П О С Т А Н О В А

Іменем України

21 жовтня 2015 року суддя Октябрського районного суду м. Полтави Микитенко В.М., розглянувши адміністративний матеріал, що надійшов з відділу Державної служби спеціального звязку та захисту інформації України Управління в Полтавській області про притягнення до адміністративної відповідальності:

ОСОБА_1, ІНФОРМАЦІЯ_1, уродженця ІНФОРМАЦІЯ_2, мешканця ІНФОРМАЦІЯ_3, громадянина України, працюючого директором Департаменту освіти і науки Полтавської обласної державної адміністрації, не судимого,

у вчиненні адміністративного правопорушення, передбаченого ч. 1 ст. 188-31 КУпАП, -

В С Т А Н О В И В:

16 вересня 2015 року було складено протокол про адміністративне правопорушення, відповідно до якого посадовими особами Управління Державної служби спеціального звязку та захисту інформації України в Полтавській області, згідно з витягом з «Плану контрольно-інспекторської роботи з питань технічного захисту інформації Державної служби спеціального звязку та захисту інформації України на 2015 рік» від 15.12.2014 року № 11/01-1302дск у період з 09 по 10 вересня 2015 року було проведено контрольну перевірку стану технічного захисту державних інформаційних ресурсів та інформації, вимога щодо захисту якої встановлено законом, в Департаменті освіти і науки Полтавської обласної державної адміністрації (акт від 11.09.2015 року № 41/06-497 ДСК).

Керівництву органу, щодо якого здійснювався технічний захист інформації, а саме: директору Департаменту освіти і науки Полтавської обласної державної адміністрації ОСОБА_1 було предявлено припис на право проведення перевірки (від 31.08.2015 року № 41/06-1077). ОСОБА_1 не заперечував проти її проведення.

Перевірка проводилась відповідно до вимог «Положення про державний контроль за станом технічного захисту інформації», затвердженого наказом Адміністрації Держспецзвязку від 16.05.2007 року № 87 та зареєстрованого у Міністерстві юстиції України 10.07.2007 року за № 785/14052 зі змінами, внесеними наказами Адміністрації Держспецзвязку.

За результатами проведеної комплексної перевірки стану ТЗІ співробітниками Управління Держспецзвязку було встановлено, що рекомендації, надані за результатами попередніх перевірок стану ТЗІ, проведених в 2011 році (акт від 24.05.2011 року № 41/05-410ДСК) та в 2014 році (акт від 27.11.2014 року № 41/06-801ДСК), не виконані, а саме:

- не організовано отримання оновлень антивірусного програмного засобу не рідше ніж раз на день за допомогою веб-серверу центру антивірусного захисту (www.cazi.dsszzi.gov.ua);

- не розроблений план захисту інформації на всіх етапах експлуатації Web - сторінки;

- не призначений відповідальний за організацію робіт із захисту інформації та забезпечення контролю за станом її захищеності на WEB - сторінці;

- не визначений перелік інформації, призначеної для публічного розміщення на Web - сторінці;

- не укладений договір на отримання послуг WEB хостінгу, в якому мають бути отримані від власника сервера гарантії рівня захисту інформації, що оприлюднюється на WEB сторінці;

- не розроблене технічне завдання на створення КСЗІ в автоматизованій системі (надалі АС) класу «3»;

- не створено комплексної системи захисту інформації (надалі КСЗІ) в АС класу «3» Департаменту;

- не вирішене питання щодо припинення обробки відкритої інформації,що відноситься до державних інформаційних ресурсів, в АС класу «3» Департаменту;

- не проведено обстеження середовища функціонування АС, призначеної для обробки державних інформаційних ресурсів;

- не розроблено план захисту інформації в АС, яка використовується для обробки державних інформаційних ресурсів;

- не вирішено питання щодо проведення державної експертизи в АС класу «1», в яких здійснюється обробка інформації з обмеженим доступом.

Рекомендації не виконано не зважаючи на те, що їх виконання не потребує витрат бюджетних коштів, та з урахуванням проведення співробітниками Управління Держспецзвязку 19.02.2015 року семінару на базі Полтавського обласного центру перепідготовки та підвищення кваліфікації працівників органів державної влади, органів місцевого самоврядування, державних підприємств установ і організацій, на якому був присутній представник Департаменту освіти і науки Полтавської обласної державної адміністрації та розглядалися питання створення КСЗІ в АС, та надавалися необхідні матеріали.

В 2012 році Департаментом спільно з ПАТ «Інститут інформаційних технологій» було розроблено відповідний перелік організаційно-технічних та експлуатаційних документів для створення комплексних систем захисту інформації, на які було витрачено бюджетні кошти.

