Не в курсе, как всё устроено конкретно у ФБК, но я работал в штабе Гудкова и Каца на выборах в 2017 году. И там были общие принципы такие:
База данных с чувствительной информацией крутится на отдельном сервере не в России. Доступ к ней есть только по внутренней сети и только с определенных IP-адресов - серверов с работающим сайтом.
У всех сотрудников, которые работают с персональными данными, зашифрованы все диски, стоит надёжный пароль и автоматическая блокировка через минуту.
Логируются все действия всех сотрудников с чувствительными данными
Вся работа с данными происходит в рамках одной сессии. После закрытия вкладки доступ к ним пропадает, нужно входить в аккаунт заново.
Вся работа с персональными данными шифруется HTTPS и, возможно, каким-нибудь дополнительным шифрованием.
У разработчиков есть доступ только к серверам с приложением, но не напрямую к БД и только по SSH-ключу с паролем.
Ну и самое главное - это обучение людей и прививание им привычки хотя бы блокировать компьютер абсолютно всегда, когда отходишь от него даже на минутку.
Все эти меры легко организовать даже в организации с ограниченным бюджетом. И помогут спасти ваши данные в случае, если в офис внезапно ворвется ОМОН.