Справа №295/4875/19
ПОСТАНОВА

ІМЕНЕМ УКРАЇНИ

23.03.2020 року м. Житомир

Суддя Богунського районного суду м.Житомира Зіневич І.В., розглянувши матеріали, які надійшли від Управління Державної служби спеціального зв`язку та захисту інформації України в Житомирській області про притягнення до адміністративної відповідальності

ОСОБА_1 , ІНФОРМАЦІЯ_1 , проживаючого: АДРЕСА_1 , працюючого на посаді начальника відділу лісових ресурсів, технічного забезпечення та охорони праці Житомирського обласного управління лісового та мисливського господарства

за ч.1 ст. 188-31 Кодексу України про адміністративні правопорушення,-

В С Т А Н О В И В:

ОСОБА_1 , працюючи на посаді начальника відділу лісових ресурсів, технічного забезпечення та охорони праці управління, будучи призначеним на посаду наказом начальника управління від 26.12.2017 року №01-01/116 відповідальним за технічний захист інформації (далі ТЗІ) та контроль за його станом, а також наказом начальника від 26.12.2017 року №01-01/117 призначений керівником позаштатної служби захисту інформації в інформаційній системі управління, допустив невиконання законних вимог посадових осіб Управління Державної служби спеціального зв`язку та захисту інформації України (далі Держспецзв`язку) в Житомирській області, які були виявлені 28.02.2019р. під час проведення контрольної перевірки стану технічного захисту інформації (ТЗІ), а саме не усунув порушення законодавства про ТЗІ, які були виявлені під час попередньої комплексної перевірки стану ТЗІ (акт №32/04-157дск від 22.02.2018 року).

Так, ОСОБА_1 не забезпечив створення комплексних систем захисту інформації з підтвердженою відповідальністю в інформаційно-телекомунікаційних системах класу 3 (ст.8 ЗУ «Про захист інформації в інформаційно-телекомунікаційних системах», п.п.4,5,16 Правил забезпечення захисту інформації в інформаційних, телекомунікаційних та інформаційно-телекомунікаційних системах, затверджених постановою КМУ від 29.03.2006 року №373 (далі Правила №373-2006); розробку Технічного завдання на створення комплексної системи захисту інформації в інформаційно-телекомунікаційних системах класу 3 (п.20 Правил №373-2006), розробку Плану захисту інформації інформаційно-телекомунікаційній системі класу 3 (п.19 Правил №373-2006), оновлення антивірусних баз антивірусного програмного продукту згідно вимог «Порядку оновлення антивірусних програмних засобів, які мають позитивний експертний висновок за результатами державної експертизи в ефірі ТЗІ», затвердженого наказом Адміністрації Держспецзв`язку від 26.03.2007 №45 та зареєстрованого в Міністерстві юстиції України 10.04.2007 за №320/13587, а також проведення обстеження установки, як об`єкту інформаційної діяльності із оформленням відповідного акту (п.п. 4.1-4.5 нормативного документу системи ТЗІ ДСТУ 3396.1-96 «Захист інформації. Технічний захист інформації. Порядок проведення робіт», п. 6 нормативного документу системи ТЗІ НД ТЗІ 3.1-001-07 «Захист інформації на об`єктах інформаційної діяльності. Створення комплексу технічного захисту інформації. Передпроектні роботи»).

Вказане не відповідає вимогам п. 6 «Положення про ТЗІ в Україні», затвердженого Указом Президента України від 27.09.1999 року №1229/99 та п.п. 6.5, 6.9 «Положення про державний контроль за станом ТЗІ», затвердженого наказом Адміністрації Держспецзвязку від 16.05.2007 року №87 та зареєстрованого у Міністерстві юстиції України 10.07.2007 року за №785/14052, та створює реальну загрозу порушення конфіденційності, цілісності та доступності інформації, що підлягає захисту.

