Цифровые технологии в системе теоретико-исторических правовых наук
мость в правовом закреплении статуса цифровых доказательств и обосновании
права защитника их использовать в своей деятельности.
Список литературы
1. Воронин М. И. Особенности оценки электронных (цифровых) доказа-
тельств // Актуальные проблемы российского права. 2021. № 8(129). С. 118–128.
2. Калитин С. В. Доказательства электронные и цифровые // Концепт.
Научно-методический электронный журнал. 2014. Т. 20. С. 3586–3590. URL:
http://e-koncept.ru/2014/54981.htm
3. Новицкий В. А., Новицкая Л. Ю. Понятие и виды цифровых доказа-
тельств // Ленинградский юридический журнал. 2019. № 1(55). С. 213–220.
4. Чернышов В. Н., Лоскутова Е. С. Проблемы собирания и использования
цифровых доказательств // Социально-экономические явления и процессы. 2017.
Т. 12, № 5. С. 200.
5. Шелегов Ю. В., Шелегов В. Г. К вопросу о классификации электронных
(цифровых) доказательств // Криминалистика: вчера, сегодня, завтра. 2019.
№ 2(10). С. 65.
6. Дмитриева А. А., Пастухов П. С. Концепция электронного доказатель-
ства в уголовном судопроизводстве // Journal of Digital Technologies and Law.
2023. Т. 1, № 1. С. 270–295. EDN SGAOKS.
Т. В. Радченко,
кандидат юридических наук, доцент,
МИРЭА – Российский технологический университет
ПРАВОВЫЕ И ИНФОРМАЦИОННО-ТЕХНОЛОГИЧЕСКИЕ АСПЕКТЫ
ДЕТЕРМИНАЦИИ ТЕРМИНОЛОГИЧЕСКОГО АППАРАТА
ПРЕСТУПЛЕНИЙ В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ:
ПРОБЛЕМЫ УГОЛОВНО-ПРАВОВОЙ КВАЛИФИКАЦИИ
Аннотация.
В настоящей статье осуществлен сравнительный анализ по-
нятий и терминов, имеющих как уголовно-правовое, так и информационно-
технологическое значение соответственно. Предпринята попытка исследования
правовой природы понятий «компьютерная информация», «охраняемая законом
компьютерная информация», «вредоносное программное обеспечение», закреп-
ленных законодательно и терминов «компьютерный инцидент», «инцидент ин-
формационной безопасности», используемых в сфере информационных техноло-
гий в связи с взаимопроникновением терминологического аппарата и возникаю-
щими в этой связи проблемами уголовно-правовой квалификации деяний. Сфор-
мулирован тезис о необходимости нормативного закрепления дефиниций «вре-
доносное программное обеспечение», «компьютерный инцидент» во избежание
квалификационных ошибок и повышения эффективности борьбы с киберпре-
ступлениями.
Ключевые слова:
компьютерная информация, охраняемая законом ком-
пьютерная информация, вредоносное программное обеспечение, компьютерный
Цифровые технологии в системе теоретико-исторических правовых наук
инцидент, инцидент информационной безопасности, уголовная ответственность,
правила квалификации
LEGAL AND INFORMATION TECHNOLOGICAL ASPECTS
OF DETERMINING THE TERMINOLOGICAL APPARATUS OF CRIMES
IN THE SPHERE OF COMPUTER INFORMATION: PROBLEMS
OF CRIMINAL LAW QUALIFICATION
Abstract.
This article provides a comparative analysis of concepts and terms
that have both criminal-legal and information-technological significance, respectively.
An attempt has been made to study the legal nature of the concepts of "computer
information", "legally protected computer information", "malicious software"
enshrined in law and the terms "computer incident", "information security incident"
used in the field of information technology in connection with the interpenetration of
the terminology and the problems of criminal-legal qualification of acts arising in this
regard. A thesis has been formulated on the need for normative consolidation of the
definitions of "malicious software", "computer incident" in order to avoid qualification
errors and improve the effectiveness of the fight against cybercrime.
