# Границы ИСПДн (Draft)

## 1. Назначение системы
Платформа обрабатывает обращения клиентов по юридическим вопросам, ведет чат клиент-юрист, хранит вложения и финансовые документы (счета), а также служебные данные администрирования.

## 2. Состав обрабатываемых ПДн
- Идентификационные данные клиента: ФИО, телефон, email (при email auth).
- Данные юристов/админов: ФИО/имя, email, телефон, аватар.
- Данные обращения: описание проблемы, статусная история, сообщения чата.
- Вложения клиента/юриста: pdf/jpg/png/mp4/txt (могут содержать ПДн и спецкатегории).
- Финансовые реквизиты в счетах (хранятся в зашифрованном виде).

## 3. Основные компоненты контура
- `frontend` (nginx + статический UI).
- `edge` (prod nginx 80/443 + TLS termination).
- `backend` (FastAPI, публичный и admin API).
- `chat-service` (выделенный FastAPI-контур чата).
- `email-service` (внутренний сервис отправки email OTP).
- `worker/beat` (Celery-фоновые задачи).
- `db` (Postgres).
- `redis` (очереди/кэш).
- `minio` (S3-совместимое хранилище файлов, internal TLS).

## 4. Границы доверия
- Внешняя граница: интернет -> `edge`.
- Внутренний сервисный контур: docker network (backend/chat/worker/email/db/redis/minio).
- Граница хранения ПДн: Postgres + MinIO.
- Граница админского доступа: JWT admin auth + RBAC.

## 5. Критичные потоки данных
1. Клиент создает заявку -> OTP проверка -> запись в `requests/clients`.
2. Клиент и юрист общаются в чате -> сообщения хранятся шифрованно.
3. Загрузка файла -> антивирус/контент-проверка -> выдача только `CLEAN`.
4. Работа со счетами -> реквизиты шифруются перед сохранением.
5. Аудит доступа -> `security_audit_log`/`audit_log`.

## 6. Текущие технические меры
- RBAC по ролям `ADMIN`/`LAWYER`/публичный клиентский контур.
- HTTPS на edge, internal TLS для MinIO.
- Шифрование сообщений/реквизитов at-rest (KID keyring + ротация).
- Security audit операций чтения/скачивания ПДн.
- Retention cleanup (Celery) для чувствительных данных.
- Согласие на обработку ПДн в клиентском потоке.

## 7. Что вне текущего контура (gap)
- Формализованный контур SIEM/централизованный immutable log storage.
- Сертифицированные СКЗИ/КриптоПровайдер по отдельным классам ИСПДн.
- Полная оргдокументация по 152-ФЗ/ПП1119/ФСТЭК-21 (регламенты, приказы, журналы).