У судове засідання ОСОБА_1 не з`явився, про час та місце розгляду справи повідомлявся належним чином, подав заяву про розгляд справи без його участі. В наданих письмових поясненнях вину не визнав, зазначив, що в штаті управління був відсутній спеціаліст з технічного захисту інформації, тому обов`язки було покладено на начальника відділу лісових ресурсів, технічного забезпечення та охорони праці, який не має спеціальної освіти. При формуванні штатного розпису в управлінні було введено посаду провідного-інженера програміста, яку було укомплектовано з 05.11.2018р. та для розгляду питання набуття кваліфікації фіхівця з ТЗІ з отриманням відповідного сертифікату було підготовлено лист до Житомирського державного технологічного університету від 12.03.2019р. Зазначені перевіркою порушення не були виконані також по причині відсутності бюджетного фінансування. Для розробки технічного завдання на створення комплексної системи захисту інформації з підтвердженою відповідністю в інформаційно-телекомунікаційних системах 11.09.2018р. було підготовлено лист керівнику Центру технічного захисту інформації Вінницького національного технологічного університету. Враховуючи, що розроблення даного Технічного завдання потребує певних фінансових витрат бюджетного плану асигнувань загального фонду по управлінню на 2018-2019р.р. подавались розрахунки інших видатків та комунальних послуг, зокрема витрати на послуги із встановлення телекомунікаційної системи класу 3 Установа: 2018р.-198тис.грн; 2019р.- 890 тис. грн. Однак фактично відповідно кошторисних призначень на вказані роки видатки на заходи з технічного захисту інформації не були передбачені. Також вказав, що стосовно обробки та передачі інформації каналами зв`язку між ДП «Житомирське ЛГ» (яке є балансоутримувачем адмінбудівлі управління) та TOB «Фрінет» (інтернет-провайдер) укладено договір з надання послуг по обслуговуванні №411703940 від 01.01.2015р. та укладено додаткова угода №2 від 12 березня 2019 року де власник системи, що надає доступ до мережі інтернет вказує відомості щодо захисту інформації в системі, має відповідний атестат відповідності та забезпечує захист інформації відповідно до вимог нормативних документів з технічного захисту інформації. Для з`ясування методики проведення обстеження, розроблення Технічного завдання на створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі підготовлено лист до Управління Державної служби спеціального зв`язку та захисту інформації України в Житомирській області

Захисник Єсін П.С. просив закрити провадження по справі в зв`язку з відсутністю в діях ОСОБА_1 складу адміністративного правопорушення, передбаченого ч. 1 ст. 188-31 КУпАП.

Дослідивши протокол про адміністративне правопорушення, додані до нього матеріали, заслухавши думку захисника суд приходить до наступного висновку.

Частина 1 статті 188-31 КУпАП передбачає відповідальність за невиконання законних вимог посадових осіб органів Державної служби спеціального зв`язку та захисту інформації України щодо усунення порушень законодавства про криптографічний та технічний захист державних інформаційних ресурсів, або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, та законодавства у сфері надання послуг електронного цифрового підпису, а також створення інших перешкод для виконання покладених на них обов`язків.

Відповідно до ст.245 КУпАП завданням провадження в справах про адміністративні правопорушення є всебічне, повне і об`єктивне з`ясування обставин кожної справи та вирішення її в точній відповідності з законом.

Відповідно до положень ст.251 КУпАП доказами в справі про адміністративне правопорушення є будь-які фактичні дані, на основі яких у визначеному законом порядку орган (посадова особа) встановлює наявність чи відсутність адміністративного правопорушення, винність даної особи в його вчиненні та інші обставини, що мають значення для правильного вирішення справи. Ці дані встановлюються протоколами про адміністративне правопорушення, поясненнями особи, яка притягається до адміністративної відповідальності, а також іншими документами.

Судом встановлено, що наказом начальника Житомирського обласного управлінням лісового та мисливського господарства від 31.03.2015 року №14-к, переведено ОСОБА_1 , головного спеціаліста відділу лісових ресурсів, технічного забезпечення та охорони праці, з 01.04.2015 року, за його згодою, на посаду начальника відділу лісових ресурсів, технічного забезпечення та охорони праці з посадовим окладом згідно із штатним розписом, як такого, що успішно пройшов стажування на цю посаду (а.с.59).

26.12.2017 року наказом начальника Житомирського обласного управлінням лісового та мисливського господарства №01-01/116, призначено відповідальним за технічний захист інформації та контроль за його станом в Житомирському обласному управлінні лісового та мисливського господарства начальника відділу лісових ресурсів, технічного забезпечення та охорони праці ОСОБА_2 В.М ОСОБА_3 та внесено зміни до Посадової інструкції ОСОБА_1 , шляхом доповнення пунктом такого змісту:«Забезпечення технічного захисту інформації, що обробляється в Житомирському обласному управлінні лісового та мисливського господарства, вимога щодо захисту якої встановлена законом» (а.с.48).

