План действий при обнаружении утечки персональных данных: как составить, требования

Статус рекомендуемый, критичный на практике
Основание ч. 3.1 ст. 21 и ст. 19 Федерального закона 152-ФЗ
Период реакции первичный сценарий 24 часа, расширенное расследование до 72 часов, 24 часа - уведомление при подтверждении
Кто утверждает руководитель организации
Область применения все подразделения и информационные системы, обрабатывающие персональные данные
Публичность внутренний регламент для ответственных, не предназначен для публичного размещения
Юридические риски возможны административные санкции по ст. 13.11 КоАП при неуведомлении или повторной утечке

01 Назначение

План действий при обнаружении утечки персональных данных

Краткая инструкция для ответственных: область применения, сроки реакции, ключевые шаги и контроль документации

Назначение плана. План устанавливает упорядоченную последовательность действий при подозрении или подтверждении утечки персональных данных, чтобы сократить время реагирования и ограничить масштаб инцидента. Документ предназначен для внутренних ответственных лиц и служит основанием для оперативных приказов и взаимодействия подразделений.

Область применения и роли. Применяется ко всем подразделениям и информационным системам организации, где обрабатываются персональные данные. Ответственные за организацию обработки назначаются по подразделениям; утверждение плана и ключевых решений возлагается на руководителя организации. Для каждого инцидента фиксируют владельца расследования и контактные лица внутренних служб.

Первичный сценарий, 0 - 24 часа. В первые 24 часа проводят локализацию инцидента, первичную оценку объема затронутых данных и определяют, требует ли событие квалификации как утечки. На этом этапе ограничивают доступ к затронутым ресурсам, собирают технические записи для первичного анализа и оформляют начальную запись в журнале инцидентов. При подтверждении факта утечки выполняются обязательные уведомления в сроки, установленные нормативами.

Расширенное расследование и восстановление, 24 - 72 часа. Если инцидент подтвержден, проводят углубленное расследование до 72 часов с детальным анализом векторов, масштабов и причин. По итогам формируют мотивированное решение о восстановлении сервисов, корректирующих организациях и технических мерах, оформляют протокол расследования и приказы об изменении прав доступа. При необходимости организуют взаимодействие с внешними органами в порядке, предусмотренном регламентами.

Документация, контроль и типичные ошибки. Поддерживайте единый реестр инцидентов, протоколы расследования и записи об утверждении решений руководителем; эти документы используются для внутреннего контроля и аудита. Частые ошибки - несвоевременное подтверждение статуса утечки, неполная фиксация следов в технических записях, объявление обезличивания без верификации и отсутствие согласованного взаимодействия между подразделениями. План регулярно обновляют на основании разбора инцидентов и изменений нормативного регулирования.

Раскрыть полностью

02 Ответственность

Ответственность за утечку персональных данных при инцидентах, затрагивающих 1 000 - 10 000 субъектов

ч. 12 ст. 13.11 КоАП РФ - утечка данных 1 000 - 10 000 субъектов

Юридическое лицо 3 000 000 - 5 000 000 ₽
Должностное лицо 200 000 - 400 000 ₽
Физическое лицо (гражданин) 100 000 - 200 000 ₽

Приведённые суммы применимы при квалификации события как утечки персональных данных, затрагивающей от 1 000 до 10 000 лиц. Отсутствие рабочего плана действий, задержка с подтверждением инцидента или несвоевременное уведомление уполномоченных органов повышают риск привлечения по этой части КоАП. При недостаточной обезличенности данных, при непредставлении уведомления в установленный законом срок и при повторных инцидентах возможны дополнительные санкции. Типичные ошибки операторов: формальная фиксация инцидента без доказательной базы, отсутствие оперативной верификации и журнала действий, незадокументированные коммуникации с контрагентами. Рекомендация: поддерживать регламент с 24-часовым первичным ответом и фиксировать все действия для снижения риска квалификации и смягчения последствий.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткий набор названий и поисковых формулировок для внутреннего плана реагирования на утечку персональных данных. В первые минуты при подозрении действуют три приоритета: зафиксировать время обнаружения, остановить утечку, сохранить следы для расследования.

План действий при утечке персональных данных
Инструкция реагирования на утечку ПДн
Алгоритм действий при утечке персональных данных
Чек-лист при инциденте с персональными данными
Экстренный план при утечке ПДн
Пошаговый план при обнаружении утечки данных
Дорожная карта расследования и уведомления о утечке ПДн
Порядок первичных действий при подозрении на утечку ПДн
План уведомления и минимизации при утечке персональных данных

04 Обязательное содержание

Чеклист содержания плана действий при утечке ПДн

Краткий перечень разделов и элементов документа, необходимых для оперативной реакции, юридической защиты и взаимодействия с контролирующими органами.

