Если руководство требует объяснительную по инциденту КИИ — что писать, важно понимать: этот документ почти всегда становится частью служебной проверки, а затем может «уехать» в материалы доследственной проверки и уголовного дела. Ошибка в формулировке превращает техническую нештатную ситуацию в удобную версию обвинения: «сам признал нарушение регламентов», «подтвердил доступ», «описал обход защиты».
Обычно давление выглядит так: «нужно срочно, сегодня, иначе дисциплинарка». При этом у сотрудника нет доступа к логам, актам, SIEM-выгрузкам, схеме сегментации и решениям комиссии по КИИ. В таких условиях объяснительная, написанная «по памяти», создаёт риски неверной квалификации, подмены причин инцидента и последующего спорного доказывания вины, умысла и роли лица.
Кратко по сути: Руководство требует объяснительную по инциденту КИИ — что писать
- Фиксируйте только проверяемые факты: дату/время смены, ваши задачи, какие системы обслуживали, какие заявки выполняли.
- Указывайте источник сведений: «со слов дежурного», «по уведомлению в тикет-системе», «по сообщению SOC» — не выдавайте предположения за факты.
- Отделяйте факт от оценки: «наблюдалось отключение сервиса» вместо «я нарушил правила эксплуатации».
- Пишите про действия по регламенту: кому сообщили, какие процедуры эскалации и изоляции применили, какие действия не выполняли из-за отсутствия полномочий.
- Просите предоставить материалы проверки: логи, акты, регламенты, приказы о допусках, чтобы дать уточнения после ознакомления.
Тактика и стратегия в ситуации: Руководство требует объяснительную по инциденту КИИ — что писать
Ключевая цель — не «оправдаться», а сохранить управляемость рисков и доказательств. Помните про презумпцию невиновности: вы не обязаны доказывать отсутствие вины, а ваши слова не должны подменять работу комиссии и правоохранительных органов. Любая фраза про «нарушил», «обошёл», «понимал, что нельзя», «сделал, чтобы быстрее» может быть интерпретирована как указание на умысел либо грубую неосторожность.
Стратегия защиты строится вокруг трёх точек контроля: процессуальный порядок (кто и на каком основании запрашивает объяснение, сроки, права на ознакомление), допустимость доказательств (как и кем собраны логи, образы дисков, выгрузки, соблюдена ли цепочка хранения), и позиция защиты (ваша роль, полномочия, наличие/отсутствие доступа и приказов, фактическая возможность предотвратить последствия).
Нормативное регулирование и правовые институты
Инциденты на объектах критической информационной инфраструктуры рассматриваются через призму обязанностей по эксплуатации, соблюдения режимов доступа, выполнения регламентов реагирования и внутреннего контроля. На практике запускаются параллельные контуры: служебная проверка работодателя, расследование инцидента по требованиям регуляторов и, при наличии признаков, материалы для проверки правоохранительными органами. Важно понимать различие: дисциплинарная оценка «внутри компании» не равна уголовно-правовой оценке, где проверяются вина, причинно-следственная связь, роль лица и доказанность каждого элемента состава.
Как это работает на практике
Сценарий 1: Ночная смена, отключение сегмента, «пиши, что сам переключил»
Ситуация: связь пропала после аварийных работ подрядчика. Риск/ошибка: сотрудник пишет «переключил маршрутизацию в обход», чтобы показать инициативу. Верное решение: фиксировать только полученную заявку/команду, факт уведомления руководителя и отсутствие полномочий на изменение схемы без согласования; указать, что причины инцидента требуют анализа логов и актов работ.
Сценарий 2: Учётная запись использована для входа в КИИ
Ситуация: вход выполнен под вашей учёткой в нерабочее время. Риск/ошибка: «пароль знали коллеги, иногда передавал» — это превращает дело в историю про нарушения режима доступа. Верное решение: описать режим хранения токенов/паролей, факт обнаружения, немедленное уведомление ИБ, запрос на проверку компрометации, указать, что вы лично доступ в указанное время не осуществляли и готовы предоставить алиби/данные.
Сценарий 3: Обновление ПО и падение сервиса КИИ
Ситуация: релиз раскатили по поручению, затем простой. Риск/ошибка: признать «не проверил», «пропустил тесты». Верное решение: сослаться на утверждённый регламент релизов, наличие согласования/Change-тикета, перечень выполненных шагов и то, что контрольные процедуры распределены между ролями (админ, ИБ, владелец сервиса).
Типичные ошибки в данной ситуации
- Самоквалификация: «я нарушил правила эксплуатации КИИ», «виноват» вместо нейтральных фактов.
- Домыслы о причинах инцидента без доступа к логам и актам.
- Описания «обходов», «лайфхаков», временных решений, которые выглядят как сознательное ослабление защиты.
- Указание на передачу паролей/токенов или общий доступ «для удобства».
- Подписание объяснительной «задним числом» или под диктовку, без копии и регистрации входящего.
- Перечисление лишних деталей инфраструктуры (IP, схемы, уязвимости), не нужных для объяснения ваших действий.
Что важно учитывать для защиты прав
В уголовной плоскости решающими становятся: наличие у вас обязанностей и полномочий (приказы о назначении, матрица доступов, инструкции), реальная возможность предотвратить последствия, и доказанность причинной связи между вашим действием/бездействием и инцидентом. Защита обычно проверяет, не подменяют ли «нарушение процесса» техническим результатом, и как собраны цифровые следы: кто снимал логи, делал образы, кто имел доступ к носителям, есть ли протоколирование и неизменяемость. Если доказательства собраны с нарушениями, ставится вопрос об их недопустимости и о корректности экспертиз и специальных исследований.
Практические рекомендации адвоката
Что делать сейчас, чтобы не ухудшить положение:
- Попросите выдать запрос письменно: кто требует объяснительную, по какому инциденту, срок, формат, кому адресуется.
- Перед подготовкой попросите материалы: регламент реагирования, ваш должностной функционал, тикеты, уведомления SOC, протоколы/акты комиссии.
- Пишите коротко и фактологично: «что видел/получил/сделал/кому сообщил», без самооценок и версий.
- Включите оговорку: «готов дать дополнительные пояснения после ознакомления с материалами проверки и логами».
- Сделайте копию и зафиксируйте передачу (входящий номер/почта/ЭДО), не передавайте единственный экземпляр без следа.
- Если намекают на уголовные последствия или вызывают «на беседу», подключайте адвоката до первого опроса/объяснения.
Вывод
Объяснительная по инциденту КИИ — это не «формальность», а документ, который может определить вектор проверки и будущей квалификации. Ваша задача — дать проверяемые факты, не создавать признаний и не подменять собой расследование; при первых признаках силового сценария — выстраивать позицию защиты с адвокатом.
В вашей ситуации объяснительную уже просят «срочно» или есть возможность сначала запросить материалы и согласовать текст с адвокатом?
Информация актуальна по состоянию на май 2026.