Во вторник утром Ольга, руководитель отдела продаж небольшой компании, которая поставляет инструмент и оборудование для мастерских, включает компьютер и не узнаёт рабочий стол. На общем диске вместо привычных папок лежат файлы с незнакомым окончанием, а рядом — текст с требованием связаться по указанному адресу, если компания хочет получить данные обратно. Через десять минут выясняется, что учётная система, куда менеджеры записывают заказы, не отвечает, а в её журнале на сервере видна ночная выгрузка клиентской базы. Зашифрованы не все машины, но работа склада и бухгалтерии всё равно остановлена.
Первые полчаса уходят не на действия, а на звонки. Владелец компании Дмитрий набирает подрядчика, который несколько лет назад настраивал сервер, и слышит: «Выключите всё, чтобы не расползлось». Знакомый из крупной компании советует обратное: «Перезагрузите, может, это сбой». Кто-то предлагает собрать деньги и заплатить, потому что «так быстрее». Три совета не складываются в план, и становится видно, что хуже всего не нехватка знаний, а отсутствие человека, который скажет: делаем так, и точка.
Пока Дмитрий звонит, администратор офиса перезагружает файловый сервер: ей показалось, что он завис. Через час зашифрованные файлы начинают появляться снова, а картина ночных событий оказывается неполной. Первая потеря в этой истории — не деньги и не данные, а время и часть следов. Поэтому разговор о первых сутках стоит начинать не со списка мер, а с порядка: кто что делает, в какой момент и по чьему решению.
К середине дня Дмитрий дозванивается до знакомого, который раньше занимался безопасностью, и вместо советов слышит три вопроса: кто у вас принимает решения, что вы уже сохранили и кому вы обязаны сообщить. Вопросы кажутся странными, потому что хочется услышать название программы или волшебную команду. Но после них появляется небольшой штаб: Дмитрий отвечает за решения и внешние разговоры, Артём, единственный айтишник, — за технику и следы, Ольга — за клиентов, бухгалтер Ирина — за документы и хронологию. Внешний юрист остаётся на связи и не даёт обещаний, которых компания не сможет выполнить.
Дальше события идут по двум дорожкам: технической, где нужно остановить шифрование и сохранить доказательства, и человеческой, где нужно уложиться в сроки и объясниться. Решение на одной меняет то, что происходит на другой. Поэтому дальше — не готовая инструкция, а порядок, который можно примерить к своей компании заранее.
Почему «перезагрузить и посмотреть» — худший первый шаг
Перезагрузка — привычный способ починить всё, что ведёт себя странно: завис браузер, не отвечает программа, пропала сеть. В обычной жизни он работает, потому что сбой — это состояние, из которого система не может выйти сама. Но инцидент устроен иначе: система работает так, как задумал не её владелец, и перезагрузка не убирает причину, а убирает свидетелей. В памяти остаются запущенные процессы, открытые соединения и следы входа, которых после выключения просто нет.
Есть и второй эффект, менее очевидный. Вредоносная программа часто запускается при старте системы или через задачу в планировщике, поэтому после перезагрузки она может продолжить работу, а иногда — начать заново то, что не успела. В истории компании так и произошло: файлы появлялись снова, а объяснить, какой процесс их создаёт, было уже некому. Привычное действие не остановило распространение, а лишь скрыло его механизм.
Но здесь есть возражение, которое нельзя отмахнуть: если шифрование идёт прямо сейчас, ждать нельзя, иначе будет зашифровано всё. Ответ на него не «ничего не трогайте», а «разделите остановку и выключение». Остановить распространение — значит убрать машину из сети: отключить кабель, выключить адаптер, закрыть внешний доступ, заблокировать общие папки. Выключение питания — крайняя мера, когда другого способа прекратить уничтожение нет; тогда потерю оперативных данных нужно записать в хронологию.
