4_2.htm 4.2. Виды защиты информации в компьютерных сетях
4.2.1. Организационные методы защиты компьютерной информации
4.2.2. Защита персональных компьютеров и локальных вычислительных сетей от несанкционированного доступа
4.2.3. Антивирусная защита
Совсем недавно к интеллектуальным преступлениям можно было бы отнести незаконное копирование произведений и товарных знаков, присвоение авторства и т. п. В настоящее время, в связи с широким распространением вычислительной техники и средств телекоммуникаций список таких преступлений значительно расширился и они шагнули в экономические сферы, превратившись в высокорентабельный бизнес, который не считается ни со временем, ни с расстояниями, ни с границами, а уровень доходности сравним с доходами от торговли оружием или наркотиками. Компьютерные программы, конфиденциальная электронная информация, электронные деньги — все это стало электронным товаром конца XX века. Этот товар не осязаем и до момента воплощения его в материальной форме, в виде реального товара или денег, его утечка зачастую не может быть обнаружена, а следовательно, убытки от его незаконного использования не явны и трудно определимы, хотя реальный ущерб может исчисляться астрономическими денежными суммами. Именно поэтому компьютерные преступления чрезвычайно многогранные и сложные явления. Объектами таких преступных посягательств могут быть сами технические средства (компьютеры и периферия), как материальные объекты, или программное обеспечение и базы данных, для которых технические средства являются окружением. Компьютер может выступать и как предмет посягательств, и как их инструмент. В настоящее время виды компьютерных преступлений чрезвычайно многообразны. Это и несанкционированный доступ к информации, хранящейся в компьютере, и ввод в программное обеспечение «логических бомб», и разработка и распространение компьютерных вирусов, и хищение компьютерной информации, и небрежность в разработке, изготовлении и эксплуатации программно-вычислительных комплексов, и подделка компьютерной информации. Все меры противодействия компьютерным преступлениям можно подразделить на: • Правовые • Организационные • Технические. К правовым мерам следует отнести разработку норм, устанавливающих ответственность за компьютерные преступления, защиту авторских прав программистов, совершенствование уголовного и гражданского законодательства, а также судопроизводства. К правовым мерам относятся также вопросы общественного контроля за разработчиками компьютерных систем и принятие соответствующих международных договоров об их ограничениях, если они влияют или могут повлиять на военные, экономические и социальные аспекты жизни стран, заключающих соглашение. Только в последние годы появились работы по проблемам правовой борьбы с компьютерными преступлениями. А совсем недавно и отечественное законодательство встало на путь борьбы с компьютерной преступностью. К организационным мерам относятся охрана компьютерных систем, подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности центра после выхода его из строя, организацию обслуживания вычислительного центра посторонней организацией или лицами, незаинтересованными в сокрытии фактов нарушения работы центра, универсальность средств защиты от всех пользователей (включая высшее руководство), возложение ответственности на лиц, которые должны обеспечить безопасность центра, выбор места расположения центра и т. п. К техническим мерам можно отнести защиту от несанкционированного доступа к компьютерной системе, резервирование важных компьютерных систем, принятие конструкционных мер защиты от хищений и диверсий, обеспечение резервным электропитанием, разработку и реализацию специальных программных и аппаратных комплексов безопасности и многое другое. Остановимся на них более подробно. Информация — как объект права В качестве инструментов для совершения компьютерных преступлений используются средства телекоммуникаций и вычислительной техники, программное обеспечение и интеллектуальные знания, а сферами их совершения являются не только компьютеры, корпоративные и глобальные сети — Intranet/ Internet, но и любые сферы деятельности, где используются современные высокопроизводительные средства информационных технологий, там, где обрабатываются большие объемы информации, такие, например, как статистические или финансовые институты. В связи с этим, деятельность любого учреждения нельзя представить без процесса получения самой разнообразной информации, ее обработки вручную или с использованием средств вычислительной техники, принятия на основе анализа информации каких-либо конкретных решений и передачи их по каналам связи. До недавнего времени, а именно до 1 января 1997 года, даты вступления в действие нового Уголовного Кодекса Российской Федерации (УК РФ), в России отсутствовала