КИЇВСЬКИЙ РАЙОННИЙ СУД м. ПОЛТАВИ
Справа №552/6084/13-п
Провадження № 3/552/1539/13
П О С Т А Н О В А

І М Е Н Е М У К Р А Ї Н И

30.09.2013 року суддя Київського районного суду м. Полтава Калько О.С. розглянувши матеріали, які надійшли з Управління Державної служби спеціального звязку та захисту інформації в Полтавській області про притягнення до адміністративної відповідальності ОСОБА_1,ІНФОРМАЦІЯ_1, уродженця ІНФОРМАЦІЯ_2, ідентифікаційний код не встановлено, зареєстрований ІНФОРМАЦІЯ_3, працює начальником Державної екологічної інспекції у Полтавській області м. Полтава, вул. Зигіна,1

за ч.1 ст. 188-31 КУпАП,

В С Т А Н О В И В :

ОСОБА_1 являючись начальником Державної екологічної інспекції у Полтавській області ( м. Полтава, вул. Зигіна,1) допустив невиконання законних вимог посадових осіб Управління Державної служби спеціального звязку та захисту інформації України в Полтавській області, щодо усунення в інспекції порушень законодавства про технічний захист інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, а саме рекомендацій за результатами комплексної перевірки стану технічного захисту інформації № 41/06-157 ДСК від 28.02.2013р., тобто скоїв адміністративне правопорушення передбачене ч.1 ст.188-31 КУпАП при наступних обставинах:

посадовими особами Управління Державної служби спеціального звязку та захисту інформації України в Полтавській області згідно з Витягом з Плану контрольно-інспекторської роботи з питань технічного захисту інформації Державної служби спеціального звязку та захисту інформації України на 2013 рік від 24.12.2012 року № 11/01-2248дск в період з 26 по 28 лютого 2013 року було проведено комплексну перевірку стану технічного захисту інформації в Державній екологічній інспекції у Полтавській області. Керівнику органу, щодо якого здійснювався технічний захист інформації, а саме начальнику Державної екологічної інспекції у Полтавській області ОСОБА_1 було предявлено припис на право проведення перевірки (від 18.02.2013 року №41/06-169). ОСОБА_1 не заперечував проти її проведення. Перевірка проводилась відповідно до вимог Положення про державний контроль за станом технічного захисту інформації, затвердженого наказом Адміністрації Держспецзв'язку від 16.05.2007 №87 та зареєстрованого у Міністерстві юстиції України від 10.07.2007 № 785/14052, зі змінами, внесеними наказом Адміністрації Держспецзв'язку від 08.12.2008 року №192, зареєстрованим у Міністерстві юстиції України від 16.01.2009 № 29/16045. В ході перевірки (Акт 41/06-157дск від 28.02.2013) було встановлено, що в Державній екологічній інспекції у Полтавській області для обробки інформації з обмеженим доступом ( ІзОД) використовуються автоматизовані системи, які обєднані в 4 локально-обчислювальні мережі (ЛОМ): відділу екологічного контролю за поводженням з відходами та небезпечними хімічними речовинами, відділу бухгалтерії, відділу кадрів та приймальні. Перевіркою встановлено, що за допомогою зазначених ЛОМ здійснюється підготовка документів з обмеженим доступом, а саме: - у відділі екологічного контролю за поводженням з відходами та небезпечними хімічними речовинами здійснюється обробка службової інформації, якій надається гриф обмеження доступу для службового користування: Рішення про тимчасову заборону зупинення діяльності… №31/01/ДСК від 27.12.2012 року, виконавець ОСОБА_2, лист за №5389/0118/09ДСК від 25.12.2012 року, виконавець ОСОБА_3; - у відділах бухгалтерії, кадрів та у приймальні обробляється конфіденційна інформація про особу (персональні дані), яка ідентифікована або може бути конкретно ідентифікована (зокрема ПІБ, ідентифікаційний номер та інші дані). Зазначена вище інформація відповідно до ст.5 Закону України Про захист персональних даних ст. 11, 21 Закону України Про інформацію та ст. 7, 9 Закону України Про доступ до публічної інформації, віднесена до конфіденційної та службової, тому відповідно до п.6, п.9 Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах, потребує захисту від несанкціонованого та неконтрольованого ознайомлення, модифікації та знищення.

