Правовое регулирование оборота программного обеспечения. Монография

тиражироваться и распространяться в неограниченном количествеэкземпляров без изменения ее содержания, что является определяющим при «интеллектуальном пиратстве». Однако особую значимость приобретает данноесвойство в настоящеевремя, когда на смену архивам и картотекам пришли автоматизированные базы данных, в которых обрабатывается информацияна миллионыграждан России.Вотличиеотархивов икартотек, копирование которых производится в исключительных случаях, копированиебазыданных навнешниеносителиявляетсярегламентнойоперацией и производится регулярно с целью защиты физической целостности информации от сбоев и гибели оборудования. Архивное копирование производится на носителях, которые должны уничтожаться после созданияочередной резервнойкопии. Однакоинсайдер94 можетоформитьуничтожениесхожегоносителя, оставивкопию базы данных для собственного неправомерного использования. Скандальные утечки крупных баз данных показывают, что все они произошли с участием инсайдеров95.

Наказание за преступление, совершенное по совокупности со ст. 183 УК РФ «Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну», может понести только инсайдер, при условии, что организация признает факт утечки данных и произведет расследование должным образом. Правоприменительная практика показывает, чтосерьезной проблемой является безнаказанность лиц, продающих носители с информацией, поскольку их деяния не подпадают под уголовную ответственность. Объективную сторону преступления по ч. 1 ст. 183 УК РФ составляет собирание сведений, составляющих коммерческую, налоговую или банковскую тайну, путем похищения документов, подкупа или угроз, а равно иным незаконным способом. Однако доказать незаконные действия продавца дисков с информацией ограниченного доступа практически невозможно. Так, не привлекается к ответственности по чч. 2–4 ст. 183 УК РФ инсайдер, передавший продавцуданнуюинформацию, посколькудоказатьегосвязь спродавцомнельзя. Для исправления данной ситуации, на наш взгляд, достаточно дополнить перечень наказуемых деяний в ч. 1 ст. 183 УК РФ действиями по распространению указанных сведений.

Свойство инвариантности представления определяет для информации преобладающее значение содержания над формой представления и

94Инсайдер — недобросовестный работник, допущенный к информации ограниченного доступа.

9512 самых громких случаев ИТ-воровства в России. URL: cnews.ru (дата обра-

щения: 02.12.2005).

131

обусловливаетмножественностьвыражения смысловогосодержания,возможность выразить одну информацию различными способами: изображение и его текстовое описание; тексты разных авторов, описывающих одно событие или явление, и пр. Это свойство органично вытекает из семантической теории информации, которая «изучает смысл, содержащийся в сведениях, полезность и ценность этих сведений»96.

Комментируя ст. 272 УК РФ в части копирования информации, С. А. Пашин утверждает, что «копирование информации от руки, путем фотографирования текста с экрана дисплея, а также считывание информации путем перехвата излучений ЭВМ и прочее не подразумевается в диспозиции данной статьи УК»97. В. В. Степалин также считает, что ознакомление с информацией при отсутствии последствий не образует состава преступления, предусмотренного ст. 272 УК РФ98. В данном вопросемы поддерживаемМ. М. Карелину,отмечающую, что«неправомерный доступ может осуществляться к одной компьютерной информации, а вредоносныепоследствия наступать вотношениидругой, втом численекомпьютерной, т. е. на любом материальном носителе. В частности, наличие распечатки компьютерной информации является доказательством ее копирования»99.И. А. Клепицкийтакжесчитает,что«копированиевлечет ответственностьвнезависимостиот того, копируетсялиинформация спомощью технических средств либо копирование производится вручную»100.

У. В. Зинина правильно определяет, что «формулировка состава преступления, предусмотренного в статье 272 УК РФ, — неправомерный доступ к охраняемой законом компьютерной информации — как материального не отражает криминологическую реальность. Материальный состав преступления “отсекает” целый ряд ситуаций, когда указанных в законе последствий не наступает, но сам факт того, что информация становится известной третьемулицу,причиняет существенный вредееобладателю»101. Однако автор непоследователен в своих заключениях, предла-

96Копылов В. А. Указ. соч. С. 40.

