Если после инцидента КИИ просят стереть логи и молчать, это почти всегда означает, что кто-то уже думает не о восстановлении, а о том, как «переписать» цифровой след. Для инженера, администратора, ИБ-специалиста или руководителя смены такая просьба опасна: вы можете оказаться тем, кому потом вменят нарушения эксплуатации КИИ или создание условий для сокрытия инцидента.
Критичность ситуации в том, что логи, дампы, тикеты, переписка и следы в системах мониторинга — это будущие доказательства. Их удаление или «чистка» может быть интерпретирована как умышленные действия, влияющие на квалификацию, на оценку умысла и на допустимость доказательств в деле, а ваша первоначальная «молчаливая лояльность» — как согласие участвовать в рискованных решениях.
Кратко по сути: После инцидента КИИ просят стереть логи и молчать
- Не удаляйте и не «переподписывайте» журналы, даже если «так принято» — это усиливает подозрения в умышленном сокрытии.
- Фиксируйте распоряжения: кто, когда и в какой форме просил «стереть логи» (без самодеятельности и утечек).
- Обеспечьте сохранность артефактов: резервная копия, хеш-суммы, цепочка хранения — через установленный регламент.
- Не давайте устных «объяснений на месте» без понимания процессуального статуса и без адвоката.
- Соблюдайте внутренний и процессуальный порядок: инцидент, расследование, уведомления, доступы, разграничение ролей.
Тактика и стратегия в ситуации: После инцидента КИИ просят стереть логи и молчать
Стратегическая задача защиты — не «спорить с фактом инцидента», а управлять рисками трактовки ваших действий. Следствие обычно реконструирует события по цифровому следу: кто имел доступ, какие команды выполнялись, что изменялось, какие регламенты действовали и кто принимал решения. Любое «стирание» ломает картину и автоматически поднимает вопрос: зачем. Именно поэтому важно опираться на презумпцию невиновности и выстраивать позицию защиты вокруг роли лица, регламента, полномочий и технической возможности совершать те или иные действия.
Точки контроля для адвоката и доверителя: (1) установить ваш реальный статус и риски по составам, связанным с эксплуатацией и безопасностью КИИ, (2) отделить административные ошибки от уголовно-значимых действий, (3) обеспечить сохранность данных без самостоятельного «расследования», (4) заранее подготовиться к изъятию техники и вопросам о доступах, (5) исключить интерпретацию ваших действий как умышленных — через документы, логи доступа, приказы и регламенты.
Нормативное регулирование и правовые институты
В делах о КИИ ключевое значение имеют нормы УК РФ о нарушении правил эксплуатации и обеспечения безопасности критической информационной инфраструктуры, а также правила, вытекающие из законодательства о КИИ и информационной безопасности (включая обязанности по организации защиты, реагированию на инциденты и ведению учета событий). Процессуально важно, что доказательства собираются и оцениваются по УПК РФ: соблюдение порядка осмотра, выемки, обыска, назначение компьютерно-технических исследований, а также требования к сохранности носителей и воспроизводимости результатов. Для защиты принципиальны институты: законность получения доказательств, их допустимость, установление роли и полномочий лица, разграничение ответственности между сотрудником и организацией.
Как это работает на практике
Сценарий 1: «Руководитель смены сказал почистить логи, чтобы не было паники»
Риск/ошибка: выполнение устного распоряжения без фиксации и без понимания последствий; затем следствие трактует «чистку» как сознательное сокрытие. Верное решение: не удалять данные, перевести распоряжение в письменный вид через официальный канал, инициировать сохранение артефактов по регламенту, подключить юриста/адвоката до общения с проверяющими.
Сценарий 2: «Подрядчик ИБ попросил не передавать логи внешним, пока не “причешем”»
Риск/ошибка: передача доступа третьим лицам, изменение конфигураций «задним числом», утрата цепочки хранения. Верное решение: ограничить доступы, оформить поручение и рамки работ, фиксировать все изменения, обеспечить неизменность исходных носителей и журналов, согласовывать коммуникации с регуляторами и следствием через уполномоченных.
Сценарий 3: «Вызвали на опрос, попросили “просто рассказать, что было”»
Риск/ошибка: дать объяснения без определения статуса и без ознакомления с вопросами; потом любые неточности используют против вас. Верное решение: уточнить статус (свидетель/подозреваемый), заявить о необходимости адвоката, готовиться к допросу по фактам, не строить гипотез, отделять личные действия от решений руководства и регламентов.
Типичные ошибки в данной ситуации
- Удаление логов, перезапуск сервисов «для чистоты», переразметка дисков и иные необратимые действия.
- Самостоятельное «расследование» с изменением конфигураций и прав доступа без фиксации.
- Передача переписок и файлов «проверяющим» вне официальной процедуры, без описи и копий.
- Подписание объяснений/служебных записок с формулировками про «вину», «нарушение» и «обязан был».
- Обсуждение инцидента в общих чатах и пересылка логов на личные устройства.
- Отказ от адвоката из-за надежды «быстро разойтись» и «ничего же не сделал».
Что важно учитывать для защиты прав
Защита строится вокруг доказательственной логики: что именно вы сделали, имели ли вы полномочия, был ли у вас доступ, могли ли ваши действия причинно повлиять на последствия, и был ли умысел. В делах по КИИ часто спорят не «про технику», а про управленческие решения и распределение обязанностей: кто утверждал регламент, кто отвечал за сегментацию, обновления, контроль событий, реагирование. Важно добиваться корректной фиксации изъятий и исследований: описи, целостность носителей, протоколирование, копирование с контролем хеш-сумм — иначе появляется основание ставить вопрос о нарушении процессуального порядка и о недопустимости части материалов. Отдельное направление — минимизация риска неверной квалификации: отделить дисциплинарный проступок и техническую ошибку от уголовно наказуемого нарушения правил эксплуатации КИИ.
Практические рекомендации адвоката
- Немедленно прекратите любые действия, которые изменяют или уничтожают данные (логи, дампы, конфиги), кроме предусмотренных регламентом мер аварийного реагирования.
- Зафиксируйте контекст: время инцидента, кто давал команды, какие системы затронуты, какие учетные записи использовались.
- Организуйте сохранение артефактов по официальной процедуре: резервные копии, описи, контроль целостности, ограничение доступа.
- Не вступайте в «переговоры о молчании» и не давайте обещаний «ничего не рассказывать» — вы не обязаны самооговариваться, но обязаны не препятствовать расследованию.
- Перед любыми опросами, допросами, выемками и осмотрами — обеспечьте участие адвоката; согласуйте единый план коммуникации.
- Соберите документы: должностная инструкция, приказы о назначении ответственных, регламенты, заявки, тикеты, SLA с подрядчиками — это основа для определения роли лица.
Вывод
Когда после инцидента на КИИ вас просят «стереть логи и молчать», это сигнал высоких уголовно-правовых рисков: такая просьба может превратить технического специалиста в удобного «ответственного» и осложнить защиту. Правильная линия — сохранять данные, действовать по регламенту и выстраивать позицию защиты с адвокатом до первого контакта со следствием.
Вопрос к читателю: кто именно просит «стереть логи» — руководитель, ИБ-служба, подрядчик — и в какой форме это было озвучено?
Информация актуальна по состоянию на июнь 2026.