Утверждение и область действия Указано лицо, утверждающее план (руководитель организации), и чётко описаны подразделения и информационные системы, к которым план применяется.
Роли, полномочия и контакты ответственных Список назначенных ролей (ответственный за организацию обработки, служба ИБ, юридическая служба, служба связей с общественностью), их основные обязанности и телефоны/электронные адреса для экстренной связи.
Критерии обнаружения и классификация инцидента Пороговые признаки утечки, критерии оценки масштаба по числу затронутых субъектов и степень риска для прав и свобод, включая правила оценки обезличивания в спорных случаях.
Сроки реакции и уведомления Первичный сценарий реакции c указанием временных рамок (первичные мероприятия в 24 часа, расширенное расследование до 72 часов) и порядок уведомления уполномоченных лиц и органов при подтверждении факта утечки.
Алгоритм расследования и сохраняемые доказательства Пошаговый порядок расследования, перечень обязательных действий по сохранению логов и цепочки владения доказательствами, а также правила взаимодействия с внешними органами при инцидентах.
Меры по локализации и устранению последствий Перечень организационно-технических мер по ограничению распространения данных и восстановлению сервисов, включая требования к управлению средствами аутентификации и доступом.
Учёт инцидента, разбор и правовые последствия Требования к реестру инцидентов, форме итогового отчёта и ведомственным разборкам, а также указание правовых рисков и возможных санкций при неуведомлении или повторных нарушениях.

05 Применимость

Применимость плана действий при утечке ПДн

Краткие критерии, кому и в каких случаях нужен внутренний План действий при обнаружении утечки персональных данных. Учтены статус документа, сроки реакции и взаимодействие с контролирующими органами.

Область применения Внутренний регламент для всех подразделений и информационных систем организации, которые обрабатывают персональные данные. План распространяется на сотрудников, ответственных за обработку, ИТ-персонал и службы безопасности; утверждается руководителем организации.
Статус документа и степень необходимости Рекомендуемый документ, при этом критичен на практике для обеспечения своевременной реакции и минимизации рисков административной ответственности. Наличие плана снижает операционные и юридические риски при подтверждении инцидента.
Когда план обязателен у организаций с обязанностью уведомлять У организаций, для которых законодательством установлена обязанность уведомлять контролирующие органы о факте неправомерного доступа или инциденте, План должен предусматривать процедуры для обеспечения уведомления в установленные сроки и взаимодействия с органами реагирования.
Ключевые случаи применения плана План обязателен при подтверждённом несанкционированном доступе к персональным данным, массовой утечке информации, сомнительном обезличивании данных и при повторных инцидентах. План должен учитывать разную масштабность инцидента и сценарии взаимодействия с контролирующими органами.
Взаимодействие с регуляторами и сторонними службами Если инцидент требует координации с государственными органами или операторами связи, применяются установленные регламентами механизмы взаимодействия; План должен содержать контакты, последовательность обмена информацией и роли ответственных.
Особенности для филиалов, малых операторов и распределённых инфраструктур Для организаций с филиальной сетью или несколькими автономными подразделениями рекомендуется централизованная версия Плана с локальными приложениями, адаптированными под масштаб и ресурсы каждого подразделения. Малые операторы могут масштабировать процедуры и упрощать форматы оперативной реакции при сохранении ключевых этапов расследования и уведомления.
Когда нужен другой документ комплекта План не заменяет отдельные документы: регламент взаимодействия с контролирующими органами, инструкции по публичным коммуникациям и шаблоны уведомлений субъектов персональных данных оформляются отдельно и интегрируются в План как приложения.