Порядок в первые минуты выглядит скучно и не спасает от всех потерь. Сначала фиксируется то, что ещё существует: копии журналов, образ диска, фотография экрана с требованием, сохранённые письма. Потом затронутые машины изолируются от сети, но остаются включёнными. И только после этого меняются пароли и отзываются сессии, потому что каждое действие меняет состояние системы и может стереть вопрос, на который вы ещё не ответили. Сделать успели лишь часть: Артём отключил файловый сервер от сети, скопировал журналы на внешний диск и снял образ с пострадавшей машины, но записи, потерянные при перезагрузке, уже не вернулись.
Остановить распространение, не уничтожив следы
Остановка начинается с доступа, а не с файлов. Нужно перечислить всё, через что можно войти: учётные записи сотрудников, общие пароли, доступы подрядчиков, удалённое подключение, почту, панель управления сайтом. Пароли меняются везде, где они могли оказаться: в конфигурации, в переписке, в старых инструкциях, а не только на том сервисе, где заметили проблему. Если пароль был общим, исходить нужно из того, что его знает каждый, кто когда-либо им пользовался.
Отдельно проверяются следы, которые не выглядят как следы. В почте может стоять правило пересылки, о котором никто не помнит; в учётной системе — новая запись с правами администратора; в планировщике — задача, запускающая программу по расписанию. Артём нашёл именно правило пересылки, а журналы удалённого доступа показали, что ночью вход был под учётной записью подрядчика, которую после сдачи проекта не отключили. Это объяснило и маршрут, и то, почему злоумышленник знал внутренние договорённости.
Что сохранять, решает не удобство, а вопросы, на которые придётся отвечать. Журналы учётной системы покажут, когда и что выгружали; журналы удалённого доступа — откуда входили; журналы почты — кому писали; образ диска — какая программа работала и какие файлы трогала. Переписка с подрядчиком фиксирует, что вы знали и когда, а текст требования — тоже улика, даже если кажется бессмысленным. Всё это собирается на отдельный носитель, и к копиям прикладывается короткое описание: кто снял, когда и с какой машины. Без журналов невозможно ответить, что успели сделать и какие данные затронуты, а значит, нельзя ни оценить масштаб, ни честно рассказать о нём.
Роли важны не для отчётности, а потому что в панике решения принимаются голосованием, а голосование в инциденте не работает. Один человек должен иметь право сказать «делаем так» и нести ответственность; остальные дают ему факты, а не советы. Второй ведёт хронологию: время обнаружения, время решений, что проверили и что нашли. Третий говорит с людьми вне компании и внутри неё одной и той же версией. Если людей двое, роли совмещаются, но правило остаётся: у каждого решения есть автор и время.
Полезно заранее договориться, какие решения принимаются только одним человеком. Платить, удалять данные, сообщать публично — необратимые шаги, и их не стоит делать по совету знакомого. Обратимые решения, вроде отключения кабеля или смены пароля, можно принимать быстро и на своём уровне. Такое разделение экономит главный ресурс первых часов — время на обдумывание того, что нельзя отменить.
Сколько мы на самом деле знаем
Оценить масштаб — значит ответить, какие данные ушли, скольких людей они касаются и за какой период. Быстро выяснилось, что выгружена клиентская база с именами, телефонами, адресами и комментариями менеджеров, а зашифрованные файлы могли содержать договоры и бухгалтерию. Разница принципиальна: контакты для рассылки и документы с реквизитами — разные категории ущерба. Чем точнее удаётся их разделить, тем честнее звучат уведомление и письмо клиентам.
При этом в первые сутки полной картины почти никогда нет, и это нормально. Полезно завести таблицу из трёх частей: что знаем точно, что предполагаем и чего не знаем. Она дисциплинирует формулировки: в уведомление и письмо попадает первая часть, вторая обсуждается как версия, третья становится планом проверки. Без такого разделения догадка быстро превращается в утверждение, которое потом приходится опровергать публично.
Есть и ловушка — считать масштаб по строкам в базе. Выгрузка могла быть неполной или повторяться, и тогда число затронутых людей будет расти по мере разбора. Поэтому считать нужно не записи, а людей и категории данных, которые могли уйти. На практике масштаб считали по журналам: выгрузка была одна, но содержала историю заказов за несколько лет, включая тех, кто покупал один раз.