97Комментарий к Уголовному кодексу Российской Федерации / под ред. Ю. И. Скуратова и В. М. Лебедева. С. 698.

98Комментарий к Уголовному кодексу Российской Федерации / под ред. А. И. Чучаева. С. 326.

99Комментарий к Уголовному кодексу Российской Федерации / под ред. В. М. Лебедева. С. 253.

100Комментарий к Уголовному кодексуРоссийской Федерации / под ред. А. И. Ра-

рога. С. 235.

101Зинина У. В. Преступления в сфере компьютерной информации в российском и зарубежном уголовном праве : автореф. дис. ... канд. юрид. наук. М., 2007. С. 13.

132

гая в качестве новации следующую формулировку ст. 272 УК РФ: «Несанкционированный доступ к компьютерной информации, совершенный с обходом средств защиты информации, с целью ее уничтожения, блокирования, модификации или копирования». Существующая формулировка — «доступ к охраняемой законом компьютерной информации» — уже предполагает применение оператором мер защиты.

М. М. Карелина понимает под доступом получение возможности ознакомиться с компьютерной информацией. Однако состав преступления по ст. 272 УК РФ носит материальный характер и предполагает обязательное наступление одного из следующих последствий: уничтожение, копирование, модификацию, блокирование информации. В этой связи следует отметить, что один из современных способов совершения «компьютерных преступлений» заключается в неправомерном доступе к компьютерной информации государственных и коммерческих структур с целью ознакомления сжизненноважной информацией, разглашениекоторой приведет к прекращению функционирования организации или предприятия в течение нескольких дней. Таким образом, ознакомление также должно являться квалифицирующим признаком уголовно наказуемого деяния.

Свойство информационной вещи (информационного объекта) проявляется как «двуединство» информации (ее содержания) и носителя, на котором эта информация (содержание) закреплена. В связи с этим на информационный объект распространяется действие двух институтов — право собственности на носитель и право собственности на информацию102.Отметим,чтонатакойсложныйинформационныйобъект,каккомпьютер, распространяется действие трех институтов — дополнительно к указанным выше проявляет свое действие институт авторского права на программное обеспечение, функционирующее на компьютере.

Независимость информации и материального носителя очевидна — информация может быть записана на носитель и удалена с него. Поэтому естественноевозражение вызывает утверждение С. А. Пашина о том, что «не образует объективной стороны преступления уничтожение или искажение информации путем внешнего воздействия на машинные носители теплом, магнитными волнами, механическими ударами и др.»103. Однако

102В. А. Копылов, описывая это свойство, акцентирует внимание на возможности передачи и распространения информации только на материальном носителе или с помощью материального носителя, отрицая тем самым возможность получения информации органолептическими методами (Копылов В. А. Указ. соч. С. 42).

103Комментарий к Уголовному кодексу Российской Федерации / под ред. Ю. И. Скуратова и В. М. Лебедева. С. 698.

133

если при механическом воздействии будет нарушена целостность носителя информации (это может повлечь ответственность за преступления против собственности), то воздействие теплом, излучением или магнитными волнами, без нарушения физической целостности носителя, модифицирует или уничтожит находящуюся на нем информацию. Следует отметить, что собственная стоимость носителя может быть ничтожной по сравнению со стоимостью зафиксированной на нем информации. Таким образом, оценивая информационный объект, следует учитывать значимость его информационной составляющей.

Свойство критической массы заключается в хорошо изученном в философиипереходеколичествавкачество.Вправоприменительнойпрактике следователь, расследуя преступление, складывает полную картину происшедшего, поэлементно собирая малозначительные факты. Данное свойство заключается в возможном получении новых знаний из анализа большого количества обрывочной информации. Необходимо отметить, что использование современных алгоритмов обработки информации в совокупности с высокоскоростными вычислительными системами позволяет в режимереального времени производить многофакторный анализ информации. Свойство критической массы наглядно проявляется в функционировании алгоритмов построения опосредованных связей. Программы, реализующие подобные алгоритмы, показывают хорошие результаты в том случае, когда объемы баз данных превышают некоторую границу.

