В «Ростелекоме» назвали революцией оборотные штрафы за утечку данных

В России необходимо создать институт независимой оценки киберзащищённости. Такое мнение на совещании в верхней палате высказал старший вице-президент «Ростелекома» по информационной безопасности Игорь Ляпунов.

По его словам, законопрокты об оборотных штрафах за утечку данных и о страховании рисков таких утечек — колоссальный шаг, революция в защищённости персональных данных. Однако хотя в целом его компания эти инициативы поддерживает, есть два вызывающих беспокойство момента.

«Первый — это способ доказательства, что у тебя произошла утечка. Сейчас в России утекло, по статистике, больше 300 млн данных», — рассказал Ляпунов.

Сегодня в отношении компаний, которые подозревают в утечке информации, практически действует презумпция виновности: то есть регулятор говорит, что у компании утекли данные и дальше делает предписания, после чего компания должна доказать свою невиновность.

Второй момент — возмещение вреда субъектам персональных данных. По его словам, такой механизм обязательно надо вводить, однако сейчас непонятно, как оценить стоимость одной строчки личных сведений.

Ляпунов рассказал, что в проекте закона о страховании риска утечек фигурируют такие цифры: если у компании 500 тыс. персональных данных, то должно быть финансовое обеспечение в размере 500 млн рублей. «Кажется, что это запредельные цифры», — сказал эксперт.

Он пояснил, что для современных IT-компаний собрать 100 тыс. или 500 тыс. персональных данных не сложно, а вот 500 млн рублей для многих сумма крайне значительная, и необходимость её выплатить может «угробить бизнес».

Ещё один момент, на который Ляпунов обратил внимание — вид финансового обеспечения рисков утечки личной информации.

Мнение здесь у меня абсолютное бескомпромиссное: любые формы кроме страхования  это способ изъятия. Если мы говорим про резервный фонд – это изъятие финансовых средств из оборота компании, из развития бизнеса

Игорь Ляпунов, старший вице-президент «Ростелекома»

По его словам, когда речь идёт о страховании — это не только возмещение вреда, но ещё и стимулирование операторов персональных данных больше защищаться.

«Возникает понятный механизм, который должен в России появиться — институт независимой оценки защищённости. Это мировая практика, когда есть аккредитованные компании, которые производят независимую оценку, а дальше у них тоже должна быть ответственность», — сказал Ляпунов.

Он уверен, что если получится построить такую конструкцию: страхование, независимая оценка и ответственность оценщика — это даст «колоссальный прорыв в зрелости вообще всего нашего регулирования в области информационной безопасности». Кроме того, он высказал надежду, что однажды может появиться способ «страховать те самые оборотные штрафы».

Как ранее сообщала сенатор Ирина Рукавишникова, за первое полугодие 2023 года в России утекло более 705 млн записей персональных данных, что на 72% больше, чем за тот же период 2022 года. Причём более 50% всех утечек конфиденциальной информации из российских организаций совершаются при участии их работников.