ПРОБЛЕМА ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ НА СОВРЕМЕННОМ ЭТАПЕ РАЗВИТИЯ ОБЩЕСТВА

ПРОБЛЕМА ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ

БЕЗОПАСНОСТИ НА СОВРЕМЕННОМ ЭТАПЕ РАЗВИТИЯ ОБЩЕСТВА

Горюнов Владимир Сергеевич

Начальник информационного отдела НЧОУ ВО «Северный институт

предпринимательства», г. Архангельск

На современном этапе развития общества одной из важнейших проблем является информационная безопасность. Один из аспектов обеспечения информационной безопасности как на предприятии, так и на личном компьютере пользователя нами был рассмотрен на предыдущем занятии. Теперь давайте рассмотрим такой аспект информационной безопасности как незаконное завладение правом доступа к компьютеру жертвы (это может быть как компьютер физического лица, так и компьютер юридического лица, который является частью корпоративной сети) и похищение такого ценного ресурса, как информация. В этом аспекте обеспечения информационной безопасности речь пойдет о преступлениях, совершаемых при помощи компьютерной техники, преследующих цель завладения ценной информацией, которую впоследствии можно перепродать или использовать ее для шантажа. 

Для того, чтобы обезопасить себя и корпоративную сеть, необходимо иметь представление о предполагаемых информационных объектах, на которые возможны нападки со стороны злоумышленников, о сильных и слабых местах своей корпоративной сети передачи и накопления данных, о последовательности действий для предотвращения проникновения злоумышленника в корпоративную сеть передачи и накопления данных. Как мы можем видеть, обеспечение информационной безопасности предполагает принятие целого комплекса мер. 

Одним из возможных решений проблем, связанных с обеспечением информационной безопасности на предприятии, является попытка составления психологического портрета злоумышленника, совершающего похищение ценных информационных ресурсов. Что это нам даст спросите Вы?

Это нам даст возможность действия на опережение. 

Чаще всего похищением информационных ресурсов занимаются хакеры. Поэтому надо разобраться в вопросе – кто такие хакеры, классифицируются ли хакеры по группам, каковы их психологические особенности личности? 

В качестве хакера выступает злоумышленик-взломщик, в уме которого формулируются конкретные корыстные интересы, например, взломать сторонний ресурс с целью завладения программными кодами, проникнуть в различного рода компьютерные системы, ограбление банков и держателей банковских карт, и т.д. Хакеры между собой классифицируются на крэкеров, фрикеров и кардеров. 

Под категорией «Крэкеры» принято понимать субъектов, действия которых приводят к состоянию «взлома» средства защиты компьютерной информации. Иными словами можно сказать, что основным занятием этой категории лиц является оборот контрафактной продукции, промышленный и иной шпионаж, незаконное распространение охраняемой законом компьютерной информации, распространение порнографических материалов в сети Интернет. 

Под категорией «Фрикеры» принято понимать субъектов, специализация которых сводится к совершению преступлений в сфере электросвязи при помощи конфиденциальной компьютерной информации и специальных технических средств, адаптированных к незаконному получению информации с технических каналов электросвязи. 

Под категорией «Кардеры» принято понимать субъектов, специализация которых сводится к незаконной деятельности в сфере оборота пластиковых карт – документов на машинном носителе информации и их реквизитов (номеров). 

Возникает вопрос – через какую призму у хакер происходит восприятие мира? Восприятие мира у хакера происходит посредством абстракции своего ума. 

Хакер любит рассуждать и выдвигать различные теории. Одевается, как ему нравится. Говорит монотонно. Лицо – как маска. Почерк необычный, неразборчивый. Живет в мире своих иллюзий. Надежен и ответственен. В общении сух; круг друзей постоянен и ограничен. Любит борьбу, в т.ч. поспорить. Его конек – абстрактное мышление. Любит изъясняться сложным наукообразным языком. Комплексы: любопытство, вина, страх, стыд, жалость. 

Большая часть энергии сосредоточена в голове. Хакер имеет очень много теорий и мало практики. На других центрах: выживания, размножения, доминирования – чувств, энергии  очень немного. Часть энергии находится на центре творчества. 

Поэтому актуальным вопросом остается – какие меры надо принять для предотвращения возможных хакерских посягательств? Специалисты по безопасности выработали ряд рекомендаций для эффективной борьбы с хакерами.  

