План коммуникаций при кризисе: почему это основа ИБ, а не формальность

Роль плана коммуникаций в современной системе защиты информации

Когда в компании происходит инцидент информационной безопасности, техническое расследование — это лишь одна сторона медали. Другая, не менее важная, — это коммуникации. Организация, которая способна не только блокировать атаку, но и грамотно взаимодействовать с затронутыми лицами, партнёрами, регуляторами и общественностью, демонстрирует зрелость своих бизнес-процессов. Такая управляемость напрямую влияет на доверие контрагентов и снижает регуляторные риски.

В условиях российского законодательства, в первую очередь 152-ФЗ «О персональных данных», подход «разберёмся технически, а потом подумаем, что говорить» является уязвимостью. Требования регуляторов — Роскомнадзора как надзорного органа по 152-ФЗ и ФСТЭК России как органа по технической защите информации — подразумевают не только наличие средств защиты, но и доказательную базу контроля над процессами. Чёткий, отработанный план информирования становится одним из таких доказательств, превращаясь из формального пункта в проверочном листе в практический инструмент снижения ущерба.

Суть плана коммуникаций при инцидентах ИБ

Момент обнаружения инцидента создаёт две параллельные реальности: техническую, где специалисты анализируют векторы атаки и закрывают уязвимости, и информационную. Именно в информационном поле, пока идёт расследование, формируется нарратив события. Без заранее подготовленной стратегии это пространство заполняется домыслами, запросами из средств массовой информации и официальными требованиями от государственных органов.

План коммуникаций в кризисе — это заранее согласованный регламент, который определяет, что, когда, кому и в какой форме сообщать. Его цель — обеспечить управляемое, последовательное и правдивое информирование всех вовлечённых сторон, минимизируя панику, спекуляции и репутационный вред. Это позволяет юридическому департаменту и руководству работать на опережение, выполняя обязательства по информированию субъектов персональных данных (п. 2 ст. 18.1 152-ФЗ) и регуляторов, в то время как служба информационной безопасности фокусируется на устранении угрозы.

Рассмотрим практический пример: утечка базы данных клиентов. Технические специалисты работают над локализацией и оценкой масштаба. Одновременно, согласно плану, пресс-служба готовит первоначальный официальный комментарий для внешних запросов, юристы формируют уведомления для Роскомнадзора, а ответственный за работу с клиентами активирует подготовленные шаблоны обращений к пострадавшим пользователям. Такая слаженность не допускает противоречивых заявлений и демонстрирует регулятору, что компания контролирует ситуацию на всех уровнях.

С точки зрения требований ФСТЭК России, например, приказ № 239, который устанавливает требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры (КИИ), наличие планов реагирования на инциденты, включая коммуникационную составляющую, является обязательным. Для операторов персональных данных отсутствие такого регламента может быть квалифицировано Роскомнадзором как несоблюдение требований к организации обработки ПДн, что влечёт за собой риск предписаний и административной ответственности.

Структура рабочего документа: от политики к конкретным инструкциям

Эффективный план коммуникаций — это не абстрактная политика высокого уровня, а конкретный, адаптированный под организацию документ, которым можно пользоваться в условиях стресса и дефицита времени. Его ценность определяется детализацией и актуальностью контактов. Основу такого плана формируют три ключевых компонента, которые должны быть разработаны и согласованы заранее.

Чёткое распределение ролей и обязанностей

В момент кризиса нет времени на выяснение, кто уполномочен давать комментарии прессе или направлять уведомление в Роскомнадзор. План должен содержать именной список команды реагирования с дублёрами. Для каждой роли прописываются зоны ответственности. Например:

Руководитель группы по реагированию на инциденты ИБ (Computer Security Incident Response Team — CSIRT): принимает решение о запуске плана коммуникаций, координирует техническое расследование и предоставляет первичные факты для коммуникаций.
Пресс-секретарь/руководитель пресс-службы: единственный канал для взаимодействия со СМИ, готовит и согласовывает все внешние заявления, проводит брифинги.
Юрисконсульт по compliance и регуляторике: отвечает за подготовку и отправку обязательных уведомлений в Роскомнадзор, ФСТЭК России (если это субъект КИИ) и иные надзорные органы в установленные законом сроки.
Менеджер по работе с клиентами/партнёрами: организует информирование пострадавших сторон (субъектов ПДн, контрагентов) по заранее подготовленным, но персонализированным шаблонам.
Глава департамента внутренних коммуникаций: обеспечивает информирование сотрудников компании, чтобы предотвратить утечку непроверенной информации изнутри и сохранить работоспособность коллектива.

Также должен быть определён порядок эскалации и список лиц, принимающих ключевые решения (кризисный комитет), обычно в него входят топ-менеджеры компании.

Регламент информирования для каждой аудитории

Разные группы заинтересованных лиц требуют разного содержания, тона и формата коммуникации. План должен содержать отдельные разделы или матрицу с описанием, что и в какой последовательности сообщать.

