Тактика следственных действий, направленных на отыскание, обнаружение, изъятие и исследование электронных носителей и информации на них. Учебное пособ

Министерство внутренних дел Российской Федерации Омская академия

ТАКТИКА СЛЕДСТВЕННЫХ ДЕЙСТВИЙ, НАПРАВЛЕННЫХ НА ОТЫСКАНИЕ, ОБНАРУЖЕНИЕ, ИЗЪЯТИЕ И ИССЛЕДОВАНИЕ ЭЛЕКТРОННЫХ НОСИТЕЛЕЙ

И ИНФОРМАЦИИ НА НИХ

Учебное пособие

Омск ОмА МВД России

2015

1

УДК 343.9(075.8) ББК 67.629.42я73 Т 15

Рецензенты:

кандидат юридических наук, доцент О. П. Грибунов (Восточно-Сибирский институт МВД России); кандидат юридических наук, доцент Д. Л. Кокорин (Уральский юридический институт МВД России)

Т 15 Тактика следственных действий, направленных на отыс-

кание, обнаружение, изъятие и исследование электронных носителей и информации на них : учеб. пособие / А. А. Кузнецов,

Д. В. Муленков, С. В. Пропастин, А. Б. Соколов. — Омск : Омская академия МВД России, 2015. — 116 с.

ISBN 978-5-88651-605-0

В учебном пособии рассматриваются вопросы, связанные с особенностями тактики отдельных следственных действий, а именно подготовки и производства осмотра электронных носителей и информации на них и мест их обнаружения, подготовки и производства обыска и выемки в местах вероятного нахождения электронных носителей и информации на них. Особое внимание уделено назначению и производству судебной компьютерной экспертизы: определению оснований, выбору экспертного учреждения или эксперта, подготовке материалов, постановке вопросов, основам деятельности экспертов на вводной, исследовательской и выводной стадиях экспертного исследования. Выводы и предложения, сформулированные в работе, основаны на результатах анализа актуальной правоохранительной практики.

Предназначено для курсантов и слушателей, студентов, преподавателей образовательных организаций МВД России, а также сотрудников органов предварительного следствия и дознания.

УДК 343.9(075.8) ББК 67.629.42я73

2

ВВЕДЕНИЕ

В настоящее время увеличивается удельный вес преступлений, при совершении которых использовались электронные носители и (или) информация на них (как правило, это совокупность составов преступле-

ний, предусмотренных ст. ст. 138, 1596, 183, 242, 2421, 272–274 Уголов-

ного кодекса Российской Федерации (далее — УК РФ)). Существует определенное количество публикаций, в которых раскрываются вопросы работы с компьютерной информацией и ее носителями применительно к расследованию отдельных видов и групп преступлений1.

Вместе с тем при производстве отдельных следственных действий встречаются затруднения по отысканию, обнаружению, изъятию и исследованию электронных носителей и информации на них. Особеннос-

1 Имеются рекомендации по поиску, фиксации, изъятию и хранению электронных носителей; определены порядок и пределы получения информации с электронных носителей для целей раскрытия и расследования преступлений (см., напр.: Россинская Е. Р., Усов А. И. Судебная компьютерно-техническая экспертиза : монография. М., 2001. 414 с. ; Вехов В. Б. Особенности расследования преступлений, совершаемых с использованием пластиковых карт и их реквизитов : монография. Волгоград, 2005. 276 с. ; Варданян А. В., Никитина Е. В. Расследование преступлений в сфере высоких технологий и компьютерной информации : учеб. пособие. М., 2007. 309 с. ; Гаврилов М. В., Иванов А. Н. Осмотр при расследовании преступлений в сфере компьютерной информации : учеб. пособие. М., 2008. 167 с. ; Осипенко А. Л. Сетевая компьютерная преступность:теория и практика борьбы :монография. Омск, 2009. 479 с. ; Козинкин В. А. Использование в расследовании преступлений информации, обнаруживаемой в средствах сотовых систем подвижной связи : монография. М., 2010. 192 с. ; Зигура Н. А., Кудрявцева А. В. Компьютерная информация как вид доказательств в уголовном процессе России : монография. М., 2011. 176 с. ; Косынкин А. А. Преодоление противодействия расследованию преступлений в сфере компьютерной информации : монография. М., 2013. 216 с. ; Давыдов В. О. Методика расследования экстремистских преступлений, совершенных в компьютерных сетях : монография / под ред. А. Ю. Головина. М., 2014. 184 с. ; Лапин Е. С. Тактика получения информации о соединениях между абонентами и (или) абонентскими устройствами : монография. М., 2014. 192 с. ; и др.).

3

тимеханизма следообразованияподаннымпреступлениям должны учитываться на подготовительном, рабочем и заключительном этапах производства следственныхдействий (в качестветаковых рассматриваются следственный осмотр, обыск, выемка,назначениеи производствосудебной компьютерной экспертизы).

Авторы считают, что при проведении перечисленных следственных действий наиболее вероятны ошибки. Кроме того, особенности проведения данных следственных действий всегда находятся в сфере внимания криминалистов2.

При подготовке учебного пособия авторы преследовали цель составить целостное представление об организации и осуществлении следственного осмотра, обыска, выемки, назначения и производства судебной компьютерной экспертизы по преступлениям, при совершении которых использовались электронные носители и информация на них.

2 См., напр.: Баев О. Я. Тактика следственных действий. М., 2013. 456 с. ; Мещеряков В. А. Понятие и виды следственного осмотра при расследовании преступлений в сфере использования информационно-коммуникационных технологий // Библиотека криминалиста. 2014. № 5(16). С. 236–253.

4

ГЛАВА I. ТАКТИКА СЛЕДСТВЕННЫХ ДЕЙСТВИЙ, НАПРАВЛЕННЫХ НА ОТЫСКАНИЕ, ОБНАРУЖЕНИЕ

ИИЗЪЯТИЕ ЭЛЕКТРОННЫХ НОСИТЕЛЕЙ

ИИНФОРМАЦИИ НА НИХ

§1. Тактика осмотра электронных носителей (и информации на них) и мест их обнаружения

Производство осмотра электронных носителей (и информации на них) и мест их обнаружения устанавливается рядом законодательных положений.Уголовно-процессуальныйкодексРоссийскойФедерации(да- лее — УПК РФ) закрепляетоснования производства осмотра места происшествия, местности, жилища и иного помещения, предметов и документов (ст. 176). Для нас представляют интерес осмотр места происшествия (например, места нахождения персональных компьютеров организации, попавшей в поле зрения органов внутренних дел в связи с совершением преступления), а также осмотр предметов и документов (например, электронных носителей и информации, содержащейся на них).

Подосмотром местапроисшествиябудетпониматьсябезотлагательноеследственноедействие,направленноена установление, фиксациюи исследование обстановки места обнаружения электронного носителя информации, преимущественно электронно-цифровых следов и иных сведений, способных иметь значение для возбуждения уголовного дела и его последующего расследования.

Осмотр электронных носителей информации — действие следователя в рамках осмотра места происшествия, а равно самостоятельноеследственное действиепо обнаружению, фиксации и изъятию пре- имущественноэлектронно-цифровых следов преступленияи описанию общих и индивидуальных признаков электронного носителя информации.При этом осмотрследовпреступленияи иных обнаруженных предметов может быть произведен как в ходе осмотра места происшествия (по общему правилу), так и после него (если для такого осмотра тре-

5

буется продолжительное время или осмотр на месте затруднен (ст. 177 УПК РФ)).

Заметим, что осмотр места происшествия, как правило, проводится до возбуждения уголовного дела. Это предполагает наличие повода для возбужденияуголовногодела.Осмотржепредметов осуществляетсяпосле возбуждения уголовного дела, перед признанием электронного носителя вещественным доказательством.

Втеории криминалистики установлено, что деятельность следователянаподготовительномэтапеосмотраместапроисшествияможетбыть условно разделена на действия до выезда на место происшествия и действия после прибытия на место происшествия. Каждая из названных стадий имеет свое содержание.

Внастоящем параграфебудутобозначены вопросы, затрагивающие подготовку к осмотру предметов (электронных носителей информации) как самостоятельному следственному действию.

Осуществление осмотра места происшествия в жилище без согласия проживающих в нем лиц возможно на основании судебного решения в порядке, установленном ст. 165 УПК РФ (в исключительных случаях — без судебного решения, но с последующим уведомлением судьи

втечение 24 часов после проведения осмотра). На практике возникают ситуации, когда следователь может «прикоснуться» кгосударственной и иной охраняемой законом тайне (например, осматривая носитель информации, содержащей коммерческую тайну).

Действия следователя до выезда на место происшествия

Своевременность прибытия на место происшествия и качество самого осмотра напрямую зависят от деятельности следователя, предшествующей выезду на место. Содержание этой деятельности обусловлено вопросами, которые должен решить следователь на данной стадии.

Определение целей и задач осмотра места происшествия. Приме-

нительно к осмотру места происшествия как способу получения доказательственной информации с электронных носителей постановка целей не будет иметь специфики. Речь пойдет оцелях,решаемых путем проведения осмотра места происшествия по другим преступлениям: 1) полученияновых ипроверкиимеющихсядоказательств;2) полученияисходныхданныхдляпостроениякриминалистическихверсийи проверкиимеющихсякриминалистических версий.

6

Определениекруга задач применительно космотру места происшествия как способу получения доказательственной информации с электронных носителей будет иметь специфику. Поскольку задачи конкретизируют деятельность следователя, формулировка задач должна учитывать сферу приложения его усилий. В связи с этим задачи могут быть изложены следующим образом:

1)обнаружение,фиксацияи изъятиепреимущественноэлектронноцифровыхследов преступления(например,файлов, содержащих информацию о заключаемых договорах по делам о мошенничествах в финансовой сфере). Данные следы могут быть оставлены в результате совершения компьютерных преступлений (ст. ст. 272–274 УК РФ), а также иных преступных посягательств (мошенничеств, действий по доступук системам мобильной связи и пользованию ее ресурсами и т. д.). Следует отметить, чтоосмотр отличается от обыска тем, чтов ходе осмотра не преследуетсяцель отыскатькакие-либообъекты. Главное —обнаружить следы, при этом допускается перемещение объектов на месте осмотра, просмотр папок и т. д. Кроме этого, в ходе осмотра места происшествия

уследователя отсутствует правомочие на принудительное ограничение передвижения лиц, находящихся на месте осмотра;

2)фиксация обстановки преступлений, в результате которых были оставлены электронно-цифровые следы. Сведения обобстановке позволяют судить как об условиях использования лицом, совершившим преступление, электронных носителей информации, так и об условиях обнаружения и изъятия этих носителей органами внутренних дел. Это, всвоюочередь,можетиметьзначениедляприданияинформации наэлектронных носителяхкачества доказательств(например,обнаружениеэлектронного носителя с «пиратской» бухгалтерской программой в помещении финансового подразделения проверяемой организации может свидетельствовать об относимости электронного носителя к уголовному делу).

Постановка названных выше задач, по нашему мнению, дает возможность достижения целей осмотра. Нужно лишь сделать оговорку относительнозадач,решаемых вцелях полученияисходныхданных для построения и проверки имеющихся криминалистических версий. Для достиженияэтих целей передосмотром должны ставиться задачи, конкретизированныекспецифическимпреступлениямивыдвигаемымпоним версиям (например, частные типовыеверсии по делам онеправомерном доступе к компьютерной информации).

Осуществление следователем действий (организация их проведениядругимилицами),направленныхнаустранение обстоятельств,спо-

7

собных затруднить деятельность следователя или повлечь неблагоприятные последствия (например, уничтожение следов):

1)установление типа программного обеспечения и характера взаимодействиякомпьютерных устройств, наличия подключенияксети (локальная сеть, глобальная сеть Интернет). На данном этапе можно вести речь об операционной системе Windows и ее альтернативах (Linux, MacОs и др.). Каждая из операционных систем имеет свой интерфейс (средство графического отображения процессов, происходящих в компьютере), управление и иные параметры.

Компьютерные устройства, находящиеся на месте происшествия, могут быть как автономными, так и объединенными в локальную сеть.

Вобоих случаях компьютеры могут быть подключены к сети Интернет. Учитывать это необходимо, какминимум, для того, чтобы верноопределить момент началаосмотра,последовательностьдействий членовслед- ственно-оперативной группы и т. д.;

2)установление наличия средств защиты от несанкционированного доступа. Для защиты информации от несанкционированногодоступа применяются организационные, технические, программные и криптографические методы. Подготовка к осмотру места происшествия предполагает знание следователем факта применения на месте осмотра (объекте осмотра):

а) организационных методов защиты информации (порядок осуществления пропускного режима в осматриваемом месте, типичные места хранения электронных носителейинформации, возможность проникновения посторонних лиц в осматриваемое место и др.);

б) технических методов защиты информации (фильтры, экраны на аппаратуру;ключ дляблокировки клавиатуры;устройства аутентификации; электронные ключи на микросхемах и др.);

в) программных методов защиты информации (блокировка экрана и клавиатуры; использование средств парольной защиты BIOS и др.).

Знаниекриптографических методов защиты информации в процессе осмотра места происшествия необязательно. Это обусловлено тем, что криптографические методы предполагают преобразование информации, в результате чего сведения становятся недоступными для восприятия (шифрование, стенография). В этом случае используются возможности судебных экспертиз, о чем будет сказано позже;

3)обеспечение сохранности обстановки на месте происшествия;

4)недопущение преждевременного восстановления компьютерной системы(например,разъяснениеруководителюорганизации,пострадав-

8

шей от неправомерного доступа к компьютерной информации, негативных результатов преждевременного восстановления системы).

Так, в операционной системе Windows Vista может быть активированмеханизм восстановлениясистемы.При этом обновленныедокументы (которые могут содержать электронно-цифровые следы) могут быть заменены на эти же документы, но в предыдущей редакции (ранее сохраненные в Центре архивации и восстановления). Одновременно программы, которые установлены на компьютере после выбора «точки восстановления», будут утеряны.

Определение места проведения осмотра. Следователь, определяя место осмотра, должен акцентировать внимание на местах вероятного нахождения электронных носителей информации. В качестве таковых можно выделить металлические сейфы, главный компьютер локальной сети (сервер), персональные компьютеры, ноутбуки; кроме этого представляют интерес периферийные устройства.

Дополнительно целесообразно осмотреть места расположения объектов, могущих содержать электронные носители информации (например, осмотр помещений с компьютерной техникой, в том числе рабочих мест персонала). Это позволит связать информацию, содержащуюся на электронном носителе, с местом происшествия.

В литературе также обращается внимание на важность осмотра автотранспорта и иных мест, где хранились, клонировались мобильные телефоны, а также производились иные радиоэлектронные устройства. Если речь идет о совершении компьютерного преступления, то осмотр места происшествия должен охватывать все компьютеры, входящие в локальную сеть пострадавшей организации (в том числе точки входа и выхода из нее в сеть Интернет).

Помимо определения координат места осмотра, обязательным элементом подготовки является получение информации о месте, что важно с тактической стороны. Например, проведение осмотра мобильного телефонавблизи предметов,обладающих сильным электромагнитным излучением, может привести к уничтожению компьютерной информации. Таким образом, готовясь к осмотру, следователю необходимо собрать данные о наличии объектов, оборудования, аппаратуры, устройств, обладающих сильным электромагнитнымизлучением,на местепредполагаемогоосмотра (например, путем опроса представителей организации, подлежащей осмотру).

Определение времени осмотраместапроисшествия.Времяосмот-

ра места происшествия означает этап расследования, конкретную дату, планируемое время начала и окончания следственного действия.

9

Важно стремиться к тому, чтобы осмотр места происшествия по делам,гдефигурирует компьютернаяинформация, былпроведен на первоначальномэтапе. Впротивномслучаепоявляетсявозможностьповреждения или уничтожения информации, содержащейся на электронных носителях.

Говоря о времени осмотра места происшествия, следователь должен учитывать возможность привлечения необходимых участников к осмотру. Так, одним из таких участников выступает специалист. Привлечениеспециалиста космотрупозволитосуществить данноеследственное действие более полно, что, соответственно, повлияет на продолжительность осмотра. Кроме того, в отдельных ситуациях участие специалиста обязательно (например, ч. 91 ст. 182 и ч. 31 ст. 183 УПК РФ).

Определениеучастниковосмотраместапроисшествия.Значитель-

ный вклад в качество осмотра места происшествия вносит содействие специалистов. Данные лица являются обязательными участниками этого следственного действия (в противном случае восприятие следователеминформационногосодержанияэлектронногоносителяв ходеосмотра будет невозможным; также могут быть внесены изменения в первоначальный образ информации на электронном носителе).

Согласно действующему законодательству специалист может оказать содействие следователю в обнаружении, закреплении и изъятии предметов и документов, применении технических средств в исследованииматериаловуголовного дела,дляпостановкивопросов эксперту(ч. 1 ст. 58 УПК РФ). Одновременно специалист может принимать участие в обсуждении вопросов, касающихся назначения и производства судебной экспертизы (чч. 1, 3 и 4 ст. 57, ч. 2 ст. 197 УПК РФ). Помимо этого, он может помочь следователю в установлении механизма работы компьютерного оборудования, определения места обнаруженного электронного носителя информации в компьютерной технике.

Привлекая специалиста, следователю необходимо убедиться в его компетентности, учитывая при этом, что как такового понятия «специалист по компьютерной технике» не существует. В связи с этим интерес представляет ряд направлений: электроника, электротехника, информационные системы и процессы, радиотехника и связь, вычислительная техника, программирование и автоматизация.

Компетентность специалиста — оценочный термин, поэтому его наполнение зависит от конкретной ситуации. Компетентность специалиста может быть установлена посредством анализа уровня его образования (например, наличие диплома о высшем образовании по специ-

10