Киберинцидент: действия директора при взломе и утечке данных

что делать при кибератаке

Что делать директору при киберинциденте и как минимизировать ущерб при взломе, утечке или шифровальщике

Утром понедельника финансовый директор обнаруживает, что все файлы на серверах зашифрованы, а на экране требование выкупа в криптовалюте. Или служба безопасности фиксирует массовую утечку персональных данных клиентов. Первые часы после киберинцидента определяют масштаб потерь: от штрафов и исков до уголовной ответственности руководителя. Российское законодательство возлагает на директора обязанность по обеспечению защиты информации и персональных данных, а бездействие или неправильные действия при инциденте влекут персональную ответственность. Этот материал содержит пошаговый алгоритм действий руководителя при кибератаке, правовые механизмы минимизации ущерба и инструменты защиты от претензий регуляторов, контрагентов и собственников.

Правовой статус директора при киберинциденте и зоны ответственности

Директор как единоличный исполнительный орган несет обязанность действовать в интересах общества добросовестно и разумно согласно статье 53.1 Гражданского кодекса РФ. При киберинциденте эта обязанность трансформируется в конкретные требования: незамедлительное реагирование, минимизация последствий, надлежащее уведомление регуляторов и фиксация доказательств. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» устанавливает обязанность оператора уведомить Роскомнадзор об инциденте в течение 24 часов с момента выявления утечки, а о результатах внутреннего расследования - в течение 72 часов.

Статья 13.11 Кодекса об административных правонарушениях РФ предусматривает штрафы за нарушение законодательства о персональных данных до 18 миллионов рублей для юридических лиц. С 30 мая 2025 года вступили в силу изменения, устанавливающие оборотные штрафы до 3 процентов годовой выручки за повторные утечки. Директор может быть привлечен к административной ответственности как должностное лицо с дисквалификацией на срок до трех лет. При утечке данных более 100 тысяч субъектов или специальных категорий персональных данных возникают риски уголовной ответственности по статье 272 Уголовного кодекса РФ о неправомерном доступе к компьютерной информации.

Гражданско-правовая ответственность директора перед обществом возникает при доказанности убытков, противоправности действий или бездействия и причинно-следственной связи. Постановление Пленума Высшего Арбитражного Суда РФ от 30 июля 2013 года № 62 разъясняет критерии недобросовестности и неразумности действий руководителя. Отсутствие регламентов реагирования на инциденты, игнорирование рекомендаций службы безопасности, экономия на средствах защиты информации - все это может быть квалифицировано как неразумное поведение с последующим взысканием убытков.

Первые 24 часа: алгоритм неотложных действий

Немедленная изоляция пораженных систем от сети предотвращает распространение вредоносного программного обеспечения и дальнейшую утечку данных. Директор должен обеспечить привлечение квалифицированных специалистов по информационной безопасности для первичной диагностики. Критически важно не предпринимать самостоятельных попыток «восстановления» или «очистки» систем - это может уничтожить цифровые доказательства, необходимые для расследования и судебной защиты.

Фиксация доказательств инцидента включает создание образов жестких дисков, сохранение логов систем безопасности, скриншотов требований злоумышленников, записей сетевого трафика. Статья 102 Арбитражного процессуального кодекса РФ позволяет обратиться в суд с заявлением об обеспечении доказательств до подачи иска при наличии оснований полагать, что их получение станет невозможным или затруднительным. Нотариальное обеспечение доказательств по статье 102 Основ законодательства о нотариате создает документы с повышенной доказательственной силой.

Уведомление Роскомнадзора при утечке персональных данных осуществляется через портал Госуслуг или личный кабинет оператора в течение 24 часов. Уведомление должно содержать предполагаемые причины инцидента, оценку вреда субъектам данных, принятые меры по устранению последствий. Если инцидент затрагивает объекты критической информационной инфраструктуры, требуется уведомление НКЦКИ в соответствии с Федеральным законом от 26 июля 2017 года № 187-ФЗ. Несоблюдение сроков уведомления является самостоятельным основанием для привлечения к административной ответственности.

