Протокол № 12563 от 10.07.2023, Софийски районен съд

ПРОТОКОЛ

№ 12563 гр. София, 03.07.2023 г.

СОФИЙСКИ РАЙОНЕН СЪД, 106-ТИ СЪСТАВ, в публично заседание на трети юли през две хиляди двадесет и трета година в следния състав:

Председател: МИРОСЛАВ Т. ПЕТРОВ при участието на секретаря ПАВЕЛ АЛЬ. БОЖИНОВ

Сложи за разглеждане докладваното от МИРОСЛАВ Т. ПЕТРОВ Административно наказателно дело № 20221110214598 по описа за 2022 година.

На именното повикване в 09:15 часа се явиха:

ЖАЛБОПОДАТЕЛЯТ:

„БЪЛГАРСКИ ПОЩИ“ ЕАД – уведомени чрез процесуалните си представители, представляват се от адв. К. И. от САК и адв. Б. Б. от АККюстендил, с пълномощно по делото.

ВЪЗЗИВАЕМАТА СТРАНА:

ПРЕДСЕДАТЕЛ НА КЗЛД – уведомен чрез процесуалния си представител, представлява се от юрк. Д. Т., с пълномощно по делото.

СВИДЕТЕЛЯТ:

Р. М. К. - редовно призована, явява се лично.

СТРАНИТЕ /поотделно/: Да се даде ход на делото.

СЪДЪТ, след като намери, че в случая не са налице процесуални пречки за разглеждане на делото в днешното съдебно заседание 1

ОПРЕДЕЛИ:

ДАВА ХОД НА ДЕЛОТО.

СЪДЪТ СНЕМА САМОЛИЧНОСТТА НА СВИДЕТЕЛЯ:

Р. М. К. - 54 години, неосъждана, без дела и родство със страните, служител в КЗЛД.

СЪДЪТ РАЗЯСНИ на свидетеля нейните права и задължения в настоящото производство, както и отговорността за лъжесвидетелстване по чл. 290, ал. 1 НК.

СВИДЕТЕЛЯТ: Разбрах правата и задълженията си. Ясна ми е отговорността по чл. 290, ал. 1 НК. Обещавам да кажа истината.

СЪДЪТ ОТСТРАНИ свидетеля от съдебна зала до провеждане на нейния разпит.

СТРАНИТЕ /поотделно/: Нямаме искания по реда на чл. 275 НПК.

СЪДЪТ като съобрази липсата на нови доказателствени искания и на такива по реда на съдебното следствие

ОПРЕДЕЛИ:

ПРОДЪЛЖАВА СЪДЕБНОТО СЛЕДСТВИЕ.

СЪДЪТ ПРИСТЪПВА КЪМ РАЗПИТ НА СВИДЕТЕЛЯ:

РАЗПИТ НА СВИДЕТЕЛЯ Р. К.:

(свидетелят си служи с бележки)

На 18.04.2022 г. е подадено уведомление за нарушение на сигурността по чл. 33 от „БЪЛГАРСКИ ПОЩИ“ ЕАД, с което уведомява, че на 16.04.2022 г. са преустановени всякакъв вид услуги по пощенските 2 сървъри на „БЪЛГАРСКИ ПОЩИ“ ЕАД, тъй като данните са криптирани и служителите на „БЪЛГАРСКИ ПОЩИ“ ЕАД нямат достъп до каквато и да е услуга и до всичките данни, които обработват, в резултат на което КЗЛД взема решение за извършване на комплексна проверка по отношение на инцидента и е назначена комисия с ръководител комисарят, който е доктор на информационните технологии - Ц. Ц., аз като началник на отдел „Контрол в административнонаказателни производства“ и още няколко колеги, които са IT специалисти.

При извършване на проверката сме изискали всички одитни доклади от „Оценка на риска“ и всички проверки извършвани на системите за информационна сигурност на „БЪЛГАРСКИ ПОЩИ“ ЕАД, както и проверката, която е във връзка със сертификата по ISO по 27000 за сигурност на информацията. Анализирани са всичките тези неща, посетени са DATA центровете и така при преглед и анализ на одитните доклади е констатирано от специалисти на „БЪЛГАРСКИ ПОЩИ“ ЕАД, че не се прилагат никакви процедури за информационна сигурност по отношение на личните данни, а само такива, които са по отношение на класифицираната информация. Това го има на стр. 4 в един от одитните доклади на специалистите, които са под ИКТ.

