Содержание
За 30 секунд
- Изолируйте, не выключайте: отключение сохраняет улики, выключение может их уничтожить и затрудняет подтверждение, что атакующий удалён 25.
- В Молдове поставщик по Закону 48 уведомляет ASC в течение 24 часов, обновляет за 72 часа и направляет итоговый отчёт в течение месяца 13.
- Платёжные поставщики уведомляют НБМ в тот же рабочий день; нарушения персональных данных — в НЦЗПД в течение 72 часов 1719.
- Власти США, Великобритании и ENISA не поощряют выплату выкупа: она не гарантирует восстановления и финансирует новые атаки 7912.
- Перед возвратом в продуктив проверьте резервные копии и восстановленные активы, затем получите независимую проверку 14.
Первые часы: что делать и чего не делать
Первые решения определяют, удастся ли потом выяснить, что произошло. CISA и NCSC говорят одно и то же: изолируйте согласованно, сохраните улики, общайтесь по каналу, который атакующий не видит 25.
- Изолируйте затронутые системы; если их много — отключите сеть на коммутаторе. В облаке сделайте снимок тома 2.
- Выключайте устройства, только если их нельзя отключить от сети: выключение уничтожает улики в оперативной памяти 2.
- Сделайте образы систем и снимки памяти на выборке устройств, начиная с энергозависимых улик 2.
- Ведите центральный журнал решений — что, когда, кто, почему — с единым временем 5.
- По возможности расследуйте до восстановления 5.
Конфликт между сохранением улик, изоляцией и непрерывностью реален; ENISA требует решать его по заранее установленному процессу с правилами цепочки хранения 8. Методическое руководство ASC переносит то же требование в Молдову 25.
Кого уведомлять и в какой срок
В Республике Молдова компетентный орган — Агентство кибербезопасности (ASC), оно же национальная команда реагирования на инциденты 1314. Поставщик по Закону 48/2023 уведомляет его в течение 24 часов с момента, когда стало известно, — даже если значительное воздействие лишь обоснованно предполагается, — направляет обновление в течение 72 часов и итоговый отчёт в течение месяца 13. Уведомление подаётся через форму «Сообщить об инциденте» на ncsc.md 16; официальный образец по ПП 562/2025 утверждает директор ASC 15.
| Кто | Кому | Срок |
|---|---|---|
| Поставщик (Закон 48) | ASC; пользователи — при значительной угрозе | 24 ч / 72 ч / месяц 13 |
| Банк, платёжный поставщик | НБМ через PCSI | Тот же день / 3 дня / 20 дней 19 |
| Любой оператор данных (Молдова) | НЦЗПД | 72 ч по возможности 1718 |
| Субъект NIS2 (Румыния) | DNSC через PNRISC | 6 ч трансгранично / 24 ч / 72 ч / месяц 20 |
| Оператор данных (Румыния) | ANSPDCP | 72 ч по возможности 2122 |
Новый закон о персональных данных, Закон 195/2024, действует с 23 августа 2026 года и перенимает правила GDPR: уведомление не позднее 72 часов «по возможности», с объяснением задержки, информирование людей при высоком риске и документирование любого нарушения 1722. Молдавская компания с клиентами в ЕС и представителем там не пользуется «единым окном»: она уведомляет каждый надзорный орган стран проживания затронутых лиц 23.
Отсчёт уведомлений: кому и в какой срок
Ориентировочно, по текстам законов ниже; не юридическая консультация. Сроки идут с момента, когда вы узнали об инциденте.
Ваш календарь уведомлений
- 24 чASC: уведомление об инциденте
С момента, когда стало известно; и тогда, когда значительное воздействие лишь обоснованно предполагается. Закон 48/2023, ст. 12 ч. (1).
- 24 чПользователи: значительная угроза
Информирование затронутых пользователей; иначе ASC требует этого и через 3 часа уведомляет сама. Ст. 12 ч. (6)–(7).
- 72 чASC: обновление
Первичная оценка и индикаторы компрометации. Ст. 12 ч. (3).
- 72 чНЦЗПД: нарушение безопасности данных
По возможности не позднее 72 часов; позже — с объяснением причин задержки. Закон 195/2024, ст. 33.
- +1 месяцASC: итоговый отчёт
Не позднее месяца после обновления; если инцидент продолжается — сначала отчёт о ходе. Ст. 12 ч. (8); ПП 562/2025, п. 19.
- День 0НБМ: первичное уведомление (критичные функции)
До конца рабочего дня; если инцидент произошёл менее чем за 2 часа до конца дня — в течение 4 часов с начала следующего. Через PCSI или на [email protected]. П. 81.1.
- День 1НБМ: первичное уведомление (платёжные услуги)
Для значимых функций или непрерывности платёжных услуг — не позднее следующего рабочего дня. П. 81.2.
- 72 чНЦЗПД: нарушение безопасности данных
По возможности не позднее 72 часов; позже — с объяснением причин задержки. Закон 195/2024, ст. 33.
