Хранение и наказание. Новый закон об оборотных штрафах за утечки персональных данных — что грозит компаниям?

В марте 2023 года Минцифры передало на рассмотрение в Комитет Госдумы по информполитике, IT и связи два законопроекта о порядке работы с персональными данными. Один вводит оборотные штрафы для компаний за утечку персданных. Второй — уголовную ответственность за их кражу и продажу.

Как грядущий законопроект воспринимают игроки российского кибербеза? Что делать компаниям и как выстраивать свою стратегию защиты? Об этом мы поговорили с Моной Архиповой, независимым экспертом по информационной безопасности. Эксклюзивное интервью – специально для Trinity Events Group.

– Мона, все хорошо помнят прошлый год и те перемены, которые он принес для мира информационной безопасности. Что сейчас происходит в отрасли и в бизнесе, который связан с ИБ?

Большую часть из тех событий, которые происходят сейчас, я предрекала достаточно давно: в пандемию, например, мы с экспертами обсуждали безопасную организацию работы команды на удаленке, не только с технической точки зрения, но и с управленческой стороны. Еще раньше, в 2018 году, я призывала экспертов обратить большее внимание на то, как информационная безопасность влияет на скорость бизнеса и как не отставать от ежедневных изменений и неопределенности.

В этом году пришло время суммировать все те обстоятельства, которые произошли с миром за последние пять лет.

Отрадно то, что бизнесу сейчас не нужно доказывать важность вложений в информационную безопасность, как это бывало раньше. К сожалению, не все потраченные за эти годы в ИБ бюджеты себя успешно окупили – часть производителей в одностороннем порядке отозвала лицензии, и мы сейчас окончательно перешли в стадию: «Нет времени размышлять, пора делать». В том числе, искать более надежных вендоров на локальном и дружественных рынках.

– Минцифры обещает, что закон может быть внесен в Госдуму уже в апреле. Почему этот закон вообще стал так востребован именно сейчас?

Могу сказать только одно: «Наконец-то!». Наконец-то это случилось.

Тема оборотных штрафов для российского законодательства – не новая. Она новая для законодательства в области информационных технологий, но при этом оборотные штрафы, например, уже давно используются в антимонопольном законодательстве. В плане реализации даже ничего придумывать не нужно – нужно просто адаптировать это к нашей сфере.

Почему введение оборотных штрафов – это хорошо? Те штрафы, которые действуют сейчас, были угрожающими для маленьких компаний с совсем небольшим оборотом, и для которых 50 – 100 тысяч – это значимая трата. Для больших же компаний выбор был очевиден: либо выстраивать надежную систему безопасности, которая может стоить в лучшем случае несколько десятков миллионов рублей ежегодно, плюс содержание персонала, сопутствующие налоги и так далее, либо просто заплатить штраф. Да, это репутационно влияло, но общее отношение было скорее таким: «Ну утекло и утекло, заплатили, написали пользователям успокаивающие письма и живем дальше, никуда они от нашего сервиса не денутся и не откажутся».

Поэтому я считаю, что компании должны нести, в том числе, существенную финансовую ответственность за те сведения, которые они о нас получают и хранят в своих системах. Данные – новое золото.

Для тех компаний, которые и так вкладываются в информационную безопасность, но выделяют, возможно, недостаточно финансирования или уделяют недостаточно внимания внутренним процессам, связанным со своими сотрудниками или пользователями, это будет стимул усилить внутренний фокус на стратегию развития ИБ, и вообще сформирует понимание, чем это грозит бизнесу, кроме временного бурления в новостях.

– А повлияет ли реально угроза финансового наказания на количество утечек?

Да, но не сразу.

Эффект не будет мгновенным, но, по крайней мере, любое дополнительное выстраивание систем укрепления информационной безопасности (конечно, если все выстроено добротно, а не для бумажки или для галочки) – это повышение стоимости атаки на вашу инфраструктуру, на бизнес, на подкуп людей внутри.

Нюанс в том, что тут очень важно не забывать про кадровую безопасность.

– Устраивает ли законопроект в его нынешнем варианте профессиональное сообщество? Есть ли в нем пункты, которые стоило бы доработать?

Думаю, что устраивает. Для больших компаний, где случаются массовые утечки (и любой может за небольшие деньги узнать почти любую информацию о другом человеке), это будет особенно ощутимой мерой. Я уверена, что наказывать за такие инциденты нужно именно рублем.

– Да, относительно суммы. Компаниям обещают оборотные штрафы от 5 до 500 миллионов рублей, а действенно ли это?

Естественно, если мы привязываемся к обороту, такие суммы более чем эффективны. Думаю, что начинать с этого хорошо, и двигаться стоит к сумме без верхнего потолка.

Понимаю, что будут попытки обхода этого законодательства через привлечение юрлиц с маленькими оборотами. Мы это видеть будем – наше цифровое государство дает нам такую возможность, но, в конечном итоге, законодательство будет совершенствоваться, в том числе, в отношении дочерних компаний крупного бизнеса, и от штрафов никто не уйдет.

В этом смысле мы идем к практике международного бизнеса. В Европе, например, есть GDPR, который изначально был привязан к оборотным штрафам, потому что оборотные штрафы априори страшнее для бизнеса. У государства нет цели стрясти с компаний больше денег, цель – привлечь внимание к тому, что безопасностью в ее различных аспектах нужно заниматься системно и по-настоящему.

– Есть ли какие-то смягчающие и отягчающие обстоятельства при назначении штрафов?

На мой взгляд, смягчающим обстоятельством может быть принадлежность бизнеса к малому или среднему. Малому и среднему бизнесу в России и без того в последние годы нелегко – чего стоило только пережить пандемийный период. Но небольшие компании и так довольно редко обрабатывают действительно большие массивы данных.

Важно и максимально пристально валидировать, что инцидент действительно был утечкой. Мы уже знаем случаи, когда за новую утечку выдавали очень старые данные.

– Какое напутствие вы могли бы сейчас дать коллегам? Как посоветовали бы защищаться компаниям?

Учитывая специфику прошедшего года, здесь даже никаких напутствий особо давать не надо. Все на поверхности: ускорять импортозамещение, смотреть, чтобы наши продукты соответствовали международным стандартам и техническим требованиям, любить своих безопасников и айтишников, не дергать их лишний раз.

Я бы посоветовала держаться всем! Держитесь сами, держите руку на пульсе, проверяйте не только информационные системы, но и людей. Это наш типичный набор правил, который прописан во всех и российских, и международных стандартах, просто теперь его нужно выполнять четче, суровее и в разы быстрее.