Správci sítí za chybu do vězení?

23.11.2008 20:05 | Přečteno: 1828× | Mýtobijství

Prostřednictvím zprávičky se tu objevil názor, že s novým trestním zákoníkem budou moci být admini (správci sítí, serverů apod.) potrestáni vězením, když se dopustí chyby. Tento názor není správný. Přestože nepovažuji za příliš dobrý nápad takto trestat (byť hrubou) nedbalost adminů, není to rozhodně tak horké, jak si někteří lidé myslí.

V současné době je to tak, že když správce sítě, serveru nebo jiného zařízení nebo systému informačních technologií něco zanedbá, nemůže za to být postižen. Může být donucen nahradit škodu, též může mít jeho chování pracovněprávní důsledky, ale to je všechno. Trestné jsou pouze úmyslné činy, které se týkají zneužití, poškození dat atd.

Nový trestní zákoník přináší změnu. Zavádí totiž nový trestný čin Poškození záznamu v počítačovém systému a na nosiči informací a zásah do vybavení počítače z nedbalosti. Nebudu tu citovat celý paragraf, ale v podstatě jde o to, že kdo z hrubé nedbalosti poškodí/pozmění/zničí data, hardware nebo software a způsobí tak značnou škodu, bude potrestán mj. vězením až na 6 měsíců (při škodě velkého rozsahu až na 2 roky).

Může to vypadat na snadnou kriminalizaci adminů, ale ve skutečnosti to tak není, a to hned z několika důvodů. Podívejme se na ně. V první řadě je to pojem hrubé nedbalosti. Zákon ho přímo definuje, a to takto (§ 16, odst. 2):

Trestný čin je spáchán z hrubé nedbalosti, jestliže přístup pachatele k požadavku náležité opatrnosti svědčí o zřejmé bezohlednosti pachatele k zájmům chráněným trestním zákonem.

Jak se toto v praxi liší od "obyčejné" nedbalosti (§ 16, odst. 1)? Přenesme se na chvíli na silnici. Řidič vjíždí do pravotočivé zatáčky. Proti němu jde chodec, v protisměru se ve stejnou chvíli blíží kamion. Řidič brzdí, protože ale špatně odhadl bezpečnou rychlost pro vjezd do zatáčky, neubrzdí to a chodce srazí. Toto je "obyčejná" nedbalost. Řidič "věděl, že může způsobem uvedeným v trestním zákoně porušit nebo ohrozit zájem chráněný takovým zákonem, ale bez přiměřených důvodů spoléhal, že takové porušení nebo ohrožení nezpůsobí", případně "nevěděl, že svým jednáním může takové porušení nebo ohrožení způsobit, ač o tom vzhledem k okolnostem a k svým osobním poměrům vědět měl a mohl".

Jiný případ. Řidiči se nechce čekat v koloně, proto vjede na chodník, vysokou rychlostí po něm objíždí kolonu a srazí člověka, který vyšel na chodník ze dveří jednoho z domů. Toto je jednoznačně hrubá nedbalost - je zde zcela zřejmá "zjevná bezohlednost pachatele k zájmům chráněným trestním zákonem".

Vraťme se do IT oblasti. Admin v pátek ráno zjistí, že přestalo fungovat zálohování. Snaží se ho opravit, ale pospíchá, protože chce brzy odjet na chatu, a zapomene v konfiguraci něco, co tam být nemá. Zálohování tedy nefunguje. V neděli úder blesku zničí diskové pole, data vytvořená od noci na čtvrtek jsou ztracena. Došlo k tomu kvůli ("obyčejné") nedbalosti admina.

Stejný případ, ale trochu jinak. Admin v pátek ráno zjistí, že přestalo fungovat zálohování. Podle firemního předpisu to oznámí nadřízenému, ten mu nařídí to ihned opravit, s tím, že je povinen pracovat přesčas, pokud by to nestihl v rámci běžné pracovní doby. Admin to nestíhá, ale přesčas pracovat nechce. Vykašle se na to, s tím, že to opraví v pondělí. V neděli úder blesku zničí diskové pole, data vytvořená od noci na čtvrtek jsou ztracena. Došlo k tomu kvůli hrubé nedbalosti admina - je zde zřejmá zjevná bezohlednost admina.

