Кибербезопасность стройкомпаний

Кибербезопасность стройкомпаний — это технические и юридические меры, которые защищают проектную документацию, сметы, платёжные реквизиты и персональные данные работников. За последствия взлома компания отвечает перед контрагентами, сотрудниками и государством, даже если атака пришла через субподрядчика или подрядчика-соисполнителя. Защита строится в трёх плоскостях: доступы и резервные копии, регламент действий при инциденте, договорные условия о сохранности данных.

Если взлом уже случился, порядок такой. Заражённые устройства отключают от сети, журналы и переписку сохраняют в неизменном виде, пароли и ключи электронной подписи меняют. При утечке персональных данных оператор уведомляет Роскомнадзор в течение суток. Затем подают заявление в полицию и предупреждают контрагентов, чьи сведения могли попасть к злоумышленникам. Каждый шаг разобран ниже, с указанием документов и рисков.

Атаки, которые чаще всего бьют по стройкомпаниям

Строительный бизнес привлекает злоумышленников тем, что у него много платежей, много подрядчиков и много людей, которые работают с почтой с телефона на площадке. Самая частая схема — подмена платёжных реквизитов. Бухгалтерия получает письмо «от поставщика» или «от субподрядчика» с новыми реквизитами для оплаты акта, и деньги уходят на чужой счёт. Письмо приходит с адреса, отличающегося одним знаком, либо из реально взломанного ящика контрагента, и тогда внешне оно неотличимо от настоящего.

Вторая группа угроз — шифровальщики. Вредоносная программа блокирует файловый сервер с проектной документацией, сметами и исполнительными схемами, а за расшифровку требуют выкуп. Для компании со сроками сдачи этапов заморозка архива равна простою: нельзя оформить акты, нельзя выдать рабочую документацию бригадам, нельзя подтвердить объёмы заказчику. Заказчик при этом вправе ссылаться на просрочку, и спор о неустойке превращается в спор о причинах простоя.

Третья группа связана с оборудованием на площадке. Камеры видеонаблюдения, турникеты, системы учёта техники и телематика самосвалов часто работают на заводских паролях и подключены к интернету напрямую. Через такие устройства злоумышленник попадает во внутреннюю сеть, а запись с камер оказывается в открытом доступе. Отдельно стоит утечка заявочных материалов: если расчёт цены для тендера попал к конкуренту до подачи заявки, компания теряет контракт и не всегда может доказать причину.

Четвёртая угроза внутренняя, и о ней вспоминают реже всего: увольняющийся сметчик или инженер забирает с собой базу расценок, шаблоны актов и контакты заказчиков. Здесь вопрос решается не техникой, а документами. Если в компании введён режим коммерческой тайны и сотрудник под роспись знал о нём, работодатель вправе требовать возмещения убытков и обращаться в суд. Если режима нет, доказывать придётся, что сведения вообще были секретными, и суд, как правило, этого не принимает.

Что защищать в первую очередь

Перечень защищаемых сведений начинают с вопроса «что остановит работу и что нельзя потерять». На практике это проектная и рабочая документация, сметы и коммерческие предложения, исполнительная документация и акты, база контрагентов с реквизитами, ключи электронной подписи, а также кадровые данные. Для каждой группы назначают владельца: человека, который решает, кому дать доступ и кто за это отвечает.

Технический минимум одинаков для небольшой подрядной фирмы и крупного генподрядчика. Нужны отдельные учётные записи для каждого сотрудника без общих паролей, двухфакторный вход в почту и облачные хранилища, резервные копии, которые хранятся вне основной сети и периодически проверяются на восстановление, и обновление программного обеспечения на ноутбуках прорабов. Права доступа привязывают к должности: сметчик видит сметы, но не кадровую базу, кладовщик не видит платёжные документы.

Отдельное внимание — совместной работе с проектировщиками и субподрядчиками. Если проект ведётся в общей среде данных или в облачном хранилище, внешним участникам выдают доступ только к своему разделу и на срок договора. По окончании работ учётные записи закрывают, и это фиксируют письменно. Незакрытый доступ ушедшего субподрядчика — типичная причина утечки, за которую позже придётся отвечать заказчику-владельцу данных.

