ПРОБЛЕМИ ЗАКОНОДАВЧОГО ЗАБЕЗПЕЧЕННЯ
БОРОТЬБИ З КОМП'ЮТЕРНИМИ ЗЛОЧИНАМИ


У світі досить впевнено в правову лексику ввійшло поняття "комп'ютерних злочинів". Шпальти навіть неспеціалізованих видань рясніють такими прикладами.

Віруси-відмички.
31.01.95 р. російська газета "Комерсант Daіly" повідомила, що в серпні 1994 р. в результаті впровадження спеціальної програмної закладки (вірусу) в комп'ютерну систему Центрального банку Росії шахраям вдалося провести 10 фальшивих авізо на загальну суму 62 млрд. руб. Роль спеціальної програмної закладки звелася до того, що вона дозволила провести авізо з невірними реквізитами.

Комп'ютерний шантаж.
У Лондоні висококваліфіковані спеціалісти у сфері комп'ютерних технологій наочно продемонстрували одній з оборонних фірм свої можливості у створенні аварійних ситуацій в її комп'ютерній мережі, внаслідок чого 17 березня 1995р. здирники отримали від цієї фірми 10 млн. фунтів стерлінгів.

Пограбування банку.
В.Левін (м.Санкт-Петербург) організував пограбування на суму 12 млн. дол. одного з найбільших американських банків "Cіtіbank", проникнувши до його комп'ютерної системи. З серпня 1995 р. і до цього часу вдалося повернути лише 400 тис. дол.

Електронне сміття.
З великим резонансом у 1997 році відбулось блокування роботи українського провайдера "Інтернет" "Глобал Юкрейн". На декілька годин було паралізовано роботу чисельних клієнтів (державні установи, банки, підприємства та інші) цього провайдеру завдяки тому, що російська фірма "Демос" буквально завалила "електронним сміттям" сервери "Глобал Юкрейн", не даючи змоги передавати корисну інформацію.

"Електронні берети".
У Мінестерстві оборони США сформовано спеціальний підрозділ, призначений для боротьби з загрозами проникнення сторонніх осіб у обчислювальні мережі Пентагону, для пошуку та виявлення хакерів. Це є наслідком ситуації, яка склалася останнім часом і поставила на межу надмірного ризику бази даних Пентагону, у яких містяться відомості про дослідницькі програми по балістичній зброї, підводних човнах тощо.

Досить цікава статистика отримана американськими експертами. У США середня вартість втрат складає: від одного фізичного пограбування банку- 3,2 тис. дол.; від одного шахрайства - 23 тис. дол.; від однієї комп'ютерної крадіжки - 500 тис. дол. При цьому слід зазначити той факт, що загальна кількість зловживань у сфері комп'ютерних технологій та розмір завданих при цьому збитків неухильно зростають. Це можна пояснити декількома факторами:

Все це викликає зростаючу занепокоєність у розвинених державах. Тому в них докладаються серйозні зусилля щодо створення загальнодержавної системи боротьби з комп'ютерними злочинами. Ці зусилля концентруються на декількох напрямах:   Кошти, потрібні для вирішення цих завдань, дуже великі, і з кожним роком їх потрібно все більше. Обсяг виробництва засобів фізичного контролю та захисту ЕОМ тільки у США має такі розміри і темпи росту: від 1,8 млрд. дол. в 1990 р. до 5 млрд. дол. у 2000 р. Однак витрати на ці цілі все одно значно менші за можливі збитки. Власне одним з основних принципів у значній більшості випадків реалізації систем захисту інформації є саме цей обсяг асигнувань, які виділяються на захисні заходи. Його вартість повинна бути меншою за вартість можливих збитків.
Поряд з іншими напрямами особливо важливою є розробка кримінального законовавства, скерованого на боротьбу з комп'ютерними злочинами. За різними оцінками, сумарний збиток у світі від здійснення різних комп'ютерних злочинів складає міліардів доларів на рік. Наприклад, обсяги крадіжок, які були виконані лише за допомогою використання транснаціональної мережі "Інтернет", у 1994 році склали біля 5 млрд. дол. Тому в ряді країн, починаючи з США та закінчуючи країнами Південно-Азійського регіону, виходячи з визнання суспільної небезпеки комп'ютерних злочинів, вжиті заходи стосовно введення до національного законодавства норм, які дозволяють здійснювати кримінальне переслідування осіб, що їх вчинили.
Питання - чи є реальною загроза комп'ютерної злочинності в Україні - є далеко не риторичним, бо всі вищенаведені факти, що свідчать про тенденцію збільшення кількості зловживань у сфері комп'ютерних технологій, є актуальні і для нашої держави. Але на відміну від багатьох інших країн, законодавча база в Україні в цій сфері далеко відстає від вимог часу. Що у нас є ?
Наведемо зміст однієї єдиної норми - ст.1981 КК України "Порушення роботи автоматизованих систем":
"Навмисне втручання у роботу автоматизованих систем, що призвело до перекручення чи знищення інформації або носіїв інформації, чи розповсюдження програмних і технічних засобів, призначених для незаконного проникнення в автоматизовані системи і здатних спричинити перетворення або знищення інформації чи то носіїв інформації, карається позбавленням волі на строк до двох років або виправними роботами на цей же строк, або штрафом у розмірі від ста до двохсот мінімальних розмірів заробітної плати.
Ті ж дії, якщо ними спричинено шкоду у великих розмірах, або вчинені повторно чи за попереднім зговором групою осіб, караються позбавленням волі строком від 2 до 5 років."
Спробуємо провести короткий аналіз цієї статті .
  1. Спеціалісти знають, що знищення деяких файлів, наприклад текстових, часто ніяким чином не впливає на роботу автоматизованих систем (АС). Отже, назва статті не зовсім точно відображає об'єкт злочинного зазіхання, який у ній розглядається.
  2. "Навмисне втручання у роботу автоматизованих систем, що призвело до перекручення чи знищення інформації …". Усі, хто працює на електронно-обчислювальних машинах, знають, що будь-який користувач або оператор ЕОМ тільки те і робить, що навмисне втручається у роботу АС з метою або створення інформації, або її модифікації, у тому числі спотворення, або її знищення, коли відпадає необхідність подальшого її зберігання. Всі ці дії є санкціонованими, передбаченими логікою роботи автоматизованих систем. За що ж здійснювати карне переслідування?

Крім того, диспозиція статті свідчить про те, що законодавець цей вид правопорушення відносить тільки до умисних. Але, з точки зору можливого завдання збитку, байдуже, чи знищена інформація навмисне, чи з необережності.
  "... розповсюдження програмних і технічних засобів, призначених для незаконного проникнення в автоматизовані системи і здатних спричинити перетворення або знищення інформації чи то носіїв інформації...". Єдиним технічним засобом, за допомогою якого можна реалізувати "незаконне проникнення у автоматизовані системи", є комп'ютер. Як бути з тими, хто займається розповсюдженням різних ЕОМ? Переслідувати чи не переслідувати? Бити чи не бити?
Навіть цих прикладів достатньо для того, щоб зробити висновок про те, що застосування статті 1981 КК України [1] є дуже проблематичним. Мабуть тому нема прикладів того, що хтось був би притягнутий до відповідальності по цій статті. Хоча випадок з "Глобал Юкрейн", здавалось би, надав для цього привід.
У проекті Кримінального кодексу України , який був підготовлений робочою групою КМ України, міститься розділ XVІ "Злочини в сфері використання автоматизованих електронно-обчислювальних систем". Аналіз змісту цього розділу показує, що системного будування норм карного законодавства не відбулося. Запропонованими нормами не охоплюється вся можлива множина комп'ютерних злочинів. Більше того, нові норми містять такі ж принципові помилки, що існують в нині діючій статті КК.
Очевидно, перш ніж говорити про формування змісту конкретних норм, необхідно визначитися з можливим об'єктом комп'ютерних злочинів.
Під загальним об'єктом злочину уявляється уся сукупність суспільних відносин, яка охороняється карним законодавством. Відома думка про те, що чим більше суспільних відносин підпадає під дію карного законодавства, тим більш деспотичною є держава. При цьому мають на увазі те, що визначенню "деспотичний" є синонім "антидемократичний". Звісно, що сьогодні будь-які антидемократичні дії в державі не зможуть знайти широкого кола прихильників. Тому деякі фахівці доводять, що розширювати сферу дії карного законодавства за рахунок введення до його складу розділу "комп'ютерні злочини".
Проте потрібно враховувати те, що в результаті поступового розвитку суспільства появи новітніх технологій, особливо застосованих на використанні обчислювальної техніки, суттєво впливає на розвиток суспільних відносин, аж до появи нових форм. Тому до якоїсь дійсної сукупності суспільних відносин, які регулюються карним законодавством, постійно додаються нові. І це є об'єктивна реальність. Настільки об'єктивна, настільки об'єктивний процес суспільного розвитку. Крім того, необхідно враховувати ступінь суспільної безпеки цього виду злочинів і також те, що в майбутньому ступінь цієї небезпеки буде зростати.

