Тактика следственных действий, направленных на отыскание, обнаружение, изъятие и исследование электронных носителей и информации на них. Учебное пособ
.pdfОдновременно принимаются меры по охране обыскиваемого места,
всвязи с чем целесообразно организовать охрану следующих объектов:
1)обыскиваемых площадей по периметру;
2)места нахождения, в том числе хранения средств компьютерной техникии(или)электронныхносителейинформации,атакжеиныхобъектов, имеющих значение для проведения обыска (например, места хранения средств защиты от несанкционированного доступа или паролей);
3)пункты (пульты) связи, охраны и электропитания, расположенные в месте обыска.
На рабочем этапе обыска (выемки) следователь должен прояв-
лять активность и последовательность в своих действиях. Активность подразумевает:
1)организационные усилия следователя (расстановка участников поиска, координация действий поисковых групп и др.);
2)незамедлительнуюреакциюследователянапроисходящее(например, в случае попытки выключения электроэнергии в месте проведения обыска следователь должен пресечь действия лица, поместить егов специально отведенное место, дать указание специалисту на проверку результатов противодействия);
3)своевременное принятие следователем решения в интересах расследования (например, на отказ обыскиваемого лица отдать искомый объектследователь должен объяснить лицу процедуруобыска либопринять меры к принудительному изъятию объекта);
4)общий контроль деятельности специалиста (следователь должен обратить внимание специалиста на последовательность поиска и изъятия, отслеживать его действия и др.).
Последовательность —действияпоисковой группы последующей схеме «осуществление поиска — обнаружение искомого объекта — обращение внимания понятых (если в поиске не участвует специалист — получение его содействия) — изъятие искомых объектов — помещение изъятых объектов в заранее отведенное место».
Рабочий этап обыска можно подразделить на обзорную и детальную (поисковую) стадии.
В рамках обзорной стадии обыска следователь принимает меры к:
1)установлению и отключению специальных средств защиты информации и средств компьютерной техники от несанкционированного доступа, а также установлению пароля, кода санкционированного доступа и ключа шифрования-дешифрования информации;
61
2)установлениюсвязи междусредствами компьютерной техники и каналами электросвязи по схемам: «компьютер — компьютер», «компьютер — сервер», «компьютер — периферийное устройство», «компьютер — канал электросвязи24», «компьютер — средство электросвязи25», «периферийное устройство — канал электросвязи»26;
3)установлению средств компьютерной техники, находящихся во включенном состоянии, фиксирует с помощью специалиста характер выполняемых операций и используемые для этого программы.
Деятельность следователя на детальной стадии зависит от вида поиска.
В зависимости от объема обыскиваемых объектов поиск может быть последовательным (движение поисковой группы от одного объекта к другому; обследуются все объекты, находящиеся в месте обыска) и выборочным (обследуются места наиболее вероятного нахождения искомых объектов).
В течение 2002 г. на территории г. Воронежа К. и О. по предварительному сговору, направленному на неправомерный доступ к компьютерной информации организации, оказывающей услуги сотовой связи, скачали с помощью сети Интернет специальные программы и незаконно изготавливали телефоны-двойники (из заранее приготовленных сотовых телефонов). Способ изготовления — изменение электронных серийныхномеров(ESN) имобильныхизбирательныхномеров (MIN),запрограммированныхв памяти приготовленныхтелефонов, на ESN и MIN телефонов, официально подключенных к сети организации. В процессе осуществленияоперативно-розыскной деятельности (ОРМ «проверочная закупка») были задокументированыпреступныедействияК. и О. Подан-
24Канал электросвязи — совокупность технических устройств, обеспечивающих передачу сообщений любого вида от отправителя к получателю с помощью электрических сигналов или радиосигналов. Выделяют такие каналы электросвязи, как телефонные, телевизионные, проводного или радиовещания и т. д.
25Средство электросвязи — устройство, обеспечивающее передачу сигнала по каналам электросвязи (например, модем, роутер, коммутатор СВИЧ).
