Раздел 1. Концептуальные основы и предметная область компьютерно-технической экспертизы в системе судебных экспертиз

Компьютерно-техническая экспертиза представляет собой род судебной экспертизы, предметом которой выступают факты и обстоятельства, устанавливаемые на основе специальных знаний в области компьютерных средств, систем и информационных процессов, зафиксированные в материалах дела и подлежащие исследованию в рамках судопроизводства. В отличие от иных родов экспертиз, объектная база данного исследования обладает свойством динамической изменчивости: аппаратные компоненты, программное обеспечение и информационные массивы претерпевают перманентную трансформацию, что порождает устойчивое противоречие между статичностью процессуальных форм и подвижностью материального носителя доказательственной информации. Указанное противоречие составляет исходную точку конфликтологического анализа, поскольку стороны процесса вынуждены оперировать категориями, не имеющими устоявшегося доктринального закрепления. Компьютерная экспертиза разновидность судебной компьютерно-технической экспертизы в узком смысле слова, однако именно терминологическая неопределенность создает предпосылки для процессуальных манипуляций и оспаривания заключений.

Вопросы на компьютерно-техническую экспертизу формулируются участниками процесса исходя из их собственного понимания технической сущности исследуемых объектов, что порождает конфликт между юридической целесообразностью и технической корректностью. Следователь или суд, не обладая профильными знаниями, зачастую ставят задачи, решение которых либо выходит за пределы компетенции эксперта, либо требует привлечения специалистов смежных направлений. Ситуация усугубляется тем, что постановление о назначении компьютерно-технической экспертизы не содержит механизмов верификации достаточности представленных объектов и материалов. Эксперт оказывается перед выбором: отказаться от производства ввиду неполноты исходных данных или предпринять попытку исследования с заведомо ограниченными возможностями, что впоследствии может быть использовано процессуальным оппонентом для дискредитации выводов.

Виды компьютерно-технических экспертиз традиционно дифференцируются по объектному критерию, однако границы между ними остаются подвижными. Аппаратно-компьютерная экспертиза направлена на исследование физических компонентов вычислительной техники, программно-компьютерная сосредоточена на алгоритмических и кодовых составляющих, информационно-компьютерная ориентирована на содержательные аспекты данных, а компьютерно-сетевая охватывает коммуникационные процессы и распределенные ресурсы . Указанная классификация, будучи удобной для целей организации экспертной деятельности, не устраняет конфликта, возникающего при необходимости комплексного исследования объекта, одновременно относящегося к нескольким категориям. Техническая экспертиза компьютерной техники в чистом виде встречается редко: как правило, следователя интересует не исправность жесткого диска как таковая, а информация, на нем хранящаяся, что требует выхода за пределы аппаратной диагностики в область информационного анализа.

Информационно-аналитическая и техническая экспертиза компьютерных систем предполагает синтез методов, принадлежащих различным экспертным специальностям. Данное обстоятельство порождает конфликт компетенций, разрешение которого в процессуальном порядке требует назначения комплексной экспертизы, однако практика идет по пути поручения производства одному эксперту, формально обладающему необходимой квалификацией, но фактически вынужденному применять методики, выходящие за пределы его аттестации. Услуги по экспертизе технического состояния компьютерной техники в коммерческом сегменте и в системе государственных экспертных учреждений оказываются в неравных условиях: первые ориентированы на скорость и удовлетворение запросов заказчика, вторые — на соблюдение процессуальных формальностей, что создает почву для конфликта интересов при выборе экспертного учреждения стороной по делу.

Компьютерно-техническая экспертиза в Москве характеризуется наибольшей концентрацией экспертных организаций и, как следствие, наиболее острым соперничеством между ними. Участники процесса, обладая возможностью выбора, нередко руководствуются не соображениями объективности и полноты исследования, а лояльностью эксперта к той или иной правовой позиции. Постановление о назначении компьютерно-технической судебной экспертизы, выносимое судом, в идеале должно исключать подобную избирательность, однако на практике сторона, инициирующая назначение, оказывает влияние на формулирование вопросов и выбор учреждения. Конфликт между принципом состязательности и требованием беспристрастности эксперта составляет устойчивую линию напряжения в рассматриваемой предметной области.

Раздел 2. Процессуальные коллизии назначения и производства компьютерно-технических исследований

Порядок назначения компьютерно-технической экспертизы подчиняется общим правилам судопроизводства, однако содержание объектов и методов исследования вносит в него существенные коррективы. Постановление о назначении компьютерно-технической экспертизы должно содержать указание на конкретные носители информации, подлежащие исследованию, перечень вопросов, решение которых поручается эксперту, и материалы, предоставляемые в распоряжение эксперта. На практике следователи зачастую ограничиваются формальной ссылкой на необходимость исследования «компьютерной техники и информации», не конкретизируя объем и границы экспертного задания. Эксперт, получивший такое постановление, оказывается в ситуации неопределенности: расширительное толкование задания создает риск выхода за пределы компетенции, ограничительное — риск неполноты исследования и последующего оспаривания заключения.

Конфликт между следователем и экспертом возникает также по поводу сроков производства. Постановление о назначении компьютерно-технической судебной экспертизы не устанавливает дифференцированных нормативов в зависимости от объема исследуемых данных и сложности поставленных задач. Эксперт, работающий с носителем емкостью в несколько терабайт, вынужден либо игнорировать разумные сроки, либо применять выборочные методы исследования, что снижает доказательственную ценность выводов. Процессуальный оппонент, заинтересованный в затягивании дела или в дискредитации заключения, использует указанное обстоятельство для постановки вопроса о недопустимости доказательства.

Вопросы на компьютерно-техническую экспертизу, формулируемые стороной защиты, нередко носят характер, предполагающий оценку действий другой стороны или правовую квалификацию, что недопустимо для экспертного исследования. Эксперт, обнаруживший правовую составляющую в поставленном вопросе, обязан отказаться от его разрешения, однако мотивировка отказа должна быть изложена в заключении. Сторона, получившая отказ, интерпретирует его как подтверждение своей правовой позиции, что порождает новый виток конфликта. Техническая экспертиза компьютерной техники в подобных ситуациях оказывается заложником процессуальной тактики, а не средством установления объективной истины.

Компьютерная экспертиза разновидность судебной компьютерно-технической экспертизы, назначаемой в рамках гражданского, арбитражного или уголовного процесса, сохраняет родовые признаки, однако процессуальный режим накладывает отпечаток на ее производство. В гражданском процессе стороны обладают широкими возможностями по представлению дополнительных материалов и постановке дополнительных вопросов, что создает условия для перманентного расширения экспертного задания в ходе производства. В уголовном процессе, напротив, эксперт ограничен рамками постановления и не вправе самостоятельно расширять предмет исследования. Указанная асимметрия порождает конфликт между требованием полноты исследования и принципом процессуальной экономии.

Информационно-аналитическая и техническая экспертиза компьютерных систем предполагает использование методов, не всегда доступных для верификации со стороны участников процесса. Заключение эксперта, содержащее выводы о наличии или отсутствии информации на носителе, о времени ее создания или модификации, воспринимается сторонами как окончательное и неоспоримое, если только противоположная сторона не обладает ресурсами для привлечения альтернативного специалиста. Конфликт между монополией эксперта на специальные знания и правом стороны на оспаривание выводов разрешается посредством допроса эксперта и назначения повторной или дополнительной экспертизы, однако указанные механизмы не всегда эффективны ввиду сложности предмета.

Постановление о назначении компьютерно-технической экспертизы в Москве, выносимое судом, должно учитывать наличие в регионе разветвленной сети экспертных учреждений, что создает предпосылки для конкуренции и, как следствие, для конфликта интересов. Сторона, обладающая финансовыми ресурсами, может обеспечить проведение исследования в организации, лояльной к ее позиции, в то время как противоположная сторона вынуждена довольствоваться государственной экспертизой с ее очередями и загруженностью. Указанное неравенство не является специфическим для компьютерно-технической экспертизы, однако в данной области оно проявляется наиболее остро ввиду высокой стоимости оборудования и программного обеспечения, необходимых для производства исследования.

Раздел 3. Методологические противоречия в исследовании аппаратных и программных объектов

Методологическая база компьютерно-технической экспертизы находится в состоянии перманентного отставания от развития объекта исследования. Аппаратные средства, поступающие на исследование, могут относиться к поколениям, не описанным в доступной экспертной литературе, а программное обеспечение — использовать алгоритмы и форматы, не имеющие устоявшихся методик анализа. Эксперт вынужден применять методы, заимствованные из смежных областей или разработанные им самостоятельно, что создает конфликт между требованием научной обоснованности и практической необходимостью. Сторона, оспаривающая заключение, указывает на отсутствие апробированной методики как на основание для признания выводов недопустимыми.

