Свершилось. Мы дождались ситуации, когда обвиняемый не согласился с тем, что он своими действиями нанес вред КИИ. Настаивает, что совершил обычное компьютерное преступление по ст.272 УК РФ, а не по тяжкой ст.274.1 УК РФ. Пришлось областному суду разбираться в вопросах категорирования объектов КИИ.
Данное дело будет иметь очень далеко идущие последствия для всей страны. Остается только пожелать стороне защиты продолжать обжалование и дойти до Верховного суда РФ, больно уж моменты принципиальные решаются.
1. "Критические процессы" не влияют на выявление объектов КИИ - https://zen.yandex.ru/media/id/5c7b7864fa818600ae3856a1/629efec61b51aa1a9c4dedb0
2. ФСТЭК принимает прямое участие в судебных заседаниях, а не только предоставляет справки по запросу суда.
3. Отсутствие видов экономической деятельности организации в 13 сферах не мешает ей быть субъектом КИИ и владеть объектами КИИ в этих сферах. Я дополнительно посмотрел карточку реквизитов дочерней организации, в которой произошло преступление - нет ни лицензии оператора связи, ни основного ОКВЭД в сфере связи.
ФСТЭК вообще показал "То обстоятельство, что АО «Русская телефонная компания» - дочь ПАО «МТС», сама не действует в сфере связи, что через систему «Единое окно» не имеется доступа к иным системам, по ФЗ №187-ФЗ не имеет существенного значения."
"ПАО «МТС» оказывает услуги в сфере связи. Информационная система «Единое окно» является информационной системой АО «Русская телефонная компания» - это дочь ПАО «МТС», входящая в группу компаний. Эта компания осуществляет деятельность в сфере продаж, обслуживания, не подпадающих под определение субъекта критической информационной инфраструктуры. Эта система дальше взаимодействует с иными системами МТС, но сама система «Единое окно» принадлежит АО «Русская телефонная компания»".
4. Отсутствие реакции суда на довод "Система «Единое окно» представляет собой интерфейс для доступа к ЦРС системам. Это системы, которые предназначены для автоматизации обслуживания абонентов и обслуживания розничных точек продаж. Сама система «Единое окно» представляет собой комплекс серверного оборудования и клиентских интерфейсов установленных в офисах продаж и по сути является способом доступа к ЦРМ системам МТС. Это веб интерфейс для доступа к ЦРМ системам. Информация содержащая непосредственно в системе «Единое окно» не относится к информации содержащейся в критической информационной инфраструктуре, потому что не является ее объектом, исходя из определения объекта КИИ, субъекта КИИ. Информация, содержащаяся в «Едином окне» не является информацией обрабатываемой в критической информационной инфраструктуре. " очень печально для МФЦ и прочих операторов "единого окна". С таким подходом к трактовке законодательства быть им субъектами КИИ.
5. Не все ИС/АСУ/ИТКС субъекта КИИ являются объектами КИИ. Только функционирующие в 13 сферах КИИ.
"Таким образом, в соответствии с вышеуказанными нормами действующего законодательства ПАО «МТС» является субъектом критической информационной инфраструктуры Российской Федерации, а информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления, функционирующие в сфере связи, принадлежащие Обществу на законном основании, - объектами критической информационной инфраструктуры, не зависимо от того, закатегорированы ли они или нет. "
6. Перечень ОКИИ и результаты категорирования не влияют на привлечение к уголовной ответственности. Преступник осужден судом за действия в ИС, которая субъектом КИИ к ОКИИ не отнесена "В соответствии с Постановлением Правительства РФ №127 в ПАО «МТС» имеется акт категорирования объектов и к перечню систем относятся системы управления компаниями «Эриксон», «Нокия», «Хуавей». В ПАО «МТС» 33 системы управления и 2 выделенных транзитных пункта сигнализации. В этом акте системы управления «Единое окно» нет."
7. Преступник был осужден на реальные три года с лишением свободы.
8. Отсутствие умысла, отсутствие материального ущерба, отсутствие вреда объекту КИИ - не существенно.
Суд отверг обоснования:
- "Указывает, что дискредитация деловой репутации ПАО МТС также не может рассматриваться в качестве уголовно-наказуемого последствия, поскольку вред причинен ПАО МТС как субъекту критической информационной инфраструктуры, а в рассматриваемой статье уголовного кодекса в качестве последствия может признаваться только вред, причиненный объекту критической информационной инфраструктуры. "
- "Указывает, что состав преступления, предусмотренный ст. 274.1 УК Российской Федерации является материальным. Таким образом, преступным является не сам по себе факт неправомерного доступа к охраняемой информации, а совершение этого деяния, повлекшее причинение указанных в законе последствий.
"Ссылаясь на показания Бисенова А.А. указывает, что он не имел умысла на причинение вредоносных последствий критической информационной инфраструктуре, а лишь решал свои финансовые затруднения, в связи с чем, совершенное им деяние не подпадает под признаки преступления, предусмотренного ст. 274.1 УК Российской Федерации в виду отсутствия прямого умысла."
22-787/2022
АПЕЛЛЯЦИОННОЕ ОПРЕДЕЛЕНИЕ
г. Астрахань 14 апреля 2022г.
рассмотрел в открытом судебном заседании дело по
апелляционной жалобе адвоката Сагиян О.В. на приговор Кировского районного суда
г.Астрахани от 1 февраля 2022г., которым
Бисенов Алмаз Азаматович, <данные изъяты>, не судимый,
осужден по ч.4 ст.274.1 УК Российской Федерации к 3 годам
лишения свободы с отбыванием наказания в исправительной колонии общего режима,
с исчислением срока наказания с момента вступления приговора в законную силу.
Зачтено в срок отбывания наказания время содержания Бисенова
А.А. под стражей с 1 февраля 2022г. до вступления приговора в законную силу из
расчета один день содержания под стражей за полтора дня отбывания наказания в
колонии общего режима.
Заслушав доклад судьи Плехановой С.В. по содержанию
приговора, апелляционной жалобы, выслушав осужденного Бисенова А.А., его
защитника - адвоката Сагиян О.В., представителя потерпевшего – адвоката
Тухашева Х.У., поддержавших апелляционную жалобу, прокурора Саматову О.В.,
полагавшую, что приговор является законным и обоснованным и просившую оставить
его без изменения, суд апелляционной инстанции
У СТ А Н О В И Л:
Приговором суда Бисенов А.А. признан виновным в
неправомерном доступе к охраняемой компьютерной информации, содержащейся в
критической информационной инфраструктуре Российской Федерации, если он повлек
причинение вреда критической информационной инфраструктуре Российской
Федерации, совершенное лицом с использованием своего служебного положения.
Преступление совершено в период с 24.09.2020 по 3.11.2020 в
г.Астрахани, при обстоятельствах, изложенных в приговоре.
В судебном заседании Бисенов А.А. вину в совершении
преступления признал.
В апелляционной жалобе и дополнениях к ней адвокат Сагиян
О.В. оспаривая обоснованность осуждения Бисенова А.А., ставит вопрос об
изменении приговора и переквалификации действий Бисенова А.А. с ч.4 ст. 274.1
УК РФ на ст. 272 УК РФ по которой просит назначить ему наказание не связанное с
лишением свободы.
В обоснование жалобы указывает, что суд в нарушение
требований ст.73 УПК Российской Федерации не установил дату неправомерного
доступа, указав в приговоре только дату, когда к Бисенову А.А. обратились с
предложением передачи персональных данных абонентов ПАО МТС - 24.09.2020 и дату
передачи этих данных - 03.11.2020, что является существенным нарушением,
поскольку действия Бисенова А. А. квалифицированы судом только по одному
диспозитивному признаку ч. 4 ст. 274.1 УК РФ - неправомерный доступ к
охраняемой компьютерной информации, содержащейся в критической информационной
инфраструктуре Российской Федерации, если он повлек причинение вреда
критической информационной инфраструктуре Российской Федерации, совершенное
лицом с использованием своего служебного положения.
Кроме того, признавая уголовно-наказуемыми только действия
по неправомерному доступу к охраняемой компьютерной информации, содержащейся в
критической информационной инфраструктуре Российской Федерации, в
описательно-мотивировочной части приговора, суд ссылается также на обработку и
передачу указанной информации.
Отмечает, что суд не мотивировал свое решение на основании,
которого пришел к выводу, что база данных ПАО МТС является охраняемой
компьютерной информацией, содержащейся в критической информационной инфраструктуре
Российской Федерации.
Обращает внимание, что отношение в сфере критической
информационной инфраструктуры Российской Федерации регулируются Федеральным
законом от 26 июля 2017г. № 187-ФЗ «О безопасности критической информационной
инфраструктуры Российской Федерации», цель которого - поддержание устойчивого
функционирования критической информационной инфраструктуры Российской Федерации
при компьютерных атаках и в соответствии в которым, отрасль связи подпадает под
действие данного закона, и ПАО «МТС» является субъектом критической
информационной инфраструктуры.