26Установление этих цепочек может влиять на определение или уточнение тактики обыска. Например, при наличии схемы «компьютер — сервер» в первую очередь обыску должен быть подвергнут сервер. Ведь именно сервер хранит в своей оперативной и постоянной памяти наибольшую часть компьютерной информации,
атакже управляет другими ЭВМ локальной сети. Кроме этого, целесообразно по согласованию со специалистом отключить на программном или аппаратном уровне локальную сеть от технических устройств, находящихся за периметром обыскиваемой зоны (в целях недопущения уничтожения информации).
62
номуфакту быловозбуждено уголовное дело по ст. 272 УКРФ, в рамках которогобыл проведен обыскпоместу проживанияО.Учитываянебольшой размер аппаратов мобильной связи и оптических дисков со специальными программами, а равно возможность применения приборов кустарного производства, целесообразно было проводить последователь-
ный поиск27.
Другой пример. В период 2006 г. З., являясь директором общества с ограниченной ответственностью, имея умысел на уклонение от уплаты налога на добавленную стоимость, включил в налоговую декларацию заведомо ложные сведения (г. Омск). В процессе расследования следователем была получена информация отом, чтобухгалтерское сопровождение деятельности организации осуществлялось Б. Причем Б. для ведения бухгалтерского учета использовала личный ноутбук. Следователь принял решение о проведении обыска по месту проживания Б. с целью отыскания ноутбука. В этом случае, учитывая характеристику искомого объекта, целесообразно было проводить выборочный поиск28.
Взависимости от направления движения поисковых групп поиск может быть встречный (поисковые группы движутся навстречу друг другу) и параллельный (поисковые группы движутся параллельнодруг другу, например, осуществляют поиск в разных помещениях или его частях).
Параллельный поиск целесообразно проводить в ситуации, когда обыск проводится в помещении, в котором находятся несколько персональных компьютеров и серверный компьютер. Здесь одна поисковая группаможетобыскивать отдельностоящиеЭВМ,другаяпоисковаягруппа — серверный компьютер.
Встречныйпоискцелесообразнопроводить в ситуации,когдаобыск проводится, например, в помещении, где рабочие места с персональными ЭВМ расположены вдоль стен. В этом случае двегруппы производят поиск, двигаясь навстречу друг другу.
Взависимости от нарушенияцелостностипоискможет быть про-
веден с нарушением целостности объектов либо без такового. Например, если в процессе обыска системный блок имеет аппарат-
ную защиту от несанкционированного доступа (замок на крышке системного блока и др.) и следователь принял решение отыскать и изъять жесткий диск, то здесь будет проведен поиск с нарушением целостнос-
27Материалы СЧ по РОПД ГСУ при ГУВД Воронежской области. 2003.
28Материалы ОРНП СЧ по РОПД при УВД Омской области. 2008.
63
ти объекта. В случае же обследования памяти жесткого диска (с применением специальных программ) не нарушается целостность чего-либо.
Втеории криминалистическойтактики в качестветактическихприемовтакжевыделяютсовместныйи раздельныйпоиск.Впервомслучае следователь и специалист действуют совместно, с разделением функций: следователь берет на себя организационно-тактическую сторону, специалист — техническую (например, исследование памяти жесткого диска ЭВМ). Во втором случае каждый из названных участников действуетотдельно друготдруга.Считаем, чтов процессепроведенияобыска в связи с обнаружением (возможностью обнаружения) электронных носителей информации, в силу специфики работы ЭВМ, их сети и хранения информации в электронной форме, всегда должен применяться совместныйпоиск.
Помимо этого, для отыскания мест нахождения объектов, в том числезамаскированных, следователь можетприменить такиетактическиеприемы,как «наблюдениеза реакцией обыскиваемого лица», «сравнение однородных объектов», «обыск с использованием специальных приборов».
Наблюдение за реакциейобыскиваемого лица и других присутствующихпозволяет определитьнужноенаправление поиска.Ранеемыприводили пример, когда К. и О. по предварительному сговору, направленному на неправомерный доступ к компьютерной информации организации, оказывающей услуги сотовой связи, незаконно изготавливали теле- фоны-двойники(иззаранееприисканныхсотовыхтелефонов;г. Воронеж). По уголовному делу был проведен обыск по месту проживания О.
