План действий при киберинциденте: руководство для директора

Киберинцидент — это любое событие, которое нарушает конфиденциальность, целостность или доступность информационных систем компании. К нему относятся компрометация учётной записи, утечка клиентских данных, шифровальщик, остановка работы сайта или 1С, подозрительные транзакции по корпоративному счёту, фишинговая рассылка от имени директора. Для малого и среднего бизнеса в Казахстане такой инцидент может означать остановку отгрузок, штрафы, потерю доверия покупателей и сорванные контракты. Этот материал — пошаговый чек-лист для руководителя, у которого нет выделенного отдела информационной безопасности и который должен действовать сам в первые минуты и часы.

Первое решение, которое принимает директор, — признать инцидент и зафиксировать время его обнаружения. Записывайте в отдельный документ или мессенджер: кто и во сколько заметил аномалию, какие признаки он увидел, какие действия предпринял. Эта запись потом станет основой для внутреннего разбора, обращения в банк, страховую компанию или к юристу. Не публикуйте детали в общих чатах сотрудников и тем более в социальных сетях. Создайте узкий штаб из двух-трёх человек: вы сами, технический специалист и юрист или бухгалтер. Все остальные узнают столько, сколько им необходимо для выполнения своих задач.

Следующий шаг — изоляция. Если есть подозрение, что заражён компьютер или сервер, его нужно отключить от сети, но не выключать питание: оперативная память хранит данные, которые помогут понять, что произошло. Отключите кабель Ethernet, выключите Wi-Fi, отсоедините внешние диски и флешки. Если речь о скомпрометированной учётной записи, немедленно смените пароль и завершите все активные сессии в почте, банке, CRM, облачных хранилищах. Включите двухфакторную аутентификацию, если она ещё не была активирована. Изоляция выигрывает время и не даёт инциденту распространиться на остальные узлы.

Параллельно с изоляцией организуйте сохранение доказательств. Сделайте скриншоты подозрительных писем, экранов с требованием выкупа, журналов входа, банковских уведомлений. Сохраните оригинальные письма как файлы вместе с техническими заголовками: они нужны экспертам для анализа. Не редактируйте, не пересылайте и не удаляйте подозрительные сообщения раньше времени — они станут ключевым материалом для расследования. Попросите технического специалиста сохранить копию системных журналов с сервера, почтового шлюза, межсетевого экрана. Чем полнее картина зафиксирована в первые сутки, тем выше шанс восстановить хронологию событий и доказать недобросовестные действия третьих лиц.

Параллельно проверьте резервные копии. Откройте список бэкапов и убедитесь, что свежая копия действительно существует, читается и не была повреждена шифровальщиком. Распространённая ошибка — хранить резервные копии на том же сервере или сетевом диске, который атакован: тогда они зашифрованы вместе с продуктивной базой. Проверьте резервные копии бухгалтерской системы, CRM, файловых хранилищ, почты, конфигураций сайтов. Если копий нет или они недоступны, не пытайтесь восстанавливать систему «поверх» заражённой среды — это уничтожит улики и может привести к повторному заражению. Сначала зафиксируйте состояние, затем восстанавливайте в чистом окружении.

Решение о выплате выкупа при атаке шифровальщика принимает только директор после консультации с юристом и техническим специалистом. На уровне принципа выплата выкупа не рекомендуется: нет гарантии получения ключа, выплата финансирует следующую атаку и привлекает повторных нападающих. Часто данные уже скопированы злоумышленниками, и оплата лишь дополняет ущерб. Прежде чем рассматривать оплату, проверьте резервные копии, оцените реальный объём потерь, изучите возможность восстановления через специалистов. Ни в коем случае не вступайте в переговоры от имени компании самостоятельно: используйте посредников с опытом, фиксируйте всю переписку и не сообщайте детали о бизнесе и оборотах.

