Эксперты компании «СёрчИнформ» проанализировали судебные акты, вынесенные в 2022-2026 годах по итогам рассмотрения уголовных дел о неправомерном воздействии на критическую информационную инфраструктуру РФ. В рамках исследования изучено 100 приговоров судов по статье 274.1 УК РФ, сообщила компания в среду.
Больше всего нарушений, связанных с неправомерным воздействием на КИИ, происходили в организациях из сфер связи и телекоммуникаций (47% случаев), здравоохранения (25%), финансового сектора (10%). Нарушения в этих отраслях распространены из-за большого количества сотрудников, которые могут легитимно вносить изменения в информационные системы. Вместе с тем, низкий уровень цифровой грамотности персонала множит риски неправомерного использования ИТ-систем и создает угрозу нарушений.
В большинстве случаев к ответственности привлекались сотрудники пострадавших организаций: рядовые сотрудники (75%), руководители подразделений (14%), ИТ- и ИБ-специалисты (5%), топ-менеджмент (1%). Намного реже в уголовных делах виновными признавали внешних нарушителей (5%).
«В 95% случаев к уголовной ответственности за неправомерное воздействие на КИИ привлекаются сотрудники пострадавших организаций. Однако, по данным МВД, общий показатель раскрываемости преступлений в сфере компьютерной информации не превышает 21% в 2022-2026 годах. Это значит, что большинство преступлений по вине внешних нарушителей остаются нераскрытыми в силу разных причин, в т.ч. нахождения атакующих за границей. Вместе с этим, большое количество раскрытых преступлений по вине сотрудников организаций говорит о распространенности внутренних угроз ИБ для КИИ», – комментирует Дмитрий Вощуков, специалист по связям с государственными органами «СёрчИнформ».
В 67% проанализированных уголовных дел основной сценарий нарушений – внесение недостоверных сведений в системы КИИ. В 12% случаев среди нарушений встречались «пробив», копирование данных из систем КИИ, в 10% – воздействие на установленное ПО или внедрение нежелательного ПО.
«Самые частые нарушения – внесение ложных данных в ИС операторов связи для завышения плана продаж и создание недостоверных записей в медицинских ИС для оформления подложных документов. В некоторых из изученных дел зафиксировано сразу по несколько подобных инцидентов. Наличие недостоверной информации в таких критически важных системах как ЕГИСЗ и системы для учета абонентских номеров создают угрозу реализации политики в сферах здравоохранения и противодействия мошенничеству», – комментирует Дмитрий Вощуков, специалист по связям с государственными органами «СёрчИнформ».
В большинстве случаев (94%) нарушителям выносили обвинительный приговор. В 19% случаев дел стороны предпринимали попытки обжалования приговоров.
В 81% судебных дел основным наказанием стало лишение свободы условно, в 9% — судебный штраф.
В 22% дел виновным были назначены дополнительные наказания, среди них: штраф (11%), запрет работы с объектами КИИ (9%), запрет работы на организационных и руководящих должностях (1%).
«Чаще всего суды не применяли суровые меры для нарушителей, потому что они, как правило, признавали вину и сотрудничали со следствием. Однако, в 98% дел не заявлены или оставлены без рассмотрения иски потерпевших о возмещении ущерба (затрат на восстановление ИТ-объектов и информации, прямых убытков, репутационного или морального вреда).
Такая ситуация обусловлена позицией законодателя и Верховного Суда РФ: в рамках уголовного дела может быть удовлетворен гражданский иск о компенсации имущественного вреда, причиненного непосредственно преступлением. Поэтому инициирование гражданских дел о взыскании сумм последующих затрат, иных расходов и упущенной выгоды, понесенных в результате нарушений и доказывание такого ущерба – задача самих потерпевших», – комментирует Дмитрий Вощуков, специалист по связям с государственными органами «СёрчИнформ».
* — в рамках одного преступления могли быть совершены несколько нежелательных действий.