Входе обыска было обнаружено большое количество мобильных телефонов,CD-дисков, дискетдлякомпьютера, различныесоединительные кабели, инструменты для выполнения электромонтажных работ, листы с записями О., его записные книжки, листы с принципиальными электрическими схемами программатора, руководство пользователя PICPROG. Одновременно следователь обратил внимание на поведение матери О., которая пыталась спрятать школьный рюкзак сестры О.
Вданном рюкзаке были обнаружены: жесткий диск, тетрадь с записями О., самодельный электронный прибор и 8 электрических шнуров для подключения к прибору мобильных телефонов.
Сравнение однородных объектов позволяет установить изменения объекта, не свойственные его стандартным характеристикам. Так, серверный компьютер может быть помещен в ниши стены. Визуальное обследование двух стен, их сравнение между собой даст возможность об-
64
наружить тайник и изъять оттуда сервер. Дополнительно отметим, что рассматриваемый тактический прием целесообразно применять при обследовании внутренней части системного блока, при этом сравнивать нужнообыскиваемый системный блок и образстандартногосистемного блока, имеющегося в специальной литературе или на полках магазина.
Обыск с использованием специальных приборов позволяет прони-
кать в небольшие полости с целью отыскания тайников. Здесь могут применяться, например, оптические видеокамеры по типу видеозонда. Однако следователь должен знать, что нельзя использовать специальную поисковую и досмотровую технику, одним из элементов которой являетсяисточникэлектромагнитныхилимагнитных излучений(металлодетекторы, магнитоподъемники, электронные стетоскопы, рентгеновские установки и т. д.).
Проблемным вопросом, могущим возникнуть в ходе проведения обыска по рассматриваемой категории дел, является допустимость осуществленияпоисковых действий воперационнойсистемеЭВМ,находящейся в другом месте. Речь идет о допустимости проведения дистанционногообыскаприналичиив обыскиваемом местеподключенного«удаленного рабочего места».
Во-первых, функционированиеудаленногорабочегоместа обусловлено наличием как минимум двух персональных компьютеров, один из которых выполняет функции администратора (наблюдение и (или) управлениеуправляемой ЭВМ),другой —управляемой ЭВМ.Возможность проведения дистанционного обыска появляется тогда, когда компьютер администратора действует в режиме управления29, т. е. администратор может управлять клавиатурой и мышью удаленного компьютера, копировать файлы и т. д.
Во-вторых, работа удаленногорабочего места возможна спомощью специального программного продукта, установленного на обоих компьютерах. Например, программа Anyplace Control состоит из двух модулей, один из которых устанавливается на управляемой ЭВМ (модуль “Host”), другой — на компьютере администратора (модуль “Admin”). Следователь должен первоначально обнаружить данные программы, диагностировать их состояние(установленоили нет). Этообстоятельство предполагает использование следователем помощи специалиста в области программного обеспечения удаленного рабочего места.
29 Режим наблюдения позволяет просматривать удаленный рабочий стол, без возможности контроля над ним. Этот режим позволяет видеть, что происходит на удаленном персональном компьютере, в том числе действия «удаленного» пользователя.
65
Таким образом, при наличии в обыскиваемом месте компьютера, действующего в качестве администратора в режиме удаленного доступа, и компетентного специалиста следователь имеет возможность проводить дистанционный обыск. Вместе с тем для окончательного решения проблемы дистанционного обыска остается ответить на один вопрос: разрешает ли УПК РФ проведение дистанционного обыска?
Положения уголовно-процессуального законодательства однозначно не будут нарушены в ситуации, когда следователь, имея на руках информацию о работе персонального компьютера в режиме удаленного рабочего места (в предполагаемом месте обыска), заранее получил решение суда о проведении обыска в помещении, где установлена управляемая ЭВМ. Но это — скорее идеальная ситуация.
Вывод о соответствии закону также должен быть положительным, если следователь произвел обыск в порядке ч. 5 ст. 165 УПК РФ. Согласно данной норме в исключительных случаях, когда производство обыска и выемки в жилище не терпит отлагательства, указанные следственные действия могут быть произведены на основании постановления следователя без получения судебного решения с последующим уведомлением судьи в течение 24 часов. Действительно, в ходе обыска (в частности, обследования персонального компьютера) в помещении, где расположен компьютер администратора, следователь может обнаружитьпрограмму, свидетельствующую оналичииудаленного места.Учитывая характер преступного события и личность обыскиваемого, следователь может принять решение об обследовании управляемого компьютера для отыскания и изъятия информации, имеющей значение для уголовного дела.
