Методологическое и законодательное обеспечение безопасности компьютерной информации в Российской Федерации (уголовно-правовой аспект)

Представляется, что утечка информации представляет собой неконтролируемое распространение информации за пределы защищаемой зоны ее функционирования, если в результате этого произошло получение информации (ознакомление с ней) лицами, не имеющими к ней права доступа. Утечка информации может происходить по различным информационным каналам, при обмене пользователями средствами хранения компьютерной информации.

ГОСТ относит к вредным последствиям действия вредоносных программ физическую порчу носителей информации, что существенно расширяет и уточняет перечень негативных последствий в ГОСТе по сравнению с УК РФ. Думается, что наличие данного последствия в ст. 272 и 273 УК РФ положительно бы влияло на правоприменительную практику.

В целях единства применения и толкования законодательства, предлагаем дополнить ст. 273 УК РФ примечанием следующего содержания: «Под вредоносной компьютерной программой понимается представленная в объективной форме совокупность данных и команд, предназначенных для воздействия на защищаемую информацию с нарушением установленных прав и (или) правил доступа, приводящая к уничтожению, модификации, копированию, блокированию, искажению, утечке, подделке, а также к утрате, уничтожению или сбою функционирования носителя информации». В данном определении нашли бы отражения все возможные последствия, упоминаемые в действующих нормативных актах РФ.

Рассмотрим основные виды вредоносных компьютерных программ. К

ним в зависимости от механизма действия вредоносные программы относятся:

- «логические бомбы»;

- «черви»;

- «троянские кони»;

- «компьютерные вирусы».

Логическая бомба - программа, которая запускается при определённых временных или информационных условиях для осуществления вредоносных действий (как правило, несанкционированного доступа к информации, искажения или уничтожения данных). Примерами таких условий могут быть: наступление заданной даты, переход в определённый режим работы, наступление некоторых событий заданное число раз и тому подобное.

Червь (сетевой червь) - это вредоносная программа, распространяющаяся по сетевым каналам и способная к самостоятельному преодолению систем защиты компьютерных сетей, а также к созданию и дальнейшему распространению своих копий, не обязательно совпадающих с оригиналом. Лавинообразное размножение программ приводит к перегрузке каналов связи, памяти и блокировке системы.

Троянская программа - это вредоносный код, совершающий не санкционированные пользователем действия (например, кража информации, уничтожение или модификация информации, использование ресурсов машины в злонамеренных целях и т.д.). Троянские программы являются наиболее распространенными в киберсреде, так как существует множество конструкторов, позволяющих даже неопытному пользователю создавать собственные программы данного типа.

Компьютерный вирус - это программа, способная создавать свои дубликаты (не обязательно совпадающие с оригиналом) и внедрять их в вычислительные сети и/или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению.

К вредоносным программам вплотную примыкает опасная дезинформация. Иногда то, что не может сделать вредоносная программа, удается сделать руками самих пользователей. Можно привести такой пример. Пользователь получает электронное письмо, содержащее примерно такой текст: «Внимание! Антивирусная тревога! По сети распространяется новый очень опасный вирус. Проникая в компьютер, он принимает вид обычного системного файла и какое-то время ничем себя не проявляет. Затем в случайно определенное время он уничтожает все пользовательские файлы и стирает BIOS. Если мы успели Вас вовремя предупредить, Вы еще успеете его обезвредить. Откройте папку Windows\System32, найдите в ней файл с изображением … и немедленно удалите его». Остальное выполняется руками пользователя, и в таком случае сложно говорить о возможностях привлечения злоумышленника к уголовной ответственности, по крайней мере с учетом современной правоприменительной практики.

Интересно отметить, что ряд ученых отождествляют понятие «вредоносная программа» с категорией «компьютерный вирус» Гульбин Ю. Указ соч. С. 25; Ваулина Т.Н. Преступления в сфере компьютерной информации Уголовное право. Особенная часть / Под ред. И.Я. Козаченко, З.А. Незнамолвой, Г.П. Новоселова - М.: Норма, 2001. - С 559.. Ошибочно ставить знак равенства между вирусной и вредоносной программой, как это делают некоторые специалисты Уголовное право России. Часть Особенная: учебник для вузов / Отв.ред. Л.Л. Кругликов - М.: Волтес Клувер, 2005. - С.605.. Смещение таких понятий, как «вредоносная» и «вирусная» ведет к неоправданному сужению признаков объективной стороны рассматриваемого преступления, что создает возможность для безнаказанности за создание, использование и распространение вредоносных программ для ЭВМ, не являющихся по своим качественным характеристикам вирусными Преступления в сфере компьютерной информации: квалификация и доказывание: Учеб. пособие / Под ред. Ю.В. Гаврилина. - М.: ЮИ МВД РФ, 2003. - С.39; Маслакова Е.А. Указ. соч. С.67.. Мы согласны с этой точкой зрения, считаем, что компьютерный вирус является лишь разновидностью вредоносных компьютерных программ.

Ряд ученых считают, что компьютерные вирусы являются отдельным классом компьютерных программ, требующих самостоятельного уголовно-правового закрепления неправомерных действий с ними. Поэтому предметом ст.273 УК РФ, по нашему мнению, должна быть признана не любая троянская программа, а только компьютерный вирус Григоренко С.В. Указ. соч. С.16.. Близкой позиции придерживается В.Ю. Максимов, утверждая, что «предметом ст. 273 УК РФ должны быть только вирусные компьютерные программы, остальные программы должны относиться к ведению ст. 272 УК РФ» Максимов В.Ю. Незаконное обращение с вредоносными компьютерными программами для ЭВМ: проблемы криминализации, дифференциации ответственности и индивидуализации наказания: дис. … канд. юрид. наук: 12.00.08 / Максимов Владимир Юрьевич - Краснодар, 1998. - С.8.. Полагаем, что компьютерный вирус является разновидностью вредоносной компьютерной программы, входящей в предмет ст. 273 УК РФ и не требующей самостоятельного закрепления в диспозиции ст. 273 УК РФ.

