План реагування на кіберінциденти: ролі, кроки і перші 24 години

Криза — найгірший момент, аби вигадувати процедуру. Коли системи шифрують, а дані витікають, рішення ухвалюють за хвилини, і рятує єдине: заздалегідь написаний документ, який відповідає — хто, як і після кого діє. Розберемо, із чого він складається, як перевірити його дієвість і чому найкращі документи цього типу вміщаються у два десятки сторінок.

Що таке план реагування на кіберінциденти

Це письмовий порядок дій, який замінює паніку керованою процедурою. Він не робить компанію невразливою — він скорочує час між «здається, нас зламали» і першою правильною дією. Саме цей проміжок визначає, чи стане атака прикрим випадком, чи катастрофою.

Хто виконує документ — окрема тема: ролі команди й самі дії розібрано у матеріалі як працює CSIRT. Тут — саме документ.

Із чого складається документ

• Сфера дії. Які системи, майданчики й підрядники охоплені.
• Класифікація. Які випадки вважаються інцидентом і які рівні критичності існують.
• Тригер активації. Хто й за яких ознак оголошує кризовий режим.
• Ролі, повноваження, дублери. Хто координує, хто виконує, хто говорить назовні, хто має право зупинити сервіс.
• Контакти. Внутрішні й зовнішні, доступні цілодобово та офлайн.
• Сценарії опрацювання типових випадків.
• Правила комунікації. Хто, коли й якими словами інформує керівництво, персонал, клієнтів, регулятора.
• Вимоги щодо збереження доказів. Аби журнали не затерли, а розслідування лишилося можливим.
• Порядок розбору після завершення — і порядок перегляду самого документа.

Обсяг має значення. Регламент завтовшки із дипломну роботу о третій ночі лишиться нечитаним. Робочий орієнтир — 15–25 сторінок ядра плюс окремі однобічні сценарії.

Хто пише документ

Автор — ані найманий консультант, ані найкращий інженер, а людина, яка потім координуватиме кризу. Консультант дає каркас і чужий досвід; інженер — технічну точність; але текст, під яким ніхто зсередини не підписався, лишається чужим і мертвим. Робоча схема: каркас — ззовні, наповнення — усередині, перевірка — навчаннями.

Реалістичний строк для середньої компанії — чотири–шість тижнів: тиждень інтерв'ю, два тижні чернетки й узгоджень, тиждень навчань і правок. Спроба зробити все за вихідні дає красивий файл, якого ніхто не визнає своїм.

Найдовше узгоджуються повноваження. Питання «хто має право зупинити продажі» відкриває розмову, якої компанії уникають роками.

Чого у документі бути не повинно

• Технічних інструкцій рівня конкретних команд. Вони застаріють швидше, ніж текст надрукують; тримайте їх окремими додатками.
• Обіцянок, яких компанія не виконає. «Реакція за 15 хвилин цілодобово» без нічної зміни — самообман, зафіксований письмово.
• Порожніх формулювань. «Вжити всіх належних заходів» — рядок безадресний і безкорисний.
• Зайвих персональних відомостей. Копію роздруковують і носять із собою: імена й посади потрібні, домашні адреси — ні.

Класифікація й тригер активації

Без класифікації документ мертвий: незрозуміло, коли його взагалі відкривати. Мінімальна шкала — чотири рівні:

Головне тут — ім'я людини, яка натискає кнопку. Якщо тригер сформульовано безособово («у разі виявлення суттєвої загрози»), режим не оголосить ніхто: усі чекатимуть, доки хтось інший візьме відповідальність.

Ролі, повноваження й дублери

Ролі команди описано окремо. Документ додає три речі, яких сама команда не дає.

1. Повноваження, записані заздалегідь. Хто саме має право вимкнути платіжний шлюз чи зупинити відвантаження. Якщо це рішення ухвалює власник, а власник у літаку — атака виграє шість годин.
2. Дублер для кожної ролі. Координатор буває у відпустці, адміністратор — на лікарняному. Роль без заступника — гарантована пауза.
3. Межа самостійності. Які дії технічна команда виконує без узгодження (ізолювати робочу станцію), а які — лише за дозволом (зупинити виробничу лінію).