Техническая экспертиза компьютерной техники в части диагностики неисправностей и определения причин отказов оборудования опирается на методы, разработанные в инженерной практике. Однако перенесение инженерных методов в судебно-экспертную деятельность требует адаптации, поскольку цели исследования различаются: инженер устанавливает причину поломки для целей ремонта, эксперт — для целей установления фактов, имеющих юридическое значение. Конфликт между технической и правовой целесообразностью проявляется в выборе глубины исследования: эксперт может ограничиться констатацией неисправности, достаточной для ответа на поставленный вопрос, однако сторона, заинтересованная в более полной картине, настаивает на расширении исследования.

Виды компьютерно-технических экспертиз, выделяемые по объектному критерию, предполагают использование различных методологических подходов. Программно-компьютерная экспертиза опирается на методы анализа кода, включая дизассемблирование, декомпиляцию и трассировку, которые требуют специальной подготовки и инструментария. Информационно-компьютерная экспертиза использует методы поиска, восстановления и интерпретации данных, включая работу с файловыми системами, базами данных и логами. Компьютерно-сетевая экспертиза обращается к методам анализа трафика и протоколов. Каждое из направлений обладает собственной логикой исследования, и попытка унификации методических подходов под эгидой единой «компьютерно-технической экспертизы» порождает конфликт между требованиями специализации и организационным удобством.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления авторства программного кода или факта заимствования, требуют применения методов, выходящих за пределы традиционной компьютерно-технической экспертизы. Сравнительный анализ исходного кода, выявление признаков плагиата, определение степени переработки — указанные задачи решаются на стыке программирования и лингвистики, что создает почву для конфликта о компетенции эксперта. Эксперт-компьютерщик, не обладающий познаниями в области автороведения, вынужден либо отказываться от разрешения вопроса, либо выходить за пределы своей специальности, что дает основание для оспаривания заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования вредоносного программного обеспечения сталкивается с проблемой динамичности объекта: вредоносная программа может изменять свое поведение в зависимости от условий запуска, что делает однократное исследование недостаточным для категорического вывода. Эксперт, констатирующий наличие вредоносного кода, не всегда может с уверенностью утверждать, что именно этот код явился причиной конкретного инцидента. Конфликт между вероятностным характером выводов и требованием категоричности, предъявляемым судебной практикой, разрешается посредством формулирования выводов в вероятностной форме, однако вероятностное заключение не всегда принимается судом в качестве достаточного доказательства.

Раздел 4. Конфликт интерпретаций в оценке заключений компьютерно-технической экспертизы

Оценка заключения компьютерно-технической экспертизы участниками процесса представляет собой самостоятельную стадию, на которой конфликт между сторонами достигает наибольшей остроты. Судья, не обладающий специальными познаниями в области компьютерных технологий, вынужден оценивать заключение на предмет его относимости, допустимости и достоверности, опираясь на формальные критерии: соблюдение процессуального порядка назначения, наличие подписи эксперта, предупреждение об ответственности. Содержательная сторона выводов остается вне пределов судебной оценки, если только противоположная сторона не представит аргументированных возражений, подкрепленных мнением сведущего лица.

Компьютерно-техническая экспертиза в Москве, произведенная в негосударственном экспертном учреждении, нередко становится объектом критики со стороны процессуального оппонента, указывающего на коммерческую заинтересованность эксперта в исходе дела. Указанный аргумент, не имеющий прямого процессуального значения, тем не менее оказывает влияние на формирование внутреннего убеждения судьи. Конфликт между презумпцией добросовестности эксперта и правом стороны на недоверие к заключению, выданному на возмездной основе, не имеет окончательного разрешения в действующем процессуальном законодательстве.

Постановление о назначении компьютерно-технической экспертизы, вынесенное с нарушением требований к формулированию вопросов, создает предпосылки для последующего оспаривания заключения независимо от его содержания. Сторона, обнаружившая процессуальный дефект, использует его как основание для исключения заключения из числа доказательств, даже если выводы эксперта объективно верны. Конфликт между процессуальной формой и материальной истиной в компьютерно-технической экспертизе проявляется с особой остротой, поскольку стоимость повторного исследования может быть значительной, а сроки — длительными.

Услуги по экспертизе технического состояния компьютерной техники, оказываемые в частном порядке, не всегда сопровождаются соблюдением процессуальных требований, предъявляемых к судебной экспертизе. Заключение специалиста, полученное стороной в порядке консультации, не является экспертным заключением в процессуальном смысле, однако суды нередко приобщают его к материалам дела и оценивают наряду с судебной экспертизой. Указанная практика порождает конфликт между требованием допустимости доказательств и принципом свободной оценки доказательств, разрешение которого зависит от усмотрения суда.

Техническая экспертиза компьютерной техники в рамках арбитражного процесса подчиняется правилам, допускающим назначение экспертизы по инициативе суда. Судья, обнаруживший необходимость специальных познаний, может назначить исследование без ходатайства сторон, что создает ситуацию, в которой стороны лишены возможности влиять на формулирование вопросов и выбор экспертного учреждения. Конфликт между активной ролью суда и принципом состязательности в арбитражном процессе разрешается посредством предоставления сторонам права заявлять отвод эксперту и представлять дополнительные вопросы, однако указанные механизмы не всегда обеспечивают баланс интересов.

Раздел 5. Кейс 1: Конфликт компетенций при исследовании серверного оборудования

В производстве арбитражного суда находилось дело о взыскании убытков, возникших вследствие отказа серверного оборудования, обеспечивавшего функционирование интернет-магазина. Истец утверждал, что отказ произошел по вине обслуживающей организации, допустившей нарушение регламента технического обслуживания. Ответчик, напротив, настаивал на том, что причиной инцидента явился производственный дефект комплектующих. Суд назначил компьютерно-техническую экспертизу, поручив ее производство эксперту, специализирующемуся на программном обеспечении. Перед экспертом были поставлены вопросы о причинах отказа сервера и о наличии признаков нарушения правил эксплуатации.

Эксперт, приступив к исследованию, обнаружил, что отказ носил аппаратный характер и связан с деградацией накопителя на жестких магнитных дисках. Для ответа на поставленные вопросы требовалось проведение аппаратной диагностики, включая анализ SMART-атрибутов и исследование поверхности диска, что выходило за пределы специализации эксперта. Эксперт обратился в суд с ходатайством о привлечении к производству специалиста в области аппаратного обеспечения, однако суд, сославшись на отсутствие в экспертном учреждении соответствующих кадров, предложил эксперту самостоятельно разрешить поставленные вопросы в пределах своей компетенции.

Эксперт произвел исследование программными средствами, доступными ему как специалисту по программному обеспечению, и пришел к выводу о том, что отказ вызван ошибкой в конфигурации системы хранения данных. Указанный вывод был положен в основу решения суда. Ответчик, не согласившись с заключением, заявил ходатайство о назначении повторной экспертизы, указав на то, что эксперт не обладал квалификацией для исследования аппаратных компонентов и не применял методов, необходимых для диагностики накопителя. Суд, рассмотрев ходатайство, отказал в его удовлетворении, указав, что заключение содержит ответы на все поставленные вопросы и не вызывает сомнений в обоснованности.

Конфликт между формальной достаточностью заключения и его фактической неполнотой стал предметом апелляционного обжалования. Апелляционная инстанция, изучив материалы дела, указала, что эксперт вышел за пределы своей компетенции, сделав выводы о причинах аппаратного отказа без применения соответствующих методов диагностики. Решение суда первой инстанции было отменено, дело направлено на новое рассмотрение с указанием на необходимость назначения комплексной экспертизы с привлечением специалистов как в области программного, так и в области аппаратного обеспечения.

Данный кейс иллюстрирует конфликт между организационными возможностями экспертного учреждения и требованиями полноты и обоснованности экспертного исследования. Компьютерно-техническая экспертиза, задуманная как универсальный инструмент разрешения технических вопросов, на практике распадается на специализированные направления, каждое из которых требует отдельной квалификации. Попытка преодолеть указанное разделение посредством возложения на эксперта обязанности разрешить вопросы за пределами его специализации приводит к конфликту, разрешение которого требует процессуальных механизмов, не всегда доступных сторонам.

Вопросы на компьютерно-техническую экспертизу, сформулированные без учета дифференциации экспертных специальностей, создают предпосылки для подобных ситуаций. Следователь или судья, не обладающий познаниями в структуре экспертных компетенций, формулирует задание исходя из конечной цели исследования, не учитывая, что достижение этой цели требует последовательного применения методов различных специальностей. Эксперт, связанный рамками постановления, не вправе отказаться от разрешения вопроса, ссылаясь на недостаточность квалификации, если формально он обладает необходимой подготовкой для производства данного рода экспертизы. Указанное противоречие составляет устойчивую линию конфликта в рассматриваемой области.

Раздел 6. Кейс 2: Противоречия в установлении времени создания файлов

В рамках уголовного дела о неправомерном доступе к компьютерной информации следователь назначил компьютерно-техническую экспертизу, перед экспертом был поставлен вопрос о времени создания файлов, содержащих конфиденциальные сведения, на изъятом жестком диске. По версии следствия, файлы были скопированы с корпоративного сервера на личный компьютер обвиняемого в определенный временной интервал, что подтверждало бы факт несанкционированного доступа. Защита настаивала на том, что файлы были созданы самим обвиняемым в процессе выполнения служебного задания и не содержат признаков конфиденциальности.

