Ранее уже неоднократно отмечал отсутствие единообразного подхода к квалификации преступлений по ст.274.1 УК РФ. И вот еще один наглядный пример. Действия работника субъекта КИИ, которые в других однотипных ситуациях квалифицировались следствием и судом по ч.1 ст.274.1 УК РФ, в рассматриваемом примере квалифицированы по ч.3 с.274.1 УК РФ - нарушение правил эксплуатации, повлекшее нанесение вреда КИИ.
Примечательное:
1. Однозначно указано, что вред нанесен ЗОКИИ (внесен в Реестр ФСТЭК)
2. Указан номер в Реестре ФСТЭК - 005491/1/4/А. Согласно приказа ФСТЭК №227:
5491 - номер записи в Реестре, 1 - ЦФО, 4 - сфера "связь", А- тип объекта КИИ (информационная система).
Таким образом на февраль 2020 года в Реестре ФСТЭК было всего около 6 000 ЗОКИИ (В начале февраля 2020 до ФИО2 было доведено, что база данных «Amdocs Ensemble», в которую вносится информация после заключения договоров об оказании услуг связи, была внесена в реестр объектов критической информационной инфраструктуры Российской Федерации.)
3. Правила эксплуатации и доступа, которые были преступно нарушены, описаны в документах: зафиксированные в п. 6 ст. 44 ФЗ от ДД.ММ.ГГГГ № 126-ФЗ «О связи»; п. 18, 21 Постановления Правительства РФ от ДД.ММ.ГГГГ № «О порядке оказания услуг телефонной связи»; п. 3.10, 3.11-3.13, 4.1 должностной инструкции от ДД.ММ.ГГГГ; правила пользования услугами информационных технологий (Приложение № к приказу № утвержденному ДД.ММ.ГГГГ), в частности п. 1.3, 1.4.1 3,1, 4,6 указанных правил; п. 6.1, 7.1, 7.2 политики «Обработка персональных данных», утвержденной президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ, п. 1.1, 2, 3 приложения к вышеуказанной Политике «Обработка персональных данных» ПАО «ВымпелКом», утвержденной президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ, п. 3.1 порядка «Обращения с информацией ограниченного доступа» ПАО «ВымпелКом», утвержденного президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ.
Замечу, что никаких документов по обеспечению безопасности ЗОКИИ не упоминается!
4. Вред КИИ= нарушили целостность базы данных автоматизированной системы «Amdocs Ensemble». Вред, причиненный КИИ, выразился в модификации информации в указанной базе данных, внесении в нее недостоверной информации, что нарушило целостность информационной системы, в результате чего информация, циркулирующая в ней, перестала соответствовать критериям оценки – объективности, достоверности и актуальности. Кроме того, имеется репутационный вред объекту КИИ. Действия ФИО2 создали необходимость проведения дополнительных внеплановых мероприятий по оценке защищенности автоматизированной системы и актуализации циркулирующей в ней информации.
Опять суды путают объекты КИИ с субъектами КИИ. Репутационный вред понесла организация, а не автоматизированная система.
5. Попался банально. "Свидетель Свидетель №8 в суде показал, что подсудимый ФИО2 оформлял свидетелю продажу двух телефонов и пробивал на них чек в офисе продаж. В чеке Свидетель №8 обнаружил лишнюю позицию – сим-карту, которую он не покупал. Об этом свидетель сообщил в компанию."
6. Самый интересный вывод суда: "По результатам судебного следствия не нашло подтверждение предъявленное обвинение в неправомерном доступе к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, в том числе с использованием компьютерных программ и иной компьютерной информации. Исследованные судом доказательства свидетельствуют, что ФИО2 совершил преступление, используя имевшийся у него правомерный доступ к автоматизированной информационной системе «Amdocs Ensemble» через присвоенную ему при трудоустройстве для доступа в программное обеспечение ПАО «ВымпелКом» учетную запись, пароль и биометрические данные. Кроме того, как неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, подлежат квалификации лишь использование компьютерных программ и иной компьютерной информации, которые заведомо предназначены для неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации, что в обвинении не отражено."
7. А некоторые преступники из числа работников Вымпелкома успели "проскочить" с более легкой квалификацией, вред КИИ не вменялся - https://valerykomarov.blogspot.com/2020/12/blog-post.html и "осуществил при этом - НЕПРАВОМЕРНЫЙ ДОСТУП". И таких примеров очень много.
8. Подобная квалификация будет развиваться. Уже есть примеры по здравоохранению - https://ulyanovsk.sledcom.ru/news/item/1593815/. Статья 274.1 УКРФ получается универсальной и очень удобной для следствия, подходит под любые деяния работников субъектов КИИ.
№ 1-88/21 П
Р И Г О В О Р
<адрес> 19 февраля 2021 года
Ленинский
районный суд <адрес> в составе:
председательствующего судьи – Карпычева А.А.,
с участием государственного обвинителя – ФИО5,
подсудимого –
ФИО2,
защитника –
ФИО9,
представителя потерпевшего - ФИО10,
при секретаре – ФИО6,
рассмотрев в открытом судебном заседании уголовное дело в отношении:
ФИО2, родившегося ДД.ММ.ГГГГ в д.<адрес>, гражданина РФ, со средне специальным образованием, не состоящего в браке, работающего продавцом, зарегистрированного <адрес>, д.Ширяево, <адрес>, проживающего <адрес>, не судимого,
обвиняемого в совершении преступления, предусмотренного ч.4 ст.274.1 УК РФ,
У С Т А Н О В И Л:
ФИО2 нарушил правила эксплуатации средств хранения, обработки и передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, информационных систем, относящихся к критической информационной инфраструктуре Российской Федерации, правила доступа к указанным информации, информационным системам, что повлекло причинение вреда критической информационной инфраструктуре Российской Федерации, с использованием служебного положения.
