К бизнесу на конфиденциальной информации, в котором уже давно (вольно или невольно) участвуют многие государственные учреждения, присоединился и Центробанк. Одно из самых громких событий весны: в Интернете появилась база проводок РКЦ с апреля 2003 по октябрь 2004 г. 60 гигабайт информации можно приобрести за $800-1000 в виде жесткого диска. Но особым спросом, как показывают факты, вся база не пользуется. Куда больший интерес вызывают сведения о платежах отдельных предприятий, которые можно приобрести совсем дешево, примерно за 1500 руб.

Кто украл?

Первыми, на кого пало подозрение в краже базы, стали хакеры. Однако специалисты в области информационных технологий в один голос заявили, что незаметно скачать такой массив информации невозможно даже по самым быстрым линиям связи. По их мнению, сведения были украдены оттуда, где они концентрируются - из Межрегионального центра информатизации ЦБ. И похитили их не хакеры, а кто-то из сотрудников банка. Только они могут перенести данные на портативный носитель и незаметно вынести его за пределы офиса.

Сначала ЦБ предпочитал отмалчиваться. Только через несколько дней, после того как информацию о торговле конфиденциальными данными проводок опубликовали «Ведомо сти», Департамент внешних и общественных связей ЦБ заявил о начале расследования в связи с появлением базы в продаже. Пока проверяется лишь факт продажи, и по его итогам, возможно, дело будет передано в прокуратуру.

КОММЕНТАРИЙ

Михаил ГРИШАНКОВ, первый заместитель
председателя Комитета
Государственной Думы
по безопасности:

Совершенно очевидно, что сегодня в России сформировался устойчивый рынок услуг по предоставлению информации из различных закрытых баз данных. Это свидетельствует, с одной стороны, о наличии спроса на эту информацию, а с другой - об отсутствии должного контроля в соответствующих госучреждениях, а также системной работы правоохранительных органов по выявлению фактов несанкционированного проникновения в базы данных, что в свою очередь объясняется пробелами в законодательстве.

На сегодняшний день стройная система, которая бы регламентировала защиту служебной информации, отсутствует. И если деятельность федеральных учреждений в этой сфере еще как-то регулируется соответствующим правительственным постановлением, то деятельность других органов, которые работают со служебной информацией, включая различные базы данных, содержащие сведения о наших с вами согражданах, остается, по существу, вне правового поля. И этим, разумеется, пользуются различного рода мошенники.

По этой же причине, несмотря на вопиющие факты использования в противоправной деятельности персональных данных, правоохранительные органы не в состоянии в большинстве случаев привлечь мошенников к ответственности.

Были подготовлены законопроекты, регламентирующие в том числе порядок работы со служебной информацией, где предлагалось определить перечень данных, подлежащих защите, а также ввести ответственность за их разглашение или несанкционированную передачу. К сожалению, правительство выступило против этих инициатив, посчитав их слишком затратными.

На мой взгляд, преодолеть сложившийся правовой вакуум необходимо как можно быстрее. И здесь нужны скоординированные действия исполнительной и законодательной ветвей власти. Было бы правильно, если инициативу взяли бы на себя Министерство информационных технологий и связи и Минюст.

Танки бессильны против торгующих конфиденциальными базами данных

По мнению эксперта по информационной безопасности компании SmartLine Inc. Сергея Баричева, до 90% краж корпоративной информации совершается самими сотрудниками, которые руководствуются самыми разными соображениями: жадностью, местью, любопытством. Такая ситуация в последнее время становится все более пугающей в связи с появлением малогабаритных, но емких устройств памяти с мобильными разъемами. К примеру, флэш-память емкостью 1 гигабайт можно купить в магазине за $80.

Моя хата с краю

Эксперты считают, что утечки внутренней конфиденциальной информации - бич сегодняшнего информационного общества. Как следует из доклада о положении в области информационной безопасности, подготовленного компанией Ernst&Young, внутренние угрозы специалисты ставят на второе место после угроз со стороны компьютерных вирусов, «червей» и «троянов». Позади остались такие вещи, как спам, хакерские атаки и финансовое мошенничество.

Удивительно, но банковское сообщество почти никак не отреагировало на утечку базы проводок из Центробанка. На прошедшем в начале апреля съезде Ассоциации российских банков только один из выступающих резко осудил происшедшее, и то он был не банкиром, а депутатом Госдумы. Банкиры же говорили о причинах высоких кредитных ставок, о трудностях на ниве ипотечного кредитования, о роли госбанков, но ни словом не обмолвились об утечке из ЦБ.

Показательной была реакция главы ВТБ Андрея Костина, который на вопрос о том, как он относится к утечке, заявил, что из его банка такая утечка невозможна. «Мы считаем, что мы надежно защищаем информацию по нашим клиентам: Тот факт, что ВТБ является госбанком, нисколько не ухудшает положение наших клиентов в отношении банковской тайны:

Как и все другие банки, мы предоставляем информацию в ЦБ, а дальше - ответственность тех органов, которые ее получают», - заявил он.

