Тактика следственных действий, направленных на отыскание, обнаружение, изъятие и исследование электронных носителей и информации на них. Учебное пособ

—выводов: ответы на поставленные вопросы, а также причины, по которым невозможно решить вопрос по существу. Выводы могут быть достоверными(категорическими) —положительнымиилиотрицательны- ми;вероятными(предположительными) —положительнымиилиотрица- тельными.Еслиделаютсявероятныевыводыиливыводыоневозможности решения вопросов, то эксперт должен подробно изложить причины22.

РассмотримуказанныеэтапыпроведенияСКЭиоценочнойдеятельности следователя на конкретном примере учебной СКЭ, проведенной экспертным подразделением УМВД России по Омской области.

Фабула дела. В декабре 2007 г. Е. в целях совершения мошенничества приобрел автомобиль с механическими повреждениями передней части (полученными при столкновении спосторонним объектом). Затем Е.заключил заведомоничтожный договорстрахования автомобиля, предоставив страховому агенту не автомобиль для осмотра, а флеш-карту соснимками автомобиля(свнешнимипараметрами, аналогичнымивнешним параметрам страхуемого автомобиля). После этого Е. и С. инсценировали ДТП с застрахованным автомобилем и обратились в страховую компанию дляполучениястраховой выплаты. Входерасследования сотрудниками страховой компанииследователюбыла выданафлеш-кар- та. В процессе обыска в квартире Е. был обнаружен жесткий диск. Была назначена СКЭ, поставлены следующие вопросы:

—когда, спомощью какойкамеры были созданы файлы, имеющиеся на флеш-карте и жестком диске (в определенной папке);

—вносились ли изменения в первоначальное содержание исследуемых файлов; если да, то когда;

—одинаково ли содержимое исследуемых файлов, имеющихся на флеш-карте и жестком диске (в определенной папке).

Экспертное исследование, в том числе СКЭ, проходит следующие этапы:1) вводная часть;2) исследовательская часть; 3) выводы эксперта.

Во вводной части эксперт отражает факт соблюдения требований уголовно-процессуального законодательства (время начала и окончания экспертизы, разъяснениеправэксперту,перечень вопросов и т. д.).Здесь же он формулирует обстоятельства дела. Одновременно он описывает объекты, поступившие на экспертизу, фиксирует их индивидуальные признаки(если позволяетупаковочныйматериал) и характеристикуупаковки (в том числе ее состояние).

22 Приказчиков В. П., Резван А. П., Косарев В. Н. Подготовка и назначение экс-

пертиз : учеб.-метод. пособие. Волгоград, 1999. С. 10–11.

101

Особенность, присущая СКЭ, состоит в количестве сведений, размещенных на электронном носителе информации и отражаемых в заключении эксперта (в зависимости от вида носителя, его модели).

Например, на корпусе флеш-карты, как правило, имеются сведения о типе, модели и емкости носителя (“SD Apacer 512 mb”). Кроме этого, необходимозафиксировать положениепереключателязащиты отзаписи (запись разрешена, запись запрещена). Корпус жесткого диска может содержатьсведенияотипе(стационарныйилипереносной), моделидиска. Здесь же отражается серийный номер диска (организация может выставить на нем учетный номер). Также указывается интерфейс (например, интерфейс USB), наличие интерфейсного кабеля и т. д. Интересно, что объем сведений на корпусе может быть минимальным, если речь идет о переносном жестком диске.

В исследовательской части экспертом отражаются:

1)характеристика исследуемых электронных носителей (детальное описание корпуса носителя, самого носителя после вскрытия корпуса), ихиллюстрации.

Описание системного блока делается подробно. Вначале характеризуются панели корпуса (передняя: привод компакт-дисков, разъемы USB и др.;задняя:кнопка включенияпитания, разъемы дляустройств и пр.; верхняя: наклейки с надписями и т. д.). Затем фиксируются основные комплектующие системного блока после удаления боковой панели (блок питания, системная плата и т. д.). При этом более подробно описывается электронный носитель, подлежащий исследованию;

2)средства, использованные в процессе проведения СКЭ; здесь же эксперт прописывает примененную им методику.

Особенность, присущая СКЭ, состоит в том, что эксперт применяет какстандартныедлялюбой экспертизысредствафиксации объектов(например,цифроваяфотокамера “Panasonic”ипринтер“HPLaserJet1320”), так и специальные средства (например, стендовая ПЭВМ, оснащенная устройствами для подключения соответствующих электронных носителей и необходимым системным и специализированным программным обеспечением);

3)процедура обеспечения сохранности информации. Это выраженная особенность СКЭ, ранее мы говорили о ней применительно к осмотру места происшествия.

Для обеспечения сохранности информации и гарантии от внесения измененийвих содержимоеэлектронныеносителиподключаютсякстендовой ПЭВМ в режиме защиты от записи. Информация с исследуемого

102

накопителя клонируется на жесткий диск стендовой ПЭВМ при помощи специальной программы. Затем производится восстановление удаленных данных при помощи специальных программ на жесткий диск стендовой ПЭВМ и отключение исследуемого электронного носителя. Дальнейшее исследование информации проводилось на жестком диске стендовогокомпьютера. Операции клонирования и восстановленияудаленных данных исключаютизменениеинформации на исследуемом накопителе (подобная позиция специалистов не оспаривается в суде);

4)процесс и результаты исследования. Поскольку в нашей фабуле поставлены преимущественно идентификационные вопросы, то последовательноизлагается исследованиеобоих объектов. В отдельных литературных источниках порядокисследованияизлагаетсядругим образом, болееприближенным к эксперту. Вкачестве таковых выделяют: а) определение системной даты и времени; б) получение доступа к информации, располагающейся на электронном носителе; в) проверку электронного носителя на наличие вредоносных программ; г) определение физического объема жесткого диска, разделов, логической структуры, размеров логических дисков; д) определение установленного аппаратного обеспечения; е) определение установленного программного обеспечения и возможных данных пользователя; ж) восстановление удаленных файлов; з) поиск информации на электронном носителе23.

Особенность СКЭ состоит в том, что исследование как первого, так

ивторого объекта проводится с использованием одинаковых программных продуктов (например, применение возможностей штатных операционных систем для общей характеристики электронных носителей) и методов (например, метод анализа структуры носителя, метод анализа данных). В процессе решения диагностических задач применяются методы, позволяющие установить наличие конкретных частей компьютера, определить их свойства. Например, для установления в системе сетевых адаптеров и определения их аппаратных адресов производился анализ файлов реестра, загрузка системного блока в специальной среде (с отключением жесткого диска исследуемого системного блока).

В завершение фиксируются результаты исследования, которые должны вытекать из вводной (при описании объектов) и исследовательской части. В нашем случае они будут выглядеть следующим образом:

1)файлы с изображениями в конкретном каталоге на флеш-карте и конкретном каталоге на жестком диске были получены при помощи

23 Костин П. В. Исследование машинных носителей информации при расследовании преступлений в сфере экономики : учеб. пособие. Н. Новгород, 2009. 109 с.

103

цифровой фотокамеры “PanasonicDMC-FX8”. Даты создания файлов с изображениямина электронных носителях указаны в соответствующих таблицах;

2)файлы с изображениями в конкретном каталоге на флеш-карте и конкретном каталоге на жестком диске редактировались с использованием программного обеспечения “Adobe Photoshop”. Даты редактирования изображений указаны в соответствующих таблицах;

3)содержимоефайловссовпадающими именамив конкретномкаталоге на флеш-картеи в конкретном каталоге на жестком дискеодинаково.

В выводах эксперта фиксируются ранее обозначенные результаты СКЭ. Каждый результат соответствует поставленному вопросу. Заключение подписывается экспертом. От характера вывода зависит деятельность следователя: необходимость проведения дополнительных мероприятий или однозначное установление обстоятельства, имеющего значение для дела.

В зависимости от содержаниявыводы эксперта могут быть идентификационными и диагностическими.

Идентификационные выводы содержат указание на идентичность представленных на СКЭ объектов. Например, в процессерасследования подделки денежных средств следователь может установить групповой характер преступления. С этой целью он может назначить СКЭ и представитьэксперту:а) электронный носитель(компакт-диск),содержащий файлы с изображением денежных купюр номиналом 500 рублей (изъятый при личном обыске подозреваемого А.); б) электронный носитель (жесткий диск), содержащий файлы с изображением денежных купюр номиналом 500 рублей (изъятый при обыске в квартире подозреваемого Б.). Эксперт может сделать вывод об идентичности изображений, присутствующих на обоих электронных носителях;

Диагностические выводы отражают решение двух задач:

1)отнесение объекта к классу, группе или виду.

Например, в процессе расследования мошенничества в сфере организации и проведения электронных лотерей следователь должен установить механизм обмана потерпевших. С этой целью он может назначить СКЭ и представить эксперту системный блок компьютера мошенников. Эксперт может сделать вывод о возможности получения заведомоопределенногорезультата в зависимостиотначальных условий, втом числе при исключении случайной выборки;

2)установление свойств объекта, в том числе механизма протекания события, явления.

104

Например,впроцессерасследованиянезаконногопредпринимательства следователь может установить порядок перечисления денежных средств, полученных в ходе преступных действий, на счет в банковском учреждении. Дляэтогоон может назначить СКЭ и представить эксперту системный блок компьютера подозреваемого. Эксперт может сделать вывод о наличии на электронном носителе программного обеспечения, используемого для работы в системе «Клиент — банк». Кроме этого, может быть установлен механизм функционирования данной системы, в том числе в процессе перечисления подозреваемым денежных средств на счет в банке.

Взависимости от характера отношений между следствием и его основанием выводы эксперта могут быть условные и безусловные.

Делаяусловныйвывод, эксперт учитываетзависимость междуследствиеми основанием. Например,отвечаяна вопросодатесозданияфайла, эксперт может сделать вывод о том, что «конкретный файл имеет дату создания 10 сентября 2014 г., если настройки системной даты не подвергались модификации» (вывод о дате увязан с фактом модификации настроек системной даты). Таким образом, в случае получения условноговывода эксперта следователь должен провести дополнительные мероприятияпоуточнению условия(внашемслучаецелесообразендопрос пользователя компьютера в целях установления факта внесения изменений им или другим лицом в настройки системной даты).

Безусловный вывод означает признание факта без ограничения ка- кими-либо условиями. Например, эксперт может сделать вывод о том, что в базе данных почтового интернет-приложения на конкретном компьютере зарегистрирован конкретный адрес электронной почты.

Взависимостиотколичествавариантоввыводыэксперта могутбыть однозначными и многозначными (альтернативными).

Однозначный вывод дается тогда, когда эксперт приходит к единственному вариантурешения. Например, экспертможетсделать выводо том, что для сканирования к компьютеру подсоединялся конкретный принтер.

Многозначныйвыводдаетсятогда,когда экспертпредлагаетнесколько вариантов решения. При этом каждый из вариантов исключает другие. Например, эксперт может сделать вывод о том, что для сканированияккомпьютеруподсоединялсяодин изтрехпринтеров — HPLaserJet, Cannon, Xerox.

Учитываяизложенное,полагаем,чтовнастоящий моментотсутствует четкая технология, методология и методика экспертного исследова-

105

ния в рамках СКЭ. В каждом случае проведения СКЭ эксперт адаптирует имеющиеся методические рекомендации и пособия в этой области знаний под конкретную ситуацию или объекты, предоставляемые инициаторомэкспертизы.Приэтомпрактика выработалапоследовательность действий, позволяющую провести экспертизу надлежащего качества. Данные обстоятельства следует учитывать следователю в оценке подобной экспертизы.

106

СПИСОК РЕКОМЕНДУЕМЫХ ИСТОЧНИКОВ

Нормативные правовые акты

1.Конвенцияот 23 ноября 2001 г. «О преступности в сферекомпьютерной информации» [Электронный ресурс]. — Доступ из справ.-пра- вовой системы «КонсультантПлюс».

2.УголовныйкодексРоссийскойФедерацииот13июня1996 г.№ 63ФЗ [Электронный ресурс]. — Доступ изсправ.-правовой системы «КонсультантПлюс».

3.Уголовно-процессуальныйкодексРоссийской Федерацииот18 декабря2001 г. № 174-ФЗ [Электронныйресурс]. — Доступ изсправ.-пра- вовой системы «КонсультантПлюс».

4.Федеральныйзаконот21июля1993 г. № 5485-1«О государственной тайне» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

5.Федеральный закон от 12 августа 1995 г. № 144-ФЗ «Об опера- тивно-розыскной деятельности» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

6.Федеральный закон от 31 мая 2001 г. № 73-ФЗ «О государственной судебно-экспертной деятельности» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

7.Федеральныйзаконот22 мая2003 г.№ 54-ФЗ«Оприменении кон- трольно-кассовой техники при осуществлении наличных денежных расчетов и (или) расчетов с использованием платежных карт» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

8.Федеральный закон от 7 июля2003 г. № 126-ФЗ «О связи» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

9.Федеральныйзакон от 29июля2004 г. № 98-ФЗ «О коммерческой тайне» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

107

10.Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации,информационных технологияхиозащитеинформации»[Электронныйресурс]. —Доступизсправ.-правовой системы«КонсультантПлюс».

11.Федеральный закон от 27 июля 2006 г. №152-ФЗ «О персональных данных» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

12.Федеральный закон от 7 февраля 2011 г. № 3-ФЗ «О полиции» [Электронный ресурс]. — Доступизсправ.-правовой системы«КонсультантПлюс».

13.Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи»[Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

14.Федеральный закон от 28 июля 2012 г. № 143-ФЗ «О внесении изменений в Уголовно-процессуальный кодекс Российской Федерации» [Электронный ресурс]. — Доступизсправ.-правовой системы«КонсультантПлюс».

15.Федеральныйзакон от 5 мая 2014 г. № 97-ФЗ «О внесении изменений в Федеральный закон “Обинформации, информационных технологияхиозащитеинформации” иотдельныезаконодательныеакты Российской Федерации по вопросам упорядочения обмена информацией с использованиеминформационно-телекоммуникационныхсетей»(в ред. от 21 июля 2014 г.) [Электронный ресурс]. — Доступ из справ.-право- вой системы «КонсультантПлюс».

16.УказПрезидентаРоссийскойФедерацииот28июня1993 г.№ 966 «О Концепции правовой информатизации России» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

17.Указ Президента Российской Федерации от 18 апреля 1994 г.

№170 «Об основах государственной политики в сфере информатизации»[Электронный ресурс]. —Доступизсправ.-правовойсистемы«Кон- сультантПлюс».

18.УказПрезидентаРоссийскойФедерацииот6марта1997 г.№ 188 «Об утверждении Перечня сведений конфиденциального характера» [Электронный ресурс]. — Доступизсправ.-правовой системы«КонсультантПлюс».

19.УказПрезидентаРоссийскойФедерацииот17марта1998 г.№ 351 «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

108

20.Постановление Правительства Российской Федерации от28 апреля 2006 г. № 252 «О лицензировании деятельности по изготовлению экземпляроваудиовизуальныхпроизведений, программдляэлектронных вычислительных машин (программ дляЭВМ), базданныхи фонограмм на любых видах носителей (за исключением случаев, если указанная деятельность самостоятельно осуществляется лицами, обладающими праваминаиспользованиеуказанныхобъектовавторскихисмежныхправ

всилу Федерального закона или договора)» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

21.ПостановлениеПравительства Российской Федерации от3 февраля 2012 г. № 79 «О лицензировании деятельности по технической защите конфиденциальной информации (вместе с “Положением о лицензировании деятельности потехнической защите конфиденциальной информации”)» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

22.ПостановлениеПравительства Российской Федерации от3 марта 2012 г. № 171 «О лицензировании деятельности по разработке и производствусредствзащитыконфиденциальнойинформации(вместес“Положением о лицензировании деятельности по разработке и производству средств защиты конфиденциальной информации”)» [Электронныйресурс]. —Доступизсправ.-правовой системы«КонсультантПлюс».

23.Постановление Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

24.Приказ МВД России от 29 июня 2005 г. № 511 «Вопросы организации производства судебных экспертиз в экспертно-криминалисти- ческихподразделениях органоввнутреннихдел РоссийскойФедерации» [Электронный ресурс]. — Доступизсправ.-правовой системы«КонсультантПлюс».

25.ПриказМинюста России от27 декабря2012 г. № 237 «Обутверждении Перечня родов (видов) судебных экспертиз, выполняемых в федеральных бюджетныхсудебно-экспертных учрежденияхМинюста России, и Перечня экспертных специальностей, покоторым предоставляетсяправосамостоятельногопроизводствасудебныхэкспертизвфедеральных бюджетных судебно-экспертных учреждениях Минюста России» [Электронный ресурс]. — Доступизсправ.-правовой системы«КонсультантПлюс».

109

26.Приказ ФСБ России от 23 июня 2011 г. № 277 «Об организации производства судебныхэкспертиз в экспертныхподразделениях органов Федеральной службы безопасности» [Электронный ресурс]. — Доступ из справ.-правовой системы «КонсультантПлюс».

27.Указание Центрального банка Российской Федерации от 24 декабря 2004 г. № 266-П «Положение об эмиссии банковских карт и об операциях,совершаемых сиспользованиемплатежных карт»[Электронныйресурс]. —Доступизсправ.-правовой системы«КонсультантПлюс».

28.ГОСТ 2.051-2013 «Единая система конструкторской документации. Электронные документы. Общие положения» (утв. приказом Федерального агентства по техническомурегулированию и метрологии от 22 ноября 2013 г. № 1628-ст). — Режим доступа: http://standard.gost.ru/wps/ portal/.

Учебная и научная литература, периодические издания

29.Агибалов,В.Ю.Виртуальные следы вкриминалистикеиуголовном процессе : монография / В. Ю. Агибалов. — М. : Юрлитинформ, 2012. — 152 с.

30.Азаров,В. А.Доказывание по уголовным делам об уклонении от уплаты налогов / В. А. Азаров, С. В . Лукашевич. — Омск : Омская академия МВД России, 2009. — 183 с.

31.Андреев, Б. В. Расследование преступлений в сфере компьютернойинформации :учеб.пособие /Б. В. Андреев,П. Н. Пак,В. П. Хорст. — М. : Юрлитинформ, 2001. — 152 с.

32.Архипова, Н. А. Тактические особенности осмотра средств мобильнойсвязи /Н. А. Архипова // Вестниккриминалистики. —2010. —

№3(35). — С. 77–83.

33.Баев,О. Я.Тактикауголовногопреследованияипрофессиональной защитыотнего. Следственная тактика /О. Я. Баев. — М. : Экзамен, 2003. — 432 с.

34.Баев, О. Я. Тактика следственных действий / О. Я. Баев. — М. : Юрлитинформ, 2013. — 456 с.

35.Варданян, А. В. Расследование преступлений в сфере высоких технологий и компьютерной информации : учеб. пособие / А. В. Варданян, Е. В. Никитина. — М. : Юрлитинформ, 2007. — 309 с.

36.Васильев, А. А. Судебная аппаратно-компьютерная экспертиза: правовые, организационные и методические аспекты : автореф. дис. ...

канд. юрид. наук / А. А. Васильев. — М. : Моск. ун-т МВД России, 2003. — 28 с.

110