В предыдущем посте я рассказала о новых правилах IT-аутсорсинга на финансовом рынке, предусмотренных законом. Но есть еще одна сторона этих изменений, не менее интересная для IT-компаний, - договорные риски . Представим ситуацию. IT-компания обслуживает информационные системы банка, имеет доступ к банковской тайне и персональным данным клиентов. Произошел инцидент, часть информации раскрыта, банк понес расходы и предъявил требования подрядчику. Кто и за что будет отвечать? Закон прямо предусматривает обязанность поставщиков услуг и их должностных лиц сохранять банковскую тайну, а за ее разглашение - ответственность, включая возмещение причиненного ущерба. Но это не означает, что любые расходы банка автоматически можно взыскать с IT-компании. По общим правилам ГК РФ необходимо учитывать основание ответственности, нарушение обязательства, причинную связь и размер убытков. А также то, какие обязанности по защите информации приняла на себя каждая сторона. Например, подрядчик отвечает за безопасность своей инфраструктуры, но банк самостоятельно управляет правами доступа отдельных пользователей. Если инцидент произошел из-за ошибочных действий сотрудников банка, вопрос об ответственности исполнителя уже не так очевиден. Поэтому особенно опасны договоры, в которых подрядчик отвечает за любые инциденты и все их последствия независимо от причин возникновения. Еще один момент - обязанность оперативно сообщать об инцидентах. Само уведомление не решает проблему. Важно определить, кто расследует происшествие, обеспечивает сохранность доказательств, устраняет последствия и взаимодействует с регулятором. Иначе после инцидента стороны могут потратить больше времени на выяснение, кто что должен делать, чем на устранение самой проблемы. Читать далее
Continue to Habr →You are being forwarded in 6s — stay on this page