Эксперт, исследуя метаданные файлов, обнаружил, что временные метки создания и модификации указывают на период, соответствующий версии следствия. Однако при более детальном анализе файловой системы было установлено, что на диске имеются признаки изменения системного времени, произведенного с использованием утилиты, не входящей в стандартный набор операционной системы. Эксперт указал в заключении, что временные метки не могут быть признаны достоверными вследствие возможной манипуляции системным временем, и сформулировал вывод в вероятностной форме.

Следователь, получив заключение, не согласился с вероятностным выводом и назначил дополнительную экспертизу, поручив ее другому эксперту. Второй эксперт, используя иные методы анализа, пришел к категорическому выводу о том, что файлы были созданы в период, указанный в обвинении, и что признаки изменения системного времени являются следствием обновления операционной системы, а не умышленных действий пользователя. Защита, ознакомившись с результатами дополнительной экспертизы, заявила ходатайство о назначении повторной экспертизы, указав на противоречие между выводами двух экспертов и на необходимость привлечения специалиста, обладающего познаниями в области анализа артефактов операционной системы.

Конфликт между двумя заключениями, каждое из которых опирается на определенную методику и приводит к взаимоисключающим выводам, поставил суд перед необходимостью выбора. Суд, оценив заключения, отдал предпочтение второму, указав, что оно содержит категорические выводы и основано на более полном исследовании. Защита обжаловала решение, ссылаясь на то, что вероятностный вывод первого эксперта является более обоснованным, поскольку учитывает возможность манипуляции временными метками. Апелляционная инстанция оставила приговор без изменения, указав, что совокупность доказательств достаточна для вывода о виновности.

Данный кейс демонстрирует конфликт между требованием категоричности экспертного вывода и объективной ограниченностью методов исследования цифровых артефактов. Временные метки файлов, традиционно рассматриваемые как надежный источник информации о хронологии событий, в действительности подвержены модификации под воздействием множества факторов, включая как умышленные действия пользователя, так и штатное функционирование операционной системы. Эксперт, формулирующий категорический вывод на основе анализа временных меток без учета возможности их изменения, создает предпосылки для судебной ошибки. Эксперт, формулирующий вероятностный вывод, рискует столкнуться с непониманием со стороны участников процесса, ожидающих однозначного ответа.

Компьютерная экспертиза разновидность судебной компьютерно-технической экспертизы, в рамках которой исследование временных характеристик файлов составляет одну из наиболее востребованных задач, сталкивается с фундаментальной проблемой: цифровые артефакты не обладают свойством неизменности, присущим материальным объектам. Любое действие с файлом, включая его открытие, копирование или перемещение, отражается на временных метках, что делает реконструкцию событий прошлого принципиально неполной. Указанное обстоятельство требует осторожности в формулировании выводов, однако процессуальные ожидания зачастую подталкивают эксперта к категоричности, не обеспеченной методологически.

Раздел 7. Кейс 3: Спор о допустимости экспертизы, произведенной с использованием нелицензионного программного обеспечения

В производстве суда общей юрисдикции находилось гражданское дело о защите авторских прав на программное обеспечение. Истец утверждал, что ответчик неправомерно использовал разработанную им программу для автоматизации бухгалтерского учета, модифицировав ее исходный код и распространив под своим именем. Для установления факта заимствования суд назначил компьютерно-техническую экспертизу, поручив ее производство эксперту, имеющему опыт в области анализа программного кода.

Эксперт произвел сравнительное исследование исходного кода истца и ответчика, придя к выводу о наличии значительного сходства, не объяснимого ни функциональной необходимостью, ни использованием общих библиотек. В заключении эксперт указал, что для производства исследования использовал программный инструментарий, включая среду разработки и утилиты сравнения кода, приобретенные им в личное пользование. В ходе допроса в судебном заседании представитель ответчика выяснил, что часть использованного программного обеспечения не имеет действующей лицензии, а приобретена через неофициальные каналы распространения.

Ответчик заявил ходатайство о признании заключения недопустимым доказательством, указав, что использование нелицензионного программного обеспечения при производстве экспертизы ставит под сомнение достоверность выводов и, кроме того, само по себе является нарушением законодательства об авторских правах. Эксперт, допрошенный в судебном заседании, пояснил, что нелицензионность программного обеспечения не повлияла на результаты исследования, поскольку функциональность использованных инструментов не зависит от наличия лицензии. Суд, рассмотрев ходатайство, отказал в его удовлетворении, указав, что вопрос о лицензионности программного обеспечения эксперта не относится к предмету рассматриваемого спора и не влияет на достоверность выводов.

Истец, однако, воспользовался указанным обстоятельством для дискредитации позиции ответчика, указав в прениях, что ответчик, обвиняемый в нарушении авторских прав, пытается оспорить заключение, ссылаясь на нарушение, которое сам же и совершил. Суд, оценив доводы сторон, положил заключение эксперта в основу решения об удовлетворении иска. Ответчик обжаловал решение, повторив довод о недопустимости заключения. Апелляционная инстанция оставила решение без изменения, согласившись с выводом суда первой инстанции об отсутствии связи между лицензионным статусом программного обеспечения эксперта и достоверностью его выводов.

Кейс иллюстрирует конфликт между процессуальной чистотой экспертного исследования и его содержательной обоснованностью. Использование нелицензионного программного обеспечения при производстве судебной экспертизы не урегулировано действующим законодательством: требования к программному обеспечению эксперта ограничиваются общими указаниями на необходимость применения сертифицированных или апробированных методов, однако механизм верификации лицензионности не установлен. Сторона, заинтересованная в оспаривании заключения, может использовать указанный пробел для достижения процессуальных целей, не имеющих отношения к существу спора.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части анализа программного кода предъявляет повышенные требования к инструментарию эксперта. Средства дизассемблирования, декомпиляции и сравнения кода, доступные на рынке, могут распространяться как на коммерческой, так и на свободной основе, причем последние не всегда проходят верификацию на предмет корректности выдаваемых результатов. Эксперт, использующий свободно распространяемое программное обеспечение, подвергает свои выводы риску оспаривания со стороны, указывающей на возможные ошибки инструмента. Конфликт между доступностью инструментария и требованием надежности результатов не имеет окончательного разрешения и воспроизводится в каждом конкретном случае.

Раздел 8. Кейс 4: Противоречия в исследовании мобильного устройства с блокировкой доступа

В рамках расследования уголовного дела об интернет-мошенничестве следователь изъял у обвиняемого смартфон, защищенный паролем и биометрической блокировкой. Постановление о назначении компьютерно-технической экспертизы содержало требование извлечь информацию, относящуюся к переписке с соучастниками и финансовым операциям. Эксперт, получивший устройство, обнаружил, что доступ к данным заблокирован и не может быть получен стандартными средствами. Для преодоления защиты требовалось применение специализированного оборудования и программного обеспечения, не входящего в комплект экспертного учреждения.

Эксперт обратился к следователю с ходатайством о предоставлении дополнительного оборудования или о разрешении привлечь стороннюю организацию, располагающую необходимыми средствами. Следователь, сославшись на отсутствие финансирования, предложил эксперту ограничиться исследованием тех данных, которые доступны без преодоления блокировки, включая информацию на съемной карте памяти и в облачных резервных копиях, если таковые имеются. Эксперт произвел исследование доступных данных, обнаружив фрагменты переписки, не содержащие, однако, сведений, имеющих прямое отношение к инкриминируемым деяниям. В заключении эксперт указал, что полное исследование устройства невозможно без преодоления блокировки, и сформулировал выводы в рамках доступного объема информации.

Защита, ознакомившись с заключением, заявила ходатайство о признании его неполным и о назначении повторной экспертизы с привлечением специализированной организации. Следователь отказал в удовлетворении ходатайства, указав, что эксперт дал ответы на все вопросы в пределах своих возможностей, а невозможность получения полной информации обусловлена техническими ограничениями, а не недостатками заключения. Прокурор, осуществлявший надзор за расследованием, поддержал позицию защиты, указав, что неполнота экспертного исследования создает неустранимые сомнения в виновности обвиняемого.

Конфликт между требованием полноты экспертного исследования и ограниченностью ресурсов экспертного учреждения разрешился посредством направления устройства в специализированную организацию, располагающую оборудованием для преодоления блокировки. Повторная экспертиза, произведенная с использованием соответствующего инструментария, позволила извлечь информацию, подтверждающую версию следствия. Однако время, затраченное на преодоление разногласий, привело к нарушению сроков предварительного следствия, что было использовано защитой для заявления ходатайства о возвращении дела прокурору.

Кейс демонстрирует конфликт между процессуальной экономией и требованием всесторонности исследования. Компьютерно-техническая экспертиза мобильных устройств, защищенных современными средствами блокировки, требует применения методов и инструментов, доступных ограниченному кругу специализированных организаций. Экспертные учреждения общего профиля, не располагающие таким инструментарием, вынуждены либо отказываться от производства экспертизы, либо ограничиваться частичным исследованием, что создает предпосылки для оспаривания заключения. Следователь, заинтересованный в быстром получении результатов, не всегда осознает техническую сложность задачи и рассматривает отказ эксперта как проявление недобросовестности.

