CC BY
28
Пучков Денис Валентинович
Условия формирования эффективной политики противодействия преступности в сфере использования кибертехнологий
Затронуты вопросы формирования и развития эффективной государственной политики в сфере борьбы с киберпреступностью как на национальном, так и на международном уровне. Указано на необходимость совершенствования стратегии борьбы с киберпреступностью на национальном уровне как составной части общей стратегии кибербезопасности. Выступающая в качестве основы развития международного диалога в этой сфере «Глобальная программа кибербезопасности» позволяет скоординировать усилия международного сообщества на решении возникающих в настоящее время проблем в сфере кибербезопасности, что дает возможность усиливать безопасность информационного общества в целом, формировать направления тактической деятельности, предполагающей формирование глобальной стратегии кибербезопасности.
Ключевые слова: государственная политика, уголовное законодательство, борьба с преступностью, киберпреступность, кибертехнологии, кибербезопасность.
Conditions for the formation of an effective state policy in the fight against crime in the implementation of cyber technologies
The article touches upon the issues of formation and development of effective state policy in the sphere of combating cybercrime both at the national and international level. The need to improve the strategy of combating cybercrime at the national level as part of the overall strategy of cybersecurity is pointed out. Acting as a basis for the development of international dialogue in this area, the "Global Cybersecurity Program" allows to coordinate the efforts of the international community on the currently emerging problems in the field of cybersecurity, which allows to strengthen the security of information societies as a whole, to form the direction of tactical activities, involving the formation of a global cybersecurity strategy.
Keywords: state policy, criminal legislation, fight against crime, cybercrime, cyber technologies, cybersecurity.
Трансграничный характер и взаимосвязанность кибертехнологий и глобальных информационных инфраструктур (включая инфраструктуру Интернета) делают невозможным обеспечение безопасности в сфере использования кибертехнологий в масштабах отдельно взятого государства/экономики, включая Россию, исключительно собственными силами. Зависимость от внешних акторов и ресурсов можно классифицировать следующим образом:
зависимость от трансграничных распределенных инфраструктур и программно-аппаратных ИТ-платформ, обеспечивающих работу критически важных с точки зрения безопасности сервисов (система уникальных идентификаторов Интернета, ИТ-инфраструктура системы SWIFT, экосистема корневых удостоверяющих центров и сертификатов безопасности и проч.);
зависимость от глобальных цепочек поставок для комплексных ИТ-инфраструктур (АСУ ТП производственных объектов и технологиче-
ских комплексов, сетевое оборудование операторов связи, системы обработки и хранения данных и проч.);
включенность в трансграничные цифровые экосистемы, основанные на глобальных стандартах цифровой идентификации, криптографической защиты информации, передачи и обработки данных и проч.
Включенность России в глобальные цифровые экосистемы, инфраструктуры и цепочки поставок является естественным состоянием в глобализованном мире, но серьезно ограничивает возможность нейтрализовать внешние угрозы за счет опоры только на собственные ресурсы [1].
В связи с этим становится актуальным достижение консенсуса в отношении криминалистических стандартов, касающихся сбора, сохранения, передачи, аутентификации и использования цифровых данных в качестве доказательств в рамках уголовных или иных юридических процедур. Следует отметить, что
72
различия в национальных законах, касающихся допустимости таких методов, как перехват сообщений и внедрение в преступные группы или маскировка под преступников либо организация засад на них, могут вызывать обеспокоенность в тех случаях, когда при проведении расследований в режиме реального времени задействованы или затронуты другие юрисдикции.
В целом экспертным сообществом выработан ряд подходов к осуществлению международного сотрудничества в соответствии с существующими международными и региональными правовыми документами, такими как Конвенция об организованной преступности и Конвенция Совета Европы о киберпреступно-сти, а также по различным двусторонним или неофициальным каналам.
В существующих условиях можно выделить как минимум три вида инфраструктуры, которые целесообразно использовать в качестве «отправных точек» для выстраивания правового режима ответственного использования кибертехнологий и сокращения рисков в этой области.
