Подрядчик сообщил о подозрительном доступе к облаку, а заказчик не знает, кто оператор и кого затронуло событие. Сначала сохраните следы и ограничьте продолжающийся доступ, не уничтожая журналы. Условный сценарий не требует реальных уведомлений или атак; он задаёт порядок юридического и организационного решения.
Определите систему, категории субъектов, фактическое нарушение и момент его установления. Зафиксируйте, что известно, что сообщает подрядчик и что ещё проверяется. Не подменяйте отсчёт обязательного уведомления датой удобного окончательного отчёта. Применимость сроков 24/72 часа и взаимодействия с органами проверяется по текущей статье 21 и специальному порядку в главе инцидента; любое техническое событие не тождественно установленному нарушению прав субъектов.
Кто определял цель, состав данных и операции, устанавливают по фактам вместе с договором. Компания не снимает свою роль оператора фразой «хранил подрядчик». Обработчик обязан сообщать оператору предусмотренные сведения по поручению; стороны должны быстро согласовать единый реестр фактов, ответственного за каждое сообщение и порядок дополнений. При неизвестном объёме сохраняйте проверенные сведения и план уточнения вместо заведомо окончательной цифры. Не позволяйте несогласованной PR-рассылке раскрыть новые данные потерпевших.
Практика LinkedIn и обзор ВС от 27.09.2017 помогают проверить реальное управление и ошибочность вывода «договор компаний разрешает всё», но не заменяют новые нормы об уведомлениях и утечках. Сильное возражение подрядчика — событие произошло на стороне клиента или вне поручения. Его проверяют временной линией, правами доступа и неизменными логами. Договорные убытки и ответственность перед субъектами/органом различаются; нельзя заранее переложить административный штраф целиком без исследования оснований.
Исполнимый результат: сохранённые доказательства, остановленный доступ, своевременные сообщения при установленной обязанности, уточнённый объём и причины, проверенное восстановление и контроль повторения. Закрытие инцидента требует подтверждённых действий и выводов, а не письма «всё исправлено» от поставщика.
Основания маршрута: Закон № 152-ФЗ: прочитанные статьи о жизненном цикле персональных данных, Учет инцидентов и взаимодействие с РКН: приказ № 187, Компьютерный инцидент и ГосСОПКА: приказ ФСБ № 77, КоАП: составы и санкции статьи 13.11. Точные положения, факты и пределы практики раскрыты в связанных главах; обстоятельства этого сценария условные.