План реагирования на инциденты: шаблон

Инцидент почти всегда начинается не с сирены, а с неудобного вопроса. Бухгалтер говорит, что файлы на общем диске открываются с расширением, которого раньше не было. Клиент присылает письмо с вопросом, почему вы поменяли банковские реквизиты. Администратор замечает, что из офиса в три часа ночи ушло сорок гигабайт. Дальше всё зависит не от инструментов, а от того, есть ли на этот случай написанный порядок действий и знает ли команда, кто принимает решения.

По разным оценкам, около 45% организаций не имеют оформленного плана реагирования, а из тех, у кого он есть, лишь треть регулярно его проверяет. Разница измерима: компании без плана несут примерно на 58% больше расходов на инцидент, а проверенный план экономит в среднем около полутора миллионов долларов на случай. Для небольшой компании суммы меньше, но доля выручки, которую съедает разбор, обычно выше.

Ниже — структура плана, которую можно адаптировать под компанию из десяти-пятидесяти человек: роли, уровни серьёзности, хронология первых 60 минут и порядок проверки до того, как план понадобится.

Зачем письменный план, если ИТ на связи

Неформальная договорённость работает ровно до первого серьёзного случая. В ночь инцидента выясняется, что руководитель ИТ в отпуске, телефон юриста не отвечает, а решение об остановке сервиса принимает человек, который впервые слышит слово «шифровальщик». План нужен не для того, чтобы соблюсти формальность, а чтобы в стрессе не изобретать процедуру заново.

Второй аргумент — доказательства. Если спор дойдёт до страховщика или регулятора, важна хронология: когда обнаружили, что сделали, кто утвердил. Восстановленная по памяти последовательность выглядит хуже записей по ходу дела.

Третий — юридический. По 152-ФЗ первичное уведомление об утечке персональных данных подаётся в течение 24 часов, по GDPR — 72 часа с момента, когда организация узнала об инциденте. Сроки идут не после уборки, а после подтверждения факта, и без плана этот момент легко пропустить.

Шаблон на шесть фаз: от подготовки до разбора

План удобно строить по фазам: названия могут быть любыми, важно, чтобы каждая заканчивалась результатом и записью в журнале.

Подготовка. Реестр систем, схема сети, резервные копии, контакты, договор с внешней командой. Единственная фаза, которая идёт постоянно.
Обнаружение. Проверка сигнала, отсев ложных срабатываний, фиксация первого свидетельства и времени.
Локализация. Остановка распространения: изоляция узлов, отзыв сессий, блокировка адресов.
Устранение. Удаление закрепления, смена учётных данных, закрытие уязвимости, через которую вошли.
Восстановление. Возврат сервисов с чистых копий, поэтапно, с усиленным наблюдением.
Разбор. Хронология, причины, правки в план и в настройки.

Фазы не всегда идут по порядку: к локализации приходится возвращаться, если нашёлся ещё один узел. Но у каждой должен быть владелец и критерий завершения.

Пять ролей, которые нельзя совмещать

В небольшой компании один человек часто закрывает несколько ролей, и это нормально. Опасность в другом: если всё держится на одном человеке, его отпуск останавливает процесс. Минимальный набор такой.

Руководитель инцидента. Ведёт хронологию, утверждает действия, останавливающие сервисы, и говорит от лица компании. У него право финального слова.
Технический специалист. Смотрит журналы, изолирует узлы, снимает копии, восстанавливает. Обычно это ваш администратор или внешний подрядчик.
Юрист. Оценивает обязанности по уведомлению, проверяет формулировки писем и ведёт переписку с регулятором.
Ответственный за коммуникации. Пишет сотрудникам, клиентам и партнёрам. Не даёт техническим формулировкам уйти во внешний мир.
Владелец бизнеса. Принимает компромисс между изоляцией и потерей выручки и подписывает остановку сервиса.

У каждой роли должен быть заместитель с актуальным телефоном. Список контактов храните не только в почте: иначе его прочитает и злоумышленник.

Уровни серьёзности: решение за пять минут

Без шкалы серьёзности каждая тревога кажется одинаково срочной, и команда тратит силы на мелочи. Четырёх уровней достаточно.

Первый, критический. Шифрование файлов, подтверждённая утечка, остановка работы. Реакция немедленно, поднимаются все роли и внешняя команда.
Второй, высокий. Подтверждённая компрометация с ограниченным охватом: скомпрометированная админская запись, вредоносное ПО на нескольких машинах. Реакция в течение часа.
Третий, средний. Подозрительная активность без подтверждения: нетипичные входы, письмо, на которое ответили учётными данными. Реакция в течение четырёх часов.
Четвёртый, низкий. Нарушение правил или мелкое событие без компрометации: заблокированный перебор, потерянная флешка. Разбирается в рабочем порядке.

