Ζημιές από Κυβερνοεπίθεση. Ποια είναι η ευθύνη αποζημίωσης του προμηθευτή συστημάτων; Εξήγηση παραδειγμάτων αναγραφόμενων σε συμβάσεις
Στα τελευταία χρόνια, οι κυβερνοεπιθέσεις εναντίον εταιρειών ακολουθούν μια αυξητική τάση.
Σύμφωνα με μια έρευνα του Ειδικού Μη Κερδοσκοπικού Οργανισμού Ιαπωνικής Ένωσης Ασφάλειας Δικτύου (JNSA), το ποσοστό των περιστατικών διαρροής προσωπικών δεδομένων που οφείλονται σε παράνομη πρόσβαση ήταν 4.7% το 2013, αλλά αυξήθηκε στο 20.3% το 2018 (Έκθεση Έρευνας Περιστατικών Ασφάλειας Πληροφοριών 2018[ja]).
Σε αυτό το άρθρο, θα αναλύσουμε το εύρος της ευθύνης που φέρει ο πάροχος συστημάτων όταν δεχθεί κυβερνοεπίθεση, βάσει προηγούμενων δικαστικών αποφάσεων. Επιπλέον, θα εξηγήσουμε τους ρόλους και το εύρος των ευθυνών που θα πρέπει να καθορίζονται στις συμβάσεις, ώστε οι πάροχοι και οι χρήστες να συνεργάζονται στην αντιμετώπιση κυβερνοεπιθέσεων, με βάση τα πρότυπα συμβατικά έγγραφα.
Φέρουν οι προμηθευτές συστημάτων ευθύνη αποζημίωσης για κυβερνοεπιθέσεις;
Όταν μια εταιρεία που χρησιμοποιεί κάποιο σύστημα υποστεί κυβερνοεπίθεση και προκύψουν ζημιές, ο πρώτος που θα πρέπει να κατηγορηθεί είναι ο δράστης της επίθεσης. Ωστόσο, εάν υπάρχει πιθανότητα η επίθεση να έγινε ευκολότερη λόγω ελλείψεων στην ανάπτυξη ή λειτουργία του συστήματος, τότε μπορεί να γίνει αποδεκτό αίτημα αποζημίωσης από την πλευρά του χρήστη προς τον προμηθευτή του συστήματος.
Οι βάσεις για αξιώσεις αποζημίωσης κατά των προμηθευτών συστημάτων μπορεί να περιλαμβάνουν:
- Ευθύνη για μη συμμόρφωση με τη σύμβαση
- Παράβαση της υποχρέωσης επιμελούς διαχείρισης
Ωστόσο, μπορεί επίσης να υπάρχει περίπτωση όπου η αμέλεια του χρήστη να έχει συμβάλει στην επέκταση της ζημιάς. Σε αυτή την περίπτωση, μπορεί να αναγνωριστεί ευθύνη και στην πλευρά του χρήστη. Σε πραγματικές δίκες, αυτό μπορεί να ληφθεί υπόψη ως αντιστάθμιση ελαττώματος, με αποτέλεσμα τον περιορισμό της αποζημίωσης που απαιτείται από τον προμηθευτή του συστήματος.
Σχετικό άρθρο: Τι είναι οι τρεις κατηγορίες κυβερνοεγκλήματος; Ένας δικηγόρος εξηγεί τα μέτρα προστασίας για κάθε περίπτωση[ja]
Ευθύνη Αποζημίωσης του Προμηθευτή Συστημάτων και Παραδείγματα Αναφοράς σε Συμβάσεις
Ως αντιπροσωπευτικά παραδείγματα συμβάσεων IT συστημάτων μεταξύ προμηθευτών συστημάτων και εταιρειών που είναι χρήστες, υπάρχουν τα εξής τρία:
- Σύμβαση Ανάπτυξης Λογισμικού
- Σύμβαση Συντήρησης και Λειτουργίας Συστημάτων
- Σύμβαση Χρήσης Υπηρεσιών Cloud
Η ευθύνη αποζημίωσης καθορίζεται από την αρχική σύμβαση, επομένως θα προχωρήσουμε σε ανάλυση ανά κατηγορία συμβάσεων παρακάτω.