С нашей точки зрения, компьютерной информации, безусловно, причиняется вред вредоносными программами, поэтому она является предметом исследуемого деяния. Следует подчеркнуть, что если в ст. 272 УК РФ предметом преступного посягательства является «охраняемая законом компьютерная информация», то согласно ст. 273 УК РФ уголовно-правовой защите подлежит «компьютерная информация». В данном случае, уголовно-правовой защите подлежит любая информация, независимо от того, имеет ли она собственника (законного владельца) или предназначена для широкого круга лиц Лопатина Т.М. Указ. соч. С.205..

Суды рассматривают в качестве предмета преступления, предусмотренного ст.273 УК РФ именно компьютерную информацию. Например, из постановления Первомайского районного суда г. Ижевска от 22.03.2012 г. о прекращении уголовного дела № 1-162/12 Постановление Первомайского районного суда г. Ижевска от 22.03.2012г. о прекращении уголовного дела № 1-162/12 // бумажный носитель. в отношении гр. В. следует, что подсудимый В. совершил распространение компьютерных программ заведомо предназначенных для несанкционированной модификации компьютерной информации. Мы видим, что вред преступными действиями подсудимого нанесен компьютерной информации.

В рамках исследования предмета преступления, предусмотренного ст. 273 УК РФ уместно провести сравнительный анализ редакции ст. 273 УК РФ в Федеральном законе от 07.12.2011 N 420-ФЗ с предыдущей редакцией ст. 273 УК РФ. Во-первых, изменилось название статьи 273 УК РФ «Создание, использование и распространение вредоносных компьютерных программ». Законодатель модернизировал ее, заменив термин «программы для ЭВМ» на «компьютерные программы». На наш взгляд, новое название статьи больше соответствует существующим реалиям и употребляемой терминологии, поскольку обозначение компьютера как «ЭВМ» объективно устарело. Ни одна статья прежней редакции УК РФ, устанавливающая уголовную ответственность за преступления в сфере компьютерной информации, не содержала определения термина «ЭВМ», что приводило к сложностям при квалификации преступных деяний.

Во-вторых: из текста статьи изъяты слова «нарушение работы ЭВМ, системы ЭВМ или их сети».По мнению И.Р. Бегишева, было бы разумнее лишь заменить «ЭВМ, систему ЭВМ или их сеть», например, на «информационно-телекоммуникационные устройства, их системы и сети» Бегишев И.Р. Преступления в сфере обращения цифровой информации // Информационное право. - 2010. - № 2. - С.18-21..

В-третьих: законодатель включил в ст. 273 УК РФ «иную компьютерную информацию», которая заведомо предназначена для выполнения тех же самых функций, как и вредоносная компьютерная программа.

В-четвертых: декриминализованы такие составы ст. 273 УК РФ, как использование или распространение машинных носителей с вредоносными программами. Такое изменение является разумным, поскольку машинные носители с вредоносными программами теперь входят в понятие компьютерной информации, которая представляет собой сведения (сообщения, данные) «независимо от средств их хранения».

До принятия вышеуказанного федерального закона определенные трудности возникали при привлечении к уголовной ответственности за создание, распространение или использование вредоносных программ для мобильных телефонов. Термином «ЭВМ» не исчерпывалась вся совокупность средств, предназначенных для хранения, обработки и/или передачи информации, что неоправданно сужало предмет преступлений главы 28 УК РФ. Ответственность наступала за создание, использование и распространение вредоносных программ для ЭВМ, в состав которых программы для мобильных телефонов не входят, при этом преступные действия в отношении информации, содержащейся в мобильном телефоне, схожи с преступными действиями в отношении компьютерной информации в ЭВМ и отличается технической спецификой мобильного телефона.

В уголовно-правовой науке отсутствовало единое мнение о том, возможно ли привлечение к уголовной ответственности за создание, использование и распространение вредоносных программ для мобильных телефонов. А.Е. Панченко считает, что ЭВМ выступает в качестве «орудия» создания программ для мобильного (сотового) телефона, в том числе и вредоносных Панченко А.Е. О вредоносных программах для мобильных телефонов в свете уголовного законодательства РФ // Информационное противодействие угрозам терроризма. - 2006. - №8. - С. 57-64., поэтому мобильный (сотовый) телефон является техническим средством обработки и/или передачи информации, деяние по созданию вредоносной программы для мобильного (сотового) телефона при помощи ЭВМ, нельзя квалифицировать по ч.1 ст.273 УК РФ Там же.

Анализ приговоров вынесенных до вступления в силу Федерального закона от 7 декабря 2011г. № 420-ФЗ позволяет нам сделать вывод, что суды придерживались противоположной точки зрения и признавали лиц, создавших, распространивших или использовавших вредоносные программы для мобильных телефонов виновными в совершении преступлений по ст. 273 УК РФ.

Например, Басманным районным судом г. Москвы 12 июля 2011г. вынесен приговор по уголовному делу № 1-190/11 по обвинению гражданина В. в совершении преступления, предусмотренного Ч.1 ст.273 УК РФ. Суд установил, что В. совершил создание программ для ЭВМ, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, а равно распространение таких программ. Находясь по месту жительства, он, действуя с целью сбыта, осуществлял создание вредоносных программ для мобильных телефонов, а именно:

- программы, позволяющей мобильному телефону (контролирующему) совершать в скрытом от пользователя контролируемого телефона режиме следующие действия: получать информацю - смс-сообщения о начале разговора по контролируемому телефону, копии входящих и исходящих смс-сообщений отправляемых с контролируемого телефона; записывать аудиосигналы, поступающие на контролируемый мобильный телефон (звуков вокруг телефона); получать информацию о телефонном аппарате, его текущем состоянии и местонахождении; прослушивать телефонные переговоры;

- программы, позволяющей накапливать во внутренней памяти контролируемого телефона записи входящих и исходящих разговоров, входящих и исходящих смс-сообщений, звуков вокруг телефона, контактов из памяти телефона, определять его точное местонахождение, если мобильный телефон поддерживает GPS-приемник, после накопления информации получать информацию с контролируемого мобильного телефона посредством передачи данных через связь без ведома и негласно для пользователя;

- программы, позволяющую изменять индивидуальный идентификационный номер телефона IMEI.