Техническая экспертиза компьютерной техники в части исследования мобильных устройств сталкивается с дополнительной проблемой: производители устройств постоянно совершенствуют средства защиты, и методы, эффективные для одной модели, оказываются бесполезными для другой. Эксперт, располагающий инструментарием для преодоления блокировки конкретной версии операционной системы, может оказаться бессильным перед лицом обновления, выпущенного производителем. Указанная динамика создает устойчивое напряжение между требованием универсальности экспертной методики и необходимостью адаптации к каждому конкретному объекту.

Раздел 9. Кейс 5: Конфликт между экспертными выводами о наличии вредоносного программного обеспечения

В рамках корпоративного спора о взыскании убытков, возникших вследствие утечки конфиденциальной информации, истец утверждал, что утечка произошла в результате действия вредоносной программы, внедренной на сервер по вине обслуживающей организации.
Ответчик, возражая против иска, настаивал на том, что утечка стала следствием нарушения внутреннего регламента доступа к информации со стороны сотрудников истца, а утверждения о вредоносной программе лишены технических оснований. Суд назначил компьютерно-техническую экспертизу, поручив эксперту исследование серверного оборудования и резервных копий, представленных истцом. Перед экспертом были поставлены вопросы о наличии на сервере вредоносного программного обеспечения, о времени его внедрения и о механизме его воздействия на систему защиты информации.

Эксперт, исследуя образы дисков, обнаружил в системных директориях файлы, не принадлежащие стандартной поставке операционной системы и обладающие признаками, характерными для программ удаленного доступа. Анализ журналов событий показал, что указанные файлы были созданы в период, соответствующий моменту предполагаемого внедрения, а их исполнение сопровождалось сетевыми соединениями с внешними адресами, не относящимися к инфраструктуре истца. На основании совокупности признаков эксперт сформулировал категорический вывод о наличии на сервере вредоносного программного обеспечения, обеспечивавшего несанкционированный доступ к информации.

Ответчик, ознакомившись с заключением, заявил ходатайство о назначении повторной экспертизы, указав, что обнаруженные файлы могут являться легитимными средствами администрирования, установленными сотрудниками истца для удаленного управления сервером. В обоснование ходатайства ответчик представил заключение специалиста, который, проанализировав те же образы, пришел к выводу о невозможности однозначной квалификации обнаруженных файлов как вредоносных, поскольку их функциональность не была исследована в достаточной степени, а сведения о сетевых соединениях не позволяют исключить, что они инициировались штатными средствами мониторинга.

Суд, рассмотрев оба заключения, оказался перед необходимостью разрешения конфликта между двумя техническими выводами, каждый из которых опирался на определенную методику и приводил к различным результатам. Эксперт, производивший судебную экспертизу, основывал вывод на совокупности косвенных признаков: расположение файлов, временные метки, характер сетевых соединений. Специалист, привлеченный ответчиком, указывал на отсутствие прямого анализа кода, который позволил бы установить функциональное назначение файлов. Суд назначил дополнительную экспертизу, поручив эксперту проведение динамического анализа обнаруженных файлов в изолированной среде.

Дополнительная экспертиза, произведенная с использованием методов песочницы, позволила установить, что обнаруженные файлы действительно обладают функциональностью удаленного доступа, однако не содержат признаков, характерных для вредоносных программ, таких как маскировка, самокопирование или противодействие анализу. Эксперт пришел к выводу, что файлы представляют собой средство удаленного администрирования, установленное, вероятно, сотрудниками истца, однако установить конкретное лицо, произведшее установку, не представляется возможным. Указанный вывод не подтверждал в полной мере ни версию истца о внедрении вредоносной программы обслуживающей организацией, ни версию ответчика о нарушении внутреннего регламента.

Конфликт между сторонами разрешился посредством мирового соглашения, однако кейс иллюстрирует фундаментальную проблему компьютерно-технической экспертизы: разграничение легитимного и вредоносного программного обеспечения не всегда может быть произведено на основе формальных признаков. Программы удаленного доступа, используемые администраторами для управления серверами, функционально тождественны средствам, применяемым злоумышленниками для несанкционированного доступа. Эксперт, формулирующий вывод о наличии вредоносного программного обеспечения, вынужден опираться на контекстуальные признаки, которые не всегда однозначны. Сторона, заинтересованная в оспаривании заключения, использует указанную неопределенность для обоснования своей позиции.

Компьютерно-техническая экспертиза в Москве, произведенная в рамках корпоративного спора, продемонстрировала, что конфликт между экспертными выводами не всегда разрешается посредством назначения дополнительной или повторной экспертизы. В данном случае дополнительная экспертиза не устранила неопределенность, а лишь сместила акцент с вопроса о вредоносности на вопрос о легитимности установки. Участники процесса, ожидавшие однозначного ответа на поставленные вопросы, получили заключение, которое не подтверждало ни одну из версий в полном объеме. Указанное обстоятельство свидетельствует о том, что возможности компьютерно-технической экспертизы ограничены объективной сложностью исследуемых объектов и не всегда позволяют достичь той степени определенности, которую ожидают участники процесса.

Раздел 10. Кейс 6: Спор о достоверности временных меток в облачном хранилище

В производстве суда находилось дело о расторжении трудового договора, инициированном работодателем по основанию разглашения коммерческой тайны. Работодатель утверждал, что уволенный сотрудник скопировал конфиденциальные документы из корпоративного облачного хранилища на личное устройство незадолго до увольнения. В подтверждение своих доводов работодатель представил выгрузку журналов доступа, согласно которой сотрудник в определенные даты и время обращался к файлам, содержащим коммерческую тайну. Сотрудник, возражая против увольнения, настаивал на том, что обращения были связаны с выполнением служебных обязанностей и что выгрузка журналов не отражает фактических обстоятельств.

Суд назначил компьютерно-техническую экспертизу, поручив эксперту исследование журналов доступа облачного хранилища и сопоставление содержащихся в них сведений с данными о трудовой деятельности сотрудника. Эксперт, проанализировав журналы, обнаружил, что записи о доступе к конфиденциальным файлам содержат временные метки, указанные в часовом поясе, отличном от часового пояса, в котором располагался офис работодателя. Приведение меток к единому часовому поясу показало, что часть обращений приходится на нерабочее время, что подтверждало версию работодателя. Однако эксперт также установил, что журналы содержат записи о доступе, инициированные автоматическими процессами синхронизации, которые могли быть ошибочно атрибутированы сотруднику.

Работодатель, получив заключение, настаивал на том, что выводы эксперта подтверждают факт несанкционированного доступа. Сотрудник, напротив, указывал, что эксперт не смог однозначно разграничить действия пользователя и автоматические процессы, а следовательно, заключение не может быть положено в основу решения об увольнении. Суд, оценив заключение, указал, что выводы эксперта носят вероятностный характер и не позволяют с достоверностью установить, какие именно действия были совершены сотрудником, а какие явились результатом функционирования системы синхронизации.

Конфликт между требованием достоверности и ограниченностью информации, содержащейся в журналах, стал центральным в данном деле. Журналы доступа, традиционно рассматриваемые как надежный источник сведений о действиях пользователей, в действительности содержат записи, которые могут быть интерпретированы различным образом в зависимости от контекста. Эксперт, формулирующий вывод на основе журналов, вынужден учитывать возможность автоматических процессов, которые не связаны с действиями конкретного пользователя, однако разграничение таких процессов и действий пользователя не всегда возможно на основе доступных данных.

Постановление о назначении компьютерно-технической экспертизы в данном деле не содержало указания на необходимость исследования конфигурации системы синхронизации, что ограничило возможности эксперта. Эксперт, обнаруживший наличие автоматических процессов, не имел возможности исследовать их настройки, поскольку соответствующая информация не была представлена в его распоряжение. Указанное обстоятельство иллюстрирует конфликт между формальным объемом экспертного задания и фактической потребностью в расширении исследования. Суд, вынося постановление, не мог предвидеть, что для ответа на поставленные вопросы потребуется исследование дополнительных объектов, а эксперт не вправе самостоятельно расширять предмет исследования.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования облачных сервисов сталкивается с дополнительной проблемой: данные, хранящиеся в облаке, находятся вне непосредственного контроля как работодателя, так и эксперта. Провайдер облачных услуг может изменять конфигурацию, обновлять программное обеспечение и модифицировать журналы без ведома сторон, что создает предпосылки для утраты или искажения доказательственной информации. Эксперт, исследующий облачные журналы, вынужден принимать как данность то состояние, в котором они были представлены, не имея возможности верифицировать их целостность и достоверность.