Συμβόλαιο Ανάπτυξης Λογισμικού
Το συμβόλαιο ανάπτυξης λογισμικού είναι η συμφωνία που συνάπτεται όταν μια εταιρεία-χρήστης αναθέτει σε έναν πάροχο λογισμικού (software vendor) την ανάπτυξη του εταιρικού της συστήματος.
Σε περίπτωση που η εταιρεία-χρήστης δεχθεί κυβερνοεπίθεση και η ευπάθεια του λογισμικού αποτελέσει αιτία για την επέκταση της ζημιάς, είναι δυνατή η αναζήτηση ευθύνης από τον χρήστη προς τον πάροχο.
Οι ευθύνες που φέρει ο πάροχος συστημάτων εξαρτώνται από το είδος του συμβολαίου ανάπτυξης λογισμικού και περιλαμβάνουν τα εξής δύο:
- Συμβόλαιο έργου: Ευθύνη για ασυμβατότητα με το συμβόλαιο
- Συμβόλαιο παροχής υπηρεσιών: Παράβαση της υποχρέωσης για επιμελή διαχείριση
Σύμβαση Ανάθεσης Έργου
Η σύμβαση ανάθεσης έργου είναι μια σύμβαση όπου υπόσχεται την ολοκλήρωση ενός συστήματος και αμείβεται για το αποτέλεσμα που παραδίδει.
Εάν το παραδοθέν αποτέλεσμα “δεν συμφωνεί με τον σκοπό της σύμβασης”, ο ανάδοχος φέρει ευθύνη για τη μη συμμόρφωση με τη σύμβαση (Ιαπωνικός Αστικός Κώδικας άρθρα 559 και 562) για μια συγκεκριμένη περίοδο μετά την παράδοση.
Αυτό σημαίνει ότι ένα αποτέλεσμα που μπορεί εύκολα να προκαλέσει δυσλειτουργία του συστήματος λόγω κυβερνοεπίθεσης θεωρείται “μη συμμορφούμενο με τον σκοπό της σύμβασης” και μπορεί να επιφέρει αίτηση για αποζημίωση λόγω μη συμμόρφωσης με τη σύμβαση από την πλευρά του χρήστη.
Εάν αυτή η αίτηση θα γίνει δεκτή εξαρτάται από το επίπεδο ασφάλειας του λογισμικού που έχουν συμφωνήσει εκ των προτέρων οι δύο πλευρές.
【Παράδειγμα Καταγραφής Ευθύνης για Μη Συμμόρφωση με τη Σύμβαση】
Άρθρο Ο΄ Μετά την ολοκλήρωση της επιθεώρησης του προηγούμενου άρθρου, εάν ανακαλυφθεί ασυμφωνία με τις προδιαγραφές του συστήματος στο παραδοθέν αντικείμενο (συμπεριλαμβανομένων των σφαλμάτων, που στο παρόν άρθρο αναφέρονται ως “μη συμμόρφωση με τη σύμβαση”), ο αναθέτων μπορεί να απαιτήσει από τον ανάδοχο την εκπλήρωση των επιδιορθώσεων ή άλλων απαιτούμενων ενεργειών (στο παρόν άρθρο αναφέρονται ως “εκπλήρωση”), και ο ανάδοχος πρέπει να προβεί σε αυτήν. Ωστόσο, εάν δεν επιβάλλεται στον αναθέτοντα υπερβολικό βάρος, ο ανάδοχος μπορεί να προβεί σε διαφορετική μέθοδο εκπλήρωσης από αυτήν που ζήτησε ο αναθέτων.
