Провадження №1-кп/761/715/2016
В И Р О К
іменем України
21 квітня 2016 року м.Київ

Шевченківський районний суд м.Києва в складі: головуючого судді ОСОБА_1 , при секретарі ОСОБА_2 , за участю державного обвинувача ОСОБА_3 , захисника ОСОБА_4 , обвинуваченого ОСОБА_5 , розглянувши у підготовчому судовому засіданні в приміщенні Шевченківського районного суду м.Києва обвинувальний акт у кримінальному провадженні відносно

ОСОБА_5 , ІНФОРМАЦІЯ_1 , уродженця м.Кіровоград, громадянина України, з вищою освітою, не одруженого, працюючого провідним інженером відділу адміністрування ДП «Українські спеціальні системи», зареєстрованого та проживаючого за адресою: АДРЕСА_1 , раніше не судимого,

у вчиненні кримінального правопорушення, передбаченого ч.1 ст.363 КК України,

в с т а н о в и в :
ОСОБА_5 у лютому 2014 року обіймаючи посаду адміністратора безпеки, для доступу до свого автоматизованого робочого місця (далі АРМ), яке є елементом КСЗІ ЗВІД ДП «УСС» та використовувалось ним для управління та моніторингу, створив пароль адміністратора безпеки Ncsathokm283», чим порушив вимоги п. 9 «Експертного висновку щодо оцінки КСЗІ ЗВІД ДП «УСС», а саме «паролі адміністратора безпеки та системного адміністратора на доступ до елементів КСЗІ мають довжину не менш ніж дванадцять символів, не містять поширених слів, використовують спеціальні символи».

Надалі, у 2015 році ОСОБА_5 , встановив на своєму АРМ адміністратора безпеки, операційну систему Windows 7 Professional, чим порушив вимоги п. 6.5.1.1. «Плану захисту інформації КСЗІ ЗВІД», а саме «Заборонене використання на АРМ, що використовуються для управління та моніторингу (АРМ адміністраторів та чергової зміни), серверах та активному мережевому обладнанні програмного забезпечення, що не відповідає наведеному в проектній документації». У відповідності до таблиці 3.1. «Опису програмного забезпечення КСЗІ ЗВІД» - для забезпечення функціонування .АРМ обслуговуючого персоналу КСЗІ ЗВІД має використовуватись операційна система Windows ХР Professional SP2.

Впродовж 2014-2015 років ОСОБА_5 , для особистих потреб, встановив на своєму АРМ адміністратора безпеки наступні програмні засоби: «Skype», «NeroBurn», «ImageBurn» та ін., чим порушив вимоги п.6.5.1.1. «Плану захисту інформації КСЗІ ЗВІД», а саме «Заборонене використання на АРМ, що використовуються для управління та моніторингу (АРМ адміністраторів та чергової зміни), серверах та активному мережевому обладнанні програмного забезпечення, що не відповідає наведеному в проектній документації». У таблиці 3.1. «Опису програмного забезпечення КСЗІ ЗВІД» вищевказані програмні засоби відсутні.

03.03.2014 між ДП «УСС» та Державною міграційною службою України (далі ДМСУ) укладено договір на закупівлю послуг щодо обробки даних, розміщення інформації на веб-вузлах, щодо програмного застосування та інші послуги щодо забезпечення інформаційно-технологічною інфраструктурою (послуги з розміщення поштового серверу та веб-сайту (хостингу) із забезпеченням захищеного Інтернет-доступу до ресурсів веб-сайту та електронної пошти) № 15/11.18/14/КЛ.

12.03.2015 між ДП «УСС» та ДМСУ укладено договір на закупівлю послуг щодо обробку даних, розміщення інформації на веб-вузлах, щодо програмного застосування та інші послуги щодо забезпечення інформаційно-технологічною інфраструктурою (послуги з розміщення поштового серверу та веб-сайту (хостингу) із забезпеченням захищеного Інтернет-доступу до ресурсів веб-сайту та електронної пошти) № 11.43/15/ін/11, у зв`язку із закінченням терміну дії попереднього.

Відповідно до вказаного договору № 11.43/15/ін/11, ДП «УСС» надавало ДМСУ 200 Гб дискового простору на своєму сервері для функціонування поштового серверу та веб-сайту ДМСУ, а також забезпечувало захищений доступ до поштового серверу та веб-сайту ДМСУ, відповідно до вимог законодавства в галузі захисту інформації, через захищений вузол Інтернет-доступу ДП «УСС». Відповідальною особою за технічні питання з боку ДП «УСС», був призначений адміністратор безпеки КСЗІ ЗВІД ОСОБА_5

16.10.2014 на веб-сервері сайту ДМСУ, невстановленими особами було створено нелегітимний обліковий запис користувача «boriscrypto».

Надалі, у період 2015 року невстановленими особами, із використанням шкідливого програмного забезпечення, яке функціонувало на АРМ адміністратора безпеки ОСОБА_5 , було скомпрометовано та отримано пароль адміністратора безпеки останнього. За допомогою отриманого паролю адміністратора безпеки, невстановлені особи надали нелегітимному обліковому запису користувача «boriscrypto» Root-права для можливості входу до серверу ДМСУ і здійснення несанкціонованих дій з інформацією.