Однако судом не принято во внимание, что к объектам
критической информационной инфраструктуры в ПАО МТС отнесены системы,
обеспечивающие автоматизацию управления и мониторинга услуг связи и ресурсов, а
также автоматизацию управления сетью сигнализации и обработки сообщений
сигнализации, не содержащие сведения об абонентах и оказанных им услугах, то
есть совершение доступа к информационной системе «Единое окно», позволяющей
просматривать персональные данные абонентов ПАО «МТС», не является доступом к
информации, содержащейся в критической информационной инфраструктуре.
Кроме того, объекты критической информационной
инфраструктуры подлежат категорированию субъектами критической информационной
инфраструктуры (в данном случае ПАО МТС) на основании «Правил категорирования
объектов критической информационной инфраструктуры», утвержденных
Постановлением Правительства РФ от 08.02.2018 №127. В связи с чем, считает, что
ПАО МТС должно было представить в суд акт категорирования объекта критической
информационной инфраструктуры, в котором должны быть указаны, в том числе,
критические процессы, обеспечивающиеся объектом, возможные последствия в случае
возникновения компьютерных инцидентов и др. В материалах уголовного дела таких
актов нет.
Отмечает, что объективная сторона состава преступления,
предусмотренного ст. 274.1 УК Российской Федерации выражается в неправомерном
воздействии на критическую информационную инфраструктуру Российской Федерации
путем: нарушения правил эксплуатации средств хранения, обработки или передачи
охраняемой компьютерной информации, содержащейся в ней, или информационных
систем, информационно-телекоммуникационных сетей, автоматизированных систем
управления, сетей электросвязи, относящихся к критической информационной
инфраструктуре Российской Федерации; нарушения правил доступа к указанным
информации, информационным системам, информационно-телекоммуникационным сетям,
автоматизированным системам управления, сетям электросвязи. Обязательным
признаком состава рассматриваемого преступления является наступление
общественно опасных последствий: причинение вреда критической информационной
инфраструктуре Российской Федерации.
Ссылаясь на п.6 ст. 2 ФЗ от 26.07.2017 №187 «О безопасности
критической информационной инфраструктуры Российской Федерации» указывает, что
критическую информационную инфраструктуру составляют ее объекты, а также сети
электросвязи, которые используются при организации взаимодействия этих
объектов. В связи с этим вред может носить либо материальный (физический), либо
организационный (технологически-эксплуатационный) характер, выразившийся в
нарушении и (или) прекращении функционирования объекта критической
информационной инфраструктуры, сети электросвязи, которая используется при
организации взаимодействия таких объектов, либо в нарушении безопасности
информации, обрабатываемой таким объектом, в том числе, если это произошло
посредством компьютерной атаки (компьютерный инцидент). Однако суд в нарушении
указанных норм закона в приговоре в качестве в качестве наступивших последствий
указал «причинение вреда критической информационной инфраструктуре Российской
Федерации в виде нарушения безопасности информации, принадлежащей и охраняемой
ПАО МТС, а также дискредитацию деловой репутации ПАО МТС, выразившейся в
разглашении конфиденциальных данных абонентов - пользователей МТС», при этом,
не мотивировав в чем конкретно пострадала безопасность критической
информационной инфраструктуры Российской Федерации.
Указывает, что дискредитация деловой репутации ПАО МТС также
не может рассматриваться в качестве уголовно-наказуемого последствия, поскольку
вред причинен ПАО МТС как субъекту критической информационной инфраструктуры, а
в рассматриваемой статье уголовного кодекса в качестве последствия может
признаваться только вред, причиненный объекту критической информационной
инфраструктуры. Таким образом, указанные в приговоре последствия, выступающие в
качестве обязательного признака объективной стороны инкриминированного Бисенову
А.А. преступления, не нашли своего подтверждения и не установлены в ходе
судебного заседания.
Указывает, что состав преступления, предусмотренный ст.
274.1 УК Российской Федерации является материальным. Таким образом, преступным
является не сам по себе факт неправомерного доступа к охраняемой информации, а
совершение этого деяния, повлекшее причинение указанных в законе последствий.
Ссылаясь на показания Бисенова А.А. указывает, что он не
имел умысла на причинение вредоносных последствий критической информационной
инфраструктуре, а лишь решал свои финансовые затруднения, в связи с чем,
совершенное им деяние не подпадает под признаки преступления, предусмотренного
ст. 274.1 УК Российской Федерации в виду отсутствия прямого умысла.
Указывает, что в описательно-мотивировочной части приговора
имеются ссылки на ст. 23 Конституции РФ, Закон «О связи», Закон «Об информации,
информационных технологиях и о защите информации», из анализа которых можно
сделать однозначный вывод о том, что потерпевшими в результате совершенного
Бисеновым А.А. деяния выступают непосредственно абоненты ПАО МТС, чьи
персональные данные были переданы неизвестному лицу. Полагает, что в результате
неверной квалификации его действий они не смогли получить должной защиты своих
прав.
Считает, что суд, назначая Бисенову А.А. наказание по
преступлению, предусмотренному ч. 4 ст. 274.1 УК Российской Федерации формально
учел данные о его личности, который характеризуется исключительно положительно,
молод, ранее не судим. Судом не была исследована в достаточной мере личность
Бисенова А.А., его многочисленные грамоты, благодарности за учебу, спортивные
достижения, отличие по службе, положительные характеристики из образовательных
учреждений, по месту жительства, по месту прохождения военной службы, от
соседей, от главы МО «Заволжский сельсовет»; не были исследованы условия его
жизни и то, как назначенное наказание повлияет на условия жизни его семьи.
Перечисленные смягчающие обстоятельства свидетельствуют о необходимости
смягчения наказания, и о возможности исправления Бисенова А.А. без изоляции от
общества. Кроме того, Бисенов А.А. не представляет опасность и не нуждается в
изоляции от общества, он искренне раскаялся и нуждается в снисхождении. Однако
суд принял решение о назначении наказания в виде реального лишения свободы и не
нашел оснований для применения положений ст.ст. 73, 64 УК Российской Федерации,
а также другого вида наказания.
Проверив материалы дела, доводы апелляционной жалобы, суд
апелляционной инстанции приходит к следующему.
Вывод суда о виновности Бисенова А.А. соответствует
фактическим обстоятельствам дела, основан на совокупности исследованных в
судебном заседании доказательств, анализ и оценка которым даны в приговоре.
Так, из показаний Бисенова А.А. данных в судебном заседании
следует, что он работая в ПАО МТС, в офисе продаж, расположенном по адресу:
<адрес>., будучи ознакомленным с документами, которые запрещали ему как
сотруднику указанной организации передавать персональные данные абонентов, за
денежные средства в размере 200 рублей, по предложению незнакомого лица,
связавшегося с ним в «Вконтакте» через акаунт «Larisa Pushko» предоставлял
персональные данные абонентов ПАО МТС. Ему присылали данные абонентов, а он
заходил в систему «Единое окно» искал дополнительные персональные данные,
фотографировал их и отправлял фотографии в программе «Телеграмм». Эти действия
выполнял около двух недель, затем его учетная запись была заблокирована, в этой
связи он стал использовать логин и пароль своих коллег, которые он подсмотрел.
Денежные средства ему поступали на яндекс кошелек.
Из явки с повинной Бисенова А.А. следует, что 03.11.2020,
используя учетную запись, принадлежащую сотруднику офиса АО «РТК» У.Г.Д.
осуществил доступ к информационной системе «Единое окно», позволяющую просматривать
персональные данные абонентов ПАО «МТС», совершил обращение к карточке абонента
Ч.А.Н., а также к карточке абонента К.Е.В., после чего, осуществил их
фотографирование и направил неизвестному ему лицу. (т. 1 л.д. 132)
Из показаний Бисенова А.А. данных на предварительном
следствии (т.1 л.д. 133-140, 151-157) оглашенных в заседании суда апелляционной
инстанции следует, что 24.09.2020 ему на используемую учетную запись « Илья
Михин» в социальной сети «В Контакте» от контакта с учетной записью «Larisa
Pushko» поступило предложение о продаже персональных данных абонентов ПАО
«МТС», в размере 200 рублей за одно обращение, на что он согласился. По
предложению контакта «Larisa Pushko», приславшего ему ссылку на учетную запись
@Freddy033, их общение перешло в мессенджер «Телеграмм». Заказ: с указанием
номера телефона и «Пробив» означал необходимость получения по номеру телефона
персональных данных абонента; с указанием «ФИО» человека, его паспортных данных
(в том числе фото паспорта) и «Актив», означал необходимость установления
активных телефонных номеров ПАО «МТС», зарегистрированных на указанные
персональные данные. С целью исполнения заказа, он посредством выданных ему
логина и пароля в «Едином окне» ПАО «МТС» вводя номер телефона получал доступ к
карточкам абонентов( их персональных данных), вводя персональные данные –
получал доступ к перечню активных абонентских номеров зарегистрированных на эти
данные. Получив доступ к персональным данным абонентов и номерам телефонов, он
осуществлял фотографирование экрана рабочего компьютера и пересылал фото
посредством мессенджера контакту «Mr. Freddy» - учетная запись @Freddy033. Для
получения вознаграждения он создал учетную запись в системе «Яндекс.Деньги»,
зарегистрировал кошелек, и с 25.09.2020 по 03.11.2020 он получил около 23тысяч
рублей. 04.10.2020 получив очередной заказ он не смог зайти в информационную
систему «Единое окно» ПАО «МТС», после чего написав в техподдержку, узнал, что
его учетная запись заблокирована на основании решения службы безопасности АО
«РТК». Об этом он сообщил @Freddy033, и по его совету, чтобы снять с себя
подозрение стал использовать учетную запись коллеги У.Г.Д. без ее ведома.