2. Ανεξάρτητα από την προηγούμενη παράγραφο, εάν η μη συμμόρφωση με τη σύμβαση δεν εμποδίζει την επίτευξη του σκοπού της ατομικής σύμβασης και η εκπλήρωση απαιτεί υπερβολικό κόστος, ο ανάδοχος δεν υποχρεούται να προβεί στην εκπλήρωση που ορίζεται στην προηγούμενη παράγραφο.
3. Ο αναθέτων, εάν υποστεί ζημιά λόγω της μη συμμόρφωσης με τη σύμβαση (περιορισμένη σε αιτίες που οφείλονται στον ανάδοχο), μπορεί να απαιτήσει αποζημίωση από τον ανάδοχο.
Πηγή: Ιαπωνικό Πρότυπο Συμβόλαιο Πληροφοριακών Συστημάτων (Δεύτερη Έκδοση)[ja]
Σύμβαση Εντολής
Στη σύμβαση εντολής δεν εφαρμόζεται η ευθύνη για ασυμφωνία του συμβατικού αντικειμένου, καθώς δεν υπάρχει υποχρέωση ολοκλήρωσης του αποτελέσματος. Αντ’ αυτού, αναλαμβάνεται η υποχρέωση «να διαχειρίζεται τις εντολές με την προσοχή ενός καλού διαχειριστή» (υποχρέωση προσοχής καλού διαχειριστή).
Σε περίπτωση που ένα σύστημα παρουσιάσει δυσλειτουργία λόγω κυβερνοεπίθεσης, ακόμη και αν δεν έχει καθοριστεί το επίπεδο ασφαλείας κατά τη σύναψη της σύμβασης, η ανάπτυξη ενός τέτοιου συστήματος μπορεί να θεωρηθεί ως «παράβαση της υποχρέωσης προσοχής καλού διαχειριστή» (Άρθρα 656 και 644 του Ιαπωνικού Αστικού Κώδικα), και ενδέχεται να εγείρει αξίωση για αποζημίωση.
【Παράδειγμα αναφοράς στην υποχρέωση προσοχής καλού διαχειριστή】
Άρθρο Ο΄ Ο Β’ θα παρέχει υπηρεσίες υποστήριξης στη δημιουργία εγγράφου ορισμού απαιτήσεων, βάσει του σχεδίου πληροφοριακού συστήματος και του σχεδίου συστηματοποίησης που έχει δημιουργήσει ο Α’, μετά τη σύναψη ενός ατομικού συμβολαίου σύμφωνα με το Άρθρο Ο΄ (εφεξής αναφερόμενο ως “υπηρεσίες υποστήριξης δημιουργίας εγγράφου ορισμού απαιτήσεων”).
2. Ο Β’ θα διενεργεί τις υπηρεσίες υποστήριξης, όπως έρευνα, ανάλυση, οργάνωση, πρόταση και συμβουλές, με βάση την εξειδικευμένη γνώση και εμπειρία στην επεξεργασία πληροφοριών, με σκοπό την ομαλή και κατάλληλη εκτέλεση των εργασιών του Α’, πάντα με την προσοχή ενός καλού διαχειριστή.
Πηγή: Ιαπωνικό Πληροφοριακό Σύστημα – Μοντέλο Συμβάσεων και Συμβολαίων (Δεύτερη Έκδοση)[ja]
Συμβόλαιο Συντήρησης και Λειτουργίας Συστημάτων
Το συμβόλαιο συντήρησης και λειτουργίας συστημάτων αφορά την εντολή που δίνει μια επιχείρηση σε έναν πάροχο λογισμικού για την ανάληψη των εργασιών συντήρησης και λειτουργίας του υφιστάμενου λογισμικού. Κατά τη σύναψη ενός τέτοιου συμβολαίου, είναι συνηθισμένο να ενσωματώνονται στο συμβόλαιο, μέσω των τεχνικών προδιαγραφών, οι απαιτούμενοι κανόνες ασφαλείας που πρέπει να τηρηθούν.
