Материалом поделился Валерий Комаров, независимый эксперт по информационной безопасности, в рамках образовательного курса «Директор по кибербезопасности 8.0».
Регуляторы наказывают за два разных состава: за неправомерную передачу ПДн и за неуведомление РКН.
Сроки жесткие — 24 часа на первичное уведомление и 72 часа на дополнительное.
Как реагировать на утечку ПДн?
1️⃣ Получили сигнал (1 час)
Источником информации могут быть РКН, НКЦКИ, СМИ, Telegram-каналы, жалобы субъектов ПДн или системы мониторинга ИБ.
На этом этапе необходимо зафиксировать:
1. Дату и время
2. Источник информации
3. Канал, через который поступил сигнал
2️⃣ Провести внутреннюю проверку (1–6 часов)
Задача — подтвердить или опровергнуть факт инцидента.
Для этого необходимо:
1. Снять журналы событий
2. Сопоставить опубликованные данные с рабочими базами
3. Собрать комиссию по расследованию
К расследованию необходимо привлекать владельцев систем и владельцев информации, поскольку именно они могут оперативно определить, относятся ли опубликованные данные к конкретной ИСПДн.
3️⃣ Направить первичное уведомление в Роскомнадзор (до 24 часов)
Уведомление подается через Портал ПДн.
В нем указываются:
1. Предполагаемые причины инцидента
2. Характеристики персональных данных
3. Предполагаемый вред субъектам ПДн
4. Принятые меры
5. Уполномоченное лицо для взаимодействия
После отправки оператор получает номер и ключ уведомления. Их необходимо сохранить — они понадобятся на следующем этапе.
4️⃣ При компьютерном инциденте уведомить НКЦКИ (до 24 часов)
Если неправомерная передача ПДн связана с компьютерным инцидентом, уведомление направляется параллельно в НКЦКИ.
Для этого используются:
1. Форма на cert.gov.ru
2. Либо адрес incident@cert.gov.ru
Взаимодействие с ГосСОПКА является обязанностью оператора, закрепленной в ст. 19 ФЗ-152.
5️⃣ Провести внутреннее расследование (24–72 часа)
В этот период необходимо:
1. Установить причины инцидента
2. Определить виновных лиц (если это возможно)
3. Оценить объем затронутых данных
4. Собрать доказательную базу
5. Принять меры по устранению последствий
Рекомендуется заранее определить состав группы реагирования, порядок взаимодействия между участниками и предусмотреть замещение ключевых сотрудников на случай отпусков или болезни, чтобы избежать организационного хаоса в первые часы после обнаружения инцидента.
6️⃣ Подать дополнительное уведомление в РКН (до 72 часов)
Дополнительное уведомление направляется через тот же Портал ПДн с использованием ранее полученных номера и ключа.
В нем отражаются:
1. Результаты внутреннего расследования
2. Итоговая оценка вреда
3. Сведения о причинах инцидента
4. Принятые меры по устранению последствий
Если тема работы с регуляторами для вас актуальна, рекомендуем второй модуль годовой программы «Директор по кибербезопасности 8.0», на котором эксперты разбирают реальные проверки ФСТЭК, судебную практику, требования 152-ФЗ и Приказа №117, а также показывают, как действовать при утечках и готовиться к проверкам.
Смотрите содержание модуля и присоединяйтесь к обучению, пока требования регуляторов не застали вас врасплох.
#ДиректорПоИБ