На этой неделе президент России Владимир Путин подписал два федеральных закона — № 420 и 421, которые внесли значительные изменения в Кодекс об административных правонарушениях и Уголовный кодекс.
Подписанные документы, по сути, составляют «Закон об оборотных штрафах», который активно обсуждается с 2022 года, когда отечественные организации столкнулись с беспрецедентной волной кибератак. Эти события привели к многочисленным утечкам персональных данных граждан и поставили вопрос об ответственности компаний за обеспечение безопасности хранимой информации.
С тех пор тема оборотных штрафов стала ключевой на повестке конференций в сфере ИБ, где регуляторы, бизнес и IT-сообщества детально обсуждали аспекты будущего законодательства.
💬 Мы попросили Виктора Рыжкова, руководителя развития бизнеса по защите данных Positive Technologies, рассказать, как подписание законов повлияет на работу организаций и какие сложности с хранением данных у них существуют.
🤵 Ответственность
1️ Финансовая. Теперь компании, допустившей утечку объемом 1000 строк и более, грозит штраф. Он составит от 5 млн рублей до 3% годовой выручки. Размер штрафа будет зависеть от объема утечки, от того, была ли это первая утечка или повторная, а также от других факторов.
2️ Административные наказания для физических и должностных лиц: до 400 000 и до 600 000 рублей соответственно. Особое внимание уделено утечкам медицинских данных и других специальных категорий информации — за их незаконную передачу предусмотрены отдельные штрафы.
3️ Усиливается уголовная ответственность за незаконный сбор и передачу персональных данных. В отдельную категорию выделены утечки данных несовершеннолетних и утечки, повлекшие тяжкие последствия. Максимальный срок лишения свободы по таким преступлениям теперь составляет до 10 лет.
🕵 Сложности
1️ Данных становится все больше, они хранятся в различных форматах — в виде строк в таблицах, неструктурированного текста в документах, в виде изображений, видео, аудио и в других представлениях. Дополнительно усложняет задачу распределенная инфраструктура: собрать все данные в одном месте практически невозможно.
2️ Для решения таких задач компании по-прежнему вынуждены использовать традиционные средства защиты данных, которые были разработаны много лет назад для конкретных целей, таких как: защита баз данных, защита файловых хранилищ, контроль потоков данных на рабочих станциях и т.д.
3️ На практике мы видим, что ни одно из этих решений, ни любая их связка не способны обеспечить реальную безопасность данных, так как не позволяют ответить на три ключевых вопроса: «Какие значимые данные хранятся в инфраструктуре прямо сейчас?», «Кто имеет доступ к этим данным?», «Кто и как их использует?».
🤟 Что готовит Positive Technologies
Еще до принятия закона мы наблюдали устойчивый интерес со стороны клиентов и партнеров к вопросу защиты данных и уверены, что теперь этот интерес будет только усиливаться.
В текущей ситуации традиционные методы защиты оказываются малоэффективными, и мы видим потенциал в новом классе решений — data security platform (DSP). Они становятся единой точкой мониторинга всех действий, связанных с данными, в распределенной инфраструктуре и позволяют выстроить единый процесс классификации сведений по уровню значимости для бизнеса, независимо от их формата, выявлять риски и фиксировать факты неправомерного использования.
В октябре мы MVP PT Data Security — единого решения для защиты данных, независимо от их типа и места хранения. Разработка ведется с начала года, выпуск коммерческой версии запланирован на вторую половину 2025 года.
💼 Рынок защиты данных в России
По , отечественный рынок средств защиты данных является самым быстрорастущим сегментом в отрасли. В 2023 году он увеличился на 93% и достиг отметки 23 млрд рублей, составив 12% от общего рынка ИБ. К 2028 году мы планируем занять не менее 50% этого сегмента, который, по нашим прогнозам, будет оцениваться в половину всего объема рынка.