Σε περίπτωση που προκύψουν ζημιές από κυβερνοεπίθεση, εάν το επίπεδο ασφαλείας του συστήματος είναι κατώτερο από αυτό που συμφωνήθηκε κατά τη σύναψη του συμβολαίου, μπορεί να ασκηθεί ευθύνη για παραβίαση του συμβολαίου, βασιζόμενη στις ρήτρες για ασυμβατότητα.
Ωστόσο, εάν δεν έχουν καθοριστεί εκ των προτέρων τα επίπεδα ασφαλείας, η συντήρηση και λειτουργία ενός ευάλωτου συστήματος σε κυβερνοεπιθέσεις μπορεί να θεωρηθεί ως παραβίαση της υποχρέωσης για επιμελή διαχείριση και να επιφέρει την ανάλογη ευθύνη.
Συμβόλαιο Χρήσης Υπηρεσιών Cloud
Το Συμβόλαιο Χρήσης Υπηρεσιών Cloud είναι η συμφωνία που συνάπτεται όταν κάποιος χρησιμοποιεί τις υπηρεσίες που παρέχονται από έναν πάροχο στο cloud. Επειδή συνήθως ο πάροχος προσφέρει την ίδια υπηρεσία σε πολλούς χρήστες, συχνά η συμφωνία γίνεται σύμφωνα με τους όρους χρήσης που έχει καθορίσει ο ίδιος.
Συνήθως, αυτό το συμβόλαιο περιλαμβάνει προκαθορισμένες ρυθμίσεις για την ευθύνη σε περίπτωση που η υπηρεσία δεν μπορεί να παρασχεθεί λόγω κυβερνοεπίθεσης.
Σε ένα Συμβόλαιο Χρήσης Υπηρεσιών Cloud, συνήθως καθορίζονται τα εξής κατά τη στιγμή της σύναψης:
- SLA (Service Level Agreement – Συμφωνία Επιπέδου Υπηρεσίας): Εγγυήσεις ποιότητας και κανόνες λειτουργίας
- Ρήτρες Περιορισμού Ευθύνης: Όρια ευθύνης του παρόχου σε περίπτωση ζημιάς
Το SLA είναι ένα έγγραφο που καθορίζει τα επίπεδα υπηρεσίας που απαιτούνται από τον χρήστη και τους κανόνες λειτουργίας του παρόχου. Εάν οι υπηρεσίες που έχουν συμφωνηθεί δεν παρασχεθούν, μπορεί να γίνει αίτηση για αποζημίωση λόγω μερικής μη εκπλήρωσης των υποχρεώσεων. Επίσης, μπορεί να υπάρχει μια ‘Ρήτρα Περιορισμού Ευθύνης’ στο συμβόλαιο, η οποία προκαθορίζει τις προϋποθέσεις κάτω από τις οποίες ο πάροχος μπορεί να κατηγορηθεί για μη εκπλήρωση των υποχρεώσεων και περιορίζει το ποσό της αποζημίωσης ακόμα και αν αναγνωριστεί η ευθύνη.
Ωστόσο, οι Ρήτρες Περιορισμού Ευθύνης συχνά είναι ευνοϊκές για τον πάροχο και εάν προκύψει διαφωνία, μπορεί να υπόκεινται σε κάποιους περιορισμούς βάσει της νομολογίας της Ιαπωνίας.
【Παράδειγμα Ρήτρας Περιορισμού Ευθύνης】
Άρθρο ○: Οι μέρες Α και Β μπορούν, σε περίπτωση που υποστούν ζημιά λόγω αιτίας που αποδίδεται στον αντίπαλο, να απαιτήσουν αποζημίωση από τον αντίπαλο, με την προϋπόθεση ότι η ζημιά δεν θα υπερβαίνει (το ποσό των ○○○). Ωστόσο, αυτή η απαίτηση δεν μπορεί να γίνει μετά την πάροδο ○ μηνών από την ημερομηνία ολοκλήρωσης της παραλαβής των προϊόντων ή την επιβεβαίωση της ολοκλήρωσης των εργασιών, όπως ορίζεται στο συγκεκριμένο συμβόλαιο.
