Сохраните спорный документ, данные подписи, квитанции и время обнаружения операции. При подозрении на компрометацию прекратите использование средства подписи. Статья 10 Закона № 63-ФЗ предусматривает уведомление удостоверяющего центра и иных участников взаимодействия о нарушении конфиденциальности ключа в течение не более одного рабочего дня со дня получения информации о нарушении. Зафиксируйте время уведомления, изменения доступа и прекращения действия сертификата; меры защиты не откладывайте до экспертизы.
Для квалифицированной подписи часть 6 статьи 17 предусматривает немедленное обращение в аккредитованный центр для прекращения действия сертификата. Для исследования сохраняют журналы системы, сведения о токене, удалённых подключениях и устройстве. Технически корректная подпись возможна и при использовании ключа посторонним человеком. Эксперт проверяет доступные следы и альтернативные объяснения; установить, кто выполнил операцию, удаётся не всегда. По назначенной экспертизе новые материалы передавайте через назначивший орган.