Корпоративний кіберінцидент: що робити юридично після злому?

Кіберінцидент у компанії – це не лише IT-проблема: за ним йдуть юридичні зобов’язання, ризик кримінальної відповідальності і претензії з боку клієнтів. Адвокат Петрик Віталій Віталійович пояснює, що і в якому порядку має зробити компанія у перші години та тижні після виявлення злому.

🔑 Коротко головне

• Перша година після виявлення злому є критичною: ізоляція системи і збереження доказів визначають обсяг збитків і можливість судового переслідування зловмисників.
• При витоку персональних даних компанія зобов’язана повідомити Уповноваженого Верховної Ради з прав людини (Омбудсмена).
• Кримінальна заява до поліції або Кіберполіції фіксує факт злочину і є підставою для слідчих дій.
• Знищення або приховування слідів кіберінциденту може обернутися проти самої компанії у суді або при страховому врегулюванні.
• Внутрішнє розслідування слід проводити за участю юриста, щоб зібрані матеріали були придатні як докази.

Що робити в першу годину після виявлення злому?

Перша година визначає обсяг збитків і якість майбутньої доказової бази – кожна дія тут має значення.

1. Ізолюйте уражену систему – від’єднайте скомпрометовані вузли від мережі, не вимикаючи їх: оперативна пам’ять містить дані, які зникнуть при вимкненні.
2. Зафіксуйте час і характер події – лог-файли, аномальний трафік, скомпрометовані акаунти, видимі симптоми атаки.
3. Сповістіть відповідальну команду – CISO, юриста компанії, IR-підрядника (Incident Response).
4. Нічого не видаляйте – знищення “слідів” ускладнює кримінальне переслідування і може стати підставою для відмови у страховому відшкодуванні.

Які юридичні зобов’язання виникають після кіберінциденту?

Юридичні обов’язки залежать від виду інциденту і статусу компанії, але є кілька загальних вимог.

Повідомлення регуляторів. Якщо витік стосується персональних даних – компанія зобов’язана повідомити Уповноваженого Верховної Ради з прав людини. Для об’єктів критичної інфраструктури – також Державний центр кіберзахисту (ДЦКЗ) відповідно до ЗУ “Про основні засади забезпечення кібербезпеки України”.

Повідомлення клієнтів і партнерів. Якщо скомпрометовані дані третіх осіб, їх необхідно сповістити в розумний строк – затримка може стати підставою для позовів про відшкодування збитків.

Звернення до правоохоронців. Кримінальна заява до поліції або безпосередньо до Кіберполіції (cyberpolice.gov.ua) фіксує факт злочину, ініціює слідчі дії і є підставою для вжиття заходів щодо зловмисника.

Як правильно провести внутрішнє розслідування?

Внутрішнє розслідування без участі юриста має ризик: зібрані матеріали можуть бути визнані неприйнятними доказами в суді або кримінальному провадженні.

• Залучіть юриста на першому етапі – він визначить, які дії захищені адвокатською таємницею, а які ні.
• Залучіть цифрового форензик-фахівця для збору криміналістичних копій дисків і пам’яті.
• Фіксуйте всі дії з ураженою системою у хронологічному журналі.
• Зберігайте оригінальні носії інформації: вони можуть знадобитися суду.
• Не поширюйте деталі інциденту до завершення розслідування – це захищає від витоку і від формування невигідних доказів проти компанії.

Яка кримінальна відповідальність загрожує за кіберінцидент?

Кримінальна відповідальність загрожує не лише зловмисникам, а й компанії у певних ситуаціях.

Зловмисники можуть бути притягнуті за: несанкціоноване втручання в роботу комп’ютерних систем (ст. 361 КК), поширення шкідливого програмного забезпечення (ст. 361-1 КК), несанкціоноване збирання або розповсюдження персональних даних (ст. 182 КК).

Компанія або її посадові особи можуть нести відповідальність, якщо: умисно або через недбалість не вжили заходів захисту, встановлених законом; приховали інцидент від регуляторів або постраждалих; знищили докази або перешкоджали слідству.

Як мінімізувати юридичні ризики після інциденту?

1. Не давайте публічних заяв без узгодження з юристом.
2. Документуйте всі вжиті заходи реагування: це доводить добросовісність компанії.
3. Перевірте страховий поліс (cyber insurance): більшість полісів містять умови щодо строків повідомлення і порядку взаємодії зі страховиком.
4. Зафіксуйте збитки: витрати на усунення наслідків, втрачений прибуток, витрати на сповіщення клієнтів – все це підстава для цивільного позову до зловмисника.

Часті питання

Чи потрібно повідомляти клієнтів про витік їхніх даних?

Так, якщо скомпрометовані персональні дані клієнтів. Строки і порядок залежать від обставин, але затримка без поважних причин може стати підставою для позовів. Зверніться до юриста для визначення обсягу і строку повідомлення.

Що дає звернення до Кіберполіції?

Ініціює кримінальне провадження, що дає слідчим повноваження для встановлення зловмисника і вилучення доказів. Також є необхідним документом для страхового відшкодування і деяких регуляторних процедур.

Чи можна покласти відповідальність на IT-підрядника, якщо злом стався через його недбалість?

Так, якщо договором передбачені відповідні гарантії або можна довести, що саме дії або бездіяльність підрядника спричинили вразливість. Перспектива залежить від умов контракту і доказової бази.

Що робити, якщо зловмисник вимагає викуп (ransomware)?

Не платіть без консультації з юристом і спеціалістами з кібербезпеки. Оплата не гарантує повернення доступу до даних і може ускладнити взаємодію зі страховиком та правоохоронцями. Першочергово – ізоляція системи і звернення до фахівців.

Як захиститися від повторного інциденту з правової точки зору?

Після усунення наслідків варто провести юридичний аудит договорів з постачальниками IT-послуг, оновити внутрішню політику інформаційної безпеки і перевірити відповідність вимогам законодавства про захист персональних даних.

Компанія зазнала кіберінциденту і потрібна юридична допомога?

Адвокат Петрик Віталій Віталійович надає правову допомогу у справах кіберзлочинів, захисту бізнесу при кіберінцидентах та кримінального провадження у сфері IT.

• Телефон: +38 (096) 878-07-36
• Email: info@advokat-petrik.com
• Адреса: Київ, Голосіївський проспект, 132, БЦ РЕЛЕ

Стаття має інформаційний характер і не є юридичною консультацією. Для оцінки вашої конкретної ситуації зверніться до адвоката.