§ 6. Особливості пошуку, вилучення та зберігання

комп'ютерної інформації, що може бути використана

як доказ у процесі доказування

У загальному вигляді «електронні докази» - це сукупність інформації, яка збе­рігається в електронному вигляді на всіх типах електронних носіїв і в електронних засобах. Особливість цих доказів полягає в тому, що вони не можуть сприйма­тися безпосередньо, а повинні бути інтерпретовані певним чином та проаналі­зовані за допомогою спеціальних технічних засобів і програмного забезпечення.

Правоохоронні установи у різних країнах світу утворюють всезростаючу кількість спеціалізованих підрозділів для збирання та аналізу електронних доказів. Цю функцію також виконують численні лабораторії судової експерти­зи (державні і приватні).

Установлено, що більшість злочинів, де електронні докази були приєднані в процесі розслідування - це злочини у сфері економіки. Однак такі випадки не одиничні і при розслідуванні будь-яких інших видів злочинів.

Електронні докази можуть бути отримані із різноманітних джерел. Сучас­не суспільство у багатьох випадках залежить від автоматизованих і комп'ю­теризованих систем, які надають певні види послуг, робіт, виконують захисні функції. У повсякденному житті ми мало звертаємо увагу на різноманітні комп'ютерні системи, які знаходяться навкруги нас та впливають на нашу життєдіяльність. Ніхто з нас не замислюється про велику кількість мобільних телефонів, радіоприймачів і передавачів, які взаємозв'язані між собою, ком­п'ютерів, які керують виробничими процесами на підприємствах, а також про невеликі електронні пристрої, де зберігається персональна інформація (адре­си, телефонні номери, розклад дня тощо).

Дуже часто правоохоронні органи стикаються з комп'ютерами, коли розслі­дуються звичайні види кримінальних злочинів - крадіжка, вимагання, шантаж, торгівля наркотиками тощо. Для криміналістів теж все більш звичайним стає пошук та аналіз у комп'ютерних системах інформації, яка може бути викорис­тана як доказ при розгляді кримінальної справи в суді. Тому, хоча законодавчі процедури і правила вилучення та оформлення доказів відрізняються в різних країнах, важливо те, що визнання комп'ютерних доказів судами - процес важ­кий і потребує впевненості в тому, що докази були виявлені та вилучені спів­робітником, який має певні навики та підготовку для цієї діяльності.

Під час обшуку усі електронні докази, які знаходяться у комп'ютері чи

474

комп'ютерній системі, повинні бути зібрані таким чином, щоб вони потім були визнані судом. Світова практика свідчить, що під тиском представників захис­ту в суді електронні докази не беруться до уваги. Для того, щоб гарантувати їх визнання як доказів, необхідно суворо дотримуватися вимог національного кримінально-процесуального законодавства, а також стандартизованих при­йомів і методів, напрацьованих експертами та фахівцями з розслідування цих видів злочинів.

Важливо, щоб комп'ютерні злочини розслідуватись лише тими підрозді­лами чи співробітниками правоохоронних органів, які мають спеціальні навич­ки для ведення таких справ та пройшли відповідну підготовку. Робота з комп'ютерами і комп'ютерним обладнанням вимагає спеціальних знань. Сер­йозні проблеми, які призводять до значних витрат, можуть виникнути, якщо справу з цією технікою матиме некваліфікована особа. Тому існує нагальна потреба у спеціалізованих «комп'ютерних» підрозділах у системі правоохо­ронних органів або у кваліфікованих технічних працівниках.

Комп'ютери - це складне обладнання, яке потребує обережного пово­дження з ним під час роботи на місці події. Слід пам'ятати, що комп'ютери можуть містити в собі велику кількість даних, які належать сторонній особі або організації (наприклад, можуть бути об'єктом інтелектуальної власності). Тому обережність при поводженні з комп'ютером необхідна як з точки зору збере­ження важливої доказової інформації, так і з точки зору запобігання завдання матеріальних збитків та збереження власності. Одна помилка без перебіль­шення може коштувати мільйонних економічних втрат. Саме тому необхідно, щоб з комп'ютером на місці події працювала дійсно кваліфікована особа.

Справедливим є твердження про те, що не існує такого поняття, як «уні­версальний комп'ютерний експерт». Можна говорити про осіб, які є компетент­ними спеціалістами в певних видах комп'ютерних систем. Тому, збираючись на місце події, важливо встановити, з якою технікою і з якою операційною сис­темою доведеться працювати. Перше, що необхідно встановити - це назву операційної системи. Не всі комп'ютерні системи однаково розповсюджені, і тут можуть виникнути певні проблеми. Спеціаліст з операційної системи М8-003 може не володіти необхідними знаннями для управління машиною з іншою операційною системою, наприклад ШІХ. Потрібно мати на увазі, що тип операційної системи, який використовується в комп'ютері, як правило, не вказу­ється на його корпусі. На корпусі є інформація про виробника комп'ютера або тільки номер моделі. Але, незважаючи на певні труднощі, фахівець повинен визначитись, чи може він працювати з цією системою. Водночас необхідно пам'ятати, що відповідальність за дії на місці події несе офіцер правоохоронних органів. Якщо до проведення операції був залучений експерт чи фахівець, дії цієї особи з обладнанням повинні ретельно фіксуватися.

Найпростіше, коли мова йде про один окремий комп'ютер. Однак комп'ю­тери можуть бути об'єднані між собою в комп'ютерну мережу (наприклад, ло­кальну), які, в свою чергу, можуть бути об'єднані через глобальні комп'ютерні мережі (типу Іпіетеі). Тому можлива ситуація, що певна важлива інформація (яка може бути використана як доказ) буде передана через мережу в інше

475

місце. Не виключено також, що це місце буде знаходитися за кордоном, а іноді важлива для кримінальної справи інформація може знаходитися на те­риторії кількох країн. У такому разі необхідно використати всі можливості (до­кументація, допити осіб, технічні можливості системи) для встановлення міс­цезнаходження іншої комп'ютерної системи, куди було передано інформацію. Як тільки це буде зроблено, необхідно терміново надіслати запит, з виконан­ням встановлених вимог, про надання допомоги (або правової допомоги, як­що така необхідна для виконання поставлених у запиті питань) у компетент­ний правоохоронний орган відповідної країни. Саме на цьому етапі виникають найбільші труднощі в організації роботи по розслідуванню комп'ютерного зло­чину та кримінального переслідування злочинців.

Співробітники правоохоронних органів все частіше стикаються при обшу­ках в офісах підприємств та установ із локальними комп'ютерними мережами. Технології мереж дуже розвинуті та складні, ось чому існує небезпека, що слідство може втратити важливі докази, якщо особи, що ведуть його, не бу­дуть ознайомлені з можливостями цих технологій. Необхідно зрозуміти, що реальне фізичне місцезнаходження даних може бути зовсім не в тому місці, як це сприймається на перший погляд. Технології мереж дозволяють прихо­вати реальне розташування існуючих твердих дисків та файлових систем.

Особливу цінність при розслідуванні у комп'ютерних мережах відіграють так звані «логи», інформація, яка міститься в лог-файлах. За допомогою цих файлів можна відповісти на такі важливі запитання:

Хто? - рахунок користувача, ідентифікатор користувача;

Коли? - час трансакції;

Звідки? - мережна адреса, номер термінала, телефонний номер;

Що? - що трапилось у системі, що було знищено, змінено, замінено, скопі­йовано, які ресурси були задіяні для цього, в чому виражаються завдані збитки.

Лог-файли можуть бути організовані в комп'ютерах на різних рівнях: опера­ційної системи, спеціально встановленого програмного забезпечення, окремих модулів баз даних і навіть у програмах-додатках. Фізично ця інформація може знаходитися в різних місцях від локальної станції і сервера мережі до головних великих ЕОМ.