Родовий об'єкт.
Загальним для усіх злочинів у сфері, що розглядається, є те, що вони пов'язані або з несанкціонованим втручанням у роботу автоматизованих систем (АС), або з неправомірними діями з інформацією, яка збирається, обробляється, передається та зберігається в АС, що призводить до певних збитків. Особлива суспільна небезпека таких злочинів визначається такими чинниками:

  1. Використання різноманітних інформаційних технологій та процесів, які ґрунтуються на функціонуванні засобів обчислювальної техніки у найрізноманітніших сферах діяльності суспільства.
  2. Зростаючі темпи інформатизації у найбільш важливих сферах народного господарства - зв'язку, фінансах, транспорті, обороні та ін.
  3. Дуже висока "ефективність" злочинів у сфері, що розглядається, у випадку їх повної реалізації.
  4. Досить низький рівень розкриття таких злочинів.
Безпосередній об'єкт.
У сфері суспільних відносин, яка розглядається, злочинні спрямування можуть бути спрямовані на несанкціоновані:   Несанкціоновані дії потрібно розуміти як дії, які суперечать по-ложенням законодавства, нормативно-правових та нормативно-технічних документів, волевиявленню власника інформації чи власника або розпорядника АС, в якій вона знаходиться.
Характерним для цього виду злочинних зазіхань є те, що у переважній більшості випадків об'єкт злочину може бути складним. Наприклад, порушення цілісності інформації у АС може відбуватися з метою зміни даних про величину суми на рахунку в банку; виведення з ладу АС - з метою організації диверсії на залізничному транспорті та ін.
Зазіхання на несанкціоновані зміни режимів функціонування АС можуть привести до:  Комп'ютерні правопорушення також характеризується тим, що для більшості з них завжди має місце матеріальний склад злочину.
У випадку оснащення АС спеціальними реєстраційними системами та системами розмежування доступу більшість злочинів будуть мати тільки формальний склад злочину; тобто буде мати місце злочинна дія без злочинних наслідків. У цьому випадку злочинне зазіхання може бути виявлене ще на етапі спроби його здійснення. Звичайно, це не зменшує суспільної небезпеки таких злочинів.
Дуже цікаве питання - хто ж здійснює комп'ютерні злочини? Суб'єктом комп'ютерних злочинів є фізична особа або група осіб. Раніше вважалося, що такого роду злочини можуть здійснювати тільки висококваліфіковані, з досить тривалою та серйозною підготовкою програмісти, і отже вік злочинців вважався трохи більшим за 18 років. Однак досвід останніх років свідчить, що вік осіб, здатних усвідомлено здійснювати атаки на системи захисту інформації у комп'ютерних мережах та системах, значно знизився. Це також потрібно врахувати у відповідних нормах КК.
Здійснення комп'ютерних злочинів у більшості випадків потребує значних розумових зусиль та серйозної вольової концентрації, тому питання про можливу несамовитість зловмисника потребує старанного розслідування у кожному конкретному випадку.
Особливості побудови і функціонування АС призводять до того, що навіть за наявності тривіальних методів та способів захисту від несанкціонованого доступу, які можуть надати широко розповсюджені операційні системи та прикладні програми, необхідне певне вольове зусилля для прийняття рішення про атаку на ці системи захисту та для її здійснення. Тому можна зробити висновок - більшість комп'ютерних злочинів носить умисний характер, тобто злочинець діє умисно. У ст.8 КК України вказується на дві ознаки наміру - інтелектуальний та вольовий. Очевидно, що для комп'ютерних злочинів ознака інтелектуальності присутня практично завжди. А ось вольова ознака може мати різний відтінок, що може зробити намір прямим чи посереднім.