Регуляторы (Роскомнадзор, ФСТЭК): Уведомление должно быть формальным, соответствовать требованиям конкретного нормативного акта. Для Роскомнадзора по 152-ФЗ важно указать характер и объём нарушенных ПДн, предположительные причины и уже принятые меры. Сроки информирования — строго в соответствии с законом. Шаблон такого уведомления должен быть частью приложения к плану.
Субъекты персональных данных (клиенты, пользователи): Сообщение должно быть понятным, не техническим, содержать факты о произошедшем, описание потенциальных рисков для субъекта, чёткие рекомендации по действиям (например, сменить пароль) и контакты для обратной связи. Важно соблюсти баланс между полнотой информации и избеганием излишней детализации, которая может помочь злоумышленникам.
Средства массовой информации: Подготавливается официальный пресс-релиз или заявление для всех медиа. Оно должно быть сдержанным, фактологичным, выражать ответственность и указывать на принятые меры. Все вопросы от СМИ перенаправляются исключительно пресс-секретарю.
Партнёры и контрагенты: Информирование происходит через официальные каналы связи (письма от первых лиц, звонки ответственных менеджеров). Акцент делается на прозрачности, мерах по защите общих интересов и минимизации влияния на совместные проекты.
Сотрудники компании: Внутренняя рассылка или собрание для предотвращения паники и утечек. Важно донести единую, согласованную позицию и указать, что всю внешнюю коммуникацию ведёт назначенное лицо.

Библиотека готовых шаблонов и контактов

Это самый практико-ориентированный раздел плана, который экономит драгоценные минуты в первые часы после инцидента. Библиотека должна включать:

Шаблоны уведомлений: для Роскомнадзора (согласно требованиям 152-ФЗ), для субъектов ПДн (на разных языках, если необходимо), пресс-релиз «под ключ» с заполняемыми полями (дата, тип инцидента, примерный масштаб).
Актуальные контактные данные: не только внутренней команды, но и внешних органов. Например, официальные адреса для срочных уведомлений в территориальные управления Роскомнадзора и ФСТЭК, контакты служб технической поддержки ключевых партнёров, номера телефонов юридической фирмы, специализирующейся на киберинцидентах.
Чек-лист первоочередных действий: пошаговый алгоритм для координатора коммуникаций на первые 1-2 часа после активации плана: кто кого оповещает, какие шаблоны используются, какие решения требуют согласования с кризисным комитетом.

Все эти материалы должны регулярно, не реже раза в квартал, пересматриваться и обновляться. Устаревший телефон пресс-секретаря или шаблон, не соответствующий последним разъяснениям регулятора, сводят полезность всего документа к нулю.

Интеграция плана коммуникаций в систему обеспечения безопасности информации (СОИБ)

План коммуникаций не должен существовать в вакууме. Его эффективность напрямую зависит от того, насколько глубоко он интегрирован в общую систему управления инцидентами информационной безопасности и организационную структуру защиты данных.

Во-первых, запуск плана коммуникаций должен быть неотъемлемым шагом в общем регламенте реагирования на инциденты ИБ (Incident Response Plan). Триггером для активации коммуникационной составляющей является не просто факт инцидента, а его классификация по уровню критичности. Например, план может предусматривать разные сценарии: «уровень 1» (незначительный инцидент) требует лишь внутреннего информирования, а «уровень 3» (масштабная утечка данных) запускает полный цикл коммуникаций со всеми внешними сторонами.

Во-вторых, ответственные лица из плана коммуникаций должны быть постоянными участниками регулярных учений и тренировок по реагированию на инциденты (table-top exercises). На таких учениях отрабатывается не только технический сценарий, но и взаимодействие между пресс-службой, юристами и ИБ-специалистами, проверяется актуальность контактов и эффективность шаблонов сообщений.

В-третьих, положения плана должны быть отражены во внутренних документах компании, таких как Политика обработки персональных данных и Политика информационной безопасности. Это создаёт нормативную базу для действий сотрудников в кризисной ситуации и демонстрирует регулятору целостный, системный подход.

Проверка на соответствие требованиям 152-ФЗ и ФСТЭК

Для российских организаций критически важно, чтобы план коммуникаций не только был эффективным, но и формально соответствовал ожиданиям надзорных органов. Это позволяет минимизировать административные риски в случае проверки.

С точки зрения 152-ФЗ, ключевое требование — это обязанность оператора сообщить в Роскомнадзор и субъекту ПДн о нарушении безопасности персональных данных (ст. 18.1). План коммуникаций должен гарантировать выполнение этой обязанности в установленный срок. При проверке инспектор Роскомнадзора может запросить не только факт уведомления, но и внутренние регламенты, на основании которых оно было подготовлено и отправлено. Наличие утверждённого плана, содержащего соответствующие процедуры и шаблоны, будет веским доказательством добросовестности оператора.

Требования ФСТЭК России более сфокусированы на аспектах управления инцидентами. Например, для организаций, являющихся субъектами критической информационной инфраструктуры (КИИ), Приказ № 239 обязывает иметь «планы реагирования на компьютерные инциденты». Коммуникационная составляющая является неотъемлемой частью такого плана, так как информирование государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) и ФСТЭК о значимых инцидентах обязательно. Даже для не-субъектов КИИ, но для операторов ПДн, обрабатывающих данные в государственных информационных системах, руководящие документы ФСТЭК (например, серия РД) подразумевают наличие регламентов информирования.

Таким образом, при разработке или аудите плана коммуникаций необходимо свериться с несколькими ключевыми пунктами:

Определены ли в плане лица, ответственные за взаимодействие с Роскомнадзором и ФСТЭК?
Содержит ли план корректные шаблоны уведомлений, учитывающие формальные требования этих органов?
Прописаны ли в плане сроки отправки уведомлений, соответствующие законодательству (например, «не позднее 24 часов с момента обнаружения инцидента» для Роскомнадзора)?
Учтены ли в сценариях реакции специфические требования для субъектов КИИ, если компания к ним относится?

Наличие положительных ответов на эти вопросы не только повышает готовность организации к кризису, но и формирует серьёзный аргумент в диалоге с регулятором, показывая системность и проработанность подхода к защите информации.