Ничего не случилось

Такая реакция главы крупного госбанка характерна для всего банковского сообщества. Но она еще показательна потому, что для работников финансового сектора это не было какой-то новостью. «Утечки сведений о платежах и проводках происходят регулярно уже пять или шесть лет, - заявил один из экспертов инвестиционной компании «КИТ», пожелавший остаться неизвестным. - Тот факт, что все это вышло наружу, не означает скорых изменений к лучшему, а появление базы в продаже не приведет к ухудшению условий, в которых мы работаем. Они всегда были плохими». По его мнению, положительным фактором можно считать общественный резонанс, вызванный фактом появления базы в продаже. Но сама по себе утечка конфиденциальных данных из Центробанка - далеко не новость...

Можно сказать больше: утечка конфиденциальной информации из госучреждений стала обычным событием. При этом рынок предлагает не только сами украденные базы, но и периодически - их обновления.

Деньги на ветер?

То, что конфиденциальные сведения находятся в свободной продаже, вовсе не означает, что их никто не охраняет. Оба рынка - баз данных и средств информационной безопасности - в нашей стране быстро растут. О том, какие суммы ходят в сфере нелегального копирования и продажи конфиденциальной информации из госучреждений, можно только догадываться. Что же касается рынка средств защиты информации, то здесь все известно. Как сообщил агентству CNews генеральный директор компании «Информзащита» Петр Ефимов, в прошлом году оборот рынка составил $170 млн., а в этом году показатель достигнет $230 млн. При этом самым крупным потребителем систем охраны информации по-прежнему остается государство. В этом нет противоречия, ибо покупка средств защиты не всегда имеет целью обеспечение безопасности, а сами меры безопасности не всегда призваны быть эффективными.

«Объем украденной информации, полнота базы говорит о том, что имеется отлаженный канал утечки, а значит, возможно, есть люди на высоком уровне, которые это обеспечивают», - считает ведущий научный сотрудник НИИ Генпрокуратуры Аслан Юсуфов.

Ловить некого

Формально тем, кто украл в ЦБ базу данных по проводкам РКЦ, грозит уголовное преследование и тюремные сроки. В частности, им могут предъявить обвинение по ст. 183 УК. Эта норма предусматривает два года лишения свободы за сбор сведений, составляющих коммерческую или банковскую тайну. Если же обвиняемый смог каким-либо образом использовать эти сведения, то наказание увеличивается до трех лет лишения свободы. В дополнение ему можно предъявить обвинение по статье 272 УК - «Неправомерный доступ к компьютерной информации», которая предусматривает уже пять лет лишения свободы.

Но между статьями УК и приговором есть непреодолимый барьер в виде сбора и предоставления доказательств. Самая большая сложность в преступлениях такого рода - установить лицо, от которого ушла информация, и получить документальные подтверждения того, что оно было обязано хранить ее в тайне, говорит А. Юсуфов. При этом должен быть точно определен режим охраны информации, а с этим в российских законах большая путаница. Ответственность конкретного лица по охране банковской тайны на определенном участке должна быть прописана в должностных инструкциях и других внутренних документах. Поэтому если будет возбуждено уголовное дело, то следователям в первую очередь надо будет доказать, что обязанность охранять эти данные возложена служебными документами именно на лицо, подозреваемое в обеспечении утечки информации.

Есть и другой вариант, когда лицо или фирма, понесшая ущерб в результате утечки, требует компенсации. Такая норма содержится в ст. 857 ГК. Схожее положение есть в законе «О банках и банковской деятельности». Как считает руководитель группы по правовой защите интеллектуальной собственности и информационных технологий Ernst&Young Виктор Наумов, ответственность должна наступать при разглашении банком сведений, составляющих банковскую тайну. Но при этом должны быть выявлены виновные лица, и вина их должна быть доказана. Если этого нет, то и вероятность возмещения убытков, причиненных в результате разглашения информации, будет невелика.

Кто ж тебе поверит?

Появление в продаже баз с данными, конфиденциальность которых должно обеспечивать государство, ставит под сомнение его способность соблюдать свои обязательства. С другой стороны, готовность коммерческих предприятий предоставлять государству такие сведения сходит на нет. Недавно глава правительства Михаил Фрадков подписал постановление, согласно которому адвокаты, нотариусы и те предприниматели, которые оказывают юридические или бухгалтерские услуги, обязаны предоставлять сведения о своих клиентах в Федеральную службу по финансовому мониторингу (ФСФМ). Судя по всему, ФСФМ будет непросто гарантировать конфиденциальность этих сведений, которые могут вызывать большой интерес криминальных структур.

Президент Московской международной валютной ассоциации Алексей Мамонтов считает, что произошедшая утечка базы проводок РКЦ повредит не столько банковской системе, сколько самому государству, оказавшемуся неспособным хранить тайны.