Programišiai taikosi į verslo įrangą: ar IT tiekėjai atsakys už padarinius?

Kibernetinės atakos įgauna vis sunkiau įsivaizduojamas formas. Šiomis dienomis Europoje pasikartojo atakos prieš prekybos centrus, kai vietoje šalčio, maisto šaldytuvuose buvo nustatytas net 50 laipsnių karštis. Perėmę nuotolinį įrangos valdymą, įsilaužėliai pridarė dešimtis milijonų žalos dėl sugadintų maisto produktų.

Kokie galėtų būti kiti taikiniai? Verslo centrų šildymo ir vėdinimo sistemos, išmaniosios durų spynos, automatiniai vartai, liftai, gamybos įrenginiai, sandėlių automatika, namų apsaugos sistemos ir t.t. Vis daugiau kasdien naudojamos įrangos valdoma per internetą, o jos priežiūrą ir saugumą dažnai patikime išorės paslaugų teikėjams.

Tokia rizika neišvengiamai kelia ir teisinės atsakomybės klausimą. Jeigu kibernetiniai nusikaltėliai pasinaudoja išorės tiekėjo saugumo spraga, ar realu iš jo išsireikalauti nuostolių atlyginimą?

Kas atsakingas už nuostolius?

Įmonės vis dažniau informacinių sistemų priežiūrą perduoda išorės paslaugų teikėjams. Tai apima duomenų saugojimą, nuotolinį įrangos valdymą ir kibernetinio saugumo funkcijas. Tačiau funkcijų perdavimas savaime nereiškia, kad visa rizika ir atsakomybė taip pat pereina tiekėjui – atsakomybės apimtį lemia sutartimi ir teisės aktais konkrečiam asmeniui priskirtos pareigos.

Kibernetinio saugumo įstatyme numatytos priežiūros ir poveikio priemonės, įskaitant baudas, yra viešojo pobūdžio, kurios yra skirtos užtikrinti teisinio reguliavimo laikymąsi, o ne kompensuoti nukentėjusio verslo nuostolius. Todėl žalos atlyginimo klausimas sprendžiamas pagal civilinės atsakomybės taisykles, atskirai nustatant jos pagrindą ir sąlygas.

Lietuvoje konkretus civilinės atsakomybės pagrindas pirmiausia priklausytų nuo nukentėjusį asmenį ir galimą pažeidėją siejančio teisinio santykio. Jeigu IT paslaugų teikėjo klientas patyrė žalą dėl netinkamo sutartinių pareigų vykdymo, būtų taikoma sutartinė civilinė atsakomybė. Jei žala padaryta trečiajam asmeniui, kurio su pažeidėju nesieja sutartiniai teisiniai santykiai, atsakomybė paprastai būtų vertinama pagal deliktinės atsakomybės taisykles.

Sutartinės atsakomybės atveju teisinį pagrindą sudaro Lietuvos Respublikos civiliniame kodekse (CK) įtvirtinta pareiga tinkamai ir laiku vykdyti sutartines prievoles. Reikalaujant žalos atlyginimo, būtina nurodyti konkrečią tiekėjo pareigą ir įrodyti jos pažeidimą, patirtą žalą, priežastinį ryšį ir, kai taikoma, kaltę. Profesionaliam IT ar kibernetinio saugumo paslaugų teikėjui paprastai taikomas aukštesnis atidumo ir rūpestingumo standartas. Vis dėlto vien faktas, kad incidentas įvyko jo administruojamoje sistemoje, automatiškai nepagrindžia tiekėjo kaltės ar pareigos kompensuoti visus kliento nuostolius (CK 6.256 str., CK 6.246-6.249 str.).

Ar IT tiekėjas privalo garantuoti, kad įsilaužimų nebus?

Vienas svarbiausių klausimų sprendžiant tokius ginčus – ką tiksliai įsipareigojo atlikti paslaugų teikėjas. Teisiškai reikšminga atskirti prievolę pasiekti konkretų rezultatą nuo prievolės dėti maksimalias, profesionaliai pagrįstas pastangas.

Pavyzdžiui, jeigu tiekėjas įsipareigojo nustatytu periodiškumu diegti saugumo atnaujinimus, tinkamai valdyti prieigos teises, stebėti sistemų pažeidžiamumus ar per konkretų laiką reaguoti į perspėjimus, tokių pareigų vykdymą galima patikrinti. Tačiau abstraktus pažadas „užtikrinti kibernetinį saugumą“ neturėtų būti suprantamas kaip absoliuti garantija, kad jokia ataka neįvyks.

Spalį įvykęs incidentas su šaldytuvais Prancūzijoje šiuo požiūriu ypač įdomus. Viešai skelbta, kad dalyje paveiktų šaldymo sistemų buvo naudojama pasenusi programinė įranga. Įrangos gamintoja „Danfoss“ nurodė, kad dalis paveiktų įrenginių jau nebebuvo palaikomi, o kai kuriems kitiems nebuvo įdiegti naujausi atnaujinimai.