03.11.2020 он используя учетную запись и пароль У.Г.Д.
осуществил доступ к информационной системе «Единое окно» и осуществил обращение
к карточкам абонентов Ч.А.Н., К.Е.В. и зарегистрированным на них номерам
телефонов, скопировал информацию об указанных абонентах сфотографировав экран
рабочего компьютера на свой личный мобильный телефон марки «Xiaomi Redmi 9А» и
в тот же день передал эту информацию лицу- @Freddy033 посредством мессенджера
«Телеграмм», за что получил вознаграждение.
Согласно протоколу проведения ОРМ «Исследование предметов и
документов» от 03.11.2020, протоколу осмотра предметов от 09.11.2021, при
осмотре мобильного телефона (смартфона) марки «Xiaomi Redmi 9А», в корпусе
голубого цвета, IMEI 1: №, IMEI 2: №, S/N: 4XLREICE9HBES817, с вставленной сим
картой мобильного оператора «Мегафон» № и «МТС» № и DVD-R диска «SmartTrack»,
была обнаружена переписка Бисенова А.А. в интернет мессенджерах «Вконтакте» и
«WhatsApp» с пользователем «Larisa Pushko» и @Freddy033, из которой следует,
что 24.09.2020 пользователь с учетной записи «Larisa Pushko» предлагает
Бисенову А.А. предоставлять по номеру телефона персональные данные абонента,
сведения об активных номерах абонента, в день до 10-15 штук, иногда и до 30
штук, с оплатой за один пробив 200 рублей. Затем с этой же учетной записи, лицу
с учетной записью «Илья Михин» разъясняет, что необходимо при вошедшем в салон
клиенте зайти в карточку абонента в «Едином окне» и произвести фотографирование
информации, затем просит написать ему в «Телеграмм» пользователю @Freddy033
3.11.2020 в переписке с лицом с учетной записью Freddy Бисенов А.А. сообщает,
что он работает через других лиц, направляет фото карточек с персональными
данными абонентов Ч.А.Н., К.Е.В., получает запрос на пробив персональных данных
по абонентским номерам, а также поиск активных и неактивных абонентских номеров
конкретных лиц, а также отображения поступления денежных средств на счет
«Яндекс-Деньги» Бисенова А.А. с 25.09.2020 по 14.10.2020. (т. 1 л.д. 21-57,
222-260)
Из протокола осмотра предметов от 10.11.2021 следует, что
при осмотре CD-R диска, представленного АО «РТК», с ответом на запрос вх. №2/6652
от 25.11.2020, содержащего видеозапись и фотоизображения, с камеры
видеонаблюдения расположенной в офисе продаж U284 АО «РТК», по адресу: г,
Астрахань, <адрес> установлено, что на фото имеющих даты 02.10.2020,
14.10.2020, 03.11.2020 имеется изображение Бисенова А.А., который фотографирует
на мобильный телефон экран монитора; на видеозаписи имеется изображение
Бисенова А.А. и У.Г.Д., которые беседуют после проведения 03.11.2020
сотрудниками УФСБ России по Астраханской области оперативных мероприятий, в
ходе которой Бисенов А.А. сообщает, что он неоднократно, используя как свою
учетную запись, так и учетные записи У.Г.Д. и Б.О.П. осуществлял обращения к
информационной системе «Единое окно» для получения персональных данных
абонентов ПАО «МТС», используемых ими номеров., в целях фотографирования
информации с экрана монитора рабочего компьютера и передачи ее посредством сети
Интернет в мессенджере «Телеграмм» лицу, с которым он сотрудничал и который за
это перечислял ему денежные средства.(т. 2 л.д. 6-9)
Согласно протоколу осмотра предметов от 12.11.2021 в ходе
осмотра DVD-R диска фирмы «SmartTrack», представленного ПАО «МТС», с ответом на
запрос вх. №2/3656 от 03.06.2021, содержащего отчеты по выполненным операциям
информационной системы «Единое окно» под учетными записями
Бисенова А.А, У.Г.Д., Б.О.П., установлено, что с учетной записи У.Г.Д. ........
в 07:31:06 и в 10:28:40 запрошены подробные персональные данные абонентов
Ч.А.Н. и К.Е.В. соответственно.(т. 2 л.д. 25- 26)
Из показаний свидетеля У.Г.Д. следует, что работая в офисе
продаж и обслуживания U284 АО «Русская телефонная компания», расположенном по
адресу: <адрес>, в должности специалиста, она свой логин и пароль от
учетной записи никому не передавала. Персональные данные Ч.А.Н. и К.Е.В. не
смотрела. В день, когда сотрудники ФСБ проводили оперативные мероприятия,
иногородних клиентов в их офисе не было. После проведения сотрудниками УФСБ
мероприятий в офисе АО «РТК», Бисенов А.А. признался ей, что он неоднократно,
использовал как свою учетную запись, так и учетные записи, принадлежащие ей и
начальнику офиса Б.О.П., осуществлял обращения к информационной системе «Единое
окно» для получения информации о персональных данных абонентов ПАО «МТС»,
используемых ими номеров, в целях фотографирования информации с экрана монитора
рабочего компьютера и передачи ее посредством сети Интернет в мессенджере
«Телеграмм» лицу, с которым он сотрудничал и который за это перечислял ему
денежные средства.
Из показаний свидетеля Б.О.П. данных на предварительном
следствии следует, что свой логин и пароль от учетной записи для работы в
информационных сетях ПАО «МТС» она никому не передавала. С ней в офисе
постоянно работали сотрудники У.Г.Д. и Бисенов А. А. С 01 по 18.10.2020 она
находилась в очередном отпуске, доступ к информационным системам ПАО «МТС», в
том числе «Единое окно», она не осуществляла. 04.10.2020 в мессенджере
«Whatsapp» БисеновА.А. ей сообщил о проблеме с доступом в систему «Единое окно»
с использованием своей учетной записи «aabiseno». По выходу из отпуска
19.10.2020 через службу безопасности она узнала, что учетная запись Бисенова
А.А. заблокирована по причине подозрительных действий с нее и проведении по
поводу этого служебной проверки.
Из ее же показаний следует, что в конце сентября - начале
октября 2020 года, Бисенов А.А. во время рабочего дня сообщил ей и У.Г.Д., что
ему предлагают заработок, связанный с получением доступа к информации о
персональных данных абонентов ПАО «МТС» и передачей этих сведений третьему лицу
за денежное вознаграждение посредством сети Интернет, на что они сообщили
Бисенову А.А. о противоправности такой деятельности. 03.11.2020 у нее был
выходной, работу осуществляли только Бисенов А.А. и У.Г.Д.
Из показаний Б.О.П. также следует, что информационная
система «Единое окно» содержит в себе сведения об абонентах ПАО «МТС», среди
которых присутствуют как юридические лица, так и среди прочих физические лица
из числа представителей органов власти и управления, правоохранительных
органов, военнослужащих, лиц, осуществляющих трудовую деятельность на различных
важных государственных предприятиях. АО «РТК» использует для осуществления
своей деятельности различные информационные системы, принадлежащие ПАО «МТС», в
том числе систему «Единое окно». Данные сведения относятся к охраняемой
компьютерной информации ПАО «МТС», а само общество и дочернее АО «РТК» в свою
очередь обеспечивает безопасность такого рода информации. В результате действий
Бисенова А.А. была нарушена безопасность обрабатываемой в АО «РТК» и ПАО «МТС»
информации. (т. 2 л.д. 14-18).
Как следует из показаний свидетеля Ч.А.Н., абонентский №
зарегистрирован на его имя, находится в его пользовании примерно с 2008 года. В
ноябре 2020 года он не находился на территории г. Астрахани и Астраханской
области, в офисы ПАО «МТС», расположенные на территории г. Астрахани и
Астраханской области, ни он, ни его родственники, ни другие лица по его просьбе
не обращались. (т.1 л.д. 187-189).
