Представьте обычное утро. Администратор включает компьютер, а вместо расписания видит требование о выкупе. На соседнем рабочем месте не открывается МИС. В диагностическом кабинете исследования ещё доступны на консоли, но отправить их в архив уже нельзя. Телефоны начинают звонить ровно в тот момент, когда никто не может уверенно сказать, что именно сломалось.
В такой ситуации самая опасная иллюзия звучит почти разумно: «Сейчас перезагрузим сервер, подключим резервный диск и быстро вернём работу». Именно этим движением можно зашифровать последнюю доступную копию, потерять следы атаки и пустить заражение дальше.
Главный вопрос первых 48 часов не в том, как скорее включить всё обратно. Он в том, как сохранить медицинскую непрерывность, остановить распространение и вернуть только проверенный контур. Ответ начинается не с героизма системного администратора, а с заранее назначенных ролей и нескольких скучных листов бумаги.
Что считать шифровальщиком, а что — просто сбоем
Не каждый недоступный файл означает ransomware. Хранилище может потерять связь, сертификат — истечь, база — остановиться после обновления. Но сочетание нескольких признаков требует обращаться с событием как с серьёзным инцидентом, пока специалисты не докажут обратное:
- файлы массово меняют расширения или перестают открываться;
- появляется записка с требованием оплаты;
- одновременно отказывают разные рабочие места;
- антивирус или EDR сообщает о массовом изменении файлов;
- недоступны сетевые папки и резервные каталоги;
- возникают неизвестные привилегированные учётные записи или подозрительные входы;
- сотрудник видит, что привычный документ заменён зашифрованной копией.
Для директора различие простое. Сбой лечат восстановлением функции. Инцидент сначала сдерживают и исследуют, а уже потом восстанавливают функцию. Если перепутать порядок, клиника может быстро вернуть систему, в которой злоумышленник всё ещё имеет доступ.
Руководство CISA по ransomware рекомендует сначала определить затронутые системы и немедленно изолировать их, а также сохранить журналы и иные артефакты. Это иностранный технический источник, не российская норма, но логика реагирования универсальна: не стирать сцену происшествия попыткой «починить всё за пять минут».
Почему «план на 48 часов» не означает, что клиника восстановится за двое суток
Название этого материала легко понять неправильно. Сорок восемь часов — не обещание полного восстановления. У одной клиники повреждено рабочее место регистратора, у другой — домен, виртуальная инфраструктура, PACS и резервные копии. Масштаб разный, а значит, разными будут сроки.
Первые двое суток — это горизонт управленческих решений. За него нужно:
- подтвердить сигнал и ограничить распространение;
- сохранить доступные доказательства;
- включить безопасные ручные маршруты;
- понять, затронуты ли персональные данные;
- определить юридические и договорные действия;
- построить очередь восстановления;
- вернуть минимально необходимую работу на чистой основе;
- сообщать сотрудникам и пациентам только подтверждённые факты.
Именно здесь проходит граница между аварией и хаосом. Авария может быть тяжёлой, но у неё есть координатор, журнал решений и очередь работ. Хаос — это когда каждый спасает знакомый ему компьютер, а общую картину никто не держит.
Первые 15 минут: остановить руки, а не клинику
Человек, который первым увидел признаки атаки, не должен проводить расследование. Ему нужен короткий алгоритм, помещающийся на одной карточке.
1. Зафиксировать наблюдаемое
Запишите время, имя устройства или кабинет, что именно видно на экране и какие действия выполнялись перед этим. Если внутренний порядок разрешает, сделайте фотографию экрана без захвата данных пациентов. Не пересылайте её в общий чат и не копируйте медицинские документы «для доказательства».
2. Прекратить работу с устройством
Не открывайте другие папки, не вставляйте флешку, не подключайте резервный диск, не запускайте случайную «лечащую» программу из интернета. Если утверждённая инструкция предписывает отключить устройство от сети, выполните именно её. При отсутствии такой инструкции решение об изоляции принимает технический ответственный.
3. Сообщить по аварийному каналу
Номер координатора и резервный номер должны быть доступны вне корпоративной системы: на бумаге, в защищённом офлайн-справочнике, у руководителя смены. Если контакты лежат только в зашифрованной папке, это не аварийный список, а декорация.