После установки указанных вредоносных программ в мобильные телефоны различных марок и модификаций, телефоны приобретали способность без ведома пользователя выполнять следующие функции: управление вызовами; прием входящих смс-сообщений; отправка смс-сообщений; удаление смс-сообщений; блокирование уведомления о входящих смс-сообщения; блокирование сообщения о входящих вызовах; включение диктофона; создание и удаление файлов в памяти телефона; запись переговоров ведущихся с использованием телефона. Каждый мобильный телефон с установленными на нем вредоносными программами, разработанными и распространяемыми им, В., является специальным техническим средством, предназначенным для негласного съема акустической информации (съем акустических сигналов, поступающих на микрофон телефона) и прослушивания телефонных разговоров лица, использующего данный телефонный аппарат Там же..

Автор считает правильным привлечение к уголовной ответственности за создание, распространение или использование вредоносных программ для мобильных телефонов. Данное мнение разделяет и Р.А. Мариновский, считающий, что изменения, вносимые в существующие программы мобильного телефона, связаны с внесением в эти программы функций, выполнение которых приводит к изложенным выше последствиям. Таким образом, они несут в себе состав преступления аналогичный составу касающегося преступлений, совершаемых в отношении компьютерной информации Мариновский Р.А. Проблемы обеспечения информационной безопасности мобильных телефонов и их систем // Пробелы в Российском законодательстве. - 2009. - № 2. - С.131-134..

Так, Советский районный суд города Томска от 14 октября 2010 г. исключил из объема обвинения Б. по ч. 1 ст. 273 УК РФ четыре эпизода по основаниям, среди которых было отсутствие состава преступления, предусмотренного ч. 1 ст. 273 УК РФ, поскольку данной нормой предусмотрена ответственность лишь за использование вредоносных программ. Из показаний эксперта суд сделал вывод, что файлы «acadfix.reg», «license.lic», «licpath.lic» программами сами по себе не являются, а лишь представляют собой уже модифицированные файлы программы «AutodeskAutoCAD 2004», при замене которых (то есть аналогичных файлов, содержащихся в директории программы или их добавлении в некоторых случаях) указанными модифицированными файлами программа, установленная помимо воли правообладателя, становится работоспособной.

Если бы на момент вынесения приговора действовала уже новая редакция ст. 273 УК РФ, то Б. не смог бы избежать уголовной ответственности по четырем исключенным эпизодам, в связи с этим считаем включение в диспозицию статьи «иной компьютерной информации» разумным. Ранее вредоносная программа должна была заведомо приводить к «несанкционированному уничтожению, блокированию, модификации либо копированию информации», то есть лицо должно было точно знать, что такая программа может выполнять перечисленные функции. Теперь же «заведомо приводить» заменено на «заведомо предназначенных», означающее, что программа или иная компьютерная информация создавалась, распространялась или использовалась для совершения несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации, но при этом для наличия состава преступления не требуется ее фактической способности приводить к перечисленным последствиям, например, из-за ошибки программиста.

4.2 Объективная сторона преступления, предусмотренного ст. 273 УК РФ

Согласно части первой статьи 273 УК РФ, объективной стороной исследуемого преступления являются следующие альтернативные действия: создание, распространение или использование компьютерных программ или иной компьютерной информации заведомо предназначенных для уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты таковой.

Объективная сторона преступления, предусмотренного ст. 273 УК, может заключаться только в совершении активных действий Лопатина Т.М. Указ. соч. С.213; Геллер А.В. Указ. соч. С.124.. А.А. Каспаров определяет объективную сторону преступления, предусмотренного ст.273 УК РФ как общественно опасное деяние, посредством компьютерного вируса нарушающее безопасность и нормальный порядок законного использования машинной информации Каспаров А.А. Создание, использование и распространение вредоносных программ для ЭВМ: уголовно-правовые аспекты / А.А. Каспаров - М.: ТИССО, 2003. - С.24..

Создание, использование и распространение вредоносных компьютерных программ считается оконченным с момента создания такой программы, внесения изменений в существующие программы, использования либо распространения подобной программы вне зависимости от наступления вредных последствий. Само совершение перечисленных действий уже столь опасно, что излишне дожидаться наступления вреда от них Ляпунов Ю., Максимов В. Указ. соч. С. 9; Карпов В.С. Указ. соч. С.101..

В уголовно-правовой доктрине существует и другая точка зрения, согласно которой «до сих пор не было приведено каких-либо «весомых» аргументов в пользу того, что деяние, предусмотренное ст.273 УК РФ, представляют какую-то чрезвычайную угрозу или особую опасность, требующую исключительного подхода при криминализации» Кругликов Л.Л.Практикум по уголовному праву. М., 2002. С.275.. С точки зрения сторонников такого взгляда, в диспозиции ст.273 УК РФ «самый главный недостат-к - формальный состав» Черкасов В.Н. Изменения законодательства о компьютерных преступлениях. Все ли проблемы решены? // Информационная безопасность регионов. - 2012. - №2. - С.116-123.

Противником формального состава преступления, предусматривающего ответственность за создание, использование, распространение вредоносных программ выступает С.Д. Бражник. По его словам: «В мире пока не зафиксировано ни одного случая наступления тяжких последствий из-за внедрения вредоносной программы» Бражник С.Д. Указ. соч. С.73.. Кроме того, ученый считает, что хакеров высокого класса мало, а большая часть действий связана с непрофессионалами, использующими стандартные средства и методы проникновения в компьютерные системы Там же . Отрицательным результатом формальности состава деяния, предусмотренного ст.273 УК РФ, ученый называет попадание под уголовно-правовую репрессию деяний, «которые во многих случаях по степени вредоносности не выходят за рамки административного правонарушения, т.е. «не дотягивают» до уровня общественной опасности, характерной для преступлений» Там же.