Из показаний свидетеля К.Е.А. следует, что с момента
рождения она проживает в г. Санкт-Петербург. В ее пользовании находится
абонентский № сотового оператора ПАО «МТС», который оформлен на ее маму -
К.Е.В., поскольку был приобретен для нее, когда она являлась несовершеннолетней.
В период с 01 по 05.11.2020 она пользовалась данным номером телефона, и его
перерегистрацию не производила. В г. Астрахани и Астраханской области она
никогда не была, доверенностей от своего имени на обращение в какие-либо
организации никому не выдавала. (т. 1 л.д. 196-198).
Аналогичные показания были даны свидетелем К.Е.В., которая
также указала, что в г. Астрахани и Астраханской области она никогда не была.
(т. 1 л.д. 199-201).
Как следует из материалов дела 27.09.2016 в Единый
государственный реестр юридических лиц внесены сведения об основном виде
деятельности Публичного акционерного общества «Мобильные ТелеСистемы» (далее -
ПАО «МТС») -деятельности в области связи на базе беспроводных технологий(т. 2
л.д. 104-107).
Согласно Уставу ПАО «МТС», основной целью Общества является
извлечение прибыли путем оказания услуг связи на территориях, указанных в
лицензиях, выдаваемых Обществу уполномоченным органом государственной власти, и
осуществления иной хозяйственной деятельности. Для достижения данной цели ПАО
«МТС» осуществляет оказание услуг местной, внутризоновой, междугородней и
международной телефонной связи, оказание услуг подвижной радиотелефонной связи
и оказание услуг связи по передаче данных, включая услуги связи по передаче
данных для целей голосовой информации (т. 2 л.д. 95-103).
Согласно лицензии №168186 от 11.12.2018 она предоставлена
ПАО «МТС» на оказание услуг подвижной радиотелефонной связи на территории
Астраханской области (т. 2 л.д. 108-110).
Как следует из письма Федеральной службы по техническому и
экспортному контролю (ФСТЭК России) №240/82/2446дсп от 21.12.2020, ПАО «МТС»
осуществляет деятельность в сфере связи (предоставляет услуги сотовой и
проводной телефонной связи, широкополосного доступа в сеть «Интернет») и
согласно ст. 2 Федерального закона от 26.07.2017 №187-ФЗ «О безопасности
критической информационной инфраструктуры Российской Федерации», является
субъектом критической информационной инфраструктуры Российской Федерации, а
информационные системы управления, принадлежащие Обществу на законном основании
и обеспечивающие управленческие, технологические, производственные,
финансово-экономические и (или) иные процессы в рамках выполнения функций
(полномочий) или осуществления Обществом видов деятельности, являются объектами
критической информационной инфраструктуры. (т. 1 л.д. 84-86)
Из показаний специалиста Ж.А.Ф. - заместителя начальника
отдела Управления ФСТЭК России по Южному и Северо-Кавказскому федеральным
округам следует, что в соответствии со ст. 2 Федерального закона от 26.07.2017
№ 187-ФЗ «О безопасности критической информационной инфраструктуры Российской
Федерации», к субъектам критической информационной инфраструктуры относятся -
государственные органы, государственные учреждения, российские юридические лица
и (или) индивидуальные предприниматели, которым на праве собственности, аренды
или на ином законном основании принадлежат информационные системы,
информационно-телекоммуникационные сети, автоматизированные системы управления,
функционирующие в сфере здравоохранения, науки, транспорта, связи, энергетики,
банковской сфере и иных сферах финансового рынка, топливно-энергетического
комплекса, в области атомной энергии, оборонной, ракетно-космической,
горнодобывающей, металлургической и химической промышленности, российские юридические
лица и (или) индивидуальные предприниматели, которые обеспечивают
взаимодействие указанных систем или сетей. Объектами критической информационной
инфраструктуры являются - информационные системы,
информационно-телекоммуникационные сети, автоматизированные системы управления
субъектов критической информационной инфраструктуры.
В соответствии с ч. 1 ст. 53 Федерального закона от
07.06.2003 № 126-ФЗ «О связи», сведения об абонентах и оказываемых им услугах
связи, ставшие известными операторам связи в силу исполнения договора об
оказании услуг связи, являются информацией ограниченного доступа и подлежат
защите в соответствии с законодательством Российской Федерации.
К сведениям об абонентах относятся фамилия, имя, отчество
или псевдоним абонента - гражданина, наименование (фирменное наименование)
абонента юридического лица, фамилия, имя, отчество руководителя и работников
этого юридического лица, а также адрес абонента или адрес установки оконечного
оборудования, абонентские номера и другие данные, позволяющие идентифицировать
абонента или его оконечное оборудование, сведения баз данных систем расчета за
оказанные услуги связи, в том числе, о соединениях, трафике и платежах
абонента. Предоставление третьим лицам сведений об абонентах-гражданах может осуществляться
только с их согласия, за исключением случаев, предусмотренных настоящим
Федеральным законом и другими федеральными законами.
ПАО «МТС» ведущая компания в Российской Федерации и странах
СНГ по предоставлению услуг мобильной и фиксированной связи, доступа в
интернет, кабельного и спутникового ТВ-вещания, цифровых сервисов и мобильных
приложений, финансовых услуг и сервисов электронной коммерции. ПАО «МТС» играет
большую роль в информационной инфраструктуре Российской Федерации, как ранее,
так и в настоящий момент ПАО «МТС» участвует в крупнейших национальных проектах
по подключению к сети «Интернет» социально значимых объектов Российской
Федерации и является исполнителем государственных контрактов. ПАО «МТС»
является контрагентом соглашений, предметом которых является обеспечение
безопасности объектов в сфере информационной безопасности и противодействия
компьютерным атакам на различного рода объекты. ПАО «МТС» активно развивает
финансово -технические услуги и услуги информационной безопасности и благодаря
своей компетенции вносит существенный вклад в повышение защищенности
национальной платежной системы. ПАО «МТС» является субъектом противодействия
кибератакам на различного рода сферы, в том числе, и финансовую.
В соответствии с п.п. «а», «г» п. 5 Правил категорирования
объектов критической информационной инфраструктуры РФ, утвержденных
Постановлением Правительства РФ от 08.02.2018 № 127 «Об утверждении Правил
категорирования объектов критической информационной инфраструктуры Российской
Федерации, а также перечня показателей критериев значимости объектов
критической информационной инфраструктуры Российской Федерации и их значений»,
в перечень объектов критической информационной инфраструктуры, подлежащих
категорированию, включаются только объекты критической информационной
инфраструктуры, реализующие - управленческие, технологические,
производственные, финансово-экономические и (или) иные процессы в рамках
выполнения функций (полномочий) или осуществления видов деятельности субъекта
критической информационной инфраструктуры, нарушение и (или) прекращение
которых, может привести к негативным социальным, политическим, экономическим,
экологическим последствиям, последствиям для обеспечения обороны страны,
безопасности государства и правопорядка.
Согласно «Методическим рекомендациям по категорированию
объектов критической информационной инфраструктуры, принадлежащих субъектам
критической информационной инфраструктуры, функционирующих в сфере связи»
Общественно-государственного объединения «Ассоциация документальной
радиосвязи», согласованным с Общественно-государственным объединением
«Ассоциация документальной радиосвязи» (протокол от 27.03.2019), 8 Центром ФСБ
России (исх. №149/2/7-370 от 05.04.2019), ФСТЭК России (исх. №240/25/1221 от
18.03.2019), а также «Методическим рекомендациям по определению и
категорированию объектов критической информационной инфраструктуры
топливно-энергетического комплекса», согласованным с Минэнерго России (исх. №4
А-863 0/15 от 31.07.2019), ФСТЭК России (исх. №240/25/4048 от 26.08.20219),
отнесение любого государственного органа, государственного учреждения,
российского юридического лица к субъектам критической информационной
инфраструктуры осуществляется, исходя из его соответствия первым двум условиям
(одновременно) или третьему условию: 1) государственный орган, государственное
учреждение, российское юридическое лицо осуществляет один или несколько из
основных видов своей деятельности в одной или нескольких сферах (областях)
деятельности, предусмотренных п. 8 ст. 2 ФЗ №187-ФЗ; 2) государственному
органу, государственному учреждению, российскому юридическому лицу принадлежат
на праве собственности, аренды или на ином законном основании любые ИС, ИТКС и
АСУ; 3) Российское юридическое лицо обеспечивает взаимодействие ПС, ИТКС и АСУ,
принадлежащих государственному, не государственному учреждению, российскому
юридическому лицу, осуществляющему свою деятельность в одной или нескольких
сферах (областях) деятельности, предусмотренных п. 8 ст. 2 ФЗ №187-ФЗ.