Keywords:
computer information, computer information protected by law,
malware, computer incident, information security incident, criminal liability,
qualification rules
Введение.
Современные темпы цифровизации всех сфер и процессов про-
изводственной и социальной деятельности определяют не только прогрессивные
тенденции развития общества, но и имеют негативную сторону: рост числа так
называемых киберпреступлений – деяний, совершаемых с использованием ком-
пьютерной техники, информационно-телекоммуникационных технологий, в сети
Интернет. Статистика свидетельствует, что удельный вес данных преступлений
составляет 1/3 от числа всех зарегистрированных преступлений за 2023 год, де-
монстрируя тенденцию к росту на 29,7 % к показателям 2022 г. [5]. В связи
с этим особое значение и важность приобретает разработка эффективного меха-
низма уголовно-правового воздействия на подобные негативные действия. Соот-
ветствующие нормы уголовного закона позволяют не всегда точно и однозначно
квалифицировать совершенное деяние.
Основная часть.
Перечень преступлений в IT сфере/киберпреступлений
является достаточно обширным, включая не только преступления, закрепленные
в гл. 28 УК РФ, но и все деяния, содержащие в качестве квалифицирующего при-
знака «использование ИКТС, в том числе сети Интернет». Однако в рамках заяв-
ленной проблемы, полагаю целесообразным осветить проблемы уголовно-
правовой характеристики признаков преступлений в сфере компьютерной ин-
формации, поскольку правоприменительная практика в отношении указанных
норм неединообразна и постановление Пленума ВС РФ от 15.12.2022 «О некото-
рых вопросах судебной практики по уголовным делам о преступлениях в сфере
компьютерной информации, а также иных преступлениях, совершенных с ис-
пользованием электронных или информационно-телекоммуникационных сетей,
включая сеть «Интернет» не проясняет многие вопросы, несмотря на ожидания
правоприменителя.
Цифровые технологии в системе теоретико-исторических правовых наук
Возможно выделить по меньшей мере 2 группы проблем, возникающих
при квалификации данных преступлений:
1) связанные с точным определением терминов;
2) определяющие применимые правила квалификации.
Итак, понятия, анализируемые в рамках настоящей статьи, закрепленные
в УК РФ, определены частично и нечетко. Нормы уголовного закона в этой части
бланкетные, а в отраслевом законодательстве термины также не имеют исчерпы-
вающих дефиниций. Это и приводит к необоснованно расширительному толко-
ванию уголовного закона. Такие понятия как «компьютерная информация»,
«охраняемая законом компьютерная информация» и «критическая информа-
ционная инфраструктура РФ», выступая специфическими предметами преступ-
ных посягательств, толкуются правоприменителем не единообразно.
В частности, «компьютерная информация» и «охраняемая законом компь-
ютерная информация» имеют совершенно разные характеристики: в первом слу-
чае дано законодательное определение, но оно, по сути, неприменимо для харак-
теристики понятия, употребляемого в диспозиции статьи – «охраняемая законом
компьютерная информация, когда для признания таковой необходимо установле-
ния 2-х условий: нормативного – законом закреплен специальный режим право-
вой защиты, ограничен доступ и т.д. и охранительного – обладателем информа-
ции определены средства защиты, направленные на обеспечение ее целостности
и (или) доступности) [7. С. 205.]. Таким образом, правоприменитель определяет
информацию как охраняемую при установлении правообладателем даже мини-
мальной ее защиты в виде создания пароля при входе в файловую систему. Пред-
ставляется, что такое толкование представляется излишне расширительным,
ввиду субъективности оценки степени общественной опасности в
каждом случае
совершенного доступа. Здесь требуется ответ на вопрос: всегда ли содержащаяся
в компьютерном устройстве информация настолько значима, что действия с ней
общественно опасны. Между тем, вопрос не разрешен однозначно до настоящего
момента.