Уровень выставляет тот, кто подтвердил сигнал, а меняет его руководитель инцидента. Спор «критический или высокий» в три часа ночи дороже ошибки на уровень вверх.

Первые 60 минут по шагам

Это самая практичная часть плана. Её стоит выучить наизусть тем, кто дежурит.

0–10 минут. Зафиксировать и не трогать. Записать время обнаружения, кто заметил и первые симптомы. Сфотографировать экран, сохранить письмо, не закрывая его. Главная ошибка этого этапа — перезагрузка «чтобы посмотреть, поможет ли»: она уничтожает оперативную память и часть журналов.

10–20 минут. Поднять руководителя инцидента. Звонком, не письмом. Если почта может быть под контролем — другой канал: мессенджер, телефон, личная почта из офлайн-списка.

20–30 минут. Остановить распространение. Отключить затронутые узлы от сети, заблокировать адреса и домены на шлюзе, отозвать активные сессии. Смена пароля без отзыва сессий не помогает: украденные токены продолжают работать.

30–45 минут. Собрать первое свидетельство. Журналы входов, запущенные процессы, правила пересылки в почте, свежие задачи планировщика. Копии — на отдельный носитель.

45–60 минут. Определить уровень и включить остальных. Позвонить юристу и внешней команде при первом или втором уровне. Назначить время следующего брифинга — обычно через два часа.

Изоляция без потери доказательств

Выключить питание — самое быстрое и самое вредное действие. В памяти остаются процессы, сетевые соединения и ключи шифрования, которых нет на диске. Правильная последовательность: отключить сетевой кабель или перевести порт в карантин, оставив машину включённой, затем снять копию памяти, и только потом решать, что делать с системой.

Отдельно про резервные копии: при шифровании первым делом отключают синхронизацию с хранилищем и останавливают задания, которые перезаписывают архивы, иначе через сутки чистых копий не останется.

Связь и уведомления: канал вне скомпрометированного контура

План содержит три готовых текста: сотрудникам, клиентам, регулятору. В каждом — что произошло, что затронуто, что сделано и что делать получателю. Канал выбирается заранее и не зависит от корпоративной почты: обзвон по распечатанному списку и отдельный мессенджер. Сроки держите отдельной таблицей: по 152-ФЗ сообщение об утечке персональных данных подаётся в течение 24 часов с момента обнаружения, по GDPR — 72 часа. Для финансового сектора добавляется ГОСТ Р 57580, для объектов критической инфраструктуры — приказы ФСТЭК; перечень утверждает юрист.

Как проверить план до инцидента

Минимальная программа: два учения в год за столом и одно практическое занятие, где команда изолирует тестовый узел и восстанавливает его из копии. Час учений отвечает на неудобные вопросы: что делаем, если шифрование началось в пятницу вечером; кто звонит клиентам, если директор недоступен; где печатная копия, если файловый сервер зашифрован.

Отдельно проверяется, заметит ли команда атаку: без сигналов обнаружения первые 60 минут не начнутся. Ориентиры — в материалах о признаках компрометации и о настройках Microsoft 365.

Итог

План реагирования нужен не для проверяющих, а чтобы не изобретать процедуру в панике. Фазы, роли, шкала серьёзности и хронология первых 60 минут проверяются учениями, а не подписью. Достаточно десяти страниц, которые лежат в облаке, на бумаге и в голове у двух людей.

Частые вопросы

Нужен ли такой план компании из пятнадцати человек? Да. Размер компании снижает объём работ, но не отменяет ни шифрование, ни утечку. Десяти страниц с пятью ролями достаточно для старта.

Кто утверждает план? Владелец бизнеса или генеральный директор. Без утверждения на верхнем уровне у команды нет права останавливать сервисы, а именно это решение чаще всего запаздывает.

Что делать, если подозрение есть, а подтверждения нет? Зафиксировать наблюдение, позвонить руководителю инцидента и присвоить третий уровень. Проверка гипотезы дешевле недели работы чужого в сети.

Можно ли обойтись без внешней команды? Для локализации и восстановления часто хватает своих сил. Внешняя команда нужна для расследования и отчётности перед страховщиком, поэтому договор заключают заранее.

Насколько подробным должен быть документ? Достаточно, чтобы человек без контекста выполнил шаги первых 60 минут. Остальное — приложения: контакты, схема сети, шаблоны писем.

Если нужен план под вашу инфраструктуру и проверка на учениях — Связаться с командой.

План реагирования на инциденты: шаблон на 6 фаз