Таким образом, в соответствии с вышеуказанными нормами
действующего законодательства ПАО «МТС» является субъектом критической
информационной инфраструктуры Российской Федерации, а информационные системы,
информационно-телекоммуникационные сети, автоматизированные системы управления,
функционирующие в сфере связи, принадлежащие Обществу на законном основании, -
объектами критической информационной инфраструктуры, не зависимо от того,
закатегорированы ли они или нет. Иными словами, если даже объект критической
информационной инфраструктуры не обеспечивает критические процессы, он не
перестает быть объектом критической информационной инфраструктуры, поэтому
составление перечня объектов критической информационной инфраструктуры не нужно
путать с перечнем объектов критической информационной инфраструктуры,
подлежащих категорированию. (т. 2 л.д. 133-137).
Из показаний специалиста Ж.А.Ф. в заседании суда
апелляционной инстанции следует, что по акту категорирования определяется
перечень информационных систем, из которых определяется перечень значимых и
которым присваивается категория значимости «1, 2, 3», однако другие
информационные системы, функционирующие в сфере связи не перестают быть
объектом КИИ, и в отношении них не обязательно проводить категорирование, они
являются не значимыми объектами КИИ. То обстоятельство, что АО «Русская
телефонная компания» - дочь ПАО «МТС», сама не действует в сфере связи, что
через систему «Единое окно» не имеется доступа к иным системам, по ФЗ №187-ФЗ
не имеет существенного значения.
Из показаний представителя потерпевшего В.Д.В., данных им в
ходе предварительного следствия и оглашенных в судебном заседании, следует, что
АО «Русская Телефонная Компания» является дочерней компанией по отношению к ПАО
«МТС» и по данной причине все локальные акты АО «РТК» созданы по аналогии с
локальными актами ПАО «МТС» и содержат аналогичные нормы. АО «РТК» вправе
пользоваться имеющимися ресурсами, в том числе, информационными, которые, в
свою очередь, принадлежат ПАО «МТС». ПАО «МТС» относится к субъектам
критической информационной инфраструктуры Российской Федерации. ПАО «МТС»
является исполнителем государственных контрактов, в том числе в интересах
органов власти, правоохранительных и правоприменительных органов, заключает
различного рода соглашения, предметом которых является обеспечение безопасности
объектов в сфере информационной безопасности и противодействия компьютерным
атакам на различного рода объекты. В целях выполнения требований Федерального
закона от 26.07.2017 № 187-ФЗ «О безопасности критической информационной
инфраструктуры Российской Федерации» ПАО «МТС» в 2019 г. создана комиссия по
категорированию объектов критической информационной инфраструктуры ПАО «МТС».
Проведено категорирование объектов критической информационной инфраструктуры с
направлением во ФСТЭК России перечня таких объектов. Разработан технический
проект на создание системы безопасности объектов КИИ ПАО «МТС». Информационные
базы ПАО «МТС», в том числе, и информационная система «Единое окно», правом
пользования которой обладает дочернее ПАО «МТС» АО «РТК», позволяет получать
доступ к охраняемой ПАО «МТС» компьютерной информации, содержащейся в
критической информационной структуре Российской Федерации, посредством
просмотра персональных данных владельцев абонентских телефонных номеров ПАО
«МТС». Сведения о персональных данных абонентов компании (фамилия, имя, отчество,
адрес абонента, абонентские номера и другие данные, позволяющие
идентифицировать абонента или его оконечное оборудование, сведения баз данных
систем расчета за оказанные услуги связи, в том числе, о соединениях, трафике и
платежах абонента) являются охраняемой федеральными законами: «О связи», «Об
информации, информационных технологиях и о защите информации», «О персональных
данных» компьютерной информацией, а также коммерческой тайной компании.
Предоставление третьим лицам сведений об абонентах-гражданах может
осуществляться только с их согласия. Порядок получения, предоставления и работы
с персональными данными абонентов АО «РТК» строго регламентирован внутренними
нормативно-правовыми актами. Неправомерный доступ сотрудников АО «РТК» к
информационным системам ПАО «МТС» является нарушением установленного в
соответствии с внутренними нормативными актами режима безопасности баз данных
ПАО «МТС», в которых содержатся сведения конфиденциального характера о
персональных данных абонентов, а также нарушением законодательства РФ о связи,
защите информации, в том числе, содержащейся в критической информационной
инфраструктуре РФ. В результате такого рода неправомерных действий сотрудников
АО «РТК» наносится ущерб деловой репутации ПАО «МТС», выражающийся в том, что о
данном факте становится известно большому кругу лиц, в частности о данном факте
узнают лица, которые совместно с нарушителем осуществляют трудовую
деятельность, а также различного рода учреждения и организации, куда в ходе
осуществления оперативно-розыскных мероприятий компетентными
правоохранительными органами направляются запросы о предоставлении различного
рода сведений. Помимо этого, лица, чьи персональные данные были неправомерно
истребованы из информационной системы «Единое окно» и возможно переданы третьим
лицам без их согласия, в ходе проведения оперативно-розыскных мероприятий
опрашиваются правоохранительными органами и таким образом им становится
известно о факте совершения тем или иным сотрудником АО «РТК» неправомерного
доступа к их персональным данным, что не исключает того факта, что в
последующем данные лица могут сменить оператора сотовой связи, сообщить об этом
своим родственникам, друзьям и знакомым, а также заявить исковые требования к
ПАО «MTC». В случае возбуждения уголовного дела в отношении нарушившего режим
безопасности сотрудника АО «РТК» и последующего его осуждения, после вступления
приговора в законную силу, он может быть оглашен общественности в средствах
массовой информации, что также может повлечь негативные для ПАО «МТС» последствия.
Физические лица и государственные организации, которые являются клиентами ПАО
«МТС» могут перестать заключать договора на оказания услуг с организацией.
Также в случае огласки данного факта в средствах массовой информации, подобного
рода сведения могут быть использованы прямыми конкурентами ПАО «МТС» для
дискредитации общества в глазах граждан и иных организаций, которые могут
являться потенциальными клиентами организации. Совокупность изложенного
свидетельствует о факте причинения вреда ПАО «МТС» как критической
информационной инфраструктуре РФ, в том числе, в виде нарушения безопасности
обрабатываемой информации, а также дискредитации деловой репутации ПАО «МТС»,
выразившейся в разглашении конфиденциальных сведений о персональных данных
граждан РФ, являющихся абонентами ПАО «МТС».
Из его же показаний следует, что информационная система
«Единое окно», к которой осуществлял неправомерный доступ Бисенов А.А.,
содержит в себе сведения об абонентах - пользователях ПАО «МТС», среди которых
имеются юридические лица, специальные субъекты, такие как судьи, сотрудники
правоохранительных органов, военнослужащие, лица, осуществляющие свою трудовую
деятельность на специальных государственных объектах. Данные сведения относятся
к охраняемой компьютерной информации ПАО «МТС», а само общество и дочернее АО
«РТК» в свою очередь обеспечивает безопасность такого рода информации. В
результате действий Бисенова А.А. была нарушена безопасность обрабатываемой в
АО «РТК» и ПАО «МТС» информации. Своими действиями Бисенов А.А. причинил ущерб
ПАО «МТС» и АО «РТК» в виде нарушения безопасности обрабатываемой информации, а
также дискредитации деловой репутации ПАО «МТС», выразившейся в разглашении
конфиденциальных сведений о персональных данных граждан РФ, являющихся абонентами
ПАО «МТС». (т. 1 л.д. 172-177).
Аналогичные показания были даны свидетелем М.М.Н. -
начальником службы безопасности филиала ПАО MTC в Астраханской области. (т.2
л.д. 1-5)
То обстоятельство, что Бисенов А.А. совершил преступление,
используя свое должностное положение, помимо приведенных доказательств,
подтверждается:
-приказом от 27.07.2020 № 000032-П-0605 согласно которому он
назначен на должность помощника специалиста офиса продаж U284 Акционерного
общества «Русская телефонная компания» (далее - АО «РТК»), по адресу:
<адрес>, с последующим назначением по истечении 3 месяцев испытательного
срока на должность специалиста. (т.1 л.д.61);
- трудовым договором № 000032-20-0605 от 27.07.2020 и
должностной инструкцией, согласно которым Бисенов А.А. обязан в том числе, не
вести переговоры, не передавать информацию третьим лицам от имени работодателя
без доверенности или специальных полномочий оговоренных письменно; не
требовать, не давать согласие на получение или получать любые платежи в виде
денежных средств или любых иных ценностей, а также любую финансовую или иную
выгоду или преимущество, если получение таких платежей, выгод или преимуществ,
само по себе является ненадлежащим выполнением должностных или иных
предусмотренных законом обязанностей, или является вознаграждением за
ненадлежащее выполнение таких обязанностей; обеспечивать обработку персональных
данных, включая сбор, накопление, хранение, уточнение (обновление изменение),
использование, распространение (в том числе передачу), обезличивание, блокирование,
уничтожение персональных данных; обеспечивать сохранность конфиденциальной
информации и информации, составляющей коммерческую тайну компании; соблюдать
корпоративные требования по информационной безопасности, установленных
локальными нормативными актами компании (т. 1 л.д. 62- 71,72-78);
- приложениями к трудовому договору согласно которым
27.07.2020 Бисенов А.А. ознакомлен с регламентом процесса «Организации
делопроизводства с материальными носителями информации, составляющими
конфиденциальную информацию АО «РТК», политикой: «Положением о режиме
безопасности информации (конфиденциальности в АО «РТК», «Обработкой
персональных данных в АО «РТК», «Соблюдением антикоррупционного
законодательства», «Информационной безопасностью АО «РТК», и обязался: не разглашать
сведения, составляющие коммерческую тайну работодателя, и иную конфиденциальную
информацию, ставшую ему известной в процессе выполнения трудовых обязанностей;
выполнять требования локальных нормативных актов работодателя по обеспечению
защиты информации; в случае попытки посторонних лиц получить от Бисенова А.А.