Часы, которые нельзя вернуть
Здесь техническая работа перестаёт быть только технической. Закон обязывает оператора персональных данных сообщить об утечке в Роскомнадзор в течение 24 часов с момента обнаружения, а в течение 72 часов передать результаты внутреннего расследования. Требование действует, даже если причина ещё не известна, и рассчитано именно на такую ситуацию. Уведомление — не признание вины и не публичное покаяние, а обязанность с фиксированным сроком; пропуск срока становится отдельным нарушением. Формулировки лучше согласовать с юристом, но сам срок переносить нельзя.
Важно. 24 часа отсчитываются с момента, когда об инциденте стало известно, а не с момента, когда установлена причина. Полная картина к этому сроку не требуется.
Уложиться в сроки помогает не скорость письма, а заранее собранные факты. К моменту уведомления нужно понимать, что произошло по имеющимся данным, какие категории данных затронуты, скольких людей это касается и какие меры приняты. Если часть сведений отсутствует, так и пишется: это честнее, чем округлять в свою пользу. Через 72 часа картина дополняется результатами разбора, и важно не переписать историю заново, а показать, что изменилось после первых выводов.
С клиентами разговор проще, чем кажется, если не пытаться ими управлять. В письме нужно сказать, что произошло, какие данные могли попасть к посторонним, что компания уже сделала и что человеку стоит сделать самому. Не «всё под контролем», а «по имеющимся данным»; не «данные не ушли», а «мы проверяем, какие записи были выгружены». Клиенты простят неприятную новость, но не простят обещание, которое через неделю рассыплется. В компании письмо переписывали дважды: из первой версии Дмитрий вычеркнул фразу «мы уверены, что данные не будут использованы», во второй остались факты, извинение и понятный следующий шаг.
С сотрудниками действует то же правило, только ставки выше: они первыми видят странности и первыми обсуждают их в чатах. Одна короткая встреча, на которой говорится, что известно и что делать, снижает количество версий лучше, чем запрет на разговоры. Отдельно стоит попросить не комментировать ситуацию внешне и не обещать клиентам ничего от имени компании. Люди в стрессе хотят помочь, и без рамки их помощь превращается в ещё один источник слухов.
Пять способов сделать хуже
Ошибки в инциденте почти никогда не выглядят ошибками в момент, когда их совершают. Каждая — реакция на страх, усталость или желание поскорее вернуть привычный порядок. Именно поэтому их стоит назвать заранее, чтобы в нужный момент узнать и не повторить.
Первый способ — выключить всё, что кажется заражённым. Он выглядит как решительность, но оставляет компанию без журналов, без понимания маршрута злоумышленника и без доказательств для собственного разбора. Остановка всех систем — это ещё и отдельный ущерб, который никому не выставишь. Правило простое: сначала копия следов, потом изоляция, и только в крайнем случае — питание.
Второй способ — заплатить выкуп, потому что «так быстрее». Даже если ключ сработает, проверить его можно только на копии зашифрованных файлов, а не на единственном экземпляре, и никто не подтвердит, что вторая копия данных удалена. Оплата не отменяет обязанности сообщить об утечке и не гарантирует, что завтра не придёт новое требование. Зато она точно сообщает злоумышленнику, что компания платит.
Третий способ — скрыть инцидент, надеясь, что никто не заметит. Скрывать приходится от всех сразу: от клиентов, которые вот-вот получат странные звонки, от сотрудников, которые уже обсуждают пропавшие файлы, и от регулятора, у которого есть свой срок. Молчание не отменяет утечку, а добавляет к ней нарушение срока, и тогда разговор идёт уже не о том, как помочь клиентам, а о том, почему компания молчала. Кроме того, скрытность часто просачивается наружу и бьёт по доверию сильнее, чем сам инцидент.
