Как действовать после утечки данных: рекомендации главы «РуБэкап»

При обнаружении утечки данных компании нужно остановить передачу информации и сохранить следы, по которым можно восстановить ход атаки. Генеральный директор «РуБэкап» Андрей Кузнецов предложил разделить реагирование на первые сутки, расследование в течение трёх дней и последующий пересмотр защиты.

Первые сутки: изоляция систем и фиксация действий

Кузнецов рекомендует изолировать затронутые системы от сети. Полное отключение питания может привести к потере части цифровых следов, поэтому действия с оборудованием следует согласовывать с группой реагирования.

Этой группе предстоит определить, какие данные могли попасть к посторонним, каков их объём и какие системы скомпрометированы. Все действия нужно заносить в журнал инцидента, а к разбору подключить руководство, юридический отдел и службу безопасности.

Расследование и уведомления

Следующий этап эксперт отводит выяснению способа проникновения и сохранению доказательств. Юристам нужно оценить обязательства компании по уведомлению регуляторов и правоохранительных органов. Эту проверку следует начинать одновременно с первыми мерами реагирования, чтобы соблюсти установленные сроки, не дожидаясь завершения расследования.

Отдельная задача — подготовить коммуникацию об инциденте: согласовать подтверждённые сведения и порядок их раскрытия.

После локализации инцидента

Кузнецов также перечисляет меры, которые должны войти в план восстановления защиты: устранение найденных уязвимостей, смена скомпрометированных учётных данных и ключей, аудит инфраструктуры и прав доступа.

В течение первого месяца эксперт советует пересмотреть процессы безопасности, улучшить мониторинг и провести обучение сотрудников реагированию на инциденты. Работу с доступом он предлагает строить на принципах Zero Trust — с проверкой запросов к ресурсам вместо безусловного доверия пользователю или устройству внутри сети.