Основные правовые средства противодействия угрозам

Правовое противодействие выделенным угрозам, учитывая их трансграничный характер, осуществляется прежде всего на основе норм и принципов международного публичного права, национального права, а также рекомендаций и требований международных и национальных актов нормативно-технического регулирования.

Международное нормативное правовое регулирование в области безопасности информационной инфраструктуры находится в стадии интенсивного развития. Международное сообщество пришло к выводу, что международные отношения в области злонамеренного использования ИКТ для достижения военно-политических целей, подготовки и осуществления террористических актов и компьютерной преступности регулируются международным публичным правом^[1].

Как известно, к источникам международного права относятся (п. 1 ст. 38 Статута Международного Суда):

• — международные конвенции, как общие, так и специальные, устанавливающие правила, определенно признанные государствами;
• — международный обычай как доказательство всеобщей практики, признанной в качестве правовой нормы;
• — общие принципы права, признанные цивилизованными нациями.

Вспомогательными средствами для определения правовых норм являются судебные решения и доктрины наиболее квалифицированных специалистов по публичному праву различных наций.

К числу источников права, регулирующих международные отношения в области безопасности независимо от вида средств, используемых для «силового» разрешения международных споров, относятся прежде всего Устав ООН, Декларация о принципах международного права, касающихся дружественных отношений и сотрудничества между государствами в соответствии с Уставом Организации Объединенных Наций (1970), Определение агрессии (Резолюция Генеральной Ассамблеи ООН 3314, 1974 г.) и др., а также международные договоры, образующие нормативную базу международного гуманитарного права.

Универсальные международные конвенции, посвященные регулированию международных отношений в области безопасности применительно к информационной сфере, отсутствуют. Это порождает неопределенность в применении норм международного права к использованию ИКТ в военно-политических целях.

Существование данной проблемы подтверждается выводами докладов Группы правительственных экспертов ООН по достижениям в сфере информатизации в контексте международной безопасности^[2].

Существо проблемы заключается прежде всего в следующем:

• — отсутствие способов классификации признаков злонамеренного использования информационных технологий в качестве угрозы силой или ее применения, а также вооруженного нападения;
• — ненаблюдаемость юридических фактов, связанных с вредоносным использованием ИКТ и порождающих правоотношения в области обеспечения международной безопасности, в том числе в области использования неотъемлемого права на индивидуальную и коллективную самооборону (ст. 51 Устава ООН), а также невозможность объективизации данных о кибератаках;
• — неопределенность способов лимитизации в киберпространстве границ театра военных действий, нейтральных государств, а также обозначение лиц и объектов, защищаемых международным гуманитарным правом.

Один из подходов решения выделенных вопросов изложен в Таллиннском руководстве^[3], подготовленном международной группой экспертов по заданию Объединенного центра передового опыта по киберобороне НАТО в г. Таллине (Эстония). Он базируется на развитии принципов обычного международного права, а также экспертной трактовке некоторых норм международного права предотвращения конфликтов и международного гуманитарного права.

В форме научной дискуссии можно высказать по данному документу ряд замечаний общего характера.

Во-первых, в рамках Руководства, по существу, предлагается внести применительно к киберпространству изменения в одну из ключевых норм международного права конфликтов — ст. 51 Устава ООН. Такое заключение однозначно вытекает из содержания Правил 13 и 30 Руководства, а также комментария к ним, в которых предлагается пренебречь прилагательным «вооруженное», являющимся характеристикой нападения на члена ООН, порождающего право на индивидуальную и коллективную самооборону, при квалификации киберопераций. При этом в обоснование данного предложения приводятся ссылки на некоторые формулировки из решения Международного Суда по делу Никарагуа^[4], которое рассматривалось именно в связи с вооруженным конфликтом между Никарагуа и США. Данное предложение существенно расширяет возможности легального применения силы в международных отношениях, что не соответствует целям ООН (ст. 1 Устава ООН) и принципам международного права.

Во-вторых, вряд ли целесообразно решать вопрос об атрибуции субъекта использования ИКТ в качестве «силы» в международных отношениях посредством предоставления нрава одним государствам приписывать ответственность за то или иное происшествие в киберпространстве другим государствам. Известно, что данный подход к регулированию отношений в области нарушений международного нрава, изложенный в проекте Конвенции об ответственности государств за международно-противоправные деяния, не получил поддержку со стороны государств-членов ООН (резолюция Генеральной Ассамблеи от 12.12.2001 и другие резолюции)^[5]. Представляется, что принятие данного подхода увеличит угрозу развязывания вооруженных конфликтов между государствами в связи с ошибочными оценками происшествий в киберпространстве и нанесет ущерб международному миру и безопасности.