Раздел 11. Кейс 7: Противоречия при исследовании резервных копий баз данных

В рамках дела о банкротстве арбитражный управляющий обратился в суд с заявлением о привлечении к субсидиарной ответственности бывшего руководителя должника, указывая на то, что последний умышленно уничтожил базу данных клиентов, содержащую сведения о дебиторской задолженности. Бывший руководитель отрицал факт уничтожения, утверждая, что база данных была утрачена вследствие сбоя оборудования, а резервные копии, которые могли бы восстановить информацию, были уничтожены по неосторожности. Суд назначил компьютерно-техническую экспертизу, поручив эксперту исследование серверного оборудования и носителей, на которых могли сохраниться резервные копии.

Эксперт, исследуя жесткие диски, обнаружил фрагменты файлов, характерных для системы управления базами данных, однако целостность базы данных была нарушена. Анализ журналов транзакций показал, что в определенный момент была выполнена команда удаления базы данных, сопровождавшаяся очисткой журналов. Эксперт указал в заключении, что характер действий свидетельствует об умышленном уничтожении информации, поскольку штатные процедуры резервного копирования, настроенные на сервере, не были выполнены перед удалением, что нетипично для случайного сбоя. Бывший руководитель, ознакомившись с заключением, заявил ходатайство о назначении повторной экспертизы, указав, что эксперт не учел возможность воздействия вредоносного программного обеспечения, которое могло инициировать удаление без участия пользователя.

Повторная экспертиза, порученная другому эксперту, подтвердила выводы первоначального исследования, однако дополнила их указанием на то, что на сервере действительно присутствовали признаки активности вредоносного программного обеспечения, которое, однако, не имело функциональности, необходимой для удаления базы данных. Эксперт пришел к выводу, что удаление было произведено с использованием учетной записи, обладающей административными правами, и что время удаления совпадает с периодом, когда бывший руководитель находился на рабочем месте. Указанные обстоятельства в совокупности подтверждали версию арбитражного управляющего.

Конфликт между версиями сторон разрешился посредством совокупной оценки двух экспертных заключений, каждое из которых внесло вклад в установление фактических обстоятельств. Первоначальная экспертиза установила факт умышленного удаления, повторная — исключила версию о воздействии вредоносного программного обеспечения. Указанное взаимодействие экспертиз иллюстрирует процессуальный механизм преодоления конфликта между выводами: не путем выбора одного из заключений, а путем их синтеза, позволяющего восполнить пробелы каждого в отдельности.

Компьютерная экспертиза разновидность судебной компьютерно-технической экспертизы в части исследования баз данных требует применения методов, выходящих за пределы анализа файловой системы. Журналы транзакций, хранящиеся в специфических форматах, требуют специальных знаний в области систем управления базами данных, которыми обладает не каждый эксперт-компьютерщик. Эксперт, не имеющий такой подготовки, вынужден ограничиваться анализом файловой системы, что снижает глубину исследования и создает предпосылки для оспаривания заключения. Указанное обстоятельство подчеркивает важность дифференциации экспертных специальностей внутри компьютерно-технической экспертизы и необходимость привлечения специалистов соответствующего профиля.

Услуги по экспертизе технического состояния компьютерной техники в данном кейсе оказались востребованы в части диагностики жестких дисков, на которых сохранились фрагменты удаленной базы данных. Восстановление информации с поврежденных носителей потребовало применения аппаратных методов, не входящих в стандартный арсенал программной экспертизы. Эксперт, располагающий таким инструментарием, смог извлечь данные, которые были бы утрачены при использовании только программных средств. Указанное обстоятельство подтверждает необходимость комплексного подхода к исследованию компьютерной техники, при котором аппаратные и программные методы применяются в сочетании.

Раздел 12. Кейс 8: Спор о подлинности электронной переписки

В производстве суда находилось дело о взыскании задолженности по договору поставки, в рамках которого истец представил в качестве доказательства электронную переписку с представителем ответчика, подтверждающую согласование условий поставки. Ответчик отрицал подлинность переписки, утверждая, что представленные истцом скриншоты и выгрузки не соответствуют действительности, а лицо, указанное в переписке как его представитель, не имело полномочий на согласование условий договора. Суд назначил компьютерно-техническую экспертизу, поручив эксперту исследование представленных истцом носителей и установление соответствия содержащейся на них информации представленным скриншотам.

Эксперт, исследуя жесткий диск, представленный истцом, обнаружил файлы, содержащие экспорт переписки из почтового клиента. Анализ метаданных показал, что файлы были созданы в период, соответствующий датам переписки, однако эксперту не удалось установить, были ли они созданы в результате экспорта из почтового клиента или сформированы искусственно. Эксперт также исследовал скриншоты, представленные истцом, и установил, что они содержат признаки редактирования, включая несоответствие шрифтов и наличие артефактов, характерных для графических редакторов. Указанные обстоятельства дали эксперту основание для вывода о том, что скриншоты не могут быть признаны достоверными.

Истец, ознакомившись с заключением, заявил ходатайство о назначении дополнительной экспертизы, указав, что эксперт не исследовал сервер электронной почты, на котором могла сохраниться исходная переписка. Суд удовлетворил ходатайство, поручив эксперту исследование серверной инфраструктуры истца. Эксперт, получив доступ к серверу, обнаружил, что часть сообщений, отраженных в переписке, действительно проходила через сервер, однако их содержание отличалось от представленного истцом. Указанное обстоятельство свидетельствовало о том, что представленные истцом файлы были модифицированы.

Конфликт между истцом и ответчиком разрешился не в пользу истца: суд, оценив заключения экспертов, пришел к выводу о том, что представленные доказательства не могут быть признаны достоверными, и отказал в удовлетворении иска. Кейс иллюстрирует роль компьютерно-технической экспертизы в установлении подлинности электронных доказательств и демонстрирует, что исследование локальных носителей должно дополняться исследованием серверной инфраструктуры, поскольку локальные файлы могут быть модифицированы без изменения серверных записей.

Вопросы на компьютерно-техническую экспертизу в данном деле касались установления соответствия представленных доказательств фактическим обстоятельствам. Эксперт, отвечая на поставленные вопросы, применил методы анализа метаданных, сравнительного исследования шрифтов и анализа серверных журналов. Указанные методы относятся к различным экспертным специальностям, и их сочетание в рамках одной экспертизы потребовало от эксперта широкой квалификации. Конфликт между требованием специализации и необходимостью комплексного исследования разрешился посредством привлечения эксперта, обладающего познаниями в нескольких областях, однако такой подход не всегда возможен в рамках государственных экспертных учреждений, где специализация выражена более строго.

Техническая экспертиза компьютерной техники в части исследования электронной почты сталкивается с проблемой, связанной с различием форматов хранения сообщений. Почтовые клиенты могут сохранять переписку в собственных форматах, которые не всегда документированы, а серверные журналы — в форматах, зависящих от используемого программного обеспечения. Эксперт, исследующий переписку, вынужден реконструировать цепочку событий на основе разнородных данных, что создает предпосылки для ошибок и неопределенности выводов. Сторона, заинтересованная в оспаривании заключения, использует указанную сложность для обоснования своей позиции, указывая на возможные альтернативные интерпретации.

Раздел 13. Кейс 9: Конфликт при исследовании следов взлома веб-приложения

В рамках уголовного дела о неправомерном доступе к компьютерной информации следователь назначил компьютерно-техническую экспертизу, поручив эксперту исследование веб-сервера, принадлежащего потерпевшей организации. По версии следствия, обвиняемый, используя уязвимость в веб-приложении, получил доступ к базе данных клиентов и скопировал информацию. Обвиняемый отрицал факт взлома, утверждая, что доступ был предоставлен ему сотрудником организации в рамках выполнения работ по договору. Следователь поставил перед экспертом вопросы о наличии следов несанкционированного доступа и о механизме проникновения в систему.

Эксперт, исследуя журналы веб-сервера, обнаружил записи о запросах, содержащих конструкции, характерные для SQL-инъекций. Анализ временных меток показал, что запросы были выполнены в период, соответствующий версии следствия, а IP-адрес, с которого они исходили, совпадал с адресом, принадлежащим обвиняемому. Эксперт также обнаружил в базе данных записи, свидетельствующие о копировании информации, и следы удаления журналов, произведенного с использованием учетной записи администратора. На основании совокупности признаков эксперт сформулировал вывод о несанкционированном доступе, осуществленном с использованием уязвимости веб-приложения.

Защита, ознакомившись с заключением, заявила ходатайство о назначении повторной экспертизы, указав, что эксперт не исследовал возможность того, что запросы, содержащие SQL-инъекции, были выполнены сотрудником организации в рамках тестирования системы безопасности. Защита также указала, что IP-адрес, совпадающий с адресом обвиняемого, мог быть использован третьими лицами посредством прокси-сервера. Суд удовлетворил ходатайство, поручив производство повторной экспертизы другому эксперту.

Повторная экспертиза, произведенная с использованием методов анализа сетевого трафика, подтвердила выводы первоначального исследования в части наличия SQL-инъекций, однако установила, что часть запросов была выполнена с использованием прокси-сервера, что не позволяет однозначно атрибутировать их обвиняемому. Эксперт также обнаружил, что в организации действительно проводились работы по тестированию системы безопасности, которые могли генерировать запросы, сходные с теми, что были квалифицированы как атака. Указанные обстоятельства внесли неопределенность в версию следствия и позволили защите поставить под сомнение доказанность факта несанкционированного доступа.