06 Нормативная база

Нормативы, применимые к плану действий при обнаружении утечки ПДн

ч. 3.1 ст. 21 152-ФЗ обязанность уведомить уполномоченный орган при установлении факта нарушения конфиденциальности в срок 24 часа; для плана - фиксировать триггеры уведомления, регламентировать первичное реагирование в первые 24 часа, порядок расширенного расследования до 72 часов и документирование решения об уведомлении и его основаниях.
ст. 19 152-ФЗ требования к организационным и техническим мерам защиты персональных данных, включая средства обнаружения неправомерного доступа и учёт событий; для плана - перечислить используемые средства мониторинга и логирования, минимальные сроки хранения доказательств, алгоритмы локализации утечки и меры по ограничению дальнейшего доступа.
приказ ФСТЭК № 21 рекомендации по выявлению и реагированию на инциденты информационной безопасности, в том числе по управлению средствами аутентификации и процедурам расследования; для плана - определить роли (инцидент-менеджер, техническая группа, юрист), этапы анализа причин, список операций по восстановлению и смене учётных данных.
приказ РКН № 187 от 14.11.2022 порядок взаимодействия с регулятором при инцидентах и требования к подаче уведомлений; для плана - включить шаблон уведомления, ответственных за связь с регулятором, перечень прилагаемых материалов и порядок подготовки комплекта для подачи в установленные регламентом сроки.
ч. 11 ст. 13.11 КоАП административная ответственность за несвоевременное или неполное уведомление - штрафы для юридических лиц; для плана - предусмотреть контрольные точки, процедуру подтверждения отправки уведомления и хранение доказательств уведомления.
ч. 12 - 14 ст. 13.11 КоАП повышенные санкции при массовых утечках с поэтапной шкалой в зависимости от количества пострадавших субъектов; для плана - обязательно включить методику быстрой оценки масштаба утечки по числу субъектов и сценарии эскалации мер и уведомлений в зависимости от шкалы.
ч. 15 ст. 13.11 КоАП усиленная ответственность при повторных нарушениях, в том числе крупные штрафы в процентах от выручки; для плана - ввести контроль повторных инцидентов, хранение отчётности о принятых мерах и процедуры внутренней проверки исполнения корректирующих мер.
ч. 12 ст. 13.11 КоАП РФ - утечка данных 1 000 - 10 000 субъектов конкретная шкала санкций для инцидентов с числом пострадавших от 1 000 до 10 000 человек; для плана - учесть этот диапазон при классификации инцидента, расчёте потенциального ущерба и подготовке уведомлений и материалов для регулятора.

08 Внедрение

Внедрение плана действий при обнаружении утечки персональных данных

Пошаговая инструкция от обнаружения инцидента до закрытия расследования. Применяется ко всем подразделениям и ИС, обрабатывающим ПДн; утверждается руководителем организации.

1. Фиксация факта и локализация Служба информационной безопасности фиксирует первичные признаки утечки, блокирует скомпрометированные каналы и сохраняет исходные данные. Результат - запись в журнале инцидентов и временная блокировка затронутых аккаунтов.
2. Созыв оперативной группы и назначение ответственных Руководитель организации или уполномоченное лицо формирует оперативную группу, назначает ответственного за расследование и контактное лицо для внешних обращений. Результат - приказ об образовании оперативной группы и список участников.
3. Первичная оценка объема и категории пострадавших данных ИТ и ответственный за обработку ПДн проводят быструю оценку объема и типа данных, определяют вероятное число затронутых субъектов и степень риска. Результат - акт первичной оценки инцидента с указанием категории данных и ориентировочной численности.
4. Решение по уведомлению регулятора и субъектов ПДн При подтверждении факта утечки оперативная группа принимает решение об уведомлении оператора и/или субъектов ПДн в установленный срок, готовит текст уведомления и фиксирует отправку. Результат - сформированное уведомление и подтверждение отправки в течение 24 часов при необходимости.
5. Подробное расследование и сбор доказательств ИТ и ИБ проводят углубленное техническое расследование, собирают логи, снимки состояния систем и сохраняют копии доказательств в защищённом архиве. Результат - пакет доказательств и отчёт расследования с приложенными логами.
6. Оценка вреда, корректирующие и предотвращающие меры Ответственный за обработку и ИБ оценивают возможный вред, принимают меры по снижению рисков, восстанавливают работу систем и при необходимости проводят обезличивание данных. Результат - план корректирующих действий и акт выполненных мер.
7. Закрытие инцидента, отчётность и хранение материалов Оперативная группа оформляет итоговый отчёт, вносит запись в журнал инцидентов, передаёт материалы руководителю и юридическому отделу для хранения и возможного взаимодействия с контролирующими органами. Результат - итоговый отчёт и архив дела, готовый к проверке.

09 Актуализация

Поводы для обновления плана действий при утечке ПДн

План обновляют по конкретным событиям и изменениям, которые влияют на способность быстро локализовать инцидент, оценить масштаб и выполнить уведомления. Обновления должны исправлять реальные ошибки, восстанавливать актуальность контактов и соответствовать требованиям регуляторов.