Согласно ч. 4 ст. 29 Конституции Российской Федерации каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом.
Согласно ч. 1, ч. 2, п. 3 ч. 3 ст. 5 Федерального закона от ДД.ММ.ГГГГ № 149-ФЗ «Об информации, информационных технологиях и защите информации» информация может свободно использоваться любым лицом и передаваться одним лицом другому лицу, если федеральными законами не установлены ограничения доступа к информации либо иные требования к порядку ее предоставления или распространения. Информация в зависимости от порядка ее предоставления или распространения подразделяется на: информацию, свободно распространяемую; информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях; информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению; информацию, распространение которой в Российской Федерации ограничивается или запрещается. Информация в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также информацию доступ к которой ограничен федеральными законами.
Одновременно, согласно п.п.1-3 ч.1 ст.16 и 17 Федерального закона от ДД.ММ.ГГГГ № 149-ФЗ «Об информации, информационных технологиях и защите информации» защита информации представляет собой принятие правовых, организационных и технических мер, направленных на: обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также иных неправомерных действий в отношении такой информации; соблюдении конфиденциальности информации ограниченного доступа; реализацию права на доступ к информации. Нарушение требований указанного Федерального закона влечет за собой уголовную ответственность в соответствии с законодательством Российской Федерации.
Согласно п. 6 ст. 2 Федерального закона от ДД.ММ.ГГГГ № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» критической информационной инфраструктурой являются объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов.
Согласно п. 8 ст. 2 Федерального закона от ДД.ММ.ГГГГ № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» субъектами критической информационной инфраструктуры являются государственные органы, государственные учреждения, ФИО1 юридические лица, которым на праве собственности, аренды или на ином законном основании принадлежат информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере связи.
Согласно п. 7 ст. 2 Федерального закона от ДД.ММ.ГГГГ № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» объектами критической информационной инфраструктуры являются информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления субъектов критической информационной инфраструктуры.
В соответствии со ст. 2 Федерального закона от ДД.ММ.ГГГГ № 149-ФЗ «Об информации, информационных технологиях и о защите информации» информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств.
В соответствии с п. 2 Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденных постановлением Правительства РФ от ДД.ММ.ГГГГ №, категорирование осуществляется субъектами критической информационной инфраструктуры (далее также - КИИ) в отношении принадлежащих им на праве собственности, аренды или ином законном основании объектов критической информационной инфраструктуры.
ПАО «ВымпелКом» является субъектом критической информационной инфраструктуры РФ, которому на праве собственности принадлежат информационные системы и телекоммуникационные сети, зарегистрированные в реестре значимых объектов КИИ, в том числе база данных автоматизированной системы «Amdocs Ensemble», которая ДД.ММ.ГГГГ внесена Федеральной службой по техническому и экспертному контролю России в реестр значимых объектов критической информационной инфраструктуры РФ под регистрационным номером: 005491/1/4/А.
В соответствии с п. 6 ст. 44 Федерального закона от ДД.ММ.ГГГГ № 126-ФЗ «О связи» лицо, действующее от имени оператора связи, при заключении договора об оказании услуг подвижной радиотелефонной связи обязано внести в него достоверные сведения об абоненте, перечень которых установлен правилами оказания услуг связи, и направить один экземпляр подписанного договора оператору связи в течение десяти дней после его заключения, если меньший срок не предусмотрен указанным договором. Оператор связи обязан осуществлять проверку достоверности сведений об абоненте и сведений о пользователях услугами связи абонента - юридического лица либо индивидуального предпринимателя, в том числе представленных лицом, действующим от имени оператора связи, в соответствии с указанным Федеральным законом и правилами оказания услуг связи. Проверка достоверности сведений об абоненте - физическом лице, сведений о пользователях услугами связи абонента - юридического лица либо индивидуального предпринимателя осуществляется путем установления фамилии, имени, отчества (при наличии), даты рождения, а также других данных документа, удостоверяющего личность абонента или пользователей услугами связи, подтверждаемых одним из способов, указанных в данном Законе, в том числе путем предоставления абонентом документа, удостоверяющего личность.
В соответствии с ч. 1 ст. 53 Федерального закона от
ДД.ММ.ГГГГ № 126-ФЗ «О связи» сведения об абонентах и оказываемых им услугах
связи, ставшие известными операторам связи в силу исполнения договора об
оказании услуг связи, являются информацией ограниченного доступа и подлежат
защите в соответствии с законодательством Российской Федерации. К сведениям об
абонентах относятся фамилия, имя, отчество или псевдоним абонента-гражданина,
наименование (фирменное наименование) абонента - юридического лица, фамилия,
имя, отчество руководителя и работников этого юридического лица, а также адрес
абонента или адрес установки оконечного оборудования, абонентские номера и
другие данные, позволяющие идентифицировать абонента или его оконечное
оборудование, сведения баз данных систем расчета за оказанные услуги связи, в
том числе о соединениях, трафике и платежах абонента.