Анализ признаков понятия «вредоносная компьютерная программа или
вредоносное программное обеспечение», выступающие предметом преступного
посягательства согласно ст. 273 УК РФ затруднены из-за сложности определения
технических признаков вредоносности. По признанному мнению, вредоносными
являются программы, направленные на осуществление несанкционированного
доступа. В связи с этим исследование соотношения понятий «программное
обеспечение» и «вредоносное программное обеспечение» позволит избежать
ошибок при уголовно-правовой квалификации деяний, посягающих на компью-
терную информацию. В этой связи следует охарактеризовать и сопоставить по-
нятия «компьютер» и «компьютерная информация», выявив их существенные
признаки. Так, под компьютером понимают «устройство, которое выполняет ло-
гические операции и обработку данных, может использовать устройства ввода
и вывода информации на дисплей и обычно включает в себя центральный про-
цессор (от англ. CPU – “central processing unit”) для выполнения операций», со-
гласно Техническому регламенту Евразийского экономического союза «О требо-
ваниях к энергетической эффективности энергопотребляющих устройств»[4],
тогда как под «компьютерной информацией понимаются сведения (сообщения,
Цифровые технологии в системе теоретико-исторических правовых наук
данные), представленные в форме электрических сигналов, независимо от
средств их хранения, обработки и передачи». Для штатной работы компьютера,
т.е. для осуществления любых действий с компьютерной информацией необхо-
димы установка и использование программного обеспечения. С позиции между-
народных стандартов определения понятия «программное обеспечение» (далее –
ПО) сводятся к следующему:
– совокупность программ системы обработки информации и программных
документов, необходимых для эксплуатации этих программ [2];
– все или часть программ, процедур, правил и соответствующей докумен-
тации системы обработки информации (ISO/IEC 2382-1:1993) [12];
– компьютерные программы, процедуры и, возможно, соответствующая
документация и данные, относящиеся к функционированию компьютерной си-
стемы [11].
Действующее Гражданское законодательство РФ, определяя компьютер-
ную программу, использует в ст. 1261 понятие «программа для ЭВМ», закреп-
ляет ее как «...представленную в объективной форме совокупность данных
и команд, предназначенную для функционирования ЭВМ и других компьютер-
ных устройств в целях получения определенного результата, включая подготови-
тельные материалы, полученные в ходе разработки программы для ЭВМ,
и порождаемые ею аудиовизуальные отображения».
Используя метод синтеза, можно сделать вывод о том, что программное
обеспечение – особый вид компьютерной информации, содержащий данные
и инструкции, позволяющий компьютеру выполнить определенные действия
в рамках алгоритма. При этом его программное обеспечение (далее – ПО) может
быть использовано в разных целях, в том числе и для нанесения вреда. И тогда
оно приобретает свойства вредоносности.
В соответствии с техническими характеристиками существует большое
количество определений вредоносного ПО. Так, по глоссарию «VMWare» «Вре-
доносное ПО – это общее название категории ПО, используемого в киберпре-
ступлениях, которые затрагивают ноутбуки, настольные компьютеры, серверы,
мобильные устройства, а в последнее время и устройства Интернета вещей» [1].
Компания «Microsoft» определяет ВПО как «вредоносные приложения и код,
способные вызвать повреждения и нарушить нормальную работу устройств.
Вредоносные программы позволяют свободно использовать системные ресурсы,
запускают несанкционированный доступ, снимают защиту и способствуют кра-
же паролей, блокируют доступ к компьютеру, и выполняют другие действия»
[13].
Исходя из вышесказанного, представляется, что вредоносное программное
обеспечение – это особый вид компьютерной информации, содержащий данные
и инструкции, наносящей вред компьютеру. Следует отметить, однако, что и ле-
гитимное ПО может причинить вред. Иными словами, его легко трансформиро-
вать во вредоносное.
Уголовный закон РФ не использует указание на какие-либо специальные
свойства, обобщая понятие «вредоносное программное обеспечение» (далее –
ВПО) до указания на «заведомо предназначенные для несанкционированного
Цифровые технологии в системе теоретико-исторических правовых наук
уничтожения, блокирования, модификации, копирования информации или
нейтрализации средств защиты компьютерной информации.
