Главная

Акт расследования инцидента информационной безопасности

Документ фиксирует факт и обстоятельства инцидента, хронологию событий, перечень доказательств, оценку затронутых данных, принятые меры и подписи ответственных лиц. Готовит служба информационной безопасности или иное уполномоченное лицо, утверждает руководитель; акт, внутренний документ, служит основой для служебного реагирования и подготовки уведомлений контролирующим органам в установленные законом сроки.

Статус обязательный при наступлении инцидента информационной безопасности
Основание ч. 3.1 ст. 21 и ст. 19 Федерального закона 152-ФЗ
Публичность внутренний документ, не подлежит публичной публикации
Утверждает руководитель организации
Актуализация июль 2026
Ответственный за подготовку служба информационной безопасности или иное назначенное уполномоченное лицо
Срок уведомления регулятора уведомление в течение 24 часов с момента установления факта инцидента (ч. 3.1 ст. 21 152-ФЗ)

01 Назначение

Акт расследования инцидента информационной безопасности

Краткое руководство по назначению документа, содержанию, срокам и практическим правилам заполнения

Назначение и область применения. Внутренний документ, обязательный при возникновении инцидента информационной безопасности. Акт фиксирует факт инцидента, последовательность событий, принятые меры и выводы ответственных служб. Утверждается руководителем организации, подготовку обеспечивает служба информационной безопасности или иное назначенное уполномоченное лицо.

Обязательные разделы и кем заполняются. Рекомендуемая структура: идентификация и классификация инцидента, краткое резюме, хронология событий, сведения о затронутых информационных ресурсах и субъектах, оценка вреда и вероятных последствий, принятые оперативные и корректирующие меры, выводы и рекомендации, сведения о привлечённых экспертах и приложенные материалы. Блок с объяснениями сотрудников оформляет служба кадров или непосредственный руководитель в соответствии с внутренними процедурами.

Сроки уведомления и взаимодействие с контролирующими органами. При наступлении инцидента необходимо учитывать обязанность уведомления в установленные сроки, а также порядок взаимодействия с регуляторами. Внутренний акт служит основой для составления сообщений и передачи материалов органам, если этого требуют применимые нормы. Невыполнение обязательств и завуалированное обезличивание могут влечь административную ответственность по нормам, регулирующим последствия утечек и непредставление информации.

Практическое заполнение, хранение и сопровождение акта. Форму акта хранить во внутреннем реестре инцидентов, присваивать уникальный регистрационный номер и указывать дату составления и утверждения. В акте фиксировать ссылки на журналы регистрации, результаты экспертных проверок и решение о принятых мерах, а также список ответственных и срок исполнения рекомендаций. Документ не подлежит публичной публикации, при необходимости копии направляются контролёрам через установленный порядок взаимодействия.

Раскрыть полностью

02 Ответственность

Ответственность за утечку и ненадлежащее расследование инцидента ИБ

ч. 13 ст. 13.11 КоАП РФ - утечка данных 10 000 - 100 000 субъектов

Юридическое лицо 5 000 000 - 10 000 000 ₽
Должностное лицо 300 000 - 500 000 ₽
Граждане 200 000 - 300 000 ₽
Индивидуальный предприниматель ответственность сопоставима с ответственностью юридического лица по релевантным частям ст. 13.11 КоАП РФ
Дисциплинарная ответственность возможны дисциплинарные взыскания и обязательные объяснения в порядке, установленном ТК РФ (ст. 192, 193)

Неполный или несвоевременно оформленный Акт повышает риск привлечения по нормам КоАП, применяемым при массовых утечках и при ненадлежащем уведомлении о неправомерном доступе, а также риск дисциплинарных взысканий по ТК РФ. Типичные ошибки: задержка уведомления уполномоченных органов, отсутствие хронологии и доказательств, отсутствие объяснений и приказа руководителя. Для уменьшения рисков фиксируйте хронологию событий, источники доказательств и распоряжение руководителя.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Внутренний документ, фиксирует факт, хронологию, доказательства, оценку затронутых данных и принятые меры. Готовит служба информационной безопасности или иное назначенное уполномоченное лицо, утверждает руководитель организации.

Акт расследования инцидента информационной безопасности
Акт расследования инцидента ИБ
Акт внутреннего расследования утечки персональных данных
Отчёт о расследовании инцидента с персональными данными
Заключение по результатам расследования инцидента ИБ
Акт по факту неправомерного доступа к персональным данным
Акт служебного расследования утечки данных
Протокол разбора инцидента информационной безопасности
Форма акта расследования инцидента ИБ
Отчёт о причинах и последствиях инцидента ИБ

04 Обязательное содержание

Содержание акта расследования

Чеклист разделов и обязательных элементов для акта расследования инцидента информационной безопасности.