ДД.ММ.ГГГГ между ПАО «ВымпелКом» и ФИО2 заключен трудовой договор, в соответствии с которым работник выполняет с ДД.ММ.ГГГГ обязанности по должности «Специалист офиса». В соответствии с п. 3.1. трудового договора к трудовым функциям работника относится среди прочего: заключение договоров на предоставление услуг связи в соответствии с принятыми в компании стандартами. Согласно п. 3.2. работник принимает на себя обязательство добросовестно исполнять свои трудовые функции (обязанности), нормы и правила, установленные всеми локальными нормативными актами Работодателя.
В соответствии с приказом о приеме работника на работу №-к/мр от ДД.ММ.ГГГГ ФИО2 был принят на работу в должности специалиста офиса в группу офисов №.
В соответствии с пунктами 1.2, 3.2, 3.6, 3.7, 3.10, 3.11-3.13, 4.1, 5.4, 5.5 должностной инструкции от ДД.ММ.ГГГГ к должностным обязанностям специалиста офиса относится: осуществление продажи товаров и услуг компании с учетом потребностей и преимуществ для клиентов и в соответствии с установленными стандартами; контролирование наличия и движения товарно-материальных ценностей на персональном складе и общем складе офиса продаж и обслуживания; соблюдение кассовой дисциплины, правил ведения денежных расчетов, ведения кассовых операций, правил работ с контрольно-кассовой техникой; надлежащее исполнение своих должностных обязанностей; обеспечение обработки персональных данных физических лиц, с которыми связана работа сотрудника; соблюдение мер безопасности, разработанных в компании и направленных на защиту персональных данных; обеспечение конфиденциальности обрабатываемых персональных данных. Также в соответствии с должностной инструкцией специалист офиса в праве в служебных целях пользоваться ресурсами и техническими средствами, находящимися в распоряжении компании, в том числе информационно-технологическим оборудованием. В соответствии указанной должностной инструкцией сотрудник в своей деятельности руководствуется действующим законодательством РФ; правилами пользования услугами информационных технологий; правилами, распоряжениями, положениями компании ПАО «ВымпелКом»; несет ответственность за несоблюдение коммерческой тайны и за нарушение положений законодательства Российской Федерации в области персональных данных при обработке и защите персональных данных в соответствии с должностными обязанностями. ФИО2 по своему служебному положению на законных основаниях имел право использовать компьютерную информацию и средства ее обращения.
В соответствии с Правилами пользования услугами информационных технологий (Приложение № к приказу № утвержденному ДД.ММ.ГГГГ) ПАО «ВымпелКом» (далее также - Компания) в своей деятельности активно использует информационные технологии (далее – ИТ). В информационных системах (далее – ИС) Компании хранится и обрабатывается информация, связанная с бизнес процессами. Лица, получающие доступ к ИС Компании обязаны знать и исполнять требования Порядка обращения с информацией ограниченного доступа, принятого в Компании. В соответствии с пунктами 1.3, 1.4.1, 3.1, 4.6 информационные ресурсы Компании предоставляются работникам компании (далее – Пользователь) для решения бизнес задач Компании, их использование в других целях недопустимо. Запрещается намеренно подвергать ИТ ресурсы и системы защиты информации Компании непредусмотренным в руководствах (нештатным) воздействиям, приводящим к нарушению их работоспособности и целостности. Компьютерное и коммуникационное оборудование, предоставленное Пользователю Компанией, является собственностью Компании, и должно использоваться Пользователем в целях эффективного исполнения его функциональных обязанностей. Каждый Пользователь несет ответственность за содержание всех текстовых, аудио и видео материалов, сохранённых им в ИТ ресурсах компании. Информация, размещаемая в ИТ ресурсах компании не должна нарушать законы РФ или чьи-либо права, а также наносить ущерб деловой репутации Компании.
Согласно пунктам 6.1, 7.1, 7.2 политики «Обработка персональных данных», утвержденной президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ, субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей подтверждение факта обработки персональных данных в Компании. Информация, относящаяся к персональным данным, ставшая известной Компании, является конфиденциальной информацией и охраняется законом; работники Компании предупреждены о возможной уголовной ответственности в случае нарушения норм и требований действующего законодательства Российской Федерации в области обработки персональных данных.
Согласно пунктам 1.1, 2, 3 приложения к вышеуказанной Политике «Обработка персональных данных» ПАО «ВымпелКом», утвержденной президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ, в рамках оказании услуг связи в соответствии с условиями полученных в Компании лицензий – заключение и исполнение договора об оказании услуг. Обрабатываются персональные данные, указанные в договоре об оказании услуг связи, данные о платежах и оказанных услугах. Также, согласно вышеуказанному приложению, обработка персональных данных осуществляется с согласия субъекта персональных данных, кроме случаев, установленных законодательством РФ. Абонентский номер абонентов и пользователей передается в строгом соответствии с действующим законодательством РФ в рамках оказания услуг связи оператору связи, с которым заключены договоры взаимодействия, и который участвует в процессе оказания услуг связи, в объеме, необходимом для оказания данных услуг абоненту, персональные данные которого передаются.
Согласно пункту 3.1 порядка «Обращения с информацией ограниченного доступа» ПАО «ВымпелКом», утвержденного президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ, информация ограниченного доступа Компании, к которой относятся персональные данные, является одним из наиболее значимых активов, утрата, неправильное обращение, искажение или несанкционированное разглашение которой могут привести к значительным материальным потерям и ущербу деловой репутации Компании, а также уголовной ответственности лиц, допустивших такое разглашение.