Z toho vyplývá, že za uvedený trestný čin nemůže být nikdo potrestán jen za "špatnou práci". Špatně pracující admin může něco udělat jen z ("obyčejné") nedbalosti, pro hrubou nedbalost je potřeba zřejmost "zjevné bezohlednosti".

Vyplývá z toho i to, že se podplukovník Karel Kuchařík mýlí, když říká, že to "vede to k tomu, aby podobnou činnost vykonávali už jen lidé, kteří této problematice rozumějí". Aby totiž někdo k něčemu projevoval "zjevnou bezohlednost", nemá to naprosto nic společného s tím, jestli své práci rozumí či nikoli. Když někdo něco zvoře proto, že tomu nerozuměl, tak je to přinejhorším z "obyčejné" nedbalosti - mohl se pustit do něčeho, co bylo nad jeho síly, o čemž věděl nebo mohl vědět. Nemůže to být ale "hrubá nedbalost", ledaže by se prokázalo, že tak učinil se "zjevnou bezohledností" (například si chtěl vyzkoušet, co to udělá, když spustí na ostrém systému příkaz xy, aniž by bral sebemenší ohled na to, co to způsobí uživatelům).

Dále tu máme záležitost výše škody. Pro trestnost je potřeba "značná škoda" (tj. nejméně 500 000 Kč), pro vyšší trest podle odst. 2 pak "škoda velkého rozsahu" (tj. od 5 mil. Kč). Tedy nemůže být trestán někdo, kdo byť z hrubé nedbalosti udělá něco, co nebude mít následky přesahující uvedenou půlmilionovou hranici.

Poslední poznámka se týká trestu. Příliš si nedokážu představit, že by za tohle někdo (přinejmenším při prvním takovém provinění) skončil za katrem. Může dostat podmínku nebo obecně prospěšné práce, ale do vězení by ho poslal jen hodně pomatený soudce (já vím, i takoví chodí po světě - mezi ně nepočítám Rudolfa Šídla, protože i ten uložil Petru Partykovi "jen" obecně prospěšné práce, byť to pro jejich nevykonání pak skončilo vězením).

Co k tomu říct na závěr? Že představa, že někdo půjde kvůli nějaké chybě nebo "špatné práci" do basy, je zatraceně přitažená za vlasy. Obecně sice nejsem příznivcem zbytečných represivních opatření, ale v tomto případě skutečně nemá smysl dělat z komára velblouda.

       

Komentáře

[Wire64]

Výborný zápisek. Nesouhlasím jen s jednou věcí. Pokud budu provádět činnost, na kterou nemám vzdělání / oprávnění / proškolení / atestaci, tak vím že bych tuto činnost dělat neměl, protože tím něco / někoho ohrožuju.

Například, když řidič autobusu způsobí nehodu, není to totéž, jako když autobus řídí 18-letý puberťák bez řidičského průkazu. Už jenom fakt, že tento pubescent sedí za volantem autobusu je zbytečný hazard a není to proto hrubá nedbalost? Dělám něco, co bych dělat neměl?

Není to stejné v případě kdy neumím "řídit" server?

(chápu, že v každém případě jsou jiné okolnosti a podmínky...)

[Luk]

Pokud budu provádět činnost, na kterou nemám vzdělání / oprávnění / proškolení / atestaci, tak vím že bych tuto činnost dělat neměl, protože tím něco / někoho ohrožuju.

Jenže tohle je jednoduše použitelné jen tam, kde je potřebná kvalifikace jednoznačně předepsána. Například pro řízení autobusu je to ŘP sk. D a (při řízení v rámci pracovní činnosti) profesní osvědčení. U správy IT to předepsáno není a dost těžko může být (protože programů jsou statisíce, hardwarových konfigurací také není málo atd.). Samozřejmě - pokud někdo půjde "naostro" dělat např. správce systému SAP, aniž by ho někdy předtím viděl (natož aby absolvoval nějaké zaškolení), tou hrubou nedbalostí to zavánět bude.

