Тактика следственных действий, направленных на отыскание, обнаружение, изъятие и исследование электронных носителей и информации на них. Учебное пособ

Особенность постановки вопросов на разрешение СКЭ, согласно выборочному опросу экспертов ОВД, состоит в том, что на данном этапе следователь, как правило, проводит предварительную консультацию с экспертом (в ряде случаев неоднократно). Однако, согласно выборочному опросу экспертов Минюста России, следователи редко консультируются в силу того, что перечень вопросов типовой, и следователи берут его друг у друга. Таким образом, практика идет по разным сценариям в этом вопросе. Считаем верной практику консультаций с экспертом (как МВД, так и Минюста России), что допускается законом и выступает в качестве процессуальной формы взаимодействия следователя со специалистом (ст. 58 УПК РФ). Предметом консультаций могут являться: формулировки вопросов, подлежащих разрешению в ходе СКЭ; возможности производства СКЭ (наличие электронных носителей для архивного хранения, а также программного обеспечения и др.). Вместе с тем консультации должны носить не формальный характер, а служить средством устранения возникших или могущих возникнуть трудностей.

Следует помнить, что вопросы, выносимые на разрешение СКЭ, зависят от обстоятельств, подлежащих доказыванию, перечня исследуемых объектов, наличия образцов для сравнения и пр.

Вопросы, выносимые на СКЭ, должны удовлетворять определенным требованиям, которые можно разбить на две группы: общие требования (относящиеся к любым вопросам, выносимым на компьютерную экспертизу) и частные требования (относящиеся к вопросам, выносимым на конкретную экспертизу).

1. Общие требования:

а) при постановке вопроса необходимо использовать устоявшийся понятийный аппарат, исключающий жаргонные и полупрофессиональныетермины («винчестер», «логи»,«взлом» и т. п.).Вслучаеотсутствия терминов,определенныхзаконодательными илинормативнымиактами, нужно использовать те термины, которые употребляют разработчики технических средств, программных продуктов в документации, описаниях,справках и т. п.;

б) вопрос должен быть четким и однозначным; в) формулировка вопроса не должна касаться этапов исследования

информации(описаниехарактеристикносителейинформации и особенностей размещения информации на них, восстановление и исследованиеинформации средиудаленныхфайловявляютсяобязательными этапами исследования информации);

81

г) вопросы не должны носить справочный характер; д) вопросы недолжны носитьправовой характери выходить за пре-

делы компетенции эксперта; е) вопросы должны соответствовать существующей методической

итехнической базе.

2.Частные требования:

а) вопросы должны быть направлены на установление конкретных обстоятельств расследуемого события;

б) вопросы должны быть поставленытак, чтобы при решении конкретныхзадач расследованиязатраты(финансовые, технические,временные и пр.) на проведение исследований были минимальными;

в) вопросы должны соответствовать уровню подготовки и инструментальному оснащению экспертов того экспертного учреждения, которое будет проводить экспертизу;

г) вопросы должны соответствовать представляемым на исследование вещественным доказательствам8.

Существует перечень типовых вопросов, которые могут быть поставлены перед экспертом в зависимости от рода СКЭ.

Вопросы, разрешаемые аппаратно-компьютерной экспертизой.

Примерныевопросы,которыеставятсянаразрешениеданногородаСКЭ, можно сформулировать следующим образом:

1.Относитсяли представленное устройство каппаратным компьютерным средствам?

2.К какому типу (марке, модели) относится аппаратное средство? Каковы его технические характеристики и параметры9?

3.Каково функциональное предназначение аппаратного средства?

4.Относится ли данное аппаратное средство к конкретной компьютерной системе?

8Практическое руководство по производству судебных экспертиз для экспертов

испециалистов [Электронный ресурс] : науч.-практ. пособие / под ред. Т. В. Аверьяновой, В. Ф. Статкуса. 2-е изд., перераб. и доп. М., 2011. Доступ из справ.-правовой системы «КонсультантПлюс».

