24 часа на уведомление РКН: чеклист для IR-команды

Понедельник, 9:17 утра. SIEM выбрасывает алерт: DLP-политика зафиксировала массовую выгрузку CSV с клиентской базой на внешнее облачное хранилище. К 10:00 инцидент подтверждён - скомпрометировано 2,3 миллиона записей с ФИО, паспортными данными и номерами телефонов. С этой минуты у команды реагирования ровно 24 часа на первичное уведомление Роскомнадзора. Штраф за опоздание - от 1 до 3 млн рублей для организации. За сам факт утечки - до 15 млн. За повторное нарушение - до 500 млн оборотного штрафа.

Это не учебный сценарий. По данным Verizon DBIR 2025, 68% утечек данных связаны с человеческим фактором. Mandiant M-Trends 2025 добавляет: 57% организаций узнают об инциденте от внешних сторон - когда дампы уже разлетелись по форумам. Ниже - пошаговый incident response playbook, собранный из реального опыта уведомления РКН: от момента срабатывания алерта до отправки формы на портале pd.rkn.gov.ru.

Два дедлайна и оборотные штрафы: регламент реагирования на утечки ПДн​

Первичное уведомление - 24 часа​

По п. 1 ч. 3.1 ст. 21 ФЗ № 152-ФЗ оператор обязан направить первичное уведомление Роскомнадзора об инциденте в течение 24 часов с момента обнаружения утечки персональных данных. Порядок утверждён приказом Роскомнадзора от 14.11.2022 № 187.

В первичном уведомлении указываются: дата и время выявления, характеристики скомпрометированных ПДн (какие категории стали доступны третьим лицам), количество записей, предполагаемые причины, оценка вреда субъектам и уже принятые меры по устранению последствий. Ключевое слово - «предполагаемые». Завершённое расследование на этом этапе никто не требует.

Уведомление уходит через портал pd.rkn.gov.ru с аутентификацией через ЕСИА и подписанием УКЭП, либо через Госуслуги. Бумажный вариант по адресу Роскомнадзора (Китайгородский пр., д. 7, стр. 2) - теоретически допустим, но в 24-часовое окно это нерабочий вариант.

Дополнительное уведомление - 72 часа​

Второй дедлайн - 72 часа на результаты внутреннего расследования (п. 2 ч. 3.1 ст. 21 152-ФЗ). Тут нужны уже установленные причины, подтверждённый вред, данные о лицах, чьи действия привели к утечке (ФИО или наименование юрлица, IP-адреса, предполагаемое местонахождение), и реквизиты решения о проведении расследования. Для сравнения: GDPR даёт 72 часа на первичное уведомление регулятору. Российский порядок действий при утечке персональных данных жёстче - 24 часа на первичное и 72 на результат расследования.

Штрафы: от неприятных до разрушительных​

С 30 мая 2025 года действует обновлённая редакция ст. 13.11 КоАП РФ. Ответственность за утечку ПДн в России сейчас выглядит так:


Параллельно работает уголовная ответственность по ст. 137 УК РФ (нарушение неприкосновенности частной жизни) - до 4 лет лишения свободы. Это не абстрактный compliance-риск для ИБ-департамента, а прямая угроза для CISO и DPO.

Момент обнаружения: когда запускается таймер​

Критический вопрос для IR-команды - что именно считается «датой обнаружения». Закон формального определения не даёт, и тут начинается самое интересное.

РКН трактует «момент обнаружения» как момент, когда оператор узнал или должен был узнать об утечке. На практике:

• Алерт DLP/SIEM - таймер стартует с момента генерации алерта, не с момента, когда аналитик SOC его увидел и прочитал. Алерт прилетел в 3 ночи, аналитик открыл в 9 утра - РКН считает от трёх ночи.
• Публикация в даркнете - если дамп базы всплыл на форуме и об этом написали СМИ или Telegram-каналы, таймер стартует с момента, когда об этом стало известно оператору.
• Уведомление от самого РКН - если Роскомнадзор обнаружил базу и по содержимому определил принадлежность к конкретному оператору, он направляет требование. Таймер - с момента получения.