возможность эффективно бороться с компьютерными преступлениями. Несмотря на явную общественную опасность, данные посягательства не были противозаконными, то есть они не упоминались нашим уголовным законодательством. Хотя еще до принятия нового УК в России была осознана необходимость правовой борьбы с компьютерной преступностью. Был принят ряд законов, которые внесли правовую определенность в явление компьютеризации нашего общества вообще и проблему компьютерной преступности в частности и вместе с другими правовыми актами сформировали пакет документов, охватывающий в настоящее время несколько сотен нормативно-правовых актов (в настоящее время отношения в сфере информационной безопасности регулируются более чем 80 законами, иногда достаточно противоречивыми). Непосредственно законодательство России в области информатизации, защиты информации и государственных секретов начало формироваться с 1991 года и включало до 1997 года десять основных законов: • Закон «О средствах массовой информации» (от 27.12.91 г. №2124-1) • Патентный закон РФ (от 23.09.92 г. № 3517-1) • Закон «О правовой охране топологий интегральных микросхем» (от 23.09.92 г. №3526-1) • Закон «О правовой охране программ для электронных вычислительных машин и баз данных» (от 23.09.92 г. № 3523-1) • Основы законодательства об Архивном фонде РФ и архивах (от 7.07.93 г. №5341-1) • Закон «Об авторском праве и смежных правах» (от 9.07.93 г. №5351-1) • Закон «О государственной тайне» (от 21.07.93 г. № 5485-1) • Закон «Об обязательном экземпляре документов» (от 29.12.94 г. № 77-ФЗ) • Закон «О связи» (от 16.02.95 г. № 15-ФЗ) • Закон «Об информации, информатизации и защите информации» (от 20.02.95 г. № 24-ФЗ) • Закон «Об участии в международном информационном обмене» (от 5.06.96 г. № 85-ФЗ). Кроме этих законов, на первом этапе деятельности по созданию и развитию законодательства в этой области, был издан ряд указов Президента Российской Федерации. Вот лишь некоторые из них: • «О создании Государственной технической комиссии при Президенте Российской Федерации» (от 5.01.92 г. № 9) • «Концепция правовой информатизации России» (от 23.04.93 г. № 477) • «О дополнительных гарантиях прав граждан на информацию» (от 31.12.93 г. №2334) • «Об основах государственной политики в сфере информатизации» (от 20.01.94 г. № 170) • «Вопросы защиты государственной тайны» (от 30.03.94 г. № 614) • «О совершенствовании деятельности в области информатизации органов государственной власти Российской Федерации» (от 21.04.94г. №361) • «Вопросы деятельности Комитета при Президенте Российской Федерации по политике информатизации» (от 17.06.94 г. № 328) • «О совершенствовании информационно-телекоммуникационного обеспечения органов государственной власти и порядке их взаимодействия при реализации государственной политики в сфере информатизации» (от 1.07.94 г. № 1390) • «О мерах по соблюдению законности в области разработки, производства, шифрования информации» (от 3.04.95 г. № 334) • «Перечень сведений, отнесенных к государственной тайне» (от 30.11.95 г. №1203) • «О мерах по упорядочиванию разработки, производства, реализации, приобретения в целях продажи, ввоза в Российскую Федерацию и вывоза за ее пределы, а также использования специальных технических средств, предназначенных для негласного получения информации» (от 9.01.96 г. № 21) • «Перечень сведений конфиденциального характера» (от 6.03.97 г. №188). В базовых законах определены цели, объекты, понятия и правовые основы защиты информации (информационных ресурсов). Рассмотрим, напри- мер, Закон РФ «Об информации, информатизации и защите информации», который призван обеспечить соблюдение конституционного права граждан на информацию, ее открытость и доступность; получение гражданами и организациями информации о деятельности органов законодательной, исполнительной и судебной власти и другой информации, представляющей общественный и личный интерес, а также содействовать обращению информации в обществе и развитию информатизации. В нем отражены такие вопросы, как порядок документирования информации и ее включение в информационные ресурсы, право собственности на информационные ресурсы, отнесение информации (информационных ресурсов) к категориям открытого и ограниченного доступа, определение механизмов и полномочий по доступу к информации, порядок правовой защиты информации, механизмы установления ответственности за нарушения в этой сфере и другие. В законе определены основные цели защиты информации: • Предотвращение утечки, хищения, искажения, подделки • Обеспечение безопасности личности, общества, государства • Предотвращение несанкционированных действий по уничтожению, искажению, блокированию информации • Защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных • Сохранение государственной тайны, конфиденциальности документированной