26.12.2017 року наказом начальника Житомирського обласного управлінням лісового та мисливського господарства №01-01/117, створено в Житомирському обласному управлінні лісового та мисливського господарства (далі - Управління) позаштатну службу захисту інформації в інформаційній системі (ІС), затверджено склад позаштатної служби захисту інформації в інформаційній системі (ІС) та призначено її керівником ОСОБА_1 , затверджено Положення про позаштатну службу захисту інформації в інформаційній системі (ІС) Управління. Начальнику відділу лісових ресурсів, технічного забезпечення та охорони праці ОСОБА_1 наказано встановити на кожне робоче місце ІС персональний пароль, для запобігання використання персонального комп`ютера сторонньою особою. Відділу лісових ресурсів, технічного забезпечення та охорони праці Управління наказано довести даний наказ до відома працівників Управління у частині, що їх стосується(а.с.49).

Положенням про позаштатну службу захисту інформації в інформаційній системі Житомирського обласного управлінням лісового та мисливського господарства, затвердженим наказом Житомирського обласного управлінням лісового та мисливського господарства від 26.12.2017 року № 01-01/117, визначено, що основними завданнями позаштатної служби є захист законних прав щодо безпеки інформації Житомирського ОУЛМГ, окремих його структурних підрозділів, персоналу в процесі інформаційної діяльності та взаємодії між собою, а також у взаємовідносинах із зовнішніми організаціями; забезпечення конфіденційності, цілісності та доступності інформації, що обробляється (зберігається) в ІС Житомирському ОУЛМГ; дослідження технології обробки інформації в ІС з метою виявлення можливих каналів витоку та інших загроз для безпеки інформації, формування моделі загроз, розроблення політики безпеки інформації, визначення заходів, спрямованих на її реалізацію; організація та координація робіт, пов`язаних з захистом інформації в ІС, необхідність захисту якої визначається чинним законодавством, підтримка необхідного рівня захищеності інформації, ресурсів і технологій; розроблення проектів нормативних і розпорядчих документів, чинних у межах Житомирського ОУЛМГ, згідно з якими повинен забезпечуватися захист інформації в ІС; організація робіт зі створення і використання комплексної системи захисту інформації (далі-КСЗІ) на всіх етапах життєвого циклу ІС; участь в організації професійної підготовки і підвищенні кваліфікації персоналу та користувачів ІС з питань захисту інформації; формування у персоналу і користувачів розуміння необхідності виконання вимог нормативно-правових актів, нормативних і розпорядчих документів, що стосуються сфери захисту інформації; організація забезпечення контролю та виконання персоналом і користувачами вимог нормативно-правових актів, нормативних і розпорядчих документів щодо захисту інформації в ІС Житомирського ОУЛМГ(а.с.51-58).

22.02.2018року посадовими особами Управління Держспецзв`язку в Житомирській області складено акт комплексної перевірки стану ТЗІ в Житомирському обласному управлінні лісового та мисливського господарства, згідно якого встановлено, що стан технічного захисту інформації, вимога щодо захисту якої встановлена законом в Житомирському обласному управлінні лісового та мисливського подарства не відповідає вимогам нормативно-правових актів, що створює реальну загрозу порушення конфіденційності, цілісності та доступності конфіденційної інформації про особу (персональних даних), реальну загрозу порушення цілісності та доступності відкритої інформації, яка належить до державних інформаційних ресурсів. Перевіркою виявлено 3 порушення норм і вимог керівних документів з технічного захисту інформації, які кваліфікуються як порушення 1-ї категорії; 8 порушень норм і вимог керівних документів з технічного захисту інформації, які кваліфікуються як порушення 3-ї категорії. Тому, надано ряд рекомендацій щодо усунення виявлених недоліків (а.с.5-16).

18.05.2018 року наказом начальника Житомирського обласного управлінням лісового та мисливського господарства №11-к переведено ОСОБА_1 , начальника відділу лісових ресурсів, технічного забезпечення та охорони праці, за його згодою, на посаду начальника відділу використання лісових ресурсів та охорони праці з 22.05.2018 з посадовим окладом згідно зі штатним розписом(а.с.64).

