# Первые 24–72 часа после киберинцидента или мошенничества

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/esimesed-24-72-tundi/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> Кризисное управление предприятия в первые часы: изоляция, кризисная команда, кого привлечь, законные сроки и условия договора страхования.

> **Коротко.** Первые 24–72 часа являются решающими для объема ущерба, сохранения доказательств и страховой защиты. Первый шаг состоит в том, чтобы выявить и изолировать инцидент, второй в том, чтобы активировать кризисную команду, третий в том, чтобы документировать все решения. Нужно привлечь партнера по форензике, юриста, страховщика или брокера и специалиста по коммуникации. Правление не может ограничиваться наблюдением.[^1] Краткий практический контрольный перечень приведен в [руководстве о первых 72 часах](https://kindlustusoigus.ee/ru/juhend-72-tundi/).

## 1. Что делать немедленно?

### Выявите и изолируйте

- Остановите распространение атаки: отключите зараженные системы от сети, заблокируйте скомпрометированные учетные записи, смените пароли привилегированных учетных записей.
- Сохраните журналы и доказательства: межсетевой экран, почтовый сервер, контроллер домена, журналы аудита облачных услуг.
- Не «очищайте» системы до расследования. Безопасно изолированные серверы не выключайте, если партнер по форензике этого не рекомендовал: доказательства, хранящиеся в оперативной памяти, исчезают. Если изоляция невозможна и заражение распространяется, все же выключите затронутое устройство, документируйте решение и привлеките специалиста; интерес к сохранению доказательств не должен препятствовать неотложной локализации инцидента.

Каждый технический шаг может повлиять на последующее доказывание. Если журналы удаляются или системы изменяются без документирования, это затрудняет как анализ атаки, так и предъявление страхового требования.

**Пример.** Предприятие обнаруживает, что системы зашифрованы. ИТ-отдел сразу начинает восстановление и удаляет часть журналов. Позднее не удается установить ни происхождение атаки, ни то, произошла ли утечка данных. Страховщик оспаривает размер ущерба и исполнение обязанностей по уведомлению. Этого можно избежать, если первичное реагирование структурировано.

### При мошенничестве: остановите деньги

Если инцидент включает платеж на неправильный счет, первые часы критически важны для замораживания денег:

- немедленно позвоните в свой банк и попросите отозвать платеж (*recall*) и уведомить банк получателя;
- приостановите все аналогичные платежи и проверьте недавние изменения банковских реквизитов;
- подайте в полицию сообщение о преступлении (мошенничество, компьютерное мошенничество, присвоение, KarS § 209, § 213, § 201);[^2]
- оцените вместе с юристом необходимость ходатайствовать об обеспечении иска.

### Активируйте кризисную команду

В кризисную команду входят:

- правление или по меньшей мере один член правления, уполномоченный принимать решения;
- руководитель ИТ и информационной безопасности;
- финансовый директор;
- юрисконсульт;
- руководитель по коммуникации.

Назначьте заместителя для каждой роли и запишите, кто принимает решения о закрытии систем, о выкупе (он не выплачивается без правовой оценки и оценки страховщика), о публичных объявлениях и об уведомлении страховщика.

### Документируйте

Все действия, от закрытия систем до общения с клиентами, фиксируются письменно с указанием времени. Кризисный журнал позднее станет доказательством как в страховом требовании, так и в споре D&O.

### Квалифицируйте на раннем этапе

Уже в первые часы нужно оценить, может ли речь идти о киберинциденте, мошенничестве (риск crime) или ситуации, которая может привести к ответственности правления (риск D&O). Это определяет, какие договоры страхования могут сработать и какие сроки нужно соблюдать.

## 2. Кого привлечь?

**Партнер по форензике.** Специалист, способный установить характер атаки, оценить ее масштаб и сохранить доказательства. Многие договоры киберстрахования требуют использования поставщиков услуг, одобренных страховщиком, или покрывают расходы на других поставщиков услуг только по соглашению. Если предприятие действует самостоятельно и привлекает неподходящего партнера, это может повлиять на страховое возмещение. У большинства договоров киберстрахования есть круглосуточная линия по инцидентам: ее номер должен быть в кризисном плане.

**Юрист.** Роль юриста начинается сразу. Он оценивает законные обязанности по уведомлению, обеспечивает, чтобы действия не ухудшали правовое положение предприятия, направляет общение со страховщиком и при необходимости защищает личные интересы членов правления.