- ≤ 3 днейНБМ: промежуточный отчёт
Обстоятельства, затронутые системы, оценка влияния и принятые меры. П. 81.3.
- ≤ 20 днейНБМ: итоговый отчёт за подписью руководства
Основные причины, фактическое влияние и меры против повторения. П. 81.4.
- В любое времяASC: добровольное уведомление
Открыто для всех, без новых обязанностей; форма «Сообщить об инциденте» на ncsc.md. Закон 48/2023, ст. 13.
- 72 чНЦЗПД: нарушение безопасности данных
По возможности не позднее 72 часов; позже — с объяснением причин задержки. Закон 195/2024, ст. 33.
- 6 чPNRISC: трансграничное воздействие
С момента любой информации о трансграничном воздействии. Румынское правило сверх NIS2. ЧП 155/2024, ст. 15 ч. (3).
- 24 чPNRISC: раннее предупреждение
С подозрением на противоправные действия и трансграничное воздействие. Ст. 15 ч. (7) п. a).
- 72 чPNRISC: отчёт об инциденте
Первичная оценка и индикаторы компрометации. Ст. 15 ч. (7) п. b).
- 72 чANSPDCP: нарушение безопасности данных
Без неоправданной задержки, по возможности в течение 72 часов; типовая форма или онлайн-уведомление. GDPR, ст. 33.
- +1 месяцPNRISC: итоговый отчёт
Не позднее месяца после отчёта за 72 ч; промежуточный отчёт по запросу. Ст. 15 ч. (7) п. c)–d).
- 72 чОрган по защите данных
Без неоправданной задержки, по возможности в течение 72 часов; сведения можно передавать поэтапно. GDPR, ст. 33 ч. (1), (4).
- Без уведомленияЕсли персональные данные не затронуты, GDPR уведомления не требует
Всё же проверьте, не подпадаете ли вы под NIS2 или отраслевой закон.
- Высокий рискСубъекты данных
Без неоправданной задержки, если риск для них высок; не требуется, если данные были зашифрованы и непонятны. GDPR / Закон 195/2024, ст. 34.
- ВсегдаДокументирование нарушения
Любое нарушение документируется, даже без уведомления. Ст. 33 ч. (5).
Если вы также поставщик по Закону 48/2023, добавляются сроки перед ASC.
Есть клиенты в ЕС и представитель там? Уведомите каждый надзорный орган в странах проживания затронутых лиц (EDPB 9/2022, п. 73).
В первые часы
- Изолируйте, не выключайте: отключите системы от сети; выключение уничтожает улики в памяти.
- Общайтесь по отдельному каналу, не через скомпрометированную сеть, чтобы не насторожить атакующего.
- Сохраните улики: образы дисков, снимки памяти, журналы — до любого исправления.
- Не трогайте инфраструктуру атакующего (ping, nslookup) и не сбрасывайте пароли в спешке.
- Ведите журнал решений: что, когда, кто, почему — с единым временем.
- Запустите отсчёт уведомлений с момента, когда узнали об инциденте.
Шифровальщик: платить или нет
Официальная позиция одинакова по обе стороны Атлантики. CISA и ФБР «не поощряют оплату»: она не гарантирует восстановления и стимулирует новые атаки; сообщайте в любом случае, платите вы или нет 12. NCSC UK подчёркивает, что правоохранительные органы не поощряют, не одобряют и не оправдывают выплату, а ENISA советует не платить и не вести переговоры 79. Даже после оплаты расшифровка может занять недели и не устраняет уязвимости, через которые вошёл атакующий 6.
Руководство EDPB рассматривает шифровальщики отдельно: если есть резервная копия и данные не вывезены, уведомление может не требоваться, но нарушение документируется; а оценка риска не ждёт криминалистической экспертизы 24.
Изоляция, устранение, восстановление
В 2025 году NIST переписал руководство по реагированию на инциденты (SP 800-61 Rev. 3) как профиль CSF 2.0: старые фазы отображаются на функции фреймворка, а уроки распространяются сразу, а не только в конце 1.
| Фаза Rev. 2 | Функции CSF 2.0 в Rev. 3 |
|---|---|
| Подготовка | Govern, Identify, Protect 1 |
| Обнаружение и анализ | Detect плюс улучшение (ID.IM) 1 |
| Изоляция, устранение, восстановление | Respond, Recover плюс улучшение 1 |
| Действия после инцидента | Улучшение (ID.IM) 1 |
- Установите основную причину и ищите индикаторы компрометации и закрепления и на неподтверждённых целях — иначе вы недооцените масштаб 1.
- Проверяйте целостность резервных копий до восстановления — NCSC советует исходить из того, что и они могут быть скомпрометированы 16.
- До продуктива проверьте восстановленные активы на индикаторы компрометации и устраните основную причину 1.
- Ищите вредонос-«предвестник» (дроппер) до восстановления 2.
- Объявляйте окончание инцидента по критериям и пишите отчёт по итогам 1.
