Расследование утечки данных: первые 72 часа решают всё

По 152-ФЗ оператор обязан уведомить РКН об утечке в течение 24 часов и предоставить результаты расследования за 72 часа. Несоблюдение сроков — отдельный штраф. 1IT CSIRT работает 24/7 и подключается в течение 1 часа.

Час 0–4: локализация

• Изолировать скомпрометированные узлы (не выключать — терять память).
• Снять снапшоты дисков и оперативной памяти.
• Заблокировать скомпрометированные учётки.
• Сменить пароли админов и сервисных аккаунтов.
• Включить расширенное логирование на смежных системах.

Час 4–24: оценка масштаба

1. Поиск индикаторов компрометации (IoC) — хэши, IP, домены.
2. Анализ логов прокси, firewall, DLP — что и куда ушло.
3. Определение категорий данных и количества субъектов.
4. Подготовка уведомления в РКН (форма по приказу).
5. Брифинг руководства и юристов.

Час 24–72: форензика и устранение

Полная форензика: вектор атаки, persistence-механизмы, lateral movement, exfiltration-каналы. Устранение root cause, восстановление систем из чистых бэкапов, мониторинг повторных попыток.

Коммуникация

Сообщение клиентам — отдельный квест. Шаблон: что произошло, какие данные затронуты, что вы делаете, что должны сделать клиенты. Без преуменьшения масштаба — это всегда выходит наружу.