информации. По упомянутому закону, защите подлежат сведения ограниченного доступа, а степень защиты определяет их собственник. При этом ответственность за выполнение защитных мер лежит не только на собственнике информации, но и на ее пользователе. Поэтому важно четко уяснить, используется в вашем учреждении информация, которая не принадлежит вам, но подлежит обязательной защите. Причем защищается только документированная информация. Согласно этому закону документированная информация с ограниченным доступом по условиям ее правового режима подразделяется на: • Государственную тайну (ст. 8) • Конфиденциальную информацию (ст. 10). К государственной тайне относятся защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Поскольку этой категорией информации владеет само государство, то, естественно, оно же само и выдвигает определенные требования по ее защите, а также контролирует их исполнение. Это оговаривается Законом Российской Федерации 1993 года «О государственной тайне». Нарушения именно этих требований влекут за собой применение санкций, предусмотренных Уголовным кодексом РФ, по всей строгости законов. Конфиденциальная информация — это документированная информация, правовой режим которой установлен специальными нормами действующего законодательства в области государственной, коммерческой, промышленной и другой общественной деятельности. Этой категорией информации владеют учреждения и организации и поэтому они вправе ею распоряжаться, а следовательно, и выбирать степень ее защиты. Правда, применить какие-либо санкции в случае нарушения конфиденциальности возможно только после предварительного выполнения особых формальностей, оговоренных Гражданским кодексом Российской Федерации. Суть этих формальностей (ст. 139 Гражданского кодекса РФ) заключается в следующем: • Информация должна иметь действительную или потенциальную коммерческую ценность и эти сведения не могут быть известны третьим лицам в силу каких-либо других условий • Учреждение принимало определенные меры для исключения на законных основаниях свободного доступа к этой информации и охране ее конфиденциальности • Все сотрудники, знакомые с этими сведениями, были официально предупреждены об их конфиденциальности. Только в этом случае закон будет на вашей стороне и вы сможете потребовать возмещения убытков, понесенных от нарушения их конфиденциальности. Одним из видов конфиденциальной информации составляют персональные конфиденциальные данные. Эта та категория информации, которой владеет каждый из нас, т. к. она касается нашей личной жизни. Однако, понимая степень значимости этой информации и ее роль в обеспечении безопасности каждой отдельно взятой личности, государство взяло ее под свою защиту и рассматривает ее как одну из своих важнейших задач. Правовая сторона этого вопроса на современном этапе еще недостаточно проработана. Только Закон «Об информации, информатизации и защиты информации» относит эти сведения к категории конфиденциальных и требует их защиты наравне с информацией, составляющей государственную тайну. Из всех многочисленных видов конфиденциальной информации в этом законе упомянуты лишь личная и семейная тайны, персональные данные, тайна переписки, телефонных, почтовых, телеграфных и иных сообщений. Однако уже в 1996 году в Федеральном Законе «Об участии в международном информационном обмене» (ст. 8) государственная тайна определяется как один из видов конфиденциальной информации. Эта путаница сохраняется во многих законах, где ссылки «на иные охраняемые секреты, иные охраняемые законом тайны» предполагают продолжение списка видов информации с ограниченным доступом. В Указе Президента РФ от 6.03.97 г. № 188 предпринята попытка упорядочить состав конфиденциальной информации. В нем утвержден перечень сведений «конфиденциального характера», где указаны шесть видов такой информации: • Персональные данные • Тайна следствия и судопроизводства • Служебная тайна • Профессиональная тайна • Коммерческая тайна • Сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них. В этих законах определены основные термины и понятия в области компьютерной информации (например, такие как компьютерная информация, программа для ЭВМ, ЭВМ (компьютер), сеть ЭВМ, база данных и т.