Конфликт между версиями сторон разрешился посредством совокупной оценки двух экспертных заключений, каждое из которых высветило различные аспекты исследуемых событий. Первоначальная экспертиза установила факт наличия следов, характерных для атаки, повторная — выявила обстоятельства, затрудняющие атрибуцию этих следов конкретному лицу. Суд, оценив совокупность доказательств, признал обвинение недоказанным в части, касающейся несанкционированного доступа, и вынес оправдательный приговор. Кейс иллюстрирует, что компьютерно-техническая экспертиза не всегда позволяет достичь той степени определенности, которая необходима для категорических выводов, и что конфликт между экспертными заключениями может разрешиться в пользу стороны, представившей более убедительную интерпретацию технических данных.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования веб-приложений требует познаний в области веб-технологий, которые выходят за пределы общего курса компьютерно-технической экспертизы. Эксперт, специализирующийся на файловых системах, может не обладать достаточной подготовкой для анализа журналов веб-сервера, что создает предпосылки для неполноты исследования. Указанное обстоятельство подчеркивает необходимость дифференциации экспертных специальностей и привлечения специалистов, обладающих профильными знаниями в конкретной области информационных технологий.

Раздел 14. Кейс 10: Противоречия при оценке ущерба от распространения вредоносного программного обеспечения

В производстве арбитражного суда находилось дело о взыскании убытков, возникших вследствие заражения корпоративной сети вредоносным программным обеспечением, которое, по версии истца, было внедрено в результате действий ответчика, осуществлявшего техническую поддержку сети. Истец утверждал, что вредоносная программа привела к блокировке критически важных систем и повлекла убытки в виде упущенной выгоды. Ответчик отрицал свою причастность, указывая, что заражение произошло по вине сотрудников истца, открывших вложение в электронном письме, а система защиты, установленная ответчиком, функционировала исправно. Суд назначил компьютерно-техническую экспертизу, поручив эксперту исследование инцидента и установление механизма заражения.

Эксперт, исследуя журналы системы защиты и образцы вредоносного программного обеспечения, обнаружил, что заражение произошло в результате запуска исполняемого файла, полученного по электронной почте. Анализ журналов показал, что система защиты, установленная ответчиком, не обнаружила вредоносный файл, поскольку его сигнатура отсутствовала в базе данных на момент заражения. Эксперт также установил, что обновление базы данных сигнатур было произведено с задержкой, причиной которой явилось нарушение регламента обновления со стороны ответчика. Указанное обстоятельство свидетельствовало о ненадлежащем исполнении обязательств по технической поддержке.

Ответчик, ознакомившись с заключением, заявил ходатайство о назначении дополнительной экспертизы, указав, что эксперт не исследовал вопрос о том, могла ли система защиты обнаружить вредоносный файл при своевременном обновлении сигнатур. Эксперт, отвечая на дополнительный вопрос, указал, что сигнатура вредоносного файла была добавлена в базу данных через несколько часов после инцидента, а следовательно, своевременное обновление не гарантировало бы обнаружения. Указанный вывод внес неопределенность в вопрос о причинной связи между действиями ответчика и наступившими убытками.

Суд, оценив заключения, пришел к выводу о том, что ответчик допустил нарушение регламента обновления, однако причинная связь между этим нарушением и убытками не доказана с достаточной степенью достоверности. В удовлетворении иска было отказано. Кейс иллюстрирует сложность установления причинной связи в инцидентах, связанных с вредоносным программным обеспечением. Эксперт, исследующий инцидент, может установить последовательность событий, однако оценка того, привело ли бы своевременное вмешательство к предотвращению ущерба, требует применения методов, выходящих за пределы компьютерно-технической экспертизы.

Компьютерно-техническая экспертиза в Москве в данном деле продемонстрировала, что исследование инцидентов информационной безопасности требует не только технических, но и организационных познаний. Эксперт, анализирующий журналы, должен понимать, как функционируют системы защиты в реальных условиях, какие задержки допустимы, а какие свидетельствуют о нарушениях. Указанные познания приобретаются в процессе практической работы и не всегда формализованы в методических рекомендациях. Сторона, оспаривающая заключение, использует отсутствие формализованных критериев для обоснования своей позиции, указывая на возможные альтернативные интерпретации.

Постановление о назначении компьютерно-технической судебной экспертизы в данном деле содержало вопросы, касающиеся как технических аспектов инцидента, так и организационных аспектов деятельности ответчика. Эксперт, отвечая на вопросы, вышел за пределы чисто технического исследования и произвел оценку соблюдения регламента, что относится скорее к организационной, чем к технической экспертизе. Указанное смешение предметных областей создало предпосылки для оспаривания заключения, поскольку ответчик указал, что эксперт не обладал познаниями в области организации технической поддержки. Суд, однако, признал заключение допустимым, указав, что эксперт обладает достаточной квалификацией для оценки технических аспектов регламента.

Раздел 15. Процессуальные и организационные аспекты взаимодействия участников при назначении компьютерно-технических исследований

Взаимодействие участников процесса при назначении и производстве компьютерно-технической экспертизы характеризуется устойчивым конфликтом между состязательным началом и требованием объективности. Сторона, инициирующая назначение экспертизы, заинтересована в получении выводов, подтверждающих ее позицию, и использует процессуальные механизмы для достижения этой цели. Указанная заинтересованность проявляется в формулировании вопросов, выборе экспертного учреждения и представлении материалов. Противоположная сторона, в свою очередь, использует механизмы оспаривания для дискредитации заключения или для затягивания процесса. Конфликт между указанными стратегиями составляет содержание процессуальной динамики, в рамках которой компьютерно-техническая экспертиза выступает одновременно инструментом установления истины и средством процессуальной борьбы.

Постановление о назначении компьютерно-технической экспертизы формулируется следователем или судьей, которые не обладают специальными познаниями в области компьютерных технологий. Указанное обстоятельство создает предпосылки для включения в постановление вопросов, решение которых либо невозможно, либо выходит за пределы компетенции эксперта. Эксперт, обнаруживший такие вопросы, вправе ходатайствовать об их уточнении или исключении, однако указанное право не всегда реализуется ввиду опасения затягивания процесса. В результате эксперт вынужден либо отвечать на вопросы в пределах своих возможностей, либо формулировать отказ, который может быть воспринят как недобросовестность.

Виды компьютерно-технических экспертиз предполагают различие в квалификации экспертов и в инструментарии, необходимом для производства исследования. Аппаратно-компьютерная экспертиза требует познаний в области электроники и схемотехники, программно-компьютерная — в области программирования и анализа кода, информационно-компьютерная — в области файловых систем и баз данных, компьютерно-сетевая — в области сетевых протоколов и коммуникаций. Следователь, назначающий экспертизу, не всегда осознает указанное различие и поручает производство эксперту, специализация которого не соответствует предмету исследования. Эксперт, не обладающий необходимой квалификацией, вынужден либо отказаться от производства, либо выходить за пределы своей специальности, что создает предпосылки для оспаривания заключения.

Услуги по экспертизе технического состояния компьютерной техники в рамках судебного процесса оказываются в условиях конкуренции между государственными и негосударственными экспертными учреждениями. Первые обладают преимуществом в виде формального статуса и опыта работы с правоохранительными органами, вторые — в виде гибкости и скорости. Сторона, обладающая финансовыми ресурсами, может выбрать учреждение, в наибольшей степени соответствующее ее интересам, что создает предпосылки для неравенства процессуальных возможностей. Указанное неравенство не является специфическим для компьютерно-технической экспертизы, однако в данной области оно проявляется наиболее остро ввиду высокой стоимости оборудования и программного обеспечения.

Вопросы на компьютерно-техническую экспертизу, формулируемые стороной защиты, нередко направлены на установление обстоятельств, которые не были исследованы стороной обвинения. Указанная тактика позволяет защите выявить пробелы в доказательственной базе и поставить под сомнение выводы первоначальной экспертизы. Эксперт, отвечающий на такие вопросы, вынужден производить исследование в условиях ограниченного времени и ограниченных материалов, что может привести к формулированию вероятностных выводов, которые не всегда принимаются судом в качестве достаточных. Конфликт между правом стороны на представление доказательств и требованием достаточности доказательств для вынесения решения разрешается посредством совокупной оценки всех материалов дела.

Компьютерно-техническая экспертиза в Москве, назначаемая в рамках арбитражного процесса, подчиняется правилам, допускающим назначение экспертизы по инициативе суда. Указанное полномочие позволяет суду восполнить пробелы в доказательственной базе, однако создает предпосылки для конфликта между активной ролью суда и принципом состязательности. Стороны, лишенные возможности влиять на формулирование вопросов и выбор экспертного учреждения, могут воспринимать назначение экспертизы как проявление недоверия к их позициям. Указанное восприятие, в свою очередь, влияет на оценку заключения и на готовность сторон к его принятию.

