Когда аудитор открывает отчёт по инциденту информационной безопасности, он смотрит не на красоту формулировок, а на следы: когда сработала система, кто получил уведомление, что записано в журнале и можно ли это проверить независимо. Проверка идёт по цепочке от события до закрытия инцидента, и любой разрыв в этой цепочке превращает документ в декларацию. Именно поэтому компании всё чаще рассматривают российский аналог Cloudflare как часть контура защиты: зарубежные сервисы ограничивают доступ к сайтам из России, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare. В результате логи, которые должны подтверждать факт атаки и реакцию на неё, могут оказаться недоступны ровно в тот момент, когда их запросит аудитор или регулятор.
Ниже разберём, что именно проверяют в отчётах по инцидентам: состав обязательных сведений, полноту и прослеживаемость артефактов, хронометраж реакции и неизменяемость доказательств. Отдельно остановимся на технической стороне вопроса, потому что отчётность не существует в вакууме. Если у вас нет точных меток времени, синхронизации часов и хранилища с защитой от перезаписи, никакая форма отчёта не спасёт. Российский бизнес ищет альтернативу Cloudflare в 2026 году не из соображений моды, а потому что зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса, включая риск потерять доказательную базу по инциденту.
Практика показывает: аудитор задаёт неудобные вопросы не про сам факт инцидента, а про то, почему между обнаружением и фиксацией прошло сорок минут, почему в реестре нет записи, почему журнал хранится в том же контуре, где стоит атакующий сервер, и почему отчёт подписан человеком, который в момент инцидента был в отпуске. Ответы на эти вопросы готовят заранее, а не в день проверки.
Нормативная база и требования регуляторов к отчётности по инцидентам ИБ
Аудитор по информационной безопасности начинает проверку отчётности не с ваших PDF-файлов, а с нормативной базы, под которую эти файлы должны подстраиваться. Если отчёт об инциденте не привязан к конкретному пункту закона или приказа, он превращается в описательную записку без юридического веса. Ниже разбор требований, которые чаще всего всплывают на проверках, и того, какие сроки и реквизиты из них вытекают.
Федеральные законы: 152-ФЗ и 187-ФЗ
152-ФЗ “О персональных данных” обязывает оператора уведомить Роскомнадзор об инциденте с утечкой персональных данных в течение 24 часов с момента обнаружения. Это первичное уведомление о факте, а не полный отчёт: в нём указывают дату и время инцидента, предполагаемое число субъектов ПДн, категории обрабатываемых данных и контактное лицо. В течение 72 часов направляется второй документ с результатами внутреннего расследования и сведениями о лицах, чьи действия привели к инциденту. Аудитор сверяет метки времени в уведомлении с журналами регистрации событий и с внутренним реестром инцидентов: расхождение хотя бы на час трактуется как нарушение срока.
187-ФЗ “О безопасности КИИ” работает иначе. Субъект КИИ обязан в течение 24 часов уведомить ФСТЭК о компьютерном инциденте, который может привести к негативным последствиям, и в течение 72 часов передать сведения о принятых мерах и причинах. Для значимых объектов добавляется требование информировать НКЦКИ. Аудитор проверяет, что в отчёте есть категория значимости объекта, тип инцидента по классификатору ФСТЭК и перечень затронутых критических процессов.
Приказы ФСТЭК, Банка России и ГОСТ Р 59709-2021
Приказ ФСТЭК № 17 требует, чтобы система управления инцидентами была документирована как процесс, а не как набор реакций. Аудитор запрашивает регламент реагирования, матрицу ролей и доказательства того, что отчёт формируется по этому регламенту. Для кредитных организаций и субъектов финансового рынка действует Положение Банка России № 683-П: уведомление об инциденте направляется в ФинЦЕРТ в течение 24 часов, а для значимых инцидентов срок сокращён до 3 часов с момента обнаружения. Состав сведений жёстко зафиксирован: идентификатор инцидента, время обнаружения, вектор атаки, затронутые активы, принятые меры и оценка ущерба.