4. Не обсуждать версии публично
Фразы «нас взломали», «все данные украли» или «это просто вирус» одинаково вредны без подтверждения. Сотрудник передаёт факты координатору. Внешние сообщения делает назначенная роль после согласования с руководством и юристом.
Эти четыре действия выглядят скромно. В этом и сила: их реально повторить, когда вокруг шумно.
Первые 60 минут: один координатор, четыре рабочих потока
В первый час нужно разделить работу. Если один человек одновременно изолирует сеть, звонит подрядчикам, отвечает врачам и пишет сообщение пациентам, он неизбежно что-то упустит.
Техническое сдерживание
Техническая группа определяет затронутые устройства, сегменты, учётные записи, облачные ресурсы и внешние подключения. Она не обязана сразу знать точку входа. Её первая задача — уменьшить область поражения и не потерять артефакты.
Медицинская непрерывность
Операционная группа отвечает за пациентов: кто уже в клинике, какие процедуры нельзя безопасно продолжать, где доступна подтверждённая информация, какие визиты нужно перенести. Решения об оказании медицинской помощи остаются в компетенции медицинского руководства, не IT.
Право и данные
Ответственный за персональные данные вместе с юристом оценивает, есть ли признаки неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным. Сам факт шифрования ещё не доказывает утечку, но современные атаки могут сочетать шифрование с предварительным копированием данных.
Если установлен инцидент, подпадающий под часть 3.1 статьи 21 Федерального закона № 152-ФЗ, закон предусматривает первичное уведомление уполномоченного органа в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов. Применимость, содержание и порядок уведомления нужно определять с профильным юристом и ответственным за данные по подтверждённым фактам, а не по слухам из коридора.
Коммуникации
Коммуникационный владелец собирает подтверждённый статус и выпускает короткие сообщения для сотрудников, партнёров и, когда это требуется, пациентов. Он не объясняет техническую версию атаки. Он отвечает на три вопроса: что сейчас доступно, какой временный маршрут действует и когда будет следующее обновление.
Нельзя «выключить всё» одной командой — и нельзя оставить всё включённым
Совет «немедленно обесточьте каждый компьютер» звучит решительно, но может уничтожить данные в оперативной памяти и краткоживущие журналы. Обратный совет «ничего не трогайте до приезда экспертов» тоже может дать атаке время распространиться.
Поэтому в плане нужны заранее согласованные уровни изоляции:
- отдельное рабочее место отключается от проводной и беспроводной сети;
- кабинет или VLAN блокируется на коммутаторе;
- внешний удалённый доступ приостанавливается;
- скомпрометированная учётная запись отключается, её активные сессии и токены отзываются;
- при подтверждённом широком распространении изолируются крупные сегменты;
- критические медицинские устройства переводятся в безопасный автономный режим только по согласованной процедуре производителя и медицинского руководства.
Техническому специалисту важно знать не только «что отключить», но и какую клиническую функцию он остановит. Сетевой порт может выглядеть обычным, а за ним — рабочая станция, от которой зависит получение исследований. Именно поэтому актуальная схема сети ценнее толстого регламента, который никто не открывал два года.
Если сеть клиники до инцидента была плоской, одна заражённая учётная запись получает слишком широкий горизонт. Разбор сегментации Wi‑Fi и медицинских устройств полезен не только для гостевого интернета: он показывает, почему касса, оборудование, сотрудники и посетители не должны жить в одном доверенном контуре.
Что сохранять, чтобы потом не гадать
Журнал инцидента — не литературная хроника и не склад медицинских документов. Это последовательность проверяемых фактов.
Минимальная запись содержит:
- точное время и часовой пояс;
- источник сигнала;
- безопасный идентификатор устройства или системы;
- наблюдаемый признак;
- кто принял решение;
- что именно изменили;
- какой результат получили;
- где хранится технический артефакт;
- какое действие назначено следующим.
Отдельно сохраняют доступные системные журналы, уведомления средств защиты, сетевые события, сведения об аутентификации, снимки облачных ресурсов и другие артефакты по инструкции специалистов. Не нужно копировать в общий файл ФИО пациентов, тексты протоколов, пароли, ключи или содержимое переписки.
Полезное правило: журнал отвечает на вопрос «кто, когда и почему изменил состояние системы». Если в нём только «пытались починить сервер», он не поможет ни расследованию, ни управлению.