У комп'ютерних злочинах можуть мати місце різні мотиви, вже достатньо добре відомі в кримінальній практиці. Але можуть бути і такі екзотичні мотиви: як самоутвердження програміста, бажання освоїти новий програмний продукт чи перевірити рекламні запевнення виробників систем та засобів захисту інформації та ін.
Особливо слід звернути увагу на проблеми віднесення деяких злочинів до комп'ютерних. У науковій та публіцистичній літературі досить жваво дискутуються питання, які пов'язані з пропагандою жорстокості, насильства, ненависті до людини тощо, а також з грубим попранням норм моралі в загальнодоступних комп'ютерних мережах. Лунають заклики створити негайно особливе карне законодавство для переслідування злочинців, які це роблять. Обґрунтування необхідності такого кроку мотивується тим, що начебто у цьому випадку в загальнодоступних комп'ютерних мережах є якісь особливості.
Але якщо стосовно прикладу, що розглядається, проаналізувати з точки зору розповсюдження масової інформації, функціональну відмінність комп'ютерних мереж та традиційних засобів масової інформації, - друкованих видань, телебачення і радіомовлення, стає зрозумілим, що такої відмінності немає. Тому що і в одному, і в другому випадку мова йде про засоби масової комунікації, тобто про засоби, які дозволяють здійснити систематичне розповсюдження інформації. Тому і комп'ютерні мережі, і друковані видання, і телебачення, і радіомовлення виступають в однакової якості - вони є лише засобом донесення інформації до користувача. Таким чином, що стосується розповсюдження масової інформації, то комп'ютерні мережі повинні мати такий же статус, як і традиційні засоби масової інформації. Необхідно лише з'ясувати правове становище власників серверів, на яких розміщується інформація, а також провайдерів, які надають послуги лише доступу до комп'ютерної мережі, або поряд з цим ще й послуги по розміщенню інформації на своєму сервері.Тому і карне переслідування за злочини, які пов'язані з пропагандою жорстокості, насильства, ненависті до людини тощо, а також з грубим попранням норм моралі в загальнодоступних комп'ютерних мережах повинно здійснюватись на базі відомих норм КК.
Таким чином, якщо у загальнодоступних комп'ютерних мережах трапляться випадки пропаганди жорстокості, насильства, ненависті до людини тощо, а також грубого попрання норм моралі, то карне переслідування повинно здійснюватись у відповідності до загальновідомих норм карного кодексу.
Не менш дискусійною є проблема віднесення до комп'ютерних злочинів тих, в яких комп'ютер виступає знаряддям його здійснення. Наприклад, за допомогою комп'ютера та допоміжних приладів визначається шифр електронного замка сейфу чи код сигналізації дорогого автомобіля, або за допомогою комп'ютерних технологій підробляються цінні папери або документи. В таких випадках застосування комп'ютера дозволяє зловмисникам лише значно підвищити "ефективність" скоєння злочину, але суттєво на характеристику складу злочину не впливає. Застосування комп'ютерів свідчить лише про те, що зловмисники йдуть в ногу з науково-технічним прогресом. Як, наприклад, зовсім недавно вони використали досягнення хіміківаналітиків для синтезування важких наркотиків. Тому в подібних випадках карне переслідування також повинно здійснюватись у відповідності до загальновідомих норм карного кодексу.
Зрозуміло, що крадіжки комп'ютерів та його компонентів також не слід відносити до особливої категорії комп'ютерних злочинів. Проте при оцінюванні збитків, які мають місце при здійсненні таких крадіжок, слід враховувати не лише вартість комп'ютера, але і вартість інформації, яка знаходилась на носіях.