В соответствии с п. 3.11, 3.13, 3.12, 4.1 должностной инструкции, п. 3.1 трудового договора ФИО2 в силу служебного положения в компании ПАО «ВымпелКом» осуществлял организационно-распорядительные и административно-хозяйственные функции.
ФИО2 осуществлял организационно-распорядительные полномочия по принятию решений, имеющих юридическое значение и влекущих юридические последствия, а именно: заключение договоров на предоставление услуг связи; обеспечение обработки персональных данных физических лиц, с которыми связана работа сотрудника; соблюдение мер безопасности, разработанных в компании и направленных на защиту персональных данных; обеспечение конфиденциальности обрабатываемых персональных данных.
ФИО2 осуществлял административно-хозяйственные функции, выраженные в праве в служебных целях пользоваться ресурсами и техническими средствами, находящимися в распоряжении компании, в том числе информационно-технологическим оборудованием.
В период времени до ДД.ММ.ГГГГ у ФИО2, возник преступный умысел на нарушение правил эксплуатации средств хранения, обработки и передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, информационных систем, относящихся к критической информационной инфраструктуре Российской Федерации, правил доступа к указанным информации, информационным системам, с использованием своего служебного положения, из корыстной заинтересованности.
Реализуя преступный умысел, ФИО2, на рабочем месте в помещении офиса продаж, <адрес>, используя свое служебное положение, через программный модуль «1С-Retail», который используется для оформления договоров на оказание услуг связи с клиентами ПАО «ВымпелКом» и внесения информации об оформленном договоре и персональных данных клиента в автоматизированную информационную систему «Amdocs Ensemble», оформил на имя Свидетель №4, без её фактического обращения, путем введения ее персональных данных в программный модуль «1С-Retail»,
ДД.ММ.ГГГГ в 17:47 абонентский номер «+79623550632»,
ДД.ММ.ГГГГ в 17:48 абонентский номер «+79623550633»,
ДД.ММ.ГГГГ в 16:41 абонентского номера «89631520345»,
ДД.ММ.ГГГГ в 17:32 абонентский номер «+79631520527»,
ДД.ММ.ГГГГ в 18:40 абонентский номер «+79612470008»,
ДД.ММ.ГГГГ в 17:29 абонентский номер «+79644958455»,
ДД.ММ.ГГГГ в 18:50 абонентский номер «+79644958473»,
ДД.ММ.ГГГГ в 11:16 абонентский номер «+79623550373».
ФИО2 своими действиями внес недостоверную информацию об оказанных Свидетель №4 услугах в информационные системы компании ПАО «ВымпелКом», в том числе, автоматизированную информационную систему «Amdocs Ensemble», чем нарушил правила эксплуатации средств хранения, обработки и передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, информационных систем, относящихся к критической информационной инфраструктуре Российской Федерации, правила доступа к указанным информации, информационным системам, зафиксированные в п. 6 ст. 44 ФЗ от ДД.ММ.ГГГГ № 126-ФЗ «О связи»; п. 18, 21 Постановления Правительства РФ от ДД.ММ.ГГГГ № «О порядке оказания услуг телефонной связи»; п. 3.10, 3.11-3.13, 4.1 должностной инструкции от ДД.ММ.ГГГГ; правила пользования услугами информационных технологий (Приложение № к приказу № утвержденному ДД.ММ.ГГГГ), в частности п. 1.3, 1.4.1 3,1, 4,6 указанных правил; п. 6.1, 7.1, 7.2 политики «Обработка персональных данных», утвержденной президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ, п. 1.1, 2, 3 приложения к вышеуказанной Политике «Обработка персональных данных» ПАО «ВымпелКом», утвержденной президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ, п. 3.1 порядка «Обращения с информацией ограниченного доступа» ПАО «ВымпелКом», утвержденного президентом компании ПАО «ВымпелКом» ДД.ММ.ГГГГ.
Действия ФИО2 по заключению фиктивных договоров от имени ПАО «ВымпелКом» нанесли вред критической информационной инфраструктуре ПАО «ВымпелКом». В частности, действия ФИО2 нарушили целостность базы данных автоматизированной системы «Amdocs Ensemble», которая ДД.ММ.ГГГГ внесена Федеральной службой по техническому и экспертному контролю России в реестр значимых объектов критической информационной инфраструктуры РФ по регистрационным номером: 005491/1/4/А. Вред, причиненный КИИ, выразился в модификации информации в указанной базе данных, внесении в нее недостоверной информации, что нарушило целостность информационной системы, в результате чего информация, циркулирующая в ней, перестала соответствовать критериям оценки – объективности, достоверности и актуальности. Кроме того, имеется репутационный вред объекту КИИ. Действия ФИО2 создали необходимость проведения дополнительных внеплановых мероприятий по оценке защищенности автоматизированной системы и актуализации циркулирующей в ней информации.
В судебном заседании подсудимый ФИО2 вину в совершении преступления признал полностью, от дачи показаний отказался, подтвердил свои показания на предварительном следствии.
Факт совершения ФИО2 преступления, кроме призвания вины подсудимым в суде, подтверждается достаточной совокупностью относимых и допустимых доказательств, исследованных в судебном заседании.