Як сигнал тривоги стає підтвердженою загрозою — у матеріалі як влаштований тріаж.

Контакти, які працюють, коли нічого не працює

Найтиповіша поразка гарного документа: він лежить у мережевій теці, яку щойно зашифрували. Або відкривається лише через корпоративний портал, недоступний уже другу годину.

Тому:

• офлайн-копія — роздрукована, у сейфі й удома у координатора;
• запасний канал зв'язку. Корпоративну пошту може читати зловмисник. Обговорювати там хід дій — однаково, як радитися вголос у присутності грабіжника. Домовтеся заздалегідь: окремий месенджер або телефонна конференція;
• зовнішній перелік: підрядник із кіберзахисту, провайдер, банк, страховик, юрист, CERT-UA;
• щоквартальна перевірка контактів. Половина телефонів «протухає» за рік.

Сценарії опрацювання типових випадків

Ядро документа — загальне. Практична цінність — у коротких сценаріях, кожен обсягом одна сторінка:

• шифрувальник — ізоляція, оцінка охоплення резервних копій, рішення щодо виплати (заздалегідь: ні), відновлення;
• витік даних — оцінка обсягу, фіксація доказів, комунікація (див. витік даних: куди звертатися);
• компрометація поштової скриньки — перевірка правил пересилання, скидання сеансів, аудит вихідних листів;
• відмова сервісу — фільтрація, зв'язок із провайдером, повідомлення клієнтам;
• інсайдер — обмеження доступів без попередження, залучення кадрової служби й юриста.

Сценарій пишеться під конкретну компанію. Універсальний шаблон із інтернету дає ілюзію готовності, а не готовність.

Резервні копії — частина документа

Регламент мусить містити три цифри:

• скільки даних компанія готова втратити — глибина припустимої втрати;
• скільки часу критичний сервіс може лишатися недоступним — межа простою;
• де лежить копія, недосяжна для шифрувальника — офлайн або незмінна.

Третій рядок вирішальний. Копія, підключена мережевим диском, шифрується разом із бойовою системою — і компанія дізнається це рівно тоді, коли рятувати вже нічим.

Комунікаційні заготовки

Половина часу під час кризи йде пошуком формулювань. Тому заготовки пишуть заздалегідь:

• лист персоналу — чого робити не можна просто зараз;
• лист клієнтам — факти, наслідки, наступний крок, час наступного оновлення;
• відповідь журналістові — одне речення й ім'я спікера;
• шаблон звернення CERT-UA — коли виявили, які ознаки, які системи, які індикатори.

Заготовка економить не текст — вона економить узгодження. Порожній аркуш о третій ночі узгоджують годину, готовий абзац — п'ять хвилин.

Перші 24 години

Перший рядок таблиці містить головне застереження документа: не вимикати живлення. Вимкнення знищує вміст оперативної пам'яті — активні з'єднання, процеси, іноді ключі шифрування.

Кого проінформувати

Усередині організації першим дізнається відповідальний за захист інформації та кіберзахист — окрема особа або підрозділ, — а слідом керівництво. Саме такий порядок стоїть за поширеним запитанням — кого необхідно проінформувати про інциденти кібербезпеки в ІКС, що можуть призвести до витоку ІзОД: спершу власна служба захисту інформації, далі зовнішні адресати за встановленим порядком.

Зовнішні адресати:

• CERT-UA (cert.gov.ua) — урядова команда реагування у складі Держспецзв'язку. Основний адресат повідомлень;
• НКЦК — якщо наслідки здатні виявитися критичними для держави;
• кіберполіція — за наявності ознак кримінального правопорушення.

Хто є хто серед державних установ — у довіднику держорганів.

Обов'язок чи добра воля

Різниця принципова. Постановою Кабінету Міністрів № 1533 від 26.11.2025 затверджено Національний план реагування на кіберінциденти, кібератаки та кіберзагрози (попередню постанову № 299 скасовано). Для власників державних інформаційних ресурсів і операторів критичної інфраструктури повідомлення профільній команді — обов'язок із коротким строком, який відлічують від моменту виявлення.

