CC BY
14СОЦИАЛЬНО-ЭКОНОМИЧЕСКИЕ АСПЕКТЫ ПРЕСТУПЛЕНИЙ В СФЕРЕ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
SOCIO-ECONOMIC ASPECTS OF COMPUTER CRIME
А.Б. НИКОЛАЕВА,
доцент Казанского национального исследовательского технического университета им. А.Н. Туполева - КАИ, к.э.н.
А^. NIKOLAEVA,
аssistantprofessor Kazan national research technical
university named after A.N. Tupolev - KAI, Candidate of Economics
Аннотация
Развитие информационно-телекоммуникационных сетей, создание информационных систем и разработка более совершенных технических устройств создают условия, для совершения преступлений в этой сфере. Киберпреступления входят в пятерку основных видов экономических преступлений. В целях совершенствования системы информационной безопасности предприятий в части внутренних угроз, связанных с человеческим фактором, разработана модель влияния человеческого фактора на управление информационными ресурсами предприятия, которая описывает психологические, интеллектуальные и физические свойства сотрудника.
Abstract
The development of information and telecommunication networks, the development of more sophisticated technical devices create the conditions for the commission of crimes in this area. The cybercrime are among the five main types of economic crime. The human factors are the most vulnerable point in the security system of the majority of companies. The model of the influence of human factors in information resources management describes the psychological, intellectual, physical properties of the employee.
Ключевые слова
Информационные технологии, киберпреступление, защита информации, информационные ресурсы, человеческий фактор.
Keywords
Information technology (IT), cybercrime, information Protection, information resources, human factors.
Возможности, предоставляемые современными информационными технологиями, их широкая распространенность и доступность делают эту область чрезвычайно привлекательной для представителей криминальной среды.
Стремительное развитие информационно-телекоммуникационных сетей, создание многочисленных информационных систем, разработка более совершенных технических устройств - все это создает условия для совершения преступлений в этой сфере, число которых с каждым годом увеличивается как в России, так и в зарубежных странах.
Преступления в сфере информационных технологий часто называют киберпреступлениями.
По данным опроса Pricewaterhouse Coopers, киберпреступле-ния входят в пятерку основных видов экономических преступлений. Сегодня практически все используют и в определенной мере полагаются на Интернет и другие технологии. Как следствие, компании становятся более уязвимыми к киберпреступлениям в любой точке мира. Примерно половина участников опроса считает, что за последние два года риск киберпреступлений возрос.
Для сравнения: в 2011 г. такого мнения придерживались 25% участников исследования. Статистические данные явно указывают на то, что киберпреступность становится все большей угрозой.
В ходе опроса российских компаний были выявлены аспекты киберпреступлений, которые вызывают наибольшую обеспокоенность. По результатам опроса, 77% участников опроса обеспокоены или очень обеспокоены нанесением ущерба репутации, 84% - финансовыми потерями, 78% - кражей интеллектуальной собственности, 76% - нарушением непрерывности
деятельности. Уровень обеспокоенности по поводу последствий киберпреступлений с точки зрения рисков несоответствия требованиям нормативно-правовых актов снизился (с 79% до 56%). Это означает, что, несмотря на то, что с 2011 г. требования регулирующих органов, безусловно, не уменьшились, компании обрели большую уверенность в том, что соблюдают нормативно-правовые требования. Таким образом, влияние киберпреступлений на уровень соответствия регулирующим требованиям является менее значимым [1].
Согласно рекомендациям экспертов ООН термин «киберпре-ступность» охватывает любое преступление, которое может совершаться с помощью компьютерной системы или сети, в рамках компьютерной системы или сети или против компьютерной системы или сети [2]. Таким образом, к киберпреступлениям может быть отнесено любое преступление, совершенное в электронной среде.
Сегодня преступления в сфере информационных технологий -масштабная проблема, а вредоносные программы пишутся с целью незаконного получения денег. Развитие Интернета стало одним из ключевых факторов, определивших эти перемены. Компании и отдельные пользователи уже не мыслят без него свою жизнь, и все больше финансовых операций проводятся через Интернет. Преступники поняли, какие огромные возможности для «зарабатывания» денег с помощью вредоносного кода появились в последнее время, и многие из нынешних вредоносных программ написаны по заказу или с целью последующей продажи другим преступникам.