Электронная подпись требует собственного режима. Владелец сертификата отвечает за конфиденциальность ключа, а документ, подписанный квалифицированной подписью, признаётся равным бумажному (Федеральный закон об электронной подписи). Если ключ украден и с его помощью подписан акт, контракт или платёжное поручение, компании придётся доказывать, что ключ выбыл из её владения против воли. Поэтому ключи хранят на защищённых носителях, а не в папке на рабочем столе, и при подозрении на компрометацию сразу обращаются в удостоверяющий центр с просьбой об отзыве сертификата.

Для площадочного оборудования действует простое правило: всё, что выходит в интернет, получает уникальный пароль и отдельный сегмент сети. Камеры и турникеты не должны видеть бухгалтерский сервер. Запись с камер, на которой можно опознать работников, относится к персональным данным, поэтому срок её хранения и круг лиц с доступом закрепляют приказом, а на объекте размещают информирующую табличку.

Первые часы после инцидента

Скорость и аккуратность действий в первые часы определяют, удастся ли доказать масштаб ущерба и что компания приняла разумные меры. Порядок действий лучше закрепить письменной инструкцией, потому что при реальной атаке времени на раздумья нет.

Сначала изолируют проблему: отключают заражённые компьютеры от сети, но не выключают их питание, чтобы не стереть данные из оперативной памяти. Затем сохраняют доказательства — журналы почтового сервера, письмо с подменёнными реквизитами вместе со служебными заголовками, записи платёжной системы банка. Нотариальный осмотр электронной переписки допускается и бывает полезен, если ущерб крупный и вероятен суд. Одновременно блокируют платёж: если деньги отправлены на подменённый счёт, в банк плательщика немедленно подают заявление об отзыве платежа и о запросе в банк получателя. Чем раньше обращение, тем выше шанс заморозить средства.

Дальше идут внешние уведомления. В полицию подают заявление о неправомерном доступе к компьютерной информации (глава 28 УК РФ), о мошенничестве или о том и другом, если причинён имущественный ущерб. Банк получает отдельное обращение. Если в похищенных данных были персональные данные, срабатывает обязанность уведомить Роскомнадзор: о самом факте утечки сообщают в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Контрагентам, чья конфиденциальная информация могла пострадать, сообщают в сроки, которые установлены договором, а если сроков нет, то сразу, как стало известно.

Политики и регламенты внутри компании

Политика информационной безопасности нужна не для проверяющего, а для суда и для страховой компании. Когда спор дойдёт до обсуждения вины, ответчик с документами в руках докажет, что принимал разумные меры, а истец без них проиграет аргумент о «добросовестной защите». Документов немного, но они должны быть подписаны, а работники — ознакомлены под роспись.

Базовый набор такой: положение о режиме коммерческой тайны с перечнем сведений и списком допущенных лиц (его требует Федеральный закон о коммерческой тайне, без введённого режима тайна юридически не охраняется), правила работы с корпоративной почтой и съёмными носителями, порядок использования личных устройств, регламент выдачи и закрытия доступов, план реагирования на инциденты. Отдельным приложением идёт положение об обработке персональных данных. С работниками подписывают обязательство о неразглашении, а в должностные инструкции включают обязанность сообщать о подозрительных письмах.

Обучение проводят короткое и регулярное. Сотруднику бухгалтерии показывают, как выглядит письмо с подменёнными реквизитами, и вводят правило: изменение реквизитов подтверждается звонком по номеру из договора, а не из письма. Прорабам объясняют, что нельзя пересылать проект через личные мессенджеры. Закон такой порядок прямо не предписывает, но при споре он подтверждает вину нарушившего работника и ограничивает претензии контрагента к компании.

Особняком стоит страхование. Полис киберрисков покрывает расходы на восстановление данных, простой и иногда ответственность перед третьими лицами, но страховщик требует подтверждения базовых мер защиты: резервных копий, многофакторного входа, обновлений. Отказ в выплате из-за того, что заявленные меры не соблюдались, — частый предмет спора, поэтому документы о защите хранят вместе с полисом.

Безопасность данных в договорах подряда и субподряда

Договор подряда или субподряда — главное место, где безопасность данных превращается в обязательство. Если там нет ни слова о конфиденциальности, ответственность придётся выводить из общих норм Гражданского кодекса о возмещении убытков, а доказать размер ущерба от утечки сложно. Поэтому условия вписывают заранее и конкретно.