Как клинике работать, пока цифровой контур недоступен
Резервный маршрут нужен не для красивого приложения к регламенту. Он нужен для конкретного утра, когда расписание не открывается.
Регистратура
Команда должна знать, как подтвердить уже запланированные визиты из разрешённого автономного списка, как зарегистрировать новые обращения без лишних персональных данных и как потом корректно перенести записи обратно. Нельзя заводить стихийные таблицы на личных устройствах: после восстановления клиника получит вторую проблему — неконтролируемые копии данных.
Врачи
Медицинский руководитель определяет, какие приёмы можно безопасно продолжить при ограниченной доступности истории и какие необходимо отложить. Временный документ должен быть утверждён, защищён и затем корректно перенесён в основную систему. IT не принимает клиническое решение за врача.
Диагностика
Наличие снимка на консоли аппарата не означает, что весь диагностический маршрут работает. Нужно отдельно проверить получение исследования, просмотр, описание, передачу результата и архив. О различии этих ролей подробнее рассказывает материал о том, почему нельзя хранить все исследования КТ на одном компьютере.
Касса и связь
Финансовая служба и администраторы используют заранее утверждённые резервные процедуры. Не стоит придумывать их во время инцидента. Условия работы кассы, эквайринга, телефонии и интернет-каналов должны быть проверены на учебном сценарии без данных реальных пациентов.
Часы 2–6: подтвердить масштаб, а не построить красивую версию
К этому моменту руководство обычно требует ответ: «Насколько всё плохо?» Честный ответ может звучать так: «Подтверждены три затронутых устройства; сервер МИС изолирован; наличие копирования данных пока не установлено; следующий статус — через 30 минут». Это лучше, чем уверенное, но выдуманное «утечки нет».
Техническая группа строит карту:
| Контур | Что известно | Что ещё проверяется | Временный маршрут | Решение о возврате |
|---|---|---|---|---|
| Учётные записи | Подозрительные входы и изменения | Масштаб компрометации | Отдельные аварийные учётные записи | После отзыва сессий и проверки |
| МИС | Доступность сервиса и базы | Целостность, точка входа | Утверждённый ручной процесс | Медицинский и технический владельцы |
| PACS | Какие узлы доступны | Репликация, архив, интеграции | Локальный безопасный просмотр | Владелец диагностики и IT |
| Файлы | Какие каталоги изменены | Шифрование, удаление, копирование | Только разрешённые чистые ресурсы | После проверки источника |
| Резерв | Наличие и даты копий | Чистота и восстанавливаемость | Не подключать к заражённому контуру | Руководитель восстановления |
В этот период особенно опасно путать отсутствие признаков с доказанным отсутствием события. Если журнал хранится семь дней, а атака началась раньше, уверенный вывод может быть просто невозможен. Это не повод драматизировать, но повод честно фиксировать пределы знания.
Резервная копия — это кандидат на восстановление, а не кнопка «назад»
Классическая ошибка после шифрования — подключить последний резерв к той же среде и сразу начать восстановление. Но копия может быть повреждена, заражена, неполна или зависеть от уже скомпрометированных учётных записей.
Перед восстановлением проверяют:
- дату и полноту копии;
- неизменность или защищённость хранилища;
- наличие необходимых ключей, лицензий и конфигураций;
- совместимость с чистой инфраструктурой;
- отсутствие известных вредоносных артефактов;
- способность развернуть систему в изолированной тестовой зоне;
- контрольную бизнес-функцию — например, открыть тестовую запись, а не просто увидеть успешный статус задания.
CISA отдельно рекомендует хранить офлайн-копии и регулярно проверять их доступность и целостность в сценарии восстановления. Для клиники важно добавить медицинский критерий: после восстановления должны работать не только серверы, но и безопасный путь от записи пациента до результата исследования.
Полезный подробный маршрут есть в статье о проверке восстановления резервных копий клиники. Она помогает отделить факт «копирование выполнялось» от доказательства «систему можно вернуть».
Часы 6–12: собрать очередь восстановления
Восстанавливать всё одновременно нельзя. Команда распыляется, зависимости скрываются, а руководитель получает пять наполовину работающих систем вместо одного устойчивого маршрута.
Приоритет определяют по четырём вопросам:
- влияет ли система на безопасность пациента;
- без неё останавливается ли приём или диагностика;
- от неё зависят другие сервисы;
- есть ли безопасный ручной обход.
