Любые действия должны быть чем-то обоснованы. Например, затраты на действия по созданию мер защиты информации должны быть обоснованы возможным ущербом, который может нанести оператору или субъекту ПДн инцидент безопасности с персональными данными. Этап обоснования включается в большинстве нормативных документов как обязательный этап при постановке заданий на создание системы защиты. Как оказывается, достаточно эффективным способом снижения тех или иных затрат на защиту ПДн является отсутствие соизмеримого ущерба от инцидента именно с этими данными. Так, например, какой смысл тратить сотни тысяч рублей на защиту и аттестацию рабочего места, когда на нем в единицу времени отображаются только идентификационные данные и только одного субъекта? Принцип экономической обоснованности является базовым принципом и находит отражение даже в государственных стандартах. В связи с этим, ключевым советом для ИТ юристов будет являться выявление обрабатываемых порций персональных данных в различных узлах ИС ПДн и оценка ущерба при возникновении инцидента исходя из действующего гражданского, административного и уголовного законодательства РФ. При этом, целесообразно взвешивать возможный ущерб с уровнем вероятности возникновения того или иного инцидента.