Ovšem nikoli automaticky - může se stát, že bude potřeba udržet nějaký systém v chodu, přitom sehnat na něj rychle odborníka (např. v situaci, kdy všichni dosavadní adminové leží s vážnou chorobou v nemocnici nebo přestali chodit do práce) nebude možné, hlavně pokud se jedná o něco exotičtějšího. Pak se může opravdu stát, že to půjde spravovat někdo, kdo na to žádnou kvalifikaci nemá, ale kdy je to lepší řešení, než kdyby to nespravoval nikdo. Na to pamatuje § 31 o "Přípustném riziku" - tento paragraf se vztahuje např. i na toho, kdo by řídil "pod vlivem", aby někoho odvezl do nemocnice.

[Wire64]

Ano. S touto interpretací souhlasím. Chtěl jsem jenom naznačit, že i to že to neumím, může za určitých specifických odmínek být závažnou nedbalostí!

[Chulda]

Jiste, ale pokud o necem lzu, ze to umim, pak je to podvod, ne?

Jinak je veci zamestnavatele, koho a za jakych podminek si zamestna (napr. pokud statni urad nema penize na profika, tak holt zamestna stredoskolaka, ktery IT videl z rychliku, protoze nikdo jiny jim to za tu almuznu delat nebude)

[YYY]

Myslim si, ze by si podminky na danou pracovni pozici vzdy mela stanovat spolecnost, ktere se to tyka a i interne by se mely resit pripadne postihy za pochybeni. Nejake vmesovani aparatu jmenem stat mi prijde dost nemistne.

[Analfabeth]

Z mudrost sa plati a kazdy je potencionalny terorista, moze nim byt aj tvoj brat, sestra, otec, mama ...  Kazdy robi protistatnu a zaskodnicku cinnost. Teda aspon vsetky pripravonane zakony s tym v najblizsej dobe pocitaju 

[kozzi]

A ten zakon oprvadu plati, nebo bude platit? 

[Luk]

Bude platit, pokud projde přes senát a prezidenta.

[kozzi]

JJ, no tak mám pocit, že to neprojde  

[Grunt]

Znovu děkuji mnohokrát za osvětlení. Jak už jsem říkal, v první řadě by se prostě musel dokázat úmysl.(Na druhou stranu při případném obvinění by se musel také vyvrátit).

[Vojtěch Trefný]

(Na druhou stranu při případném obvinění by se musel také vyvrátit).

To snad ne, snad u nás ještě pořád platí presumpce neviny...

[Grunt]

+1, kecám. Musel by se jen bránit.

[Miloslav Ponkrác]

No a teď je otázkou, jak to bude stíhat policie a vykládat soudy. Což se může od vysvětlení daném článkem poměrně slušně lišit. Dnes Vám ani renomovaný právník u spousty případů není schopen říci, zda soud vyhrají, nebo ne. Takže tento laický výklad je sice logický, ale realita může být silně jinde.

[Luk]

"Problém" je v tom, že soudci jsou lidé. Každý člověk je nedokonalý, má své chyby. Mají je i soudci. Bavíme se tu o trestném činu se sazbou do 6 měsíců, resp. 2 let. Jenže ti "nedokonalí" soudci soudí i případy, kdy se rozhoduje o doživotním trestu (případně trestu smrti, což ovšem není případ ČR). Jeden příklad za všechny - byl proces s doživotně odsouzeným Jiřím Kajínkem zcela spravedlivý? Byl ten doživotní trest uložen na základě dostatečných důkazů proti Kajínkovi?

[Miloslav Ponkrác]

No a vzhledem k tomu, že soudci problematice sítí a vůbec celého IT obecně houby rozumí, tak budou je posuzovat daleko přísnějšíma očima - jak je obecně vidět třeba u drakonických trestů za pirátské programy (ne, že bych s trestem nesouhlasil, ale výše trestu u jednoho dvou programů na počítači se blíží výši trestu brutálního masového vraha).

Takže já bych byl dalek optimismu, který se snaží šířit tento článek, protože tento článek sice projevuje slušnou právnickou erudici autora, ale také obrovskou naivitu autora, který si snad myslí, že ho budou soudit lidé znalí věci, a to zcela pomíjím stav spravedlnosti u nás.