Очередь может начинаться с идентификации и базовой сети, затем переходить к МИС, интеграциям, архиву, телефонии и второстепенным сервисам. Но универсального порядка нет. Диагностический центр и небольшая стоматология зависят от разных узлов.
Для каждого элемента очереди должны быть пять отметок:
- Источник восстановления — конкретная проверенная копия или эталонный образ.
- Чистая площадка — сегмент, где нет доверия к старым учетным данным и устройствам.
- Владелец приёмки — человек, который понимает бизнес-функцию.
- Тест — последовательность действий, подтверждающая работу.
- Условие отката — признак, при котором систему снова изолируют.
Зелёный индикатор сервера не означает, что врач видит нужную историю, а администратор может записать пациента. Возврат принимает не только IT, но и владелец процесса.
Часы 12–24: вернуть минимальный чистый контур
Слово «чистый» здесь означает не «антивирус ничего не нашёл». Это среда, собранная из доверенных компонентов, с пересмотренными доступами и понятной точкой восстановления.
Минимальный контур обычно требует:
- новых или проверенных административных учётных записей;
- смены скомпрометированных секретов и отзыва активных сессий;
- обновлённых систем и средств защиты;
- сегментации сети;
- централизованного журналирования;
- проверки внешнего и подрядного доступа;
- теста ключевого маршрута на синтетических данных;
- запрета подключать непроверенные старые устройства.
Если вся клиника пользовалась одним административным паролем, установить границы события почти невозможно. Материал об общем пароле и персональных учётных записях объясняет, почему MFA и персональная атрибуция нужны не для усложнения жизни, а для управляемого отзыва доступа.
Возвращать старый ноутбук «потому что врачу срочно надо» можно только после проверки по согласованному маршруту. Иначе чистый контур за несколько минут снова становится старым.
Часы 24–48: расширять работу и закрывать юридические развилки
На вторые сутки задача меняется. Теперь недостаточно остановить распространение; нужно доказуемо расширять работу и фиксировать решения.
Что должно быть у руководителя
- актуальная карта затронутых и проверенных систем;
- список временно недоступных функций;
- очередь восстановления с владельцами;
- статус оценки персональных данных;
- принятые юридические и договорные действия;
- план коммуникаций;
- перечень предположений, которые ещё не подтверждены;
- время следующего управленческого решения.
Что должно быть у технической команды
- сохранённые артефакты и цепочка их хранения;
- перечень отозванных доступов и токенов;
- установленные или вероятные векторы проникновения;
- критерии чистоты для каждого возвращаемого узла;
- журналы тестов восстановления;
- список исключений, принятых руководством.
Что должно быть у операционной команды
- понятные пациентам формулировки;
- безопасный процесс переноса временных записей;
- список несостоявшихся или изменённых визитов;
- контроль медицинских документов, созданных в аварийном режиме;
- процедура завершения ручного режима.
Не обещайте пациентам срок, который техническая команда не подтверждала. Лучше назвать время следующего обновления статуса, чем несколько раз переносить «полное восстановление к вечеру».
Платить ли выкуп: почему статья не может дать универсальный ответ
Решение о выкупе связано с правом, расследованием, безопасностью, страховыми условиями и риском финансирования преступной деятельности. Его нельзя делегировать уставшему администратору или принимать по инструкции из интернета.
Даже оплата не доказывает, что:
- ключ восстановления сработает;
- все данные вернутся без повреждений;
- украденные сведения будут удалены;
- злоумышленник не сохранил доступ;
- атака не повторится;
- у организации не возникнут дополнительные правовые риски.
Практическая позиция для плана проста: сотрудникам запрещено вести самостоятельные переговоры и переводить средства. Решение принимает утверждённая группа с участием руководства, юриста, специалистов по реагированию и других применимых сторон. До этого команда сохраняет факты и не обещает ничего атакующей стороне.
Составной сценарий: как одна правильная пауза спасает резерв
Следующая сцена — иллюстративная реконструкция, собранная из типовых ситуаций; это не описание конкретной клиники и не доказательство статистики.
В начале смены регистратор замечает, что файлы в общей папке получили странные расширения. Она помнит короткую карточку: не открывает соседние каталоги, не подключает флешку, сообщает руководителю смены и отключает рабочее место от сети по инструкции. Руководитель звонит координатору по номеру на бумажном листе.
