Современный цифровой мир требует надёжной защиты информации. В Уголовном кодексе Российской Федерации за это отвечает глава 28, в которой сосредоточены нормы, посвящённые преступлениям в сфере компьютерной информации. Ниже приведён подробный разбор каждой статьи, практические примеры и актуальные комментарии.
Общая характеристика главы 28 УК РФ
Глава 28 входит в Раздел IX «Преступления против общественной безопасности и общественного порядка» и включает 5 статей:
- ст. 272 — Неправомерный доступ к компьютерной информации;
- ст. 273 — Создание, использование и распространение вредоносных программ;
- ст. 274 — Нарушение правил эксплуатации средств хранения, обработки или передачи информации и информационно-телекоммуникационных сетей;
- ст. 274.1 — Неправомерное влияние на критическую информационную инфраструктуру РФ;
- ст. 275 — Государственное измена (в редакции, затрагивающей компьютерную информацию).
Подробный разбор каждой статьи
Статья 272. Неправомерный доступ к компьютерной информации
Состав преступления:
- Деяние совершено в отношении охраняемой законом информации, которая находится в ЭВМ, системе или на её носителе;
- Доступ получен в обход технических мер защиты (пароли, шифрование, биометрия);
- Наличие формы вины — прямой умысел;
- Последствия: уничтожение, блокировка, модификация, копирование информации.
Наказание:
- штраф до 200 000 ₽ или в размере дохода осуждённого за 18 месяцев;
- обязательные, исправительные или принудительные работы;
- лишение свободы до 4 лет (если причинён особо крупный ущерб или группой лиц).
Пример из практики: сотрудник IT-отдела, имея доступ к серверу банка, скопировал клиентскую базу данных на личный носитель и передал её третьим лицам. Квалифицировано по ч. 2 ст. 272 УК РФ.
Статья 273. Создание, использование и распространение вредоносных программ
Ключевые элементы:
- Объект — устойчивая работа компьютеров и сетей.
- Формы деяния:
- создание вирусов, троянов, бэкдоров;
- распространение посредством e-mail, мессенджеров, флеш-накопителей;
- использование вредоносного ПО для хищения данных или денег.
- Квалифицирующие признаки:
- совершено группой по предварительному сговору;
- извлечён особо крупный доход или причинён особо крупный ущерб;
- повлекло тяжкие последствия (отказ критической инфраструктуры).
Максимальное наказание: до 7 лет лишения свободы + штраф до 1 млн ₽.
Статья 274. Нарушение правил эксплуатации средств хранения, обработки или передачи информации
Когда применяется:
- должностное лицо нарушило правила эксплуатации серверов или СКЗИ;
- действия повлекли уничтожение, блокировку, модификацию или разглашение информации;
- наступили тяжкие последствия (остановка производства, утечка персональных данных).
Размер штрафа: от 100 000 ₽ до 500 000 ₽ или лишение свободы до 4 лет.
Статья 274.1. Неправомерное влияние на критическую информационную инфраструктуру РФ
Что такое критическая информационная инфраструктура (КИИ):
- объекты связи, транспорта, банковской системы, ЖКХ, обороны, энергетики;
- включают ИТ-системы, обеспечивающие устойчивое функционирование этих объектов.
Деяния: взлом, DDoS-атаки, подмена маршрутизации трафика, внедрение шпионского ПО.
Мера наказания:
- штраф до 1 млн ₽;
- арест до 6 месяцев;
- лишение свободы до 10 лет при особо тяжких последствиях (аварии, гибель людей).
Статья 275. Государственное измена
Если разглашение или передача сведений, содержащих государственную тайну, совершена с использованием компьютерных средств, действия квалифицируются по статье 275 УК РФ (в совокупности со ст. 272/273 при необходимости).
Административная ответственность как «младший брат» уголовной
Многие деяния в сфере информационной безопасности не достигают уголовного порога, но влекут административную ответственность по КоАП РФ:
- ст. 13.14 КоАП — нарушение правил защиты персональных данных;
- ст. 6.1.1 КоАП — неправомерный доступ к информации без уголовно значимых последствий;
- ст. 13.15 КоАП — нарушение лицензионных требований к операторам связи и провайдерам.
Проблемы квалификации и пути совершенствования законодательства
Основные проблемы
- Размытые формулировки. Термин «вредоносное программное обеспечение» не всегда совпадает с техническим определением.
- Оценка ущерба. Сложно объективно рассчитать вред при DDoS-атаке: падение продаж, репутационные потери.
- Трансграничные преступления. Атаки часто исходят из-за рубежа, что затрудняет сбор доказательств.
Предложения по реформе
- Уточнить терминологию. Ввести юридическое определение «кибератаки», «нулевого дня», «ботнета».
- Единый метод расчёта ущерба. Разработать государственный стандарт стоимостной оценки киберинцидентов.
- Усилить международное сотрудничество. Заключать двусторонние соглашения о передаче цифровых доказательств.
- Внедрить обязательное страхование киберрисков для компаний КИИ.
Как защититься: практические советы организациям
- Проводить ежегодные аудиты информационной безопасности.
- Внедрять многофакторную аутентификацию для всех административных аккаунтов.
- Обучать персонал правилам кибергигиены (распознавание фишинга, сильные пароли).
- Заключать соглашения о неразглашении (NDA) с контрагентами и сотрудниками.
- Иметь план реагирования на инциденты (IR-plan).
Глава 28 УК РФ, это «щит» государства против киберугроз. Однако технологии развиваются быстрее законодательства. Чтобы сохранить баланс между безопасностью и развитием цифровой экономики, необходимо:
- своевременно обновлять уголовно-правовые нормы;
- повышать квалификацию следователей и судей;
- объединить усилия бизнеса, государства и гражданского общества.
Помните: каждая кибератака начинается с человеческого фактора. Законы создают рамки, но ответственность за безопасность несёт каждый из нас.