Подтверждённый инцидент с утечкой При подтверждении факта неправомерного доступа или утечки - незамедлительная правка сценариев уведомления, оценки масштаба и назначений. Уточняются критерии подтверждения, ответственные за подачу уведомления и сроки действий по первичному сценарию и расширенному расследованию. Обновить раздел уведомлений и очередность действий, закрепить контакт для подачи уведомления в пределах 24 часов; согласовать правки с юридическим отделом.
Реальный инцидент или учение показали пробелы После реального случая или плановой тренировки фиксируются места задержек, лишние шаги и недостающие роли. Вносятся оперативные корректировки в этапы локализации, коммуникации и оценки воздействия, а также проверяется доступность артефактов для расследования. Внести корректировки в шаги локализации и коммуникации, обновить чеклисты оперативной группы и провести повторный прогон.
Изменения персонала, контактов и заместителей Кадровые перестановки среди ответственных, смена телефонов или почт делают план нефункциональным. Актуальность контактов и назначение заместителей критичны для срабатывания плана в первые часы. Внести правки в раздел ролей и контактных данных в день изменения, при необходимости издать приказ об утверждении новых назначений.
Появление новых ИС, облачных сервисов или подрядчиков Подключение новой информационной системы, передача обработки подрядчику или использование облачных сервисов меняют точки доступа к данным и сценарии сдерживания. План дополняют маршрутами доступа, правилами взаимодействия с подрядчиками и мерами по снижению риска. Добавить ИС и контракты в реестр, скорректировать шаги по изоляции и по контролю доступов, включить требования к подрядчикам в соглашения.
Изменение журналирования и сроков хранения логов Если изменились состав или сроки хранения журналов, это влияет на возможность установить причину и масштаб инцидента в указанные сроки. План сверяется с фактическими возможностями по сбору и сохранению событий. Сверить требования расследования с политикой логирования, скорректировать требования к сохранению событий и обеспечить доступ оперативной группе.

10 Проверка

Инспектор проверит действия и доказательства по Плану действий при обнаружении утечки ПДн

Документы и материалы, которые инспектор проверит при контрольной проверке исполнения Плана действий при обнаружении утечки персональных данных.

Вопрос 01 «Предъявите утверждённую руководителем редакцию Плана действий при обнаружении утечки персональных данных и документ об утверждении.»
Вопрос 02 «Предъявите материалы первичного реагирования и регистрации инцидента с отметками времени и ответственными лицами.»
Вопрос 03 «Предъявите подтверждения уведомления уполномоченного органа и субъектов персональных данных, если уведомление проводилось.»
Вопрос 04 «Предъявите материалы оценки объёма и характера утекших персональных данных и принятых мер по локализации инцидента.»
Вопрос 05 «Предъявите результаты анализа причин инцидента и план корректирующих и предупреждающих мер с подтверждением их исполнения.»

Инспектор при проверке, может запросить:

утверждённую руководителем редакцию Плана действий при обнаружении утечки персональных данных, приказ об утверждении, приказ или распоряжение о назначении ответственных за реагирование
журнал регистрации инцидентов, карточки первичного расследования с указанием времени обнаружения и начала реагирования, хронология действий за первые 24 часа
запись уведомления в уполномоченный орган, копии уведомлений субъектам персональных данных или реестр рассылки, протоколы взаимодействия с регулятором
акт оценки объёма и характера утекших персональных данных, протоколы изоляции источника утечки, журналы блокировки и изменения прав доступа, отчёты по восстановлению и предотвращению распространения
отчёт по результатам расследования с установленными причинами, план корректирующих и предупреждающих мер, протоколы проверки выполнения и тестирования внедрённых мер

11 Экспертная позиция

Приоритеты при реакции на утечку ПДн

Ключевой риск - потеря времени на попытки подтвердить весь объём данных вместо срочной локализации и сохранения доказательств. Разбейте первые 24 часа на этапы: немедленная изоляция и ограничение доступа, форензик с созданием имиджей и сохранением логов с цепочкой владения, оперативная оценка масштаба для решения об уведомлении. Назначьте ответственного за инцидент и централизуйте внешние коммуникации, это уменьшает риск неуведомления и позволяет соблюсти регламентированные сроки.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по плану действий при утечке ПДн

Зафиксировать время и способ обнаружения, изолировать затронутые системы и приостановить дальнейшую потерю данных, сохранить журналы и другие цифровые следы, запустить первичное расследование и оценить масштаб инцидента, уведомить руководителя и ответственных за обработку. На основании первичной оценки принять решение о необходимости уведомления регуляторов и затронутых субъектов.

Заказать план действий при утечке персональных данных

Закажите готовый план действий при утечке персональных данных в составе комплекта документов для внутренних ответственных и руководства. В комплект входят: план на первые 15 минут и сценарии на 24 и 72 часа, проект приказа руководителя, журнал регистрации инцидентов, шаблоны уведомлений контролирующим органам и субъектам, чеклист по сбору доказательств (скриншоты, логи, экспорт данных), распределение ролей и контактные карточки ответственных. Документ адаптируем под ваши подразделения и информационные системы, включая проект локальных нормативных актов.

Заказать план в комплекте с документами

План действий при обнаружении утечки персональных данных