской с одной инструкцией и у бухгалтерии с клиентскими документами разная цена раскрытия и простоя. Начать стоит с карты данных и ключей, а не с покупки нового сервера.

Фото: Myotus / Wikimedia Commons, CC BY 4.0; квадратный кроп оригинала. На снимке — реальная серверная стойка SPNN, не инфраструктура «ВнутрИИ».