Если вы столкнулись с киберинцидентом или хотите заранее подготовить регламенты реагирования, рекомендуем получить специализированный чек-лист первоочередных действий директора при кибератаке, направив запрос на info@vitvet.com.

Расследование инцидента и взаимодействие с правоохранительными органами

Внутреннее расследование проводится комиссией с участием представителей IT-службы, юридического отдела, службы безопасности и кадровой службы при наличии признаков причастности работников. Результаты оформляются актом с указанием хронологии событий, выявленных уязвимостей, оценки ущерба и рекомендаций по предотвращению повторных инцидентов. Этот документ направляется в Роскомнадзор в составе уведомления о результатах расследования в течение 72 часов.

Обращение в правоохранительные органы целесообразно при наличии признаков преступлений по статьям 272 о неправомерном доступе к компьютерной информации, 273 о создании и распространении вредоносных программ, 163 о вымогательстве Уголовного кодекса РФ. Заявление подается в территориальное подразделение МВД России или непосредственно в управление «К» при значительном ущербе. К заявлению прилагаются результаты внутреннего расследования, образы носителей информации, заключения специалистов по информационной безопасности.

Привлечение лицензированной организации для проведения компьютерно-технической экспертизы создает доказательную базу для последующих судебных разбирательств. Экспертное заключение должно содержать описание методологии исследования, выводы о способе проникновения, оценку скомпрометированных данных и размера ущерба. Стоимость такой экспертизы составляет от 150 до 800 тысяч рублей в зависимости от масштаба инцидента и количества исследуемых устройств.

Взаимодействие со страховой компанией при наличии полиса киберстрахования требует незамедлительного уведомления страховщика и согласования всех действий по реагированию. Типичные полисы покрывают расходы на расследование, восстановление данных, уведомление субъектов данных, юридическую защиту и выплаты по претензиям третьих лиц. Несогласованные действия или нарушение условий договора страхования могут стать основанием для отказа в выплате.

Минимизация правовых рисков и защита от претензий

Документирование всех принятых мер создает доказательственную базу добросовестности и разумности действий директора. Каждое решение фиксируется приказом с указанием оснований, каждое действие подтверждается актом или служебной запиской. При последующих проверках регуляторов или исках о возмещении убытков именно эта документация подтверждает надлежащее исполнение обязанностей руководителя.

Уведомление субъектов персональных данных об утечке не является обязательным по российскому законодательству, однако может снизить репутационные риски и размер потенциальных исков. Если утечка затрагивает финансовые данные, данные о здоровье или иную чувствительную информацию, рекомендуется проактивное информирование пострадавших с указанием мер защиты, которые они могут предпринять. Такое уведомление демонстрирует добросовестность компании и может быть учтено судом при определении размера компенсации морального вреда.

Претензии контрагентов по договорам, содержащим обязательства по защите конфиденциальной информации, требуют анализа условий об ответственности и форс-мажоре. Кибератака сама по себе не является обстоятельством непреодолимой силы, однако если компания докажет принятие всех разумных мер защиты, размер ответственности может быть снижен по статье 404 Гражданского кодекса РФ о вине кредитора или статье 333 о снижении неустойки.

Чтобы получить детальный чек-лист документального оформления действий при киберинциденте с указанием обязательных реквизитов и сроков, направьте запрос на info@vitvet.com.

Превентивные меры и построение системы защиты

Локальные нормативные акты по информационной безопасности включают политику обработки персональных данных, регламент реагирования на инциденты, положение о коммерческой тайне, инструкции для работников. Отсутствие этих документов при проверке Роскомнадзора влечет административную ответственность независимо от факта утечки. Регламент реагирования на инциденты должен содержать распределение ролей, порядок эскалации, контакты ответственных лиц, шаблоны уведомлений.