Раздел 16. Проблемные аспекты формулирования вопросов и определения объема экспертного задания

Формулирование вопросов для компьютерно-технической экспертизы представляет собой самостоятельную проблему, от разрешения которой зависит качество экспертного заключения. Вопросы должны быть сформулированы таким образом, чтобы эксперт мог ответить на них на основе доступных методов и материалов. На практике следователи и судьи зачастую формулируют вопросы в общих терминах, не конкретизируя, какие именно обстоятельства подлежат установлению. Эксперт, получивший такой вопрос, вынужден самостоятельно определять объем исследования, что создает предпосылки для конфликта между ожиданиями заказчика и фактическими возможностями эксперта.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта доступа к информации, нередко формулируются без указания на конкретные файлы или временные интервалы. Эксперт, отвечающий на такой вопрос, вынужден исследовать весь объем данных, содержащихся на носителе, что требует значительных временных затрат и может привести к обнаружению обстоятельств, не относящихся к предмету доказывания. Указанное расширение исследования создает предпосылки для конфликта между требованием полноты и принципом процессуальной экономии. Сторона, заинтересованная в затягивании процесса, использует указанное обстоятельство для постановки дополнительных вопросов, требующих нового исследования.

Постановление о назначении компьютерно-технической экспертизы должно содержать перечень материалов, предоставляемых в распоряжение эксперта. На практике указанный перечень не всегда соответствует фактическим потребностям исследования. Эксперт, обнаруживший, что для ответа на поставленный вопрос необходимо исследование объектов, не указанных в постановлении, вынужден ходатайствовать о предоставлении дополнительных материалов. Указанное ходатайство затягивает процесс и создает предпосылки для конфликта между экспертом и следователем. В некоторых случаях следователь отказывает в удовлетворении ходатайства, ссылаясь на отсутствие таких материалов или на нецелесообразность их предоставления, что вынуждает эксперта формулировать выводы в условиях неполноты исходных данных.

Техническая экспертиза компьютерной техники в части определения объема экспертного задания сталкивается с проблемой разграничения исследования, достаточного для ответа на поставленный вопрос, и исследования, выходящего за пределы этого вопроса. Эксперт, стремящийся к полноте, рискует выйти за рамки задания и подвергнуть заключение критике за исследование обстоятельств, не относящихся к делу. Эксперт, ограничивающий исследование минимально необходимым объемом, рискует столкнуться с упреком в неполноте и поверхностности. Указанная дилемма не имеет универсального разрешения и воспроизводится в каждом конкретном случае, порождая конфликт между экспертом и участниками процесса, каждый из которых имеет собственное представление о должном объеме исследования.

Виды компьютерно-технических экспертиз различаются не только по объектам, но и по типовым вопросам, решение которых поручается эксперту соответствующей специальности. Аппаратно-компьютерная экспертиза типично отвечает на вопросы о техническом состоянии оборудования, причинах отказов и возможности восстановления работоспособности. Программно-компьютерная — о функциональном назначении программ, наличии признаков вредоносного кода и степени переработки исходного кода. Информационно-компьютерная — о наличии, содержании и времени создания информации. Компьютерно-сетевая — о характере сетевых взаимодействий и источниках сетевых атак. Смешение типовых вопросов в рамках одной экспертизы создает предпосылки для выхода эксперта за пределы компетенции и для последующего оспаривания заключения.

Вопросы на компьютерно-техническую экспертизу, формулируемые стороной обвинения в уголовном процессе, нередко носят характер, предполагающий установление обстоятельств, которые могут быть использованы как для подтверждения, так и для опровержения версии следствия. Эксперт, отвечающий на такие вопросы, должен быть готов к тому, что его выводы могут быть использованы любой стороной. Указанная нейтральность эксперта не всегда осознается участниками процесса, которые ожидают от него поддержки своей позиции. Конфликт между ожиданиями заказчика и профессиональной обязанностью эксперта давать объективные выводы составляет устойчивую линию напряжения в рассматриваемой области.

Постановление о назначении компьютерно-технической экспертизы в Москве, выносимое судом в рамках гражданского или арбитражного процесса, должно учитывать, что стороны обладают правом представлять дополнительные вопросы и ходатайствовать о назначении эксперта конкретного учреждения. Указанные права создают предпосылки для конфликта между сторонами, каждая из которых стремится обеспечить наиболее благоприятные условия для производства исследования. Суд, разрешающий указанный конфликт, вынужден балансировать между требованием состязательности и необходимостью обеспечения объективности и беспристрастности эксперта. Указанный баланс не всегда достигается, что порождает предпосылки для последующего оспаривания заключения.

Раздел 17. Проблемы оценки достоверности экспертных выводов в условиях неопределенности

Оценка достоверности заключения компьютерно-технической экспертизы представляет собой задачу, сложность которой не всегда осознается участниками процесса. Судья, не обладающий специальными познаниями, вынужден оценивать выводы эксперта на основе формальных критериев, оставляя без внимания содержательную сторону исследования. Указанное обстоятельство создает предпосылки для того, что заключение, содержащее методологически необоснованные выводы, но оформленное надлежащим образом, принимается судом в качестве достоверного доказательства. Противоположная ситуация, при которой методологически корректное заключение содержит вероятностные выводы, воспринимается судом как недостаточное доказательство.

Компьютерно-техническая экспертиза в Москве, произведенная в негосударственном экспертном учреждении, нередко содержит выводы, сформулированные в категорической форме, в то время как государственные эксперты, связанные более строгими методическими требованиями, формулируют выводы в вероятностной форме. Указанное различие создает предпосылки для конфликта между сторонами, каждая из которых выбирает заключение, в наибольшей степени соответствующее ее интересам. Суд, оценивающий оба заключения, оказывается перед необходимостью выбора между категоричностью и методологической осторожностью, не имея критериев для предпочтения одного подхода другому.

Постановление о назначении компьютерно-технической судебной экспертизы не содержит указаний на форму, в которой должны быть сформулированы выводы. Эксперт самостоятельно определяет, является ли его вывод категорическим или вероятностным, исходя из полноты исследования и надежности примененных методов. Указанная свобода создает предпосылки для злоупотреблений, при которых эксперт, заинтересованный в определенном исходе дела, формулирует категорический вывод при отсутствии достаточных оснований. Противоположная ситуация, при которой эксперт формулирует вероятностный вывод при наличии достаточных оснований для категорического, также возможна и создает предпосылки для необоснованного освобождения лица от ответственности.

Вопросы на компьютерно-техническую экспертизу, ответы на которые требуют применения методов, не апробированных в судебно-экспертной практике, создают особую проблему для оценки достоверности. Эксперт, применяющий такие методы, вынужден самостоятельно обосновывать их надежность, что выходит за пределы его компетенции. Указанное обоснование не всегда принимается судом, поскольку судья не обладает познаниями, необходимыми для его оценки. Конфликт между требованием научной обоснованности и необходимостью ответа на поставленный вопрос разрешается посредством формулирования вывода в вероятностной форме или посредством отказа от разрешения вопроса, что не всегда удовлетворяет участников процесса.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования больших объемов данных сталкивается с проблемой репрезентативности выборки. Эксперт, исследующий терабайты информации, не имеет возможности проанализировать каждый файл и вынужден применять выборочные методы. Указанная выборка может оказаться нерепрезентативной, что приведет к ошибочным выводам. Сторона, оспаривающая заключение, использует указанное обстоятельство для обоснования своей позиции, указывая на возможные файлы, не вошедшие в выборку. Эксперт, в свою очередь, вынужден обосновывать репрезентативность выборки, что требует применения статистических методов, не всегда доступных специалисту в области компьютерных технологий.

Раздел 18. Коллизии, связанные с изменчивостью объекта исследования в ходе экспертного производства

Изменчивость объекта исследования составляет специфическую проблему компьютерно-технической экспертизы, отличающую ее от большинства традиционных родов экспертиз. Материальные объекты, исследуемые в рамках трасологической или баллистической экспертизы, сохраняют свои свойства в течение длительного времени, что позволяет производить повторные исследования и верифицировать выводы. Компьютерные объекты, напротив, изменяются при каждом обращении: запуск операционной системы модифицирует журналы, открытие файла изменяет временные метки, подключение к сети порождает новые записи. Указанная изменчивость создает предпосылки для конфликта между требованием сохранности объекта и необходимостью его исследования.

Эксперт, получивший носитель информации, должен произвести его копирование до начала исследования, чтобы обеспечить возможность повторного анализа. Указанная процедура, известная как создание образа, требует применения специального оборудования, блокирующего запись. Не все экспертные учреждения располагают таким оборудованием, что создает предпосылки для исследования оригинала без создания образа. В результате объект изменяется в ходе исследования, и последующая проверка выводов становится невозможной. Сторона, оспаривающая заключение, указывает на указанное обстоятельство как на основание для признания заключения недопустимым.