Однако есть ли у следователя обязанность получать решение суда о проведении обыска в ситуации, когда речь идет о поиске в компьютере, функционирующем в режиме удаленного доступа?
В соответствии с ч. 2 ст. 182 УПК РФ обыск, по общему правилу, производитсяна основании постановления следователя. Исключение из этогоправила предусмотреновч. 3этой жестатьиприменительнокпроведению обыска в жилище. Дополнительноеисключениеимеетсятакже для проведения обыска в банках и иных кредитных организациях для изъятия предметов и документов, содержащих информацию о вкладах и счетах (системное рассмотрение УПК РФ, определение Конституционного Суда РФ от 19 января 2005 г. № 10-О). При этом получение санкции суда обусловлено тем, что проникновение в жилище без получения согласия проживающего в нем лица нарушает конституционное право
66
нанеприкосновенность жилища.Вситуации,когда следователь,используя режим удаленного рабочегоместа, осуществляет поиск информации на управляемом компьютере, отсутствует проникновение в жилище ка- кого-либо лица. Действия проводятся исключительно в управляемой ЭВМ. Причем доступ в указанную ЭВМ осуществляется с согласия пользователя, в противном случаеустановка специальногопрограммного обеспечения невозможна. Конечно, установка данного программного продуктавозможнав случае,когдаЭВМявляетсячастьюлокальнойсети. Здесь администратор сети самостоятельно принимает решение о начале и правилах функционирования удаленного рабочего места. Но в этой ситуации нет необходимости получать решение суда, так как поиск в управляемомкомпьютере производитсяпосогласию полномочноголица (например, руководителя организации) либо в рамках уже полученного решения суда.
Таким образом, проведение дистанционного обыска возможно в рамках уже полученного согласия обыскиваемого лица (либо решения суда) и не требует соблюдения дополнительных процедур.
Применительно к выемке заметим, что ее содержание не предполагает действий по отысканию объектов, в связи с чем выемка электронных носителейпредставляетсобойнетактику,а,скорее,технологию.Есть конкретные сведения о предмете и месте его нахождения, следователь должен получить доступ к этому месту и изъять предмет. При этом если изъятие предмета невозможно в силу противодействия, например, владельца вещи, то следователь может применить принуждение для изъятия объекта.
Фиксация обыска и выемки. Фиксация факта, хода, содержания и результатовобыскаи выемки поуголовным делам, гдефигурируютэлектронные носители, производится по общим правилам, установленным уголовно-процессуальным законодательством.
Влюбом случае составляется протокол с соблюдением требований, изложенных в ст. 166 УПК РФ. В протоколе фиксируются сведения об объектах, обнаруженных и изъятых в ходе обыска и выемки (электронных носителях, информации в электронной форме и иных объектов, дающих основания для выдвижения версий о наличии и месте нахождения названных носителей и информации).
Впротоколе обыска, в отличие от протокола осмотра, отсутствует обязательность фиксации подробных сведений об изъятом объекте, так как вдальнейшем можнобудетвосполнить эти данныепутем проведения осмотра предметов и документов. В остальном обнаруженные и изъятые объекты описываются по правилам, ранее обозначенным для осмотра.
67
Дополнительноможнооформитьсхемуобнаруженияискомых(изъятых) объектов и приложить фотоснимки, в том числе сделанные с применением специальных сканирующих программ. При этом отсутствует необходимостьвдетальном вычерчиваниивсегоместаобыска (схемрасположения средств компьютерной техники, каналов и средств связи, инженерно-техническихкоммуникаций и т. д.).
Взавершениеотметим, чтообыск и выемкапо уголовным делам, по которым фигурируютэлектронные носители информации, проводится с учетом положений УПК РФ и общих криминалистических рекомендаций(активность, последовательность и т. д.).Приэтом тактикадействий следователяможетотличатьсяв томчислеиз-завида следственногодействия — обыска или выемки.
Вместес тем имеются особенности реализации этих рекомендаций, в частности, применения тактических приемов (например, нецелесообразность применения раздельного приема поиска; недопустимость использованиятехнических средств, одним из элементов которой является источник электромагнитных или магнитных излучений).