2. Το συνολικό ποσό των αποζημιώσεων για ζημιές που σχετίζονται με την εκπλήρωση του παρόντος συμβολαίου και των επιμέρους συμβάσεων, ανεξάρτητα από την αιτία της απαίτησης (είτε πρόκειται για μη εκπλήρωση υποχρεώσεων, αδικαιολόγητο κέρδος, παράνομη πράξη ή άλλο), θα περιορίζεται στο ποσό που ορίζεται στην επιμέρους σύμβαση που αποτέλεσε την αιτία της ευθύνης.
3. Η προηγούμενη παράγραφος δεν ισχύει σε περιπτώσεις όπου η υποχρέωση για αποζημίωση βασίζεται σε πρόθεση ή σοβαρή αμέλεια του υπόχρεου.
Πηγή: Μοντέλο Συμβολαίου Πληροφοριακών Συστημάτων (Δεύτερη Έκδοση)[ja]
Κριτήρια Καθορισμού της Ευθύνης Αποζημίωσης του Προμηθευτή Συστημάτων
Όταν μια επιχείρηση χρήστης υποστεί ζημιά από μια κυβερνοεπίθεση, πότε ακριβώς μπορεί να αμφισβητηθεί η ευθύνη του προμηθευτή που ανέπτυξε το σύστημα;
Παρακάτω, θα αναλύσουμε βάσει πραγματικών δικαστικών παραδειγμάτων που η ευθύνη του προμηθευτή συστημάτων έχει κληθεί να αντιμετωπίσει.
Εφαρμογή μέτρων ασφαλείας σύμφωνα με τα τεχνικά πρότυπα της εποχής ανάπτυξης
Σε πραγματικές δίκες όπου αμφισβητείται η ευθύνη, είναι σημαντικό αν ο προμηθευτής συστημάτων είχε εφαρμόσει μέτρα ασφαλείας σύμφωνα με τα πρότυπα που ίσχυαν κατά την εποχή ανάπτυξης, βάσει των εγκυκλίων και των εγχειριδίων που είχαν δημοσιευθεί από κρατικές αρχές ή επαγγελματικές οργανώσεις.
Υπάρχουν παραδείγματα δικαστικών αποφάσεων όπου έχει επιβληθεί αποζημίωση σε προμηθευτές συστημάτων για ζημιές που προκλήθηκαν από κυβερνοεπιθέσεις.
【Παράδειγμα Δικαστικής Απόφασης】Τόκιο Περιφερειακό Δικαστήριο 23.1.2014 (Heisei 26.1.23)
Χρήστης: Εταιρεία X, λιανική και τηλεπωλήσεις ειδών διακόσμησης
Προμηθευτής: Εταιρεία Y, ανέλαβε τον σχεδιασμό και τη συντήρηση του συστήματος διαδικτυακών παραγγελιών
Περιστατικό διαρροής πληροφοριών πιστωτικών καρτών 7,000 πελατών λόγω κυβερνοεπίθεσης
■Απόφαση
Επιβολή αποζημίωσης ύψους περίπου 20 εκατομμυρίων γιεν στον προμηθευτή συστημάτων
Το ποσό της αποζημίωσης ξεπέρασε το κόστος ανάπτυξης κατά περίπου 2 εκατομμύρια γιεν
Αναγνωρίστηκε επίσης ότι η εταιρεία X είχε ευθύνη και επιβλήθηκε μείωση της αποζημίωσης κατά 30% λόγω συνυπαιτιότητας
■Λόγοι
・Ο προμηθευτής συστημάτων αμέλησε την υποχρέωση εφαρμογής μέτρων ασφαλείας σύμφωνα με τα τεχνικά πρότυπα της εποχής.
