Кратко

  • Страница подачи сообщений Australian Cyber Security Centre направляет киберпреступность в полицию, инциденты и уязвимости — в ASD's ACSC, а платежи по программам-вымогателям и кибервымогательству — в Department of Home Affairs на основании section 27 закона Cyber Security Act 2024.
  • Защита, которую та же страница предлагает заявителю, существует только как заголовок «How ASD protects your privacy: limited use obligation»; в тексте, зафиксированном 13 ноября 2026 года, нет ни срока, ни санкции, ни границ этой обязанности.

Публичная входная дверь для сообщения об инциденте в Австралии не спрашивает сначала, что произошло. Она спрашивает, к какой из категорий относится случившееся. От ответа меняется адресат.

Если читать страницу подачи сообщений Australian Cyber Security Centre как инструмент, а не как форму, логика видна сразу. Киберпреступность идёт в полицию. Инциденты и уязвимости идут в ASD's ACSC. Платежи по программам-вымогателям и кибервымогательству идут в Department of Home Affairs. Именно так распределение изложено на странице самого центра; здесь зафиксировано то, что было получено 13 ноября 2026 года как выдержка, переданная поисковым провайдером, а не полный архив страницы.

У коридора платежей есть правовая ссылка. Формулировку стоит прочитать медленно:

Report a ransomware or cyber extortion payment to the Department of Home Affairs. Under section 27 of the Cyber Security Act 2024, a reporting business entity has an obligation to report to the Government if you have made or are aware another entity has made on your behalf, a ransomware or cyber extortion payment.

Спусковой крючок — не только деньги, которые заплатила сама компания. Он захватывает и того, кто знает, что другое лицо заплатило за него. Организация, не отправившая вымогателю ни цента, может оказаться внутри обязанности, потому что требование закрыли страховщик, консультант, провайдер управляемых услуг или материнская компания. Фраза поднимается вверх по иерархии и доходит до подразделения, которое узнаёт новости позже всех и фиксирует их хуже всех.

Работа по определению висит на выражении «reporting business entity», и страница его не определяет. Адресат назван как «the Government», а в качестве коридора указан Department of Home Affairs. И то и другое не словесная мелочь: там решается, попадает ли ваша компания в обязанность и в чьих руках остаётся запись.

Теперь вторая половина сделки. На той же странице, в той же структуре, защита, которую заявителю предлагают принять на веру, появляется как заголовок. «How ASD protects your privacy: limited use obligation».

Заголовок — это классификация, а не границы. Границы отвечают на четыре вопроса. Какой материал охвачен: сообщение об инциденте, сообщение о платеже, приложения, имена ответственных, криминалистическая хронология. Какие способы использования разрешены. Какие исключены: передача другому регулятору, включение в процедуру принудительного исполнения, публикация. Сколько материал хранится и кто вне этого перечня может разрешить иное использование.

В полученном тексте нет ни одного из этих ответов. Это ограниченное наблюдение о двух страницах по состоянию на 13 ноября 2026 года, и на этом оно останавливается. Отсутствие в прочитанном тексте не означает отсутствия нигде.

На зафиксированных 13 ноября 2026 года страницах центра (страница подачи сообщений и страница report-and-recover) нет ни срока для сообщения по section 27, ни санкции за неисполнение, ни определения reporting business entity, ни описания границ limited use obligation. Принятый текст Cyber Security Act 2024 не входил в материал, прочитанный для этого разбора, и ничто здесь не характеризует закон сверх одной цитаты, которую печатает сама страница. Молчание справочной страницы — не молчание закона, и честное прочтение заголовка таково: вопрос ещё не закрыт.

Различие важно, потому что определяет, кого успокаивают. Когда инцидент произошёл, публика звонит в ASD's ACSC. Адресатом обязанности по платежу через «the Government» обозначен Department of Home Affairs. Одна страница, два назначения, две инстанции. Совет директоров, читающий это как единственные ворота, предполагает одну запись, одну защиту и одного ответственного. В действительности это поверхность с тремя коридорами, и ответственность нужно выстраивать над всеми.

То, что заявителю следует получить письменно до передачи материала за стену, коротко и невзрачно: правовая ссылка и рабочие условия вместо резюме. Является ли компания reporting business entity и на каком основании. Срок и момент, когда он начинает течь. Санкция и её природа — уголовная или административная. По защите: разрешённые способы использования, исключённые, правило хранения и должность, которая вправе открыть ещё одну дверь.

Кто этого требует, превращает заголовок в обещание с владельцем. Кто принимает заголовок без этого, оставляет границы на потом — тому, у кого в тот момент окажется документ.

У Australian Cyber Security Centre уже есть одна прежняя публикация, привязанная в справочнике BTW. Этот разбор не характеризует её содержание: поиск в рамках текущей работы её не нашёл. Различие здесь в предмете взгляда. Не профиль центра, а страница приёма как инструмент, определяющий, куда подшивают худшую ночь компании.

Страница центра делает свою работу: она говорит, какую дверь нажать. Что произойдёт с тем, что вы внесёте внутрь, она пока не говорит. Пока рядом с этим заголовком не встанут ответственный, правило хранения и перечень исключений, отчитывающаяся организация несёт инцидент и неопределённость одним пакетом.