Таким чином, враховуючи все вищезазначене, вважається за доцільне ввести до КК України розділ, присвячений комп'ютерним злочинам, який може включати в себе такі статті.
Стаття 1.
   Несанкціонований доступ до інформації в АС.
Несанкціонований доступ до інформації в АС, яка у ній зберігається, обробляється чи передається, з порушенням встановлених правил та\чи механізмів доступу, якщо це не призвело до ознайомлення неналежних користувачів з інформацією з обмеженим доступом, карається штрафом у розмірі від 50 до 100 мінімальних заробітних плат.
Несанкціонований доступ до інформації в АС, яка у ній зберігається, обробляється чи передається, з порушенням встановлених правил та\чи механізмів доступу, якщо це призвело до ознайомлення неналежних користувачів з інформацією з обмеженим доступом, карається штрафом у розмірі від 200 до 300 мінімальних заробітних плат.
Дії, передбачені частиною 2 цієї статті, якщо це призвело до ознайомлення неналежних користувачів з інформацією, яка становить державну таємницю, караються позбавленням волі до 3 років з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Дії, передбачені частиною 2 цієї статті, здійснені повторно караються штрафом у розмірі від 200 до 300 мінімальних заробітних плат з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Стаття 2.
   Несанкціонований доступ до програмних засобів в АС.
Несанкціонований доступ до програмних засобів в АС, які у ній зберігаються чи обробляються, з порушенням встановлених правил та\чи механізмів доступу, якщо це не призвело до ознайомлення нена-лежних користувачів з особливостями побудови та використання програмного забезпечення, карається штрафом у розмірі від 100 до 300 мінімальних заробітних плат з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Несанкціонований доступ до програмних засобів в АС, які у ній зберігаються чи обробляються, з порушенням встановлених правил та\чи механізмів доступу, якщо це призвело до ознайомлення неналежних користувачів з особливостями побудови та використання програмного забезпечення, карається штрафом у розмірі від 200 до 400 мінімальних заробітних плат з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Стаття 3.
   Порушення цілісності інформації в АС.
Порушення цілісності інформації в АС, яка у ній зберігається, обробляється чи передається, якщо ця дія призвела до матеріальних чи інших збитків, карається штрафом у розмірі від 200 до 300 мінімальних заробітних плат.
Це ж діяння, якщо воно здійснено з порушенням встановлених правил та\чи механізмів доступу або повторно, карається штрафом у розмірі від 300 до 500 мінімальних заробітних плат з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Дії, передбачені частинами 1 і 2 цієї статті, якщо вони призвели до тяжких наслідків, караються позбавленням волі до 3 років з конфіскацією технічних засобів порушення цілісності інформації та реалізації несанкціонованого доступу.
Дії, передбачені частиною 1 цієї статті, якщо вони скоєні посадовою особою, відповідальною за забезпечення встановлених правил та\чи механізмів доступу, яка має санкціонований доступ, караються позбавленням волі до 3 років.
За це ж діяння, якщо воно призвело до тяжких наслідків, караються позбавленням волі до 5 років.
Примітка.
Під порушенням цілісності розуміється модифікація чи знищення інформації в АС.
Стаття 4.
   Змінювання чи знищення програмних засобів в АС.
Змінювання чи знищення програмних засобів в АС, яке може здійснюватися у процесі їх роботи, зберігання чи передавання, якщо ці дії призвели до матеріальних чи інших збитків (втрат), караються штрафом у розмірі від 300 до 500 мінімальних заробітних плат.
