«1. Преступлением, совершенным по неосторожности, признается деяние, совершенное по легкомыслию или небрежности.
(«Уголовный кодекс Российской Федерации» от 13.06.1996 №63-ФЗ)
Большим заблуждением будет позиция, что для совершения преступления обязательно наличие прямого умысла. И думать, что, если следствие не доказало прямого преступного умысла, то никакого компьютерного преступления не произошло.
Собственно, нам об этом же и методические документы по защите информации говорят, так при оценке угроз должны рассматриваться «Непреднамеренные, неосторожные или неквалифицированные действия персонала»
(Методический документ. «Методика оценки угроз безопасности информации» (утв. ФСТЭК России 05.02.2021)
Уголовный кодекс различает между собой деяния по легкомыслию и по небрежности. Не следует их путать между собой.
«Не виноватая я, он сам пришёл!» (к/ф «Бриллиантовая рука»)
2. Преступление признается совершенным по легкомыслию, если лицо предвидело возможность наступления общественно опасных последствий своих действий (бездействия), но без достаточных к тому оснований самонадеянно рассчитывало на предотвращение этих последствий.»
(«Уголовный кодекс Российской Федерации» от 13.06.1996 №63-ФЗ)
Генеральная прокуратура дает такой пример:
«программист, работающий в больнице, поставил полученную им по сетям программу без предварительной проверки ее на наличие в ней компьютерного вируса, в результате чего произошел отказ в работе систем жизнеобеспечения реанимационного отделения больницы».
В судебных документах это описывается таким образом:
«Ссылаясь на показания обвиняемых, отмечает, что они при проведении работ на сети осознавали общественную опасность своих действий в виде сбоев в ее функционировании, предвидели и сознательно допускали такие последствия. Обращает внимание на осведомленность обвиняемых о функциональном назначении оборудования, обеспечивающего управленческие, технологические, производственные, финансово-экономические и (или) иные процессы в рамках выполнения функций (полномочий) и осуществления видов деятельности субъекта КИИ — ПАО «МТС» в области связи… находясь на рабочем месте по адресу: <адрес>, в период времени с 8—00 до 10—00 часов ДД. ММ. ГГГГ провели несанкционированные работы по демонтажу действующего сетевого оборудования в категорированном помещении (Автозал №1), что повлекло причинение вреда критической информационной инфраструктуре Российской Федерации, в виде прекращения функционирования сетей связи по технологии 2G//3G.
(Постановление от 02.08.2022 №22—1382)
«Не откладывай на завтра то, что можешь отложить на послезавтра» (Марк Твен)
«3. Преступление признается совершенным по небрежности, если лицо не предвидело возможности наступления общественно опасных последствий своих действий (бездействия), хотя при необходимой внимательности и предусмотрительности должно было и могло предвидеть эти последствия.»
(«Уголовный кодекс Российской Федерации» от 13.06.1996 №63-ФЗ)
Как это выглядит на практике:
«не предвидя возможности наступления общественно опасных последствий в виде причинения вреда информационной системе « <данные изъяты>» являющейся объектом критической информационной инфраструктуры 3 категории значимости, хотя при необходимой внимательности и предусмотрительности должен был и мог предвидеть эти последствия, имея на то реальную возможность, не исполнил свои обязанности в качестве <данные изъяты> <данные изъяты>» по мониторингу (просмотру и анализу) записей регистрации (аудита) в журнале регистрации событий информационной панели АО « <данные изъяты>» как минимум два раза за весь период с 22 часов 25 минут ДД. ММ. ГГГГ по 12 часов 20 минут ДД. ММ. ГГГГ для всех событий, подлежащих регистрации и обеспечению своевременного выявления признаков инцидентов безопасности в информационных системах, а также реагированию на компьютерные инциденты, тем самым недобросовестно и небрежно относясь к своим должностным обязанностям.
Тем самым, установлено, что между наступившими последствиями в виде причинения вреда объекту критической информационной инфраструктуры 3 категории значимости и преступной небрежностью <данные изъяты> <данные изъяты>» ФИО2 имеется прямая причинно-следственная связь.
Признать ФИО2 виновным в совершении преступления, предусмотренного ч.3 ст. 274.1 УК РФ, и назначить ему наказание в виде лишения свободы на срок 1 год с лишением права заниматься деятельностью, связанной с доступом к критической информационной инфраструктуре Российской Федерации на срок 2 года.»
(Приговор от 23.08.2024 №1—1309/2024)
Даже, если центр мониторинга событий информационной безопасности (SOC) не оказывает услуг субъектам КИИ, то его работники «первой линии» имеют шансы попасть под уголовную ответственность по ст.274 УК РФ (не путать с ст.274.1 УК РФ), если в результате их преступной небрежности пропущена компьютерная атака и ущерб при ликвидации ее последствий превысил 1 миллион рублей, что при современных ценах на компьютерную технику и программное обеспечение не такая уж и редкость. Даже если информационная инфраструктура не пострадала, то в ущерб традиционно засчитывают время простоя организации и стоимость трудозатрат (зарплаты) на дополнительные проверки и контрольные мероприятия.
А, если центр мониторинга событий информационной безопасности (SOC) развернут на базе бюджетного или казенного учреждения, то еще и по ст. 293 УК РФ «Халатность».
«С.Т.В., в нарушение приведенных выше нормативно-правовых актов, относясь к службе недобросовестно и небрежно, не предвидя наступления общественно опасных последствий в виде …, хотя при необходимой внимательности и предусмотрительности должна была и могла предвидеть эти последствия, в период с 11.33 часов до 12.31 часов ДД. ММ. ГГГГ безосновательно отвлекалась от исполнения своих должностных обязанностей, не обеспечила постоянный просмотр и контроль за мониторами …. Однако С. Т. В., проявляя небрежное отношение к службе, имея при этом достаточные опыт работы и профессиональную подготовку, обладая необходимыми знаниями в области работы оператора группы надзора отдела безопасности, зная алгоритм проведения необходимых мероприятий …, не находясь в беспомощном, болезненном состоянии, будучи трудоспособной, при наличии реальной возможности надлежащего исполнения своих обязанностей, не пресекла действия …..
При рассмотрении дела установлено, что С. Т. В. в период, относящийся.. неоднократно отвлекалась от несения службы — вставала с кресла, отходила от мониторов, отдалялась от них, на мониторы не смотрела.
Судом установлено, что перед заступлением в дежурную смену ДД. ММ. ГГГГ на качество изображения камер, на иные технические неполадки С. Т. В. не указывала, по состоянию здоровья нести службу могла.
Признать С. Т. В. виновной в совершении преступления, предусмотренного ч. 2 ст. 293 УК РФ, и назначить ей наказание в виде 1 (одного) года 6 (шести) месяцев лишения свободы.»
(Приговор от 18.11.2024 по делу №1—132/2024)