Представляется, что с целью разграничения полезного ПО и вредоносного
необходимо использовать специфические показатели, которые можно было бы
назвать метриками и установление которых позволит избежать ошибок при ква-
лификации киберпреступлений. К ним следует отнести:
– причиненный ущерб;
– отсутствие согласия пользователя;
– умысел;
– свойства и возможности компьютерной программы.
Одной из важнейших среди представленных метрик ВПО полагаем отсут-
ствие согласия пользователя компьютера на установку данного программного
обеспечения. Помимо этого, одним из значимых критериев выступают умыш-
ленные действия разработчика ПО, заранее придающего ему скрытую вредонос-
ность. Признание подобного подхода позволит разграничить программную
ошибку, нарушение правил использования ПО, повлекшее ущерб и собственно
использование ВПО.
Кроме того, размер причиненного ущерба может быть разным: от неис-
числяемого морального (программы-шутки) до имущественного вреда в не-
сколько миллионов и более рублей (шифровальщики) [8]. Наконец, стоит отме-
тить, что немаловажную часть в этих метриках играют возможности и информа-
ционно-технические способности программы. Программа без функций доступа
к файловой системе и сети неспособна нанести какой-либо значительный ущерб.
Таким образом, представляется, что использование обозначенных характе-
ристик/метрик для анализа ПО на вредоносность вполне оправдано и полезно,
поскольку позволяет избежать ошибок при разграничении смежных составов
преступлений, предусмотренных статьями 272, 273, 274 УК РФ.
Кроме того, бланкетность исследуемых уголовно-правовых норм отсылает
правоприменителя, как правило, к отраслевым актам – национальным стандар-
там – ГОСТам, оперирующим отличными от уголовного закона понятиями «ин-
цидент», «инцидент информационной безопасности» и «компьютерный инци-
дент/киберинцидент», которые в свою очередь указывают и характеризуют спо-
соб и результат воздействия на информационную инфраструктуру. При этом
данные понятия не синонимичны.
Так, анализ функционирования IT-систем в бизнес-сфере позволяет кон-
статировать, что указанные понятия имеют существенные различия, а также
определяют разные ситуации.
Под «инцидентом» обычно понимают спонтанные снижение качества или
прерывание предоставления IT-услуг или реализации бизнес-процессов.
Это
может быть квалифицировано как деликт или казус, разграничивая невиновное
причинение вреда с обстоятельствами непреодолимой силы – как чрезвычайное
и непредотвратимое при данных условиях обстоятельство.
Причиной таковых, как правило, являются различные технологические
факторы, например, устаревшее оборудование, уязвимые личные устройства со-
трудников; человеческий фактор, не связанный с умыслом на причинение вреда.
По уровням объема и охвата операций такие инциденты типизируют как низкий,
Цифровые технологии в системе теоретико-исторических правовых наук
средний, высокий, критический. Данное деление используется с целью опреде-
ления приоритетности устранения ввиду влияния инцидента на бизнес
и прогнозируемые затраты на восстановление.
«Инцидент ИБ» – одно или несколько событий, с высокой вероятностью
приводящих к угрозе информационной безопасности и функционирования биз-
нес-процессов. Согласно ГОСТ Р ИСО/МЭК ТО 18044-2007 ФСТЭК России
«Менеджмент инцидентов информационной безопасности» под «инцидентом
ИБ» понимают появление одного или нескольких нежелательных или неожидан-
ных событий ИБ, с которыми связана незначительная вероятность компромента-
ции бизнес-операций и создания угрозы информационной безопасности. В дан-
ной характеристике
использованы оценочные признаки, сами по себе нуждаю-
щиеся в четком определении: нежелательные, неожиданные, спонтанные… [3].
Толкование подобных признаков обычно затруднено.
В свою очередь, «Событие ИБ» – зафиксированное состояние информаци-
онной (автоматизированнной) системы, указывающее на возможное нарушение
безопасности информации, сбой средств защиты информации или ситуацию, ко-
торая может быть значимой для безопасности информации.