1. ИТ-инфраструктура глобальной финансово-кредитной и банковской отрасли. Инициатива разработки добровольных многосторонних норм, предполагающих отказ государств от компьютерных атак на крупные объекты банковской инфраструктуры, уже рассматривалась в рамках ГПЭ ООН начиная с 2014 г. Сама идея подобной нормы не вызывает принципиальных противоречий: банковский сектор является одной из основных целей компьютерных атак, осуществляемых как по коммерческим, так и по политическим мотивам. Россия также сталкивается с массированными атаками на инфраструктуру банковского сектора, хотя большинство инцидентов связаны с киберпре-ступностью, а не военно-политическим использованием ИКТ. Возможное содержание нормы может быть нацелено на снижение угрозы ки-бератак, преследующих цель дестабилизации экономики государств через обрушение их финансовых систем.
2. Инфраструктура мирной атомной энергетики. Объекты мирной атомной энергетики, включая АЭС, все чаще становятся целями ки-бершпионажа и киберсаботажа государственных компаний, что затрагивает интересы России как одного из лидеров на глобальном рынке атомной энергетики. Механизмы снижения рисков военно-политического использования ИКТ против объектов ядерной энергетики как раз могут включать в себя нормы об обязательном тестировании критических компонен-
тов автоматизированных систем управления на наличие недекларированных возможностей, контроль целостности цепочек поставок таких компонентов с участием представителей частной отрасли, вендоров автоматизированных систем управления и компаний сектора информационной безопасности. В интересах Российской Федерации и международного сообщества также усиление роли МАГАТЭ в предотвращении и расследовании компьютерных инцидентов на объектах ядерной энергетики.
3. Глобальная система уникальных идентификаторов Интернета (УИИ). Систему уникальных идентификаторов Интернета (УИИ) образуют три компонента: глобальная иерар-хизированная система доменных имен (DNS); система ресурсов нумерации Интернета (включая глобальную систему распределения IP-адресов и систему распределения и присвоения номеров автономных систем (ASN)); и система регистров номеров портов и параметров протоколов Интернета. Система УИИ и составляет глобальный Интернет в его прямом понимании и потому является критической информационной инфраструктурой для всех государств. За последние годы инфраструктура УИИ с возрастающей частотой подвергается мощным сетевым атакам, включая DDoS. Это подтверждает сложность разработки нового международно-правового документа на открытой основе, учитывая неотложный характер этой проблемы и масштабы некоторых проблем, которые должны быть решены на основе консенсуса. Указанная проблема уже была затронута на XII Конгрессе Организации Объединенных Наций, посвященном предупреждению преступности и уголовному правосудию, в ходе которого было высказано мнение, что позиции по целому ряду вопросов национального суверенитета и внутреннего законодательства являются настолько разными, что это не позволяет разработать полезный и эффективный документ в течение разумного срока. Изложенное актуализирует задачу разработки киберстратегий безопасности на национальном уровне.
За последние годы государствами мира разработано множество стратегий кибербезо-пасности и борьбы с киберпреступностью. То же относится и к международным организациям и межправительственным учреждениям. Сравнение предложенных подходов демонстрирует их значительное сходство. Большинство стратегий кибербезопасности и борьбы с киберпреступностью представляют собой относительно краткие документы без достаточной детализации. Основное внимание в них
73
сосредоточивается на соответствии рассматриваемых вопросов, подтверждении воли к действию и изложении общих решений о том, что следует сделать в целях повышения ки-бербезопасности. Определение крайне общих принципов значительно снижает потребность в регулярных обновлениях. Общая стратегия может оставаться неизменной в течение многих лет, прежде чем возникнет необходимость в ее доработке.
Действительно, большинство стратегий не дают описания конкретных решений и мер. Идея стратегии заключается в том, что она дает решение определенной проблемы или задачи. Она не должна быть привязана к конкретному случаю, но обязана давать четкий порядок действий по решению определенной задачи. Так, в Стратегии кибербезопасности Германии указано, что правительство планирует организовать инициативы и изучить будущие сферы ответственности провайдеров. Однако эта стратегия оставляет открытым вопрос о том, кто возглавит этот процесс и как будет достигаться поставленная цель. Преимуществом краткой базовой стратегии является незначительное время, необходимое для ее разработки. Достаточно интересной в этом отношении является «Национальная стратегия кибербезопасности 2016-2021» Великобритании [2], согласно которой к 2021 г. в Великобритании будут обеспечены безопасность, устойчивость к кибер-угрозам, процветание и условия для уверенного пользования цифровыми технологиями.