Четвёртый способ — свалить всё на подрядчика. Даже если вход был через его учётную запись, обязанности оператора никуда не исчезают: компания отвечает за то, кому и на какой срок она дала доступ. Кроме того, обвинение обрывает сотрудничество именно в тот момент, когда подрядчик может объяснить, как устроена система и где искать следы. Договор с ним нужен, чтобы позже обсудить компенсацию, но он не перекладывает на подрядчика ответственность перед клиентами.
Пятый способ — пообещать больше, чем известно. Фразы «мы уверены, что данные не ушли» или «завтра всё восстановим» произносятся, чтобы успокоить, но через день они превращаются в доказательство небрежности. Честная формулировка звучит слабее, зато её не придётся опровергать: «по имеющимся данным», «продолжаем проверку», «сообщим, когда появятся новые факты». Доверие в инциденте держится не на уверенности, а на совпадении слов и действий.
Все пять ошибок объединяет одно: они сокращают неприятное настоящее за счёт будущего. При этом принимаются они в первые часы, когда времени на обдумывание почти нет, и именно поэтому порядок важнее импровизации. Разбор инцидента нужен не для отчёта, а для того, чтобы увидеть, какое решение казалось разумным и почему оно сработало плохо.
Что делать, когда дыра закрыта
Восстановление начинается не с запуска резервной копии, а с проверки, что копия цела и что путь, которым вошли, перекрыт. Если вернуть данные на ту же систему с той же учётной записью подрядчика, через неделю история повторится. Поэтому сначала отзываются все доступы, которые могли быть скомпрометированы, затем проверяется копия, и только потом данные возвращаются на место. Копия нашлась на внешнем диске, который не был подключён к сети, и это спасло клиентскую базу; часть файлов пришлось собирать заново. После восстановления стоит проверить, не появились ли новые учётные записи, задачи в планировщике и правила пересылки: наблюдение в первые дни показывает, закрыта ли дверь на самом деле.
Разбор без поиска виноватых — не мягкость, а условие правды. Люди, которых наказывают за ошибку, перестают рассказывать о следующих ошибках, и компания теряет возможность узнать, что произошло на самом деле. Поэтому вопросы формулируются не «кто это сделал», а «почему решение казалось правильным» и «что в процессе позволило проблеме остаться незамеченной». Ответы почти всегда касаются не злого умысла, а усталости, спешки и привычки, которая когда-то экономила время.
Хороший разбор заканчивается не списком обещаний, а несколькими изменениями, которые можно проверить. В компании пересмотрели доступы подрядчиков, включили двухфакторную аутентификацию для удалённого входа и договорились хранить журналы дольше, чем до инцидента. Главное изменение касалось не техники: появился человек, который отвечает за доступы, и короткий план на первые сутки, который один раз проговорили вслух. План, который не репетировали, в момент паники не вспоминается.
Возвращаясь к началу: в первые часы побеждает не тот, кто больше знает, а тот, у кого заранее распределены роли и есть порядок действий. Знания сами по себе в этот момент почти бесполезны, потому что применять их нужно к системе, о которой известно меньше половины, и к людям, которые напуганы. Порядок работает иначе: он говорит, кто принимает решение, что фиксируется первым и кому сообщается в каком порядке. Он не отменяет ошибок, но не даёт им сложиться в цепочку, которую потом разбирают месяцами.
Поэтому готовиться к инциденту стоит не тогда, когда он случился, а в спокойный вторник. Достаточно назначить роли, записать порядок первых действий, проверить, что журналы действительно хранятся, а резервная копия снимается на носитель, который не подключён к сети. Эти действия выглядят скучно и не дают ощущения защиты, зато в нужный момент именно они освобождают время для того, чтобы думать, а не спорить.
Если хочется пройти этот путь подробнее, начните с разбора истории утечки — там видно, как решения, принятые задолго до инцидента, складываются в один плохой день. Затем посмотрите про резервные копии: от того, что именно лежит на внешнем диске, зависит, чем закончится восстановление. Сами требования к оператору собраны в тексте закона о персональных данных, а незнакомые термины разобраны в словаре.