9Технические характеристики (параметры) компьютера описывают возможности устройств, из которых состоит компьютер (разрядность, тактовая частота, емкость оперативной памяти и т. д.). Например, параметры одного процессора характеризуют его большее быстродействие, чем другого (в зависимости от тактовой частоты и производительности; AMD Phenom II хуже, чем Intel Core i7). Знание параметров позволяет установить возможности компьютерной системы в целом, в том числе возможности совершения определенного действия.

82

5.Каковы роль и функциональные возможности данного аппаратного средства в конкретной компьютерной системе?

6.Используется ли данное аппаратное средство для решения конкретной функциональной задачи?

7.Какое первоначальное состояние (конфигурацию, характеристики) имело аппаратное средство?

8.Каковофактическоесостояниепредставленногоаппаратногосредства (средство исправно или нет)? Имеются ли в нем отклонения от типовых (нормальных) параметров, в том числе и физические дефекты?

9.Является ли неисправность данного средства следствием нарушения определенных правил эксплуатации?

10.Является ли представленное аппаратное средство носителем информации?

11.Каковвид(марка,модель)представленногоносителяинформации?

12.Какое запоминающее устройство предназначено для работы с данным накопителем информации? Имеется ли в составе представленнойкомпьютернойсистемы запоминающееустройстводляработы сэтим носителем информации?

13.Доступен ли для чтения представленный носитель информации? Еслинет, токаковы причиныотсутствиядоступакносителюинформации?

Вопросы, разрешаемые программно-компьютерной экспертизой.

Примерныевопросы,которыеставятсянаразрешениеданногородаСКЭ, можно сформулировать следующим образом:

1.Каковаобщаяхарактеристикапредставленногопрограммногообеспечения, из каких компонентов (программных средств) оно состоит?

2.Какую классификацию имеютконкретныепрограммныесредства представленного программного обеспечения? Обладают ли они признаками контрафактности?

3.Каково наименование, тип, версия, вид представления (явный, скрытый, удаленный) программного средства?

4.Каковы реквизиты разработчика и владельца данного программного средства?

5.Каков состав соответствующих файлов программного обеспечения, каковы их параметры (объемы, даты создания, атрибуты и др.)?

6.Какое общее функциональное предназначение имеет программное средство?

7.Имеютсяли наносителяхинформациипрограммныесредствадля реализации определенной функциональной задачи?

8.Какие требования предъявляет данное программное средство к аппаратным средствам компьютерной системы?

83

9.Какова совместимость конкретногопрограммного средства спрограммным и аппаратным обеспечением компьютерной системы?

10.Используется ли данное программное средство для решения определенной функциональной задачи?

11.Каково фактическое состояние программного средства, его работоспособность по реализации отдельных (конкретных) функций?

12.Каким образом организован ввод и вывод данных в представленном программном средстве?

13.Имеются ли в программном средстве отклонения от нормальных параметров типовых программных продуктов (например, свойства инфицирования, недокументированных функций)?

14.Имеет ли программное средство защитные возможности (программные, аппаратно-программные) от несанкционированного доступа

икопирования?

15.Каким образоморганизованызащитныевозможностипрограммного средства?

16.Каков общий алгоритм данного программного средства?

17.Какие программные инструментальные средства (языки программирования,компиляторы,стандартныебиблиотеки)использовались при разработке данного программного средства?

18.Имеются ли на носителях информации тексты (коды10) с первоначальным состоянием программы?

19.Подвергался ли алгоритм программного средства модификации по сравнению с исходным состоянием? В чем это нашло отражение?

20.Какой вид имело программное средство до его последней модификации?

21.Использованы ли в алгоритме программы и ее тексте какиелибо специфические (нестандартные) приемы алгоритмизации и программирования?

22.С какой целью было произведено изменение каких-либо функций в программном средстве?

23.Направлены ли внесенные изменения в программное средство на преодоление его защиты?

10 Кодирование — процесс написания программного кода в целях реализации определенного алгоритма на определенном языке программирования; является одним из этапов создания программы для компьютера. Программный код, понятный для человека, выступает как исходный код (например, запись программы в языке HTML). После этого код проходит через компилятор и становится исполняемым кодом, т. е. кодом, понятным для ЭВМ.