защищаемые сведения немедленно сообщить об этом непосредственному руководителю
и в Блок безопасности работодателя; сохранять ставшую ему известной в связи с
трудовой деятельностью служебную тайну министерств и ведомств, а также
коммерческую тайну тех контрагентов, с которыми у работодателя имеются деловые.
(партнерские) отношения; не использовать сведения конфиденциального характера
АО «РТК» для занятия коммерческой деятельностью и получения личной выгоды. (т.
1 л.д. 66-71, т.2 л.д. 129).
Из показаний свидетеля Д.Р.Н. -руководителя сети офисов АО
«Русская телефонная компания» в Астраханской области, следует, что АО «РТК»
является дочерней компанией ПАО «МТС», в связи с чем, локальные акты АО «РТК»
дублируются с локальными актами ПАО «МТС». ПАО «МТС» относится к субъектам
критической информационной инфраструктуры Российской Федерации. Информационные
базы ПАО «МТС», которые использует АО «РТК», и к которым имеют доступ его
сотрудники, позволяют получать доступ к охраняемой ПАО «МТС» компьютерной
информации, содержащейся в критической информационной структуре Российской
Федерации посредством просмотра персональных данных владельцев абонентских
телефонных номеров ПАО «МТС», истребования детализаций звонков абонентов
сотовой связи ПАО «МТС», среди которых также имеются и специальные субъекты,
сотрудники государственных министерств и ведомств, государственных корпораций и
предприятий, военных частей, органов безопасности, судебной системы. Порядок получения,
предоставления и работы с персональными данными «абонентов ПАО «МТС» в АО «РТК»
строго регламентирован внутренними нормативно-правовыми актами. Сотрудникам АО
«РТК» запрещается: оставлять без контроля на рабочем месте документы,
содержащие конфиденциальную информацию, а также предоставлять к ним доступ и
знакомить с ними третьих лиц; пересылать конфиденциальную информацию с помощью
незащищенных каналов связи, например с использованием социальных сетей и
мессенджеров (Viber, WhatsApp, Telegram и др.); разглашать конфиденциальную
информацию независимо от ее формы представления третьим лицам; предпринимать
попытки доступа и осуществлять доступ к сведениям, составляющим
конфиденциальную информацию, при отсутствии служебной необходимости,
согласованной с руководителем; снимать копии с документов и других носителей,
содержащих информацию, составляющую конфиденциальную информацию, без служебной
необходимости, в том числе, производить фотографирование конфиденциальных
документов; использовать такую информацию при занятии другой деятельностью, в
том числе, в личных целях. Разглашение конфиденциальной информации, утрата ее
носителей, передача третьим лицам, а также использование для занятия любой
деятельностью, которая может нанести ущерб компании, влечет установленную
ответственность, в том числе, и уголовную. Каждый сотрудник компании,
участвующий в рамках своих функциональных обязанностей в процессах
автоматизированной обработки персональных данных, несет персональную
ответственность за свои действия и обязан знать, и соблюдать установленные
компанией правила обеспечения безопасности персональных данных. При обработке
персональных данных запрещается: осуществлять несанкционированное копирование
персональных данных на съемные носители информации; принимать и передавать
съемные носители информации и документы, содержащие персональные данные, без
соответствующего разрешения и оформления в установленном порядке.
Пользователями, получающими доступ к персональным данным, обрабатываемым в
информационной системе, должна обеспечиваться конфиденциальность таких данных.
Персональную ответственность за обеспечение режима конфиденциальности при
обработке персональных данных несет исполнитель, выполняющий такую обработку.
Любое обслуживание абонента с использованием данных, полученных в
информационных системах, должно производиться только при личном визите абонента
в салон, либо при визите доверенного лица абонента. Заочное обслуживание
абонентов, либо обслуживание по телефону, электронной почте и т.п. запрещено и
влечет за собой соответствующее разбирательство и установленную законом
ответственность. В случаях попыток получения конфиденциальной информации
посторонними лицами, сотрудниками других подразделений, не пользующихся ею в
своей работе, а также бывшими сотрудниками компании, необходимо немедленно
проинформировать руководство и сотрудников внутренней безопасности для принятия
соответствующих мер в соответствии с компетенцией. Для идентификации при входе
в используемые АО «РТК» информационные; системы ПАО «МТС», в частности
информационной системы «Единое окно», позволяющей также просматривать
персональные данные абонентов, сведения о зарегистрированных на них телефонных
номерах, услугах связи, тарифных планов, каждому сотруднику, имеющему на это
право, присваивается уникальное имя (логин) и пароль. На сотрудника возлагается
обязанность по неразглашению ставших ему известных сведений, дающих доступ, в
том числе, в «Единое окно». В соответствии с положениями локальных нормативных
актов сотрудники компании, имеющие доступ к информационным системам в которых
содержится охраняемая компьютерная информация, обязаны выполнять все
установленные в компании требования безопасности; сотрудники компании при
трудоустройстве под роспись ознакамливаются с нормативными документами по обеспечению
информационной безопасности; сотрудники компании информируют своего
непосредственного руководителя и сотрудников внутренней безопасности обо всех
обнаруживаемых ими нарушениях установленных требований безопасности и или
возникших подозрениях о возможности таких нарушений. При любой передаче
(копирование на другие источники) электронных конфиденциальных сведений объем и
состав передаваемых сведений, круг лиц, получающих возможность доступа после
передачи должны строго соответствовать выполняемой служебной задаче.
Ответственность за выполнение данного правила возлагается на сотрудника,
инициирующего передачу сведений. Сотрудники АО «РТК», допущенные к работе с
охраняемой федеральным законом информацией, в обязательном порядке, под подпись
знакомятся с вышеуказанными нормативно-правовыми актами.
Из его же показаний следует, что Бисенов А.А. осуществлял
свою трудовую деятельность в офисе продаж АО «РТК» U284 - салоне сотовой связи
ПАО «МТС», расположенном по адресу: <адрес>. Бисенов А.А. при
трудоустройстве был под роспись ознакомлен со всеми локальными нормативными
актами АО «РТК», регулирующими отношения в сфере работы с персональными данными
клиентов АО «РТК» (фамилия, имя, отчество, домашний адрес, данные паспорта,
сведения об оказании абоненту услуг сотовой связи, наличие номеров, телефонов,
принадлежащих абоненту, является ли человек абонентом сети «МТС», любые другие
сведения о нем), которые, в свою очередь, являются информацией ограниченного
доступа, охраняемой Федеральным законом от 07.06.2003 № 126-ФЗ «О связи»,
персональными данными, охраняемыми Федеральным законом от 27.07.2006 № 152-ФЗ
«О персональных данных», конфиденциальной информацией, охраняемой Федеральным
законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о
защите информации», компьютерной информацией, охраняемой Уголовным кодексом РФ.
Рабочее место Бисенова А.А., располагалось в офисе продаж АО «РТК» U284 -
салоне сотовой связи ПАО «МТС», расположенном по адресу: <адрес>.
Указанный офис имеет два автоматизированных рабочих места оборудованных
компьютерами с операционной системой Windows, на которых помимо прочего
установлены информационные системы, позволяющие получать доступ к охраняемой
компьютерной информации ПАО «МТС». Такими системами, в частности являются «Единое
окно», «Marti», «Siebel». Бисенов А.А. был наделен правом пользования
информационной системой «Единое окно» в указанном офисе продаж. Информационные
системы и программное обеспечение, установленное на рабочих местах в офисе
продаж позволяет просматривать персональные данные абонентов - ФИО, дата
рождения, паспортные данные тарифный план, остаток денежных средств на счете,
создавать новые договора, активировать сим-карты, производить обслуживание
действующих абонентов и регистрацию новых клиентов. Вход в эти программы
защищен с помощью уникальных, индивидуальных для каждого работника логина и
пароля. Данные логин и пароль известны только им. Предоставлять информацию по
номеру абонентов, их персональные данные, иную конфиденциальную информацию,
детализации счета клиента, личные данные абонентов - охраняемой федеральными
законами и информацией, охраняемой нормативно - правовыми актами АО «РТК»,
возможно только при личном присутствии абонента или доверенного лица при
последующей их идентификации. В ином случае, неправомерный доступ к базе данных
компании, и копирование информации, охраняемой федеральными законами и
информации, охраняемой нормативно - правовыми актами АО «РТК» является
грубейшим нарушением нормативно-правовых актов в части разглашения строго конфиденциальной
информации АО «РТК», так и законодательства Российской Федерации в сфере работы
с охраняемой законом компьютерной информацией.