В качестве основной цели в этом документе определено развитие и применение мер активной киберзащиты для существенного повышения уровней кибербезопасности в масштабах всех британских сетей. В число этих мер входят сведение к минимуму самых распространенных форм «фишинга», фильтрация известных атакующих 1Р-адресов и активное блокирование вредоносной деятельности в Интернете. С выходом Интернета за рамки компьютеров и мобильных телефонов - в другие системы - опасность удаленного несанкционированного использования распространяется на целый ряд новых технологий. Для эффективной защиты интересов в киберпро-странстве требуется комплексный подход. Поэтому и решение по дальнейшему вложению средств и разработке мер основывается на следующих оценках:
масштаб и динамическая природа кибер-угроз означают, что текущий подход сам по себе не обеспечивает достаточного уровня безопасности;
рыночный подход к продвижению элементарных правил кибербезопасности не обеспечил необходимых темпов и масштаба изменений; поэтому Правительство должно проявить инициативу и принять более активные меры, используя свое влияние и ресурсы для борьбы с киберугрозами;
Правительство само по себе не в состоянии охватить все аспекты национальной безопасности - требуется интегрированный и устойчивый подход, предусматривающий привлечение граждан, представителей отрасли и других партнеров к полноценному участию в обеспечении безопасности сетей, услуг и данных. Великобритании требуется жизнеспособный сектор кибербезопасности и соответствующий кадровый резерв, которые помогут идти в ногу с эволюционирующими угрозами и опережать их развитие.
Попытки разработки нового всеобъемлющего международно-правового документа по киберпреступности могут потребовать значительного времени без достижения гарантированного успеха. Наилучшим вариантом в данном случае будет использование Конвенции Совета Европы о киберпреступности [3], которая была разработана в рамках Совета Европы, но также открыта для присоединения других государств. Следует согласиться, что Конвенция Совета Европы о киберпреступности может рассматриваться в качестве «мягкого варианта» правового регулирования, который может служить для государств-членов базисным руководством в части решения вопросов о криминализации, следственных полномочиях или электронных доказательствах и др., даже если эти государства не хотят или не могут присоединиться к ней и полностью выполнять ее положения.
Вместе с тем основной проблемой, с которой сталкиваются сегодня правоохранительные органы, является отсутствие национального потенциала. Сложность киберпреступности и скорость, с которой могут совершаться преступления, требуют использования гибких подходов в каждом конкретном случае, особенно в том, что касается методов расследования, которые разрешены в одних правовых системах, но не разрешены в других. В связи с этим важным является укрепление взаимного доверия между правоохранительными органами при помощи таких имеющихся средств, как круглосуточно работающие сети взаимодействия.
В части борьбы с киберпреступностью серьезным барьером к повышению глобального
74
уровня безопасности является фрагментация составов преступлений и методов борьбы с ними по отдельным государственным юрисдик-циям, что ведет к появлению « безопасных гаваней» для акторов, пользующихся несовершенством правовой базы и правоприменительной практики в отдельных государствах. В качестве проблемы для законодателей и правоприменителей следует также назвать различия между фактическим совершением преступлений и введением понятия «распределенные преступления», когда сложные преступления совершаются группой лиц, находящихся в различных местах.
В связи с этим возникает необходимость дальнейшего совершенствования стратегии борьбы с киберпреступностью на национальном уровне как составной части общей стратегии кибербезопасности. Выступающая в качестве основы развития международного диалога в этой сфере «Глобальная программа кибербезопасности» [4] дает возможность скоординировать усилия международного сообщества на решении возникающих в настоящее время проблем в сфере кибербезопас-ности, что позволяет усиливать безопасность информационного общества в целом, определять направления тактической деятельности, предполагающей разработку глобальной стратегии кибербезопасности. Также определена целесообразность распределения всех необходимых мер исходя из пяти принципов «Глобальной программы кибербезопасности»: правовой базы, технических мер, организационных структур, формирования необходимого потенциала и международного сотрудничества. Помимо этого указано на необходимость осуществления эффективной борьбы с кибер-преступностью на основе мер, которые будут приниматься в рамках всех пяти принципов. Решение этих задач может обеспечиваться за счет идентификации и нормативного закрепления понятия российского государственного сегмента единой сети электросвязи и Интернета.
Глобальный характер информационно-коммуникационных технологий и киберпреступ-ности в любом случае настоятельно требует разработки универсального правового документа, даже несмотря на негативное отношение ряда государств к присоединению к «Конвенции Совета Европы о киберпреступности», поскольку ими не принималось участие в согласовании данного документа, а также неспособность некоторых государств присоединиться к этой Конвенции по политическим причинам или в силу наличия практических
проблем, связанных с конкретными положениями самой Конвенции.