п.), регулируются вопросы ее распространения, охраны авторских прав, имущественные и неимущественные отношения, возникающие в связи с созданием, правовой охраной и использованием программного обеспечения и новых информационных технологий. Также осуществлено законодательное раскрытие понятий информационной безопасности и международного информационного обмена. Кроме них, следует также упомянуть Указы Президента РФ, которые касаются, прежде всего, вопросов формирования государственной политики в сфере информатизации, (включая организационные механизмы), создания системы правовой информации и информационно-правового сотрудничества с государствами СНГ, обеспечения информацией органов государственной власти, мер по защите информации (в частности, шифрования). Все эти законы и подзаконные акты в достаточной степени регулировали вопросы охраны исключительных прав и частично защиту информации (в рамках государственной тайны). Не получили достойного отражения в действующем законодательстве права граждан на доступ к информации и защита информации, то есть то, что напрямую связано с компьютерными преступлениями. Часть указанных пробелов в общественных отношениях в области компьютерной информации была ликвидирована после введения в действие с 1 января 1997 года нового Уголовного Кодекса, принятого Государственной Думой 24 мая 1996 года. В нем, в 28 главе, которая называется «Преступления в сфере компьютерной информации», приведен перечень признаков, характеризующих общественно опасное деяние как конкретное преступление, а именно — составы компьютерных преступлений. Эта глава содержит три статьи: • «Неправомерный доступ к компьютерной информации» (ст. 272) • «Создание, использование и распространение вредоносных программ для ЭВМ» (ст. 273) • «Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети» (ст. 274). Рассмотрим подробнее все три статьи УК РФ, ставя целью обрисовать основные признаки совершения компьютерных преступлений, то есть предусмотренных уголовным законодательством виновных нарушений охраняемых законом прав и интересов в отношении информационных компьютерных систем. Сухое юридическое описание будет скрашено некоторыми немногочисленными примерами отечественных компьютерных преступлений прошлых лет, компенсирующие бедность правоприменительной практики на базе нового УК РФ и позволяющие осуществить мысленный эксперимент по его применению. Итак, статья 272 УК предусматривает ответственность за неправомерный доступ к компьютерной информации (информации на машинном носителе, в ЭВМ или сети ЭВМ), если это повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы вычислительных систем. Данная статья защищает право владельца на неприкосновенность информации в системе. Владельцем информационной вычислительной системы может быть любое лицо, правомерно пользующееся услугами по обработке информации как собственник вычислительной системы (ЭВМ, сети ЭВМ) или как лицо, приобретшее право использования компьютера. Преступное деяние, ответственность за которое предусмотрено ст. 272, должно состоять в неправомерном доступе к охраняемой законом компьютерной информации, который всегда носит характер совершения определенных действий и может выражаться в проникновении в компьютерную систему путем использования специальных технических или программных средств, позволяющих преодолеть установленные системы защиты; незаконного применения действующих паролей или маскировка под видом законного пользователя для проникновения в компьютер, хищения носителей информации, при условии, что были приняты меры их охраны, если это деяние повлекло уничтожение или блокирование информации. Неправомерным признается и доступ к защищенной компьютерной информации лица, не обладающего правами на получение и работу с данной информацией либо компьютерной системой. Неправомерный доступ к компьютерной информации должен осуществляться умышленно. Совершая это преступление, лицо сознает, что неправомерно вторгается в компьютерную систему, предвидит возможность или неизбежность наступления указанных в законе последствий, желает и сознательно допускает их наступление либо относится к ним безразлично. Мотивы и цели данного преступления могут быть любыми. Это и корыстный мотив, цель получить какую-либо информацию, желание причинить вред, желание проверить свои профессиональные способности. Следует отметить правильность действий законодателя, исключившего мотив и цель как необходимый признак указанного преступления, что позволяет применять ст. 272 УК к всевозможным компьютерным посягательствам. Статья состоит из двух частей. В первой части наиболее серьезное воздействие к преступнику состоит в лишении свободы до двух лет. Один из характерных примеров потенциального применения данной статьи — уголовное дело о хищении 125,5 тыс. долл. США и подготовке к хищению еще свыше 500 тыс. долл. во Внешэкономбанке СССР в 1991 году, рассмотренное московским судом. По материалам другого уголовного дела, в сентябре 1993 года было совершено покушение на хищение денежных средств в особо крупных размерах из Главного расчетно-кассового центра Центрального банка России по г. Москве на сумму 68 млрд. руб. Еще один пример. В 1990 году компьютерная программа перечисления комсомольских взносов работников одного из отечественных предприятий была составлена так, что отчисления производились из зарплаты не только комсомольцев, но и всех работников в возрасте до 