А. Алексанов - Безопасность карточного бизнеса : бизнес-энциклопедия

• Название: Безопасность карточного бизнеса : бизнес-энциклопедия
• Автор: А. Алексанов
• Издательство: Московская финансово-промышленная академия; ЦИПСиР
• Жанр: О бизнесе популярно
• Год: 2012
• ISBN: 978-5-4257-0018-6

В книге дано подробное описание политики безопасности на всех этапах жизненного цикла банковской карты — от цеха, где производится пластиковая заготовка будущей карты, до торговой и сервисной сферы, где карта принимается к оплате. Отдельно рассмотрены международные стандарты PSI DSS и практика их применения. Дана классификация карточных рисков, изложена методика оценки рисков эмитента с использованием мониторинга карточных транзакций. Подробно описаны виды карточного мошенничества и методы его профилактики. Отдельные главы посвящены претензионной работе по операциям с банковскими картами и обеспечению безопасности процессингового центра. Проанализировано действующее российское законодательство, изложена судебная практика с подробным описанием уголовных дел, связанных с карточным мошенничеством, доведенных до суда. Даны общие рекомендации по информационной безопасности корпоративной системы банка как фундамента безопасности карточного бизнеса.

Книга ориентирована на сотрудников карточных подразделений, отделов информационной безопасности коммерческих банков, специалистов процессинговых центров, правоохранительных органов, занимающихся уголовными делами по карточному мошенничеству, руководящего персонала супермаркетов, прочих торговых организаций, студентов финансовых вузов.

---

НСВ (ст. 273 УК РФ) обычно представляет собой следующее:

• создание, распространение и использование программ, модифицирующих программное обеспечение без ведома пользователя, результатом работы которых является копирование реквизитов платежных карт;

• создание, распространение и использование программ, управляющих криминальным оборудованием (в частности к ним могут относиться машинные носители), используемым при копировании реквизитов платежной карты[45];

• иное.

Как показывает практика, наиболее часто компьютерные преступления, совершаемые в ходе преступной деятельности в области оборота платежных карт, квалифицируются по ст. 272 УК РФ.

Несанкционированный доступ к информации — доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами. Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем[46].

Неправомерным считается доступ к компьютерной информации, если:

• субъект не имеет прав доступа к этой информации;

• субъект имеет право доступа, но превышает эти права, нарушая установленные правила системы разграничения доступа.

При этом по отношению к этой информации должны приниматься меры защиты, ограничивающие к ней доступ, т. е. она должна быть конфиденциальной.

При применении ст. 272 УК РФ модификация (переработка) программы для ЭВМ или базы данных должна пониматься как любые изменения, в том числе перевод такой программы или такой базы данных с одного языка на другой язык, за исключением адаптации, т. е. внесения изменений, осуществляемых исключительно в целях функционирования программы для ЭВМ или базы данных на конкретных технических средствах пользователя или под управлением конкретных программ пользователя[47].

Предмет и объект преступлений

Объект компьютерных преступлений — та совокупность общественных отношений, которая складывается по отношению к компьютерной информации и программам для ЭВМ с точки зрения их оборота и использования, сохранения конфиденциальности. Предмет преступления — охраняемая законом компьютерная информация (НСД), а также программа для ЭВМ (НСВ).

Объект НСД — неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, т. е. нарушение информационной безопасности информационной системы.

Объект НСВ — безопасность информации и оборудования, предназначенного для его обработки, т. е. нарушение целостности и сохранности информационной системы и системы ее информационной безопасности. В отличие от НСД НСВ характеризуется как формальный состав преступления, доказывания связи воздействия на программное обеспечение или создания вредоносного программного обеспечения не требуется, достаточно лишь факта их создания либо попытки их использования.

Предметом неправомерного доступа к охраняемой законом компьютерной информации является деяние, повлекшее уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети[48].

Несанкционированный доступ к информации — доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами[49].

Неправомерным считается доступ к компьютерной информации, если:

• субъект не имеет права доступа к этой информации;

• субъект имеет право доступа, но превышает эти права, нарушая установленные правила системы разграничения доступа.

При этом по отношению к этой информации должны приниматься меры по защите, ограничивающие к ней доступ.

