«Если наказывать только за ущерб, а не за нарушение требований, то вообще никто ничего делать не будет»

Такую точку зрения высказал заместитель директора ФСТЭК России Виталий Лютиков, комментируя вопросы наказания организаций за последствия от киберинцидентов.

Существует мнение, что необходимо наказывать компании за ущерб вследствие киберинцидентов, а не за нарушение требований ИБ. «Понятная позиция, но это ровным счётом то же самое, что в правилах дорожного движения наказывать за аварию с жертвами, но не за факт нарушения ПДД, – объясняет Лютиков. – Здесь может возникнуть такая же концепция».

Подобная модель имеет прав на существование, но исходя из имеющегося опыта, в таком случает «вообще никто ничего делать не будет, – говорит он. – Все будут говорить, что ничего не произошло. У нас сегодня есть много случаев, когда выявляется утечка (предположим, миллионные базы данных), и первая реакция, которую мы слышим в ответ – «ничего страшного не произошло, это открытая информация». Она может и открытая, но никто не задумывается о последствиях произошедшего. Телефоны утекли – ничего не произошло, сайт висит, не работает – ничего страшного. В этой модели нужно чётко понимать, что за ней стоит оценка последствий инцидента». И если у государственного органа «лежит» сайт, например, два часа, эксперты должны оценить, что это значит «либо в рублях, либо в репутации», считает замдиректора ФСТЭК.