**Страховщик или брокер.** Большинство договоров требует незамедлительного уведомления. Если предприятие медлит, страховщик может утверждать, что промедление увеличило ущерб или помешало установлению обстоятельств.

**Пример.** Предприятие обнаруживает мошенничество, но пытается разрешить ситуацию самостоятельно и уведомляет страховщика через неделю. Страховщик утверждает, что промедление помешало заморозить деньги и уменьшить ущерб. По эстонскому праву запоздалое уведомление, как правило, не влечет автоматически полного освобождения от обязанности исполнения; нужно оценить применимое соглашение, форму вины при нарушении, а также то, повлияло ли нарушение и каким образом на установление страхового случая или ущерба и на объем обязанности страховщика по исполнению (VÕS § 452 ч. 2). При умышленном нарушении после страхового случая нужно отдельно учитывать VÕS § 449 ч. 2 и исключение, предусмотренное § 452 ч. 2 п. 3.[^3] Однако спор обходится дорого, и его можно избежать.

**Специалист по коммуникации.** Неправильная или запоздалая коммуникация усугубляет репутационный ущерб, увеличивает регуляторный риск и может привести к дополнительным требованиям (см. [коммуникация](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/kommunikatsioon/)).

**Правление.** Правление должно принимать стратегические решения, обеспечивать ресурсы и координировать кризисную команду. Позднее будет оцениваться, исполнило ли правление свои обязанности (ÄS § 187).[^4] В сфере применения Закона о кибербезопасности за это отвечает назначенный член правления (KüTS § 6¹).[^5]

## 3. Законные сроки

| Срок | Обязанность | Источник |
|---|---|---|
| Незамедлительно | Уведомление страховщика о страховом случае | VÕS § 448 ч. 1[^6] |
| 24 часа | Первичное уведомление Департамента государственных информационных систем (RIA) об инциденте со значительным воздействием (в сфере применения KüTS) | KüTS § 8[^7] |
| 72 часа | Уведомление RIA об инциденте (для поставщика доверительных услуг 24 часа) | KüTS § 8[^7] |
| Без неоправданной задержки, по возможности в течение 72 часов с момента, когда стало известно о нарушении | Уведомление ответственным обработчиком Инспекции по защите данных о нарушении, связанном с персональными данными, за исключением случая, когда нарушение вряд ли создаст риск для прав и свобод физических лиц; уполномоченный обработчик уведомляет ответственного обработчика без неоправданной задержки; каждое нарушение документируется, в том числе то, о котором уведомление не направляется | Общий регламент о защите персональных данных, ст. 33 п. 1, 2 и 5[^8] |
| 1 неделя | Уведомление страховщика по страхованию ответственности о требовании третьего лица или об обстоятельствах, которые могут привести к требованию | VÕS § 514 ч. 1[^6] |
| 1 месяц с момента представления уведомления об инциденте | Итоговый отчет RIA (обязанный поставщик услуг); если инцидент не разрешен, отчет считается промежуточным, а новый итоговый отчет представляется в течение 1 месяца после разрешения инцидента; по запросу RIA до этого представляется промежуточный отчет | KüTS § 8 ч. 4³ и 7[^7] |
| По договору | Подтверждение ущерба (*proof of loss*) в страховании crime, отдельное уведомление по каждому договору | Договор страхования |

Обязанность уведомлять субъектов данных при высоком риске также вытекает из общего регламента о защите персональных данных ([ст. 34](https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679)); ее необходимость нужно оценить вместе с юристом по защите данных.

## 4. Перспектива страхования

Первые часы критически важны и для страховой защиты. Договоры обычно содержат:

- требование незамедлительного уведомления;
- обязанность сотрудничества и обязанность предоставлять информацию;
- требование пользоваться одобренными поставщиками услуг;
- обязанность уменьшать ущерб.

Закон обязывает страхователя при страховом случае по возможности предотвращать и уменьшать ущерб и следовать указаниям страховщика; разумные расходы, понесенные для этого, возмещает страховщик (VÕS § 488, § 491).[^6] Поврежденное имущество до установления ущерба нельзя без согласия страховщика изменять таким образом, который затрудняет установление причины или размера ущерба, за исключением изменений, необходимых для уменьшения ущерба или в публичных интересах (VÕS § 488 ч. 2).

Параллельно нужно оценить, какие договоры могут быть относимыми: киберстрахование покрывает технические расходы и перерыв в деятельности, страхование crime денежный ущерб, а страхование D&O требования, предъявляемые к правлению. По каждому договору нужно уведомлять отдельно, но с единым содержанием (см. [стратегия страхового требования](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/kindlustusnoude-strateegia/)).