Особую значимость такое свойство приобретает в настоящее время, когда любое коммерческое предприятие фиксирует данные клиентов и проводимые ими операции. Дебетовые и кредитные банковские карты, дисконтные карты магазинов, электронные проездные билеты в городском транспорте —вот неполныйпереченьнакапливаемой в базахданных информации о личности. Анализ этих баз позволяет получить точную и качественную характеристику о человеке: где и когда он бывает, какие продукты предпочитает, какими услугами пользуется. Анализ крупнейших утечек за последнее десятилетие выявил, что серьезной проблемой правоприменения является отсутствие ответственности операторов баз данных за разглашение информации. Оператору распространенной базы данных грозит только гражданская ответственность, устанавливаемая судоминдивидуально, винтересахкаждогосубъекта персональныхданных. Встранах, гденакоплензначительныйопытобращения сперсональными данными, отношение к утечкам баз значительно серьезнее. Так, за утечку из биллинговых баз данных Генеральный директорат Тайваня по теле-

134

коммуникациям оштрафовал трех операторов за халатность в обращении с данными абонентов на 10 тыс. долларов каждого104.

Объективную сторонуданного преступлениясоставляетнеправомерный доступ к охраняемой законом компьютерной информации, который всегда носит характерсовершения определенных действий. Как отмечает М. М. Карелина, неправомерным следует признать доступ к компьютерной информации лица, необладающего правами на получение и работу с данной информацией либо компьютерной системой. Причем в отношении этой информации либо системы должны приниматься специальные меры защиты, ограничивающие круг лиц, имеющих к ней доступ105.

Состав данного преступления носит материальный характер и предполагает обязательное наступлениеодного из указанных в статье последствий. М. М. Карелина обращает особое внимание на установление причинной связи между несанкционированным доступом и наступлением последствий. При этом она отмечает, что при функционировании сложных компьютерных систем возможны уничтожение, блокирование и нарушениеработыЭВМ врезультатетехническихнеисправностей илиошибок в программных средствах. В этом случае лицо, совершившее неправомерный доступ к компьютерной информации, не подлежит ответствен- ностииз-заотсутствия причиннойсвязи междудействиямии наступившими последствиями. Г. Д. Долженкова также считает объективной стороной состава преступления причинно-следственную связь между действием и последствиями106. Этот выводсложно оспорить, однакоопытработы с компьютернымисистемами ипроведенныеопросы специалистов показывают, что определить один из вариантов внешнего воздействия — сбой аппаратуры,сбойпрограммы,воздействиевредоноснойпрограммы,действиязлоумышленника —по наступившимпоследствиямневсегда возможно. Данноепреступлениесчитаетсяоконченнымвмоментнаступленияпредусмотренных в статье последствий.Зная это, квалифицированный злоумышленник всегда будет стремиться маскировать результаты своих действий под программную или техническую неисправность.

Нельзясогласиться смнениемВ. В. Воробьева, считающего, что«невыполнение компьютером такой функции, как охрана информации от

104Дмитриев М. Тайвань: операторы ответят за утечку из своих баз данных личной информации об абонентах. URL: http://www.onliner.by (дата обращения: 03.05.2004).

105Комментарий к Уголовному кодексу Российской Федерации / под ред. В. М. Лебедева. С. 253.

106Комментарий к Уголовному кодексу Российской Федерации / под ред. А. В. Бриллиантова. М., 2015. С. 198.

135

несанкционированного доступа, также следует считать нарушением работы ЭВМ»107. Сам компьютер не может определять значимость информации и устанавливать степень ее защиты. Ответственность за это должен нести собственник информационных ресурсов. Более того, субъективная сторона данного преступления характеризуется только прямым умыслом.