68
ГЛАВА II. НАЗНАЧЕНИЕ И ПРОИЗВОДСТВО СУДЕБНОЙ КОМПЬЮТЕРНОЙ ЭКСПЕРТИЗЫ
§ 1. Назначение судебной компьютерной экспертизы
Потребность в проведении компьютерных экспертиз у правоохранительных органов возникла в середине 90-х гг. XX в. в связи с массовой компьютеризацией, начавшейся в России, которая способствовала активному развитию рынка компьютеров и программного обеспечения, повышению профессиональной подготовки пользователей, увеличению потребностей организаций в совершенствовании технологий обработки цифровых данных.
Назначение (производство) судебной компьютерной экспертизы1 (далее — СКЭ) входит в систему судебных экспертиз, проводимых по уголовным делам,основываетсянаобщих закономерностях, равнокаки имеет свои особенности (объекты, методы и т. д.). Важно отметить, что при подготовке и назначении СКЭ нередковозникаютзатруднения какв определении вида назначаемой экспертизы, формулировании выносимых на разрешение эксперта вопросов, так и в оформлении направляемых на экспертизу материалов.
В основу понимания СКЭ положены признаки судебной экспертизы: 1) исследовательский характер экспертизы; 2) проведение экспертизы специальным субъектом — экспертом, специалистом; 3) установленный законом порядок проведения экспертизы; 4) назначение экспертизы; 5) результат экспертизы — дача заключения.
Такимобразом, судебнаякомпьютерная экспертиза —проводимое экспертом (специалистом) в установленном уголовно-процессуальным законодательствомпорядкесамостоятельное исследованиеинформации,
1 Заметим, что в органах внутренних дел, согласно ведомственным нормативным актам, проводится компьютерная экспертиза. Фактически можно вести речь о синонимичном употреблении терминов «СКЭ» и «компьютерная экспертиза» (в рамках данного пособия).
69
зафиксированной в электронной форме, а также технических средств и программного обеспечения компьютерной системы, в целях дачи заключения по фактам, имеющим значение для уголовного дела.
Судебнаякомпьютернаяэкспертизавключенав общуюклассификацию судебных экспертиз. При этом в настоящий момент ее относят к классу инженерно-технических экспертиз (наряду со взрывотехнической, строительно-технической идругимиэкспертизами).Выводнеокончательный, ведь развитие технологий может привести к выделению но- вогосамостоятельногоклассаинформационно-технологическихсудебных экспертиз;в данный классможет быть включена и СКЭ (вместес экспертизой защиты данных, экспертизой телекоммуникаций и связи и др.).
Отдельноследуетсказать оклассификацииСКЭ.Полагаем, чтоприменение классификации позволяет распределить имеющиеся виды экспертных исследований погруппам, что дает возможность уяснить место экспертизы в «экспертном» поле. В нашем случае — отграничить СКЭ от других экспертиз, а равно обозначить возможные точки соприкосновенияСКЭ и других экспертных исследований (например, при решении вопроса о назначении комплексной экспертизы). Дополнительно к этому отметим, что классификация СКЭ может помочь практическому работнику при принятии решения (например, определяя последовательность выполненияследственных действий,в совокупностькоторых входит СКЭ).
Классификация судебных экспертиз может проводиться по различным основаниям. Для нас представляет интерес деление экспертиз в зависимости от: 1) объема исследования; 2) последовательности проведения;3) численности и составаэкспертов;4) характера специальныхзнаний, используемых в процессе исследования; 5) круга решаемых задач.
1. В зависимости от объема исследования выделяют такие экспертизы, как: основные (проводятся впервые в отношении определенного объекта) и дополнительные (проводятся позже в отношении этого же объекта). Применительно к СКЭ следует отметить, что, как правило, назначаются именно основные экспертизы. В результате данных исследований происходит изучение информационного массива, содержащегося на электронных носителях. Цель — обнаружение файлов, в которых присутствуют ключевые слова и т. д.
По данным экспертов, иногда возникает ситуация, когда в рамках основной экспертизы была обнаружена большая совокупность файлов с заданными следователем параметрами и направлена следователю. Следователь изучил данную совокупность и, выбрав отдельные файлы, на-
70