Инцидент в финтех-компании: от первых часов до отчёта регулятору и банку

Самая частая ошибка в первые часы — считать один срок для всех. Регламенты привязывают отсчёт к разным событиям:

• GDPR и UK GDPR: 72 часа с момента, когда контролёр узнал об утечке персональных данных.
• DORA: 4 часа с момента, когда ИКТ-инцидент классифицирован как крупный, и не позднее 24 часов с момента осведомлённости.
• RPAA (Банк Канады): 48 часов после того, как PSP признал инцидент существенным.
• NYDFS Part 500: 72 часа после того, как установлен факт инцидента, в том числе у поставщика.
• PDPA (Сингапур): 3 календарных дня после того, как организация оценила утечку как подлежащую уведомлению.
• FTC Safeguards Rule: 30 дней после обнаружения, если затронуты данные 500 и более потребителей.

Поэтому первый документ, который мы делаем, — журнал с временем каждого события: когда заметили, когда классифицировали, когда оценили. Он нужен и для уведомлений, и для будущего вопроса «почему так поздно».

1. Сдерживание. Отключаем скомпрометированные учётные записи и ключи, изолируем затронутые серверы, закрываем вход.
2. Доказательства. Снимаем журналы, образы и снимки систем до переустановки, фиксируем цепочку хранения.
3. Масштаб. Какие системы, какие категории данных, сколько клиентов, какие операции прерваны. Для утечки KYC-данных отдельно: паспорта, селфи, адреса, номера счетов.
4. Классификация. Для каждой юрисдикции группы отмечаем, достигнут ли порог уведомления и с какого момента идёт срок.
5. Черновики. Готовим тексты уведомлений с уже известными фактами. GDPR прямо разрешает подавать сведения поэтапно, если всё сразу собрать нельзя (ст. 33(4)).

Решение об уведомлении и подпись под ним остаются за вами, вашим DPO и юристом. Мы даём им факты, на которые можно опереться.

Уведомление описывает характер утечки, категории и примерное число людей и записей, контакт DPO, вероятные последствия и принятые меры (ст. 33(3)). Если 72 часа прошли, к уведомлению прикладывают причины задержки. Обработчик, например ваш KYC-провайдер, сообщает контролёру без неоправданной задержки (ст. 33(2)).

Великобритания

В UK GDPR тот же срок 72 часа. С 30 сентября 2026 года статья 33 называет получателем уведомления Information Commission, преемника прежнего ICO.

Журнал всех утечек

Каждую утечку документируют, даже если уведомлять не нужно: факты, последствия, принятые меры (ст. 33(5)). Канадский PIPEDA требует хранить записи о каждом нарушении мер защиты 24 месяца. Мы ведём этот журнал по ходу работы, чтобы он был готов к запросу регулятора.

Сроки установлены Делегированным регламентом (ЕС) 2025/301. Если инцидент классифицирован как крупный позже чем через 24 часа, первичное уведомление подаётся в течение 4 часов после классификации (ст. 5(2)).

Для EMI или платёжной организации с лицензией в ЕС это самый жёсткий срок в группе. Поэтому критерии классификации и шаблон первичного уведомления должны быть готовы до инцидента. Мы проверяем, что в вашем плане есть и то и другое, и проводим учение по сценарию, где отсчёт идёт сразу по DORA и GDPR. Меры защиты самих персональных данных разбираем на странице защита персональных данных.

Отчёт включает хронологию, точку входа, затронутые системы и данные, что сделано для сдерживания и восстановления, какие меры внедрены и когда пройдёт повторная проверка. Короткая версия написана простым языком для руководства и банка, техническое приложение — для регулятора и аудитора.

После закрытия инцидента обновляем план реагирования: кто и когда должен был принять решение, где потеряли время. Если банк-партнёр присылает анкету по безопасности после инцидента, ответы готовим из того же отчёта.