1.                 Большинство атак со стороны хакеров производится на слабую цель с ценной информацией, лежащей на поверхности. В том случае, если хакер сталкивается с сильной системой защиты, то в большинстве случаев операция по незаконному проникновению сворачивается. Это значит, что чем слабее система защиты, тем выше шанс хакерской атаки. Перед началом операции всегда проходит этап разведки, и, если, злоумышленники увидят, что мишень далеко не беззащитна, вероятнее всего, даже не начнут процесс проникновения.  

2.                 Если хакера можно задержать на два дня, в большей части случаев атака остановится. Любая задержка – дополнительные расходы. Учитывая, что злоумышленники получают лишь малую долю от стоимости ценных данных, каждая копейка для них на счету.  

3.                 Самое дешевое – самое эффективное. Фишинг требует минимума технических знаний, подготовка операций занимает мало времени, при этом его эффективность гораздо выше, чем у прямых кибератак. Один из обязательных слоев защиты каждой организации – мониторинг почты и посещенных сайтов. Обнаружение странной почтовой рассылки на начальном этапе сорвет атаку на организацию. А своевременное обнаружение переходов на подозрительные сайты позволит предотвратить загрузку вредоносного программного обеспечения.  

4.                 Социальная инженерия – один из основополагающих элементов атак. Злоумышленники всегда тщательно изучают информационный профиль организации и ее сотрудников. Одно из важнейших стратегических решений – разработка выверенной информационной политики: каждый сотрудник организации должен четко понимать, о чем можно говорить и какую информацию можно публиковать в любых типах СМИ. Ну и конечно, без мониторинга переписки и голосовых переговоров сложно обойтись, ведь каким бы бдительным не был сотрудник, настоящий профессионал все равно сможет заполучить нужную информацию. Странные звонки уже являются сигналом, компания оказалась под прицелом.  

5.                 Сотрудники, собирающиеся уволиться – отличная цель для злоумышленников. Они редко бывают довольны, а доступы к внутрикорпоративной сети обычно активны до последнего момента. Вычислить их просто – достаточно внимательно поискать резюме. А использовать купленный код доступа к конфиденциальной базе данных явно проще и дешевле, чем разрабатывать сложную операцию с использованием современных технических средств.  

6.                 Печатная документация – слабое звено в любой системе безопасности. Иногда самый простой способ подобрать ключ к системе безопасности корпорации – хорошенько порыться в мусорной корзине.  

Самые главные принципы хорошей информационной защиты – время и деньги. Помните, у злоумышленников нет ни того, ни другого. И если проникновение сквозь защитный периметр характеризуется, как «долго и дорого», хакер просто не станет связываться с такой сложной целью.  

Таким образом, любое незаконное проникновение на компьютер жертвы будет являться преступным по своему характеру. Преступлением в информационной сфере посвящен специальный раздел Уголовного кодекса Российской Федерации – глава 28. Давайте охарактеризуем каждый из составов преступлений, входящих в главу 28 Уголовного кодекса Российской Федерации. 

Неправомерный доступ к компьютерной информации (ст. 272 УК РФ). 

Объективные признаки  

Непосредственным объектом выступают общественные отношения, складывающиеся по поводу обеспечения конфиденциальности компьютерной информации. Предмет преступления — охраняемая законом компьютерная информация. 

Для признания сведений охраняемыми законом необходима совокупность двух условий: 

1)                закон (иной нормативный правовой акт) должен давать основание для защиты данных от несанкционированного доступа. Так, указом Президента РФ от 6 марта 1997 г. № 188 утвержден Перечень сведений конфиденциального характера. К ним относятся: персональные данные, за исключением установленных законом случаев; тайна следствия и судопроизводства; сведения о защищаемых лицах и мерах государственной защиты, применяемых в отношении потерпевших, свидетелей и иных участников уголовного судопроизводства; служебная, врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений; коммерческая тайна; сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них. Особый режим охраны установлен для сведений, составляющих государственную тайну (Закон РФ от 21 июля 1993 г. № 5485–1 «О государственной тайне»); возможно отнесение информации к банковской тайне (ст. 857 ГК РФ), тайне исповеди (ч. 7 ст. 3 Федерального закона от 26 сентября 1997 г. № 125-ФЗ «О свободе совести и религиозных объединениях»), аудиторской тайне (ст. 9 Федерального закона от 30 декабря 2008 г. № 307-ФЗ «Об аудиторской деятельности») и др.; 

2)                законный обладатель информации должен предпринимать меры по ее охране. 