В договор включают определение конфиденциальной информации (проектная документация, сметы, технические решения, сведения о заказчике), порядок обращения с ней, перечень лиц, имеющих доступ, и срок обязательства после окончания работ. Закрепляют обязанность сообщить о нарушении безопасности в течение определённого времени, право заказчика проверять меры защиты у подрядчика и порядок возврата либо удаления данных по завершении. Для денежных расчётов фиксируют правило о смене реквизитов: только по подписанному уведомлению и с подтверждением по согласованному каналу.

С точки зрения платежей важна статья 312 Гражданского кодекса. Должник вправе требовать доказательства того, что исполнение принимает сам кредитор или уполномоченное лицо, и несёт риск, если не потребовал. Простыми словами, оплата по письму с новыми реквизитами без проверки не освобождает от долга: подрядчик вправе потребовать оплаты повторно, а суд проверит, насколько заказчик был осмотрителен.

Ответственность и споры после взлома

Ответственность делится на три линии. Перед контрагентом компания отвечает по договору: по общим правилам Гражданского кодекса убытки возмещаются, если нарушение виновное, а договорная неустойка взыскивается и без доказывания размера убытков. Перед работниками и другими субъектами персональных данных наступает административная ответственность по статье 13.11 КоАП РФ, а с 2025 года за повторные и массовые утечки предусмотрены оборотные штрафы, поэтому актуальные размеры сверяют с действующей редакцией. Перед государством — отдельный случай, если компания связана с объектами критической информационной инфраструктуры.

Преступником в первую очередь является атакующий: неправомерный доступ, создание и использование вредоносных программ, а с 2024 года и незаконное использование персональных данных образуют самостоятельные составы в Уголовном кодексе. Однако раскрываемость таких дел невысока, и реальный путь возмещения вреда — через договорные отношения и страхование киберрисков, если оно оформлено. Гражданский иск к самому злоумышленнику возможен в уголовном деле, но чаще всего ответчик неизвестен.

Споры между компаниями после инцидента рассматривает арбитражный суд. Типичные поводы — заказчик требует неустойку за просрочку, потому что подрядчик потерял документацию; подрядчик требует оплату, ссылаясь на то, что платёж ушёл на подменённые реквизиты по вине заказчика; субподрядчик отвечает за утечку проектных решений. Ключевые доказательства в таких делах — переписка с заголовками, журналы доступа, акты ознакомления с политикой, заявление в полицию и обращение в банк. Экспертиза переписки и технических журналов часто решает вопрос о том, чья система была скомпрометирована.

Отдельный вопрос — взыскание с мошенников и банков. Банк получателя вправе приостановить операции по подозрительному счёту, но возвращает деньги, как правило, только при согласии держателя счёта или по решению суда либо по постановлению следователя о наложении ареста. Обращаться к банку плательщика с претензией о том, что он не заметил подозрительную операцию, имеет смысл, если платёж явно выбивался из обычной практики компании. Заранее собранная история платежей помогает показать, насколько нетипичным был перевод.

Если спор касается платежа на подменённый счёт, в претензии и в иске подробно описывают хронологию: когда пришло письмо, кто его обработал, какую проверку провели, когда обнаружили обман и в какой срок обратились в банк и полицию. Суд оценивает именно осмотрительность сторон, а не сам факт мошенничества.

Что сделать в ближайший квартал

Начните с короткого аудита, который не требует больших затрат: составьте перечень информационных систем, учётных записей и людей с доступом к платёжным документам. Одновременно проверьте, где хранятся резервные копии и когда восстановление последний раз проверялось на практике. Эти два шага закрывают самые болезненные последствия атаки.

Затем приведите в порядок документы. Утвердите положение о коммерческой тайне, политику обработки персональных данных, регламент реагирования на инциденты. Добавьте в типовые договоры подряда и субподряда условия о конфиденциальности, порядке смены реквизитов и уведомлении об инциденте. Проверьте уже действующие крупные контракты: часто в них находят требования заказчика к безопасности, которые подрядчик принял, но не выполняет. Нарушение таких требований заказчик использует как основание для штрафа или одностороннего отказа.

Наконец, договоритесь с адвокатом о порядке действий на случай атаки: кто звонит в банк, кто готовит заявление в полицию, кто уведомляет Роскомнадзор и контрагентов, где лежат шаблоны писем. Заранее подготовленные шаблоны экономят часы в момент, когда счёт идёт на минуты. Если вы уже столкнулись с утечкой или спором о платеже, пришлите договор, переписку и платёжные документы на почту, и адвокат оценит позицию до обращения в суд.

Основной канал связи с адвокатом — электронная почта sporystroitelnye@gmail.com