Има написани правила за информационна сигурност, които обаче не се прилагат. Не се пазят логовете на привилегированите потребители - това са IT специалистите - къде влизат, какви действия извършват в системата - няма такива логове, както и няма данни за обучаване на служителите по отношение на сигурността на информацията и обработката на лични данни, тъй като самото заразяване е станало при отваряне на пощата на някой от служителите - отворил е поща, която не е трябвало да отваря предвид сигурността, тъй като е служебен имейл, в резултат на което се е самоинсталирал вирус „Mimikatz“, който е добре известен, ползва се за тестване, популярен е в интернет и се използва за крадене на пароли.

Не може да се локализира кога точно е отворен имейлът и е бил заразен пощенският сървър, но този вирус е имал достатъчно време, за да копира парола на администратор и да блокира масивите, с които да работи „БЪЛГАРСКИ ПОЩИ“ ЕАД.

Условно казано, за периода от първи до шестнадесети, когато вече са блокирани системите на „БЪЛГАРСКИ ПОЩИ“ ЕАД за работа, нито дирекция „Сигурност“, нито дирекцията по информационни технологии са констатирали наличието на този вирус в системата т.е. за този период не са извършвани никакви прегледи на системите за сигурност т.е. не е бил локализиран и не са предотвратили заплахата.

Друго нарушение на правилата за информационна сигурност, които, въпреки че са разписани и пише, че трябва да се съхраняват на твърд носител с възможност да бъдат възстановени и т.н. се оказа, че те не съхраняват на такъв твърд носител, а ги съхраняват в едни виртуални сървъри, и то в един и 3 същи виртуален сървър е съхранена самата база на всички системи, които обработват лични данни, всички системи, на които работи „БЪЛГАРСКИ ПОЩИ“ ЕАД, както и backup‑ите, в резултат на което „недоброжелателят“ е криптирал и двете бази данни.

Към момента на проверката беше възстановена само една единствена система, и то само защото само една от IT специалистките е направила предния ден бекъп, който е запазила на компютъра си, което е отново в разрез със системата за информационна сигурност. Мисля, че беше с арменско име дамата, от Бургас или Варна. Осъществявахме открита връзка и с тях да ни кажат къде и какво са направили.

В резултат на това криптиране, това е като да имаш ключ от нещо, но собственикът не може да го ползва. Този, който го е криптирал, има ключ и може да го ползва, като по всяко едно време може да изтегли данните, може да ги разпространи, като съобщението, което са получили пишеше: „Бяха изтеглени чувствителни данни“ т.е. всички данни са приблизително на над 4 милиона физически лица.

За да се установи дали наистина е имало изтегляне на данни, трябва да има логове на привилегированите потребители т.е. за да се види какво е нивото, то може примерно ако е влязъл в началото на април, изтеглянето да е по много малко и за десет дни няма да се забележи. Те нямат защитни стени.

Писани са одитни доклади 2020 г. и 2021 г., като одитният доклад от 2021 г. съдържа повече рискове за системата. Тези одитни доклади с предложенията на директора на дирекция „Сигурност“ - Б. и Р. Д. мисля, че се казваше другият му колега, са препоръчвали да се закупят две стени, да се предприемат съответните действия, но нищо не е предприето от ръководството, в резултат на което тези 4 500 000 засегнати лица, от които 665 000 пенсионери, които са индивидуализирани. За всички останали бази те нямаха възможност да ни дадат информация, само ни дадоха броя засегнати лица и какви данни от там са изтеглени - това са адреси, ЕГН-та, трите имена, доста данни и т.н.

Нямаме сигурни доказателства, че са изтеглени данните, но ключът за тези данни, съдържащ всичките лични данни на тези лица, са в този, който е пуснал вируса. Те не са във владение на „БЪЛГАРСКИ ПОЩИ“ ЕАД, които са отговорни за обработката на тези лични данни и които са длъжни да поддържат системата такава, че да може да се възстанови, да са достатъчни техническите мерки, които са взели, за да се защитят тези лични данни на хората.

Подробно сме описали съответните системи - къде, колко физически лица, чиито данни са обработени, са криптирани и са вече във владение на „недоброжелателя“, но той има ключ и може да ги изтегли когато пожелае от виртуалния сървър, в резултат на което имаме няколко срещи със всички специалисти в „БЪЛГАРСКИ ПОЩИ“ ЕАД, директорите на всички дирекции, IT специалисти, осъществени са и конферентни връзки, 4 демонстрации на самите архитектури на мрежата, посещения в data центъра, среща с представителя на ГДБОП, относно тяхната експертиза за констатиране на нарушението. Направена е покана за съставяне на акт на представителя на „БЪЛГАРСКИ ПОЩИ“ ЕАД, който се яви лично, съставихме му акта в негово присъствие, изяви желание да бъде сключено споразумение, което ние изготвихме, те не се явиха в срока, казаха, че се отказват от това и отидохме на НП т.е. уведомени са и за срока за възражение, което са подали в срок, и за срока за правото им на споразумение, при което санкцията им е значително по-малка. За сравнение, по отношение на това гледах протокола за санкцията - на НАП са над пет милиона, тук са четири милиона и половина, санкцията е един милион.