После инцидента: доказательство, что брешь закрыта
То, что системы снова работают, не значит, что атакующий ушёл. После устранения CISA требует мониторинга повторного проникновения, независимого теста или проверки возврата к норме, тестирования контролей до продуктива и эмуляции тактик атакующего для проверки контрмер 4. Предупреждение AA20-245A рекомендует подтверждать устранение третьей стороной 3, а NCSC отмечает, что партнёры могут потребовать независимых гарантий перед повторным подключением к вашим системам 6.
Разбор уроков проводится с ответственными и сроками; выводы попадают в оценку рисков, а журналы хранятся не менее 12 месяцев 1815.
Как мы помогаем после инцидента
- Оценка компрометации
Ищем следы атакующего и механизмы закрепления на восстановленных и неподтверждённых системах.
- Повторный тест вектора входа
Проверяем, что уязвимость, через которую вошёл атакующий, закрыта и альтернативного пути нет.
- Эмуляция атаки
Повторяем тактики атакующего, чтобы вы увидели, работают ли новые средства обнаружения и контрмеры.
- Отчёт для регулятора и партнёров
Находки, доказательства и вывод независимого теста — готово к приложению к итоговому отчёту.
Частые вопросы
Выключать ли затронутые компьютеры?
В какой срок нужно сообщить об инциденте в Молдове?
Нужно ли уведомлять и орган по защите данных?
Платить ли выкуп?
Как доказать, что атакующий ушёл?
Источники
Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.
- NIST SP 800-61 Rev. 3 — Incident Response Recommendations and Considerations for Cybersecurity Risk Management (апрель 2025)csrc.nist.gov · проверено 23 октября 2026 г.
- CISA, FBI, NSA — #StopRansomware Guide (сентябрь 2023)cisa.gov · проверено 23 октября 2026 г.
- Совместное предупреждение AA20-245A — Technical Approaches to Uncovering and Remediating Malicious Activitycisa.gov · проверено 23 октября 2026 г.
- CISA — Incident & Vulnerability Response Playbooks (ноябрь 2021)cisa.gov · проверено 23 октября 2026 г.
- NCSC UK — Recovering from a highly disruptive cyber attack: первоочередные действия (2026)ncsc.gov.uk · проверено 23 октября 2026 г.
- NCSC UK — Recovering from a highly disruptive cyber attack: восстановление (2026)ncsc.gov.uk · проверено 23 октября 2026 г.
- NCSC UK — Mitigating malware and ransomware attacksncsc.gov.uk · проверено 23 октября 2026 г.
- ENISA — NIS2 Technical Implementation Guidance (июнь 2025)enisa.europa.eu · проверено 23 октября 2026 г.
- ENISA — Threat Landscape for Ransomware Attacks (июль 2022)enisa.europa.eu · проверено 23 октября 2026 г.
- Europol — запуск No More Ransom (25.07.2016)europol.europa.eu · проверено 23 октября 2026 г.
- Europol — No More Ransom: 6 лет, 136 бесплатных инструментов (26.07.2022)europol.europa.eu · проверено 23 октября 2026 г.
- CISA, FBI — предупреждение AA25-071A (ред. 2026)cisa.gov · проверено 23 октября 2026 г.
- Закон № 48/2023 о кибербезопасности (консолидированный)legis.md · проверено 23 октября 2026 г.
- Постановление Правительства № 1028/2023 — Агентство кибербезопасностиlegis.md · проверено 23 октября 2026 г.
- Постановление Правительства № 562/2025 — требования безопасности и уведомление об инцидентахlegis.md · проверено 23 октября 2026 г.
- ASC — «Сообщить об инциденте»ncsc.md · проверено 23 октября 2026 г.
- Закон № 195/2024 о защите персональных данныхlegis.md · проверено 23 октября 2026 г.
- НЦЗПД — уведомление о нарушении безопасности данныхdatepersonale.md · проверено 23 октября 2026 г.
- НБМ — Регламент ИКТ (ПИК № 29/2025)bnm.md · проверено 23 октября 2026 г.
- Чрезвычайное постановление № 155/2024 (Румыния), утверждено Законом № 124/2025legislatie.just.ro · проверено 23 октября 2026 г.
- ANSPDCP — форма уведомления о нарушении безопасности данныхdataprotection.ro · проверено 23 октября 2026 г.
- Регламент (ЕС) 2016/679 (GDPR), консолидированная версияeur-lex.europa.eu · проверено 23 октября 2026 г.
- EDPB — Руководство 9/2022 по уведомлению о нарушении безопасности данныхedpb.europa.eu · проверено 23 октября 2026 г.
- EDPB — Руководство 01/2021, примеры уведомлений (включая шифровальщики)edpb.europa.eu · проверено 23 октября 2026 г.
- ASC — Методическое руководство по применению требований кибербезопасности (утв. 08.04.2026)ncsc.md · проверено 23 октября 2026 г.
Об авторах
Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.