Объективная сторона включает деяние (неправомерный доступ к информации), последствие (уничтожение, блокирование, модификацию либо копирование информации) и причинно-следственную связь между ними. 

Статья 272 УК РФ устанавливает ответственность за неправомерный доступ именно к информации, а не к ее носителю, поэтому, например, уничтожение жесткого диска без ознакомления с записанными на нем данными не образует состава рассматриваемого посягательства. Описанные действия могут квалифицироваться по ст. 167 УК РФ. 

Доступ к информации понимается как возможность ее получения и использования. 

Получение сведений происходит посредством проникновения в компьютер (непосредственно или через удаленный доступ) либо путем перехвата компьютерной информации (подключение к коммуникационным каналам или узлам передачи данных; улавливание остаточного излучения монитора, принтера, других устройств). 

Неправомерность доступа означает, что субъект не имеет права получать и использовать информацию. 

Преступление считается оконченным с момента наступления одного или нескольких из указанных в законе последствий. 

Субъективные признаки 

Субъективная сторона неправомерного доступа к компьютерной информации выражается в вине в форме умысла или неосторожности. Мотивы и цели не влияют на квалификацию. 

Субъект преступления — лицо, достигшее возраста 16 лет. 

КВАЛИФИЦИРОВАННЫЕ И ОСОБО КВАЛИФИЦИРОВАННЫЕ 

ВИДЫ 

Квалифицирующими признаками выступают: а) причинение крупного ущерба; 

б) совершение преступления из корыстной заинтересованности. 

Особо квалифицирующими признаками являются: 

а) совершение преступления группой лиц по предварительному сговору  или организованной группой; 

б) лицом с использованием своего служебного положения. В данном случае речь идет о специальном субъекте, которым является должностное лицо (примечание 1 к ст. 285 УК РФ), государственный или муниципальный служащий либо лицо, выполняющее управленческие функции в коммерческой или иной организации (примечание 1 к ст. 201 УК РФ). 

Использование служебного положения предполагает не только злоупотребление полномочиями, но и извлечение выгод из приобретенных с должностью авторитета, связей. 

Наибольшая ответственность предусмотрена за неправомерный доступ к компьютерной информации, повлекший тяжкие последствия или создавший угрозу их наступления. 

Создание, использование и распространение вредоносных компьютерных программ (ст. 273 УК РФ). 

Объективные признаки 

Непосредственный объект преступления — общественные отношения, складывающиеся по поводу обеспечения целостности и доступности компьютерной информации. Предмет преступления — вредоносные компьютерные программы и иная компьютерная информация. 

Статья 1261 ГК РФ определяет программу для ЭВМ как представленную «в объективной форме совокупность данных и команд, предназначенных для функционирования ЭВМ и других компьютерных устройств в целях получения определенного результата, включая подготовительные материалы, полученные в ходе разработки программы для ЭВМ, и порождаемые ею аудиовизуальные отображения». 

Вредоносная компьютерная программа отличается тем, что: а) заведомо способна уничтожать, блокировать, модифицировать, копировать компьютерную информацию, нейтрализовывать средства защиты последней; 

б) предназначена для этого; в) выполняет указанные действия без

санкции на то пользователя. 

Данная программа может функционировать самостоятельно или встраиваться в другие программы, изменяя их работу. 

Иная вредоносная компьютерная информация не образует самостоятельную программу, но, взаимодействуя с полезными кодами, способна негативно влиять на их работу (например, наборы данных, некорректно воспринимаемые работающей с ними программой (эксплойт)). 

Объективная сторона состоит в совершении любого из следующих действий: 

а) создании вредоносной программы или иной компьютерной информации. Первое предполагает как написание самостоятельной программы, так и внесение изменений в уже существующую. Модификации могут подвергаться полезные или безвредные программные продукты, а также вредоносные программы. В последнем случае результатом должно стать повышение их эффективности или расширение перечня негативных функций. Создание вредоносной компьютерной информации заключается в разработке соответствующих данных и придании им формы электрических сигналов; 

б) использовании вредоносной программы или иной компьютерной информации, что означает их применение (запуск программы, ввод информации и манипулирование ею) с целью достижения преступного  результата; 

в) распространении вредоносной программы или иной компьютерной информации. Оно осуществляется по сетям передачи данных, а также путем перемещения носителя программы (информации) от одного лица к другому

(купля-продажа, дарение, мена, оставление в людном месте и находка и т. п.). 

