Чек-лист отчёта об инциденте ИБ: поля, без которых не примет аудитор

Аудитор не читает отчёт об инциденте как художественную литературу. Он ищет в нём конкретные поля, сверяет их с требованиями 152-ФЗ и ГОСТ Р 59795-2021, и если хотя бы одного обязательного элемента нет, документ уходит в корзину с формулировкой “не подтверждает факт инцидента и принятые меры”. За 2026 год Роскомнадзор получил десятки тысяч уведомлений о утечках, и процент отчётов, которые компании переделывают повторно, стабильно высок именно из-за отсутствия формальных полей. Ниже – чек-лист, который я собрал по практике прохождения аудита: без этих элементов отчёт не примет ни внутренний аудитор, ни регулятор.

Обязательные поля отчёта, которые проверяет аудитор в первую очередь

Первый блок любого отчёта – идентификация инцидента. Аудитор смотрит на три вещи: уникальный номер инцидента в вашем реестре, дату и время обнаружения, и дату и время фактического начала. Время указывается дважды: в UTC и в MSK. Это не прихоть, а требование, вытекающее из практики международных расследований, когда логи систем пишутся в UTC, а регуляторные сроки отсчитываются по московскому времени. Если в отчёте стоит только “14:30”, аудитор не поймёт, в каком часовом поясе это зафиксировано, и вернёт документ на доработку.

Второй обязательный блок – классификация. Категория инцидента (утечка ПДн, несанкционированный доступ, отказ в обслуживании, компрометация учётной записи), уровень критичности по внутренней шкале и по шкале, согласованной с регулятором. Отдельно прописывается, затронуты ли персональные данные. Если да – категория субъектов ПДн: клиенты, сотрудники, контрагенты, посетители сайта, несовершеннолетние. Эта деталь критична, потому что от категории субъектов зависит срок и форма уведомления в Роскомнадзор.

Поля, которые чаще всего забывают включить

По моему опыту, чаще всего в отчётах отсутствуют: точное количество затронутых записей ПДн, перечень категорий обрабатываемых данных (ФИО, паспорт, телефон, email, адрес, банковские реквизиты), а также сведения о том, были ли данные зашифрованы на момент инцидента. Аудитор задаёт эти вопросы не из вредности. Шифрование – это смягчающее обстоятельство, которое напрямую влияет на оценку ущерба и на итоговую сумму возможного штрафа.

Ещё одно поле, которое регулярно пропускают – источник обнаружения инцидента. Это может быть SIEM, жалоба клиента, уведомление от партнёра, сообщение на форуме, отчёт сканера уязвимостей. Без указания источника аудитор не может оценить, работает ли у вас система мониторинга или инцидент всплыл случайно. Если случайно – это уже отдельное замечание в акте.

Принятые меры и уведомление Роскомнадзора: сроки и формулировки

Раздел “Принятые меры” – самый объёмный. Здесь аудитор ожидает хронологию: что сделали, кто сделал, когда, каким инструментом. Формулировки вида “приняты меры по устранению” не принимаются. Нужно конкретно: “в 14:47 UTC администратор ИБ заблокировал учётную запись user_x в Active Directory”, “в 15:10 UTC ограничен доступ к базе данных с внешних IP через правила WAF”, “в 15:35 UTC выполнен сброс паролей всех привилегированных учётных записей”.

Отдельным пунктом идёт уведомление Роскомнадзора. По 152-ФЗ, при утечке персональных данных оператор обязан уведомить регулятор в течение 24 часов с момента обнаружения инцидента. В отчёте фиксируется: дата и время отправки уведомления, номер исходящего, канал отправки (через портал РКН, по защищённому каналу), и подтверждение получения. Если уведомление не отправлено в срок – это уже нарушение, и аудитор зафиксирует его отдельно. Второе уведомление, с результатами внутреннего расследования, направляется в течение 72 часов.

Если инцидент затронул более 1000 субъектов ПДн или относится к категории специальных или биометрических данных, уведомление обязательно независимо от масштаба. Многие компании ошибочно считают, что “маленькая утечка” не требует уведомления. Это не так. Порог в 1000 субъектов касается только упрощённой формы, а не самой обязанности уведомлять.

