Я только в требованиях ФСБ или ФАПСИ видел, что там написано про металлические хранилища. Это для защиты СКЗИ.
А вот для защиты персональных данных, такого требования не помню. Где-то написано, что информация должна храниться в надежно запираемых местах, как-то так, а про металлические шкафчики ни слова.
Документы должны храниться в местах, доступ к которым ограничен, а также можно понять, кто ответственен за место хранения и кто последний раз получал к ним доступ. Реализовать это можно различными способами - хоть персональными шкафами с замком и устройством для опечатывания, хоть единым сейфом и учетным журналом. Главное, исключить бесконтрольное пользование и перемещение таких документов внутри и вовне организации. И довести до каждого сотрудника (желательно до всех, а не только тех, кому положено с ПДн работать), что они персонально ответственны за хранение, обращение, уничтожение, печать и проч. документов, содержащих ПДн. Лучше всего и степень ответственности (в виде лишения премиальных и проч.) прописать - это мотивирует...
Что касается маркировки. Чисто технически, любое СЗИ НСД позволяет маркировать печатные листы. Не всегда удобно, зато вполне эффективно. В теневом режиме, так сказать, любой лист, выходящий из какой-либо базы на печать, будет маркирован либо каким-либо способом (хоть вензелем организации, хоть пометкой "ПДн", хоть как угодно - лишь бы это было наглядно). Как реализовать? В зависимости от используемых в ИС технологий обработки ПДн. Встроить СЗИ НСД можно всегда. Аналогично с DLP, хотя у нее немного другая ориентация задач...