Информационная система «Единое окно», к которой осуществлял
неправомерный доступ Бисенов А.А. содержит в себе сведения об абонентах -
пользователях ПАО «МТС», среди которых имеются юридические лица, специальные
субъекты, такие как судьи, сотрудники правоохранительных органов,
военнослужащие, лица, осуществляющие свою трудовую деятельность на специальных
государственных объектах. Данные сведения относятся к охраняемой компьютерной
информации ПАО «МТС», а само общество и дочернее АО «РТК» в свою очередь
обеспечивает безопасность такого рода информации. В результате действий
Бисенова А.А. была нарушена безопасность обрабатываемой в АО «РТК» и ПАО «МТС»
информации. Своими действиями Бисенов А.А. причинил ущерб ПАО «МТС» и АО «РТК»
в виде нарушения безопасности обрабатываемой информации, а также дискредитации
деловой репутации ПАО «МТС», выразившейся в разглашении конфиденциальных
сведений о персональных данных граждан РФ, являющихся абонентами ПАО «МТС». (т.
1 л.д. 202-208).
Как следует из справки от 02.10.2020 о фактах неправомерных
обращений к персональным данным абонентов ПОА «МТС» сотрудником офиса продаж
U284 АО «РТК» (г. Астрахань), сотрудниками отдела защиты тайны связи Единого
Центра комплексной безопасности выявлены неправомерные обращения к персональным
данным абонентов ПАО «МТС», совершенных в ИС Единое Окно под учетной записью
принадлежащей специалисту офиса продаж АО «РТК» U284 - салоне сотовой связи ПАО
«МТС», (<адрес>) Бисенову А.А.
Так, с 29.09.2020 по 02.10.2020 под учетной записью
принадлежащей Бисенову А.А. в ИС Единое Окно (старый кластер) совершено 43
операции по поиску ФИО за короткие промежутки времени между обращениями к
абонентским номерам различных регионов обслуживания, 16 операций по поиску
паспортных данных принадлежащих также различным регионам обслуживания.
Отсутствие взаимодействий сервисных запросов в CRM Siebel, подтверждающих
правомерность обращений, по 15 абонентским номерам, не принадлежащим
фактическому региону обслуживания. Обращения фиксируются также в ИС Единое Окно
(новый кластер).
По видеоматериалам с камер СВН за указанный период
установлено, что сотрудник обращается к телефону, затем набирает информацию на
клавиатуре, действия производятся как во время обслуживания клиентов, так и при
их отсутствии.
Производится фотосъемка монитора. (т. 2 л.д. 127- 129).
Дав надлежащую оценку этим и другим исследованным
доказательствам, приведенным и проанализированным в приговоре, суд первой
инстанции правильно пришел к выводу, что Бисенов А.А. используя свое служебное
положение, осуществил неправомерный доступ к охраняемой компьютерной
информации, содержащейся в критической информационной инфраструктуре Российской
Федерации, что повлекло причинение вреда критической информационной структуре
Российской Федерации, и привел соответствующие мотивы, не согласиться с
которыми оснований не имеется.
Фактические обстоятельства содеянного судом установлены
верно, и с достаточной полнотой.
Доказательства, положенные в основу приговора, обоснованно
признаны судом достоверными, допустимыми, а в своей совокупности, достаточными
для разрешения уголовного дела. Оценка доказательствам дана судом в
соответствии с требованиями ст. 88 УПК Российской Федерации и сомнений не
вызывает. Судом в приговоре приведены мотивы, по которым он принял одни
доказательства и отверг другие.
Предварительное расследование и судебное разбирательство по
уголовному делу проведены в соответствии с требованиями
уголовно-процессуального закона, полно, всесторонне и объективно.
Правовая оценка действиям Бисенова А.А. по ч.4 ст.274.1 УК
Российской Федерации дана верная.
Обстоятельства, подлежащие доказыванию, предусмотренные ст.
73 УПК Российской Федерации, в частности дата, время совершения преступления,
вопреки доводам жалобы, судом первой инстанции установлены и приведены в
приговоре со ссылкой на исследованные доказательства, из которых усматривается,
что неправомерный доступ к информации, ее копирование и передача третьим лицам
осуществлены 03.11.2020.
Изложение судом действий, совершенных Бисеновым А.А.,
связанным с осуществлением неправомерного доступа к охраняемой компьютерной
информации, содержащейся в критической информационной инфраструктуре Российской
Федерации и причинению в их результате вреда, в том числе и те, на которые
имеется ссылка в жалобе, не свидетельствует о нарушении судом первой инстанции требований
ст. 252 УПК Российской Федерации о пределах судебного разбирательства, и не
дают оснований для иного толкования вреда, как конструктивного признака состава
преступления, предусмотренного ч.4 ст. 274.1 УК Российской Федерации.
Доводы жалобы о том, что суд не привел в приговоре мотивов,
по которым он пришел к выводу о том, что база данных ПАО «МТС» является
охраняемой компьютерной информацией, содержащейся в критической информационной
инфраструктуре Российской Федерации, нельзя признать обоснованными, поскольку в
приговоре приведены положения законодательства и доказательства, на основе
которых суд первой инстанции пришел к такому выводу.
Что касается показаний представителя потерпевшего В.Д.В.
данных в судебном заседании суда первой инстанции, изменившего позицию
относительно объектов критической информационной инфраструктуры ПАО «МТС»,
указав, что информационная система «Единое окно» не относится к таковым, и,
писем о предоставлении информации от 01.12.2021 № ЮГ 09/00472и, от 10.11.2021 №
ЮГ 09/00434и содержащими аналогичные сведения, в связи с чем, полагал, что
действия Бисенова А.А. необходимо квалифицировать по ст. 272 УК Российской
Федерации, то суд первой инстанции, давая оценку этим его показаниям,
обоснованно их отверг, поскольку эти доводы опровергаются показаниями
специалиста Ж.А.Ф., свидетеля Д.Р.Н., М.М.Н., а также противоречат положениям
п.7 и п.8 ст.2 Федерального Закона от 26.07.2017 № 187-ФЗ «О безопасности
критической информационной инфраструктуры Российской Федерации». При этом обоснованно
сослался на его показания данные в ходе предварительного следствия, как на
доказательство виновности, поскольку они согласуются с иными доказательствами,
взятыми судом за основу выводов о виновности Бисенова А.А.
В заседании суда апелляционной инстанции был допрошен
свидетель П.И.Н.- руководитель направления отдела систем информационной
безопасности блока безопасности корпоративного центра группы компаний МТС, из
показаний которого следует, что ПАО «МТС» является субъектом критической
информационной инфраструктуры в соответствии со ст.2 ФЗ РФ-187 «О критической
информационной инфраструктуре», так как осуществляет деятельность в сфере
связи, которая попадает под регулирование этого закона. К критической
информационной инфраструктуре отнесены системы, которые реализуют критические
процессы, определенные в Постановлении Правительства РФ №127. К этим системам
ПАО «МТС» относится автоматизированная система управления мониторинга сети и
связи, системы, которые являются составной частью оборудования сети связи, и
как правило все эти системы разрабатываются непосредственно производителями
оборудования, то есть «Эриксон», «Нокиа», «Хуавей», «Нек», «Интраком» и другие
производители сетевого оборудования сети и связи. Системы, которые осуществляют
мониторинг работы оборудования, отнесены к объектам критической информационной
инфраструктуры. Также к объектам критической информационной инфраструктуры
отнесены выделенные транзитные пункты сигнализации, это системы управления
сигнализации сообщений. Вся связь строится за счет передачи сообщений о том,
какой абонент, какое устройство, с чем связывается и те сигналы, которые
организуют взаимодействие через сети связи, начиная с Владивостока до
Калининграда, сопровождаются сигнальными сообщениями. Системы управления этими
сигнальными сообщениями также отнесены к объектам критической инфраструктуры и
прокатегорированы. Два этих типа объекта были отнесены к ним на основании того,
что в соответствии с Постановлением Правительства РФ №127 они должны были
определить критические процессы, которые компанией реализуются в рамках именно
тех показателей и критериев значимости, указанных в этом же Постановлении
Правительства и определить те объекты, которые к ним относятся. Для этого в
компании создана постоянно действующая комиссия и на основании решения комиссии
выделы именно эти критические процессы и объекты.