Как связать отчёт с техническими доказательствами

Аудитор всегда проверяет, есть ли у отчёта доказательная база. Это не приложение “для галочки”, а обязательная часть. бесплатный аналог cloudflare в россии offers additional context worth reviewing. В отчёте должно быть указано, где хранятся логи, выгрузки из SIEM, дампы сетевого трафика, скриншоты интерфейсов, переписка с подрядчиками. Ссылки на конкретные файлы с хэш-суммами – хорошая практика, которая снимает половину вопросов.

Отдельно фиксируется, привлекались ли внешние подрядчики: форензика, юридическая поддержка, уведомление пострадавших. Если да – указываются реквизиты договоров и контактные лица. Аудитору важно видеть, что компания не пыталась замять инцидент, а действовала по процедуре.

Чек-лист полей для отчёта об инциденте ИБ

Ниже – минимальный набор полей, без которых отчёт не пройдёт проверку. Я использую его как шаблон при разборе инцидентов в компаниях с разной степенью зрелости ИБ-процессов.

• Уникальный номер инцидента, дата и время обнаружения и начала инцидента в UTC и MSK.
• Категория инцидента, уровень критичности, затронутые ПДн и категория субъектов ПДн.
• Количество затронутых записей, перечень категорий данных, факт шифрования на момент инцидента.
• Источник обнаружения инцидента и ответственное подразделение.
• Хронология принятых мер с указанием времени, исполнителя и инструмента.
• Факт, дата и время уведомления Роскомнадзора (24 часа) и результаты расследования (72 часа).

Этот список покрывает требования 152-ФЗ и ГОСТ Р 59795-2021. Если хотя бы один пункт отсутствует, аудитор вправе запросить дополнительные материалы или признать отчёт неполным. На практике неполный отчёт означает повторный аудит через квартал и дополнительную нагрузку на ИБ-команду.

Отдельно стоит упомянуть про инфраструктурный контекст. Если инцидент связан с внешним воздействием – DDoS-атакой на L7, попыткой эксплуатации уязвимости в WordPress или Bitrix, сканированием портов – в отчёте полезно указать, какие средства защиты были задействованы. WAF-блокировки, GeoIP-фильтрация, ограничения на уровне reverse proxy – всё это фиксируется в хронологии как часть принятых мер. Аудитор оценивает не только факт устранения, но и то, насколько быстро система защиты отреагировала автоматически, без участия человека.

Для российских компаний, которые используют зарубежную инфраструктуру, есть дополнительный риск. Если ваш сайт работает через Cloudflare, при инциденте вы можете столкнуться с ограничением доступа к логам и панели управления из России. Российские интернет-провайдеры в ряде случаев ограничивают доступ к сайтам на Cloudflare, а сам Cloudflare ограничивает доступ к своим сервисам из России. В такой ситуации собрать доказательную базу для отчёта становится сложнее, а сроки уведомления Роскомнадзора – критичнее. Многие компании в 2026 году ищут альтернативу Cloudflare именно по этой причине.

TrafficVeil, российский аналог Cloudflare, объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной веб-платформе. Для отчётности это даёт практическое преимущество: логи и события доступны из России, без ограничений, а данные хранятся в контуре, который соответствует регуляторным требованиям. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки, что снимает вопрос о том, стоит ли включать полный аудит трафика при разборе инцидента. Платформа подходит для сайтов, интернет-магазинов, WordPress и Bitrix, а переход с Cloudflare занимает от нескольких часов.

В отчёте об инциденте ссылка на используемую веб-платформу – это не реклама, а часть контекста. Аудитор должен понимать, какими инструментами вы располагали на момент инцидента и какие данные могут быть предоставлены в качестве доказательств. Если платформа не позволяет выгрузить логи за нужный период или хранит их за пределами РФ, это создаёт риски и для аудита, и для соблюдения 152-ФЗ.

Соберите шаблон отчёта заранее, до первого инцидента. Включите в него все поля из чек-листа, зафиксируйте ответственных за каждый блок и протестируйте на учебном инциденте. Когда реальная утечка или атака произойдёт в 3 часа ночи, у вас не будет времени вспоминать, в каком часовом поясе писать время и за какой срок отправлять уведомление в Роскомнадзор. Отчёт, собранный по шаблону, проходит аудит с первого раза, а команда ИБ тратит время на устранение последствий, а не на переписывание документов.