Згідно з п.16 Постанови КМУ № 373 для забезпечення захисту інформації в автоматизованій системі від несанкціонованого та неконтрольованого ознайомлення, модифікації, знищення повинна створюватись комплексна система захисту інформації з підтвердженою відповідністю (КСЗІ). Комісією Управління Держспецзвязку в Полтавській області в ході перевірки було встановлено, що заходів з технічного захисту інформації та створення КСЗІ з підтвердженою відповідністю в автоматизованих системах Інспекції, на яких здійснюється обробка ІзОД, не здійснено, внаслідок чого в Інспекції створена реальна загроза порушення конфіденційності, зокрема, за рахунок несанкціонованого ознайомлення, цілісності й доступності інформації з обмеженим доступом. Також комісією було встановлено, що у відділі екологічного контролю за поводженням з відходами та небезпечними хімічними речовинами ноутбук Toshiba satelit L300, який не знаходиться на бухгалтерському обліку Інспекції, був підключений до ЛОМ відділу. На момент перевірки співробітники відділу Інспекції зазначений факт не заперечували. Ноутбук Toshiba satelit L300 має підключений пристрій WI-FI, що надає можливість зєднання з глобальною мережею Інтернет через WI-FI - роутер TP-link TL WA 601G, встановлений в приміщенні приймальні Інспекції, який згідно з технічними характеристиками має радіус дії 200 м. Використання ноутбука Toshiba satelit L300 з можливістю зєднання з мережею загального користування Інтернет створило додатковий канал витоку інформації з обмеженим доступом та реальну загрозу порушення конфіденційності, цілісності та доступності для інформації з обмеженим доступом, яка циркулює в ЛОМ відділу Інспекції. Дії посадових осіб щодо створення каналів витоку інформації з обмеженим доступом можуть містити ознаки корупційної діяльності.

Відповідно до п.6.6 Положення про державний контроль за станом технічного захисту інформації №87, для зясування мети та оцінки можливих наслідків використання ноутбука Toshiba satelit L300, обладнаного пристроєм WI-FI, що створило можливість підключення ЛОМ відділу Інспекції, в якій обробляється ІзОД, до глобальної мережі Інтернет, та виключення ознак корупційної діяльності в діях співробітників відділу екологічного контролю за поводженням з відходами та небезпечними хімічними речовинами, комісією Управління Держспецзвязку в Полтавській області було ініційовано проведення службового розслідування. З метою недопущення розповсюдження службової інформації, яка могла опинитись на жорсткому магнітному диску ноутбука Toshiba satelit L300 під час його роботи в мережі, було запропоновано облікувати його встановленим порядком.

За результатами комплексної перевірки Інспекції, комісією Управління Держспецзвязку в Полтавській області були надані рекомендації та встановлені терміни усунення недоліків і приведення стану технічного захисту інформації в автоматизованих системах Інспекції у відповідність до нормативно-правових актів України. Начальник Державної екологічної інспекції у Полтавській області ОСОБА_1 з недоліками та рекомендаціями щодо їх усунення, зазначеними в акті перевірки, був ознайомлений та погодився щодо їх усунення, про що свідчить його підпис в акті перевірки. Окремої думки щодо незгоди з недоліками в акті перевірки він не висував.

Однак, відповідь від Інспекції щодо усунення порушень у терміни, які були зазначені в акті перевірки, на адресу Управління Держспецзвязку в Полтавській області не надійшла.

На адресу Інспекції посадовими особами Управління Держспецзвязку в Полтавській області були надіслані листи від 22.04.2013 №41/06-368ДСК, від 24.05.2013 №41/06-456ДСК та від 02.07.2013 №41/06-589ДСК, щодо виконання законних вимог з технічного захисту інформації в автоматизованих системах та блокування навмисно створеного каналу витоку інформації з обмеженим доступом. Інформації щодо блокування каналів витоку ІзОД від Інспекції не надходило. У своєму листі від 29.04.2013 №1641/0118/03ДСК Інспекція інформувала лише про те, що в Інспекції відсутні фахівці із захисту інформації та у кошторисі на 2013 рік не передбачені кошти на оплату цих послуг.