Преступление имеет формальный состав, считается оконченным с момента создания, использования или распространения вредоносной программы, иной компьютерной информации. Не имеет значения, произошло ли в результате указанных действий уничтожение, блокирование, модификация или копирование информации. 

Субъективные признаки 

Субъективная сторона выражается в вине в виде прямого умысла. 

Субъект преступления — лицо, достигшее возраста 16 лет. 

КВАЛИФИЦИРОВАННЫЙ И ОСОБО КВАЛИФИЦИРОВАННЫЕ 

ВИДЫ 

Квалифицирующими признаками являются: 

а) совершение преступления группой лиц по предварительному сговору или организованной группой; б) совершение преступления лицом с использованием своего служебного положения; 

                в)               причинение                         крупного                         ущерба; 

г) совершение преступления из корыстной заинтересованности. 

Особо квалифицирующим признаком выступает то обстоятельство, что преступление вызывает тяжкие последствия или создает угрозу их наступления. 

Нарушение правил эксплуатации средств хранения, обработки или 

передачи  компьютерной  информации  и  информационнотелекоммуникационных сетей (ст. 274 УК РФ). 

Объективные признаки 

Непосредственным объектом преступления являются общественные отношения, складывающиеся по поводу обеспечения целостности и доступности компьютерной информации, сохранности средств, используемых для ее обработки. Предмет преступления — средства хранения, обработки или передачи охраняемой компьютерной информации, информационнотелекоммуникационные сети, оконечное оборудование. 

Объективная сторона деликта выражается в деянии (нарушении правил эксплуатации предмета преступления или доступа к нему (к информационнотелекоммуникационным сетям)), последствии (уничтожении, блокировании, модификации, копировании компьютерной информации, причинении крупного ущерба) и причинно-следственной связи между ними. 

Нарушения указанных правил могут выражаться в несвоевременном техническом обслуживании узлов и агрегатов, неправильном подключении компьютера к источникам питания, невыполнении резервного копирования, отказе от использования антивирусного программного обеспечения, обработке конфиденциальной информации вне рабочего места и т. д. 

Рассматриваемый состав преступления включает общественно опасные последствия двух уровней. Промежуточный — уничтожение, блокирование, модификация или копирование компьютерной информации; конечный — причиняемый в результате крупный ущерб. 

Преступление имеет материальный состав, считается оконченным с момента причинения крупного ущерба. 

Субъективные признаки 

Субъективная сторона нарушения правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей включает вину в форме умысла или неосторожности. 

Субъект преступления специальный — лицо, обязанное соблюдать указанные правила. Обычно это человек, профессиональные функции которого включают пользование компьютером (информационной сетью) или их обслуживание. Возможность только физического контакта с машиной (охранник, уборщица) не придает лицу статуса специального субъекта. 

Ст. 274.1 УК РФ предусматривает три основных состава преступления (ч.1-3) и два квалифицированных (ч.4-5).  

Непосредственным основным объектом неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации является безопасность такой информационной инфраструктуры.  

Предметом данного преступления выступает критическая информационная инфраструктура и компьютерная информация, содержащаяся в ней, средства хранения такой информации.  

Согласно ст. 2 Федерального закона от 26.07.2017 №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», под критической информационной инфраструктурой понимаются информационные системы, информационно- телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов, (например, объекты здравоохранения, транспорта, банковской сферы, оборонного комплекса, атомной энергии, топливно-энергетического комплекса и др).  

 Часть 1 ст. 274.1 УК РФ является аналогом ч.1 ст. 273 УК РФ. Отличие заключается в предназначении вредоносного программного обеспечения. В случае установления, что предназначением вредоносного программного обеспечения является воздействие на критическую информационную инфраструктуру Российской Федерации, содеянное следует квалифицировать по ч.1 ст. 274.4 УК РФ.  

Объективная сторона преступления включает альтернативные действия:  создание, распространение и (или) использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации, в том числе для уничтожения, блокирования, модификации, копирования информации, содержащейся в ней, или нейтрализации средств защиты указанной информации. Содержание указанных деяний идентично деяниям, предусмотренным ч. 1 ст. 273 УК РФ и понимаются в том же смысле.  

Состав ч.1 ст. 274.1 УК РФ является формальным. Преступление окончено с момента совершения одного из альтернативных действий.  