Согласно Конвенции Совета Европы о киберпреступности принята классификация компьютерных преступлений:
1. Преступления против конфиденциальности, целостности и доступности компьютерных данных и систем (незаконный доступ - ст. 2 (противоправный умышленный доступ к компьютерной системе либо ее части)), незаконный перехват - ст. 3 (противоправный умышленный перехват не предназначенных для общественности передач компьютерных данных на компьютерную систему, с нее либо в ее пределах), вмешательство в данные -ст. 4 (противоправное повреждение, удаление, нарушение, изме-
нение либо пресечение компьютерных данных), вмешательство в систему - ст. 5 (серьезное противоправное препятствование функционированию компьютерной системы путем ввода, передачи, повреждения, удаления, нарушения, изменения либо пресечения компьютерных данных) [3].
2. Правонарушения, связанные с использованием компьютерных средств (computer-related) (подлог с использованием компьютерных технологий, мошенничество с использованием компьютерных технологий).
3. Правонарушения, связанные с содержанием данных (правонарушения, связанные с детской порнографией).
4. Правонарушения, связанные с нарушением авторского права.
В числе подписавших эту конвенцию России не оказалось, хотя
согласно данным отчета Norton Report 2013, 85% россиян сталкивались в 2013 г. с киберпреступлениями, что существенно выше общемирового показателя - 61% [4].
Киберпреступность представляет собой не только техническую и правовую, но и социальную проблему, эффективное решение которой требует, прежде всего, системного подхода по разработке основ обеспечения безопасности жизненно важных интересов гражданина, общества и государства в информационном пространстве.
Как показывает практика, человеческий фактор по-прежнему остается наиболее уязвимым местом в системе безопасности большинства компаний. Злоумышленники об этом осведомлены и все чаще прибегают к методам социальной инженерии, проникая в защищенные корпоративные сети через сотрудников, которые либо по незнанию, либо в силу своей беспечности оставляют для преступников подобные лазейки.
В целях совершенствования системы информационной безопасности предприятий в части внутренних угроз, связанных с человеческим фактором, требуется провести анализ сотрудников и сформулировать правила минимизации рисков.
Во-первых, проанализировать основные требования, предъявляемые к сотрудникам предприятия на предмет защиты информационных ресурсов, и определить особенности личных качеств и характера сотрудника. Согласно этому правилу:
- сотрудники должны обеспечивать надлежащую защиту технических средств (персональных компьютеров), оставляемых без присмотра;
- все пользователи должны знать требования по безопасности информационных систем и процедуры защиты технических средств, свои обязанности по обеспечению защиты информации на рабочем месте. Работникам запрещается разглашать конфиденциальную информацию при работе с информационными системами предприятия третьим лицам;
- персоналу запрещается устанавливать постороннее программное обеспечение, подключать к техническим средствам личные мобильные, смарт-устройства, съемные носители информации, а также записывать на них конфиденциальную информацию;
- сотрудники обязаны незамедлительно сообщать обо всех наблюдаемых подозрительных случаях работы информационной системы системному администратору;
- работники должны быть проинформированы об угрозах нарушения режима безопасности информационной системы и ответственности за его нарушение
Во-вторых, определить личностные особенности сотрудника, которые могут быть использованы злоумышленником. Влиянию злоумышленника подвержен сотрудник с неустойчивой психикой, низким уровнем образования, низкой мотивацией, неудовлетворенностью материальным положением или социальным статусом, среднего возраста (35-40 лет), не состоящий в браке.
В-третьих, построить модель влияния человеческого фактора на управление информационными ресурсами предприятия. Данная модель должна описывать психологические, интеллектуальные, физические свойства сотрудника.
К = {I, 8, Р, Т, Б}, ц:1х8хРхТ ^ Б, где
I - информационные ресурсы предприятия, I = 1р 12, ..., х,;
8 - множество свойств, характеризующее человеческий фактор сотрудника организации;
8 = {К, М, Ь, где N = п1, п2, п - вектор, координаты которого описывают психологические свойства сотрудника,
М = {mj | j = 1,р} - вектор, координаты которого описывают интеллектуальные свойства сотрудника;
Ь = 11, 12, ..., 18 - вектор, координаты которого описывают физические свойства сотрудника,
W = | к = 1,д} - вектор, координаты которого описывают социальные свойства сотрудника;
Р = {0;1} - мотивация к корпоративной информационной безопасности предприятия;
Т - причины, способствующие ошибочным действиям сотрудника, Т = {I, Оу, Ост, Я, и} , где I = {0;1} - недостатки информационного обеспечения или их отсутствие (специальные обработчики таких ситуаций в программном обеспечении, наглядные материалы и инструкции). Данная проблема может возникнуть в критических ситуациях и в условиях дефицита времени на принятие решения,
Оу = {оку | к = 1,д} - ошибки, вызванные воздействием внешних факторов (отвлечение внимания от текущей задачи),
Ост = {о8ст| 8 = У} - ошибки, вызванные параметром 8, Я = г1, г2, ..., г8 ограниченность ресурсов поддержки и исполнения принятого решения,
И = и1, и2, . ..,ите - отсутствие учета человеческого фактора в списке возможных причин инцидента информационной безопасности;
Б - уровень угрозы информационной безопасности, вызванной человеческим фактором, Б = {^ | г = 1,1} [5].