Сторонником введения административной ответственности за создание, распространение или использование вредоносных программ, не причинивших значительного ущерба обладателю информации, выступила Л.А. Букалерова. По мнению ученой, такие деяния «не являются общественно опасными и должны быть декриминализированы» Букалерова Л.А. Указ. соч. С.405.. С.Ю. Бытко считает, что «вполне допустимо применение мер административного воздействия» Бытко С.Ю. Указ. соч. С. 125.. С.А. Кодинцев дальнейшее совершенствование действующей редакции статьи 273 УК РФ видит в переносе наименее опасных деяний, определенных в диспозиции данной статьи из разряда уголовно наказуемых в категорию административных правонарушений Кодинцев С.А. Проблемы правового регулирования юридической ответственности за создание, использование и распространение вредоносных программ для ЭВМ // Российский следователь. - 2009. - №21. - С.15-17..

С.Д. Бражник, М.М. Малыковцев предлагают сформулировать исследуемый состав преступления по типу материального Бражник С.Д. Указ. соч. С.55; Малыковцев М.М. Указ. соч. С.17.. Это сделает норму более совершенной, т.к. существование определённости моментов начала и окончания деяния способствует правильному прочтению и глубокому пониманию уголовно-правовой нормы, уяснению не только буквы, но и духа закона Малыковцев М.М. Указ. соч. С.17..

Автор считает возможным поддержать действующую формулировку закона и разделяет позицию М.М. Малыковцева, считающего вполне целесообразным решение, принятое в свое время законодателем о том, что конструкция состава, предусматривающего ответственность за создание, использование и распространение вредоносных программ, должна быть формальной Там же, С.80.. Вредоносные программы разрушительно воздействуют на информационные ресурсы, а в некоторых случаях и на сам компьютер, являясь при этом «новым источником угроз информационной безопасности» Щербаков А.А. Разрушающие программные воздействия / Щербаков А.А. - М.: Эдель, 1993. - С.64.. Опасность таких действий заключается в возможной дестабилизации не только отдельного предприятия, но и субъекта федерации, федерального округа или страны в целом, поскольку они могут привести к существенным повреждениям объектов жизнеобеспечения, транспорта и связи, энергетики и промышленности, экологическим катастрофам и гибели людей Бегишев И.Р. Создание, использование и распространение вредоносных компьютерных программ // Проблемы права. - 2012. - № 3. - С. 218-221..

Созданные преступником программы должны содержать в себе потенциальную угрозу уничтожения, блокирования, модификации либо копирования компьютерной информации или нейтрализации ее средств защиты. Совершение любого из нижеперечисленных действий является достаточным для признания деяния оконченным, даже если программа реально не причинила вреда информационным ресурсам или компьютеру:1) создание программы для компьютера (программирование) или иной компьютерной информации, т.е. проектирование программы, построение алгоритмов, разработка структур данных, написание текстов программ;

2) отладка и тестирование программы (испытания программы);

3) документирование, настройка (конфигурирование), доработка и сопровождение вредоносной компьютерной программы.

Как отмечалось выше, Федеральный закон №420 от 07.12.2011г. «О внесении изменений в Уголовный кодекс Российской Федерации и отдельные законодательные акты Российской Федерации» содержит определение компьютерной информации. Исходя из определения компьютерной информации, под созданием компьютерной информации следует понимать создание данных и придание им формы электрических сигналов.

В зависимости от способа возникновения вредоносных программ, создание компьютерных программ можно разделить на две группы: создание вредоносной программы и внесение изменений в уже существующие программы.

По мнению М.Ю. Дворецкого создание компьютерных программ может включать в себя:

1) постановку задачи, определение среды существования и цели программы;

2) выбор средств и языков реализации программы;

3) написание непосредственного текса программы;

4) отладку программы;

5) запуск и работу программы Дворецкий М.Ю. Указ. соч. С.109; Маслакова Е.А. Указ. соч. С.85; Добровольский Д.В. Указ. соч. С.27; Геллер А.В. Указ. соч. С.124..

При этом ученый считает, что совершение любого из перечисленных действий охватывается признаками создания вредоносной программы и может признано преступлением, предусмотренным ч.1 ст.273 УК, даже в том случае, когда вредоносная программа еще не создана, а находится, так сказать, еще в стадии оформления Дворецкий М.Ю. Указ. соч. С.109..

С такой позиций сложно согласиться, поскольку лицо не должно нести уголовную ответственность, например, за постановку целей вредоносной программы. В противном случае, идеи и мысли были бы уголовно наказуемо, что само по себе противоречит фундаментальным принципам уголовного права. Ответственность за создание вредоносной программы должна наступать тогда, когда созданная программа начала представлять опасность, когда программа создана (компилирована).

В уголовно-правовой науке существует точка зрения, согласно которой созданием программы может считаться запись ее текста на бумагеВолеводз А.Г. Указ. соч. С.74-75; Добровольский Д.В. Указ. соч. С.27.. Е.А. Маслакова расценивает такие действия, как покушение на преступление Маслакова Е.АУказ. соч. С.85.. На наш взгляд, запись текста на бумаге не обладает какой-либо вредоносностью для компьютера.

Уголовная ответственность наступает по статье 273 УК РФ независимо от того использовалась программа или нет Геллер А.В. Указ. соч. С.127; Зинина У.В. Указ. соч. С. 77; Сударева Л.АУказ. соч. С.48; Саломатина Е.С. Распространение вредоносных программ для ЭВМ // Юридический вестник Ростовского Государственного экономического университета. - 2007. - № 2. - С.31-35.. Использование вредоносной программы или иной компьютерной информации означает совершение любых действий по введению ее в оборот с целью достижения преступного результата.

Ряд ученых определяют использование вредоносных программ, как «выпуск в свет, воспроизведение и иные действия по введению их в оборот» Бородин А.В. Указ. соч. С.115 ;Волеводз А.Г. Указ. соч. С.75; Геллер А.В. Указ. соч. С.126; Дворецкий М.Ю. Указ. соч. С.115; Комментарий к Уголовному кодексу Российской Федерации/ Под общ. ред. Н.Г. Кадникова - М., 2004. - С.695; Карпов В.С. Указ. соч. С.102; Красненкова Е.В. Указ. соч. С. 125; Саломатина Е.С. Указ. соч. С.31-35. (например, посредством размещения в компьютерной сети, установки на жесткий диск пользователя в процессе технического обслуживания компьютера) Комментарий к Уголовному кодексу Российской Федерации (постатейный) / Отв. ред. В.И.Радченко - 2008 // СПС «Консультант плюс». или путем записи программы в память ЭВМ на материальный носитель, распространения по сетям либо путем иной передачи другим лицам Саломатина Е.С. Указ. соч. С.31-35..