Техническая защита информации для операторов персональных данных регулируется приказом ФСТЭК России от 18 февраля 2013 года № 21. Уровень защищенности определяется категорией обрабатываемых данных и масштабом обработки. Минимальный набор мер включает антивирусную защиту, межсетевое экранирование, резервное копирование, контроль доступа и регистрацию событий безопасности. Для субъектов критической информационной инфраструктуры требования существенно выше и определяются приказами ФСТЭК России № 235 и № 239.

Страхование киберрисков становится стандартной практикой для компаний, обрабатывающих значительные объемы данных. Российские страховщики предлагают полисы с покрытием от 10 до 500 миллионов рублей. Стоимость страхования составляет от 0,3 до 1,5 процента страховой суммы в зависимости от отрасли, объема данных и уровня защиты. Наличие полиса не освобождает от административной ответственности, но покрывает расходы на реагирование и выплаты по претензиям.

Регулярный аудит информационной безопасности и тестирование на проникновение позволяют выявить уязвимости до их эксплуатации злоумышленниками. Результаты аудита документируются и служат доказательством принятия разумных мер защиты. При инциденте наличие актуального аудиторского заключения и документов об устранении выявленных недостатков существенно снижает риски признания действий директора неразумными.

Экономика киберинцидента: расчет потерь и затрат на реагирование

Прямые потери при киберинциденте складываются из нескольких категорий. Простой бизнес-процессов при шифровальщике составляет от нескольких часов до нескольких недель, упущенная выгода рассчитывается исходя из среднедневной выручки. Расходы на восстановление IT-инфраструктуры варьируются от 500 тысяч до 10 миллионов рублей в зависимости от масштаба. Затраты на расследование, экспертизу и юридическое сопровождение составляют от 300 тысяч до 2 миллионов рублей.

Административные штрафы при утечке персональных данных зависят от количества пострадавших субъектов и повторности нарушения. Первичная утечка данных от 1 до 10 тысяч субъектов влечет штраф до 5 миллионов рублей, от 10 до 100 тысяч субъектов - до 10 миллионов рублей. Повторная утечка наказывается оборотным штрафом до 3 процентов выручки за предшествующий год, но не менее 20 миллионов рублей. Эти суммы делают инвестиции в превентивную защиту экономически обоснованными.

Репутационные потери и отток клиентов сложно оценить количественно, однако практика показывает снижение выручки на 10-30 процентов в течение 6-12 месяцев после публичного инцидента. Судебные иски субъектов персональных данных о компенсации морального вреда удовлетворяются российскими судами в размере от 5 до 50 тысяч рублей на истца. При массовой утечке совокупный размер компенсаций может достигать значительных сумм.

Сравнение альтернатив реагирования показывает следующее. Выплата выкупа злоумышленникам не гарантирует восстановления данных, создает репутационные риски и может квалифицироваться как финансирование преступной деятельности. Самостоятельное восстановление из резервных копий при их наличии занимает от 1 до 7 дней и является оптимальным вариантом. Привлечение специализированных компаний по реагированию на инциденты обходится от 500 тысяч до 3 миллионов рублей, но обеспечивает профессиональное расследование и минимизацию последствий.

Обязан ли директор лично контролировать процесс реагирования на киберинцидент или достаточно делегировать это IT-службе?

Директор несет персональную ответственность за организацию защиты информации и реагирование на инциденты. Делегирование оперативных функций IT-специалистам допустимо и необходимо, однако ключевые решения - об уведомлении регуляторов, привлечении внешних экспертов, обращении в правоохранительные органы - принимает руководитель. Отсутствие контроля со стороны директора может быть квалифицировано как неразумное поведение при последующем взыскании убытков.

Можно ли избежать штрафа Роскомнадзора, если утечка произошла из-за действий хакеров, а не по вине компании?