Відповідно до наказу Адміністрації Держспецзвязку від 16.05.2007 року № 93, зареєстрованого в Міністерстві юстиції за № 820/14087 від 16.07.2007 року, зі змінами, внесеними наказом Адміністрації Держспецзвязку від 10.10.2012 року № 567, зареєстрованим у Міністерстві юстиції за № 1863/22175 від 06.11.2012 року, на даний час для проведення державної експертизи не потребується додаткового залучення бюджетних коштів, експертиза проводиться шляхом аналізу та реєстрації заповненої декларації Адміністрацією Держспецзвязку безоплатно, роботи зі створення комплексних систем захисту інформації на даний час так і не завершені.

З часу призначення на посаду директором департаменту ОСОБА_1 не було організовано виконання заходів щодо приведення стану ТЗІ у відповідність до вимог нормативно-правових актів з ТЗІ; перевіркою було встановлено, що стан справ у сфері ТЗІ в установі навіть погіршився.

У липні 2015 року в АС інв. № 10480059було безпідставно деінстальовано (видалено) комплекс засобів захисту від несанкціонованого доступу «Лоза-1» та антивірусне програмне забезпечення Dr/ Web Security Space Pro v.5.0.

В той же час після отримання попередження про перевірку від 13.08.2015 року № 41/06-999, на підставі розроблених в 2012 році документів, Департаментом було направлено на адресу Адміністрації Держспецзвязку Декларації про відповідність КСЗІ вимогам нормативних документів системи ТЗІ, до яких, виходячи з викладеного вище, були внесені завідомо недостовірні дані.

Під час аналізу наявних документальних матеріалів та фактів комісією встановлено, що директором Департаменту не було організовано виконання робіт з ТЗІ та має місце спроба свідомо провести державну експертизу КСЗІ шляхом аналізу декларації, використовуючи завідомо недостовірні дані.

Внаслідок бездіяльності керівника в Департаменті продовжується обробка інформації з обмеженим доступом на ПЕОМ без створення комплексної системи захисту інформації з підтвердженою відповідністю, що порушує вимоги законодавства про технічний захист інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, вимоги ст. 8 Закону України «Про захист інформації в інформаційно-телекомунікаційних системах» № 2594-IV від 31.05.2005 року, п. 6, п. 16 «Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах», затверджених постановою Кабінету Міністрів України від 29.03.2006 року № 373, зі змінами до неї, внесеними Постановою КМУ від 07.09.2011 року № 938.

Відповідно до пункту 5 «Положення про технічний захист інформації в Україні», затвердженого Указом Президента України від 27.09.1999 року № 1229/99, та підпункту 7.4 «Положення про державний контроль за станом технічного захисту інформації», затвердженого наказом Адміністрації Держспецзвязку від 16.05.2007 року № 87, і зареєстрованого у Міністерстві юстиції України 10.07.2007 року за № 785/14052, керівник органу, щодо якого здійснюється технічний захист інформації, несе персональну відповідальність за приведення стану технічного захисту інформації у відповідність до вимог нормативно-правових актів України.

Бездіяльність ОСОБА_1, як директора Департаменту, порушує вимоги ст. 8 Закону України «Про захист інформації в інформаційно-телекомунікаційних системах», п. п. 4, 5, 9 і 16 Постанови КМУ № 373 та створюють передумови для порушення конфіденційності, зокрема, за рахунок несанкціонованого ознайомлення, цілісності й доступності інформації з обмеженим доступом, яка оброблялась в АС, чим вчинив правопорушення передбачене ч. 1 ст. 188-33 КУпАП.

У судовому засіданні ОСОБА_1 вину визнав частково та пояснив, що він призначений на посаду директора Департаменту освіти і науки Полтавської обласної державної адміністрації лише 24.03.2015 року та порушення, які були виявлені перевіркою допущені переважно до його призначення. На даний час ним вжито відповідних заходів до їх усунення.

Провина ОСОБА_1 у вчиненні правопорушення, передбаченого ч. 1 ст. 188-31 КУпАП підтверджується протоколом про адміністративне правопорушення та витягом з акту контрольної перевірки стану технічного захисту інформації у Департаменті освіти і науки Полтавської обласної державної адміністрації.

Враховуючи, що ОСОБА_1 раніше не судимий та до адміністративної відповідальності не притягувався, не тривалий час перебуває в займаній посаді, яка передбачає великий обсяг повноважень, характер вчиненого правопорушення, яке є триваючим та розпочалося до призначення ОСОБА_1 на посаду директора Департаменту, а також те, що останнім на даний час вжито необхідних заходів до усунення виявлених недоліків, частина яких потребує належного бюджетного фінансування, суд вважає за можливе звільнити ОСОБА_1 від адміністративної відповідальності за малозначністю вчиненого правопорушення, обмежившись усним зауваженням.

Керуючись ст. ст. 22, 188-31, 283, 284 КУпАП,-

П О С Т А Н О В И В :

Звільнити ОСОБА_1 від адміністративної відповідальності за ч. 1 ст. 188-31 КУпАП, у звязку з малозначністю діяння, оголосивши йому усне зауваження.

На постанову може бути подано апеляційну скаргу протягом 10 днів з дня винесення.

Суддя В.М. Микитенко