・Η εταιρεία χρήστης, παρά την ενημέρωση για τους κινδύνους από τον προμηθευτή, αμέλησε να λάβει τα αντίστοιχα μέτρα, γεγονός που οδήγησε στην απόφαση για μείωση της αποζημίωσης κατά 30% λόγω συνυπαιτιότητας.
Το 2014, οι επιθέσεις SQL Injection ήταν μια κοινή μέθοδος κυβερνοεπιθέσεων, και το Ιαπωνικό Υπουργείο Οικονομίας, Εμπορίου και Βιομηχανίας είχε δημοσιεύσει ένα έγγραφο με τίτλο “Εγρήγορση για την αυστηρή εφαρμογή των μέτρων ασφαλούς διαχείρισης προσωπικών δεδομένων βάσει του Ιαπωνικού Νόμου Προστασίας Προσωπικών Πληροφοριών”, επισημαίνοντας τους κυβερνοκινδύνους και καλώντας για ενίσχυση των συστημάτων.
Η απόφαση αναγνώρισε την ευθύνη του προμηθευτή συστημάτων που δεν είχε λάβει τα απαραίτητα μέτρα, επιβάλλοντας αποζημίωση, ενώ ταυτόχρονα αναγνώρισε ευθύνη και στην εταιρεία χρήστη, επιτρέποντας μείωση της αποζημίωσης κατά 30% λόγω συνυπαιτιότητας.
Υπάρχει ευθύνη από την πλευρά της εταιρείας-χρήστη;
Οι εταιρείες που αναθέτουν την ανάπτυξη συστημάτων έχουν επίσης υποχρεώσεις και εάν υπάρχει παράλειψη, μπορεί να κληθούν να αναλάβουν την πλήρη ευθύνη.
Ακολουθεί ένα παράδειγμα που δεν αφορά κυβερνοεπίθεση, όπου ένα δικαστήριο αναγνώρισε πλήρως την ευθύνη της εταιρείας-χρήστη και επέβαλε αποζημίωση.
【Παράδειγμα Δικαστικής Απόφασης】Δικαστήριο Asahikawa, 31 Αυγούστου 2017 (Heisei 29)
Χρήστης: Πανεπιστημιακό Νοσοκομείο
Προμηθευτής: Εταιρεία συστημάτων που ανέλαβε την ανάπτυξη ενός ηλεκτρονικού συστήματος ιατρικών αρχείων από το πανεπιστημιακό νοσοκομείο
Αμέσως μετά την έναρξη του έργου, άρχισαν να εμφανίζονται συνεχείς επιπλέον αιτήσεις από τους γιατρούς του νοσοκομείου.
Οι αιτήσεις δεν σταμάτησαν και η ανάπτυξη καθυστέρησε, με αποτέλεσμα το νοσοκομείο να ακυρώσει τη σύμβαση λόγω της καθυστέρησης.
■Απόφαση (Εφετείο)
Το πανεπιστημιακό νοσοκομείο καταδικάστηκε σε αποζημίωση περίπου 1,4 δισεκατομμυρίων γεν
Η απόφαση πρώτου βαθμού που επέβαλε αποζημίωση και στις δύο πλευρές ακυρώθηκε
■Λόγοι
Το πρόβλημα ήταν ότι το νοσοκομείο δεν έλαβε υπόψη τις προειδοποιήσεις του προμηθευτή ότι οι επιπλέον αιτήσεις δεν θα επέτρεπαν την παράδοση εντός της προθεσμίας.
Αυτή η δίκη αφορούσε μια περίπτωση όπου η εταιρεία-χρήστης ακύρωσε τη σύμβαση λόγω καθυστέρησης στην ανάπτυξη του συστήματος και και οι δύο πλευρές κατέθεσαν αγωγές αποζημίωσης η μία εναντίον της άλλης.