Под компьютерным инцидентом (киберинцидентом) [6] понимают факт
нарушения и/или прекращения функционирования информационного ресурса,
сети электросвязи, используемых для организации взаимодействия информаци-
онных ресурсов, и/или нарушения безопасности обрабатываемой информации,
в т.ч. произошедший в результате компьютерной атаки.
В этом случае возможно установить общественную опасность или как ми-
нимум вредоность. По этой причине важна оценка ситуации с точки зрения зако-
на, императивно предусматривающего юридическую ответственность.
Однако ни материальное, ни процессуальное действующее законодатель-
ство РФ не знают понятий «инцидент», «инцидент ИБ», «киберинцидент» при
установлении оснований конкретного вида ответственности, например, при не-
правомерном доступе к компьютерной информации, или посягательстве на пер-
сональные данные.
Безусловно посредством толкования правоприменитель придет к выводу
что инцидент – это событие, которое произошло при совершении кибератаки
(конкретного типа), который в свою очередь будет отвечать признакам способа
совершения деяния.
В сфере информационной безопасности названы несколько типов компью-
терных инцидентов, подпадающих либо под характеристику признаков объек-
тивной стороны ст. 273 УК РФ – использование вредоноского ПО (заражение),
либо направленных на копирование, блокирование, модификацию, уничтожение
информации по смыслу 272 УК РФ (DoS-атаки, несанкционированный доступ,
стороннее сканирование и т.д.). При этом уголовный закон предусматривает усе-
ченную ответственность за посягательства на компьютерную информацию, тогда
как понятие кибербезопасность охватывает еще и безопасность работы
устройств, оборудования и ПО.
Следует отметить, что понятие «киберинцидент» до сих пор остается отчасти
оценочным, поскольку закреплено на уровне отраслевого регулирования. Как пра-
вило, специалисты в сфере информационной безопасности считают его либо пра-
Цифровые технологии в системе теоретико-исторических правовых наук
вонарушением особого рода с возможностью привлечения нарушителя к дисципли-
нарной ответственности, либо не влекущим юридической ответственности событи-
ем. Более того, не всегда устранение последствий кибервоздействия ведет к уста-
новлению лица, его совершившего. Более того, инциденты часто транграничны.
Таким образом, проблема понимания правовой природы вышеуказанных понятий
порождает проблемы уголовно-правовой квалификации деяний.
Применимые правила квалификации анализируемых деяний также нужда-
ются в уточнении. Зачастую, при неправомерном доступе к компьютерной ин-
формации, особенно удаленном, используется вирусное программное обеспече-
ние как способ неправомерного доступа [9. С. 131]. В этом случае, по мнению
Верховного Суда РФ, следует квалифицировать действия виновного по совокуп-
ности преступлений ст. 272 и 273 УК РФ. Более того, в случае посягательства на
охраняемую законом тайну, например, частной жизни, также по ст. 138 УК РФ,
тогда как при использование вредоносных компьютерных программ для непра-
вомерного воздействия на критическую информационную инфраструктуру Рос-
сийской Федерации (в том числе в случае, когда осуществляется распростране-
ние этих программ на объекты критической информационной инфраструктуры
исключительно для их последующего использования) полностью охватывается
ч. 2 ст. 274
1
УК РФ и дополнительной квалификации по ст. 273 УК
РФ не требует
[10. С. 53].
Резюмируя изложенное, следует особо отметить, что обозначенные ситуа-
ции не способствуют единообразному применению уголовного закона и требуют
его доработки. Представляется, что этот процесс должен быть как безусловно
качественным с точки зрения правового анализа, применимой юридической тех-
ники, так и максимально интенсивным в силу стремительного развития IT-
технологий.
Заключение. Повседневная деятельность человека с неизбежностью пред-
полагает взаимодействие с устройствами и технологиями, которые стремительно
меняют представление о реальности [14. С. 652]. Преступная деятельность в IT-
сфере высокоинтеллектуальна и, соответственно, латентна, способы ухода от от-
ветственности постоянно совершенствуются, поэтому алгоритмы правового реа-
гирования должны соответствовать этим вызовам. Однако их создание и эффек-
тивное использование возможно лишь при глубоком понимании сути процесса:
при активном диалоге не только юристов, но и IT-специалистов.