Згідно з пунктом 17 Постанови КМУ № 373 відповідальність за забезпечення захисту інформації в системі, своєчасне розроблення необхідних для цього заходів та створення системи захисту покладається на керівника (заступника керівника) організації, яка є власником (розпорядником) системи, та керівників її структурних підрозділів, що забезпечують створення та експлуатацію системи.

Відповідно до пункту 18 Постанови КМУ №373 за рішенням керівника організації, що є власником (розпорядником) системи, в установі створюється служба захисту інформації, яка здійснює організацію та проведення робіт із захисту інформації в системі та забезпечує визначення вимог до захисту інформації в системі, проектування, розроблення і модернізацію системи захисту, а також виконання робіт з її експлуатації та контролю за станом захищеності інформації.

Відповідно до п. 6.2 Типового положення про службу захисту інформації в автоматизованих системах (НД ТЗІ 1.4-001-2000), затвердженого наказом Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 04.12.2000 р №53, в організаціях, де штатним розкладом не передбачено створення служби захисту інформації, заходи щодо забезпечення захисту інформації в АС здійснюють призначені наказом керівника організації працівники. Питання комплектування підрозділів необхідними фахівцями входить до компетенції керівника установи.

Відповідно до постанови КМУ №517 від 18.05.2011 року Про затвердження переліку послуг у галузі технічного захисту інформації, господарська діяльність щодо надання яких підлягає ліцензуванню до переліку таких послуг віднесено:

- оцінювання захищеності інформації;

- виявлення закладних пристроїв.

Тому, заходи з технічного захисту інформації в Інспекції можуть виконуватись співробітниками установи самостійно, без залучення субєктів господарювання, які мають ліцензії на провадження господарської діяльності з надання послуг в галузі технічного захисту інформації, а отже не потребують витрат бюджетних коштів.

Також, згідно з пунктом 1.5 Положення про державну експертизу в сфері технічного захисту інформації, затвердженого наказом Адміністрації Держспецзвязку від 16.05.2007 № 93 та зареєстрованого в Міністерстві юстиції України 16.07.2007 за № 820/14087, зі змінами, затвердженими наказом Адміністрації Держспецзвязку від 10.10.2012 № 567 та зареєстрованими в Міністерстві юстиції України 06.11.2012 за №1863/22175, проведення експертизи може здійснюватись шляхом експертних випробувань або шляхом аналізу декларації про відповідність КСЗІ вимогам нормативних документів із ТЗІ. У випадку проведення експертизи шляхом аналізу заповненої декларації, залучення експертів не передбачається, як наслідок, витрачати бюджетні кошти не потрібно.

Відповідно до договору №31К від 12.12.2010 року в Інспекції створено власну WEB-сторінку www.ecoinsp.poltava.ua., яка розміщена на сервері s9.uahoster.com в Німеччині. Разом з тим, відомостей щодо створення комплексу технічного захисту інформації на сервері s9.uahoster.com, в Інспекції немає. Відсутність КСЗІ в АС інв.№10480005 Інспекції є невиконанням вимог ст. 8 Закону України Про захист інформації в інформаційно-телекомунікаційних системах, пунктів 4, 5 і 16 Постанови КМУ №373 ї створює реальну загрозу порушення її цілісності й доступності відкритої інформації.

Таким чином, посадові особи, які відповідають за організацію і впровадження технічного захисту інформації в Державній екологічній інспекції у Полтавській області та не здійснюють заходів щодо приведення стану технічного захисту інформації у відповідність до вимог нормативно-правових актів України, грубо порушують вимоги ст.8 Закону України Про захист інформації в інформаційно-телекомунікаційних системах та п.4, 5 і 16 Постанови КМУ №373.