В.В. Воробьев усматривает, что «термин «воспроизведение» наиболее точно выражает суть такого действия» Воробьев В.В. Указ. соч. С.94.. Думается, что такое понимание содержания термина «использование» близко к содержанию термина «распространение».

А.А. Каспаров и М.М. Малыковцев ставят начало использования вредоносной программы в зависимость от свойств самой программы: «если она рассчитана на немедленные вредоносные действия, использование наступает с момента ее исполнения на ЭВМ, если же в вирусе заложены свойства «бомбы», - с момента проявления этих свойств» Каспаров А.А. Указ. соч. С.25; Малыковцев М.М. Указ. соч. С.91.. Аналогичную позицию разделяет Ю.А.Красиков, понимающий под использованием вредоносной программы «обращение, употребление их по назначению, приведение в действие, когда они начинают проявлять вредные качества» Комментарий к Уголовному кодексу Российской Федерации (постатейный) /отв. ред. В.М. Лебедев. - М.: Юрайт, 2013. - С.690..

Другие авторы понимают под использованием вредоносных программ «применение их по прямому назначению» Воробьев В.В. Указ. соч. С.94; Каспаров А.А. Указ. соч. С.25; Зинина У.В. Указ. соч. С.79; Маслакова Е.А. Указ. соч. С.87.. Автор разделяет позицию коллег, считающих, что «использование вредоносной программы для личных нужд (например, для уничтожения собственной компьютерной информации) уголовно ненаказуемо» Комментарий к Уголовному кодексу Российской Федерации : Расширенный уголовно-правовой анализ с материалами судебно-следственной практики / О. Я.Баев, Р.А. Базаров, А.В. Борбат и др.; Под общ. ред. А.П. Новикова - М.: Экзамен, 2006. - С.772; Комментарий к Уголовному Кодексу Российской Федерации / Под ред. Ю.И.Скуратова, В.М. Лебедева - М.: ИНФРА-М-Норма, 1996. - С738; Волеводз А.Г. Указ. соч. С. 75; Евдокимов К.Н. Указ. соч. С.51-55; Карпов В.С. Указ. соч. С.102; Бородин А.В. Указ. соч.С.115..

В правовой науке ведется дискуссия о том, любое ли создание, распространение или использование компьютерных программ, заведомо приводящее к несанкционированному копированию, модификации, блокированию или уничтожению компьютерной информации, является уголовно наказуемым преступлением. Например, В.Ю. Максимов утверждает, что «вирусы подразделяются на безвредные, неопасные, опасные и очень опасные» Максимов В.Ю. Проблемы криминализации и раскрытия компьютерных преступлений // Вестник Ставропольского университета. - 1996. - №1. - С.91.. По мнению В.В. Крылова, «инфекции проникновения» вообще не уничтожают информацию, не блокируют доступ к ней» Крылов В.В. Расследование преступлений в сфере информации / В.В. Крылов - М.: Городец, 1998. - С.101..

На наш взгляд, не будет являться уголовно-наказуемым создание, использование вредоносных программ организациями, осуществляющими разработку антивирусных программ (Антивирус Касперского, DrWeb, Avast и др.), поскольку такая деятельность имеет целью совершенствование программно-технических средств защиты компьютерной информации.

Таким образом, создание специальных программ, обладающих, в том числе и вредоносными свойствами (в их уголовно-правовом понимании), может являться одним из средств защиты информации, средством контроля эффективности защиты информации, а также одним из способов проведения специальных мероприятий при осуществлении контртеррористической операции Малыковцев М.М. Указ. соч. С.86..

Близкой по содержанию позиции придерживается В.Ю. Максимов, утверждающий, что «нельзя запрещать любое создание компьютерных вирусов, обладающих вредоносными свойствами, т.к. это может происходить и в общественно полезных целях» Максимов В. Ю. Компьютерные преступления (вирусный аспект) / В. Ю. Максимов. -- Ставрополь: Ставроп. кн. изд-во, 1999. С. 92.. У.В Зинина обращает внимание на то, что « … в ряде случаев использование подобных программ не будет являться уголовно наказуемым, поскольку это относится к деятельности организаций, осуществляющих разработку антивирусных программ» Зинина У.В. Указ. соч. С.79..

Следует поддержать мнение М.М. Малыковцева, предлагающего своевременным как диспозицию статьи 273 УК РФ, так и ее название начать со слова «незаконное», дополнив соответствующие нормативные документы случаями законного обращения с программами, имеющими свойство вредоносности» Малыковцев М.М. Указ. соч. С. 88.. Е.А. Маслакова придерживается аналогичной позиции и предлагает: «Сформулировать название ст. 273 УК РФ следующим образом: «Незаконный оборот вредоносных программ»» Маслакова Е.А. Указ. соч. С.88..

Распространение вредоносной компьютерной программы, по мнению А.А. Каспарова, представляет собой предоставление доступа к воспроизведенной в любой материальной форме программе для ЭВМ или базе данных, в том числе сетевыми и иными способами, а также путем продажи, проката, мены, сдачи внаем, предоставления взаймы, включая импорт. Распространение есть увеличение, расширение области применения, действия предмета за какую-нибудь грань, черту Каспаров А.А. Указ. соч. С.27..

Ряд ученых считают, что распространение заключается в «выпуске в оборот» и «предоставлении доступа»: «любом выпуске в оборот (путем продажи, обмена, проката и т.д.), в предоставлении доступа к воспроизведенной в любой материальной форме программе» Комментарий к Уголовному кодексу Российской Федерации (постатейный) / отв. ред. В.М. Лебедев. - М.: Юрайт, 2013. С.690.; «предоставление доступа к ней, если программа воспроизведена в любой материальной форме, в том числе сетевыми и иными способами, а также путем продажи, проката, сдачи внаем, предоставления взаймы» Учебный комментарий к Уголовному кодексу Российской Федерации / Отв. ред. А.Э.Жалинский - М., 2005. С.840; Карпов В.С. Указ. соч. С.102.; Пособие для следователя . Расследование преступлений повышенной общественной опасности / Под ред. Н.А.Селиванова, А.И. Дворкина - М., 1998. С.360..

