Блог компании Positive Technologies | 😱 В России ужесточили наказание за утечку персональных данных. Что теперь грозит компаниям?

На этой неделе Владимир Путин подписал два федеральных закона — № 420 и 421, которые внесли значительные изменения в Кодекс об административных правонарушениях и Уголовный кодекс.

Подписанные документы, по сути, составляют «Закон об оборотных штрафах», который активно обсуждается с 2022 года, когда отечественные организации столкнулись с беспрецедентной волной кибератак. Эти события привели к многочисленным утечкам персональных данных граждан и поставили вопрос об ответственности компаний за обеспечение безопасности хранимой информации.

С тех пор тема оборотных штрафов стала ключевой на повестке конференций в сфере ИБ, где регуляторы, бизнес и IT-сообщества детально обсуждали аспекты будущего законодательства.

💬 Мы попросили Виктора Рыжкова, руководителя развития бизнеса по защите данных Positive Technologies, рассказать, как подписание законов повлияет на работу организаций и какие сложности с хранением данных у них существуют.

🤵 Ответственность

1️⃣ Теперь компании, допустившей утечку объемом 1000 строк и более, грозит штраф от 5 млн рублей до 3% годовой выручки. Размер штрафа будет зависеть от объема утечки, от того, была ли это первая утечка или повторная, а также от других факторов.

2️⃣ Административные наказания для физических и должностных лиц: до 400 000 и до 600 000 рублей соответственно. Особое внимание уделено утечкам медицинских данных и других специальных категорий информации — за их незаконную передачу предусмотрены отдельные штрафы.

3️⃣ Усиливается уголовная ответственность за незаконный сбор и передачу персональных данных. В отдельную категорию выделены утечки данных несовершеннолетних и утечки, повлекшие тяжкие последствия. Максимальный срок лишения свободы по таким преступлениям теперь составляет до 10 лет.

🕵️ Сложности

1️⃣ Данных становится все больше, они хранятся в различных форматах — в виде строк в таблицах, текста в документах, в виде изображений, видео, аудио и в других представлениях. Дополнительно усложняет задачу распределенная инфраструктура: собрать все данные в одном месте практически невозможно.

2️⃣ Для решения таких задач компании по-прежнему вынуждены использовать традиционные средства защиты данных, которые были разработаны много лет назад для конкретных целей, таких как: защита баз данных, защита файловых хранилищ, контроль потоков данных на рабочих станциях и т.д.

3️⃣ На практике мы видим, что ни одно из этих решений, ни любая их связка не способны обеспечить реальную безопасность данных, так как не позволяют ответить на три ключевых вопроса: «Какие значимые данные хранятся в инфраструктуре прямо сейчас?», «Кто имеет доступ к этим данным?», «Кто и как их использует?».

🤟 Что готовит Positive Technologies

Еще до принятия закона мы наблюдали интерес со стороны клиентов и партнеров к вопросу защиты данных и уверены, что теперь этот интерес будет только усиливаться.

В текущей ситуации традиционные методы защиты оказываются малоэффективными, и мы видим потенциал в новом классе решений — data security platform (DSP). Они становятся единой точкой мониторинга всех действий, связанных с данными, в распределенной инфраструктуре и позволяют выстроить единый процесс классификации сведений по уровню значимости для бизнеса, независимо от их формата, выявлять риски и фиксировать факты неправомерного использования.

В октябре мы представили MVP PT Data Security — единого решения для защиты данных, независимо от их типа и места хранения. Разработка ведется с начала года, выпуск коммерческой версии запланирован на вторую половину 2025 года.

💼 Рынок защиты данных в России

По оценке ЦСР, рынок средств защиты данных самый быстрорастущий сегмент в отрасли. В 2023 году он увеличился на 93% и достиг отметки 23 млрд рублей, составив 12% от общего рынка ИБ. К 2028 году мы планируем занять не менее 50% этого сегмента, который, по нашим прогнозам, будет оцениваться в половину всего объема рынка.

$POSI