Последний сценарий - худший. Если РКН пришёл к вам раньше, чем вы к нему, это автоматически отягчающее обстоятельство. По данным CrowdStrike Global Threat Report 2025, 75% вторжений используют действительные учётные данные - такие атаки генерируют минимум алертов и обнаруживаются с запозданием.

Фиксируйте timestamp первого алерта в тикет-системе (TheHive, R-Vision IRP, Jira) сразу при создании инцидента. Этот timestamp станет точкой отсчёта при разборе с регулятором. Не «когда разобрались», а «когда прилетело».

Чеклист incident response при утечке ПДн: от алерта до формы​

Что нужно для первичного уведомления:

• Дата и время выявления (из тикета)
• Типы данных, ставших доступными третьим лицам
• Количество записей в скомпрометированной базе
• Предполагаемые причины (компрометация учётных данных, уязвимость веб-приложения, инсайдер)
• Предполагаемый вред субъектам (риск мошенничества, identity theft)
• Принятые меры (изоляция, блокировка, ротация credentials)
• Данные контактного лица (ФИО, email, телефон)
• Реквизиты оператора (ИНН, адрес, полное наименование)

Формулировка «предполагаемые причины» - не слабость, а штатный порядок. Пример рабочей формулировки: «Предполагаемой причиной является компрометация учётных данных сотрудника отдела аналитики, используемых для доступа к СУБД с клиентской базой. Вектор проникновения уточняется в рамках внутреннего расследования». Если на момент первичного уведомления у вас уже есть результаты расследования - включайте их. Это снизит нагрузку на 72-часовой дедлайн.

Час 12–23: Заполнение формы и отправка​

Перед отправкой проверьте три точки отказа:

• Сертификат УКЭП действителен и привязан к организации (а не к физлицу - классическая ловушка)
• Учётная запись на Госуслугах привязана к организации-оператору ПДн
• Портал pd.rkn.gov.ru доступен (бывают техработы - держите в голове альтернативу через Госуслуги)

После отправки Роскомнадзор направляет на указанный email письмо с ключом и номером уведомления. Эти реквизиты понадобятся при подаче дополнительного уведомления в 72-часовой дедлайн. Если РКН обнаружит неполные данные - запрос придёт в течение трёх рабочих дней. Ответить нужно тоже за три рабочих дня.

Detection: правила корреляции для раннего обнаружения утечки данных​

24 часа на уведомление РКН - достижимый срок, но только при одном условии: утечку обнаруживает ваш SOC, а не Telegram-канал. По данным Mandiant M-Trends 2025, медианное время нахождения злоумышленника в сети до обнаружения - 11 дней (исторический минимум). То есть во многих случаях утечка произошла задолго до алерта.

Зачем атакующему ваши ПДн: монетизация на даркнет-форумах (по данным IBM X-Force 2025, более 6000 свежих учётных записей появляются на чёрном рынке ежедневно), вымогательство (double extortion - шифрование + угроза публикации), конкурентная разведка. Понимание мотивации определяет, какие TTPs детектить.

TTPs эксфильтрации данных по MITRE ATT&CK​

Для compliance ИБ с персональными данными критичны три базовых правила корреляции, настроенные до инцидента:

Аномальный объём исходящего трафика. Порог строится на baseline сетевого трафика (соответствует NIST CSF DE.AE-01). Если хост отправляет за час больше данных, чем его месячный 95-й перцентиль - генерируется алерт. В KUMA и MaxPatrol SIEM это настраивается через профили нормального поведения.

Массовые запросы к таблицам с ПДн. Мониторинг SELECT-запросов с LIMIT > 10000 или без WHERE-clause к таблицам, отмеченным как содержащие персональные данные в каталоге. Аудит БД через pgaudit (PostgreSQL) или стандартный аудит SQL Server.

Обращения к облачным storage API. DNS-запросы к [I].googleapis.com/upload, storage.yandexcloud.net, [/I].blob.core.windows.net с хостов, которым это не положено по baseline. Если бухгалтерский терминал вдруг полез на Yandex Object Storage - что-то пошло не так.

Пример Sigma-правила для обнаружения массовой выгрузки на облачные хранилища:
DLP-система (InfoWatch Traffic Monitor, Solar Dozor) должна быть настроена на алерт, а не только на блокировку. Иначе первый сигнал об утечке вы получите не из SIEM, а из СМИ. Алерт DLP - момент обнаружения, от которого отсчитывается 24-часовой дедлайн.