Mě to může být jedno, já sotva kdy budu dělat správce sítě - ale vidím, kolik berou správci sítí u nás, a potřeba platby právníka za jeden, dva takové procesy, které třeba vyhrají je finančně zruinuje.

Dále nemohu nevidět, že je tu snaha ušetřit na platech za každou cenu a zcela se tím pomíjí tato otázka - podle mě právě institut, že hmotná odpovědnost je do určitého násobku platu vůbec nebyla špatná.

[Luk]

A navrhujete co? Sklopit hlavu mezi kolena a truchlit, jak je to špatné? Nebo něco jiného? Když víte, jak to "určitě bude", co jste udělal proti zařazení onoho paragrafu, když byla možnost připomínkovat návrh, k čemuž jsem dokonce vyzýval?

[Miloslav Ponkrác]

Vážený pane, já jsem jenom jeden člověk a mám k dispozici pouhých 24 hodin denně. Zajisté uznáte, že nemohu bojovat proti všemu a všem. Uznávám, že jsem mizera, když nedokáži zachraňovat lidstvo před všemi nekalostmi, které se dějí, ale opravdu to nezvládnu.

Navíc - a to řeknu zcela upřímně - mě se to v nejmenším netýká. Nedělám práci, kde by mě tento zákon jakkoli ovlivnil, a když - tak v místech, kde české zákony nemají platnost. Myslím, že by se měli starat především Ti, kterých se to týká v první řadě. Voják se stará, voják má - je stále platné přísloví.

Tyto zákony procházejí zejména kvůli naivitě mnoha lidí, kteří si myslí, že "když nic zlého neudělali, tak je právní systém nesemele jako zlořince" - což je mylný dojem, který bohužel uvádí i tento článek. A občas se nestačí divit.

 

[Luk]

Co na to říct? Snad si každý domyslí sám... 

[Miloslav Ponkrác]

Jinak bych chtěl také říci, že Vaší výzvu jsem nečetl. Takže jsem neudělal vůbec nic také proto, že jsem se o zákonu dozvěděl, až z klasických novin, nikoli z abclinuxu.cz.

[Luk]

Byly toho tehdy plné noviny (že lze návrh připomínkovat), ta moje výzva byla jen takový doplněk. 

[diverman]

Ano, za lajdactvi nebo umysl se pyka podle jiz existujicich zakonu. Nezalezi na tom, jestli je to ve zdravotnictvi, doprave nebo IT. IMHO je ale zbytecne zavadet novy zakon specielne kvuli IT.

[Ondrej]

Popravde on je tam jeste vetsi zadrhel - jeden z novejch paragrafu totiz rozsiruje utoky na cizi site (aka hacking) a stavi mimo zakon i prechovavani nastroju, umoznujicich hacking. Jestli tohle projde, tak budu dost v kopru, protoze jednou z mojich naplni prace je i bezpecnostni testovani, coz se dela - prekvapive - pokusem system hacknout. Ponechme ted stranou, ze za takovej nastroj muze bejt povazovanej i telnet nebo ssh klient

[anicka]

Pokud vím, v Německu už mají podobný zákon pěkně dlouho a tamní adminy za telnet zatím nikdo nezavírá. Oproti tomu, museli jsme kvůli tomu z openSUSE vystěhovat aircrack - nevím přesně, jak to funguje, ale hádám, že na to bude nějaká vyhláška.

Takže na tom nakonec budou dobře všichni, co si vystačí s perlem Ale zajímalo by mě, který magor dokázal vymyslet takovou krávovinu... tušila jsem, že dětské porno dlouho nezůstane jedinou nelegální hromadou bitů, a že budu brzy na řadě... možná proto mi ten zákon tak vadil, i když šlo zrovna o dětské porno.

Tady to máme... kde budou ti, co by pomohli, až na nás dojde nebo jak to přesně bylo...