Список литературы
1.
Глоссарий
VMWare:
Вредоносное
ПО.
2024.
URL:
https://www.vmware.com/ru/topics/glossary/ content/malware.html
(дата обращения:
26.04.2024).
2.
ГОСТ 19781-90 Обеспечение систем обработки информации программ-
ное. Термины и определения // Единая система программной документации: Сб.
ГОСТов. М.: Стандартинформ, 2010.
3.
ГОСТ Р ИСО/МЭК ТО 18044-2007 ФСТЭК России «Менеджмент инци-
дентов
информационной
безопасности»
режим.
URL:
https://base.garant.ru/70246074
(дата обращения: 02.09.2024).
Цифровые технологии в системе теоретико-исторических правовых наук
4.
Евразийский экономический союз. Официальный сайт. 2024. URL:
http://www.eaeunion.org
(дата обращения: 16.08.2024).
5.
Краткая характеристика состояния преступности в Российской Федера-
ции за январь – декабрь 2023 года [Электронный ресурс]. URL:
https://мвд.рф/reports/item/47055751/?ysclid=m0oaq7qak6659947758
(дата обраще-
ния: 02.09.2024).
6.
Национальный стандарт РФ ГОСТ 59709 – 2022 Защита информации.
Управление компьютерными инцидентами. Термины и определения. Утв. При-
казом Федерального агенства по техническому регулированию и метрологии.
URL:
https://base.garant.ru/406006283
(дата обращения: 02.09.2024).
7.
Пучков Д. В. Объективные признаки преступлений по законодательству
РФ, совершаемых в сфере реализации кибернетических технологий // Гумани-
тарные и юридические исследования. 2019. № 4.
8.
Рафиков И. Н., Алышев Ю. В. Преступления в сфере компьютерной
информации // E-Scio. 2020. № 2 (41).
9.
Теппеев А. А. Способы совершения и проблемы квалификации пре-
ступлений, совершаемых с использованием сети интернет // Право и управление.
2023. № 3.
10.
Шульга А В., Галиакбаров Р. Р. Уголовная ответственность за непра-
вомерное воздействие на критическую информационную инфраструктуру Рос-
сийской Федерации (ст. 274.1 УК РФ) // Гуманитарные, социально-
экономические и общественные науки. 2018. № 5.
11.
IEEE Standard for Software and System Test Documentation // IEEE Std
829-2008. 2008. Pр. 1–150. (дата обращения:18.02.2023).
12.
ISO/IEC 2382:2015 Information technology – Vocabulary. 29.11.2022.
URL:
https://www.iso.org/ standard/63598.html
(дата обращения: 18.02.2023).
13.
Understanding
malware
&
other
threats.
29.11.2023.
URL:
https://learn.microsoft.com/en-us/
microsoft-365/security/intelligence/understanding-
malware
(дата обращения: 20.01.2024).
14.
Русскевич Е.А. Нарушение правил централизованного управления
техническими средствами противодействия угрозам информационной безопас-
ности // Journal of Digital Technologies and Law. 2023. Т. 1, № 3. С. 650–672.
https://doi.org/10.21202/jdtl.2023.28
. EDN: fiseet
А. Ф. Реховский,
кандидат юридический наук, доцент,
Дальневосточный федеральный университет
ИСКУССТВЕННЫЙ ИНТЕЛЛЕКТ В УГОЛОВНОМ ПРАВОСУДИИ:
АНАЛИЗ ОГРАНИЧЕНИЙ И ЭТИЧЕСКИХ ВЫЗОВОВ В СВЕТЕ
ЕВРОПЕЙСКОГО ЗАКОНА ОБ ИСКУССТВЕННОМ ИНТЕЛЛЕКТЕ
Аннотация.
В статье исследуется влияние цифровизации на уголовную
юстицию, с акцентом на использование искусственного интеллекта (ИИ). Цель
работы заключается в анализе ограничений и этических вызовов, связанных
с внедрением ИИ, в свете принятия Европейского закона об искусственном ин-