Категорирование - это процедура определения критерия
значимости объектов критической информационной инфраструктуры, поскольку в
соответствии с законодательством установлены три категории объектов критической
информационной инфраструктуры в зависимости от их социального, политического,
экономического влияния.
В соответствии с Постановлением Правительства РФ №127 в ПАО
«МТС» имеется акт категорирования объектов и к перечню систем относятся системы
управления компаниями «Эриксон», «Нокия», «Хуавей». В ПАО «МТС» 33 системы
управления и 2 выделенных транзитных пункта сигнализации. В этом акте системы
управления «Единое окно» нет.
Система «Единое окно» представляет собой интерфейс для
доступа к ЦРС системам. Это системы, которые предназначены для автоматизации
обслуживания абонентов и обслуживания розничных точек продаж. Сама система
«Единое окно» представляет собой комплекс серверного оборудования и клиентских
интерфейсов установленных в офисах продаж и по сути является способом доступа к
ЦРМ системам МТС. Это веб интерфейс для доступа к ЦРМ системам. Информация
содержащая непосредственно в системе «Единое окно» не относится к информации
содержащейся в критической информационной инфраструктуре, потому что не
является ее объектом, исходя из определения объекта КИИ, субъекта КИИ.
Информация, содержащаяся в «Едином окне» не является информацией обрабатываемой
в критической информационной инфраструктуре.
Статья 1 Федерального закона РФ говорит о том, что
обеспечение безопасности критической информационной инфраструктуры РФ
осуществляется в целях ее устойчивого функционирования при проведении в
отношении нее компьютерных атак. Относительно информации обрабатываемой в КИИ и
влияния деструктивных воздействий на эту информацию, с точки зрения
функционирования критической информационной инфраструктуры, то к такой
информации прежде всего относятся сведения об архитектуре этой системы,
сведения об используемых средствах защиты, механизмов защиты, используемых
протоколов межсетевого взаимодействия, сведения о работоспособности системы,
сведения относящиеся к мониторинговым данным того же серверного оборудования,
насколько загружены процессоры, оперативная память, хранилище данных.
Располагая этими сведениями потенциальные нарушители могут использовать их для
нанесения вреда непосредственно самой инфраструктуре в виде конструктивного
воздействия на ее непрерывность функционирования, именно обладая сведениями о
самой инфраструктуре можно на нее повлиять и каким-то образом дискредитировать,
остановить ее работу. Сведения, обрабатываемые в системе «Единое окно», в том
числе, сведения об абонентах, сведения о персональных данных, обращение к ним,
создание запросов для того, чтобы получать эти сведения через систему «Единое
окно», на само функционирование информационной инфраструктуры влияние не
оказывают. Есть штатный функционал, предназначенный для сотрудников офисов
продаж в помощь при обслуживании абонентов. Когда приходит абонент по каким-то
вопросам и в зависимости от сценария обслуживания в офисе продаж вызывается
карточка этого абонента. Допускается такой правомерный доступ, он прописан в
наших инструкциях, сотрудники с ним знакомятся и проходят обучение по этим
направлениям и обращаясь к данной информации он ее получает правомерно. Это
могут быть вопросы, связанные с тарифными планами. В системе «Единое окно»
сотрудник офиса продаж видит какой тарифный план у абонента, может делать ему
предложения, изменения, продавать услуги, для того чтобы общаться и понимать
кто перед ним находится, какой абонент. Эта же информация, располагающаяся в
системе «Едином окне» и получаемая с помощью этой системы может обрабатываться
только в тех случаях, которые описаны при обслуживании абонентов. То есть при
непосредственном обслуживании абонентов, в случае если же обращение к этой
информации будет проводиться в нарушение этого порядка в отсутствие абонента,
то по сути это является неправомерным доступом. По правилам, с которыми
сотрудники знакомятся, они могут это делать только в определенных случаях,
заниматься этим самостоятельно — это неправомерный доступ к персональным данным
об абоненте в рамках закона «О связи» и других сведениях.
ПАО «МТС» оказывает услуги в сфере связи. Информационная
система «Единое окно» является информационной системой АО «Русская телефонная
компания» - это дочь ПАО «МТС», входящая в группу компаний. Эта компания
осуществляет деятельность в сфере продаж, обслуживания, не подпадающих под
определение субъекта критической информационной инфраструктуры. Эта система
дальше взаимодействует с иными системами МТС, но сама система «Единое окно»
принадлежит АО «Русская телефонная компания», мы работаем все вместе, в группе
компаний у нас есть совместные вопросы по эксплуатации, развитие проектов.
Через систему «Единое окно» получить доступ к критической
информационной инфраструктуре невозможно, т.к. это разные направления. Объекты,
которые реализуют функции связи это технологические сети, это базовая станция,
на ней висит антенна, снизу стоит коммутатор, дальше она связывается с
различными коммутаторами. Это относится к сфере связи и законом отдельно,
именно сеть связи общего пользования выведена. Это оборудование устанавливается
в соответствии с законом «О связи». Есть система управления, которая относится
к КИИ, эти объекты находятся за межсетевыми экранами они логически разделены
между оборудованием, которым управляют. Дальше объекты отдельно разделены от
информационных систем, которые содержат сведения об абонентах, помогают
правильно их обслуживать, оказывать услуги, и прямой взаимосвязи между ними
нет. Это разделенная сеть и получить доступ через систему «Единое окно»,
систему «ЦРМ» к системе управления и дальше на оборудование вплоть до базовой
станции не возможно.
В соответствии с законом «О связи» в ПАО «МТС» создаются
базы, содержащие данные об абонентах на основании договоров, чтобы мы могли
идентифицировать этого абонента. Первоначально все эти данные хранятся в биллинговой
системе, которая предназначена для расчета с абонентом. Сам биллинг при
современном развитии сети и связи - это не просто один сервер и не просто одна
база, это довольно сложная структура с большим количеством серверного
оборудования, подсистем, серверных систем вокруг него. Первоначальные данные об
абонентах хранятся в предсистемах биллинга. Сам биллинг является оборудованием
связи, он сертифицируется. Также эти сведения могут храниться для различных
целей, полученных и обоснованных в рамках ФЗ РФ-152 «О персональных данных».
Сведения об абонентах хранятся в «ЦРМ» системах, у нас такой системой является
«Зибель». Это основные системы необходимые для хранения персональных данных об
абонентах в целях оказания услуг связи. Эти персональные данные могут
использоваться для различных маркетинговых исследований, специализированных
предложений. Объем использования персональных данных ограничен.
Работа баз содержащей персональные данные обеспечивается с
помощью двух систем, первоначально это биллинг система «Фоис», и в рамках
взаимодействия услуг, основной системой является «Зибель».
Оценив показания свидетеля П.И.Н., как в отдельности, так и
в совокупности с другими доказательствами, суд апелляционной инстанции приходит
к выводу, что они не опровергают доказательств, взятых судом за основу выводов
о виновности осужденного выводов суда из которых следует, что Бисенов А.А.
совершил неправомерный доступ к охраняемой компьютерной информации,
содержащейся в критической информационной инфраструктуре Российской Федерации
используемой субъектом КИИ.
Наказание Бисенову А.А. назначено в соответствии с
требованиями закона, с учетом характера и степени общественной опасности
содеянного, данных о личности виновных, наличия смягчающих наказание
обстоятельств и отсутствия отягчающих наказание обстоятельств.
Оснований для смягчения назначенного осужденным наказания,
не имеется, поскольку все заслуживающие внимания обстоятельства были учтены при
решении вопроса о виде и размере наказания, которое является справедливым, соразмерным
содеянному и не может быть признано чрезмерно суровымНазначенное наказание
соответствует требованиям ст. ст. 6, 43, 60, 61 УК Российской Федерации.
Выводы суда о назначении осужденному наказания в виде
лишения свободы, об отсутствии оснований для применения положений ч.6 ст. 15,
ст. 73 УК Российской Федерации, в приговоре достаточно мотивированы и являются
правильными. Не усматривает таких оснований и суд апелляционной инстанции.
На основании изложенного, руководствуясь ст. ст. 389.20,
389.28, 389.33 УПК Российской Федерации, суд
ОПРЕДЕЛИЛ:
Приговор Кировского районного суда г.Астрахани от 1 февраля
2022г. в отношении Бисенова Алмаза Азаматовича оставить без изменения, а
апелляционную жалобу - без удовлетворения.
Раздел "Правоприменительная практика по ст.274.1 УК РФ "Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации" на главной страницы блога - https://valerykomarov.blogspot.com/p/2741.html
* Результаты анализа 187-ФЗ и рекомендации по его выполнению размещаются в разделе "ЧаВо по КИИ" на главной странице блога.
Комментариев нет:
Отправить комментарий