Відповідно до підпункту 7.4 Положення про державний контроль за станом технічного захисту інформації №87 та пункту 5 Положення про технічний захист інформації в Україні, керівник органу, щодо якого здійснюється технічний захист інформації, несе персональну відповідальність за приведення стану технічного захисту інформації у відповідність до вимог нормативно-правових актів України.

ОСОБА_1 було проінформовано про відповідальність за невиконання законних вимог посадових осіб органів Державної служби спеціального звязку та захисту інформації України згідно зі статей 18831 КУпАП (листи від 24.05.2013 №41/06-456ДСК та від 02.07.2013 №41/06-589ДСК).

Крім того, станом на 23.07.2013 року в Інспекції не проведено службове розслідування для зясування причин та наслідків навмисного створення каналу витоку інформації з обмеженим доступом шляхом підключення необлікованого ноутбука Toshiba satelit L300, обладнаного пристроєм WI-FI, до автоматизованих систем, в яких обробляється ІзОД, виключення або підтвердження ознак корупційної діяльності в діях співробітників Інспекції.

Замість проведення службового розслідування для зясування причин та наслідків навмисного створення каналу витоку інформації з обмеженим доступом, ОСОБА_1 в листі від 29.04.2013 року № 1641/0118/03ДСК заперечував наявність у відділі екологічного контролю за поводженням з відходами та небезпечними хімічними речовинами ЛОМ, в якій обробляється ІзОД, а листом від 25.06.2013 року №2357/0118/03ДСК, повідомив, що наказом Інспекції №65 від 20.06.2013 року за даним фактом призначено службове розслідування, але результатів проведення, після чергового подовження термінів, на адресу Управління Держспецзвязку надіслано не було.

ОСОБА_1 будучи належним чином повідомленим про місце та час розгляду справи, до суду не зявився, надавши клопотання про розгляд справи за його відсутності та надавши письмові пояснення в яких вину у вчиненні адміністративного правопорушення не визнав, пояснивши, що під час підписання акту перевірки Державної екологічної інспекції відповідальна особа за захист інформації ОСОБА_4 не довела до відома причетних осіб інформацію, викладену в акті Управління Державної служби спеціального звязку та захисту інформації України в Полтавській області у звязку з чим акт був підписаний без зауважень. Відповідно до п.2-5 рекомендацій було створено та затверджено склад комісії для проведення службового розслідування акт кого було направлено до Управління Держзвязку 24.07.2013р. Були вжиті заходи щодо виконання пунктів 7,9,11,13,14,23-27, для сплати витрат на спеціаліста з ТЗІ, відсутнього в структурі, інспекція звернулась до Державної екологічної інспекції України щодо надання коштів за окремим напрямком Захист інформації. На виконання п. 12 рекомендацій припинено обробку відкритої інформації, яка оприлюднюється в Інтернеті на WEB-сторінці. Виконані п.15-19,21,20,22 рекомендацій. Про здійснення всіх вищезазначених заходів інспекція повідомила своїми листами від 18.03.2013р, 1.04.2013р.,15.04.2013р., 29.04.2013р.25.06.2013р.,15.07.2013р. та 24.07.2013р. Щодо виконання п. 6,8.10 рекомендацій, припинення обробки ІзОД в ЛОМ бухгалтерії, відділі кадрів та приймальні не є можливим, оскільки, відповідно до вимог чинного законодавства у відділі бухгалтерського обліку та фінансової звітності здійснюється облік заробітної плати, розрахунки до фондів та податків, підготовка та надання звітної інформації до відповідних державних органів здійснюється в електронному вигляді, ведеться електронна база даних працівників Держінспекції відповідно до Єдиної державної компютерної системи Кадри, припинення обробки ІзОД в приймальні призведе до невиконання Держінспекцією повноважень, передбачених Положенням про державну екологічну інспекцію. Крім того, з моменту утворення Державної екологічної інспекції у Полтавській області як територіального органу Державної екологічної інспекції України та до моменту здійснення перевірки Управлінням Держспецзвязку в Полтавській області не було здійснено жодних дій, спрямованих на методичне керівництво та координацію діяльності у сфері технічного захисту інформації, а також з питань, повязаних із запобіганням вчиненню порушень безпеки інформації та питань повязаних із запобіганням вчиненню порушень безпеки інформації.

