# Сбор доказательств и форензика при киберинциденте и мошенничестве

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/toendid-ja-forensika/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> ИТ-форензика, анализ финансовых потоков и сохранение доказательств (цепочка хранения). Почему качество форензики определяет исход требования и спора.

> **Коротко.** Сбор доказательств является не просто технической деятельностью, а процессом, имеющим решающее правовое значение. Качество форензики влияет на то, будут ли установлены характер и масштаб атаки, можно ли доказать размер ущерба, будет ли удовлетворено страховое требование и можно ли предъявить требования к ответственным лицам. Самая распространенная ошибка состоит в том, чтобы сосредоточиться на быстром восстановлении и отодвинуть доказательства на второй план.[^1]

Три центральных компонента: ИТ-форензика, анализ финансовых потоков и сохранение доказательств.

## 1. ИТ-форензика

Цель ИТ-форензики состоит в том, чтобы установить, что произошло, как это произошло и каким был масштаб атаки. Она включает:

- установление вектора атаки (фишинговое письмо, уязвимая система, скомпрометированный поставщик, действие инсайдера);
- выявление скомпрометированных систем и учетных записей;
- оценку объема изменения данных или их утечки;
- восстановление хронологии действий атакующего.

ИТ-форензика является не техническим аудитом, а процессом доказывания. Собранные данные должны быть подлинными, проверяемыми и задокументированными таким образом, который позволяет использовать их в споре.

**Пример.** Предприятие обнаруживает на сервере вредоносное программное обеспечение. ИТ-отдел сразу удаляет его, но не сохраняет состояние системы и журналы. Позднее невозможно установить, как произошла атака и была ли допущена утечка данных. Это затрудняет как оценку ущерба и оценку обязанностей по уведомлению в сфере защиты данных, так и предъявление страхового требования.

Поэтому форензику должен проводить специалист, использующий стандартизированные методы. Многие договоры киберстрахования требуют или предпочитают партнеров по форензике из панели страховщика; их раннее привлечение помогает обеспечить, чтобы доказательства соответствовали ожиданиям страховщика, а расходы были покрыты. Отчет по форензике служит основой для страхового требования, регуляторного производства и возможного судебного спора.

**Заказ через юрисконсульта.** В международной практике форензику часто заказывают через юриста, чтобы защитить конфиденциальность отчета. В эстонском праве отчет по форензике сам по себе не является документом, защищенным адвокатской тайной; объем защиты зависит от того, кто и с какой целью заказал и составил отчет. Это нужно учитывать до того, как отчет будет передан страховщику, надзорному органу или противной стороне.

## 2. Анализ финансовых потоков

Если инцидент включает денежный ущерб (мошенничество, присвоение), критически важна финансовая форензика. Ее цель состоит в том, чтобы:

- установить, куда ушли деньги;
- восстановить цепочку сделок;
- оценить размер ущерба;
- отследить путь денег и по возможности вернуть их.

Финансовая форензика сосредоточена на аномальных и скрытых операциях: банковские операции, платежные поручения, связанные лица и счета, международные переводы, изменения в реестре поставщиков, записи в главной книге.

**Пример.** Из-за мошенничества предприятие совершает несколько переводов на разные счета. На первый взгляд кажется, что деньги пропали. Финансовая форензика устанавливает, что деньги прошли через несколько юрисдикций и часть из них можно заморозить.

С точки зрения страхования финансовый анализ важен, поскольку:

- страхование crime требует точных доказательств прямого ущерба и механизма его возникновения;
- страховщик может оспорить размер ущерба;
- при длительном внутреннем мошенничестве нужно доказать, когда ущерб возник и когда был обнаружен (проверка периода обнаружения и ретроактивной даты);
- возвращенные суммы уменьшают страховое возмещение или подлежат возврату страховщику.

Финансовый анализ может понадобиться и в контексте D&O, если к правлению предъявляется требование в связи с предотвращением или обнаружением мошенничества.

## 3. Сохранение доказательств

Сохранение доказательств является наиболее критической и часто недооцениваемой частью форензики. Даже собранные доказательства теряют ценность, если они сохраняются ненадлежащим образом. Сохранение включает:

- обеспечение целостности данных (хеш-значения, копии, защищенные от записи);
- контроль доступа;
- предотвращение изменений;
- документированную цепочку хранения доказательств (*chain of custody*): кто, когда и с какой целью работал с доказательством.

В споре должно быть возможно показать, что доказательства не изменялись. Иначе противная сторона или страховщик могут оспорить их достоверность.

**Пример.** Предприятие сохраняет журналы после инцидента, но не документирует, кто и когда получал к ним доступ. Позднее страховщик утверждает, что журналы могли быть изменены.

Кроме того, нужно учитывать, что:

- доказательства нужно хранить достаточно долго (споры могут длиться годами; срок давности требования, вытекающего из договора страхования, как правило, составляет три года, VÕS § 475 ч. 1);[^2]
- доказательства нужно защищать и от внутренних рисков (при внутреннем мошенничестве подозреваемым может быть работник ИТ или финансового отдела);
- доказательства должны быть доступны как юристам, так и экспертам;
- электронные письма нужно сохранять вместе с заголовками (*headers*), а не только в виде снимка экрана.