На допросах в качестве подозреваемого и обвиняемого ФИО2 показал, что ДД.ММ.ГГГГ устроился менеджером в ПАО «ВымпелКом», ему были разъяснены регламенты и правила работы в компании, а также законодательство Российской Федерации по предоставлению услуг связи, последствия нарушения установленных правил и законов. С июня 2019 ФИО2 работал в офисе продаж <адрес>. В начале февраля 2020 до ФИО2 было доведено, что база данных «Amdocs Ensemble», в которую вносится информация после заключения договоров об оказании услуг связи, была внесена в реестр объектов критической информационной инфраструктуры Российской Федерации. В круг его трудовых функций входило заключение договоров о предоставлении услуг сотовой связи и внесение сведений, указанных в договорах, в базу данных «Amdocs Ensemble».
В марте 2020 в целях улучшения показателей свой работы и для получения премии, он оформил договоры на оказании услуг сотовой связи на имя Свидетель №4, без её обращения и согласия, что нарушало установленные в компании правила. По этим договорам оформил сим-карты на номера 9623550632, 9623550633 от ДД.ММ.ГГГГ; 9631520345, 9631520527 от ДД.ММ.ГГГГ; 9644958455, 9612470008, 9644958473 от ДД.ММ.ГГГГ; 9623550373 от ДД.ММ.ГГГГ. Оформляемые договоры вносились ФИО2 в служебный модуль «1C-Retail» под личным логином. По одному из фиктивных договоров сим-карту с номером 9631520345 ФИО2 ДД.ММ.ГГГГ включил в чек покупателю. От этого клиента пришла жалоба.
Данные по указанным договорам сохранялись в базе «Amdocs Ensemble». ФИО2 осознавал, что вносит недостоверные сведения в базу «Amdocs Ensemble», т.е. в базу данных, которая относится к объектам критической информационной инфраструктуры Российской Федерации. Согласно установленным правилам ФИО2 не имел право вносить недостоверные сведения в базу данных «Amdocs Ensemble». ФИО2 осознает, что его действия нарушили закон и нанесли вред указанной базе данных, поскольку в ней начали циркулировать недостоверные сведения, что повлекло причинение вреда ПАО «ВымпелКом» и базе данных «Amdocs Ensemble» (т.1 л.д.148-151,163-166).
Представитель потерпевшего ФИО10 в суде показала, что по жалобе клиента о включении ДД.ММ.ГГГГ в чек сим-карты, которую он не покупал, была проведена проверка. Было установлено внесение в базу данных «Amdocs Ensemble» ФИО2 недостоверной информации о заключении ПАО «ВымпелКом» с Свидетель №4 8 указанных в обвинении договоров на оказание услуг связи. Подтвердила свои показания на предварительном следствии.
Представитель потерпевшего ФИО10 на предварительном следствии показала, что в ходе проверки по факту списания с Свидетель №8 денег за оформление сим-карты с номером +79631520345 было установлено, что сим-карта была оформлена на Свидетель №4 Регистрация сим-карты осуществлялась через программный модуль «1C-Retail». Сотрудником, оформившим сим-карту, являлся ФИО2 ФИО2 занимал должность специалиста офиса продаж, расположенном <адрес>. В силу должностных обязанностей ФИО2 имел право от имени ПАО «ВымпелКом» оформлять договоры на предоставление услуг связи. Деятельность ФИО2 была связана с обработкой персональных данных клиентов ПАО «ВымпелКом». Перечень мер, необходимых для обеспечения сохранности персональных данных, а также порядок их обработки закреплен внутренними правовыми актами ПАО «ВымпелКом», с которыми ФИО2 был ознакомлен. При трудоустройстве в ПАО «ВымпелКом» ФИО2 была присвоена учетная запись, доступ к которой осуществлялся посредствам введения пароля и биометрических данных (отпечаток пальца).
ПАО «ВымпелКом» является субъектом критической информационной инфраструктуры РФ (КИИ), которому на праве собственности принадлежат информационные системы и телекоммуникационные сети, зарегистрированные в реестре значимых объектов КИИ. ДД.ММ.ГГГГ автоматизированная система «Amdocs Ensemble» внесена Федеральной службой по техническому и экспертному контролю России в реестр значимых объектов критической инфраструктуры РФ под регистрационным номером: 005491/1/4/А.
Действия ФИО2 по заключению фиктивных договоров об оказании услуг связи от имени ПАО «ВымпелКом» нанесли вред критической информационной инфраструктуре РФ, принадлежащей ПАО «ВымпелКом», - базе данных автоматизированной системы «Amdocs Ensemble», нарушили целостность и достоверность информации, циркулирующей в базе данных путем внесения в нее недостоверной информации. Его действиями скомпрометирована информация, содержащаяся в базе данных автоматизированной системы «Amdocs Ensemble», нанесен репутационный вред компании. Фиктивные договора могут стать причиной обращения лица, на которое оформляется подобный договор, что может повлечь финансовые риски. В соответствии с Федеральным законом «О связи» ПАО «ВымпелКом» несет ответственность за достоверность информации, циркулирующей в информационной инфраструктуре оператора сотовой связи, так как данная информация может быть использована при проведении оперативно-розыскных и следственных мероприятий, проводимых правоохранительными органами РФ, для решения задач, связанных с обеспечением безопасности Российской Федерации. Возникла необходимость проведения работ по актуализации информации циркулирующей в базе данных автоматизированной системы «Amdocs Ensemble» (т.1 л.д.237-240).