Однак, як вбачається з матеріалів справи та встановлено в судовому засіданні, після виявлення недоліків під час комплексної перевірки 26-28 лютого 2013р. стану технічного захисту інформації в Державній екологічній інспекціі у Полтавській області Управлінням Державної служби спеціального звязку та захисту інформації України в Полтавській області, що проводилась відповідно до вимог Положення про державний контроль за станом технічного захисту інформації, затвердженого наказом Адміністрації Держспецзв'язку від 16.05.2007 №87 та зареєстрованого у Міністерстві юстиції України від 10.07.2007 № 785/14052, зі змінами, внесеними наказом Адміністрації Держспецзв'язку від 08.12.2008 року №192, зареєстрованим у Міністерстві юстиції України від 16.01.2009 № 29/16045 та згідно з Витягом з Плану контрольно-інспекторської роботи з питань технічного захисту інформації Державної служби спеціального звязку та захисту інформації України на 2013 рік від 24.12.2012 року № 11/01-2248дск( а.с. 95-130), в Державній екологічній інспекції у Полтавській області тривають порушення діючих вимог з технічного захисту інформації, які з лютого 2013р. по 20.08.2013р. не усунуті, а саме 17 пунктів рекомендацій наданих в акті перевірки, внаслідок чого в інспекції створюється загроза державним інформаційним ресурсам ( а.с.69-71). В тому числі, використання ноутбука з можливістю зєднання з мережею загального користування Інтернет через обладнаний пристрій WI-FI створює додатковий канал витоку інформації з обмеженим доступом та реальну загрозу порушення конфіденційності, цілісності та доступності для інформації з обмеженим доступом, яка циркулює в ЛОМ відділу інспекції; лише 20.06.2013р. Державної екологічної інспекцією була призначена службова комісія, а матеріали службового розслідування направлені на адресу Управління Державної служби спеціального звязку та захисту інформації України у Полтавській області лише 24.07.2013р., тобто після складання протоколу про адміністративне правопорушення, при цьому матеріали службового розслідування повернуті на доопрацювання для виключення формального підходу та надання обґрунтованих висновків; станом на 25.09.2013р. WEB-сторінка www.ecoinsp.poltava.ua. Державної екологічної інспекції у Полтавській області залишається розміщеною на сервері s9.uahoster.com в Німеччині, тобто інспекція користується WEB-сторінкою на Німецькому сервері без технічного захисту інформації, яка фактично надсилається за кордон ( а.с. 90). Тобто керівник Державної екологічної інспекції у Полтавській області ОСОБА_1, який відповідно до п. 7.4 Положення про державний контроль за станом технічного захисту інформації №87 та п. 5 Положення про технічний захист інформації в Україні, несе персональну відповідальність за приведення стану технічного захисту інформації у відповідність до вимог нормативно-правових актів України, порушив вимоги ст. 8 Закону України Про захист інформації в інформаційно - телекомунікаційних системах.

Виходячи з наведеного, вважаю, що ОСОБА_1 дійсно вчинив інкриміноване йому адміністративне правопорушення, а тому його дії вірно кваліфіковані за ч. 1 ст. 188-31 КУпАП.

При накладенні адміністративного стягнення з урахуванням характеру вчиненого правопорушення, ступеню вини, особи порушника, приходжу до висновку, що на останнього необхідно накласти адміністративне стягнення у виді 850 грн. штрафу на користь держави.

Керуючись ст.283, 284 КУпАП,-

П О С Т А Н О В И В :

Визнати ОСОБА_1 винним у скоєнні адміністративного правопорушення передбаченого ч.1 ст. 188-31 КУпАП та піддати адміністративному стягнення у вигляді штрафу в розмірі 850 грн. на користь держави.

Постанова може бути оскаржена до апеляційного суду Полтавської області через Київський районний суд м. Полтава шляхом подачі апеляційної скарги протягом 10 діб з моменту винесення.

Строк предявлення постанови до виконання 3 місяці з дня винесення

Суддя О.С. Калько