В ході аналізу несанкціонованих дій вчинених під обліковим записом «boriscrypto» було виявлено:

- розміщений на веб-сервері ДМСУ скрипт «pass.php», який по своїй суті є веб-шелом та призначений для здійснення несанкціонованих дій;

-створений файл /tmp/.86893242 з перехопленими автентифікаційними даними АРМ співробітників ДП «УСС» та його клієнтів;

- запущені сторонні Root-процеси «ksysdefd» та «rsyncd», які мали активні з`єднання з ІР-адресами НОМЕР_1 та НОМЕР_2 відповідно.

За допомогою вищевказаних несанкціонованих дій, невстановлені досудовим розслідуванням особи, перехоплювали інформацію, яка циркулювала у КСЗІ ЗВІД та на веб-сервері ДМСУ, копіювали її у файли та пересилали на невстановлені сервери закордон, що серед іншого завдало підриву авторитету ДП «УСС» як державного органу у сфері захисту інформації.

В той же період часу, адміністратор безпеки ДП «УСС» ОСОБА_5 , обізнаний щодо обов`язків адміністратора безпеки з дотримання політики безпеки та правил експлуатації КСЗІ ЗВІД, перебуваючи за місцем роботи як службова особа державної установи, не виконав свої обов`язки через несумлінне ставлення до них, бездіяв, тобто будучи зобов`язаним і маючи можливість вчинити дії, які входять в коло його службових обов`язків, не вжив заходів щодо виконання вимог:

*п.6.7 відомості покупних виробів технічного проекту, шифр «ЗВІД-2» щодо використання операційної системи Windows ХР для забезпечення функціонування АРМ обслуговуючого персоналу підсистем ЗВІД;

*п.п.4.3.5 інструкції адміністратора безпеки КСЗІ ЗВІД, щодо контролю забезпечення прав доступу системним адміністратором;

*п.п.4.4.3 інструкції адміністратора безпеки КСЗІ ЗВІД, щодо контролю за виконанням вимоги щодо заборони використання програмно-апаратного забезпечення, що не має дозволу на експлуатацію;

-п.3.5 календарного плану захисту інформації КСЗІ ЗВІД, щодо контролю дотримання встановлених правил розмежування доступу до інформації, що циркулює в ЗВІД;

-п.3.6 календарного плану захисту інформації КСЗІ ЗВІД, щодо перевірки ПЗ та інформації на АРМах та серверах ЗВІД на наявність шкідливих програм (комп`ютерних вірусів);

-п.3.9 календарного плану захисту інформації КСЗІ ЗВІД, щодо перевірки відсутності (наявності) вірусної активності, спроб НСД.

Службовою перевіркою ДП «УСС» від 10.12.2015, було виявлено порушення ОСОБА_5 правил експлуатації КСЗІ ЗВІД та положень інструкції адміністратора безпеки, що призвело до несанкціонованого доступу до інформації, яка містилась на веб-сервері ДМСУ та її витоку.

Крім того, до суду надійшла угода про визнання винуватості, укладена між обвинуваченим ОСОБА_5 та прокурором ОСОБА_3 від 16.03.2016 року, відповідно до якої обвинувачений повністю визнав свою винуватість у зазначеному діянні.Сторони погодились на призначення покарання ОСОБА_5 за вчинення злочину, передбаченого ч.1 ст.363 КК України у 800 неоподатковуваних мінімумів доходів громадян, що складає 13600 гривень, які ОСОБА_5 зобов`язується сплатити на користь держави в строк до 30 червня 2016 року.

При проведенні підготовчого судового засідання ОСОБА_5 пояснив, що він повністю погоджується з підписаною угодою, розуміє наслідки укладання угоди, угода була укладена добровільно, без будь-якого примусу, та просить суд затвердити укладену угоду.

Захисник та прокурор також просять затвердити укладену угоду.

Суд, дослідивши угоду, вислухавши доводи сторін, вважає, що укладена угода не суперечить вимогам КПК України та законам України, умови угоди відповідають інтересам суспільства, не порушують прав, свобод та інтересів сторін, угода укладена добровільно, виконання обвинуваченим взятих на себе обов`язків можливо, фактичні підстави для визнання винуватості наявні, правова кваліфікація правопорушення визначена правильно за ч.1 ст.363 КК України, як порушення правил експлуатації електронно-обчислювальних машин (комп`ютерів), автоматизованих систем, комп`ютерних мереж чи мереж електрозв`язку або порядку чи правил захисту інформації, яка в них оброблюється, якщо це заподіяло значну шкоду, вчинені особою, яка відповідає за їх експлуатацію.
На підставі викладеного, керуючись ст.ст.374-376, 475 КПК України, суд

з а с у д и в :
Угоду про визнання винуватості, укладену між прокурором ОСОБА_3 та обвинуваченим ОСОБА_5 від 16.03.2016 року затвердити.

ОСОБА_5 визнати винним у вчиненні кримінального правопорушення, передбаченого ч.1 ст.363 КК України, і призначити йому покарання у вигляді штрафу у розмірі вісімсот неоподатковуваних мінімумів доходів громадян, що складає 13600 гривень.

Вирок може бути оскаржений в апеляційному порядку до Апеляційного суду м. Києва через Шевченківський районний суд м.Києва протягом 30 діб з моменту його проголошення прокурором, захисником та ОСОБА_6 тільки в частині призначеного покарання, не узгодженого сторонами.