Исходными внешними условиями служат сохранение тренда на фрагментацию кибер-пространства по национальным юрисдикци-ям и неблагоприятная внешнеполитическая ситуация, включая напряженные отношения Российской Федерации с США, НАТО и отдельными государствами Европы. Ключевым внешним риском для российского сегмента Интернета в этих условиях является политизация технической экосистемы глобального Интернета, в частности, нарастающее давление национальных правительств на деятельность находящихся в их юрисдикции технических и коммерческих организаций, предоставляющих различные трансграничные сервисы, в том числе связанные с обслуживанием инфраструктуры глобального Интернета. Фундаментальным риском такого процесса является снижение взаимного доверия в глобальной экосистеме технологических сервисов Интернета и частичная фрагментация такой системы по крупнейшим национальным/региональным сегментам с сопутствующим торможением развития.
В рамках данного подхода предлагается существенно форсировать создание государственного сегмента Интернета, расширив и сместив его функции в сторону обеспечения кибербезопасности инфраструктуры электросвязи в общегосударственном масштабе, в том числе для более эффективного управления трансграничными киберрисками. Такой подход потребует не только подключения систем и сетей государственных органов к оператору государственного сегмента, но и создания единой интегрированной инфраструктуры такого сегмента, начиная с уровня физических каналов и линий связи, а также стандартизации оборудования и обмена данными между его участниками.
Полагаем, что для государства развертывание единого государственного сегмента электросвязи и Интернета позволит сконцентрировать внимание и ресурсы на защите активов, критически важных для его собственных функций, и избежать ресурсного и регуляторного перенапряжения, которым чревато прямое участие в обеспечении кибербезопасности всего национального сегмента Интернета. Часть рисков и задач при этом в рамках рамочного регулирования «перекладывается» на операторов вне государственного сегмента, т.е. в основном на частную отрасль, прежде всего телекоммуникационных операторов. Последним такой подход дает возможность гибкого управления
75
трансграничными киберрисками без понижения эффективности их бизнес-модели и конкурентных позиций на рынке трансграничных услуг связи и передачи данных.
Поэтому уже в ближайшие годы необходимо выработать подход к квалификации, предупреждению и расследованию инцидентов, связанных с атаками на активные киберфизи-ческие системы, в том числе способные повлечь не только финансовый и репутационный ущерб, но и ущерб здоровью и т.д. (атаки на «умное» медицинское оборудование, автопилоты автомобилей и иных транспортных средств и проч.). При этом в отношении кибер-технологий как средства ведения военных действий и киберпространства как синтетического понятия, применяемого для обозначения новой техногенной среды действий, неочевидна возможность применения существующего комплекса норм международного гуманитарного права. Буквальное применение существующих базовых норм (Женевские конвенции 1949 г. и проч.) невозможно в силу технологической специфики кибертехнологий, а эффективная адаптация таких норм с учетом их технических нюансов пока не выработана.
Отдельной проблемой является отсутствие универсальных определений и классификаций объектов и активов (критические информационные инфраструктуры/критически важные объекты), для которых должна обеспечиваться безопасность. Это во многом вызвано тем, что трансграничная деятельность государств и других субъектов в сфере использования ИКТ не охвачена международно-правовыми нормами в части обеспечения безопасности. Сегодня отсутствуют механизмы и нормы, которые бы эффективно определяли и разграничивали правомерные и неправомерные действия, а также устанавливали ответственность за совершение неправомерных действий. В частности, речь идет об использовании кибертехноло-гий в военно-политических целях, в том числе в обстановке международных конфликтов или осуществления военных действий против террористических организаций.
В связи с этим необходима определенная степень согласования или использования общих подходов к криминализации для обеспечения основы для международного сотрудничества, хотя некоторые эксперты указали также на то, что достижение консенсуса по каждому возможному преступлению необязательно, и подчеркнули необходимость уважения национального суверенитета и культурного разнообразия. Среди экспертов существуют разные
мнения по вопросу о том, является ли наилучшим подходом к согласованию и международному сотрудничеству открытая разработка нового международно-правового документа, использование Конвенции Совета Европы о киберпреступности в качестве правовой базы или «мягких правовых» руководящих принципов, использование других существующих документов или руководящих принципов или более специализированного подхода к сотрудничеству, обмену информацией и технической помощи в каждом конкретном случае. Тем не менее, существуют определенные границы согласования, поскольку во многих государствах уже приняты свои законы, в связи с чем будет необходимо обмениваться информацией, для того чтобы каждое государство могло выбрать самый подходящий для себя подход.