Η απόφαση αναγνώρισε ότι η αιτία της καθυστέρησης ήταν η αδυναμία της εταιρείας-χρήστης να λάβει υπόψη τις προειδοποιήσεις του προμηθευτή και επιβεβαίωσε την 100% ευθύνη της εταιρείας-χρήστης, απορρίπτοντας την αξίωση της εταιρείας-χρήστης. Ο προμηθευτής έχει την υποχρέωση διαχείρισης του έργου ώστε να εκπληρώνεται η προθεσμία παράδοσης, ενώ η εταιρεία-χρήστης έχει την υποχρέωση συνεργασίας. Εάν αμελήσει αυτή την υποχρέωση, μπορεί να κληθεί να αναλάβει την πλήρη ευθύνη, και στην πραγματικότητα, στα δικαστήρια, η αναλογία της ευθύνης καθορίζει την ευθύνη αποζημίωσης.
Τρία Κρίσιμα Σημεία για την Ανάπτυξη Ασφαλών Συστημάτων
Για να προετοιμαστούμε για κυβερνοκινδύνους και άλλες απειλές, είναι σημαντικό και οι χρήστες και οι προμηθευτές να συνεργαστούν για την ανάληψη μέτρων.
Παρακάτω, θα αναλύσουμε τα μέτρα που μπορούν να λάβουν οι προμηθευτές και οι χρήστες από τη δική τους οπτική γωνία.
Κατανόηση των Κυβερνοκινδύνων που έχουν επισημάνει οι κρατικές αρχές
Οι προμηθευτές συστημάτων θα πρέπει να ελέγχουν τις οδηγίες που προέρχονται από ειδικούς οργανισμούς όπως το Υπουργείο Οικονομίας, Εμπορίου και Βιομηχανίας ή τον Ανεξάρτητο Διοικητικό Οργανισμό για την Προώθηση της Επεξεργασίας Πληροφοριών (IPA), και να κατανοούν τους τρέχοντες κυβερνοκινδύνους και τις μεθόδους αντιμετώπισής τους πριν προχωρήσουν στην ανάπτυξη και διαχείριση.
Επιπλέον, όχι μόνο οι προμηθευτές αλλά και οι χρήστες των εταιρειών θα πρέπει να έχουν κατανοήσει το περιεχόμενο σε έναν βαθμό και να ζητούν ανάπτυξη και διαχείριση σύμφωνα με τις οδηγίες, ενσωματώνοντας στις συμβάσεις τους ρήτρες για τα επίπεδα ασφάλειας.
Αναφορά: Υπουργείο Οικονομίας, Εμπορίου και Βιομηχανίας | Οδηγίες Διαχείρισης Κυβερνοασφάλειας Ver 2.0[ja]
Ιδιαίτερα στον χρηματοοικονομικό τομέα, οι νόμοι και οι οδηγίες μπορεί να απαιτούν αυξημένα επίπεδα ασφάλειας. Τα μέτρα ασφάλειας που αφορούν τα κρυπτονομίσματα αναλύονται πιο αναλυτικά παρακάτω.
Σχετικό Άρθρο: Τι είναι τα μέτρα ασφάλειας για τα κρυπτονομίσματα; Εξηγούμε μαζί με τρία περιστατικά διαρροής[ja]
Και οι δύο πλευρές να κατανοούν την ανάγκη για ασφάλεια
Στις “Οδηγίες Διαχείρισης Κυβερνοασφάλειας Ver2.0” του Υπουργείου Οικονομίας, Εμπορίου και Βιομηχανίας, αναφέρεται ότι “τα μέτρα κυβερνοασφάλειας είναι ένα θέμα διοίκησης”.
Οι εταιρείες δεν πρέπει απλώς να αφήνουν την ασφάλεια στους προμηθευτές επειδή δεν την καταλαβαίνουν, αλλά πρέπει να θεωρούν τη διαχείριση του κινδύνου ως μέρος της διοίκησης και να αναλαμβάνουν την ευθύνη για την ανάληψη μέτρων.