Данная статья УК РФ защищает компьютерную информацию, где бы она ни была представлена.

При квалификации противоправных действий по данной статье необходимо учитывать, что компьютерная информация, к которой осуществляется неправомерный доступ, должна защищаться законом. Каким же законом защищается данная информация?

Согласно ст. 3 ФЗ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»[50] «персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу».

В Положении ЦБ РФ от 19 августа 2004 г. № 262-П «Положение об идентификации кредитными организациями клиентов и выгодоприобретателей в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма» говорится, что «при совершении сделок с использованием платежных (банковских) карт идентификация осуществляется на основе реквизитов платежной (банковской) карты, а также кодов (паролей)». То есть информация о номере банковской карты идентифицирует (определяет) для банка держателя (физическое лицо). Следовательно, такая информация является персональными данными и охраняется законом. Неправомерный доступ к такой информации, если она представлена в компьютерном виде и это повлекло ее копирование, будет составлять объективную сторону преступления, предусмотренного ст. 272 УК РФ.

Дополнительно необходимо учитывать, что в случае банковских карт имеет место защищаемая законом банковская тайна.

Определение банковской тайны дано в ГК РФ и в Федеральном законе от 2 декабря 1990 г. № 395-I «О банках и банковской деятельности»[51].

Статья 857 ГК РФ. Банковская тайна

«1. Банк гарантирует тайну банковского счета и банковского вклада, операций по счету и сведений о клиенте».

Статья 26 Федерального закона от 2 декабря 1990 г. № 395-1 «0 банках и банковской деятельности»

«Кредитная организация… гарантируют тайну об операциях, о счетах и вкладах своих клиентов и корреспондентов».

По смыслу Положения ЦБ РФ № 266-П банковская платежная карта — это инструмент безналичных расчетов, достоверно устанавливающий соответствие между реквизитами платежной карты и соответствующим счетом физического лица, юридического лица, индивидуального предпринимателя (клиента банка). Таким образом, банковская платежная карта указывает на реквизиты банковского счета, а такая информация является банковской тайной.

Признаки и содержание объективной стороны

Сотрудниками правоохранительных органов г. Ижевска было осуществлено задержание гражданина, использовавшего подделанные банковские карты в организации торговли. Было возбуждено и доведено до суда уголовное дело по ст. 272 УК РФ, при этом использовалась следующая аргументация.

Сервер банка эмитента содержит компьютерную информацию — данные карт, данные операций, данные остатка денежных средств на счете и другую служебную информацию, объединенную в базу данных ограниченного пользования, доступ к которой строго регламентирован. Информация, размещенная на сервере, имеет конфиденциальный характер, составляет банковскую тайну, т. е. защищается законом, допуск к ней имеет ограниченный список уполномоченных лиц в соответствии с должностными обязанностями. Авторизация покупки либо выдача наличных денежных средств через банкомат влечет за собой уменьшение платежного лимита, т. е. модификацию (изменение) электронных данных на авторизационном сервере банка-эмитента, а именно содержания базы данных.

Несмотря на наличие описанной выше практики, представляется, что доказывание по этой статье может составлять определенную трудность в случае несанкционированного использования банковских карт иностранных эмитентов.

Под переработкой (модификацией) программы для ЭВМ или базы данных, как мы уже говорили выше, понимаются любые их изменения, в том числе перевод такой программы или такой базы данных с одного языка на другой. Исключением является адаптация программы, т. е. внесение изменений, осуществляемых исключительно в целях функционирования программы для ЭВМ или базы данных на конкретных технических средствах пользователя или под управлением конкретных программ пользователя[52]. А копирование информации — «перенос информации на другой материальный носитель при сохранении неизмененной первоначальной информации»[53].

Таким образом, объективная сторона НСД формируется за счет следующих обстоятельств совершения преступления: модификации либо копирования информации, защищаемой законом (персональные данные, банковская тайна).

Вместе с тем НСД имеет место также при совершении мошенничества без платежной карты с использованием ее реквизитов, например, при совершении покупок в интернет-магазине, так как независимо от способа НСД возникает одно и то же вредное последствие — модификация данных на сервере кредитного учреждения.