84

24.Достигается ли решение определенных задач после внесения изменений в программное средство?

25.Каким способом были произведены изменения в программе?

26.Каковахронологиявнесенияизменений впрограммномсредстве?

27.Какова хронология использования программного средства (начиная с ее инсталляции)?

28.Имеются ли в программном средстве враждебные функции, которые влекут уничтожение, блокирование, модификацию либо копирование информации, нарушение работы компьютерной системы?

29.Каковы последствия дальнейшей эксплуатации определенного программного средства?

Вопросы, разрешаемые информационно-компьютерной эксперти-

зой.Примерные вопросы, которые ставятся на разрешениеданного рода СКЭ, можно сформулировать следующим образом:

1.Как отформатирован носитель информации, в каком виде на него записаныданные?

2.Каковы характеристики физического или логического размещения данных на носителе информации?

3.Какие свойства, характеристики и параметры имеют данные на носителе информации?

4.Какого вида информация имеется на носителе?

5.К какому типу относятся выявленные или определенные следователем данные? Какими программными средствами они обеспечиваются?

6.Каким образоморганизован доступ к даннымна носителеинформации, и каковы его характеристики?

7.Какие свойства, характеристики имеют выявленные средства защиты данных, и какие пути их преодоления возможны?

8.Какие признаки преодоления защиты (либо попыток несанкционированного доступа) имеются на носителе информации?

9.Каково содержание защищенных данных?

10.Каковофактическоесостояниевыявленныхданныхисоответствует ли оно типовому состоянию на соответствующих носителях данных?

11.Какие несоответствия типовому представлению имеются в выявленных данных?

12.Каковы пользовательские (потребительские) свойства и предназначение данных на носителе информации?

13.Какие данныедлярешенияопределенной пользовательской (потребительской) задачи имеются на носителе информации?

85

14.Какие данные с фактами и обстоятельствами конкретного дела находятся на представленном носителе информации?

15.Какие данные о собственнике (пользователе) компьютерной системы (в том числе имена, пароли, права доступа и т. д.) имеются на носителях информации?

16.Какие данные с представленных на экспертизу документов (образцов) и в каком виде (целостном, фрагментарном) находятся на носителе информации?

17.Каково первоначальное состояние данных на носителе (в каком виде, какого содержания и с какими характеристиками, атрибутами находились определенные данные до их удаления или модификации)?

18.Каким способом, при каких обстоятельствах произведены действия или операции (блокирование, модификация, копирование, удаление) определенных данных на носителе информации?

19.Какаяхронологическаяпоследовательностьдействий(операций)

свыявленными данными имела местопри решении конкретной задачи?

20.Какая причинная связь имеетсямежду действиями с данными и имевшим место событием?

21.Какова степень соответствия (или несоответствия) действий с конкретной информацией специальному регламенту или правилам эксплуатации определенной компьютерной системы?

Вопросы, разрешаемые компьютерно-сетевой экспертизой. При-

мерные вопросы, которые ставятся на разрешение данного рода СКЭ, можно сформулировать следующим образом:

1.Имеются ли признаки работы данного компьютерного средства в сети Интернет?

2.Какие аппаратные средства использовались для подключения к Интернету?

3.Существуют ли заготовленные соединения с узлом сети Интернет, каковы их свойства?

4.К каким адресам сети Интернет осуществлялся доступ с данного компьютерного средства?

5.Каково содержание установок программы удаленного доступа11 к сети Интернет и протоколов соединений?

6.Есть ли какая-либо информация о проведении электронных платежейииспользовании кодов кредитныхкарт?(Эти сведенияспецифич-

11 Удаленный доступ — это возможность управления другим компьютером на расстоянии через глобальную сеть Интернет или локальную сеть.

86

ны для расследования мошенничеств или краж с применением электронных банковских карт).

7.Имеются ли сообщения, полученные (отправленные) по электронной почте?

