СВОДНЫЙ ЛИСТ · ЧТО ДЕЛАТЬ ПРИ КАРТИНЕ 0

Семь ролей, семь способов начать инцидент, когда ещё ничего не известно. Собрано из глав классов на одну страницу — распечатайте отдельно для фасилитатора и наблюдателя.

---

Почему первый блок решает больше, чем пять последующих

В первом блоке КАРТИНА = 0. Это значит, что команда не знает, что происходит. Все действия идут против невидимой угрозы, все выводы будут неточными, а каждая ЁМКОСТЬ, потраченная сейчас, не вернётся до передачи смены.

В первом блоке закладываются все ловушки, в которые команда попадёт к четвёртому блоку. Раздача приоритетов, назначение каналов наружу, первая гипотеза — всё это либо строится сейчас, либо откладывается и потом аукнется. Поэтому семь первых блоков за столом важнее сорока последующих.

---

Семь первых действий — по ролям

КООРДИНАТОР (CISO)

1. Собрать совет и объявить три приоритета вслух (способность «Треугольник внимания», бесплатно)
2. Назначить единственный голос наружу — иначе их будет четыре
3. Потребовать у Директора порог остановки производства до конца этого блока, не позже
4. Спросить каждого: что тебе нужно, чтобы через час ответить точнее

ОХОТНИК (SOC)

1. Бросить Гипотезу о намерении противника (бесплатно, 1 раз в акт)
2. Запросить базовую линию по самому ценному участку (1 ЁМКОСТЬ) — без нормы аномалию не увидеть
3. Сказать вслух формулу: «Вот что я знаю. Чего не знаю. Когда узнаю»
4. Не пытаться «найти хакера» — это бросок вслепую

ФОРЕНЗИК (DFIR)

1. Сохранить состояние критичных систем до любых изменений (дампы памяти, образы дисков, снимок процессов)
2. Попросить Охотника назвать время первой аномалии и начать строить от него хронологию
3. Не обещать «найду» — обещать «проверю эту гипотезу за N блоков»
4. Держать Верификацию в резерве — она раскроет ЛУ, но это действие, не потраченное на устранение

ИНЖЕНЕР (инфраструктура)

1. Подготовить к изоляции самые критичные узлы, но не рубить без решения Координатора
2. Снять снапшоты и проверить, что бэкапы действительно живы (не «должны быть», а «проверены»)
3. Согласовать с Директором цену остановки каждого завода (Восток — 40 часов перезапуска)
4. Подготовить канал к IR-ретейнеру — даже если не позовут, счётчик их реакции идёт

ГОЛОС (PR)

1. Заготовить hold statement — короткое сообщение, которое можно отправить через час, не зная ничего
2. Согласовать с Юристом, кому и что можно говорить до подтверждения факта
3. Не обещать «всё под контролем» — это ровно та ложь, которая стоила карьеры половине PR-директоров в Тишину
4. Назначить единый контакт для внешних запросов — иначе их будут ловить поPersonal каналам

АРБИТР (Юрист)

1. Открыть регуляторный таймер немедленно, даже если факт ещё не подтверждён. Срок идёт с момента обоснованного подозрения, а не с момента уверенности
2. Проверить договоры с ключевыми клиентами на пункты об уведомлении — обычно там 24 часа, обычно никто их не помнит
3. Подготовить Привилегию расследования для первых выводов Форензика и Охотника
4. Сказать вслух: «через X часов истекает срок Y» — молчание о сроках дороже, чем пропуск

ДИРЕКТОР (CEO)

1. Назвать порог остановки производства в деньгах и часах. Не «когда станет совсем плохо», а «при потере N в час / невозможности отгрузки более Y часов»
2. Сообщить Координатору бюджет на внешние ресурсы — IR-ретейнер, экстренные закупки, вызов людей из отпуска
3. Решить, кому из совета директоров сообщать сейчас, а кому — после локализации
4. Не принимать решений, которые можно отложить на один блок — каждое решение сейчас принимается на самых неполных данных

---

Что НЕ делать в первом блоке

❌ Лезть в технику, если ты не технарь. ТЕХ −1 — это худший бросок за столом плюс блок без твоей основной работы.

❌ Обещать «всё под контролем». Контроля нет. Есть степень неопределённости, и её надо называть.

❌ Сбрасывать пароли и считать, что закрыл доступ. Токены живут отдельно. «Зачистили» и «безопасно» — разные слова.

❌ Искать «хакера» до того, как построили таймлайн. Скорость без направления — это ЁМКОСТЬ в помойку.

❌ Прятать от коллег срок регуляторного уведомления. Молчание Арбитра — самая дорогая привычка за столом.

❌ Решать Директором «встанем на паузу» без оценки стоимости Востока. Сорок часов перезапуска — это решение, а не галочка.

---

Контракт на первый блок

До конца блока Ч+1 за столом должны прозвучать:

1. Три приоритета Координатора
2. Порог остановки от Директора
3. Одна гипотеза Охотника
4. Hold statement Голоса (черновик)
5. Регуляторный срок от Арбитра
6. Готовность бэкапов от Инженера (проверенная, а не «должна быть»)
7. Первая точка хронологии от Форензика

Если хоть одно из этих не прозвучало — первый блок провален, и аукнется это к четвёртому.