Ошибся человек.Можнорасходиться.

«Предварительной причиной стала человеческая ошибка при проведении работ по изменению конфигурации сетевой инфраструктуры».

Это из заявления Curator, компании, которая защищает сайты от DDoS-атак. 8 октября в 15:30 по Москве у неё перестал работать один сегмент сети. Примерно на полчаса вместе с ним пропали сайты РБК, «Ведомостей», «Коммерсанта», «Интерфакса», часть банков и маркетплейсов. Их трафик идёт через фильтры Curator: сломался фильтр — не открывается сайт.

Новости пересказали фразу про человеческую ошибку, и на этом история кончилась. Человек ошибся. Бывает. Можно расходиться.

Как чужая система роняет вашу, я уже разбирал на сбое Firebase. Здесь меня зацепило другое: эта фраза отвечает не на тот вопрос.

Она говорит, чья рука была последней. И молчит о том, почему одной неверной правки хватило, чтобы на полчаса пропали сайты крупнейших СМИ страны. Ответ на первый вопрос нужен разве что отделу кадров.

Я работал инженером-проектировщиком в атомной отрасли, и там эта фраза стоит в другом месте документа. По нормам безопасности атомных станций проект обязан удержать аварию, на которую он рассчитан, в установленных пределах, даже если вдобавок ошибся персонал. Одну такую ошибку считают так же, как отказ оборудования (п. 1.2.12). Отдельный пункт требует средств, которые предотвращают ошибки персонала или смягчают их последствия. С оговоркой: в том числе при обслуживании и ремонте (п. 3.1.12).

Есть там и совсем бытовая деталь. Чтобы дистанционно привести в действие механизмы систем безопасности, нужны как минимум два связанных действия: два ключа или код и ключ (п. 3.4.4.4).

То есть «человек ошибся во время работ» там записано заранее. Ошибётся? Ошибётся. Что должно произойти дальше, решают до первой смены.

Ладно, сайт не реактор. Но у обычных дата-центров картина та же. Uptime Institute каждый год опрашивает их операторов. По отчёту 2025 года, почти 40% организаций за три года пережили крупный сбой из-за человеческой ошибки. В 85% таких случаев сотрудник не выполнил процедуру или плохой была сама процедура. В 2026-м то же: невыполненные процедуры по-прежнему главная причина.

За «человеческой ошибкой» обычно стоит бумага, которую не прочитали или которую не стоило писать в таком виде. Или проверка, которая должна была поймать ошибку и не поймала.

Как выглядит разбор, который ищет дальше человека, показала Meta. В 2021-м Facebook, Instagram и WhatsApp лежали больше шести часов. Во время планового обслуживания ушла команда, которая должна была проверить доступную ёмкость магистральной сети, а вместо этого отключила её целиком. У компании есть инструмент, который проверяет такие команды и останавливает опасные. В нём была ошибка, и он команду пропустил. В разборе нет ни одного виноватого человека. Есть инструмент, который не сработал.

Справедливости ради, Curator назвала причину предварительной и пообещала клиентам подробный отчёт и пересмотр процедур реагирования. Может, там будет разбор не хуже, чем у Meta.

Меня больше беспокоит, как эта фраза работает в обычных компаниях. Представьте: менеджер массово поменял поля в CRM и затёр контакты. Автоматизация отправила тестовое письмо всей базе. Разбор занимает минуту: человеческий фактор, с сотрудником поговорили. Все довольны, кроме этого человека. Он теперь один отвечает за систему, в которой одно неловкое движение стоило базы.

Я внедрял CRM и автоматизации в нескольких проектах, поэтому смотрю на такие истории со стороны системы. Вопрос скучный: почему одной ошибки хватило? У массового изменения нет предпросмотра? Рассылку на всю базу можно запустить одним нажатием, без второго подтверждения? Нет копии, из которой можно откатиться за десять минут? Это вопросы про систему, и у них есть ответы. Человека так не починишь: он ошибётся снова, в другом месте.

В атомном проекте строчку из заявления Curator написали бы задолго до 8 октября. В графе «исходные данные».