Свидетель Свидетель №1 в суде дал показания, аналогичного содержания показаниям представителя потерпевшего в суде. Подтвердил свои показания на предварительном следствии.
Свидетель Свидетель №1 на предварительном следствии показал, что при проверке сообщения о списании денег с Свидетель №8 за оформление сим-карты с номером +79631520345 было установлено, что регистрация сим-карты осуществлялась через программный модуль «1C-Retail», доступ к которому был осуществлен ДД.ММ.ГГГГ с учетной записи ФИО2 Просмотр данных с камер видеонаблюдения за ДД.ММ.ГГГГ свидетельствовал о том, что действия по регистрации сим-карты +79631520345 выполнены ФИО2. Было также установлено, что ФИО2 оформлял на Свидетель №4 фиктивные договоры неоднократно. При заключении договоров о предоставлении услуг связи, используя программный модуль «1C-Retail», сотрудники вносят изменения в базу данных автоматизированной системы (биллинговою систему) «Amdocs Ensemble», в которой находятся информация ограниченного доступа, в том числе персональные данные и информация о звонках абонентов. ФИО2 знал, что информация в базе данных «Amdocs Ensemble» охраняется. ФИО2 пояснил, что действительно неоднократно заключал фиктивные договора на предоставление услуг связи для выполнения плана офиса продаж
Действия ФИО2 по оформлению фиктивных договоров и внесению сведений о них в информационные системы ПАО «ВымпелКом» были неправомерны, осуществлялись в нарушении положений Федерального закона «О связи», Постановления Правительства Российской Федерации от ДД.ММ.ГГГГ № «О порядке оказания услуг телефонной связи», должностной инструкции Специалиста офиса, правил пользования услугами информационных технологий (Приложение № к приказу № утвержденному ДД.ММ.ГГГГ), политики «Обработка персональных данных», приложения к вышеуказанной Политике «Обработка персональных данных» ПАО «ВымпелКом», порядка «Обращения с информацией ограниченного доступа» ПАО «ВымпелКом» (т.1 л.д.207-211).
Свидетель Свидетель №8 в суде показал, что подсудимый ФИО2 оформлял свидетелю продажу двух телефонов и пробивал на них чек в офисе продаж. В чеке Свидетель №8 обнаружил лишнюю позицию – сим-карту, которую он не покупал. Об этом свидетель сообщил в компанию.
Свидетель Свидетель №7 в суде показал, что работал в офисе продаж ПАО «ВымпелКом» с подсудимым. Именно ФИО2 был за кассой и оформлял продажу мужчине, по которому проводилась проверка по жалобе о продаже сим-карты, которую он не покупал.
Свидетель Свидетель №6 в суде показал, что работал в офисе продаж ПАО «ВымпелКом». Сотрудник, оформлявший продажу сим-карты, отражается в программе «1C-Retail».
Свидетель Свидетель №4 на предварительном следствии показала, что ей ничего не известно о регистрации указанных в обвинении абонентских номеров на неё, разрешения на использование её персональных данных для оформления данных номеров она не давала (т.1 л.д.252-254).
Свидетель Свидетель №10 на предварительном следствии показала, что уполномоченные работники офисов продаж ПАО «ВымпелКом» осуществляют деятельность по оформлению договоров об оказании услуг связи. Гражданин, желающий заключить договор об оказании услуг связи, предъявляет специалисту офиса продаж свой паспорт гражданина РФ. Специалист офиса продаж осуществляет ввод данных в программный модуль «1C-Retail» об абоненте: его фамилию, имя и отчество; дату рождения; сведения о гражданстве; адресе регистрации; поле абонента; реквизиты документа удостоверяющего личность; контактный телефон либо адрес электронной почты.
Сведения о сим-карте, предоставляемой клиенту, вносится в программу. Регистрация договора в программном модуле «1C-Retail» производится после оплаты по договору, в момент, когда пробивается чек об оплате. После того, как вышеуказанные данные введены в указанную программу, производится подтверждение внесенных сведений, путем нажатия соответствующей кнопки в интерфейсе программы. После этого все сведения о заключении договора об оказании услуг связи (сведения о дате заключения договора, данные абонента, сведения о сим-карте и иные) в автоматическом режиме передаются в базу данных автоматизированной системы «Amdocs Ensemble». Сведения о факте передачи указанных сведений отображаются в интерфейсе программы «1C-Retail» (т.1 л.д. 216-218).
Свидетель Свидетель №2 на предварительном следствии показал, что при устройстве на работу в компанию ПАО «ВымпелКом» сотруднику присваивается уникальный логин и пароль к нему для доступа в программное обеспечение ПАО «ВымпеКом». Также с сотрудников отбирали биометрические данные (отпечатки пальца). В начале февраля 2020 сотрудникам доводили, что база данных «Amdocs Ensemble» внесена в реестр объектов критической информационной инфраструктуры Российской Федерации. Сотрудник, который пришел первым в офис на рабочую смену, запускал компьютер и входил в программное обеспечение под своим логином и паролем. Затем все пришедшие сотрудники добавлялись в табель смены в программном модуле «1C-Retail» и подтверждали свое присутствие биометрическими данными.
При оформлении договоров об оказании услуг связи в программном модуле «1C-Retail» сотрудник выбирал себя в поле «Продавец», как человека, который оформляет чек и, соответственно, сам договор. Количество оформленных договоров влияет на показатели офиса продаж и конкретного сотрудника, что, в свою очередь, влияет на заработную плату. После оформления договора об оказании услуг связи в программном модуле «1C- Retail», данные о заключении договора автоматически направлялись в базу данных «Amdocs Ensemble» (т.1 л.д.212-215).
