Дело РЖД об утечке ПДн, кажется, у всех на слуху. Но, на всякий случай напомню кратко:
В начале 2025 РКН обнаружил большую базу работников РЖД в Интернет и привлек оператора по ч.1 ст.13.11 КоАП. Первая инстанция признала РЖД виновной, но апелляция недавно и внезапно вынесла противоположный вердикт. По мнению арбитражного суда утечка произошла вследствие целевой кибератаки, а вовсе не по вине организации, возбуждено уголовное дело на неустановленные лица, а административное нарушение не очевидно.

И вот это "не очевидно" один из главных факторов, как мне кажется. Если оператор добросовестно защищал свои данные и имеет подтверждение этому, то утечка уже не будет приговором, особенно по "оборотным" статьям КоАП.
Как оценивать эффективность защиты и документировать я уже писал (раз, два, три)

Да, это не единственное, что нужно сделать при утечке после кибератаки. Уведомление РКН, сбор и сохранение максимального объема доказательств по инциденту (управление ИБ инцидентами отдельный вопрос, да), сотрудничество со следствием - тоже важны и нужны. Но именно защита ПДн и последующая оценка эффективности наиболее трудозатратны и длительны. По щелчку пальцев не появятся, увы.

#Утечки #КоАП #Судебное_решение