28.02.2019 року посадовими особами Управління Держспецзв`язку в Житомирській області складено акт контрольної перевірки стану ТЗІ в Житомирському обласному управлінні лісового та мисливського господарства, за висновками якого встановлено, що рекомендації попередньої комплексної перевірки виконано не в повному обсязі (виконано 8 рекомендацій, не виконано 9 рекомендацій, при цьому усунуто 1 порушення 1-ї категорії, 3 порушень 3-ї категорії, але не усунуто 2 порушення 1-ї категорії та 5 порушень 3-ї категорії). Стан технічного захисту інформації, вимога щодо захисту якої встановлена законом в Житомирському обласному управлінні лісового та мисливського господарства не відповідає вимогам нормативно-правових актів, що створює реальну загрозу порушення конфіденційності, цілісності та доступі конфіденційної інформації про особу (персональних даних), реальну загрозу порушення цілісності та доступності відкритої інформації, яка належить до державних інформаційних ресурсів. Перевіркою виявлено: 2 порушення норм і вимог керівних документів з технічного захисту інформації, які кваліфікуються як порушення 1-ї категорії; 6 порушень норм і вимог керівних документів з технічного захисту інформації, які кваліфікуються як порушення 3-ї категорії. Надані рекомендацій щодо усунення виявлених порушень вимог законодавства(а.с.17-21).

14.03.2019 року начальником Житомирського обласного управлінням лісового та мисливського господарства ОСОБА_4 до Управління Держспецзв`язку у Житомирській області направлено заперечення до акту контрольної перевірки стану ТЗІ, у якому зазначено що відповідно до договору, укладеного між ДП «Житомирське ЛГ» (яке є балансоутримувачем адмінбудівлі Житомирського ОУЛМГ за адресою вул. Хлібна 41, м. Житомир) та інтернет-провайдером ТОВ «Фрінет», останній має атестат відповідності на комплексну систему з технічного захисту інформації, який зареєстрований в Адміністрації Держспецзв`язку та захисту інформації України 22 грудня 2018р. №18240, що дійсний до 22 грудня 2023р. До вищезгаданого договору внесено доповнення щодо порядку та умов захисту інформації відповідно до ст. 5 Закону України «Про захист інформації в інформаційно-телекомунікаційних системах». Крім того, у зв`язку із відсутністю кваліфікованого фахівця та відповідних коштів на оплату професійних послуг сторонніх фахівців, обласним управлінням не розроблено Технічного завдання на створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі класу 3 установи та відповідно не створено комплексну систему захисту інформації в інформаційно-телекомунікаційній системі управління, так як виконання цієї роботи вимагає спеціального освітньо-кваліфікаційного рівня. В штаті обласного управління був відсутній спеціаліст з цього напрямку діяльності, обов`язки було покладено на начальника відділу лісових ресурсів, технічного забезпечення та охорони праці, який не має спеціальної освіти, а за цим напрямком у навчальних закладах області курси з технічного захисту інформації проводяться за умови мінімальної кількості в групі від 10 чоловік, що унеможливлювало набуття відповідної кваліфікації для встановлення програмних продуктів, що входять до «Переліку засобів технічного захисту інформації, дозволених для забезпечення технічного захисту державних інформаційних ресурсів». До Житомирського державного технологічного університету підготовлено лист для розгляду питання щодо набуття кваліфікації фахівця із ТЗІ з отриманням відповідного сертифікату, а також, для з`ясування методики проведення обстеження, розроблення Технічного завдання на створення комплексної системи захисту інформації в інформаційно-телекомунікаційній системі підготовлено лист до Управління Державної служби спеціального зв`язку та захисту інформації України в Житомирській області (а.с.22-23).

22.03.2019 року Управлінням Держспецзв`язку у Житомирській області направлено начальнику Житомирського обласного управлінням лісового та мисливського господарства ОСОБА_4 роз`яснення на заперечення, у якому вказано, що Перелік суб`єктів господарської діяльності (більше 200 суб`єктів), які мають ліцензії на право проведення певних видів робіт в галузі технічного захисту інформації, а також ліцензії, що надають право на провадження діяльності з технічного захисту інформації усіх видів, у тому числі інформації, що містять відомості, які становлять державну таємницю, публікується в засобах масової інформації та постійно розміщений на веб-сайті Державної служби спеціального зв`язку та захисту інформації України. Також на офіційному веб-сайті Державної служби спеціального зв`язку та захисту інформації України розташовані електронні версії нормативно-правових актів та нормативних документів системи технічного захисту інформації, а також "Перелік засобів технічного захисту інформації, дозволених для забезпечення технічного захисту державних інформаційних ресурсів та інформації, вимога щодо захисту якої встановлена законом", який містить програмні та апаратні засоби захисту інформації, що можуть бути використані при побудові комплексних систем захисту інформації. Кошти на фінансування заходів щодо технічного захисту інформації, охорона якої забезпечується державою відповідно до законодавства повинні передбачатися міністерствами, іншими центральними органами виконавчої влади щороку під час підготовки бюджетних запитів.