28 лет. Пострадавших оказалось 67 человек, теперь это возможно квалифицировать по части 1 ст. 272 УК. Часть вторая 272 ст. предусматривает в качестве признаков, усиливающих уголовную ответственность, совершение его группой лиц либо с использованием своего служебного положения, а равно имеющим доступ к информационной вычислительной системе и допускает вынесение приговора с лишением свободы до пяти лет. Ярким примером возможности применения 272 ст. могут служить хорошо освещенные средствами массовой информации действия Владимира Левина и других граждан России, которые вступили в сговор с целью похищения денежных средств в крупных размерах, принадлежащих City Bank of America, расположенного в Нью-Йорке (США). Образовав устойчивую преступную группу, они в период с конца июня по сентябрь 1994 года, используя глобальную сеть Интернет проникли в корпоративную сеть «Си-тибанка» и, преодолев банковскую систему защиты от несанкционированного доступа, с помощью персонального компьютера, находящегося в Санкт-Петербурге в офисе акционерного общества «Сатурн», осуществили денежные переводы на общую сумму около 12 млн. долл. США. В разоблачении и задержаниии электронных мошенников и их сообщников принимали участие представители спецслужб США, Англии, Израиля, Финляндии, Германии и России. Летом 1994 года система безопасности Нью-Йор-ского отделения «Ситибанка» зафиксировала попытку несанкционированного проникновения в компьютерную сеть банка и сообщила об этом в ФБР. При очередном несанкционированном входе было определено, что проникновение в банковскую систему осуществлялось из Санкт-Петербурга. С этого момента операции по перечислению денег находились под полным контролем спецслужб и, как следствие, последовали задержания «с поличным». В Сан-Франциско при получении денег были задержаны супруги Корольковы, в Амстердаме — Владимир Воронин, в Израиле — Александр Лашманов. А 3 марта 1995 года в Лондоне, в аэропорту Хитроу, был задержан и арестован и сам «мозговой центр» международной преступной группы — Владимир Левин. В приведенном примере необходимо подчеркнуть следующую немаловажную деталь: состоявшийся в августе 1995 года лондонский суд отложил принятие решения по делу Левина на неопределенный срок, поскольку в ходе судебного разбирательства было доказано, что для получения доступа к счетам клиентов банка подсудимый использовал в качестве орудия совершения преступления компьютер, находящийся на территории России, а не на территории США, как того требует уголовное законодательство Великобритании. На основании вышеизложенного просьба американских и российских представителей о выдаче им Левина была судом отклонена. И только в январе 1998 года он предстал перед судом в Нью-Йорке по обвинению в хищении через Интернет денежных средств «Ситибанка». Тридцатилетний Владимир Левин признал себя виновным в незаконном проникновении в корпоративную сеть «Ситибанка» и переводе со счетов клиентов банка 3,7 млн. долларов США на контролируемые им и его сообщниками счета в Финляндии, Нидерландах, Германии, Израиле и США. В итоге, Владимир Левин был приговорен к 3 годам тюрьмы и денежному штрафу в размере 240 тыс. долларов США. В настоящее время действия этой группы лиц можно квалифицировать по ч. 2 ст. 272 УК РФ, так как в результате предварительного сговора ей был осуществлен неправомерный доступ к секретной банковской информации с целью получения материальной выгоды. Местонахождения непосредственного объекта преступления — компьютерная система в США, не повлияло бы на суть дела. В качестве более свежего примера применения этой статьи можно рассмотреть уголовное дело по обвинению Александра и Бориса Дудровых, которым предъявлено обвинение по ст. 183 УК РФ за незаконное получение и распространение сведений, составляющих коммерческую тайну, по ст. 272 УК РФ за неправомерный доступ к компьютерной информации. Суть этого дела состоит в следующем. В конце лета 1997 года в адреса различных организаций и коммерческих компаний стала поступать рекламная информация, в которой сообщалось, что компания «Орлов и К°» предлагает к коммерческой продаже различные базы данных с конфиденциальной информацией, анонимные «Голосовые Почтовые ящики», телефоны с возможностью программирования ложного телефонного номера. В то же время на радиорынке стали распространяться лазерные CD-ROM с базами данных абонентов компаний сотовой связи, базы данных о недвижимости, базой данных о юридических лицах Санкт-Петербурга с указанием подробных сведений об учредителях, виде деятельности и уставном капитале и другие. В ходе следствия установлено, что Дудровы (отец и сын) в результате обобщения конфиденциальной информации, полученной из различных источников, создали и распространяли базу Данных «Весь Питер», в общей сложности реализовав дисков на сумму более 43 