Определена е като изискахме с писмо още преди да съставим акта какъв е годишният оборот, съгласно разпоредбите на нашия регламент за защита на лични данни - до 4 % годишния оборот на дружеството. 4 % от годишния оборот на дружеството, доколкото си спомням мисля, че е някъде към седем милиона. Затова председателят на КЗЛД прецени, че санкцията ще бъде помалка.

СВИДЕТЕЛЯТ НА ВЪПРОСИ НА АДВ. И.:

ГДБОП и вътрешната IT дирекция с техните администратори констатираха, че пробивът е станало с отваряне на имейл от служител. Това е което г-н Р. Д. каза като констатирано, когато са преглеждали възможностите откъде е могъл да влезе този вирус. Отразено е в протокола от самата среща.

При желанието ни да видим компютъра, от който е проникнал вируса, те ни казаха, че не желаят да индивидуализират служителя, който е отворил пощата.

Това са го установили IT специалистите на „БЪЛГАРСКИ ПОЩИ“ ЕАД. Ние не сме го установявали.

Одитните доклади са за нивото на информационната сигурност.

Правени са от двете дирекции съвместно - дирекция „Сигурност“ и дирекция „ИКТ“. Това са вътрешни доклади на IT специалистите на „БЪЛГАРСКИ ПОЩИ“ ЕАД. Всяка година те имат такова задължение по ISO 27001, което не е надградено с Регламента, който касае защита на личните данни. Това е само сигурност на информацията. Те правят такъв преглед на всички системи и правят доклад до ръководството и до DPO-то. DPO-то е на пряко подчинение на ръководители на самата институция, при което е констатирано страшно много, над 2600 компютъра ако си спомням правилно, които работеха с неподдържана система т.е. бяха с „Windows XP“. Отделно бяха констатирани различни програми, които са на външни изпълнители, разработки на външни IT компании, които обаче са на стари продукти, които нямат достатъчна защита и няма как да се прехвърлят на ново.

Нашите констатации са въз основа на техните констатации. Ние не 5 сме влизали там 2020 г. и 2021 г. да правим проверки. Това е от одитните доклади и въз основа на тях има доклад до Министъра на транспорта мисля, при което се изискват средства и се визира, че защитни стени се желаят, закупуване на нови компютри и т.н. - всякакви мерки, които да повишат сигурността на информацията.

Ние не сме финансова институция, не контролираме финансите и това какво те получават. „БЪЛГАРСКИ ПОЩИ“ ЕАД разполага с достатъчно IT специалисти и цяла дирекция „Сигурност“. Това са все квалифицирани хора, които могат да си правят вътрешни разработки и решението да сложат всичко във виртуални сървъри и backup-ите, при условия, че има Регламент, който регламентира, че data центровете и backup-ите трябва да са на трайни носители, а не във виртуалното пространство, като data центровете трябва да са на друга „тектонична плоча“. Мисля, че Регламентът в тази връзка беше № 18016 и съгласно неговите разпоредби трябва да са минимум на 250 километра.

Това, че заразяването най-вероятно е настъпило от първи до шестнадесети е установено от вътрешните специалисти и от директорите на ИКТ и ГДБОП. Те твърдят, че вирусът е бил вкаран в началото на месеца, за да може да изследва паролите на привилегирован потребител, който е администратор, защото само с администраторски права може да се блокира и да се копира. Това е по данни на дирекцията за информационна сигурност, техни данни са. Това го има отразено в доклада на дирекцията ИКТ, доколкото си спомням, тъй като те са събрали кризисен щаб още на шестнадесети, като виждат, че не може да се отворят системите и са започнали да търсят откъде идва проблемът.

Изискана е информация и по техни данни няма завишен трафик.

Това е по данни на информационната дирекция и дирекция „Сигурност“. Те нямат данни за завишен трафик, но те нямат и защитни стени, както и нямат логове, които да проследяват привилегированите потребители т.е. тъй като е копиран профила и паролата на привилегирования потребител, там може да се е теглило малко по малко.

Разпечатката съдържа 52 от 94 абзаца. Пълният текст: https://pravoto.app/praktika/e492dcb0-92ca-4a66-93ff-759e0a2b9678