Tai kelia klausimą, kas turėjo pasirūpinti įrangos saugumu. Paslaugų teikėjo atsakomybės klausimas galėtų kilti, jeigu jis neįdiegė sutartų saugumo atnaujinimų, nepašalino jam žinomo pažeidžiamumo, paliko neapsaugotą nuotolinę prieigą, netinkamai valdė padidintas prieigos teises turinčias paskyras, nevykdė sutartos stebėsenos arba laiku nepranešė apie aptiktą incidentą.

Kita vertus, jeigu tiekėjas tinkamai vykdė prisiimtus įsipareigojimus, o ataka buvo įvykdyta pasinaudojant iki tol objektyviai nežinomu pažeidžiamumu, kurio nebuvo galima nustatyti ar pašalinti taikant pagrįstas ir proporcingas saugumo priemones, vien incidento faktas tiekėjo atsakomybės nepagrįstų. Vertinant jo elgesį būtų svarbu ir tai, ar incidento metu jis ėmėsi visų objektyviai įmanomų priemonių neigiamiems padariniams sumažinti.

Be to, reikėtų įrodyti priežastinį ryšį: kad tinkamas pareigų vykdymas būtų užkirtęs kelią žalai arba reikšmingai sumažinęs jos mastą. Jeigu tokia pati žala būtų atsiradusi ir tiekėjui tinkamai įvykdžius sutartines pareigas, tai galėtų būti pagrindas atsisakyti priteisti visą patirtų nuostolių sumą. Taigi, kaip dažnai nutinka teisiniuose ginčuose, viską lemia konkrečios aplinkybės.

Kada už nuostolius gali tekti atsakyti pačiam verslui?

Įmonė, perdavusi technologijų priežiūrą išorės specialistams, taip pat išsaugo savo pareigas. Jos neatsargumas, nereagavimas į saugumo įspėjimus, atsisakymas atnaujinti pasenusią įrangą, kliūčių tiekėjui atlikti sutartą priežiūrą sudarymas ar pareigos imtis priemonių žalai sumažinti nevykdymas gali turėti reikšmės sprendžiant dėl atsakomybės paskirstymo ir atlygintinos žalos dydžio.

Civilinis kodeksas leidžia tam tikrais atvejais sumažinti atlygintiną žalą, atsižvelgiant į paties nukentėjusiojo kaltę ar jo veiksmus, prisidėjusius prie žalos atsiradimo arba padidėjimo (CK 6.282 str. 1 ir 3 d.).

Todėl ginčas dėl kibernetinės atakos padarinių gali virsti detalia analize, kas ir kada gavo perspėjimus, kam buvo pavesta diegti atnaujinimus, kokių veiksmų buvo imtasi ir ar jų pakako. Tokiuose ginčuose svarbūs tampa sutartiniai įsipareigojimai, techniniai žurnalai, susirašinėjimas ir incidento tyrimo išvados.

Kokių nuostolių galima išsireikalauti?

Kibernetinės atakos prieš šaldymo sistemas atskleidė papildomą svarbų aspektą – ataka gali sukelti tiesioginę fizinę žalą įmonės turtui. Viešai skelbta, kad temperatūra paveiktuose įrenginiuose buvo pakelta maždaug iki 50 °C, todėl teko utilizuoti sugedusius produktus, o kai kur kilo gaisrai ir buvo apgadinta įranga bei patalpos.

Lietuvoje atlygintinos žalos dydis priklausytų nuo nustatytų civilinės atsakomybės sąlygų ir tinkamai pagrįstų nuostolių. Juos galėtų sudaryti sugadintų prekių vertė, jų utilizavimo, ekspertinio tyrimo, įrangos remonto ir sistemų atkūrimo išlaidos. Tam tikrais atvejais galėtų būti atlyginamos ir negautos pajamos, tačiau nepakaktų bendro teiginio apie sumažėjusias pajamas: reikėtų įrodyti, kokios pajamos pagrįstai būtų gautos, kokios sąnaudos būtų patirtos ir kaip būtent incidentas nulėmė jų netekimą (CK 6.249 str.).

Įvykiai Europoje (Prancūzijoje, Švedijoje, Bulgarijoje ir kt.) primena, kad kibernetinio saugumo spragos gali paveikti ne tik skaitmenines sistemas, bet ir fizinį turtą, tiekimo grandines bei įmonės gebėjimą vykdyti sutartinius įsipareigojimus. Todėl kibernetinis saugumas nėra vien IT specialistų rūpestis. Verslui svarbu įgyvendinti technines ir organizacines saugumo priemones, aiškiai sutartyse paskirstyti atsakomybę už sistemų saugumą, atnaujinimus, prieigos kontrolę ir reagavimą į incidentus, taip pat prižiūrėti paslaugų teikėjų veiklą. Kilus ginčui, būtent šie susitarimai, faktiniai šalių veiksmai ir juos pagrindžiantys įrodymai gali nulemti, kam ir kokia apimtimi teks padengti nuostolius.