Реквизиты документа Название акта, дата и номер составления, статус и актуальная редакция, лицо, утвердившее документ, и ответственное лицо за подготовку записи.
Описание инцидента и хронология Краткое описание события, время обнаружения и уведомления, последовательность действий по обнаружению и локализации, затронутые системы и категории данных.
Доказательства и приложения Перечень приложений: логи, дампы, скриншоты, экспортированные отчёты средств мониторинга и журнал действий сотрудников, с указанием форматов и метаданных; при отсутствии данных указана причина недоступности.
Оценка масштабов и последствий Оценка числа затронутых субъектов и тяжести последствий для конфиденциальности и доступности; указание на возможные административные последствия при массовой утечке.
Принятые и планируемые меры Перечень немедленных действий по локализации и ограничению последствий, восстановительные и корректирующие мероприятия, ответственные исполнители и плановые сроки выполнения.
Уведомления и взаимодействие с регуляторами Фиксация отправленных уведомлений владельцам данных и регуляторам, даты и каналы отправки, приложенные подтверждения; при наличии требования уведомления в 24 часа отмечен факт исполнения.
Выводы, решения и подписи Итоговые выводы о причинах инцидента, рекомендации по предотвращению, предложения о дисциплинарных мерах при необходимости, назначение ответственных за реализацию и подписи составивших и руководителя.

05 Применимость

Кому и в каких случаях нужен акт расследования инцидента ИБ

Краткие указания, когда организация должна оформлять акт расследования инцидента информационной безопасности, кому он нужен и с какими сопутствующими документами связывать результат.

Кому нужен акт расследования Службе информационной безопасности или иному назначенному уполномоченному лицу, ответственному за подготовку материалов; руководителю организации при принятии управленческих решений; юрисконсульту при необходимости взаимодействия с регуляторами и контрагентами; службе эксплуатации ИТ и кадровому подразделению как источнику данных для дальнейших действий и документов.
Когда акт обязателен Обязательное оформление акта - при инцидентах информационной безопасности, в том числе тех, которые требуют уведомления по установленному порядку, например в случаях, указанных в ч. 3.1 ст. 21 152-ФЗ; акт документирует обстоятельства, оценку последствий и принятые меры.
Обоснование и риск ненадлежащего оформления Недостоверное или отсутствующее документирование факта инцидента повышает риск административной ответственности при неуведомлении или при наличии признаков утечки персональных данных; при соответствующих обстоятельствах возможны санкции по ст. 13.11 КоАП.
Когда акт желателен, но не обязателен по норме Рекомендуется оформлять акт при подозрении на компрометацию учетных записей, при сбоях критичных сервисов, при инцидентах с участием подрядчиков и при подозрении на массовую утечку данных для фиксации хронологии и обоснования принятых мер.
Когда акт не подходит вместо других документов Акт расследования не заменяет кадровые процедуры и документы для наложения дисциплинарных взысканий; в кадровой части обязательное объяснение работника оформляется отдельно, см. нормы трудового права.
Особенности применения для малых организаций и филиалов Для малых юрлиц и филиалов принципиально сохраняется необходимость фиксировать инциденты, но содержание акта и набор приложений можно масштабировать под реальный ущерб и объем обрабатываемых данных; если организация не обрабатывает персональные данные и инцидент не затрагивает ИТ-инфраструктуру, акт может быть неактуален.
Связь акта с уведомлениями и регламентами взаимодействия Результат расследования служит основанием для уведомлений регуляторов и контрагентов, а также для дальнейших организационных и технических мер в соответствии со ст. 19 и ст. 21 152-ФЗ и с порядком взаимодействия при инцидентах, установленным профильными приказами.