млн. неденоминированных рублей. Они приобрели информацию о номерах и кодах доступа к 1000 голосовым почтовым ящикам, которая реализовывалась различным гражданам. В соответствии со ст. II Закона «Об информации, информатизации и защите информации» вышеуказанные сведения относятся к категории конфиденциальной информации. Дудровы не имели полномочий на ее владение, нарушали режим защиты, обработки и порядок использования данной ин- формации, а также условия лицензирования, так как фактически не осуществляли разработку программного обеспечения, а производили ее незаконный сбор, адаптировали в программы для ЭВМ, пригодные для коммерческого использования, после чего сбывали на территории Санкт-Петербурга. Своими действиями Дудровы причинили крупный ущерб государству в виде необоснованной критики в связи с нарушениями порядка сбора, хранения и распространения информации о частной жизни граждан. Кроме того, они допустили свободное использование конфиденциальных баз данных криминальными структурами, тем самым существенно осложнив деятельность правоохранительных органов. Они причинили значительный материальный и моральный вред компаниям сотовой телефонной связи в связи с потерей имиджа и, следовательно, потерей клиентов. Итогом их деятельности стал суд. В апреле 1999 года Выборгский районный суд Санкт-Петербурга приговорил директора 000 «Орлов и К°» Александра Дудрова к 1 году и 3 месяцам лишения свободы в колонии общего режима. Его отца, Бориса Дудрова, работавшего заместителем в той же фирме, и сотрудника «СПб таксофоны» Сергея Аксенова — на 1 год исправительных работ. Правда, всех их тут же амнистировали, но прецедент был создан — впервые суд вынес приговор компьютерным пиратам. По уголовному законодательству субъектами компьютерных преступлений могут быть лица, достигшие 16-летнего возраста, однако часть вторая ст. 272 предусматривает наличие дополнительного признака у субъекта, совершившего данное преступление — служебное положение, а равно доступ к ЭВМ, системе ЭВМ или их сети, способствовавших его совершению. Статья 272 УК не регулирует ситуацию, когда неправомерный доступ осуществляется в результате неосторожных действий, что, в принципе, отсекает огромный пласт возможных посягательств и даже те действия, которые действительно совершались умышленно, так как при расследовании обстоятельств доступа будет крайне трудно доказать умысел компьютерного преступника (например, в сети Интернет, содержащей миллионы компьютеров, в связи со спецификой работы, при переходе по ссылке от одного компьютера к другому довольно легко попасть в защищаемую информационную зону, даже не заметив этого). Важным является и наличие причинной связи между несанкционированным доступом и наступлением предусмотренных ст. 272 последствий, поэтому простое временное совпадение момента сбоя в компьютерной системе, которое может быть вызвано неисправностями или программными ошибками, и неправомерного доступа не влечет уголовной ответственности. Статья 273 УК защищает права владельца компьютерной системы на неприкосновенность находящейся в ней информации и предусматривает уголовную ответственность за создание программ для ЭВМ или их модификацию, заведомо приводящее к несанкционированному уничтожению, блокированию и модификации, либо копированию информации, нарушению работы информационных систем, а равно использование таких программ или машинных носителей с такими программами. Под созданием вредоносных программ в смысле ст. 273 УК РФ понимаются программы, специально разработанные для нарушения нормального функционирования компьютерных программ. Под нормальным функционированием понимается выполнение операций, для которых эти программы предназначены, определенные в документации на программу. Наиболее распространенными видами вредоносных программ являются широко известные компьютерные вирусы и «логические бомбы». Для привлечения к ответственности по ст. 273 необязательно наступление каких-либо отрицательных последствий для владельца информации, достаточен сам факт создания программ или внесение изменений в существующие программы, заведомо приводящих к негативным последствиям, перечисленным в статье. Под использованием программы понимается выпуск в свет, воспроизведение, распространение и иные действия по их введению в информационный обмен. Использование может осуществляться путем записи в память ЭВМ, на материальный носитель, распространения по сетям, либо путем иной передачи другим лицам. Уголовная ответственность по этой статье возникает уже в результате создания программы, независимо от того, использовалась эта программа или нет. По смыслу ст. 273 наличие исходных текстов вирусных программ уже является основанием для привлечения к ответственности. Следует учитывать, что в ряде случаев использование подобных программ не будет являться уго-ловно