Административная ответственность по статье 13.11 КоАП РФ наступает за сам факт утечки персональных данных независимо от наличия вины третьих лиц. Однако своевременное уведомление регулятора, надлежащее расследование и доказательства принятия разумных мер защиты могут быть учтены при определении размера штрафа. Суды при обжаловании постановлений Роскомнадзора оценивают полноту принятых превентивных мер и оперативность реагирования.

Стоит ли платить выкуп при атаке шифровальщика, если это единственный способ восстановить данные?

Выплата выкупа не рекомендуется по нескольким причинам. Отсутствует гарантия получения ключа дешифрования - злоумышленники могут потребовать дополнительную оплату или просто исчезнуть. Факт выплаты делает компанию привлекательной целью для повторных атак. Перевод средств преступникам создает правовые риски, включая потенциальную квалификацию как финансирование преступной деятельности. Приоритетным решением является восстановление из резервных копий или привлечение специализированных компаний по восстановлению данных.

Юридическая фирма Ветров и партнеры специализируется на сопровождении компаний при киберинцидентах: от первичного реагирования и взаимодействия с регуляторами до защиты интересов в судах и перед контрагентами. Наш опыт включает подготовку регламентов информационной безопасности, представительство при проверках Роскомнадзора, сопровождение внутренних расследований и минимизацию ответственности руководителей. Чтобы получить оценку правовых рисков вашей ситуации или разработать систему защиты от киберугроз, свяжитесь с нами по адресу info@vitvet.com.

Подписывайтесь на наш телеграм-канал.

Давид Гликштейн, менеджер. Пишу статьи, ищу интересную информацию и предлагаю способы ее практического использования. Верю, что благодаря качественной юридической аналитике клиенты приходят к юридической фирме, а не наоборот. Согласны?

24.01.2026

В случае, если Ваш судебный спор или иной спор, договорная работа или любая другая форма деятельности касается вопросов, рассмотренных в данном или ином нашем материале, рекомендуем проверить и убедиться, что Ваша правовая позиция соответствует последним изменениям практики и законодательству.

Мы будем рады оказать Вам юридическую помощь по поводу минимизации юридических рисков и имеющимся возможностям. Мы постараемся найти решение, подходящее именно для Вас.

Звоните по телефону +7 (383) 310-38-76 или пишите на адрес info@vitvet.com.

Наша юридическая компания оказывает различные юридические услуги в разных городах России (в т.ч. Новосибирск, Томск, Омск, Барнаул, Красноярск, Кемерово, Новокузнецк, Иркутск, Чита, Владивосток, Москва, Санкт-Петербург, Екатеринбург, Нижний Новгород, Казань, Самара, Челябинск, Ростов-на-Дону, Уфа, Волгоград, Пермь, Воронеж, Саратов, Краснодар, Тольятти, Сочи).

Предлагаем своим клиентам наши юридические услуги по следующим направлениям:

а) защита и охрана интеллектуальной собственности (от регистрации товарного знака до споров по любым результатам интеллектуальной деятельности, в т.ч. сами товарные знаки, программы для эвм);

б) корпоративные вопросы и споры (от организации и проведения ГОСУ, ВОСУ до оспаривания сделок, взыскания убытков с директора, признания решений органов управления недействительными);

в) ведение судебных споров (споры в судах общей юрисдикции, арбитражных судах, третейских судах);

г) налоговые вопросы (от аудита бизнес-процессов на предмет налоговых рисков, сопровождения налоговых проверок до оспаривания результатов проверок, иных актов налоговых органов);

д) коммерческая практика (правовое сопровождение бизнеса по различным вопросам);

е) юридическая помощь по уголовным делам (как правило, связанным с предпринимательской деятельностью);

ж) защита активов компаний и собственников бизнеса.

Рекомендуем почитать наш блог, посвященный юридическим и судебным кейсам (арбитражной практике), и ознакомиться с материалам в Разделе "Статьи".