Також зазначено, що дія атестату відповідності для комплексної системи захисту інформації мережі надання послуг Інтернет ТОВ "ФРІНЕТ" розповсюджується на телекомунікаційну систему, яка з`єднує інформаційно- телекомунікаційну систему (сервер) ТОВ "ФРІНЕТ" із сервером та/або автоматизованими робочими місцями (АРМ) інформаційно-телекомунікаційної системи Житомирського обласного управління лісового та мисливського господарства, з яких здійснюється обробка інформації. В той же час, комплексна система захисту інформації з підтвердженої відповідністю для інформаційно-телекомунікаційної системи Житомирського обласного управління лісового та мисливського господарства - не створена. За умови, коли сервер розміщується у оператора, а АРМ - на території власника інформаційно-телекомунікаційної системи, їх взаємодія здійснюється із використанням мережі передачі даних через незахищене середовища, яке не контролюється. Таким чином, при реалізації вимог із захисту інформації, обов`язково передбачаються додаткові вимоги щодо ідентифікації та автентифікації між комплексом засобів захисту робочої станції та комплексом засобів захисту сервера під час спроби розпочати обмін інформацією та забезпечення цілісності інформації при обміні. При цьому можуть використовуватися криптографічні алгоритми.

Виконання рекомендацій перевірки щодо приведення стану технічного захисту інформації, що підлягає захисту, у відповідність до встановлених вимог - є обов`язковим (п.п.6.5, 7.4 "Положення про державний контроль за станом технічного захисту інформації"), затвердженого наказом Адміністрації Державної служби спеціального зв`язку та захисту інформації України від 16.05.2007 №87 та зареєстрованого в Міністерстві юстиції України від 10.07.2007 за №785/14052). У випадку невиконання законних вимог посадових осіб органів Державної служби спеціального зв`язку та захисту інформації України щодо усунення порушення законодавства про технічний захист інформації, що підлягає захисту, винні у цьому особи (у тому числі і керівництво установи) можуть бути притягнуті до адміністративної відповідальності, передбаченої статтею 188-31 Кодексу України про адміністративні правопорушення (а.с.44-47).

Отже судом встановлено, що на ОСОБА_1 покладено обов`язок щодо забезпечення технічного захисту інформації, що обробляється в Житомирському обласному управлінні лісового та мисливського господарства, вимога щодо захисту якої встановлена законом, однак ОСОБА_1 не виконав законних вимог посадових осіб органів Державної служби спеціального зв`язку та захисту інформації України щодо усунення порушень законодавства про криптографічний та технічний захист державних інформаційних ресурсів та інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, що підтверджується даними протоколу ЖИ №120 від 11.03.2019р., поясненнями самого ОСОБА_1 так і матеріалами справи, що були досліджені в суді.

Твердження ОСОБА_1 про відсутність фінансування для здійснення діяльності щодо забезпечення технічного захисту інформації та про відсутність у нього спеціальних знань не заслуговують на увагу, оскільки на нього покладено обов`язок із забезпечення технічного захисту інформації управління за його згодою та така діяльність віднесена до кола його службових обов`язків, за що він отримує заробітну плату, отже він повинен здійснювати всі необхідні роботи щодо забезпечення технічного захисту інформації.

На підставі викладеного суд вважає винуватість ОСОБА_1 у вчиненні адміністративного правопорушення, передбаченого ч.1ст.188-31КУпАП, доведеною повністю.

Відповідно до п.7 ст.247КУпАП провадження в справі про адміністративне правопорушення не може бути розпочато, а розпочате підлягає закриттю за таких обставин: закінчення на момент розгляду справи про адміністративне правопорушення строків, передбачених статтею 38 цього Кодексу.

Відповідно до ст.38 КУпАП адміністративне стягнення може бути накладено не пізніше як через три місяці з дня вчинення правопорушення, а при триваючому правопорушенні не пізніше як через три місяці з дня його виявлення.

Оскільки з дня вчинення ОСОБА_1 правопорушення пройшло більше 3-х місяців, то справа підлягає закриттю.

Керуючись ст.ст.38, 188-31, 247, 268, 283, 284 Кодексу України про адміністративні правопорушення, -

П О С Т А Н О В И В:

Провадження у справі про притягнення ОСОБА_1 до адміністративної відповідальності за ч.1 ст.188-31 Кодексу України про адміністративні правопорушення закрити у зв`язку із закінченням на момент розгляду справи строків притягнення до адміністративної відповідальності.

Постанова може бути оскаржена до Житомирського апеляційного суду через Богунський районний суд м.Житомира протягом десяти днів з дня її винесення.

Суддя І.В. Зіневич