Легальное определение понятия «распространение информации» содержится в пункте 9 статьи 2 Федерального закона №149-ФЗ от 27 июля 2006 г. «Об информации, информационных технологиях и о защите информации», согласно которому распространением информации признаются действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц.

Суды оценивают продажу как один из способов распространения вредоносных компьютерных программ. В приговоре от 11 октября 2011г. по делу №1-301/2011 Вязнинковский городской суд Владимирской области признал виновным гражданина РФ (ФИО обезличены) в совершении преступления, предусмотренного ч.1 ст.273 УК РФ. Суд установил, что ФИО, действуя умышленно, осознавая, что он распространяет путем продажи программы для ЭВМ, заведомо приводящие к несанкционированной модификации либо копированию информации, в процессе распространения путем продажи контрафактных экземпляров программного обеспечения в помещении магазина с целью последующего приведения распространяемых им контрафактных экземпляров программ в работоспособное состояние, распространил путем продажи программу, основным предназначением которой является преодоление встроенной защиты программы путем ее нейтрализации, а именно, достижения работоспособности программы без электронного ключа защиты путем блокирования обращений программы к электронному ключу защиты, входящему в лицензионную поставку и являющемуся его составной неотъемлемой частью.

Рассмотрим основные научные идеи и предложения по совершенствованию конструкции диспозиции ч.1 ст. 273 УК РФ. Ученые предлагают криминализировать не только создание, распространение и использование компьютерных программ и иной компьютерной информации, но и посредническую деятельность по приобретению вирусной программы и ее хранению. Можно признать отсутствие хранения и приобретения вредоносных компьютерных программ в перечне деяний, образующих объективную сторону преступления, предусмотренного ч.1 ст.273 УК РФ, определенным пробелом законодательства.

Трудно объяснить, почему законодатель, введя ответственность за продажу вредоносных программ, оставляет без внимания их покупку Менжега М.М. Указ. соч. С.57.. Под приобретением можно понимать добычу, получение, переход любым способом вредоносной программы от одного лица в полную собственность, владение, распоряжение другого Каспаров А.А. Указ. соч. С.27; Маслакова Е.А. Анализ объективной стороны преступления, связанного с незаконным оборотом вредоносных компьютерных программ // Известия Тульского государственного универститета. - 2008. - №1. - С.226-233.. Видами приобретения, по нашему мнению, могут быть копирование в память компьютера через сеть, дарение, купля-продажа, мена, предложение для скачивания в сети Интернет и иное отчуждение программы с механическим носителем.

Для привлечения к уголовной ответственности необходимо осознание лицом вредоносности программы, которую он приобретает. Что же касается причин и целей такого приобретения, то нам представляется, что для квалификации деяния как преступления они не должны иметь значения, хотя должны учитываться при индивидуализации наказания Каспаров А.А. Указ. соч. С.27.. Целесообразно считать приобретение оконченным с момента перехода вирусной программы во владение приобретшего лица.

Под хранением вируса ученые предлагают понимать сам процесс владения, нахождение его у виновного лица, содержание в сохранности, фактическое обладание названной программой Там же; Маслакова Е.А. Незаконный оборот вредоносных компьютерных программ: уголовно-правовые и криминологические аспекты: дис. … канд. юрид. наук: 12.00.08 / Маслакова Елена Александровна - М., 2008. - С.91.. Правы исследователи считающие, что хранение характеризуется бездействием Каспаров А.А. Указ. соч. С.27; Маслакова Е.А. Анализ объективной стороны преступления, связанного с незаконным оборотом вредоносных компьютерных программ // Известия Тульского государственного универститета. - 2008. - №1. - С.226-233. и является длящимся процессом, завершающимся в тот момент, когда предмет преступления окончательно выйдет из владения виновного лица.

С нашей точки зрения, крайне важно изменить диспозицию ч.1 ст.273 УК РФ, изложив ее в следующей редакции: «Незаконное создание, хранение, использование, распространение, а равно приобретение компьютерной программы либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации»

Суды при вынесении приговора о признании лица виновным в использовании и распространении вредоносных компьютерных программ устанавливают, что этим действиям, входящим в состав объективной стороны ст.273 УК РФ, предшествуют, как правило, приобретение и хранение таких программ. При установлении ответственности за хранение и приобретение вирусных программ, возможно, удалось бы избежать дальнейших общественно опасных последствий, наступающих при использовании и распространении таких программ.

09 июня 2011г. Индустриальным районным судом г. Ижевска вынесен приговор по уголовному делу №1-174/2011 в отношении гражданина Т. Было установлено, что Т. незаконно использовал и распространил вредоносные программы, вносящие модификации в программное обеспечение, позволяющие незаконно использовать его без ограничения по времени. В ходе использования сети Интернет у Т. возник умысел на незаконную торговлю вредоносными программами для ЭВМ, вносящими модификации в программы для ЭВМ и, позволяющими использовать их без ограничения времени, которые он незаконно приобрел при неустановленных обстоятельствах в неустановленное время у неустановленных следствием лиц и хранил их в целях дальнейшего сбыта на машинном носителе компьютера, а также на флеш-карте. С целью реализации своего преступного умысла Т., из корыстных побуждений разместил в период времени с лета 2010 года по февраль 2011 года в сети Интернет на сайте www.avito.ru, объявления об установке компьютерных программ за вознаграждение Там же..

При наличии в законодательстве РФ норм об уголовной ответственности за хранение и приобретение вредоносных компьютерных программ, Т. был бы привлечен к уголовной ответственности до возникновения угрозы уничтожения, модификации, копирования, блокирования компьютерной информации.

