Почему документ, а не детектор
Каждый успешный дипфейк-звонок в бухгалтерию эксплуатирует один и тот же ресурс — отсутствие формализованного процесса подтверждения. Голос директора, срочность, нештатный канал связи: всё это работает только пока решение о переводе принимает человек в условиях неопределённости. Регламент убирает неопределённость: у любой платёжной инструкции есть строго определённый путь подтверждения, не зависящий от того, насколько убедителен голос в трубке.
Обзорная статистика по вектору — в материале дипфейк-атаки 2027: рост инцидентов в 2,3 раза за 2025 год и каждая пятая компания к началу 2025-го. Примечательно, что публичных шаблонов такого регламента на рынке почти нет — при том, что потребность массовая. Этот разбор закрывает пробел: ниже — полная структура документа и правила внедрения.
Структура регламента: семь разделов
1. Сфера действия и роли. Какие операции попадают под регламент: все платежи свыше порога, изменения банковских реквизитов контрагентов, новые получатели, срочные переводы. Роли: инициатор, подтверждающий, контролёр. Одно физическое лицо не может инициировать и подтверждать операцию — принцип разделения полномочий фиксируется первым пунктом.
2. Каналы подтверждения. Ключевой раздел — таблица «операция → канал»: платёж до лимита — через корпоративную систему с двухфакторной аутентификацией; свыше лимита или срочный — устное подтверждение по протоколу обратного звонка (см. ниже); изменение реквизитов — только письменная процедура с проверкой по независимому каналу. Звонок от руководителя на личный номер сотрудника никогда не является каналом подтверждения — какой бы убедительный голос ни был.
3. Протокол обратного звонка. При любой устной инструкции на платёж сотрудник не продолжает разговор, а перезванивает сам — на номер из справочника организации, а не на номер входящего вызова. Кодовая фраза или вопрос, ответ на котором не выводится из открытых источников. Отказ «перезвонить» = автоматический признак атаки, операция блокируется.
4. Лимиты и пороги. Сумма, до которой операция проводится без усиленного подтверждения; всё свыше — по полному протоколу. Лимит сознательно невысокий: цель не затруднить работу, а сделать атаку заведомо невыгодной. Периодичность пересмотра — раз в квартал.
5. Красные флаги и сценарии. Срочность («нужно сегодня до конца дня»), давление («не отговаривай, доверяю только тебе»), нештатный канал (мессенджер вместо корпоративной связи), требование конфиденциальности («пока никому не говори»), совмещение с событием вроде сделки или командировки руководителя. Каждый флаг — повод остановить операцию и запустить протокол.
6. Эскалация и журнал. Кому сотрудник сообщает о попытке: служебная записка или запись в системе за фиксированное время. Журнал попыток обязателен: он превращает инциденты в материал для обучения и расследований, а попытку — из «неловкого случая» в задокументированное событие.
7. Обучение и тренировки. Регламент живёт, пока его репетируют: вводный инструктаж для новых сотрудников бухгалтерии и финансов, учебные тревоги раз в квартал — «звонок» от «руководителя» с просьбой перевести, с разбором действий после. Сценарии атак и признаки — в разборе дипфейк-звонков в бухгалтерию.
Как внедрить за две недели
| Неделя | Работы | Результат |
|---|---|---|
| 1 | Черновик положений: пороги, каналы, роли; согласование с главбухом и СБ | Проект регламента |
| 1 | Утверждение приказом, назначение контролёра | Действующий документ |
| 2 | Инструктаж всех, кто инициирует или подтверждает платежи | Подписи об ознакомлении |
| 2 | Первая учебная тревога и разбор | Протокол, правки в регламент |
Две типовые ошибки внедрения: регламент «для галочки» без тренировок (через месяц никто не помнит каналы) и завышенные пороги (всё требует усиленного подтверждения — сотрудники начинают обходить). Ищите баланс: короткий живой документ, репетируемый регулярно, лучше толстого непрочитанного.
Связка с остальной защитой
Регламент верификации — центральный, но не единственный элемент: рядом стоят контроль каналов связи (откуда реально уходят команды), мониторинг публичных персон компании (фейковые аккаунты выявляются до того, как их используют) и техническая экспертиза спорных материалов. Готовый шаблон регламента под ваши процессы НЬЮ-ССТ передаёт по заявке — вместе с комплектом учебных сценариев для тренировок. Быстрая проверка зрелости процессов — чек-лист ИИ-комплаенса.