Κοινή αντιμετώπιση των κυβερνοεπιθέσεων από όλους τους εμπλεκόμενους
Όταν συμβεί μια κυβερνοεπίθεση, οι παραγγελιοδότες και οι προμηθευτές δεν πρέπει να αποδίδουν ευθύνες ο ένας στον άλλον, αλλά να συνεργάζονται για να περιορίσουν τη ζημιά στο ελάχιστο.
Ωστόσο, στην ανάπτυξη συστημάτων, η πλευρά του παραγγελιοδότη τείνει να είναι ισχυρότερη και η ανάπτυξη συχνά προχωρά με βάση το κόστος και τις προθεσμίες. Οι προμηθευτές μπορεί να μην λαμβάνουν αρκετά χρήματα ή χρόνο και να μην μπορούν να προτείνουν μέτρα ασφάλειας που θα γίνουν αποδεκτά.
Ωστόσο, οι οδηγίες υποδεικνύουν ότι οι εταιρείες πρέπει να θεωρούν την εφαρμογή μέτρων ασφάλειας όχι ως “κόστος” αλλά ως “επένδυση” που είναι ζωτικής σημασίας για τις μελλοντικές επιχειρηματικές δραστηριότητες και την ανάπτυξη.
Στην ανάπτυξη συστημάτων, είναι σημαντικό οι προμηθευτές και οι χρήστες να συνεργάζονται σε ίση βάση για την κοινή αντιμετώπιση των κυβερνοεπιθέσεων.
Συνοπτικά: Συμβουλευτείτε δικηγόρο για τη σύνταξη συμβολαίων ανάπτυξης συστημάτων
Σε περίπτωση που υπάρξει κυβερνοεπίθεση και προκληθεί ζημιά, ο προμηθευτής που ανέλαβε την ανάπτυξη του συστήματος μπορεί να κατηγορηθεί από την επιχείρηση-χρήστη για παραμέληση των μέτρων αντιμετώπισης κυβερνοκινδύνων.
Ωστόσο, ευθύνη φέρει και η επιχείρηση-χρήστης, εάν αυτή παραμελήσει τις υποχρεώσεις συνεργασίας που έχει απέναντι στον προμηθευτή.
Για να περιορίσετε στο ελάχιστο τις ζημιές από κυβερνοεπιθέσεις, είναι απαραίτητο να καθορίσετε το επίπεδο του συστήματος και τις αντίστοιχες ευθύνες κάθε πλευράς μέσα στο συμβόλαιο.
Για τη σύνταξη συμβολαίων ανάπτυξης συστημάτων και άλλων συμφωνιών, συμβουλευτείτε δικηγόρο με εκτεταμένη εξειδίκευση και γνώση των ισχυόντων κατευθυντήριων γραμμών και των τρεχουσών κυβερνοκινδύνων.
Οδηγίες για τα Μέτρα από το Δικηγορικό μας Γραφείο
Το Δικηγορικό Γραφείο Monolith είναι ένα γραφείο με υψηλή εξειδίκευση στον τομέα της πληροφορικής, και ειδικότερα στο δίκαιο του διαδικτύου και της νομοθεσίας. Κατά τη διαδικασία σύναψης συμβάσεων ανάπτυξης συστημάτων, είναι απαραίτητη η κατάρτιση ενός συμβολαίου. Το γραφείο μας αναλαμβάνει την κατάρτιση και αναθεώρηση συμβολαίων για διάφορα έργα, από εισηγμένες εταιρείες στο Χρηματιστήριο του Τόκιο μέχρι εταιρείες νεοφυείς. Εάν αντιμετωπίζετε δυσκολίες με τα συμβόλαια, παρακαλούμε ανατρέξτε στο παρακάτω άρθρο.
Τομείς εξειδίκευσης του Δικηγορικού Γραφείου Monolith: Νομικές Υπηρεσίες Σχετικές με την Ανάπτυξη Συστημάτων[ja]
Category: IT
Tag: CybercrimeIT