Наличие и характеристика почтовых отправлений позволяет следователю установить полный круг соучастников, а также потенциальных потерпевших и свидетелей преступления (например, мошенничества с использованием интеренет-технологий).

8.Существуют ли сообщения, полученные (отправленные) посредством использования программ персональной связи через Интернет,

икаково их содержание?

Приведенный перечень нельзя считать полным и исчерпывающим, так как с развитием методик данного вида экспертного исследования будут расширяться и объекты, предоставляемые на исследование.

Другой важный момент связан с подготовкой материалов следователем на СКЭ. На этапе подготовки материалов следователь выбирает объект, подлежащий передаче на экспертизу, и прилагает его к постановлению о ее назначении (передает вместе с постановлением эксперту). Особенностьюподготовки материала поСКЭ состоит в том, чтоследователь представляет на экспертизу, как правило, не образцы для сравнительного исследования, так как основная масса исследований реализует диагностическую задачу: установить наличие чего-либо, свойства чего-либо, причинную связь между произошедшим событием и свойствами чего-либо.

Продуктивно на момент выбора материалов сравнить свой выбор с перечнем типичных объектов, предоставляемых эксперту по тому или иному составу преступлений.

Так, при расследовании отдельныхвидов мошенничеств(например, хищениепутем обмана денежных средств законных держателейплатежных банковских карт с их банковских счетов (при проведении незаконных трансграничныхэлектронных операций через банкоматс использованием поддельных пластиковых карт)) типичными можно назвать такие объекты СКЭ, как:

—системныйблоккомпьютера (установлениевозможности выхода

вглобальную сеть Интернетдляполученияидентификационнойинформации банковских карт);

—электронный носитель с программным обеспечением (установление наличия программ, позволяющих изготовить «слепок» банковской карты и нанести его на магнитную ленту);

87

— поддельная банковская карта (установление данных, аналогичных данным, присутствующим на банковской карте).

Послепрохождения четырех обозначенных этапов назначения СКЭ следователь выносит соответствующее постановление. В нем должны быть отражены элементы, указанные в ст. 195 УПК РФ.

Специфичнымибудутявлятьсяследующиеэлементыпостановления:

1)названиеэкспертизы(«компьютернаяэкспертиза» —дляэксперт- ных подразделений ОВД; «судебная компьютерно-техническая экспертиза» — для экспертных подразделений Минюста России);

2)обстоятельства дела (содержание должно позволять увидеть суть произошедшего и источник появления электронного носителя и других объектов):

«В начале сентября 2004 года Б., без разрешения собственника,

стелефонного номера… зарегистрированного в г. Волгограде, получил несанкционированный доступ к охраняемой Федеральным законом Российской Федерации от 27 июля 2006 года № 149 “Об информации, информационных технологиях и о защите информации” компьютерной учетной информации, принадлежащей ИФНС России… а именно к индивидуальному логическому имени “guser71” и паролю, осуществив их копирование.

В ходе производства обыска по месту жительства Б. в г. Волгограде (адрес…) былобнаружен и изъятсистемныйблок персональногокомпьютера, 8 компакт-дисков и 4 дискеты»;

3)указание на необходимость использования специальных знаний в отношении объектов («…необходимо использование специальных знаний в области…»; указываются области: программирования, компьютерной техники, исследования компьютерной информации, исследования сетевых технологий; на практике применяют обобщающий термин «в области программирования и компьютерной техники»);

4)название экспертного подразделения (характеристика эксперта). Пленум Верховного Суда Российской Федерации обращает внимание, что при поручении производства экспертизы лицу, не являющемуся государственным судебным экспертом, следует предварительно запросить сведения об эксперте, в том числе его фамилию, имя, отчество, образование,специальность,стажработыв качествесудебногоэкспертаииные данные, свидетельствующие о его компетентности и надлежащей ква-

88

лификации, очем указать в определении (постановлении) о назначении экспертизы12;

5)перечень вопросов, поставленных перед экспертом (специфика обусловлена исследуемыми объектами и применяемыми методами);

6)наличиеихарактеристика предоставляемыхматериалов.Комментируя данный пункт, следует заметить, что практике известны случаи, когда следователь предоставляет в распоряжение эксперта системный блок компьютера, изъятый в упакованном виде (опечатанный и скрепленныйподписями понятых,следователяи участвующих лиц). Вместес тем в литературеотмечается, что в постановлении обязательно указание на индивидуальные признаки отдельных объектов13.

