Расследование инцидентов ИБ — реагирование на кибератаку или утечку: локализация угрозы, сбор и анализ цифровых следов, установление точки входа, масштаба ущерба и действий злоумышленника. Экспресс-анализ стоит от 250 до 700 тыс. ₽ и занимает 1–2 недели, полное расследование — 0,7–2,5 млн ₽, с восстановлением инфраструктуры — до 8 млн ₽. Цена зависит от масштаба заражения и срочности.
Кому подходит
Расследование инцидентов информационной безопасности нужно, когда что-то уже произошло: шифровальщик остановил серверы, база клиентов появилась в открытом доступе, со счёта ушёл платёж по подменённым реквизитам, сотрудник вынес документы. В первые часы важно не только восстановить работу, но и не уничтожить следы: переустановка серверов без снятия образов лишает возможности понять, как злоумышленник попал внутрь и остался ли он в сети.
Сильная команда DFIR действует по плану: локализует угрозу, фиксирует доказательства с соблюдением цепочки хранения, анализирует журналы, память и диски, восстанавливает хронологию атаки и находит все точки закрепления. Итог — акт расследования инцидента информационной безопасности с выводами, пригодными для руководства, страховой, правоохранительных органов и суда, и план устранения причин. Расследование инцидентов ИБ также помогает выполнить обязанности перед регуляторами: при утечке персональных данных закон требует уведомить Роскомнадзор в течение суток и сообщить результаты внутреннего расследования в течение 72 часов, субъекты КИИ информируют НКЦКИ.
Стоимость
Локальный инцидент: одна система, почта или рабочая станция
от 250 000 ₽
до 700 000 ₽ за проект · 1–2 недели
Взлом сети, утечка данных или действия инсайдера
от 700 000 ₽
до 2,5 млн ₽ за проект · 2–4 недели
Масштабная атака шифровальщика на всю инфраструктуру
от 2,5 млн ₽
до 8 млн ₽ за проект · 4–8 недель
| Фактор | Влияние на бюджет |
|---|---|
| Масштаб: число затронутых систем и площадок | Основной фактор трудозатрат |
| Срочность и режим 24/7 | +30–50% к бюджету |
| Выезд команды на площадку | +10–30% к стоимости |
| Подготовка материалов для суда и правоохранительных органов | +15–30% к бюджету |
| Восстановление инфраструктуры | Отдельная статья, часто больше самого расследования |
Для сравнения — рыночные диапазоны по разделу «Информационная безопасность». Рядом часто лежит услуга, которая решает ту же задачу дешевле или быстрее.
| Услуга | Стоимость | Срок |
|---|---|---|
| Защита персональных данных по 152-ФЗ | 80 000 ₽ — 5 млн ₽ | от 2 недель до 6 месяцев |
| WAF — защита веб-приложений | 100 000 ₽ — 12 млн ₽ | от 1 до 12 недель |
| SOC — мониторинг ИБ на аутсорсе | 150 000 ₽ — 3 млн ₽ в месяц | подключение за 1–3 месяца |
| Категорирование и защита КИИ (187-ФЗ) | 200 000 ₽ — 15 млн ₽ | от 1 до 12 месяцев |
| Расследование инцидентов ИБ эта страница | 250 000 ₽ — 8 млн ₽ | от 1 до 8 недель |
| Пентест (тестирование на проникновение) | 250 000 ₽ — 3 млн ₽ | от 2 до 8 недель |
| Внедрение DLP-системы | 250 000 ₽ — 15 млн ₽ | от 1 до 6 месяцев |
| Bug Bounty программа | 350 000 ₽ — 6 млн ₽ | 1–3 месяца на запуск |
| Соответствие PCI DSS | 400 000 ₽ — 10 млн ₽ | от 3 до 12 месяцев |
| Внедрение SIEM | 600 000 ₽ — 25 млн ₽ | от 2 до 9 месяцев |
Результат
Рекомендации и действия по изоляции заражённых систем и блокировке доступа злоумышленника.
Снятие образов дисков и памяти, выгрузка журналов с фиксацией цепочки хранения.
Исследование систем, поиск вредоносного ПО, инструментов и следов действий атакующего.
Восстановленная последовательность атаки: как проникли, куда перемещались, что вывели.
Документ с выводами, доказательствами и оценкой ущерба для руководства, страховой и суда.
Подготовка сведений для Роскомнадзора и НКЦКИ в установленные сроки.
Меры по удалению закреплений, смене учётных данных и защите от повторной атаки.
Как проходит работа
Выясняем признаки инцидента, изолируем затронутые системы и сохраняем следы.
Снимаем образы дисков и памяти, выгружаем журналы сетевых устройств и средств защиты.