06 Нормативная база

Нормативная база для Акта расследования инцидента ИБ

ч. 3.1 ст. 21 152-ФЗ обязанность уведомить уполномоченный орган о факте инцидента в течение 24 часов; акт расследования служит источником сведений для такого уведомления - даты обнаружения, факт вмешательства, сведения об обработке и принятых мерах
ст. 19 152-ФЗ требование документировать организационные и технические меры защиты и факты несанкционированного доступа; акт фиксирует обнаруженные уязвимости, скомпрометированные объекты и меры по локализации и восстановлению безопасности
приказ ФСТЭК № 21 регламентация порядка выявления и реагирования на инциденты информационной безопасности, в том числе сбор логов, анализ средств аутентификации и сохранение цепочки доказательств; акт должен содержать описание проведённых технических процедур и источников доказательств
приказ РКН № 187 от 14.11.2022 порядок взаимодействия с регулятором и операторами при инцидентах; акт необходим для фиксации этапов взаимодействия, контактных лиц, переданных материалов и сроков обмена информацией
ч. 11 ст. 13.11 КоАП административная ответственность за несвоевременное уведомление уполномоченных органов; акт должен документировать хронологию обнаружения и даты направленных уведомлений для доказательства соблюдения сроков
ч. 12 - 14 ст. 13.11 КоАП правовые последствия при признании события утечкой персональных данных; акт расследования обязан содержать оценку эффективности обезличивания и, при возможности, оценку числа затронутых субъектов для квалификации инцидента
ст. 192, 193 ТК РФ возможность применения дисциплинарных мер и необходимость получения объяснений от сотрудников; акт фиксирует вовлечённых работников, их объяснения и основания для дисциплинарных процедур

08 Внедрение

Шаги внедрения акта расследования инцидента информационной безопасности

Краткая последовательность от принятия решения о расследовании до передачи утверждённого акта для внутренней проверки и исполнения мер. Каждый шаг содержит исполнителя и конкретный результат на выходе.

1. Назначение расследовательной группы и оформление приказа Руководитель организации назначает ответственных за расследование и утверждает приказ о проведении расследования инцидента. На выходе - документ «Приказ о проведении расследования инцидента информационной безопасности» и запись в журнале инцидентов.
2. Сбор и закрепление первичных материалов Служба информационной безопасности совместно с технической поддержкой собирает первичные данные и фиксирует их местонахождение и целостность. На выходе - папка дела с перечнем материалов и реестром изъятых/экспортированных артефактов (без детального перечисления содержимого).
3. Анализ инцидента и подготовка проекта акта Команда расследования анализирует хронологию, причину, масштаб затронутых данных и принятые меры, формирует структуру и текст проекта акта расследования. На выходе - проект «Акт расследования инцидента информационной безопасности» с разделами: хронология, перечень затронутых данных, оценка вреда, выводы и рекомендации.
4. Уведомление регулятора и согласование правовых аспектов Юридическая служба согласует проект уведомления регулятору и проверяет сроки информирования. Подготовленный проект уведомления направляется руководителю для утверждения и отправки в установленный срок. На выходе - проект уведомления регулятору и протокол согласования.
5. Утверждение акта, принятие мер и передача на проверку Руководитель утверждает акт и при необходимости издаёт приказ о корректирующих мерах и дисциплинарных действиях. Формируется комплект для внутренней проверки: утверждённый акт, приказ о мерах, запись в журнале инцидентов, проект уведомления регулятору, реестр затронутых данных. На выходе - комплект документов для проверки и контрольная карточка исполнения мер.

09 Актуализация

Поводы для составления и актуализации акта расследования инцидента информационной безопасности

Краткий перечень конкретных поводов для составления или пересмотра акта расследования инцидента информационной безопасности. Для каждого повода указано требуемое действие и релевантные нормативные источники.

Зафиксирован инцидент информационной безопасности Акт должен быть составлен при подтверждённом или вероятном инциденте для документирования обстоятельств, причин и принятых мер; подготовку проводит служба информационной безопасности или иное уполномоченное лицо, утверждает руководитель организации. Назначить группу расследования, зафиксировать первичные материалы и подготовить проект акта для утверждения.
Необходимость уведомления регуляторов или субъектов данных Если инцидент подпадает под обязанность уведомления, акт оформляют оперативно и включают материалы, необходимые для уведомлений в установленные законом сроки, в том числе для уведомления в течение 24 часов при соответствующем составе инцидента. Собрать подтверждающие материалы и подготовить пакет для уведомления ответственных органов и при необходимости для информирования затронутых субъектов.
Признаки неправомерного доступа или сомнения в обезличивании При обнаружении признаков несанкционированного доступа или если обезличивание вызывает сомнения, акт служит основанием для углублённого анализа, сохранения журналов и подготовки материалов для возможной квалификации события как утечки. Зафиксировать и обеспечить сохранность логов, собрать технические артефакты и инициировать судебно-техническую экспертизу при необходимости.
Необходимость взаимодействия с операторами или регуляторами Если расследование требует обмена сведениями с операторами связи или регулятором по установленным процедурам, акт оформляют так, чтобы он содержал комплект доказательств и назначение ответственных за взаимодействие. Подготовить акт с приложениями и назначить контактных лиц для взаимодействия в рамках установленного порядка.
Служебные нарушения и необходимость дисциплинарных мер Когда расследование выявляет возможные нарушения служебных обязанностей сотрудниками, акт оформляют с указанием фактов для получения объяснений и принятия дисциплинарных мер в соответствии с трудовым законодательством. Документировать обстоятельства, запросить письменные объяснения у причастных сотрудников и передать материалы в службу кадров при необходимости.

