Сначала определите: это просто кибератака или инцидент с персональными данными
DDoS-атака, фишинговое письмо или заражение компьютера ещё не означают автоматически, что компания обязана уведомить Роскомнадзор по части 3.1 статьи 21 Закона № 152-ФЗ.
Ключевой вопрос — установлен ли факт неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, который повлёк нарушение прав субъектов.
Первый час: локализовать атаку, но не уничтожить доказательства
Заблокируйте скомпрометированные учётные записи и внешние сессии под контролем IT-специалиста.
Логи, журналы авторизации, IP-адреса, письма, сообщения антивирусов, резервные копии, требования вымогателей и подозрительные файлы.
Для юриста это критическая дата и время: от момента выявления инцидента исчисляется срок уведомления.
Один человек собирает информацию от IT, ответственного за персональные данные, юриста и руководства и ведёт хронологию.
Первые 2–3 часа: создайте рабочую группу и журнал инцидента
Для большинства компаний достаточно четырёх функций: руководитель, IT/информационная безопасность, ответственный за персональные данные и юрист.
Параллельно заведите журнал инцидента — электронный или бумажный, если инфраструктура скомпрометирована.
| Время | Что фиксировать | Кто отвечает |
|---|---|---|
| 09:14 | Первый признак: недоступность системы / необычная авторизация | Обнаруживший сотрудник |
| 09:25 | Какие системы и учётные записи затронуты | IT / ИБ |
| 10:10 | Какие персональные данные могли быть затронуты | Ответственный за ПД |
| 11:30 | Решение о квалификации инцидента и уведомлении | Юрист + руководитель |
До уведомления ответьте на шесть вопросов
- Какая информационная система скомпрометирована?
- Какие персональные данные в ней находились?
- Чьи это данные: клиентов, сотрудников, кандидатов, представителей контрагентов?
- Что произошло: доступ, копирование, выгрузка, изменение, уничтожение, публикация?
- Каков хотя бы предварительный масштаб инцидента?
- Какие меры уже приняты для локализации?
24 часа: уведомите Роскомнадзор, если инцидент подтверждён
Первичное уведомление должно содержать сведения о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде правам субъектов, принятых мерах и лице, уполномоченном взаимодействовать с Роскомнадзором.
Для таких сообщений Роскомнадзор использует специальную электронную форму.
Подтверждённые факты: что именно обнаружено и когда.
Предварительная оценка: какие системы и категории данных могли быть затронуты.
Что ещё проверяется: точный объём и последствия инцидента.
Что уже сделано: блокировка доступа, изоляция узлов, сохранение логов, смена ключей и иные реальные меры.
72 часа: сообщите результаты внутреннего расследования
К этому сроку оператор должен направить результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если такие лица установлены.
Во внутреннем отчёте удобно зафиксировать хронологию, точку проникновения, затронутые системы, категории и объём данных, фактические последствия, меры локализации и действия для предотвращения повторения.
Роскомнадзор — не единственный возможный адресат
Если компьютерный инцидент повлёк неправомерную передачу, предоставление, распространение или доступ к персональным данным, оператору нужно отдельно проверить обязанности по взаимодействию с ГосСОПКА.
Часть 12 статьи 19 Закона № 152-ФЗ и приказ ФСБ России от 13.02.2023 № 77 устанавливают специальный порядок взаимодействия операторов с этой системой и информирования ФСБ России.
Когда обращаться в правоохранительные органы
Если есть признаки неправомерного доступа, вредоносного ПО, вымогательства, хищения либо незаконного оборота персональных данных, вопрос о заявлении в правоохранительные органы нужно решать отдельно от уведомления Роскомнадзора.
К заявлению полезно приложить понятную хронологию и копии сохранённых технических материалов. Оригиналы и контрольные копии лучше учитывать отдельно: кто, когда и какие материалы получил.
Шесть ошибок первых часов
- Удалить следы атаки ради быстрого восстановления.
- Перезагрузить или отформатировать систему без фиксации данных.
- Не зафиксировать точное время обнаружения.
- Сообщить клиентам, что «утечки точно не было», до завершения проверки.
- Ждать 72 часа перед первым сообщением Роскомнадзору.
- Считать, что заявление в полицию заменяет уведомление регулятора.
Почему сроки критичны: штрафы уже исчисляются миллионами
| Нарушение | Штраф для юридического лица |
|---|---|
| Не уведомили или уведомили несвоевременно об инциденте | 1–3 млн ₽ |
| Утечка 1 000–10 000 субъектов и/или 10 000–100 000 идентификаторов | 3–5 млн ₽ |
| 10 000–100 000 субъектов и/или 100 000–1 млн идентификаторов | 5–10 млн ₽ |
| Более 100 000 субъектов и/или более 1 млн идентификаторов | 10–15 млн ₽ |
| Специальные категории персональных данных | 10–15 млн ₽ |
| Биометрические персональные данные | 15–20 млн ₽ |
| Повторная утечка по ч. 12–14 ст. 13.11 КоАП РФ | 1–3% выручки, минимум 20 млн, максимум 500 млн ₽ |
Поэтому задача первых суток — не «избежать штрафа любой ценой», а не создать дополнительное самостоятельное нарушение: пропустить обязательное уведомление, потерять доказательства или лишиться возможности объяснить регулятору последовательность действий.
Что сохранить для будущей проверки
- решение или распоряжение о начале реагирования;
- журнал инцидента;
- технический отчёт IT/ИБ;
- копии уведомлений Роскомнадзора и подтверждение отправки;
- переписку с хостингом, облачными сервисами и подрядчиками;
- доказательства устранения уязвимости;
- материалы обращения в правоохранительные органы — если обращение было;
- документы о новых мерах после инцидента.
Эти материалы не гарантируют освобождение от ответственности, но без них через несколько месяцев компания может не доказать даже то, когда узнала об атаке и что сделала сразу после неё.
Готовые материалы для внутреннего реагирования
Чтобы не собирать порядок действий уже во время инцидента, можно заранее адаптировать два рабочих файла под свою компанию.
Лучшее время готовиться к утечке — до утечки
Нормальная система 152-ФЗ должна включать не только политику, согласия и уведомление об обработке, но и сценарий действий на случай компрометации данных.
Заранее определите команду реагирования, ответственного за уведомление, порядок сохранения логов, контакты IT-подрядчиков и шаблоны внутренних документов.