В части 2 ст. 272 УК РФ в качестве специального субъекта выделено лицо, использующее свое служебное положение, а равно имеющее доступ к ЭВМ, системе ЭВМ или их сети. Вызывает возражение утверждение У. В. Зининой о том, что «описание в ч. 2 ст. 272 УК РФ специального субъекта преступления… основывается на устаревших представлениях о возможностях информационных технологий, об ЭВМ как машинах, стоящих в закрытых помещениях»108. Формулировка существующей в законе нормы не уточняет местонахождение субъекта относительно ЭВМ в момент преступления, предполагая как непосредственный доступ, так и удаленный. Более того, предлагаемая автором редакция ст. 272 УК РФ полностьюисключаетответственность специальногосубъекта,совершившего уничтожение, блокирование, модификацию либо копирование информации при правомерном доступе к ЭВМ. Например, нельзя квалифицировать действия инженера по обслуживанию ЭВМ, который в результате форматирования жесткого диска уничтожил базу данных, как «несанкционированный доступ к компьютерной информации, совершенный с обходом средств защиты информации», поскольку он имел правомерный доступ и не нарушал средства защиты.

Совершеннонедопустимым являлось предложениеЕ. А. Маслаковой об исключении из законодательной конструкции ст. 273 УК РФ «нарушение работы ЭВМ, системы ЭВМ или их сети». По мнению автора, такое нарушение надо считать производным от действий по уничтожению, модификации, блокированию, копированию компьютерной информации109. Однакоавторсмешиваетпонятияпрограммногои информационногообеспечения. Целью перечисленныхдействий являетсякомпьютерная информация, а нарушение работы ЭВМ может произойти при воздействии вредоносной программы на программы обработки информации, в частности, на файлы операционной системы. Кроме воздействия на программное обеспечение, вредоносные программы, как было показано ранее, мо-

107Комментарий к Уголовному кодексуРоссийской Федерации / под ред. А. А. Че-

калина. М., 2006. С. 417.

108Зинина У. В. Указ. соч. С. 13.

109Маслакова Е. А. Указ. соч. С. 9.

136

гут быть также использованы для воздействия на периферийное оборудование. Однако законодатель пошел на предложенные изменения, исключив из объективной стороны неправомерного доступа нарушение работы ЭВМ, системы ЭВМ и их сети (Федеральный закон от 7 декабря 2011 г. № 420-ФЗ «О внесении изменений в УК РФ и отдельные законодательные акты Российской Федерации»). Однако элементарная операция по перемещению служебных файлов операционной системы в другой каталог, совершенная системным администратором в соответствии с его полномочиями, приведет к прекращению функционирования ЭВМ, при этом операции проводятся со служебными файлами, которые не относятся к охраняемой законом компьютерной информации. Более того, запуск простого HTML-скрипта благодаря неисправленной критической ошибке в 64-битной Windows 7 делает компьютеры уязвимыми ксбою с последующим «зависанием»110. Нарушение работы ЭВМ являлось самостоятельным противоправнымдействием. Таким образом, послеуказанногонововведения можно прогнозировать увеличение подобных инцидентов.

Вотличиеот ст. 272 УКРФ, объективную сторонупреступления,квалифицируемого по ст. 273 УК РФ, составляет факт создания программ для ЭВМ или внесение изменений в существующие программы. Как отмечает М. М. Карелина111, данный состав является формальным и не требует наступления каких-либо последствий. Уголовная ответственность возникает уже в результате создания программы, независимо от того, использовалась эта программа или нет. По смыслукомментируемой статьи, наличие исходных текстов вирусных программ является основанием для привлечения к ответственности. Автор правильно акцентирует внимание на действиях организаций, осуществляющих разработку антивирусных программ и имеющихлицензию на деятельность позащитеинформации.

Мы согласны сЛ. Н. Соловьевым, который при рассмотрении данного вопроса подчеркивал: «Понятие компьютерной информации… значительноширепонятия программных средств,которыетакжеявляются компьютерной информацией, но при этом выполняют указанную служебную функцию»112.

