Команда реагирования наготове — ещё до инцидента

Incident Response Retainer — это проактивная модель сотрудничества: вы заранее фиксируете стоимость часа, SLA на реакцию и состав команды, а специалисты уже знакомы с вашей инфраструктурой. При разовом договоре в момент атаки вы теряете критические часы на юридические согласования, поиск подрядчика и его погружение в контекст — а именно первые часы определяют масштаб ущерба. IRR сокращает время до старта работ с нескольких дней до 1–4 часов.

Неизрасходованные часы не сгорают — их можно направить на проактивные активности в рамках срока действия ретейнера: Threat Hunting, Compromise Assessment, разработку плейбуков реагирования, киберучения (Tabletop Exercises), аудит готовности к инцидентам или обучение вашей команды. Так вы получаете ценность от контракта даже при отсутствии инцидентов и одновременно снижаете вероятность их возникновения.

Да, режим работы 24/7/365. Горячая линия и дежурная смена аналитиков доступны круглосуточно, включая праздники. SLA на первую реакцию действует одинаково независимо от времени суток и дня недели — злоумышленники специально выбирают нерабочие часы, и наша модель это учитывает.

Часы тарифицируются с момента фактического начала работ аналитика над вашим кейсом, а не с момента звонка на горячую линию. Время на приём заявки, эскалацию и сбор команды не оплачивается. Учёт ведётся с точностью до 15 минут, а детальный отчёт по затраченному времени с описанием выполненных задач вы получаете по итогам каждого инцидента.

Инициатива всегда за заказчиком — вы сами решаете, когда активировать ретейнер, обратившись на горячую линию. Триггером может быть что угодно: срабатывание SIEM, подозрительное поведение сотрудника, сообщение от вендора, требование регулятора или просто ваши сомнения. На этапе triage наши аналитики бесплатно помогают квалифицировать событие — если это false positive, часы не списываются.

В базовый пакет включены: onboarding-сессия с изучением вашей инфраструктуры, разработка коммуникационного плана эскалации, ежеквартальные проверки актуальности контактов, доступ к горячей линии 24/7 и приоритет в очереди инцидентов. Форензика, восстановление, взаимодействие с регуляторами и подготовка отчётов для руководства оплачиваются из пула часов.

При крупных инцидентах пул часов может закончиться быстрее ожидаемого. В этом случае мы не останавливаем работы — команда продолжает реагирование по заранее согласованной ставке переработки (обычно на 10–20% выше базовой). Условия дозакупки часов фиксируются в договоре, что исключает торг и задержки в критический момент.