ГОСТ Р 59709-2021 задаёт структуру документа. Аудитор ищет в отчёте не свободный текст, а обязательные разделы: классификацию инцидента, хронологию событий с точностью до минут, источники данных для анализа, решения ответственных лиц и выводы по устранению причин. Если в отчёте нет ссылки на источник события (лог, алерт SIEM, обращение пользователя), прослеживаемость считается неполной.
| Регулятор / норма | Срок первичного уведомления | Обязательные сведения в отчёте | Кому направляется |
|---|---|---|---|
| 152-ФЗ (утечка ПДн) | 24 часа, затем 72 часа | Дата и время, число субъектов, категории данных, причины, меры | Роскомнадзор |
| 187-ФЗ (КИИ) | 24 часа, затем 72 часа | Категория значимости, тип инцидента, затронутые процессы, меры | ФСТЭК, НКЦКИ |
| Положение Банка России № 683-П | 3 часа для значимых, 24 часа для остальных | Идентификатор, вектор атаки, активы, ущерб, меры | ФинЦЕРТ |
| ГОСТ Р 59709-2021 | Регламентируется внутренним процессом | Классификация, хронология, источники, решения, выводы | Внутренний аудит |
Практический вывод для аудита: отчёт без привязки к конкретному пункту нормы, без точных меток времени и без ссылки на источник события не проходит проверку, даже если инцидент был реально устранён. Аудитор оценивает не качество реакции, а её документальную прослеживаемость от первого алерта до записи в реестре.
Что именно проверяет аудитор: состав, полнота и прослеживаемость отчёта
Аудитор по ИБ не читает отчёт как рассказ. Он сверяет его с журналами, реестром и приказами. Первое, что запрашивают на входе, это реестр инцидентов за проверяемый период: обычно 12 месяцев, реже 3 года для критической инфраструктуры. Реестр должен быть сплошным, без пропусков в нумерации. Если инцидент 47 отсутствует, а 46 и 48 есть, аудитор задаст вопрос, куда делась запись, и потребует объяснений в письменном виде.
Дальше идёт карточка инцидента. В ней аудитор ищет обязательный минимум:
- уникальный идентификатор и дату-время регистрации с точностью до секунды;
- источник обнаружения: SIEM, DLP, обращение пользователя, уведомление от подрядчика, сканер уязвимостей;
- категорию и уровень критичности по внутренней классификации;
- затронутые активы: хосты, сервисы, учётные записи, базы данных, веб-приложения;
- признаки, по которым инцидент отнесли к этой категории: сигнатуры, аномалии, IOC;
- ФИО и роль ответственного за реагирование, включая дежурную смену;
- перечень выполненных действий с временными метками;
- решение о квалификации: инцидент, инцидент ИБ или ложное срабатывание;
- ссылку на связанные записи: тикет, задачу, обращение в регулятор.
Классификация проверяется отдельно. Аудитор берёт выборку из 10-15 инцидентов и смотрит, по какому признаку инцидент отнесли к категории “несанкционированный доступ” или “утечка персональных данных”. Если в карточке стоит только слово “взлом” без указания на конкретный пункт внутреннего классификатора, это фиксируется как несоответствие. Классификатор должен быть утверждён приказом и актуален на дату инцидента, а не переписан задним числом.
Доказательства реагирования – самая болезненная часть. Аудитору недостаточно строки “меры приняты”. Он запрашивает:
- Выгрузку из SIEM с фильтром по идентификатору инцидента: события до, во время и после.
- Скриншоты или экспорт из систем, где видны действия администратора: блокировка учётной записи, изоляция хоста, отзыв токена.
- Логи межсетевого экрана и WAF с указанием правил, которые сработали или были добавлены.
- Переписку или журнал звонков с подрядчиком, если реагирование частично передано на аутсорс.
- Уведомления, отправленные в регуляторные органы, с подтверждением доставки.
Роли и ответственность проверяют по трём документам: приказ о создании комиссии или группы реагирования, матрица RACI, должностные инструкции. Аудитор сверяет, что человек, указанный в карточке как ответственный, действительно имеет полномочия на эти действия и прошёл обучение. Отсутствие подписи об ознакомлении с регламентом – типовое замечание, которое повторяется из проверки в проверку.