Через несколько минут технический специалист блокирует затронутый сегмент и внешний доступ, но не подключает резервное хранилище. Операционная команда переходит на утверждённый список сегодняшних записей без создания новых личных таблиц. Медицинский руководитель определяет, какие визиты можно продолжить безопасно.
Позже выясняется, что резерв доступен и не был подключён к поражённому контуру. Его разворачивают в изолированной среде, проверяют тестовый маршрут, меняют доступы и только затем возвращают основную функцию.
Главный выигрыш в этом сценарии — не «IT быстро победил вирус». Команда не уничтожила последнюю опору случайным движением и сохранила управляемость.
Красные флаги плана, который существует только на бумаге
План нельзя считать рабочим, если:
- аварийные контакты находятся только в корпоративной почте;
- в списке ролей написано «IT», но нет имени и заместителя;
- никто не знает, кто принимает решение об остановке МИС;
- резервная копия никогда не разворачивалась;
- для ручной записи используют личные устройства сотрудников;
- схема сети не отражает актуальные сегменты и подрядные подключения;
- у подрядчика есть постоянный общий удалённый доступ;
- руководство не знает о сроках и маршруте правовой оценки инцидента;
- коммуникации пациентам каждый раз сочиняются с нуля;
- после учений замечания записывают, но не закрывают;
- возврат системы подтверждают только фразой «сервер поднялся»;
- старые сессии, токены и сервисные учётные записи не отзывают.
Каждый такой пункт — конкретная задача, а не повод пугать команду.
Как провести учение без риска для клиники
Нельзя проверять готовность настоящим шифровальщиком и на реальных данных пациентов. Нужен tabletop-сценарий — настольное учение, где участники проходят события и решения без вмешательства в продуктивную среду.
Подготовка
Выберите один маршрут: например, «регистратура и файловая папка недоступны, есть подозрение на массовое шифрование». Назначьте ведущего, наблюдателя и владельцев решений. Подготовьте синтетические названия устройств и вымышленные события.
Проведение
Каждые десять–пятнадцать минут ведущий добавляет новое условие: недоступен резервный контакт; подрядчик просит постоянный доступ; врач требует срочно включить старую станцию; журналист звонит администратору. Участники должны не угадывать правильный ответ, а показать, где он записан и кто уполномочен его дать.
Оценка
Измеряйте не скорость ради скорости, а управляемость:
- сколько времени заняло оповещение координатора;
- нашёлся ли офлайн-список контактов;
- были ли понятны границы полномочий;
- удалось ли описать ручной маршрут без реальных данных;
- кто принял решение о восстановлении;
- какие зависимости оказались неизвестны.
После учения
Назначьте владельца и срок каждому пробелу. Повторите только проблемную часть. Учение без закрытия замечаний создаёт ложное чувство защищённости.
Что подготовить до инцидента: чек-лист руководителя
- Назначить координатора и заместителя. Их контакты доступны офлайн.
- Составить карту критических функций. Не серверов вообще, а записи, приёма, диагностики, результатов, связи и расчётов.
- Обновить схему сети и внешних доступов. Отметить подрядчиков, облака и сервисные учётные записи.
- Разделить контуры. Гостевая сеть, рабочие места, серверы и медицинские устройства не должны без необходимости доверять друг другу.
- Включить персональные учётные записи и MFA. Общий пароль не позволяет надёжно отозвать доступ и восстановить хронологию.
- Хранить защищённые резервные копии отдельно. Регулярно проверять развёртывание и бизнес-функцию.
- Сохранить журналы. Срок и состав определяют по модели угроз, требованиям и возможностям клиники.
- Согласовать ручные процедуры. С медицинским руководством, регистратурой, финансами и IT.
- Подготовить правовой маршрут. Кто оценивает применимость уведомлений и взаимодействует с регуляторами.
- Проверить договоры. SLA, аварийные контакты, сохранение артефактов, ответственность и порядок доступа подрядчика.
- Подготовить шаблоны коммуникаций. Только факты, временный маршрут и время следующего обновления.
- Проводить учения. На синтетических данных и с фиксацией закрытия замечаний.
Похожий управленческий принцип работает и при обычных проверках: документы полезны лишь тогда, когда из них видны владельцы, доказательства и исключения. Это подробно разобрано в материале о том, как готовить клинику к проверке без ночного аврала.