Вина подсудимого в совершении преступления подтверждается также исследованными в судебном заседании материалами уголовного дела.
Из протокола осмотра вещественных доказательств следует, что согласно трудовому договору, листу ознакомления ФИО2 с нормативными и локальными нормативными актами ПАО «ВымпелКом», должностной инструкции специалиста офиса, правил пользования услугами информационных технологий (Приложение № к Приказу № от ДД.ММ.ГГГГ)., специалист офиса ПАО «ВымпелКом» ФИО2 с ДД.ММ.ГГГГ был уполномочен на заключение договоров на предоставление услуг связи в соответствии с принятыми в компании стандартами; в служебных целях пользоваться ресурсами и техническими средствами, находящимися в распоряжении ПАО «ВымпелКом», в том числе ИТ оборудованием; осуществлять продажу услуг компании в соответствии с правилами их предоставления и реализации. В своей деятельности ФИО2 должен руководствуется действующим законодательством РФ; правилами пользования услугами информационных технологий; правилами, распоряжениями, положениями по ПАО «ВымпелКом». ФИО2 по своему служебному положению на законных основаниях имел право использовать компьютерную информацию и средства ее обращения.
В соответствии с Правилами пользования услугами информационных технологий (Приложение № к приказу № от ДД.ММ.ГГГГ) ПАО «ВымпелКом» (далее также - Компания) в своей деятельности активно использует информационные технологии (далее – ИТ). В информационных системах (далее – ИС) Компании хранится и обрабатывается информация, связанная с бизнес процессами. Лица, получающие доступ к ИС Компании обязаны знать и исполнять требования Порядка обращения с информацией ограниченного доступа, принятого в Компании. Информационные ресурсы Компании предоставляются Пользователям для решения бизнес задач Компании, их использование в других целях недопустимо. Запрещается намеренно подвергать ИТ ресурсы и системы защиты информации Компании непредусмотренным в руководствах (нештатным) воздействиям, приводящим к нарушению их работоспособности и целостности (т.2 л.д.44-58).
Предоставленные ПАО «ВымпелКом» Политика «Обработка персональных данных», Порядок «Обращения с информацией ограниченного доступа» соответствуют по содержанию обвинению (т.1 л.д.39-116).
По информации ПАО «ВымпелКом» указанные в обвинении абонентские номера зарегистрированы на Свидетель №4 (т.1 л.д.120-131).
Согласно уведомлению ФСТЭК России в реестр значимых объектов критической информационной структуры РФ внесена Автоматизированная система расчетов ПАО «ВымпелКом» «Amdocs Ensemble» (т.2 л.д.64-67);
В программе 1С ПАО «ВымпелКом» содержится информация об оформленных специалистом офиса продаж ФИО2 договорах об оказании услуг связи с ФИО7, соответствующих обвинению абонентским номерам по ним (т.2 л.д.68-108)
Заявление ФИО2 от ДД.ММ.ГГГГ содержит признание в заключении договоров на оказание услуг связи с Свидетель №4 без её личного обращения и согласия, внесении недостоверных сведений в компьютерную базу данных, которая относятся к критической информационной инфраструктуре Российской Федерации, нарушении установленных правил компании ПАО «ВымпелКом» по эксплуатации базы данных (т.1 л.д.146).
Анализируя предоставленные сторонами доказательства, суд приходит к следующим выводам.
Признательные показания от ФИО2 в ходе предварительного следствия получены с соблюдением требований ст.11,46,47,166,172-174 УПК РФ, ст.51 Конституции РФ, что позволяет признать их допустимыми доказательствами. Показания подсудимый давал в присутствии защитника, замечаний к содержанию протоколов не поступило, что свидетельствует о добровольности данных показаний и достоверности их отражения. Оснований для самооговора не установлено, в суде ФИО2 подтвердил достоверность своих показаний на следствии.
Показания ФИО2 об оформлении им договоров на оказание услуг связи с ФИО18, абонентских номерах по ним, осознании неправомерности воздействия на критическую информационную инфраструктуру РФ при заключении фиктивных договоров, наличии корыстной цели при совершении преступления подтверждаются показаниями представителя потерпевшего, свидетелей, базами данных ПАО «ВымпелКом», содержащих сведения об оформлении фиктивных договоров с ФИО18 ФИО2.
При совершении преступления ФИО2 использовал приведенные в обвинении служебные полномочия.
Обоснование представителем потерпевшего причинения вреда критической информационной инфраструктуре Российской Федерации, к которой относится автоматизированная информационная система «Amdocs Ensemble», убедительно.
По результатам судебного следствия не нашло подтверждение предъявленное обвинение в неправомерном доступе к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, в том числе с использованием компьютерных программ и иной компьютерной информации. Исследованные судом доказательства свидетельствуют, что ФИО2 совершил преступление, используя имевшийся у него правомерный доступ к автоматизированной информационной системе «Amdocs Ensemble» через присвоенную ему при трудоустройстве для доступа в программное обеспечение ПАО «ВымпелКом» учетную запись, пароль и биометрические данные. Кроме того, как неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, подлежат квалификации лишь использование компьютерных программ и иной компьютерной информации, которые заведомо предназначены для неправомерного воздействия на критическую информационную инфраструктуру Российской Федерации, что в обвинении не отражено.