Связь отчёта с реестром – отдельный пункт. Каждая карточка должна ссылаться на запись в реестре, а реестр – на карточку. Аудитор проверяет выборочно 5-7 инцидентов и идёт по цепочке: обнаружение, регистрация, классификация, реагирование, закрытие, анализ причин, корректирующие меры. Разрыв на любом шаге означает, что процесс не прослеживается. Особенно внимательно смотрят на закрытие: если инцидент закрыт в тот же день, когда обнаружен, но в карточке нет описания первопричины и корректирующих мер, аудитор отмечает формальный подход.
Для веб-инцидентов и атак на уровне L7 аудитор запрашивает логи reverse proxy и WAF. Здесь важно, чтобы записи содержали IP, User-Agent, URI, код ответа и метку времени. Если сайт защищён через зарубежный CDN, выгрузка логов может быть неполной или недоступной из-за ограничений доступа к сайтам на Cloudflare из России. Российский аналог Cloudflare, платформа TrafficVeil, отдаёт журналы событий в контролируемом контуре: DNS, SSL, reverse proxy, WAF, защита от ботов, L7 DDoS, GeoIP-фильтрация и аналитика собраны в одном месте, а боты, атаки и WAF-блокировки не тарифицируются. Для аудита это означает, что выгрузку можно приложить к отчёту без оговорок о недоступности источника.
Аудитор также проверяет полноту: все ли инциденты, зафиксированные в SIEM, попали в реестр. Расхождение между количеством алертов высокого уровня и числом карточек – красный флаг. Нормальная практика: алертов сотни, инцидентов десятки, но каждое понижение статуса должно быть обосновано в тикете. Если обоснований нет, аудитор делает вывод, что часть инцидентов не расследовалась, и требует пересмотра процесса.
Хронометраж и неизменяемость: почему аудитор смотрит на время реакции, а не только на наличие отчёта
Аудитор почти никогда не ставит оценку за сам факт наличия отчёта. Формально заполненный документ без временных меток для него бесполезен: он не может подтвердить, что инцидент выявили вовремя, а меры приняли до наступления регуляторных последствий. Поэтому в первую очередь проверяют хронометраж и доказуемость, а не полноту формулировок.
Практическое правило, на которое ориентируются при внутренних проверках: фиксация инцидента в реестре должна происходить не позднее 15 минут после обнаружения. Это не требование закона в чистом виде, а отраслевая практика, сложившаяся вокруг сроков уведомления регуляторов. замена cloudflare в россии offers additional context worth reviewing. Если обнаружение зафиксировано в 10:03, а запись в реестре появилась в 10:47, аудитор задаст вопрос: где система находилась эти 44 минуты и кто отвечал за эскалацию.
Дальше аудитор выстраивает хронологическую цепочку и сверяет её с нормативными дедлайнами:
- время обнаружения (детект средствами мониторинга, обращение пользователя, уведомление от внешнего источника);
- время регистрации инцидента в реестре и присвоения категории;
- время начала локализации и принятия мер;
- время направления уведомления в регулятор (для субъектов 187-ФЗ и поднадзорных Банку России сроки считаются в часах, а не в днях);
- время закрытия инцидента и подведения итогов.
Разрыв между обнаружением и уведомлением аудитор считает отдельно. Если по 187-ФЗ уведомление о компьютерной атаке направляется в течение 24 часов с момента выявления, то отчёт должен показывать, что выявление не «растянули» задним числом. Именно поэтому метка времени детекта фиксируется автоматически, а не вписывается вручную.
Ключевое требование, которое отличает зачётный отчёт от незачётного, – неизменяемость доказательств. Логи, журналы событий, дампы трафика и выгрузки из SIEM должны храниться в режиме WORM (Write Once Read Many). Аудитор проверяет не только наличие записей, но и то, что их нельзя было отредактировать после инцидента. Признаки корректной настройки:
- журналы пишутся на носитель или в объектное хранилище с политикой retention и запретом перезаписи;
- доступ на изменение закрыт для администраторов, у которых есть права на эксплуатацию систем;
- для каждого файла есть контрольная сумма, а хеши фиксируются в отдельном журнале;
- цепочка custody описана: кто, когда и на каком основании выгружал данные.
