Акт расследования инцидента информационной безопасности
Внутренний итоговый документ разбора инцидента: что произошло, когда, по какой причине, кого затронуло и что сделано. Именно из него собирается уведомление регулятора о результатах расследования.
Зачем нужен документ
Разбор инцидента заканчивается либо актом, либо ничем. Устные выводы в переписке исчезают через неделю: кто-то помнит, что «была ошибка доступа», кто-то — что «подрядчик виноват», а восстановить хронологию через месяц уже невозможно. Акт фиксирует картину, пока она свежая, и делает её пригодной для использования.
Использований у акта три, и они разные по адресату. Первое — уведомление регулятора: результаты расследования нужно сообщить в течение семидесяти двух часов, и текст уведомления собирается из акта, а не сочиняется отдельно. Второе — внутренние выводы: что менять в настройках, правах и документах. Третье — доказательство добросовестности: организация, у которой есть акт с хронологией и мерами, выглядит иначе, чем организация с одним уведомлением и без следов разбора.
Отсюда требование к тону, которое стоит принять сразу: акт фиксирует факты, а не назначает виновных. Формулировки уровня «причиной стала халатность работника» в документе, который уйдёт регулятору, работают против организации дважды — как признание слабости контроля и как готовое основание для трудового спора. Правильная форма: что произошло, чьи действия установлены, чем это подтверждается.
Чем грозит отсутствие
Санкции за отсутствие акта нет. Есть санкция за то, что без него обычно происходит: уведомление о результатах расследования оказывается пустым или не уходит вовсе, а масштаб утечки устанавливает регулятор.
Как ещё называют этот документ
Что должно быть в документе
Формы акта в нормативах нет. Ориентир простой: акт должен закрывать все вопросы, которые уйдут в уведомление за семьдесят два часа, плюс те, что нужны организации для выводов.
Требования законодательства
Как связан с другими документами
Акт — точка сборки инцидентного кластера: он забирает данные из учётных форм и отдаёт их в уведомление регулятору.
Что спросит проверяющий
Акт читают вместе с уведомлением и журналом: расхождения между тремя документами заметны сразу.
Разбор эксперта
Хороший акт расследования отличается от плохого одной вещью — хронологией по часам. Не «в июле произошёл несанкционированный доступ», а «14 июля в 03:12 зафиксирована серия запросов с внешнего адреса, в 09:40 обнаружено администратором, в 10:05 доступ закрыт, в 17:30 подано уведомление». Такая таблица показывает регулятору управляемую ситуацию, даже если сам инцидент неприятный. Общие формулировки показывают обратное, независимо от того, насколько хорошо на самом деле сработала команда.
Второе, что решает деньги, — обоснование масштаба. Организации почти никогда не могут показать, какие именно записи утекли, и пишут в акте «предположительно затронута клиентская база». Дальше происходит логичное: масштаб оценивается по размеру всей базы, а пороги в статье 13.11 привязаны к числу субъектов. Выгрузка конкретных затронутых записей — это работа на несколько часов, которая может стоить разницы между тремя миллионами и пятнадцатью.
Третье — про формулировки о людях. Соблазн написать «причиной стали действия системного администратора» велик, особенно когда это правда. Но акт уходит регулятору, и такая фраза читается как отсутствие контроля со стороны организации. Мы советуем разделять: в акте — установленные факты и объяснения работника, кадровые решения — отдельными документами, по процедуре Трудового кодекса, где до взыскания обязательно истребуется письменное объяснение и даётся два рабочих дня на его представление.
Держите в форме акта обязательный блок хронологии и обязательный блок приложений — они дисциплинируют разбор лучше любых инструкций. Ставьте внутренний срок готовности акта на сорок восемь часов от обнаружения, чтобы уведомление за семьдесят два часа собиралось из готового текста. И заранее договоритесь, кто подписывает акт: комиссия из двух-трёх человек, а не единственный администратор, чья настройка и стала причиной.
Частые вопросы
Прямого требования составлять акт в 152-ФЗ нет — есть обязанность сообщить результаты внутреннего расследования в течение 72 часов. Акт является формой, в которой эти результаты фиксируются, и без него уведомление обычно оказывается пустым.
Комиссия из нескольких человек: ответственный за безопасность ПДн, администратор затронутой системы, при необходимости юрист и кадровик. Утверждает руководитель. Акт за подписью одного администратора, отвечавшего за настройки, объективным не выглядит.
Ориентир — сорок восемь часов от обнаружения инцидента. Внешний срок уведомления о результатах расследования составляет семьдесят два часа от того же момента, поэтому запас в сутки нужен на согласование и подачу.
Так и писать, с перечислением проверенных версий и того, чем каждая закрыта. Это тоже результат расследования. Отсутствие причины при добросовестном разборе выглядит лучше, чем назначенная наугад.
Указываются установленные факты и действия, а не оценки. Если действия работника стали причиной, это фиксируется вместе с его письменным объяснением. Дисциплинарные решения оформляются отдельно, по процедуре Трудового кодекса.
Выгрузкой конкретных записей, попавших в утечку, а не оценкой «предположительно вся база». От этой цифры зависит часть статьи 13.11 КоАП и, соответственно, размер штрафа — разница измеряется миллионами.
Да. Служебное расследование направлено на действия работника и завершается кадровым решением, акт расследования инцидента отвечает на вопрос, как произошла утечка или сбой. Документы стыкуются, но заменять один другим не следует.