Це ж діяння, якщо воно здійснено з порушенням встановлених правил та\чи механізмів доступу або повторно, карається штрафом у розмірі до 500 мінімальних заробітних плат або позбавленням волі до 1 року з конфіскацією технічних засобів змінювання чи знищення програмних засобів та реалізації несанкціонованого доступу.
Дії, передбачені частинами 1 та 2 цієї статті, якщо вони призвели до пошкодження систем технічного захисту інформації в АС чи до інших тяжких наслідків, караються позбавленням волі до 5 років з конфіскацією технічних засобів змінювання чи знищення програмних засобів та реалізації несанкціонованого доступу.
Дії, передбачені частиною 1 цієї статті, якщо вони здійснені посадовою особою, відповідальною за забезпечення встановлених правил та\чи механізмів доступу, чи/яка має санкціонований доступ, караються позбавленням волі до 5 років.
Це ж діяння, якщо воно призвело до тяжких наслідків, карається позбавленням волі до 7 років.
Стаття 5.
   Несанкціоноване використання інформації і програмних засобів.
Несанкціоноване використання інформації, яка в АС зберігається, обробляється чи передається, з порушенням встановлених правил та\чи механізмів доступу, якщо це призвело до нанесення матеріальних або інших збитків, карається штрафом у розмірі до 500 мінімальних заробітних плат або позбавленням волі до 3 років з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Несанкціоноване використання програмних засобів, які в АС обробляються чи можуть оброблятися, зберігаються, передаються з порушенням встановлених правил та\чи механізмів доступу, якщо це призвело до нанесення матеріальних або інших збитків, карається штрафом у розмірі до 500 мінімальних заробітних плат або позбавленням волі до 5 років з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Стаття 6.
   Порушення функціонування АС.
Порушення функціонування АС, якщо це призвело до нанесення матеріальних або інших збитків, карається штрафом у розмірі до 500 мінімальних заробітних плат або позбавленням волі до 2 років.
Це ж діяння, якщо воно здійснено з порушенням встановлених правил та\чи механізмів доступу, якщо це призвело до нанесення матеріальних або інших збитків, караються штрафом у розмірі до 500 мінімальних заробітних плат або позбавленням волі до 3 років з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Дії, передбачені частинами 1 і 2 цієї статті, якщо вони призвели до інших тяжких наслідків, караються позбавленням волі до 8 років з конфіскацією технічних засобів реалізації несанкціонованого доступу.
Дія чи бездіяльність особи, відповідальної за функціонування системи безпеки інформації в АС, яка призвела чи могла призвести до порушення функціонування АС, карається штрафом у розмірі до 500 мінімальних заробітних плат або позбавленням волі до 3 років.
Примітка.
Порушення функціонування АС може бути наслідком повного чи часткового фізичного знищення основного або допоміжного обладнання АС; повного або часткового виведення з ладу різних елементів АС; порушення логіки роботи програмних засобів, створення умов, які блокують роботу АС.
Запропонований блок статей дозволяє практично повністю охопити всі об'єкти злочинних спрямувань та ввести достатній ступінь їх деталізації.
  1. Кримінальний кодекс України: Офіційний текст із змінами і доповненнями за станом на 1 лютого 1996   року.- К.: Видання українського державного центру правової інформації Міністерства юстиції України,   1996.- 224с.
  2. Закон України "Про захист інформації в автоматизованих системах" // ВВР.- №31.- 1994.- 286с.
  3. Кримінальний кодекс України: Проект підготовлений робочою групою КМ України.- 1997.- 138с.
  4. Баранов А.А. Уголовная ответственность за компьютерные преступления // Безопасность   информации.- 1996.- №2.- С.4-9.
Баранов О.А