 Субъективная сторона состава преступления, предусмотренного ч. 1 ст. 274.4 УК РФ, характеризуется виной в виде прямого умысла. Виновный осознаёт общественную опасность создания, распространения и (или) использования компьютерных программ либо иной компьютерной информации, заведомо предназначенных для неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации и желает совершить такие действия.  

Субъект преступления общий - вменяемое лицо, достигшее 16 лет.  

Часть 2 ст. 274.1 УК РФ является аналогом ч.1 ст. 272 УК РФ. Отличие заключается в предмете преступления. Предметом ч. 2 ст. 274.1 УК РФ является охраняемая законом компьютерная информация, содержащаяся в критической информационной инфраструктуре Российской Федерации.  

Объективная сторона преступления заключается в неправомерном доступе к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, в том числе с использованием компьютерных программ либо иной компьютерной информации, которые заведомо предназначены для неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации, или иных вредоносных компьютерных программ.  

Состав ч.2 ст. 274.1 УК РФ является материальным. В результате неправомерного доступа предусмотрено наступление общественно опасных последствий - вред критической информационной инфраструктуре Российской Федерации. Данный признак является оценочным и включает в себя, например, длительную остановку оборудования, дезорганизацию деятельности предприятий и др. При этом следует учесть, что частью 5 данной статьи предусмотрены тяжкие последствия. Следовательно, в ч.2 ст. 274.1 УК РФ вред критической информационной инфраструктуре Российской Федерации должен быть не тяжким.Преступление считается оконченным с момента причинения вреда критической информационной инфраструктуре Российской Федерации.  

Субъективная сторона состава преступления, предусмотренного ч. 2 ст. 274.4 УК РФ, характеризуется виной в виде прямого или косвенного умысла. Виновный осознаёт общественную опасность неправомерного доступа к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации…, предвидит возможность либо неизбежность причинения вреда критической информационной инфраструктуре Российской Федерации, желает причинить такой вред, либо не желает, но сознательно допускает причинение такого вреда или относится к нему безразлично.  

Субъект преступления общий - вменяемое лицо, достигшее 16 лет.  

Часть 3 ст. 274.1 УК РФ является аналогом ч.1 ст. 274 УК РФ. Отличие также заключается в предмете преступления. Предметом данного преступления являются средства хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации; информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, сети электросвязи, относящихся к критической информационной инфраструктуре Российской Федерации.  

Объективная сторона преступления заключается в нарушении правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, или информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, сетей электросвязи, относящихся к критической информационной инфраструктуре Российской Федерации, либо правил доступа к указанным информации, информационным системам, информационно- телекоммуникационным сетям, автоматизированным системам управления, сетям электросвязи.  

Состав ч.3 ст. 274.1 УК РФ является материальным. В результате подобных нарушений необходимо наступление общественно опасных последствий - вреда критической информационной инфраструктуре Российской Федерации (аналогично ч.1 ст. 274.1 УК РФ). Преступление считается оконченным с момента причинения вреда критической информационной инфраструктуре Российской Федерации.  

Субъективная сторона состава преступления, предусмотренного ч. 3 ст. 274.4 УК РФ, характеризуется виной в виде прямого либо косвенного умысла, а также неосторожности в виде легкомыслия либо небрежности. Виновный осознаёт общественную опасность нарушения правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, предвидит возможность либо неизбежность причинения вреда критической информационной инфраструктуре Российской Федерации, желает причинения таких последствий (прямой умысел); не желает, но сознательно их допускает или относится к ним безразлично (косвенный умысел); либо не желает и самонадеянно, без достаточных на то оснований рассчитывает на их предотвращение (легкомыслие); либо вовсе не предвидит возможность наступления таких последствий, хотя при должной внимательности и предусмотрительности мог и должен был их предвидеть (небрежность).  

Субъект преступления общий - вменяемое лицо, достигшее 16 лет.  

Квалифицирующие признаки ч.4 ст. 274.1 УК РФ полностью совпадают с квалифицирующими признаками ч.3 ст. 272 УК РФ.  

Частью 5 ст. 274.1 УК РФ охватывается наступление тяжких последствий в результате совершения деяний, предусмотренных всеми вышеуказанными частями. Однако, в отличие от аналогичных квалифицирующих признаков в ст. 272-274 УК РФ, признак ч.5 ст. 274.1 УК РФ не предусматривает угрозу наступления тяжких последствий, а предусматривает только их фактическое наступление.