110Простой HTML-тег приводит к падению Windows 7. URL: http://www.itsec.ru/ newstext.php? news_id=82379 (дата обращения: 12.05.2014).

111Комментарий к Уголовному кодексу Российской Федерации / под ред. В. М. Лебедева. С. 253.

112Соловьев Л. Н. Расследование преступлений, связанных с созданием, использованием ираспространением вредоносных программ для ЭВМ :автореф.дис. ... канд.

юрид. наук. М., 2003. С. 11.

137

Нельзя согласиться с В. В. Воробьевым, предлагающим считать вредоносной программой компилированный текст программы, т. е. находящийся в электронном виде и способный осуществлять вредоносные функции. Написаниетекста программыбез еекомпилирования авторпредлагает квалифицировать как покушение на создание вредоносной программы. Этим предложением В. В. Воробьев противоречит определению программы, данному законодателем, по которому даже подготовительные материалы, полученные в процессе разработки, отождествляются с программой для ЭВМ.

С субъективной стороны преступление, предусмотренное ч. 1 ст. 273 УК РФ, может быть совершенотолько с прямым умыслом. Часть 2 статьи

вкачестве квалифицирующего признака предусматривает наступление тяжких последствий по неосторожности. Однако разработка программ доступна толькоквалифицированным специалистам, которые в силу своейпрофессиональной подготовкидолжныпредвидеть возможныепоследствия использования программ.

Вэтом случае, как справедливо отмечает М. М. Карелина, при установлении прямого умысла квалификация преступления должна основываться на цели, которая стояла перед виновным. Создание программы будет являться только способом совершения преступления, и должна применяться ч. 2 ст. 17 УК РФ.

Оценивать субъекта преступной деятельности в сфере компьютерной информации по анализу официальной статистики с учетом высокого уровня латентности очень сложно. Однакоприведенныев таблице 7 официальные данные МВД о лицах, совершивших зарегистрированные преступления, позволяют сделать некоторые выводы.

Впервую очередь следует обратить внимание на возрастные категориилиц, совершившихзарегистрированныепреступления (табл. 8).Если,

всоответствии с данными Госкомстата, предположить примерно равномерное распределение населения различных возрастных категорий, коэффициент криминализации каждой возрастной категории примет вид (рис. 1,2).Данныевозрастнойгруппы«16–17 лет»уменьшены вдвараза, данные возрастной группы «18–24 года» — в семь раз, данные возрастной группы «25–29 лет» — в пять раз, а данные возрастной группы «30– 49 лет»уменьшены в двадцать раз. Всоответствии сданными Госкомстата, каждая годовая возрастная категория в трудоспособном возрасте составляет около 2 млн человек.

Преобладание лиц младшей возрастной группы следует рассматривать в совокупности с данными по образованию (рис. 1).

138

Таблица 7. Данные о лицах, совершивших преступления

в сфере компьютерной информации

Таблица 8. Криминализация различных возрастныхкатегорий,

на 100 тыс. населения

139

Рис. 2. Данные по лицам различных категорий образования

Представленные на рисунках 1 и 2 данные позволяют сделать вывод о некоторых характеристиках лиц, совершающих преступления в сфере компьютерной информации. Основную категорию составляет группа в возрасте 16–17 лет с общим средним образованием. В возрастной группе 18–29 лет степень криминализации снижается в два раза, чему, несомненно, способствует повышение образовательного уровня. В возрастной группе 30–49 лет степень криминализации снижается в три–четыре раза. Эту группусоставляют лица, достигшие определенногосоциального статуса. Исходя из приведенных ранееданных об уровне латентности в сфере компьютерной информации, следует обратить внимание на возрастную категорию 18–29 лет: эти лица уже имеют значительный опыт работы с вычислительной техникой, получили профессиональное образование, но не достигли значимого социального статуса.

Особое внимание следует обратить на официальную информацию о преступлениях, совершенных группой лиц. Приведенные ранее сведения

140