## 5. Типичные ошибки

- недооценка инцидента и промедление с реагированием;
- уничтожение, повреждение или изменение доказательств;
- запоздалое уведомление страховщика;
- использование неподходящего поставщика услуг;
- отсутствие или провал коммуникации;
- общение с атакующим или выплата выкупа без правовой оценки (санкционный риск).

Это не технические ошибки, а ошибки управления. Поэтому кризисное управление напрямую связано с риском D&O.

## 6. Минимальное содержание кризисного плана

Кризисный план не обязательно должен быть объемным. Важно, чтобы он существовал вне систем предприятия (на бумаге или на отдельном устройстве), поскольку при атаке программы-вымогателя файловый сервер может быть недоступен. Минимальное содержание:

1. члены кризисной команды, их заместители и контакты (в том числе личные номера телефонов);
2. полномочия на принятие решений: кто решает о закрытии систем, публичных сообщениях, уведомлении страховщика;
3. договоры страхования: номера полисов, контакты страховщиков для уведомления об ущербе, линия по инцидентам по киберстрахованию, контакт брокера;
4. внешние партнеры: форензика, юрист, коммуникация, банк;
5. законные обязанности по уведомлению и сроки;
6. перечень критических систем и очередность их восстановления;
7. шаблоны сообщений для клиентов, работников и СМИ.

## 7. Хронология по часам

| Время | Действие | Ответственный |
|---|---|---|
| 0–1 ч | Выявление инцидента, изоляция, созыв кризисной команды | Руководитель ИТ, правление |
| 1–4 ч | Привлечение партнера по форензике и юриста; линия по инцидентам страховщика; при мошенничестве банк и отзыв платежа | Правление, финансовый директор |
| 4–24 ч | Первичная оценка масштаба; первичное уведомление RIA (если применяется KüTS); письменное уведомление страховщиков; сообщение о преступлении | Юрист, руководитель ИТ |
| 24–48 ч | Оценка нарушения, связанного с персональными данными; план коммуникации; начало учета перерыва в деятельности | Юрист, коммуникация, финансовый директор |
| 48–72 ч | Уведомление RIA об инциденте (если применяется KüTS); уведомление Инспекции по защите данных, если оно еще не сделано (общий регламент требует уведомления без неоправданной задержки, поэтому 72 часа являются соблюдаемым по возможности верхним пределом, а не периодом ожидания); уведомление партнеров; план восстановления | Юрист, правление |
| После 72 ч | Структурирование требования; уведомление страховщика по страхованию ответственности о требованиях третьих лиц (в течение 1 недели) | Юрист, финансовый директор |
| До 1 месяца с момента уведомления об инциденте | Итоговый отчет RIA (в сфере применения KüTS); если инцидент не разрешен, отчет считается промежуточным, а новый итоговый отчет представляется в течение 1 месяца после разрешения инцидента | Юрист, руководитель ИТ |

Хронология является иллюстративной; фактические сроки зависят от того, когда предприятию стало известно о событии, и от условий договора страхования.

## Связанные страницы

- [Сбор доказательств и форензика](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/toendid-ja-forensika/)
- [Коммуникация](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/kommunikatsioon/)
- [Стратегия страхового требования](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/kindlustusnoude-strateegia/)
- [Первые 72 часа после происшествия (руководство)](https://kindlustusoigus.ee/ru/juhend-72-tundi/)
- [Симуляции](https://kindlustusoigus.ee/ru/riskijuhtimine/simulatsioonid/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 31.
[^2]: Karistusseadustik [Пенитенциарный кодекс] (KarS) § 201, § 209, § 213 (RT I, 09.07.2026, 28; в силе с 01.10.2026). – https://www.riigiteataja.ee/akt/KarS
[^3]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 452 ч. 2 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S; RKTKo 05.04.2006, 3-2-1-17-06, п. 10–11. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-17-06
[^4]: Äriseadustik [Коммерческий кодекс] (ÄS) § 187 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^5]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 6¹ (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS
[^6]: VÕS § 448 ч. 1–2, § 488 ч. 1–3, § 491, § 514 ч. 1, 3 (сноска 3).
[^7]: KüTS § 8 ч. 1, 4¹–4³ и 7 (сноска 5).
[^8]: Регламент (ЕС) 2016/679 Европейского парламента и Совета, ст. 33 п. 1. – ELT L 119, 04.05.2016, с. 1–88. – https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679