[Käyttäjä 11133]

Možná je nezavírají za telnet, ale já nemůžu maintainovat aircrack v packmanovi :'-( Protože by si to šel asi odsedět chudák Marc

V Německu si nejdříve přišli pro komunisty a já mlčel, protože jsem nebyl komunista.
Potom si přišli pro židy a já mlčel, protože jsem nebyl žid.
Potom si přišli pro odboráře a já mlčel, protože jsem nebyl odborář.
Potom si přišli pro katolíky a já mlčel, protože jsem byl protestant.
Potom si přišli pro mě a nezbyl nikdo, kdo by se mě zastal.

[Heron]

Stále platí: kde není žalobce není ani soudce. Tj. tvůj zaměstnavatel tě neudá za to, že se vlamuješ do jeho systémů. A i kdyby snad ano, tak to máš ve smlouvě jako popis práce.

[Luk]

Mohu se zeptat, který z těch paragrafů to je? Není to § 229, že? Ten totiž říká:

Kdo v úmyslu spáchat trestný čin porušení tajemství dopravovaných zpráv podle § 180 odst. 1 písm. b), c) nebo trestný čin neoprávněného přístupu k počítačovému systému a nosiči informací podle § 228 odst. 1, 2 vyrobí, uvede do oběhu, doveze, vyveze, proveze, nabízí, zprostředkuje, prodá nebo jinak zpřístupní, sobě nebo jinému opatří nebo přechovává... 

[kozzi]

JJ, taky jsem to nekde cetl, tak to at me zavrou. Mam tyto nastroje ve svem notasu. Zrovna dneska jsme si instaloval aircrack-ng 

[trekker.dk]

Když jsi v tom objasňování, tak bys mohl taky objasnit, proč je takovýto speciální zákon jenom pro správu počítačů, nikoliv však pro uklízečky, učitele, automechaniky, atd.

Nebo snad uklízečka, když se rozhodne, že ten saponát z nábytku setře až zítra, protože nebude dělat přesčas, půjde do vězení, když saponát nábytek do druhého dne sežere?

[Luk]

Když jsi v tom objasňování, tak bys mohl taky objasnit, proč je takovýto speciální zákon jenom pro správu počítačů, nikoliv však pro uklízečky, učitele, automechaniky, atd.

 

Nebo snad uklízečka, když se rozhodne, že ten saponát z nábytku setře až zítra, protože nebude dělat přesčas, půjde do vězení, když saponát nábytek do druhého dne sežere?

 Na tohle se ptej těch, kdo ten zákon připravili, a také těch, kteří ho (ne)připomínkovali, když měli tu možnost. Já to těžko objasním, autor zákona nejsem, připomínky jsem sice poslal, nicméně tohle jsem bral jako marginální věc, takže jsem se zaměřil na skutečné problémy, které by měly závažné následky (možná až ústavněprávní).

Jinak, jak jsem uvedl jinde, není tam speciální paragraf jen pro správu počítačů, ale také pro správu cizího majetku a pro chování kohokoli vůči věřitelům (konkrétně třeba toho, že si někdo z hrubé nedbalosti způsobí platební neschopnost). Zrovna v tomto případě jde jednoznačně o "dirty hack", který tam už kdysi dávno protlačili politici ČSSD s argumentem, že se u tunelování, záhadně zkrachovalých firem atd. špatně prokazuje úmysl - proto se z toho udělal nedbalostní delikt. Prostě politická objednávka. A zřejmě to tam záměrně nechal i ministr Pospíšil, aby zajistil hladký průchod sněmovnou (stačí si vzpomenout, proč ten původní návrh tehdy neprošel).

[Kvakor]

Taky si myslim, ze je to naprosto zbytecna duplicita, navic jeste v oboru, kteremu vetsina soudcu rozumi asi jako koza moreplavbe.

[exa]

Mam pocit ze hrube nedbalosti se dopousti clovek pouzivajici windows kdekoliv, kde o ty data opravdu jde. Prosim nevyflamujte me, je to jen nazor.

jeste poznamka: Je zajimave jak se v cechach rika vsem sysadminum "Spravci site", aspon z vetsiny titulku to tak vypada. Neni sprava nejakych dat spis prace "Spravce dat"? A jeste ze rejpu, proc maji byt podle vsech titulku defaultne postihovani admini, kdyz za 99% ztrat dat muze nekdo uplne jiny? (uzivatel!)