Рассмотрим мнения ученых, относительно возможных последствий, на достижения которых и предназначены вредоносные компьютерные программы. В литературе звучат мнения, о том, что существующая редакция недостаточно корректна. Так, С.А. Кодинцев полагает, что последствие в виде «несанкционированного уничтожения» должно быть более конкретизировано, поскольку уничтожение информации в большинстве случаев является восполнимым, либо информация не представляет для пользователя конкретной ценности. Ученый предлагает отнести к числу последствий «несанкционированное невосполнимое уничтожение информации», значимой для пользователя Кодинцев С.А. Указ. соч. С.15-17..

Такое предложение трудно признать последовательным. Думается, что для квалификация действий преступника не имеет значения, осведомлен ли злодей о ценности информации для пользователя информация или нет, а также может ли такая информация быть восстановлена или нет. Умысел виновного направлен на заведомое уничтожение компьютерной информации.

Определенные вопросы вызывает такое последствие создания, использования или распространения вредоносных программ как нейтрализация средств защиты компьютерной информации. Данное последствие было включено в УК РФ Федеральным законом «О внесении изменений в Уголовный кодекс РФ и отдельные законодательные акты РФ» от 07.12.2011 № 420-ФЗ.

Определение понятия «защита информации» содержится в ГОСТе Р 50922-2006 «Защита информации. Основные термины и определения», утвержденном Приказом Ростехрегулирования от 27 декабря 2006 г. № 373-ст М.: Стандартинформ, 2008. - 12 с.. Согласно п.2.1.1. названного документа под защитой информации следует понимать деятельность, направленную на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Защита информации - это совокупность мер, обеспечивающих защиту прав владельцев информационной продукции, в первую очередь программ, баз и банков данных, от несанкционированного доступа, использования, разрушения или нанесения ущерба в какой-либо иной форме Горячев В.С. Информация и ее защита // Вопросы защиты информации. 1994. - №2. - С. 13-18..

Объективно очевидно, что неуязвимую систему защиту информации создать в принципе невозможно. При планировании защиты необходимо представлять, кого и какая именно информация может интересовать, какова ее ценность и на какие финансовые жертвы ради нее способен пойти злоумышленник Алескеров В.И. Указ. соч. С.21..

Статья 2 Федерального закона от 21 июля 1993г. №5485-1 «О государственной тайне» СЗ РФ. - 1997. - № 41. - Ст. 4673. содержит приблизительный перечень средств защиты информации: технические, криптографические, программные и другие средства, предназначенные для защиты сведений.

К техническим средствам относятся изделия, оборудование, аппаратура и (или) их составные части, функционирующие на основании законов электротехники, радиотехники и (или) электроники и содержащие электронные схемы и (или) компоненты.

К криптографическим средствам защиты можно отнести любые способы секретной записи и механическое либо электрическое устройство, используемые в целях маскировки или сокрытия содержания, значимости или смысла передаваемой информации. ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения», утвержденный Приказом Ростехрегулирования от 27 декабря 2006 г. № 373-ст относит к криптографическим средство защиты информации, реализующее алгоритмы криптографического преобразования информации.

Программные средст-а - это средства, предусматривающие определенную последовательность процедур, направленных на защиту компьютерной информации. Программные средства в компьютерном смыс-е - это объективная форма представления совокупности данных и команд, предназначенных для функционирования компьютерных устройств с целью получения определенного результата, включая подготовительные материалы, полученные в ходе разработки компьютерной программы, и порождаемые ею аудиовизуальные отображения.

Отметим, что деятельность по технической защите информации подлежит лицензированию в соответствии с Постановлением Правительства РФ от 3 февраля 2012 г. N 79 «О лицензировании деятельности по технической защите конфиденциальной информации» СЗ РФ. - 2012. - № 7. - Ст. 863..

В соответствии с абз.3 п.1 Положения о сертификации средств защиты информации, утвержденного Постановлением Правительства РФ от 26 июня 1995г. № 608 СЗ РФ. - 1995. - №27. - Ст.2579. указанные средства защиты подлежат обязательной сертификации, которая проводится в рамках систем сертификации средств защиты информации. При этом криптографические (шифровальные) средства должны быть отечественного производства и выполнены на основе криптографических алгоритмов, рекомендованных Федеральной службой безопасности Российской Федерации.

Сертификация на соответствие требованиям по безопасности информации представляет собой форму осуществляемого органом по сертификации подтверждения соответствия объектов оценки требованиям по безопасности информации, установленным техническими регламентами, стандартами или условиями договоров (п.2.8.3.ГОСТ Р 50922-2006 М.: Стандартинформ, 2008. - 12 с.).Одной из распространенных сертифицированных средств защиты информации является система SecretNet, которую используют для защиты конфиденциальной информации и государственной.

Программные средства защиты содержат механизм мандатного разграничения доступа. Система принимает решение о возможности доступа субъекта к объекту или о его запрете на основе типа операции, связанного с каждым субъектом, и мандатной метки, связанной с объектом.Как правило, средства защиты информации содержатся в ядре операционной системы, но идентификация, аутентификация и контроль целостности файлов являются отдельными программными компонентами.

Помимо очевидного взлома программ антивирусной защиты под «нейтрализацию» может попасть и следующая ситуация. Зачастую пользователи выкладывают лицензионное программное обеспечение вместе с программами, с помощью которых можно взломать защиту лицензионного программного обеспечения и использовать его несколько раз. К таким программам относятся:

1)? «кейген» (от англ. keyg-n - keygenerator - генератор ключе-) - это программа, которая генерирует либо криптографические ключи для шифрования данных, либо псевдоподлинные CD-ключи или серийные, регистрационные или активационные номера для регистрации или активирования программного обеспечения;

2)? «крэк» (от англ. crack - разламывать, раскалыват-) - специальная программа для взлома программного обеспечения. Формально под действие ст. 273 может попасть очень большое количество пользователей Интернета, которые используют «взломанное» программное обеспечение.