При этом для России следует учитывать конфигурацию внешнеполитических условий в ближайшие годы, в том числе ее отношения с США и государствами Европы. Так, исходя из консервативно-пессимистичного сценария сохранения режима санкций и напряженности в отношениях, обмен информацией и совместная работа по противодействию компьютерной преступности могут поддерживаться на низком уровне. Прямые контакты и совместная работа на уровне государственных правоохранительных органов между Россией и Западом могут быть сведены к минимуму, рабочие взаимодействия на уровне частных структур также существенно ограничены. В результате фокус приложения усилий и ресурсов будет смещаться на узкорегиональные форматы, где уже есть наработанная нормативная база и практический опыт: ОДКБ, ШОС, в перспективе - ЕАЭС и БРИКС. В остальном трансграничная работа ведется на уроне двустороннего взаимодействия, где важную роль играют КНР и государства Азиатско-Тихоокеанского региона.
В данном случае успешным оказывается ЕАЭС как интеграционный проект с точки зрения выстраивания единого пространства цифровой трансформации государств, участвующих в нем. Ситуация здесь лишь частично зависит от действий и стратегии руководства Российской Федерации и в значительной степени определяется внутренними и внешнеполитическими установками участвующих в ЕАЭС стран. Так, в качестве одного из потенциальных препятствий стоит рассматривать наличие у отдельных государств ЕАЭС собственных программ цифровой трансформации. Примером является Казахстан, вторая по размерам после России цифровая экономика ЕАЭС, где
76
в 2016 г. была принята программа «Цифровой Казахстан - 2020», в значительной степени охватывающая вопросы, которые составляют повестку дня цифровой трансформации ЕАЭС.
Формирование в ближайшие годы реально функционирующего пространства цифровой трансформации в масштабах ЕАЭС открывает окно возможностей для реализации предложений в области обеспечения кибербезопасности. Альтернативный вариант - пробуксовка проекта совместной цифровой трансформации в рамках ЕАЭС либо его реализация в крайне неполном, «лоскутном» варианте. Это заставит Россию обеспечивать цифровую трансформацию экономики преимущественно своими силами в пределах своей же юрисдикции, что ограничивает и окна возможностей в части обеспечения информационной безопасности в рамках этого процесса.
В будущем в уголовном законодательстве придется учитывать риск целенаправленных атак на «цифровую личность», включая хище-
1. URL: https://officelife.media/news/experts-are-concerned-about-the-low-level-of-trust-between-the-two-countries-on-cyber-security/part2/
2. URL: https://assets.publishing.service.gov.uk/ government/uploads/system/uploads/attachment_ data/file/643426/
ние всех персональных данных пользователя, в том числе биометрических, нарушение процессов нейроинтерфейса «компьютер - мозг», манипуляции с искусственным интеллектом, обеспечивающим персональные и корпоративные бизнес-процессы, необратимое разрушение данных в результате вторжения в системы, защищенные квантовым шифрованием, и проч. С высокой вероятностью будет формироваться тренд тотальной информатизации преступности и отмирания барьера между «традиционной» и высокотехнологичной преступностью. Такой сценарий сделает востребованным участие России в международном механизме оперативного реагирования и расследования преступлений (Интерпол 2.0). Запуск и развитие глобального механизма расследования трансграничных инцидентов зависят от того, насколько в будущем будет выражена тенденция инфраструктурной фрагментации Интернета, а также от уровня международного доверия между государствами.
3. URL: https://www. coe. int/t/DC/Files/Source/ FS_cybercrime_ru.doc
4. URL: https://www.itu.int/en/action/cybersecurity/ Pages/gca.aspx
СВЕДЕНИЯ ОБ АВТОРЕ
Пучков Денис Валентинович, кандидат юридических наук, старший преподаватель кафедры уголовного права Уральского государственного юридического университета; e-mail: d.puchkov@ loys.law
INFORMATION ABOUT AUTHOR
D.V. Puchkov, Candidate of Law, Senior Lecturer of the Department of Criminal Law of the Ural State Law University; e-mail: [email protected]
77