72 часа: внутреннее расследование и дополнительное уведомление​

После отправки первичного уведомления у команды 72 часа на дополнительное. Теперь нужен результат, а не предположение:

• Установленные причины инцидента (вектор проникновения, эксплуатируемая уязвимость, учётная запись)
• Подтверждённый вред субъектам ПДн
• Данные о виновных лицах (ФИО/наименование, IP-адреса, предполагаемое местонахождение)
• Реквизиты решения о проведении внутреннего расследования

Это полноценный incident response цикл: анализ логов SIEM, таймлайн действий атакующего, корреляция с данными EDR, при необходимости - forensics дампов скомпрометированных хостов. В TheHive или R-Vision IRP каждый шаг фиксируется с привязкой к timeline инцидента.

Если расследование не завершено за 72 часа - отправляйте дополнительное уведомление с промежуточными результатами. Молчать хуже, чем отправить неполное.

Ошибки, которые стоят миллионов​

Из практики уведомления Роскомнадзора об инцидентах - типичные промахи IR-команд:

УКЭП просрочена или привязана к физлицу. Без действующей усиленной квалифицированной электронной подписи организации уведомление через портал не отправляется. Проверяйте сертификат ежеквартально и держите резервный. Я видел ситуацию, когда единственный носитель УКЭП лежал в сейфе у генерального - в командировке. Шесть часов потеряли на логистику токена.

Таймер отсчитывается от неправильной точки. Команда считает «момент обнаружения» от подтверждения инцидента после triage, а РКН - от первого алерта. Разница - 4–6 часов, которых потом не хватит.

Ожидание завершения forensics перед отправкой первичного уведомления. Первичное уведомление допускает предположительные формулировки. Ждать, пока аналитик закончит разбор дампов - пустая трата дедлайна.

Не назначено контактное лицо заранее. Форма требует ФИО и контакты уполномоченного лица. Если это не определено в playbook - начинается хаос с делегированием в разгар инцидента. В три ночи никто не хочет быть контактным лицом.

База оказалась не вашей. Если расследование показало, что утёкший дамп вам не принадлежит - нужно направить дополнительное уведомление с актом расследования. Молчать нельзя: РКН расценит это как неисполнение требования.

Масштабные кейсы подтверждают эти паттерны. По данным HIBP, утечка данных онлайн-кинотеатра START (датированная в HIBP июнем 2021 года) затронула более 7,4 млн уникальных записей - email, имена, геолокация, пароли; по сообщениям СМИ, общий объём базы мог составлять до 44 млн записей. Ключевой фактор - предполагаемый разрыв между моментом компрометации и публичным обнаружением, по сообщениям СМИ произошедшим в августе 2022 года. По данным IBM X-Force Threat Intelligence Index 2025, рост атак с использованием действительных учётных данных составил 71% год к году - атаки, которые генерируют минимум алертов и обнаруживаются поздно.



Основная проблема с 24-часовым дедлайном - не в том, что он короткий. 57% организаций узнают об утечке не от своего SIEM, а из Telegram-каналов или напрямую от РКН (Mandiant M-Trends 2025). Когда дамп уже на форуме - 24 часа превращаются в формальность, потому что таймер давно тикает.

Каждый раз, когда прохожу через этот процесс, узкое место - не заполнение формы на pd.rkn.gov.ru. Форма простая, портал работает. Узкое место - скорость детекта. Организация, у которой DLP настроен на алерт по паттернам ПДн в исходящем трафике и SIEM коррелирует аномалии по baseline, укладывается в 24 часа без героизма. Организация без этого - не укладывается и с героизмом.

Оборотные штрафы до 500 миллионов рублей за повторную утечку - серьёзный аргумент, но штраф - следствие. Причина - отсутствие detection-процесса, который работает до инцидента. Incident response playbook для утечек данных - последняя миля. Без первых километров (baseline, корреляционные правила, DLP-политики) он бесполезен. На форуме codeby.net разбираем подобные инциденты на ежемесячной основе - полезно сверить свой playbook с чужим опытом.