В-третьих, отсутствие правового механизма объективизации сведений о фактах злонамеренного использования информационных технологий против территориальной неприкосновенности и политической независимости государства, других нарушений норм международного права, не создает основы для организации процедур мирного разрешения конфликтов, рекомендуемого Уставом ООН (ст. 2) и Декларацией о принципах международного права 1970 г., а также для оценки последствий такого применения информационных технологий.

В-четвертых, обилие новых трактовок понятий и норм международного права предотвращения конфликтов и международного гуманитарного права, предлагаемых в Руководстве, не создает условий для подготовки на основе рассматриваемого материала универсального международного акта, который мог бы быть принят государствами — членами ООН в разумно короткие сроки.

Проработка других возможных подходов к решению проблемы применимости международного права к вредоносному использованию ИКТ в военно-политических целях требует нахождения ответов на ряд вопросов, к числу наиболее важных из которых относятся следующие^[6]:

• — может ли противоправное использование ИКТ быть классифицировано как «агрессия» в соответствии с Резолюцией Генеральной Ассамблеи ООН 3314 (XXIX) от 14.12.1974 «Определение агрессии» ;
• — может ли применяться термин «оружие» к ИКТ;
• — как предотвратить злоупотребление со стороны государств в квалификации факта противоправного использования ИКТ в качестве обстоятельства, предоставляющего право на самооборону и др.

В области международного сотрудничества по проблеме противодействия компьютерной преступности сложилось непростое положение.

Совет Европы одобрил Конвенцию о преступности в сфере компьютерной информации 2001 г. (так называемая Будапештская конвенция о киберпреступности)^[7]. К Конвенции присоединилось более 30 государств.

Основу правового механизма международного сотрудничества в области противодействия киберпреступности, предложенного в Конвенции, составляют следующие правовые средства:

• — запрет ряда социально опасных деяний в киберпространстве (против конфиденциальности, целостности и доступности компьютерных данных и систем; противоправное использование компьютерных средств; противоправное содержание данных; нарушение авторского права и смежных прав);
• — обязанности правоохранительных органов в области правил осуществления процессуальных действий в связи с расследованием противоправных деяний в киберпространстве;
• — юрисдикция государств в отношении правонарушений, закрепленных в Конвенции;
• — обязанность соблюдения принципов международного сотрудничества в области противодействия киберпреступности;
• — обязанности в области оказания неотложной помощи в целях расследования или судебных разбирательств компьютерных преступлений.

Российская Федерация не присоединилась к Конвенции ввиду несогласия с одним из закрепленных в ней принципов международного сотрудничества и нежелания учредителей Конвенции вносить в нее изменения. Более того, Российская Федерация выступила с инициативой подготовки проекта универсальной конвенции по противодействию угрозе компьютерной преступности. Однако пока данная инициатива поддержки не нашла.

Как вы думаете, почему Российскую Федерацию не устраивает содержание п. «b» ст. 32 Будапештской конвенции о киберпреступности 2001 г.

В области противодействия угрозам злонамеренного использования информационных технологий для подготовки и осуществления террористической деятельности проработка вопросов подготовки международного договора, носящего универсальный характер, только начинается.

Таким образом, в выборе универсальных международных правовых средств противодействия угрозам безопасности информационной инфраструктуры существуют определенные проблемы.

Национальное правовое нормативное регулирование в области безопасности информационной инфраструктуры основывается на нормах, закрепленных в источниках национального права^[8].

Основными правовыми средствами обеспечения безопасности информационной инфраструктуры являются следующие:

• 1) запреты:
  • — подключение информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие государственную тайну, либо информации, обладателями которой являются государственные органы и которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям, позволяющим осуществлять передачу информации через государственную границу Российской Федерации, в том числе к международной компьютерной сети Интернет;
  • — размещение технических средств, подключаемых к информационно-телекоммуникационным сетям международного информационного обмена, в помещениях, предназначенных для ведения переговоров, в ходе которых обсуждаются вопросы, содержащие сведения, составляющие государственную тайну, при отсутствии сертификата, разрешающего эксплуатацию таких технических средств;
• 2) правомочия федерального органа исполнительной власти в области связи:
  • — устанавливать в зависимости от категорий сетей связи (за исключением сетей связи специального назначения, а также выделенных и технологических сетей связи, если они не присоединены к сети связи общего пользования), требования к их проектированию, построению, эксплуатации, управлению ими, применяемым средствам связи, организационно-техническому обеспечению устойчивого функционирования сетей связи, в том числе в чрезвычайных ситуациях, защиты сетей связи от несанкционированного доступа к ним и передаваемой по ним информации, порядку ввода сетей связи в эксплуатацию;
  • — по согласованию с федеральным органом исполнительной власти в области обеспечения безопасности устанавливать требования к применяемым средствам связи, управлению ими, организационно-техническому обеспечению устойчивого функционирования сетей связи, в том числе в чрезвычайных ситуациях, защиты сетей связи от несанкционированного доступа к ним и передаваемой по ним информации, порядку ввода сетей связи в эксплуатацию;
• 3) правомочие правоохранительных органов в установленных законодательством случаях взаимодействовать с Международной организацией уголовной полиции (Интерпол)^[9];
• 4) позитивные обязывания:
  • — оператора связи руководствоваться при проектировании, построении, реконструкции, вводе в эксплуатацию и эксплуатации сетей связи нормативными правовыми актами федерального органа исполнительной власти в области связи; осуществлять построение сетей связи с учетом требований обеспечения устойчивости и безопасности их функционирования; учитывать установленные законодательством требования по защите средств связи и сооружений связи от несанкционированного доступа к ним при строительстве и реконструкции зданий, строений, сооружений (в том числе сооружений связи), при построении сетей связи, при эксплуатации сетей связи и сооружений связи;
  • — организатора распространения информации в сети Интернет (лица, осуществляющего деятельность по обеспечению функционирования информационных систем и программ для электронных вычислительных машин, которые предназначены и используются для приема, передачи, доставки и обработки электронных сообщений пользователей сети Интернет) по реализации установленных федеральным органом исполнительной власти в области связи по согласованию с уполномоченными государственными органами, осуществляющими оперативно-разыскную деятельность или обеспечение безопасности Российской Федерации, требований к оборудованию и программно-техническим средствам, используемым указанным организатором в эксплуатируемых им информационных системах, для проведения этими органами в случаях, установленных федеральными законами, мероприятий в целях реализации возложенных на них задач, а также принимать меры по недопущению раскрытия организационных и тактических приемов проведения данных мероприятий;
• 5) юридическая ответственность (уголовная, административная и гражданско-правовая) лиц, нарушивших законодательство РФ в области связи, которая применяется в случаях и в порядке, установленных законодательством РФ.

Нормативно-техническое регулирование. Одним из важных правовых средств обеспечения безопасности информационной инфраструктуры является установление уполномоченными федеральными органами исполнительной власти требований к организации использования продуктов ИКТ при создании и эксплуатации информационных систем, информационно-коммуникационных сетей, автоматизированных систем управления технологическим производством, ключевых систем и критически важных объектов национальной информационной инфраструктуры.

Такие требования к продуктам ИКТ и организации их безопасной эксплуатации могут быть сформулированы в следующих документах:

• — добровольные стандарты, принимаемые национальными структурами по стандартизации, которые содержат рекомендованные для использования правила добросовестной практики;
• — государственные стандарты серии Р, посвященные, например, вопросам управления информационной безопасностью, изложению требований к системе менеджмента информационной безопасности информационных технологий (организационная структура, политика, деятельность по планированию, распределение ответственности, практическая деятельность, процедуры, процессы и ресурсы).

Таким образом, для противодействия угрозам безопасности информационной инфраструктуры используются разнообразные правовые средства как международного, так и национального характера. В то же время в целом система таких правовых средств находится в стадии формирования.

Общая структура источников права противодействия угрозам безопасности информационно-коммуникационной инфраструктуры представлена на рис. 2.6.

Рис. 2.6. Общая структура источников права противодействия угрозам безопасности информационно-коммуникационной инфраструктуры.

• [1] Резолюция Генеральном Ассамблеи ООН А/RES/67/27 от 11.12.2012.
• [2] Доклад Группы правительственных экспертов ООН. А/65/201 от 30.07.2010.
• [3] Manual on the International Law Applicable to Cyber Warfare (Tallinn Manual) / M. Schmittetal. Cambridge: University Press, forthcoming 2013.
• [4] Дело, касающееся военных и военного характера действий в Никарагуа и против Никарагуа (Никарагуа против Соединенных Штатов Америки). Решение от 27.06.1986.
• [5] Резолюция Генеральной Ассамблеи ООН 56/83 от 21.12.2001 «Ответственность государств за международно-противоправные деяния» .
• [6] Крутских А. В., Стрельцов А. А. Международное право и международная информационная безопасность // Международная жизнь. 2014. № 11. С. 20—35.
• [7] Россия Конвенцию не подписала в связи положениями п. «b» ст. 32, которые могут причинить ущерб суверенитету и безопасности государств — участников Конвенции и правам их граждан. Этот пункт гласит, что «сторона может без согласия другой стороны получать через компьютерную систему на своей территории доступ к хранящимся на территории другой стороны компьютерным данным или получить их, если эта сторона имеет законное и добровольное согласие лица, которое имеет законные полномочия раскрывать эти данные этой стороне через такую компьютерную систему». Между тем Конвенция вступила в силу 1 июля 2004 г.
• [8] Например, Федеральный закон от 07.07.2003 № 126-ФЗ «О связи», Указ Президента РФ от 17.03.2008 № 351 «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-коммуникационных сетей международного информационного обмена» .
• [9] Указ Президента РФ от 30.07.1996 № 1113 «Об участии Российской Федерации в деятельности Международной организации уголовной полиции — Интерпола» .