10 Проверка

Инспектор проверит

Документы и материалы проверки, которые проверяющий запросит по акту расследования инцидента информационной безопасности.

Вопрос 01 «Предъявите акт расследования инцидента информационной безопасности.»
Вопрос 02 «Предоставьте подтверждение направления уведомления в уполномоченные органы в установленные сроки.»
Вопрос 03 «Предъявите материалы, подтверждающие характер и объем доступа к персональным данным.»
Вопрос 04 «Предоставьте документы, подтверждающие принятые меры по локализации и устранению последствий инцидента.»
Вопрос 05 «Предъявите сведения о работниках, у которых выявлена вина, и о принятых кадровых мерах.»

Инспектор при проверке, может запросить:

акт расследования инцидента информационной безопасности в окончательной редакции с датой и подписью утверждающего
копии направленных уведомлений и отметки о дате и времени направления
журналы доступа и аудита, выгрузки системных логов и протоколы сетевого трафика, относящиеся к инциденту
приказы и распоряжения по локализации, планы и отчеты по устранению последствий, реестр выполненных мер
служебные объяснения работников, материалы служебной проверки и приказы о дисциплинарных взысканиях

11 Экспертная позиция

Ключевой риск и практический приём

Акт расследования - центральный внутренний документ фиксации фактов, причин и принятых мер. Неочевидный риск: при отсутствии строгой хронологии и неизменяемого набора доказательств техническая реакция превращается в предмет административных или кадровых претензий. В акте должны быть: краткая сводка, хронология событий с отметками времени и ответственными, перечень пострадавших систем и категорий данных, выводы по корневой причине, описание локализации и восстановления, перечень доказательств с указанием их места хранения, решение по уведомлениям и основания дисциплинарных действий. Частые ошибки - неподписанные версии акта, разрозненные логи без привязки к событиям, смешение технических выводов с кадровыми решениями, потеря volatile-данных. Рабочий прием: иметь утверждённый шаблон акта с чеклистом обязательных доказательств и хранить копии в непротивопоставимом репозитории с журналом доступа.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - Акт расследования инцидента информационной безопасности

Акт - внутренний документ, фиксирующий факт инцидента, хронологию событий, результаты анализа причин, перечень затронутых данных и принятых мер. Его оформляют при наступлении инцидента информационной безопасности; подготовку обеспечивает служба информационной безопасности или другое уполномоченное лицо, утверждает руководитель организации. При оформлении учитывайте требование об оперативном уведомлении уполномоченных органов.

Заказать акт расследования инцидента информационной безопасности

Закажите подготовку внутреннего акта расследования инцидента и комплект сопутствующих документов для оформления факта, хронологии, доказательств, оценки затронутых данных и принятых мер. В комплект входят приказ о назначении комиссии, журнал регистрации инцидентов, форма фиксации доказательств, образцы объяснений сотрудников, рекомендации по уведомлению и взаимодействию, а также адаптация локальных нормативных актов. Документ оформляет служба информационной безопасности или уполномоченное лицо, утверждает руководитель организации.

Заказать акт и комплект документов

Акт расследования инцидента информационной безопасности

Акт расследования инцидента информационной безопасности

Ответственность за утечку и ненадлежащее расследование инцидента ИБ

Как ещё называют этот документ

Содержание акта расследования

Кому и в каких случаях нужен акт расследования инцидента ИБ

Нормативная база для Акта расследования инцидента ИБ

Сопутствующие документы и ссылки

Связанные документы

Шаги внедрения акта расследования инцидента информационной безопасности

Поводы для составления и актуализации акта расследования инцидента информационной безопасности

Инспектор проверит

Ключевой риск и практический приём

Частые вопросы - Акт расследования инцидента информационной безопасности

База знаний содержит 268 документов

Заказать акт расследования инцидента информационной безопасности

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями