Тактика следственных действий, направленных на отыскание, обнаружение, изъятие и исследование электронных носителей и информации на них. Учебное пособ

3)мобильный телефон, доработанный на техническом и программном уровнедля осуществления сканированияидентификационных данных (номеров) легальных пользователей (ESN, MIN и др.);

4)средствакомпьютерной техники (накопитель на жестком магнитном диске, лазерные диски, программаторы4);

5)сканирующиетехническиеустройства, мониторымобильнойсвязи,техническиекомплексы(последниепредставляютсобойкомбинацию сканера, компьютера и мобильного телефона).

Названные выше объекты содержат следы совершения преступления, которыемогут быть обнаружены в ходе осмотра электронных носителей информации.

По характеру следы можно разделить на:

1)материальные (следы пальцев, инструментов, микрочастиц на клавиатуре, внутри мобильного телефона, на поверхности компьютера

иего устройствах, съемных электронных носителях информации; установленныекустарным способомдополнительныемикросхемы вмобильный телефон, конструктивно-технические изменения электронных схем мобильного телефона);

2)электронно-цифровые (программное обеспечение, с помощью которого осуществлялось сканирование, декодирование, запись и хранениенеобходимых данных;следы измененияуказанных программ; сообщения телекоммуникационных сервисов SMS; персональные данные абонента в энергонезависимой памяти мобильного телефона).

Осмотрпомещенийс компьютернойтехникой.Входеосмотра сле-

дователь воспринимает общую картину места происшествия; определяет его границы, количество и схемы расположения рабочих мест (в том численаличиеи количествоподключенныхклокальной или глобальной сети компьютеров, вид связи сети); уточняет порядок размещения компьютерного оборудования и места нахождения электронных носителей информации. Основная идея осмотра на этом уровне — зафиксировать объекты,способные участвоватьвэлектронном взаимодействии(например, расположение электрических розеток, наличие кабеля для соединения отдельных компьютеров в локальную сеть и т. д.).

го телефона, с последующим осуществлением звонка за счет собственника перехваченного сигнала. Телефон, содержащий перепрограммированный номер, называется клонированным телефоном (речь, например, идет о преступлении, предусмотренном ст. 159 УК РФ).

4 Программатор — аппаратно-программное устройство, предназначенное для записи и (или) считывания информации в постоянное запоминающее устройство компьютера.

21

Тактические приемы, используемые в ходе статического и динамическогоосмотра,реализуютсяневотношениивсегоместапроисшествия, а лишь относительно узла (отдельного персонального компьютера), который вначале изучается статически, а затем динамически.

По завершении осмотра компьютеров, входящих в сеть, производится осмотр помещения. При осмотре кабельных соединений локальной сети нужно убедиться в их целостности на всем протяжении, отсутствии следов подключений нештатной аппаратуры.

При осмотре рекомендуется обратить внимание на: 1) место расположения осматриваемого помещения в здании организации; 2) наличие

исостояние охранной сигнализации; 3) микроклиматические условия эксплуатации компьютера на момент осмотра (температура, влажность воздуха).

Осмотр рабочих мест, оснащенных персональными компьютера-

ми. При осмотре названных рабочих мест представляют интерес: 1) отдельные компьютеры, не подключенные к локальной сети организации или сети Интернет; 2) компьютеры, подключенные к локальной сети организации или сети Интернет; 3) главный компьютер локальной сети (сервер); 4) сетевые линии связи; 5) соединительныекабели;6) периферийные устройства (принтеры; модемы; сканеры и т. п.).

Входеосмотра компьютеров (независимо от факта их подключения клокальной сети или сети Интернет) необходимо обратить внимание на такие моменты, как:

1) местонахождение компьютера и его периферийных устройств (печатающего устройства, дисплея, клавиатуры, дисководов и пр.), их характеристики;

2) факт и механизм соединения между собой вышеуказанных устройств;

3) факти механизм подключения компьютера к локальной сети или сети Интернет;

4) характеристика переключателей на блоках и устройствах компьютерной техники и индикаторных ламп на корпусе устройства;

5) содержание информации, высвечиваемой на мониторе компьютера, и световых сигналов на различных его индикаторах;

6) состояние кабельных соединений (их целостность и отсутствие следов подключения нештатной аппаратуры);

7) наличие и содержание всех пометок, специальных знаков, пломб

инаклеек на корпусах и устройствах компьютерной техники;

22

8)наличиеи характеристика механических повреждений на компьютерной технике;

9)наличиеи характеристикавнутрикомпьютерной техникинештатной аппаратуры и различных устройств;

10)наличие и характеристика следов нарушенияаппаратной системызащитыинформации идругиепризнакивоздействиянавычислительную технику;

11)наличиеи характеристика электронных носителейинформации. Кроме того, если речь идет о работающем компьютере, необходимо

обратить внимание на факт выполнения в момент осмотра какой-либо программы (ее характеристику).

Говоря о фиксации результатов осмотра места происшествия, мы имеем в видудокументальное отражениев установленной законом форме всего обнаруженного на месте происшествия, описание произведенных в ходе осмотра действий, запечатление как общей картины обстановки происшествия, так и свойств, состояния и признаков отдельных элементов места происшествия.

Основнымметодомфиксации ходаирезультатовосмотра местапроисшествияявляетсяописаниеобстоятельств, выявленных при производстведанногоследственного действияи существенных для дела, в протоколе (составляемом в соответствии с требованиями ст. ст. 166, 167 и 180 УПК РФ).

Во вводной части протокола осмотра места происшествия указываются: место составления протокола и дата производства осмотра; время начала и окончания осмотра с точностью до минуты; классный чин или звание, фамилияи инициалы лица, составляющегопротокол; основание производства осмотра (сообщение о происшествии с указанием, от кого, когда и о чем получено); фамилия, имя и отчество каждого лица, участвовавшего в осмотре; место жительства понятых (при наличии); в соответствии с какими статьями (частями статей) УПК РФ производится осмотр; факт разъяснения прав, ответственности, а также порядка производства осмотра места происшествия участвующим лицам; какие и кем именно технические средства будут применяться, с указанием их индивидуальных признаков (тип, марка, название, маркировочный номер компьютера — при наличии); сведения о съемном электронном носителе информации — при наличии; сведения о программном обеспечении (тип, название, версия, производитель, разработчик, данные регистрации: пользователь, организация, номер продукта или его аналог); в каких условиях производится осмотр (погода, освещенность).

23

В описательной части протокола необходимо зафиксировать следующее:

1)расположение места происшествия; его границы, общую характеристику (адрес, назначение здания, число этажей и т. д.), описание путей, ведущих к месту происшествия, входов и выходов;

2)месторасположение осматриваемого помещения в здании, наличиеохранной сигнализации(указываютсяосновныетехническиехарактеристики), состояние оконных или дверных проемов (повреждения, техническое состояние), запорных устройств, экранирующих средств защиты5; микроклиматические условия, существующие на момент осмотра (температура, влажность воздуха), расположение и основные характеристики токонесущих коммуникаций;

3)расположение компьютера и периферийного оборудования в осматриваемом помещении относительно друг друга и других электротехнических устройств, их положение на плане-схеме помещения;

4)тип (назначение), конфигурацию6, название каждого конкретного блока, входящего в состав осматриваемого средства компьютерной техники,инвентарныйномер,присвоенныйбухгалтериейприпостановке оборудования на баланс предприятия, а также цвет, форму, размер, серийныйномериинуюинформациюна заводскомярлыке;наличиеирасположениеспециальныхзнаков,фирменныхнаклеек,этикетоксоштрихкодами, механических повреждений;

5)порядок и особенности соединения между собой всех устройств (с указанием типа (назначения), цвета, количества, размеров и иных индивидуальных признаков соединительных и электропитающих проводов, кабелей, разъемов; может дополняться фото- и видеосъемкой);

6)наличие или отсутствие линий связи для работы средства компьютерной техники в сети; телекоммуникационных линий; используемая

вэтих целях аппаратура, абонентский номер телефонной связи с провайдером7 сетевых услуг;

5Речь идет о физическом уровне защиты места нахождения компьютеров (выделяют также виртуальный способ защиты).

6Конфигурация компьютера — устройство или состав оборудования персонального компьютера. Имеются в виду такие основные части, как материнская плата, процессор, память, блок питания. Кроме того, выделяют дополнительные части: жесткий диск, звуковую плату.

7Провайдер сетевых услуг (интернет-провайдер, провайдер) — организация, предоставляющая услуги доступа к Интернету и иные связанные с Интернетом услуги.

24

7)наличие и техническое состояние заземления средства компьютерной техники;

8)обнаруженные на средствах компьютерной техники следы или повреждения, с указанием их локализации, размеров, каким способом они были сфотографированы, кем и с каких следов снимались копии, делались оттиски и т. д.;

9)не предусмотренные стандартом конструктивные изменения в архитектуре (составе) персонального компьютера, устройств (частей, блоков); подключенные к средствам компьютерной техники сторонние технические устройства;

10)наличие или отсутствие защиты персонального компьютера от несанкционированного доступа, тип средств (организационные, аппаратные, программные);

11)при осмотре группы компьютеров, соединенных в локальную сеть, следует указать количество серверов и подключенных к ним рабочих станций; расположение рабочих мест, способ соединения средств компьютерной техники друг с другом, расположение розеток подключения к сети;

12)факт включенияили выключения средств компьютерной техники на момент осмотра; если компьютер включен, детально отражается изображение на экране (дисплее) (окна каких программ и документов открыты, дата и текущее время и т. д.).

В случае необходимости после вскрытия корпуса системного блока

впротоколе указывают месторасположение электронных плат на материнскойплате, наличиевнутринештатнойаппаратуры (например,«жучков», передающих информацию дистанционно; дополнительных устройств,несанкционированноустановленных накомпьютерорганизации без согласия администрации);

13)последовательностьманипуляций,произведенных сустройствами в процессе осмотра средства компьютерной техники в целях поиска интересующей следствие информации, вплоть до перечисления нажимавшихся клавиш периферийных устройств и полученные результаты;

14)подробноеописаниенестандартных проявлений впроцессезагрузки операционной системы, реакции на ввод команд с клавиатуры и на других этапах работы компьютера;

15)наименование, условия и порядок использования аппаратных и программных средств, применяемых специалистами для обнаружения, исследования и изъятия следов преступлений, отметка о том, что указанные средства перед их применением в присутствии понятых были

25

тестированы на предмет отсутствия в них вредоносных программ и закладок, перечень персональных компьютеров, в которых применялись данные средства, полученные результаты;

16) описание обнаруженных электронных носителей (данное описание изложено в третьем вопросе параграфа; напоминаем, что подробная фиксация индивидуальных признаков электронных носителей информации может иметь место в рамках самостоятельного следственного действия — осмотра предметов и документов).

В заключительной части протокола осмотра места происшествия указываются:

1)факт производства фотосъемки, видео-, аудиозаписи, перечень объектов, в отношении которых выполнены соответствующие действия (с уточнением частей объектов, которые фотографировались);

2)последовательность выключения средств компьютерной техники, их отключения от электропитания и разъединения (если оно осуществлялось), особенности маркировки соединительных проводов и кабелей перед разъединением;

3)наименование предметов, которые были изъяты с места происшествия, способ их упаковки, содержание и место пояснительных надписей на упаковке, характеристика печати (указывается полный текст оттиска печати), место направления и лицо, которому они переданы на хранение;

4)если в процессе осмотра было выполнено копирование информации,какиефайлы(ихименаитипы)илипрограммы,какимобразомбыли скопированы, откуда и куда (электронные носители информации, с которых и на которыескопирована информация, их упаковка), время начала и окончаниякопирования,количествокопийикомуонивручены,марку(тип) использованного принтера (для распечаток компьютерной информации);

5)наличие и характеристика приложений к протоколу осмотра местапроисшествия(планы,схемыместапроисшествия, фототаблицы,распечатки компьютерной информации и т. д.); фиксация о поступлении заявлений от участников осмотра, если были заявления, то какие; факт ознакомления участников осмотра с протоколом, содержание поступивших замечаний на протокол либо указание на их отсутствие.

Протокол подписывается следователем и лицами, участвовавшими

восмотре места происшествия.

Помимо протокольного способа фиксации, применяются дополнительные способы отражения хода и результатов осмотра места происшествия. Например, используется видео- и фотосъемка. При этом сна-

26

чала следует запечатлеть общий видздания, помещения, где расположены средства компьютерной техники. Затем по правилам узловой фотосъемки зафиксировать отдельные компьютеры и подключенныек ним устройства. В случае вскрытия системного блока, используя детальную съемку, необходимо сфотографировать его отдельныеузлы, особенно те, которые, согласно инструкции по эксплуатации, не должны устанавливатьсяна платах и в корпусе системногоблока (эти данныеможнополучить, проконсультировавшись со специалистом).

Одновременно осуществляется видеосъемка крупным планом всех действий следователя и специалистов по работе со средствами компьютерной техники. Происходящие события в процессе видеозаписи подробно «проговариваются» следователем или специалистом.

Целесообразно составление планов или схем осматриваемых помещений с обозначением на них мест:

1)расположения персональных компьютеров и периферийных устройств (порядка их соединения);

2)обнаружения электронных носителей информации;

3)следов, имеющих значение для дела.

Входеосмотра места происшествиявозникает необходимостьизъятия объектов, имеющих значение для дела (содержащих электронные носители; электронных носителей; информации, присутствующей на электронных носителях).

Для изъятия объектов, содержащих электронные носители, необходимо:

1) завершить работу компьютерной системы.

Если шла работа с документом (например, в программе текстового редактора), и он может иметь значение для расследования уголовного дела, то выход из программы осуществляется только после сохранения документа в отдельном файлесдругим именем на жестком диске или на дискете, чтобы остался исходный, существовавший в начале работы вариант документа.

Если правильное завершение работы операционной системы компьютера невозможно (программа или система «зависла», перезагрузка не удается), обязательно согласовать со специалистом, не повредит ли аварийное завершение файловую систему компьютера при простом отключении компьютера от сети;

2) выключитьэлектропитаниекомпьютера(компьютернойсистемы). Решение о выключении электропитания принимается с участием специалиста по результатам осмотра. Так, обычно нежелательно вык-

27

лючать ЭВМтипа «мейнфрейм»илисервер,который поддерживаетважные операции (например, обеспечение связи рабочих станций с базами данных на сервере). Если принимаетсярешение выключить компьютер, надо предпринять шаги, чтобы, по возможности, сохранить данные из оперативной памяти перед выключением.

В процессе изъятия мобильного телефона не рекомендуется его отключать, так как в будущем, при его включении, может запрашиваться код блокировки телефона;

3)промаркировать устройства компьютера перед тем, как их отсоединить и изъять;наклеить специальныелипкиелисты или ленты в местах подсоединения к кабелю, с указанием даты и подписями следователя, специалиста, понятых и владельца (пользователя) данных аппаратных средств (рекомендуется помечать устройства, соединенныес одним центральным процессором, одним номером). При этом каждый незанятый порт следует маркировать как «свободный», что позволит в будущем ответить на вопрос, был ли непомеченный порт действительно незанятым или просто утерян кабель;

4)отсоединить всекабели, предварительно зафиксировавих положение (фото-, видеосъемка). Всекабели, которые соединяют изымаемые устройства компьютера, также маркируются с обоих концов и изымаются;

5)на длиннойполосе бумаги необходимопоставить подписи следователя, специалиста, понятых, представителей персонала или администрации и номер компьютера. Такие полосы следует наложить на разъемы для подключения питания, а также на кнопки сетевого включения. Сверху нужно наклеить в несколько оборотов липкую ленту (прозрачный «скотч»). Липкой лентой с подписями участников осмотра пломбируются все имеющиеся разъемы и кнопки, с тем чтобы исключить возможность включения компьютера и его устройств без нарушения пломбирования. При опечатывании компьютеров не следует пользоваться жидким клеем или другими веществами, которые могут испортить техническое средство.

Такой же бумажной полосой нужно опечатать крышку корпуса системного блока таким образом, чтобы исключить возможность доступа к внутренним элементам системного блока без нарушения ее целостности.

Кроме указанного способа, в следственной практике используется другой способ опечатывания системного блока, а именно: он помещается в полиэтиленовый пакет и далееопечатываетсяуже сам пакет(доступа не будет ни к разъемам, ни к кнопкам, ни к корпусу; преимущественный способ упаковки, рекомендуется экспертами);

28

6)опломбироватькорпусаппаратногоустройстватак, чтобыисключить возможность его вскрытия;

7)разъединить устройства компьютера и упаковать его части раздельно, с указанием на упаковке съемных электронных носителей и места их обнаружения (разъединение рекомендуется начать с периферийных устройств);

8)производить упаковку и последующий вывоз (транспортировку) изъятого оборудования и электронных носителей с учетом рекомендаций изготовителя, указанных в инструкциях по эксплуатации, и мер по обеспечению сохранности, предусмотренных для компьютерной техники.

Изъятие компьютерных средств должно производиться за один раз (при отсутствии транспорта следует организовать охрану изъятого оборудования в специальном помещении). Недопустимо предоставление части изъятых средств и электронных носителей в распоряжение организации по причинам «производственной необходимости» (в процессе работы могут быть внесены изменения в файлы информации или программы, что может повлечь за собой повреждение или уничтожение имеющейся компьютерной информации).

При составлении протокола в нем необходимо указать серийные номера всех изымаемых блоков и их балансовые номера (по документациибухгалтериипредприятия), еслитаковыеимеются. Если номераполностью отсутствуют, следует подробно описать каждый блок в соответствии сего индивидуальными признаками.

Средства компьютерной техники и соединительные кабели упаковывают таким образом, чтобы не допустить их повреждения при транспортировке (желательно в тару, вкоторой они были приобретены владельцем

упредприятия-изготовителя, либо в тару, подходящую по размеру).

При перевозке средств компьютерной техники важно исключить их механические повреждения и взаимодействие с химически активными веществами, не допустить магнитного воздействия как на компьютеры, так и на электронные носители информации (это может привести к порчеили уничтожению информации путем размагничивания). Особое внимание следует уделить предохранению изъятых объектов от воздействия магнитосодержащих средств криминалистической техники (например, магнитных подъемников, магнитных кисточек для выявления следов рук и пр.).

При размещении изъятых объектов на хранение нужно соблюдать установленные правила хранения и складирования электронных технических средств. Так, не рекомендуется ставить системные блоки ком-

29

пьютеров в штабель выше трех штук, а также устанавливать их на ка- кие-либо другие вещи. Помещение для хранения должно быть отапливаемым. В нем должны быть проведены истребительные мероприятия против грызунов8 (необходимо уточнить у материально-ответственного лица). Кроме того, категорически не рекомендуется курить, принимать пищу и содержать животных в помещениях, предназначенных для хранения компьютерной техники и электронных носителей информации.

Изымать всю компьютерную систему (системный блок) и все периферийные устройства (клавиатуру, монитор)далеко невсегда обязательно. Эти устройства взаимодействуют между собой, но каждый компонент системы выполняет определенную функцию; они не все хранят информацию и поэтому могут работать и быть исследованными независимо. Внекоторых случаях по согласованию со специалистом изымаютсятолько устройства, соответствующиенаправлению исследования, или даже только жесткий диск из системного блока (подключив другой жесткий диск, организация может продолжить работу).

Здесь же заметим, что само отсутствие на электронном носителе (жестком диске, флеш-карте) файлов не означает, что данный носитель не стоит изымать. Существуют программы, позволяющие восстановить удаленную информацию, поэтому изъятие носителей и последующее предоставление их на судебную экспертизу может способствовать установлению обстоятельств, имеющих значение для уголовного дела.

Изъятие компьютеров рекомендуется лишь для следующих случаев:

1)непосредственно компьютер должен быть объектом экспертного исследования;

2)на компьютере установлено уникальное аппаратное или программное обеспечение, в отсутствие которого не удастся получить доступ к интересующей информации;

3)организацией или владельцем не предоставлены пароли, коды доступа к компьютеру, отдельным папкам, файлам на диске;

4)на месте осмотра не удалось в полном объеме провести изучение содержания файлов, есть основание считать, что часть информации на дисках скрыта или зашифрована;

8 О мерах по борьбе с грызунами и профилактике природно-очаговых, особо опасных инфекционных заболеваний вРоссийской Федерации : постановление ГлавногогосударственногосанитарноговрачаРоссийской Федерацииот29 августа 2006 г. № 27 // Бюллетень нормативных актов федеральных органов исполнительной власти. 2006. № 37.

30