наказуемым. Это относится к деятельности организаций, осуществляющих разработку антивирусных программ и имеющих соответствующую лицензию. Данная статья состоит из двух частей, отличающихся друг от друга признаком отношения преступника к совершаемым действиям. Преступление, предусмотренное частью 1 ст. 273, может быть совершено только умышленно, с сознанием того, что создание, использование или распространение вредоносных программ заведомо должно привести к нарушению неприкосновенности информации. Причем цели и мотивы не влияют на квалификацию посягательства по данной статье, поэтому самые благородные побуждения (борьба за экологическую чистоту планеты) не исключают ответственности за само по себе преступное деяние. Максимально тяжелым наказанием для преступника в этом случае будет лишение свободы до трех лет. Часть вторая ст. 273 в качестве дополнительного квалифицирующего признака предусматривает наступление тяжких последствий по неосторожности. При совершении преступления, предусмотренного ч. 2 рассматриваемой статьи, лицо сознает, что создает вредоносную программу, использует либо распространяет такую программу или ее носители и либо предвидит возможность наступления тяжких последствий, но без достаточных к тому оснований самонадеянно рассчитывает на их предотвращение, либо не предвидит этих последствий, хотя при необходимой внимательности и предусмотрительности должно и могло их предусмотреть. Данная норма закономерна, поскольку разработка вредоносных программ доступна только квалифицированным программистам, которые в силу своей профессиональной подготовки должны предвидеть потенциально возможные последствия использования этих программ, которые могут быть весьма многообразными: смерть человека, вред здоровью, возникновение реальной опасности военной или иной катастрофы, нарушение функционирования транспортных систем. По этой части суд может назначить максимальное наказание в виде семи лет лишения свободы. В 1983 году на одном автомобильном заводе нашей страны был изобличен программист, который из мести к руководству предприятия умышленно внес изменения в программу ЭВМ, управлявшей подачей деталей на конвейер. В результате произошедшего сбоя заводу был причинен существенный материальный ущерб: не сошло с конвейера свыше сотни автомобилей. Программист был привлечен к уголовной ответственности. Подсудимый обвинялся по ст. 98 ч. 2 Уголовного кодекса РСФСР «Умышленное уничтожение или повреждение государственного или общественного имущества... причинившее крупный ущерб». При этом обвиняемый утверждал, что ничего натурально повреждено не было — нарушенным оказался лишь порядок работы, то есть действия, не подпадающие ни под одну статью действующего в то время законодательства. С научной точки зрения интересен приговор суда: «Три года лишения свободы условно; взыскание суммы, выплаченной рабочим за время вынужденного простоя главного конвейера; перевод на должность сборщика главного конвейера». В настоящее время квалификация действий этого программиста должна была бы производиться по ч. 1 ст. 273. Он умышленно создал и использовал в заводском компьютере вредоносную программу, нарушившую технологический процесс. Но если видоизменить проводимый мысленный эксперимент: по неосторожности (допустим, из-за конфликта программного и аппаратного обеспечения) действие программы привело к тяжким последствиям — гибели людей на конвейере. Тогда, несомненно, указанные действия квалифицируются уже по ч. 2 ст. 273. А если убрать «неосторожность» и считать, что преступник действовал умышленно, то тогда оказывается, что в этом случае за тяжкие последствия по ст. 273 отвечать не нужно. Как свидетельствуют материалы одного уголовного дела, сотрудник отечественной АЭС из корыстных побуждений использовал в системах управления станцией несанкционированные программные модули. В итоге это привело к искажению информации, отображаемой на пульте оператора атомного реактора, повлекшее возникновении нештатной ситуации, последствия которой не нуждаются в пояснении. Отсюда закономерно сделать вывод о том, что формулировка данной статьи нуждается в изменении. Если же в действиях лица содержаться не только признаки преступления, предусмотренного ст. 273 УК, но и признаки другого, преступления (убийства, уничтожения имущества), виновный будет нести ответственность по совокупности совершенных преступлений. Статья 274 УК устанавливает ответственность за нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ним, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации, если это деяние причинило существенный вред. Статья защищает интерес владельца вычислительной системы относительно ее правильной эксплуатации. В ней под охраняемой законом информацией понимается информация, для которой в специальных законах установлен специальный режим ее правовой