## 4. Перспектива страхования

Страховщик оценивает, достаточно ли доказан ущерб, достоверны ли доказательства и исполнило ли застрахованное лицо обязанность сотрудничества. Договоры обычно обязывают сохранять доказательства, сотрудничать со страховщиком и обеспечивать возможность расследования.

По эстонскому праву наступление страхового случая, как правило, должно доказать лицо, предъявившее требование, а страховщик доказывает обстоятельства, служащие основанием для отказа, в том числе нарушение обязанности и его влияние.[^3] Вместе с тем Государственный суд подчеркнул обязанность сотрудничества страхователя: страхователь должен предоставлять информацию и документы, которые ему доступны и необходимы для установления объема обязанностей страховщика.[^4] Типовое условие, позволяющее доказывать ущерб только определенными доказательствами (например, только осмотром или предъявлением годных остатков), может оказаться условием, неразумно причиняющим вред потребителю.[^5]

Расходы на форензику в киберстраховании обычно покрываются. Таким образом, правильно проведенная форензика является не только расходом, но и частью страховой защиты.

## 5. Типичные ошибки

- быстрая «очистка» систем до анализа;
- удаление или перезапись журналов (срок хранения журналов часто составляет лишь несколько дней);
- недостаточное документирование;
- использование ненадежных инструментов;
- форензика без квалифицированного специалиста;
- при подозрении на внутреннее мошенничество привлечение подозреваемого к расследованию.

В результате характер атаки может остаться неясным, ущерб окажется недоказуемым, а страховое требование будет отклонено. Без качественного доказывания даже очевидный ущерб может остаться невозмещенным.

## 6. План сохранения доказательств до инцидента

Доказательства часто исчезают еще до того, как кто-то начинает их собирать. Поэтому подготовку нужно провести до инцидента.

- **Срок хранения журналов.** Во многих системах срок хранения журналов составляет лишь несколько дней. Журналы критических систем (электронная почта, удаленный доступ, облачные услуги, контроллер домена, платежные системы) должны храниться не менее нескольких месяцев и быть защищены от удаления.
- **Распоряжение о сохранении доказательств.** Письменный порядок, на основании которого правление или юрист может при инциденте приостановить обычное удаление документов и электронных писем.
- **Партнер по форензике.** Договор или по меньшей мере контакт с заранее выбранным партнером, которого принимает страховщик.
- **Доступы.** Известно, кто может предоставить форензике доступ к журналам аудита облачных услуг и как сделать это быстро.
- **Банковские документы.** Известно, как быстро получить от банка подробности платежей и переписку.

## 7. Внутреннее расследование и работники

При подозрении на внутреннее мошенничество при сборе доказательств нужно учитывать и права работника. Проверка электронной почты и устройств работника должна проводиться правомерно и соразмерно с учетом требований о защите персональных данных и внутренних правил предприятия. Практические принципы:

- подозреваемого не привлекают к расследованию и не уведомляют до того, как доказательства будут обеспечены;
- расследованием руководит лицо, у которого нет конфликта интересов;
- каждый шаг документируется;
- при необходимости привлекается полиция, полномочия которой по сбору доказательств шире.

Неправильно собранное доказательство может иметь в споре меньшую ценность и, в свою очередь, повлечь ответственность предприятия.

## 8. Контрольный перечень для партнера по форензике

- Входит ли партнер в панель страховщика или его привлечение письменно согласовано со страховщиком?
- Документирует ли партнер цепочку хранения доказательств?
- Разграничивает ли отчет факты, выводы и предположения?
- Отвечает ли отчет на вопросы, которые задают страховщик и надзорный орган (начало, масштаб, затронутые данные, вектор атаки)?

## 9. Виды доказательств и их ценность

| Доказательство | Ценность в страховом требовании | Типичная проблема |
|---|---|---|
| Системные журналы и журналы безопасности | Высокая, если обеспечена целостность | Короткий срок хранения, перезапись |
| Дамп памяти (*memory dump*) | Высокая при установлении вектора атаки | Исчезает при выключении устройства |
| Электронные письма вместе с заголовками | Высокая при доказывании механизма мошенничества | Сохраняются только в виде снимка экрана |
| Банковские документы | Высокая при доказывании размера ущерба | Запоздалый запрос в банк |
| Кризисный журнал | От средней до высокой (показывает прилежание и исполнение обязанностей) | Не велся или заполнен задним числом |
| Показания свидетелей | Средняя | Память тускнеет; их нужно записать сразу |
| Заключение эксперта | Высокая, если эксперт независим, а методы описаны | Эксперт привлечен слишком поздно |

## Связанные страницы

- [Первые 24–72 часа](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/esimesed-24-72-tundi/)
- [Как предъявить требование](https://kindlustusoigus.ee/ru/riskijuhtimine/nouded-ja-vaidlused/noude-esitamine/)
- [Страховой случай, уведомление и доказывание](https://kindlustusoigus.ee/ru/riigikohus/kindlustusjuhtum-teatamine-toendamine-ja-huvitise-sissenoutavus/)
- [Страхование crime](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 32.
[^2]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 475 ч. 1 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S
[^3]: RKTKo 05.04.2006, 3-2-1-17-06, п. 10–11. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-17-06; RKTKo 07.06.2017, 3-2-1-58-17, п. 13–14. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-58-17
[^4]: RKTKo 25.03.2026, 2-23-10549/35, п. 11–13. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-23-10549/35
[^5]: RKTKo 28.11.2007, 3-2-1-106-07, п. 10–12. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-106-07