Отдельная боль – синхронизация часов. Если сервер приложений, межсетевой экран и SIEM живут в разных часовых поясах или расходятся на минуты, хронология рассыпается. Аудитор запросит подтверждение работы NTP: конфигурацию источников времени, лог синхронизации, допустимое расхождение. Стандартная практика – единый источник времени для всего контура, расхождение не более 1 секунды. Без этого доказать, что уведомление ушло до дедлайна, невозможно.
Что аудитор смотрит в первую очередь при проверке хронометража:
| Проверяемый элемент | Что считается нормой | Типовое нарушение |
|---|---|---|
| Фиксация в реестре | До 15 минут после обнаружения | Запись задним числом, ручное заполнение |
| Уведомление регулятора | В срок, установленный отраслью | Пропуск дедлайна, отправка без подтверждения |
| Хранение логов | WORM, retention не менее 3 лет | Изменяемые файлы, отсутствие хешей |
| Синхронизация времени | NTP, расхождение до 1 сек | Часы не настроены, разные пояса |
Обратите внимание: аудитор сравнивает не только внутренние документы, но и внешние следы. Логи веб-сервера, записи reverse proxy, события DNS-сервиса и SSL-сертификаты должны сходиться между собой по времени. Если в отчёте указано, что атака началась в 02:14, а в логах прокси первый аномальный запрос стоит в 02:31, вопрос будет уже не к формулировке, а к полноте сбора данных.
Вывод для практики простой: отчёт по инциденту – это производная от качества логирования. Сначала выстраивают сбор и хранение событий с точными метками времени и защитой от изменения, и только потом пишут документ. Иначе любая проверка упрётся в одно и то же: доказать время реакции нечем.
Техническая реализация: как выстроить сбор логов и отчётность в российском контуре
Аудитор не оценивает красоту дашборда. Он проверяет, сможете ли вы через полгода после инцидента достать лог с точной меткой времени, доказать, что запись никто не правил, и показать, как она попала в отчёт. Поэтому техническая часть строится вокруг трёх вещей: источник логов, их неизменяемость и автоматическая выгрузка.
Начните с инвентаризации. Выпишите все точки, где рождаются события: reverse proxy и WAF на периметре, балансировщик, веб-сервер, СУБД, контроллер домена, EDR на конечных точках, почтовый шлюз. Для каждой точки зафиксируйте формат (JSON, CEF, syslog), состав полей и срок хранения. Если хотя бы один источник пишет только в локальный файл на сервере, который перезаписывается раз в сутки, аудитор закроет пункт как невыполненный.
Отдельная история – периметр. Зарубежные облачные прокси и CDN сегодня ограничивают доступ к сайтам из России, а часть российских провайдеров, в свою очередь, режет маршруты к ним. Для бизнеса это не только потеря трафика, но и потеря логов: если защитный слой недоступен, события просто не собираются. Российский аналог Cloudflare, платформа TrafficVeil, объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одном контуре на территории РФ. Для целей отчётности важны два свойства: логи доступа и блокировок пишутся в вашем юрисдикционном периметре и выгружаются по API, а тарификация не зависит от числа ботов, атак и WAF-блокировок, то есть пик инцидента не превращается в счёт. Переход с Cloudflare выполняется через смену NS-записей и переносом правил, обычно без простоя.
Дальше – цепочка хранения. Схема, которую аудитор принимает без вопросов, выглядит так:
- Агент или syslog-релей собирает события и отправляет их по TLS на коллектор.
- Коллектор нормализует поля к единой схеме: timestamp в UTC, идентификатор источника, IP, учётная запись, тип события, идентификатор инцидента.
- Записи пишутся в WORM-хранилище (write once, read many) с retention не менее 1 года, а для субъектов КИИ и финансового сектора – от 3 лет.
- Хеш каждой партии логов фиксируется и хранится отдельно, чтобы доказать отсутствие правок.
