Одной из главных проблем в информационной безопасности является обоснование необходимости защиты информации. Можно сколь угодно долго описывать требования регуляторов, но руководство всегда будет интересовать вопрос, случалось ли что-то подобное в других организациях. Полезно также будет рассказать сотрудникам о возможных последствиях их вредных действий для них самих для более аккуратного соблюдения требований безопасности. Тут полезно было бы обратиться к судебной практике по защите информации.
Но не все так просто. Для эффективного поиска судебных решений полезно было бы знать основные статьи Уголовного кодекса, касающихся преступлений в сфере информационной безопасности. Однако законодательство в сфере информационной безопасности меняется достаточно быстро.
Так, 26 июля 2017 года вышел в свет Федеральный закон, вносящий изменения в Уголовный кодекс Российской Федерации, а именно в главу 28, посвященную преступлениям в сфере компьютерной информации. С первого января 2018 года глава обзаведется еще одной статьей, а именно 274.1, предусматривающей ответственность за неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации. Данная статья достаточно полно описывает возможные нарушения защищенности информации критической информационной инфраструктуры с точки зрения триады «конфиденциальность-целостность-доступность». Так, первый ее пункт посвящен вредоносному программному обеспечению, которое всегда занимало особое место в 28 главе УК РФ. За создание, распространение и (или) использование компьютерных программ, предназначенной для неправомерного воздействия на критическую информационную инфраструктуру грозит лишение свободы от двух до пяти лет со штрафом в размере от пятисот тысяч до миллиона рублей. Второй пункт имеет дело с посягательством на конфиденциальность информации, содержащейся в критической информационной инфраструктуре. За подобное деяние преступник может получить от двух до шести лет лишения свободы со штрафом от пятисот тысяч до одного миллиона рублей. Третий пункт устанавливает ответственность за нарушение доступности и целостности критической информационной инфраструктуры и наказывается лишением свободы сроком до шести лет. В случае, если вред критической инфраструктуре причинен группой лиц по предварительному сговору, срок, очевидно, увеличивается – в этом случае грозит лишение свободы на срок от трех до восьми лет. А в случае, если деяние повлекло тяжкие последствия – от пяти до десяти лет.
Также уголовная ответственность грозит в случае таких же деяний в отношении некритических инфраструктур. За неправомерный доступ к информации, согласно статье 274 Уголовного кодекса Российской Федерации, грозит до двух лет лишения свободы, а в случае наступления тяжких последствий - семи лет лишения свободы. Аналогичное наказание ждет лиц, занимающихся созданием, использованием и распространением вредоносных компьютерных программ. А вот за нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей согласно статье 274 грозит максимум до пяти лет.
Помимо 28 главы Уголовного кодекса существует также целый ряд преступлений, который можно причислить к преступлениям в информационной сфере. Так, например, статья 138.1 Уголовного кодекса предусматривает ответственность за незаконный оборот специальных технических средств, предназначенных для негласного получения информации. Примером может послужить резонансное дело 2013 года, когда мужчина был осужден на год условно после покупки в китайском интернет-магазине ручку с встроенной видеокамерой. И можно сказать, что он еще легко отделался, ведь за подобное преступление грозит до четырех лет лишения свободы.
Также отдельно наказывается согласно статье 159.6 мошенничество в сфере компьютерной информации. Под эту статью подпадают различные уголовные дела. Например, известно несколько дел, когда бухгалтера, используя электронную подпись предприятия, перечисляли себе денежные средств сверх положенной заработной платы. За данное преступление можно получить до четырех месяцев ареста, а в случае совершения организованной группой либо в особо крупном размере уже до десяти лет лишения свободы со штрафом до миллиона рублей.
Кроме того, неправомерным действиям со сведениями, составляющими государственную тайну, также посвящено несколько статей Уголовного кодекса, а именно статья 283, предусматривающая ответственность за разглашение государственной тайны в виде лишения свободы до четырех лет и до семи, если деяние повлекло по неосторожности тяжкие последствия, статья 283.1, посвященная незаконному получению сведений, составляющих государственную тайну, с наказанием до восьми лет лишения свободы и статья 284, предусматривающая наказание до трех лет лишения свободы за утрату документов, содержащий государственную тайну.
Но одной государственной тайной не ограничивается Уголовный кодекс, он также охраняет и другие виды тайны. Так, например, статья 183 устанавливает уголовную ответственность за незаконное получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну. За данное преступление грозит до двух лет лишения свободы, а в случае наступления тяжких последствий – до семи лет. Охраняется также и инсайдерская информация. За ее неправомерное использование согласно статье 185.6 следует наказание вплоть до лишения свободы на срок от двух до шести лет лишения свободы со штрафом от пятидесяти до ста тысяч рублей. Также грозит наказание до трех месяцев ареста за разглашение данных предварительного расследования согласно статье 310 Уголовного кодекса.
Законодательство в сфере информационных технологий изменяется очень быстро, поэтому составить список «лучших практик на все времена» не получится, однако в течение года или двух данный перечень будет сохранять свою актуальность. Если, конечно, за это время не произойдет кардинальных изменений.
Для Вас тему исследовала Иванова Мария, специалист по защите информации