По механизму и способам совершения преступления в сфере компьютерных технологий специфичны, имеют высокий уровень латентности. Наибольшую общественную опасность представляют преступления, связанные с неправомерным доступом к компьютерной информации. Рассматриваемое правонарушение имеет очень высокую латентность, которая, по различным данным, составляет 85-90% . Более того, факты обнаружения незаконного доступа к информационным ресурсам на 90% носят случайный характер [4].
Примечателен тот факт, что потерпевшая сторона, в лице крупных корпораций, являющаяся собственником системы, неохотно сообщает (если сообщает вообще) в правоохранительные органы о фактах совершения компьютерного преступления. А поскольку они составляют большинство, а, следовательно, большинство и самих фактов совершения таких преступлений, то именно этим можно объяснить высокий уровень латентности компьютерных преступлений.
Кроме того, в раскрытии факта совершения преступления очень часто не заинтересованы должностные лица, в обязанности которых входит обеспечение компьютерной безопасности. Признание факта несанкционированного доступа в подведомственную им систему ставит под сомнение их профессиональную квалификацию, а несостоятельность мер по компьютерной безопасности, принимаемых руководством, может вызвать серьезные внутренние осложнения. Некоторые жертвы боятся серьезного компетентного расследования, потому что оно может вскрыть неблаговидную или даже незаконную механику ведения дел.
Есть еще одна проблема, связанная с эффективностью расследования компьютерных преступлений и доведения их до суда. Это правовой нигилизм, с одной стороны, преступников, которые чувствуют себя безнаказанно, а с другой стороны, потерпевших, которые не хотят обращаться в правоохранительные органы с заявлениями о несанкционированном доступе, потому что понимают, что должного наказания для преступников они все равно не добьются.
Национальное и международное законодательство стремительно развивается, и основные компьютерные правонарушения признаются таковыми в большинстве развитых стран мира. Не все они попадают под действие уголовного законодательства. Несмотря на это, наблюдаются четкие тенденции по сближению законодательств разных стран, а также тесное международное сотрудничество. Это и понятно, преступление, легко преодолевающее государственные границы, должно иметь адекватное правовое противодействие со стороны всех заинтересованных сторон.
Библиографический список
1. Российский обзор экономических преступлений за 2014 год. URL: hptt/:www.pwc.ru/crimesurvey
2. Преступления, связанные с использованием компьютерной сети. Справочный документ для семинара-практикума по использованию компьютерной сети. Документ ООН. A/CONF.187/10.
3. Доклад Десятого Конгресса ООН по предупреждению преступности и обращению с правонарушителями. Вена: ООН, 2000, 10-17 апр. A/CONF.187/15.
4. Васенин В.А. Информационная безопасность и компьютерный терроризм. URL: hptt/:www. crime-research.ru.
5. Тумбинская М.В. Совершенствование системы управления информационными ресурсами предприятия // Менеджмент сегодня. - 2014. - №5. - С. 4-7. URL: hptt/:www.grebennikon.ru/article-7gw8.html
Bibliographical list
1. Global Economic Crime Survey - 2014. URL: http://www.pwc. ru/crimesurvey
2. Tenth United Nations Congress on the Prevention of Crime and the Treatment of Offenders, Background Paper for the Workshop on Crimes Related to the Computer Network, UN Doc A/C0NF.187/10 (2000)
3. Report of the Tenth United Nations Congress on the Prevention of Crime and the Treatment of Offenders, Vienna, 10-17 April 2000, chap. I (A/CONF.187/15).
4. Vasenin V. Informatsionnaya bezopasnost' i komp'yuternyi (Information security and computer terrorism) URL: hptt/:/www. crime-research.ru.
5. Tumbinskaya M.V. Sovershenstvovanie sistemy upravleniya informatsionnymi resursami predpriyatiya (Improving the system of enterprise content management) // Menedzhment segodnya. - 2014. -№5. - Pp. 4-7. URL: hptt/:www.grebennikon.ru/article-7gw8.html
Контактная информация
E-mail: annanikolaeva@bk.ru
Contact links
E-mail: annanikolaeva@bk.ru