Какие метрики действительно показывают готовность
Количество страниц в регламенте ничего не говорит о способности восстановиться. Полезнее измерять:
- время от сигнала до координатора;
- время до изоляции тестового сегмента;
- долю критических систем с назначенным владельцем;
- долю резервов, реально развёрнутых за установленный период;
- время запуска ручного маршрута;
- число неизвестных внешних доступов;
- число просроченных замечаний после учений;
- время до подтверждённого управленческого статуса;
- долю систем, для которых есть понятный тест возврата.
Эти показатели не обещают отсутствия атаки. Они показывают, насколько клиника способна сохранять голову и проверять результат.
FAQ
Нужно ли немедленно выключать все компьютеры?
Нет универсальной команды для любого инцидента. Затронутые устройства нужно быстро изолировать по утверждённой процедуре; физическое выключение может быть оправдано, если иначе остановить распространение нельзя, но способно уничтожить данные в памяти. Решение принимает технический ответственный с учётом масштаба и медицинской непрерывности.
Можно ли сразу восстанавливать МИС из последней копии?
Нельзя считать копию безопасной только потому, что задание завершилось успешно. Сначала определяют источник компрометации, проверяют копию и разворачивают её в изолированной среде, затем тестируют ключевой маршрут на синтетических данных. Иначе можно вернуть заражённую или неполную систему.
Всегда ли шифрование означает утечку персональных данных?
Нет. Шифрование подтверждает нарушение доступности, но не автоматически копирование или раскрытие данных. При этом атаки могут включать эксфильтрацию до шифрования, поэтому факт и масштаб оценивают по журналам и другим доказательствам. Юридические действия определяют по результатам этой оценки.
Кому и когда сообщать об инциденте?
Внутреннее оповещение выполняют сразу по аварийному списку. Внешние уведомления зависят от установленных фактов, закона, договоров и отраслевых требований. Для инцидента из части 3.1 статьи 21 закона № 152‑ФЗ предусмотрены этапы 24 и 72 часа; применимость проверяет уполномоченная команда с юристом.
Стоит ли вести переговоры о выкупе самостоятельно?
Нет. Сотрудникам не следует отвечать атакующей стороне, обещать оплату или переводить средства. Решение требует участия руководства, юриста, специалистов по реагированию и других применимых сторон; оплата не гарантирует восстановление или удаление украденных данных.
Как понять, что система готова к возврату в работу?
Нужны установленный источник восстановления, чистая среда, пересмотренные доступы, технические проверки и приёмочный тест владельца процесса. Для МИС это не только запуск сервера, а безопасное выполнение согласованного сценария — например, работа с синтетической записью от входа до результата.
Что сделать завтра, пока всё работает
Не начинайте с покупки ещё одной коробки безопасности. Соберите директора, медицинского руководителя, ответственного за данные и IT на 45 минут. Положите на стол сценарий: «В 8:10 регистратура видит массовое шифрование, МИС недоступна».
Попросите каждого назвать первые три действия, номер координатора и безопасный маршрут для сегодняшних пациентов. Затем проверьте, где находятся резервные контакты и когда в последний раз действительно разворачивалась критическая система.
Если ответы расходятся, вы уже нашли первую задачу. Её можно закрыть без паники: короткой карточкой, назначением владельца и одним учением на синтетических данных. Если требуется независимая инвентаризация зависимостей, IT-аудит клиники может быть одним из вариантов, но первый шаг команда способна сделать сама.
План на первые 48 часов не делает атаку невозможной. Он делает невозможным другое: ситуацию, в которой клиника сама увеличивает ущерб потому, что никто не знает, кому звонить и что нельзя подключать.
Источники и границы материала
- Федеральный закон № 152-ФЗ «О персональных данных» — правовые основания, обязанности оператора и уведомления об инцидентах.
- Статья 21 закона № 152-ФЗ — обязанности по устранению нарушений и этапы уведомления.
- CISA #StopRansomware Guide — технические рекомендации по подготовке, изоляции, сохранению артефактов и восстановлению; не является российским нормативным актом.
Материал описывает организационный и IT-маршрут и не заменяет работу специалистов по реагированию, юриста, ответственного за персональные данные и медицинского руководства. Конкретные действия зависят от архитектуры клиники, установленных фактов и применимых требований.