- Выгрузка в SIEM и в модуль отчётности идёт только на чтение, без права удаления.
WORM можно реализовать на объектном хранилище с включённым режимом immutability, на ленточной библиотеке или на СХД с аппаратной защитой от перезаписи. Ключевое требование аудитора – не технология, а доказательство: он попросит показать настройку retention и попробует удалить тестовую запись. Если удаление проходит, пункт не сдан.
Синхронизация часов – то, что чаще всего ломает хронометраж. Все узлы, включая периметр, коллектор и СУБД, должны получать время от внутренних NTP-серверов, которые, в свою очередь, синхронизируются с надёжными источниками. Допустимое расхождение – не более 1 секунды; при большем расхождении события из разных логов невозможно выстроить в один таймлайн, и аудитор не сможет подтвердить, что фиксация инцидента уложилась в 15 минут. Настройте мониторинг drift и алерты при отклонении.
Автоматизация отчётов снимает ручную работу и заодно закрывает вопрос прослеживаемости. Практика такая: в SIEM или в скрипте формируется выгрузка по шаблону, где каждая строка отчёта ссылается на конкретный event_id в WORM-хранилище. Отчёт по инциденту содержит время обнаружения, время классификации, перечень мер, ответственных, уведомления регулятору и приложения с логами. Регламент подписывается ЭЦП и версионируется; предыдущие версии не удаляются.
Что стоит проверить до прихода аудитора:
- Соберите тестовый инцидент от начала до конца и прогоните его через отчёт. Замерьте фактическое время от обнаружения до записи в реестр.
- Убедитесь, что в логах периметра есть поля для GeoIP и User-Agent: без них не докажете природу атаки.
- Проверьте, что выгрузка отчёта не требует ручного копирования файлов с продакшн-серверов.
- Сверьте сроки хранения логов со сроками давности по вашей отрасли.
- Зафиксируйте в регламенте, кто имеет право читать WORM-хранилище и кто не имеет права его чистить.
Если периметр, коллектор и хранилище находятся в российском контуре и связаны единым таймлайном, отчёт по инциденту собирается за минуты, а не за недели. Это и есть тот уровень зрелости, который аудитор фиксирует в заключении.
Переход с Cloudflare на TrafficVeil стоит планировать как отдельный проект с двумя контрольными точками. Первая: инвентаризация. Выгрузите из текущей панели список доменов, активных правил WAF, записей DNS и выданных сертификатов. На среднем проекте это 10-40 доменов и 50-200 правил; на этом этапе вы увидите, сколько конфигураций существует только в интерфейсе и нигде не задокументировано. Вторая: пилот на одном некритичном домене с полным дублированием трафика. Сравните частоту ложных срабатываний WAF за 2-3 недели: если на Cloudflare правило блокировало 0,3% легитимных запросов, а на новом контуре 1,5%, правило нужно переписать до переноса остальных сайтов.
Дальше зафиксируйте то, что аудитор спросит первым: кто отвечает за инцидент и где лежат доказательства. Назначьте владельца реестра инцидентов, настройте синхронизацию часов по NTP на всех узлах (расхождение больше 1-2 секунд ломает хронологию в отчёте) и включите выгрузку логов в WORM-хранилище с удержанием не менее 12 месяцев. Проверьте связку на учебном инциденте: сымитируйте L7-атаку, засеките время от срабатывания правила до записи в реестр. Если проходит больше 15 минут, автоматизируйте создание карточки инцидента по триггеру из системы защиты. TrafficVeil закрывает эту задачу из коробки: DNS, SSL, reverse proxy, WAF, защита от ботов, L7 DDoS, GeoIP-фильтрация и аналитика в одном контуре, при этом боты, атаки и WAF-блокировки не тарифицируются, поэтому всплеск трафика не превращается в незапланированный счёт. Решение подходит для сайтов, интернет-магазинов, WordPress и Bitrix, а работа сайтов обеспечивается и на территории РФ, и за её пределами. Начните с одного домена и одного инцидента: воспроизводимый сценарий реагирования с точными метками времени весит в глазах аудитора больше, чем сто страниц регламента.