[Luk]

jeste poznamka: Je zajimave jak se v cechach rika vsem sysadminum "Spravci site", aspon z vetsiny titulku to tak vypada. Neni sprava nejakych dat spis prace "Spravce dat"? A jeste ze rejpu, proc maji byt podle vsech titulku defaultne postihovani admini, kdyz za 99% ztrat dat muze nekdo uplne jiny? (uzivatel!)

 Ohledně správců je to tak, že se to prostě vžilo, tak se to používá. Samozřejmě, že by bylo žádoucí rozlišovat, kdo spravuje sít jako takovou (tj. kabely, switche, routery atd.), servery, stanice, případně více věcí najednou. Typický český "správce sítě" má ale na starosti jak síťovou infrastrukturu, tak i servery a stanice (včetně podpory uživatelů).

Jinak trestaný může být samozřejmě kdokoli (ve smyslu toho paragrafu), jen těch "adminů" se to týká nejvíc, protože pracují většinou s takovými právy (myšleno jak technicky, tak právně), že mohou nadělat nejvíc škody, když něco zvorají.

[Grunt]

Ohledně správců je to tak, že se to prostě vžilo, tak se to používá.

Ani ne vžilo, ale slilo. Kde jsou ty doby kdy existovalo takové zaměstnání jako poštmistr.

[kozzi]

On už neexistuje? Sem ani neveděl 

[Luk]

Samozřejmě, že existuje. Na poště jsem nedávno viděl ceduli ve smyslu "kniha přání a stížností je uložena u poštmistra".  Ta cedule vypadala poměrně nově.

[kafa]

Jak správně uvádíte, tento paragraf se týká kohokoliv. Často se zapomíná na to, že ochrana dat je záležitostí všech pracovníků - nejen administrátora. Ten má často pocit, že bojuje s větrnými mlýny.  Sám jsem musel na příkaz vedoucího organizace odstranit kontrolu na slovníková hesla, neboť tak složitá hesla si prý pracovníci nemohou pamatovat . Papírky s přístupovým kódem, nalepené na monitoru, jsou na úřadech běžným jevem a kdokoliv si je může přečíst. A nezmůžete nic. Zažil jsem dokonce případ, kdy si odcházející pracovník odnesl na památku celý datový archív.  Vedoucí po oznámení tohoto činu pouze pokrčil rameny... Když příjdete do jakéhokoliv podniku a řeknete sekretářce ředitele, že jdete opravit počítač, s největší pravděpodobností vás k němu nejen pustí, ale ještě vám prozradí veškerá hesla. A zažil jsem i jeden obzvláště nemilý případ, kdy jsme byli osočeni, že naší vinou unikla z počítačů velmi citlivá data ke konkurenci. Nakonec se ukázalo, že data vynesl jeden z nejvýše postavených šéfů a následně k této konkurenci i sám přešel.  Chybou administrátora se často stanou data z nějakého místa dočasně nepřístupná. Ale že by je zničil, to jsem ještě nezažil. To je taková noční můra každého správce, že raději třikrát zálohuje kdejakou prkotinu, než by něco takového riskoval. K plné ochraně dat má ovšem příliž málo pravomocí  a nadřízení mu nejen nepomáhají ale často se tváří, že je to vůbec nezajímá. Takže mohou být velmi nemile překvapeni, až půjdou sedět oni.

[Messa]

O správce sítí tu možná ani nejde. Mám strach spíš z toho, že až mě policie navštíví doma s nařčením, že přechovávám anebo sdílím nějaký warez a najde jen zbytky po smazaných souborech nebo zaheslované soubory, napaří mi právě nějaké Poškození záznamu v počítačovém systému.

[trekker.dk]

Doma na tebe s tímhle nemůžou...

[Ondrej]

Ale muzou, staci aby mel treba sidlo podnikani u sebe doma a uz je to. 

[trekker.dk]

Kdo z hrubé nedbalosti porušením povinnosti vyplývající ze zaměstnání, povolání, postavení nebo funkce nebo uložené podle zákona nebo smluvně převzaté...

Když si doma zničím data (čímž začalo toto vlákno), tak jsem neměl povinnost ani podle jednoho z uvedených případů.