Внутреннее уведомление команды должно быть коротким, спокойным и инструктивным. Сообщите сотрудникам, что зафиксирован инцидент, перечислите запреты на ближайшее время: не открывать вложения, не использовать заражённые компьютеры, не отвечать на необычные запросы от имени руководства, временно не подключаться к корпоративной сети из дома. Назовите канал, по которому работники должны сообщать о подозрительных событиях: один телефон, один мессенджер, один ответственный. Объясните, что переговоры со СМИ, клиентами и подрядчиками ведёт только директор или назначенный им представитель. Дисциплина коммуникаций уменьшает панику и сокращает число каналов утечки информации.

Коммуникация с клиентами и партнёрами требует особой аккуратности. Если есть подтверждённая утечка персональных данных или платёжной информации, скрывать её нельзя: это нарушает закон и подрывает доверие сильнее, чем сам инцидент. Подготовьте короткое письменное уведомление: что произошло, какие данные затронуты, какие меры приняты, что должен сделать клиент (сменить пароль, отслеживать счёт, не реагировать на странные обращения). Не давайте обещаний, которые не сможете выполнить. Если инцидент ещё расследуется, сообщите, что подробности будут опубликованы позже, и назовите конкретную дату обновления. Прозрачность сохраняет отношения, замалчивание — разрушает их окончательно.

Юридическая консультация обязательна сразу, а не после восстановления. Юрист поможет оценить обязательства по уведомлению уполномоченных органов, банка-эквайера, страховой компании, корпоративных клиентов. Он подскажет, как правильно зафиксировать инцидент в актах, какие документы подготовить для возможного обращения в правоохранительные органы, как защитить компанию от исков со стороны пострадавших. Бухгалтер оценит финансовые потери, проверит подозрительные платежи, при необходимости подаст заявление в банк об оспаривании операции. Этот материал — общая информационная справка; конкретные обязательства зависят от вида деятельности и характера инцидента, обязательно сверяйтесь с действующим законодательством и привлекайте профильных специалистов.

После того как ситуация стабилизирована, начинается восстановление. Приоритеты выстраивайте от критичности для бизнеса: сначала восстановите системы, без которых остановлены продажи и платежи, затем — внутренние сервисы. Восстановление идёт в новой, чистой среде: переустанавливаются операционные системы, обновляются все пароли, ключи API, сертификаты, выпускаются новые учётные данные для бухгалтерии и банка. Проверьте, что в восстановленной системе не остались закладки: подозрительные учётные записи, расписания задач, правила пересылки почты. Перед возвращением сотрудников к работе проведите короткий брифинг о новых паролях, новых правилах входа и о том, как сообщать о повторных аномалиях.

Когда оперативная фаза завершена, проведите разбор инцидента. Соберите хронологию: как нападавшие проникли, какие уязвимости использовали, какие защиты сработали и какие нет. Документируйте ответы на вопросы: были ли установлены последние обновления, использовались ли сложные пароли и двухфакторная аутентификация, обучались ли сотрудники распознаванию фишинга, кто имел избыточные права. На основе разбора утвердите список изменений: обновление политики паролей, внедрение менеджера паролей, разделение прав, регулярные резервные копии в отдельном хранилище, план учений раз в полгода. Хороший разбор превращает инцидент в инвестицию в устойчивость, а не в источник постоянного страха.

Заранее подготовленный план действий и контактный лист в кармане у директора экономят дни простоя и сотни тысяч тенге. Минимальный набор для малого и среднего бизнеса: телефоны технического подрядчика, юриста, банка, страховой компании, ключевых клиентов; перечень критичных систем с указанием ответственных; короткие шаблоны уведомлений сотрудникам, клиентам и партнёрам; инструкции по изоляции рабочих мест; правила работы с резервными копиями. Раз в полгода имитируйте инцидент в учебном режиме и проверяйте, что чек-лист работает, контакты актуальны, а резервные копии действительно восстанавливаются. Подготовленная компания не избегает атак полностью, но переживает их без катастрофических последствий и сохраняет доверие рынка.