Оценив исследованные в судебном заседании доказательства, суд приходит к выводу, что вина подсудимого в совершении преступления установлена.
Учитывая способ, обстоятельства совершённого общественно-опасного деяния, суд квалифицирует действия подсудимого ФИО2 по ч.4 ст.274.1 УК РФ (как, нарушение правил эксплуатации средств хранения, обработки и передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, информационных систем, относящихся к критической информационной инфраструктуре Российской Федерации, правил доступа к указанным информации, информационным системам, что повлекло причинение вреда критической информационной инфраструктуре Российской Федерации, с использованием служебного положения).
Обсуждая вопрос о мере наказания подсудимому, суд учитывает характер и степень общественной опасности совершённого преступления, его личность, влияние назначенного наказания на исправление осужденного и условия жизни его семьи.
ФИО2 впервые совершил тяжкое преступление (т.1 л.д.169,170), привлекался к административной ответственности (т.1 л.д.171), на учетах у психиатра и нарколога не состоит (т.1 л.д.172,173), по местам жительства и работы характеризуется удовлетворительно (т.1 л.д.180,185, т.2 л.д. 63), по состоянию здоровья ограниченно годен к военной службе (т.1 л.д.187).
В соответствии с п.«и» ч.1, ч.2 ст.61 УК РФ суд признаёт обстоятельствами, смягчающими наказание ФИО2, – активное способствование раскрытию и расследованию преступления, полное признание вины, раскаяние в содеянном, что следует из принесенных ФИО2 извинений представителю протерпевшего; состояние здоровья подсудимого.
Заявление подсудимого (т.1 л.д.146) с признанием в совершенном преступлении сделано подсудимым в связи с возбужденным в отношении него уголовным делом, и явкой с повинной, т.е. добровольным сообщением о совершенном преступлении, не является. Вместе с тем, суд считает возможным принять сделанное подсудимым признание как свидетельство активного способствования раскрытию и расследованию преступления.
Учитывая характер и общественную опасность совершенного преступления, приведенные данные о личности подсудимого, наличие смягчающих и отсутствие отягчающих наказание обстоятельств, наказание ФИО2 должно быть назначено в виде лишения свободы без дополнительного наказания.
Наказание суд назначает с учетом положений ч.1 ст.62 УК РФ.
Принимая во внимание отсутствие исключительных обстоятельств, существенно уменьшающих степень общественной опасности совершенного преступления, с учетом также фактических обстоятельств совершенного преступления, суд не усматривает оснований для применения положений ст.53.1, ст.64 УК РФ, изменения в соответствии с ч.6 ст.15 УК РФ категории преступления на менее тяжкую.
Вместе с тем, совокупность смягчающих наказание обстоятельств свидетельствует о возможности достижения целей наказания без реального отбытия наказания ФИО2
Возлагая на ФИО2 в соответствии с ч.5 ст.73 УК РФ исполнение обязанностей, суд учитывает его возраст, состояние здоровья, трудоспособность. ФИО2 в лечение не нуждается, работает. Принимая во внимание сведения о привлечении его к административной ответственности, суд считает необходимым возложить на ФИО2 обязанности, связанные с ограничением свободы передвижения, обусловленные необходимостью обеспечения более жесткого контроля за поведением осужденного, что будет способствовать его исправлению и предупреждению совершения новых преступлений.
На основании изложенного и руководствуясь ст. 307,308,309 УПК РФ, суд –
П Р И Г О В О Р И Л:
ФИО2 признать виновным в совершении преступления, предусмотренного ч.4 ст.274.1 УК РФ, и назначить ему наказание в виде 3 (трех) лет лишения свободы.
В соответствии со ст.73 УК РФ назначенное ФИО2 наказание в виде лишения свободы считать условным с испытательным сроком в 2 (два) года.
Возложить на условно осужденного ФИО2 исполнение следующих обязанностей: не менять постоянного места жительства (проживания) и работы, не выезжать за пределы муниципального образования <адрес> без уведомления специализированного государственного органа, осуществляющего контроль за поведением условно осужденных; два раза в месяц являться на регистрацию в указанный орган, в дни установленные данным органом.
До вступления приговора в законную силу, избранную в отношении ФИО2 меру пресечения в виде подписки о невыезде оставить без изменения.
Вещественные доказательства хранить при деле.
Приговор может быть обжалован в апелляционном порядке в Ивановский областной суд через Ленинский районный суд <адрес> в течение 10 суток со дня его провозглашения. При подаче апелляционной жалобы осужденный вправе ходатайствовать об участии в заседании суда апелляционной инстанции. Если осужденный заявляет ходатайство об участии в рассмотрении уголовного дела судом апелляционной инстанции, об этом указывается в его апелляционной жалобе или возражениях на жалобы, представления, принесенные другими участниками уголовного процесса.
Председательствующий Карпычев А.А.
Раздел "Правоприменительная практика по ст.274.1 УК РФ "Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации" на главной страницы блога - https://valerykomarov.blogspot.com/p/2741.html
* Результаты анализа 187-ФЗ и рекомендации по его выполнению размещаются в разделе "ЧаВо по КИИ" на главной странице блога.
*** YouTube - канал блога
**** Яндекс.Дзен https://zen.yandex.ru/id/5c7b7864fa818600ae3856a1
***** Публичный ТамТам-канал https://tt.me/blog_ruporsecurite
Комментариев нет:
Отправить комментарий