Применительно к системному блоку обязательна фиксация серийного номера компьютера и его индивидуальных признаков (конфигурация, цвет, надписи на корпусе и т. д.). На наш взгляд, в этом нет необходимости. Во-первых, в силу отсутствия прямого на то указания закона. Во-вторых, фактически тогда речь будет идти об описательной части осмотра системного блока (в нашем же случае — назначение экспертизы). В-третьих, так складывается практика назначения СКЭ.

Вместе с тем указание идентифицирующих сведений желательно для устранения возможных вопросов (например, мнениястороны защиты о том, что исследовался другой электронный носитель или системный блок). По этому пути идет практика оформления заключения эксперта, в котором фактически отражаются сведения, аналогичные осмотру электронного носителя.

Особенностью назначения СКЭ можно назвать тот факт, что эксперту не предоставляются материалы дела (кроме постановления). Эксперту направляются лишь материальные объекты (электронные носителиинформации, системныеблокииих комплектующие,сопутствующие средства: сетевое зарядное устройство и т. д.).

Таким образом, следователь, назначая СКЭ, должен учитывать спецификуобъектаиметодаисследования.ПроцессназначенияСКЭнавсех стадиях имеет свои особенности, обусловленные сферой специальных знаний, организацией экспертных исследований вРоссии (в том числев органах внутренних дел) и экспертной практикой.

12О судебной экспертизе по уголовным делам : постановление Пленума ВерховногоСудаРоссийскойФедерацииот21 декабря2010 г.№ 28 //Рос.газета.2010.30 дек.

13Дуленко В. А., Мамлеев Р. Р., Пестриков В. А. Преступления в сфере высоких технологий : учеб. пособие. М., 2010. 200 с.

89

§ 2. Основы производства судебной компьютерной экспертизы

Уголовно-процессуальноезаконодательствоРФвч. 1ст. 88 УПКРФ определяет, что «каждое доказательство подлежит оценке с точки зрения относимости, допустимости, достоверности, а все собранные доказательства в совокупности — достаточности для разрешения уголовного дела». Оценка отдельного доказательства, источником которого является заключение эксперта, сводится к решению вопросов о достоверности заключения эксперта, о доказанности фактических данных и об их значении для установления главного факта14. Анализнаучной литературы позволяет определить общие виды оценки заключения эксперта, а именно:

а) процессуального порядка назначения и проведения экспертизы; б) личности эксперта; в) материалов, представленных на экспертизу;

г) полноты и научной обоснованности заключения эксперта; д) заключения эксперта с точки зрения сделанных им выводов; е) правильности составления самого заключения;

ж) вероятных ошибок, которые могут быть допущены экспертом; з) содержащихся в заключении эксперта доказательств с точки зрения их относимости к делу, допустимости и места в системе иных дока-

зательств, т. е. оценки в совокупности с другими доказательствами.

Вданном параграфе речь пойдет об отдельных структурных элементах оценки заключения эксперта, методах и методике экспертного заключения. Полагаем, что для правильной и точной оценки экспертного заключения уголовно-процессуальное законодательство обязывает следователя в процессе доказывания оценивать сам процесс и результаты СКЭ.

Воснове любой деятельности находятся и методы ее осуществления. Крометого, знание использованных методов позволяет ответить на вопрос о качестве проведенных экспертом действий и выводов.

Методы экспертной практической деятельности в области СКЭ, как

идругих родов и видов судебной экспертизы, формируются и основываются на характере и свойствах объекта деятельности, соответствующих научныхметодах,опытерешенияконкретныхпрактических задач (втом

14 Бородин С. В. Палиашвили А. Я. Вопросы теории и практики судебной экс-

пертизы. М., 1963. С. 76.

90