Звичайна приватна компанія поза цим переліком такого обов'язку не має. Повідомити все одно варто: CERT-UA дасть індикатори, підкаже, чи вписується випадок у відому кампанію, і зафіксує звернення — воно знадобиться згодом, якщо справа дійде поліції чи страховика.

Міжнародні орієнтири

Найвідоміший посібник з реагування на інциденти комп'ютерної безпеки — NIST SP 800-61. Тут є нюанс, якого майже ніхто не помічає.

Класична редакція Rev. 2 (Computer Security Incident Handling Guide) описувала чотирифазний цикл: підготовка → виявлення й аналіз → локалізація, усунення, відновлення → післяінцидентна діяльність. Саме її переказує більшість статей. Але 3 квітня 2025 року інститут скасував Rev. 2 і випустив Rev. 3 — Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile.

Зміна не косметична:

• звичний чотирифазний цикл скасовано; замість нього — шість функцій Cybersecurity Framework 2.0 (Govern, Identify, Protect, Detect, Respond, Recover);
• документ став орієнтиром для керівників, а не покроковою настановою. Хто шукає nist посібник з реагування на інциденти комп'ютерної безпеки як покрокову інструкцію, у Rev. 3 її вже не знайде;
• усе це трактується як частина управління кіберризиками, а не окремий процес окремої команди.

Практичний висновок: якщо ваш регламент дослівно переказує чотири фази Rev. 2, його фундамент — скасований документ. Модель процесу описує також ISO/IEC 27035, а безперервність роботи під час кризи — ISO 22301.

Як перевірити, чи документ живий

Написаний і не перевірений регламент — художня література. Перевіряють його настільними навчаннями (tabletop): команда збирається, ведучий зачитує легенду, учасники вголос кажуть, як діяли б.

• частота — двічі щороку, плюс після кожної суттєвої зміни інфраструктури;
• тривалість — дві години, не більше;
• склад — обов'язково керівництво й комунікації, а не самі лише технічні фахівці;
• легенда — реалістична: шифрувальник уночі проти п'ятниці, координатор недоступний.

Ведучий участі не бере: він лише підкидає ускладнення — «підрядник недоступний», «журнали за минулий тиждень уже перезаписані», «журналіст телефонує директорові». Саме ускладнення виявляють діри; гладкий сценарій тішить самолюбство, а користі дає нуль.

Критерій провалу простий і жорстокий: якщо за п'ятнадцять хвилин ніхто не назвав телефон підрядника, документ не працює. Фіксуйте не «успішність», а знайдені прогалини — саме вони і є результатом навчань.

Власник документа й перегляд версій

Документ має власника — конкретну посаду, яка відповідає за його актуальність. Без власника регламент застаріває мовчки.

Три поштовхи, після яких текст переглядають:

• суттєва зміна інфраструктури: новий критичний сервіс, переїзд у хмару, нова філія;
• кадрові зміни серед відповідальних;
• будь-який реальний випадок, навіть дрібний.

Кожна версія має номер і дату. Роздрукована копія без дати — головна причина, чому команда телефонує підряднику, якого змінили торік.

П'ять причин, чому регламенти не спрацьовують

Документи є майже у всіх, працюють — у меншості. Причини повторюються скрізь однаково.

1. Лежить там, куди немає доступу. Мережева тека, зашифрована першою.
2. Контакти застаріли. Підрядник змінив номер, відповідальний звільнився.
3. Немає дублерів. Одна людина у відпустці — процес зупинився.
4. Написаний під аудит, а не під кризу. Красиві формулювання, жодного телефону.
5. Ніколи не перевірявся. Перше навчання відбувається під час справжньої атаки.

Регламент, якого ніхто не читав, і регламент, якого немає, коштують однаково. Різниця з'являється лише після навчань.

Потрібен документ під вашу компанію? Фахівці допоможуть скласти регламент, розподілити ролі й провести перші навчання — отримати консультацію.