В.М. Быков и В.Н.Черкасов считают неоправданным включение законодателем понятия «нейтрализация средств защиты» в состав объективной стороны преступления Быков В.М., Черкасов В.Н. Новое об уголовной ответственности за создание, использование и распространение вредоносных компьютерных программ // Российский судья. 2012. - №7. - С. 16-21.. Исследователи считают, что действия по нейтрализации средств защиты не должны получать самостоятельной правовой оценки, поскольку применяются лицом, как правило, в качестве подготовительного этапа для неправомерного доступа к информации с целью ее последующего уничтожения, блокирования, модификации или копирования Там же.. Автор разделяет эту позицию и полагает, что нейтрализация средств защиты не является целью совершения преступления, предусмотренного ч.1 ст.273 УК РФ.

Анализ судебной практики подтверждает, что использование компьютерных программ нейтрализации средств защиты является средством к получению неправомерного доступа к компьютерной информации. Снежинским городским судом Челябинской области за использование компьютерной программы заведомо предназначенной для нейтрализации средств защиты компьютерной информации (ч.1 ст.273 УК РФ), осужден гражданин Г. Как установлено, в апреле 2012 года в дневное время Г., находясь в гостинице г. Снежинска, установил на 3 компьютера другого лица за вознаграждение в 1000 рублей программу «Компас 3D V-13», правообладателем которой является ЗАО «А».

При установке программного обеспечения «Компас 3D V-13» подсудимый использовал компьютерную информацию, файл «KOMPAS 3D V13 antiHASP v1.0 exe», которая заведомо для него предназначена для нейтрализации средств защиты указанного программного обеспечения. При запуске этого файла часть оригинальных файлов программного продукта «Компас 3D V-13» были модифицированы, что позволило использовать этот программный продукт без электронного ключа защиты. Была осуществлена нейтрализация средств защиты компьютерной информации, получен неправомерный доступ к указанному программному обеспечению.

На сегодняшний день разработка и использование программных средств защиты информации являются необходимым условием обеспечения информационной безопасности. Думается, что именно обладатель компьютерной информации должен в первую очередь принимать все необходимые меры, направленные на ее защиту от неправомерного воздействия.

Перейдем к анализу существующих в науке предложений по внесению изменений в диспозицию ч. 1 ст. 273 УК РФ, касающихся общественно опасных последствий. М.М. Малыковцев предлагает добавить в перечень общественно опасных последствий преступления, предусмотренного ст.273 УК РФ, повреждение информации. Под повреждением информации ученый понимает «такое воздействие, при котором остается возможность ее восстановления» Малыковцев М.М. Указ. соч. С. 99..

Ряд ученых предлагают исключить технические и узкоспециальные термины «уничтожение», «блокирование», «модификация» и «копирование» из диспозиции ч.1 ст. 273 УК РФ Бражник С.Д. Указ. соч. С.89., либо вместо слова «модификация» применить в диспозиции слово «искажение»» Малыковцев М.М. Указ. соч. С.105.. Как отмечалось выше, на наш взгляд, использование этих технических терминов нередко приводит к неоднозначности судебной практике и в качестве выхода из сложившейся ситуации предлагаем дать толкование узкоспециальных требований в примечании к ст.272 УК РФ и (или) отдельном Постановлении Пленума Верховного суда РФ (Приложение №1), что, безусловно, приведет к уменьшению вероятности ошибок при квалификации преступных деяний, предусмотренных главой 28 УК РФ.

Формулировка объективной стороны ст. 273 УК РФ не лишена недостатков. Анализ новой редакции рассматриваемого состава УК РФ позволяет нам сделать вывод о том, что, к сожалению, не все проблемы были разрешены Федеральным законом №420 от 7 декабря 2011г. Т.Л. Тропина справедливо замечает, что безусловным недостатком законодательной техники, как в прежней, так и в действующей редакции ст. 273 УК РФ, является «синонимия единственного или множественного числа» Тропина Т.Л. Указ. соч. С. 273; Бражник С.Д. Указ. соч. С.89; Суслопаров А.В. Указ. соч. С.145..

На данный недостаток обращает внимание и С.Д. Бражник, поскольку исходя из буквального толкования нормы (ст.273), следует, что создание одной вредоносной программы; внесение одного изменения в одну из программ; использование или распространение одной вредоносной программы или одного из носителей компьютерной информации, содержащего одну вредоносную программу уголовно ненаказуемо Бражник С.Д. Указ. соч. С.89.. Такое толкование явно противоречит смыслу рассматриваемой статьи. Автор разделяет мнение С.Д.Бражника, который называет такую ситуацию нонсенсом.

Очевидно, что применение ст. 273 УК РФ возможно уже в случаях создания, использования и распространения одной вредоносной программы или одного машинного носителя с такой программой Ушаков С.И. Указ. соч. С.117..

4.3 Субъективная сторона создания, использования и распространения вредоносных компьютерных программ

Исследователи считают, что создание, использование и распространение вредоносных программ и иной компьютерной информации совершается только с прямым умыслом Бородин А.В.Указ. соч. С.74; Быков В.М., Черкасов В.Н. Указ. соч.; Дворецкий М.Ю. Указ. соч. С.124; Евдокимов К.Н. Указ. соч. С.22-26; Зубова М.А. Объективные и субъективные признаки создания и распространения вредоносных программ ЭВМ // Ученые записки Казанского университета. Серия: гуманитарные науки. - 2007. - №6. - С.146; Комментарий к Уголовному Кодексу Российской Федерации / Под ред. Ю.И.Скуратова, В.М. Лебедева - М.: ИНФРА-М-Норма, 1996. - С. 642; Ляпунов Ю., Максимов В. Указ. соч.; Уголовное право. Особенная часть: Учебник / Отв. ред. Б.В. Здравомыслов. - М.: Юрист, 1996. - С.358; Карпов В.С. Указ. соч. С.134; Красненкова Е.В. Указ. соч. С.127; Саломатина Е.С. Указ. соч. С.31-35; Черкасов В.Н. Указ. соч. С.116-123;. В силу того, что состав преступления, предусмотренного ст.273 УК РФ, «сформулирован как формальный, вина лица должна всегда быть выражена в виде прямого умысла» Максимов В.Ю. Указ. соч. С.73; Маслакова Е.А. Незаконный оборот вредоносных компьютерных программ: уголовно-правовые и криминологические аспекты: дис. … канд. юрид. наук: 12.00.08 / Маслакова Елена Александровна - М., 2008. -. С.96..