Главное — не менять программу и записывать всё, что делаете. Сфотографируйте экран с сообщением об ошибке или сделайте снимок экрана так, чтобы были видны дата, время и название окна. Сохраните письма, уведомления и обращения пользователей о сбое.
Журналы и резервные копии стирает расписание, поэтому сегодня же экспортируйте журналы программы и сервера и продублируйте резервные копии за спорные дни на отдельный носитель, не перемещая их в хранилище. Сначала снимите копии, потом исправляйте ошибку; что исправили и когда — запишите.
Если сбой похож на атаку — шифруются файлы, уходят данные, — изолируйте поражённые компьютеры от сети (кабель и Wi-Fi, у виртуальной машины — её сетевой адаптер), отключите от сети хранилище резервных копий и сразу обратитесь к специалисту: выключать ли компьютеры, решает он, но если шифрование продолжается, выключение допустимо. Копии снимают уже после изоляции. Если установлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав людей, оператор уведомляет Роскомнадзор: в течение 24 часов с момента выявления — об инциденте, в течение 72 часов — о результатах внутреннего расследования.