защиты. Однако между фактом нарушения и наступившим существенным вредом должна быть установлена причинная связь и полностью доказано, что наступившие последствия являются результатом именно нарушения правил эксплуатации. Определение существенного вреда, предусмотренного в данной статье, устанавливается судом в каждом конкретном случае, исходя из обстоятельств дела, однако очевидно, что существенный вред должен быть менее значительным, чем тяжкие последствия. Преступник, нарушивший правило эксплуатации, — это лицо, в силу должностных обязанностей имеющее доступ к компьютерной системе и обязанное соблюдать установленные для этой системы технические правила. Кроме того, преступник должен совершать свое деяния умышленно, он должен сознавать, что нарушает правила эксплуатации, предвидя возможность или неизбежность неправомерного воздействия на информацию и причинение существенного вреда, желает или сознательно допускает причинение такого вреда или относится к его наступлению безразлично. Что наиболее строго наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет. Данная уголовная норма, естественно, не содержит конкретных технических требований и отсылает к ведомственным инструкциям и правилам, определяющим порядок работы, которые должны устанавливаться специально уполномоченным лицом и доводиться до пользователей. Применение данной статьи невозможно для Интернет, ее действие распространяется только на локальные сети организаций. В части второй статьи 274 предусматривается ответственность и за неосторожные деяния. По ней должны квалифицироваться, например, действия специалиста по обслуживанию системы управления транспортом, установившего инфицированную программу без антивирусной проверки, повлекшее серьезную транспортную аварию. По данным правоохранительных органов, имеются сведения о фактах несанкционированного доступа к ЭВМ вычислительного центра железных дорог России, а также к электронной информации систем учета жилых и нежилых помещений местных органов управления во многих городах, что в наше время подпадает под ответственность, предусмотренную ст. 272 УК, либо ст. 274 УК в зависимости от действий лица, осуществившего посягательство, и правил эксплуатации конкретной сети. Следует отметить, что признаки преступлений, предусмотренных в статьях 272 и 274 УК, с технической точки зрения весьма похожи. Различие заключается в правомерности или неправомерности доступа к ЭВМ, системе ЭВМ или их сети. Статья 274 УК отсылает к правилам эксплуатации конкретной компьютерной системы, а в статье 272 УК в качестве одного из последствий указывается нарушение работы компьютерной системы, что, с технической точки зрения, является отступлением от правил и режима эксплуатации. Подводя некоторые итоги, можно сделать выводы о том, что сложность компьютерной техники, неоднозначность квалификации, а также трудность сбора доказательственной информации не приведет в ближайшее время к появлению большого числа уголовных дел, возбужденных по статьям 272—274 УК. Предусмотренные составы компьютерных преступлений не охватывают полностью всех видов совершения компьютерных посягательств. В этом случае будут оказывать помощь статьи 146 УК РФ (нарушение авторских и смежных прав), 147 УК РФ (нарушение изобретательских и патентных прав), и 155 (незаконное использование товарных знаков), дающие возможность уголовного преследования за незаконное использование программного обеспечения. 17 марта 1998 года Экономический отцеп РУОП г. Санкт-Петербурга провел крупномасштабную операцию по пресечению фактов незаконного оборота контрафактного программного обеспечения. Этой операции предшествовали сотрудничество с Ассоциацией производителей программного обеспечения — BSA (Business Software Alliance), тщательный сбор информации об объектах реализации контрафактной продукции, компьютерное исследование образцов пиратской продукции, получена поддержка и заявления компаний «ПРОект МТ», «1C», «Фирмы БИТ» о нарушении их авторских прав. По собранным оперативным и официальным материалам накануне операции прокуратурой было заведено уголовное дело по ст. 142 ч. 2 УК РФ по фактам нарушения авторских прав, и были получены санкции на проведение следственных действий. Сами пираты окрестили день 17 марта 1998 года как «черный вторник». В результате операции было изъято около 24 000 CD-ROM дисков со сборниками программных продуктов различных компаний - производителей, на которых находилось порядка 500 тыс. программных продуктов на сумму около 30 млн. долларов США. В период с 15 по 30 октября 1998 года в Москве была произведена аналогичная операция по проверке торговых комплексов, отдельных фирм и торговых точек. В результате проверок было обнаружено и изъято более 400 тыс. нелицензионных компьютерных дисков и заведено несколько уголовных дел по ст. 146 УК РФ.