Исследуем артефакты, определяем точку входа, инструменты и перемещение злоумышленника.
Удаляем закрепления, меняем учётные данные, восстанавливаем сервисы из проверенных копий.
Оформляем акт расследования и готовим сведения для регуляторов и страховой.
Проводим встречу с руководством и ИТ и составляем план мер против повторения.
Выбор исполнителя
Юрлицо и репутация
Проверяем компанию по ЕГРЮЛ, судебным делам и отзывам на независимых площадках.
Кейсы с цифрами
Смотрим реальные проекты в вашей нише: задачи, сроки, метрики, контакты заказчиков.
Прозрачная смета
Просим разбивку по этапам и часам — без «пакетов на всё» и скрытых доплат.
Договор напрямую
Вы работаете с исполнителем по его договору. Подбор для вас бесплатный.
Инструмент
Готовый текст
Бриф: Расследование инцидентов ИБ Задача: (опишите в двух-трёх предложениях, какой результат нужен) Что нужно сделать: — Экстренная локализация — Сбор цифровых доказательств — Форензик-анализ — Хронология и точка входа — Акт расследования инцидента — Уведомления регуляторов — План устранения и восстановления Исходные данные: — Масштаб: число затронутых систем и площадок: (уточнить) — Срочность и режим 24/7: (уточнить) — Выезд команды на площадку: (уточнить) — Подготовка материалов для суда и правоохранительных органов: (уточнить) — Восстановление инфраструктуры: (уточнить) Прошу прислать: смету с разбивкой по этапам, сроки каждого этапа и примеры похожих проектов.
Исполнители
Бесплатный подбор
Ответьте на 3 вопроса — пришлём 2–3 предложения проверенных подрядчиков с ценами, сроками и кейсами в вашей нише.
Отзывы
Вопросы и ответы
Короткие ответы на вопросы, которые чаще всего задают перед заказом.
Экспресс-анализ локального инцидента стоит 250–700 тыс. ₽. Полное расследование взлома сети или утечки — 0,7–2,5 млн ₽, реагирование на масштабную атаку с восстановлением — 2,5–8 млн ₽. Режим 24/7 и выезд увеличивают бюджет.
Локальный инцидент разбирают за 1–2 недели, полное расследование занимает 2–4 недели. При атаке шифровальщика с восстановлением инфраструктуры работа длится до 2 месяцев. Первые результаты по локализации — в течение суток.
Изолируйте заражённые системы от сети, но не выключайте и не переустанавливайте их, чтобы сохранить следы в памяти и на дисках. Смените пароли привилегированных учётных записей с чистого устройства. Затем как можно раньше привлеките команду реагирования.
В акте фиксируют описание инцидента, хронологию, затронутые системы и данные, точку входа, действия злоумышленника, доказательства и их источники, оценку ущерба и выводы о причинах. Также указывают меры по устранению последствий. Акт подписывают участники расследования.
Да, оператор обязан уведомить Роскомнадзор об утечке в течение 24 часов с момента выявления и сообщить результаты внутреннего расследования в течение 72 часов. Субъекты КИИ дополнительно информируют НКЦКИ об инцидентах. Сроки жёсткие, поэтому расследование нужно начинать немедленно.
Расследование устанавливает, как и что произошло, и собирает доказательства для обращения в правоохранительные органы. Установить личность внешнего атакующего удаётся не всегда, с инсайдерами шансы выше. Качество доказательной базы напрямую зависит от того, насколько быстро начали работу.
Оставьте заявку с кратким описанием инцидента и масштабом инфраструктуры — при срочном случае укажите это. Мы бесплатно подберём 2–3 проверенные команды реагирования с опытом в похожих инцидентах и поможем сравнить КП. Для заказчика подбор бесплатный — платит подрядчик.
Материал подготовлен редакцией «Рекламного коктейля». Цены — рыночные диапазоны агентств и студий России на 2026 год по данным брифов и коммерческих предложений; точную стоимость называет исполнитель после брифа. Обновлено 26 сентября 2026 г.. Как мы считаем цены.
Смотрите также
Выполнение требований 187-ФЗ: перечень и категорирование объектов КИИ, документы для ФСТЭК, построение системы безопасности.
Круглосуточный мониторинг событий ИБ внешним центром: сбор логов в SIEM, выявление атак, реагирование и отчётность.
Санкционированная проверка защищённости периметра, приложений и сети силами команды пентестеров с отчётом и планом устранения уязвимостей.
Межсетевой экран уровня веб-приложений: фильтрация атак на сайты и API, защита от ботов и DDoS, настройка правил без ложных блокировок.
IT-разработка, AI и блокчейн
Финтех-разработка