Постановление о назначении компьютерно-технической экспертизы должно содержать указание на необходимость создания образа исследуемого носителя. На практике такое указание присутствует не всегда, что создает предпосылки для исследования оригинала. Эксперт, осознающий важность сохранности объекта, может самостоятельно инициировать создание образа, однако указанное действие требует дополнительного времени и ресурсов, которые не всегда доступны. Конфликт между требованием сохранности объекта и ограниченностью ресурсов разрешается посредством применения компромиссных подходов, которые не всегда обеспечивают надлежащий уровень сохранности.

Техническая экспертиза компьютерной техники в части исследования работающих систем сталкивается с проблемой, связанной с невозможностью остановки системы без нарушения ее функционирования. Эксперт, исследующий сервер, не может остановить его для производства исследования, поскольку это приведет к нарушению бизнес-процессов организации. Указанное ограничение вынуждает эксперта производить исследование в режиме реального времени, что создает предпосылки для изменения объекта в ходе исследования. Сторона, заинтересованная в оспаривании заключения, указывает на указанное обстоятельство как на основание для сомнений в достоверности выводов.

Компьютерная экспертиза разновидность судебной компьютерно-технической экспертизы в части исследования мобильных устройств сталкивается с дополнительной проблемой, связанной с автономностью устройств. Мобильное устройство, изъятое у пользователя, может сохранять подключение к сети, получать обновления и изменять свое состояние без ведома эксперта. Указанная автономность создает предпосылки для утраты доказательственной информации и для изменения объекта в ходе исследования. Эксперт, осознающий указанную проблему, должен поместить устройство в условия, исключающие сетевые подключения, однако указанная процедура не всегда выполняется на стадии изъятия, что создает предпосылки для утраты информации.

Раздел 19. Конфликт между процессуальной экономией и требованием всесторонности исследования

Процессуальная экономия и требование всесторонности исследования представляют собой два начала, конфликт между которыми составляет устойчивую линию напряжения в судебно-экспертной деятельности. Процессуальная экономия требует производства исследования в разумные сроки и с минимальными затратами, тогда как всесторонность требует исследования всех обстоятельств, имеющих значение для дела. Указанный конфликт проявляется в компьютерно-технической экспертизе с особой остротой, поскольку исследуемые объекты обладают значительным объемом и сложностью, а их исследование требует применения ресурсоемких методов.

Следователь, назначающий компьютерно-техническую экспертизу, заинтересован в получении результатов в сроки, установленные для предварительного следствия. Указанная заинтересованность побуждает его формулировать вопросы в общем виде, не конкретизируя объем исследования, что позволяет эксперту ограничиться минимально необходимым анализом. Эксперт, в свою очередь, заинтересован в производстве полного исследования, поскольку неполнота заключения создает предпосылки для его оспаривания. Конфликт между указанными интересами разрешается посредством переговоров между следователем и экспертом, в рамках которых определяются приоритетные направления исследования и допустимые сроки.

Виды компьютерно-технических экспертиз различаются по трудоемкости: аппаратная диагностика может быть произведена в течение нескольких часов, тогда как анализ больших объемов информации требует недель. Следователь, не осознающий указанного различия, устанавливает единые сроки для всех видов исследования, что создает предпосылки для конфликта между требованием качества и требованием скорости. Эксперт, вынужденный работать в условиях жестких сроков, применяет выборочные методы, которые не всегда обеспечивают достаточную полноту. Сторона, заинтересованная в оспаривании заключения, использует указанное обстоятельство для обоснования своей позиции.

Постановление о назначении компьютерно-технической экспертизы в Москве, выносимое судом, должно учитывать реальные сроки производства исследования, которые зависят от объема объектов и сложности поставленных вопросов. На практике указанное требование не всегда соблюдается, что приводит к нарушению процессуальных сроков и к конфликту между судом и экспертным учреждением. Эксперт, не успевающий произвести исследование в установленный срок, вынужден либо ходатайствовать о его продлении, либо формулировать выводы в условиях неполноты исследования. Оба варианта создают предпосылки для конфликта.

Вопросы на компьютерно-техническую экспертизу, требующие исследования больших объемов данных, создают особую проблему для процессуальной экономии. Эксперт, исследующий терабайты информации, вынужден применять автоматизированные методы поиска и фильтрации, которые позволяют сократить объем исследуемых данных, но не гарантируют обнаружения всей релевантной информации. Указанное ограничение не всегда осознается участниками процесса, которые ожидают от эксперта полного исследования. Конфликт между ожиданиями и фактическими возможностями разрешается посредством разъяснения экспертом примененных методов и их ограничений, однако указанное разъяснение не всегда принимается во внимание.

Раздел 20. Проблемы, связанные с определением компетенции эксперта и разграничением экспертных специальностей

Определение компетенции эксперта представляет собой задачу, от разрешения которой зависит допустимость заключения как доказательства. Эксперт, вышедший за пределы своей компетенции, создает предпосылки для оспаривания заключения независимо от правильности его выводов. Указанная проблема приобретает особую остроту в компьютерно-технической экспертизе, поскольку границы между экспертными специальностями внутри данного рода экспертизы остаются подвижными и не всегда четко определены.

Аппаратно-компьютерная экспертиза требует познаний в области электроники и схемотехники, которые не входят в программу подготовки экспертов-программистов. Программно-компьютерная экспертиза требует познаний в области программирования и анализа кода, которые не входят в программу подготовки экспертов-электронщиков. Информационно-компьютерная экспертиза требует познаний в области файловых систем и баз данных, которые не всегда присутствуют у специалистов в области аппаратного или программного обеспечения. Указанное разграничение не всегда осознается следователями и судьями, которые поручают производство экспертизы эксперту, обладающему познаниями в одной области, но не в той, которая необходима для ответа на поставленный вопрос.

Вопросы на компьютерно-техническую экспертизу, требующие познаний в нескольких областях, создают предпосылки для выхода эксперта за пределы компетенции. Эксперт, отвечающий на вопрос, требующий познаний в области, в которой он не специализируется, вынужден либо отказаться от разрешения вопроса, либо применить методы, выходящие за пределы его подготовки. Указанный выбор не всегда осознается экспертом, который может переоценить свою квалификацию и сформулировать выводы, не обеспеченные достаточными познаниями. Сторона, оспаривающая заключение, использует указанное обстоятельство для обоснования своей позиции, указывая на некомпетентность эксперта.

Постановление о назначении компьютерно-технической экспертизы должно содержать указание на экспертную специальность, в рамках которой поручается производство исследования. На практике указанное требование не всегда соблюдается: следователь указывает род экспертизы, не конкретизируя специальность, что позволяет экспертному учреждению самостоятельно определить, какой эксперт будет производить исследование. Указанная свобода создает предпосылки для поручения производства эксперту, не обладающему необходимой квалификацией, что приводит к неполноте или ошибочности заключения.

Техническая экспертиза компьютерной техники в части определения компетенции эксперта сталкивается с проблемой, связанной с отсутствием единых критериев аттестации. Эксперты, получившие право производства компьютерно-технической экспертизы в различных учреждениях, могут обладать различным уровнем подготовки и различным объемом знаний. Указанное различие не всегда отражено в документах, подтверждающих квалификацию, что создает предпосылки для поручения производства экспертизы эксперту, формально соответствующему требованиям, но фактически не обладающему необходимыми познаниями. Сторона, заинтересованная в оспаривании заключения, использует указанное обстоятельство для постановки вопроса о компетентности эксперта.

Раздел 21. Коллизии, возникающие при производстве комплексных компьютерно-технических исследований

Комплексная экспертиза представляет собой процессуальную форму, позволяющую преодолеть ограниченность отдельной экспертной специальности посредством привлечения специалистов различных профилей. В компьютерно-технической экспертизе комплексность востребована в случаях, когда исследуемый объект одновременно относится к нескольким категориям или когда поставленные вопросы требуют применения методов различных специальностей. Указанная востребованность порождает конфликт между требованием комплексности и организационными возможностями экспертных учреждений, которые не всегда располагают специалистами необходимого профиля.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования инцидентов информационной безопасности типично требует привлечения специалистов в области операционных систем, сетевых протоколов, баз данных и прикладного программного обеспечения. Каждый из указанных специалистов обладает познаниями в своей области, но не обладает полной картиной инцидента. Комплексная экспертиза предполагает синтез знаний различных специалистов, однако на практике указанный синтез не всегда достигается: эксперты производят исследование каждый в своей части, а выводы формулируются на основе механического соединения результатов, без подлинного синтеза.

Постановление о назначении компьютерно-технической экспертизы, предполагающей комплексное исследование, должно содержать указание на необходимость привлечения специалистов различных профилей. На практике указанное требование не всегда соблюдается: следователь поручает производство экспертизы одному эксперту, предполагая, что он обладает достаточной квалификацией для разрешения всех вопросов. Эксперт, осознающий ограниченность своей подготовки, вынужден либо ходатайствовать о привлечении дополнительных специалистов, либо производить исследование в пределах своих возможностей, что создает предпосылки для неполноты заключения.

Виды компьютерно-технических экспертиз, предполагающие комплексное исследование, требуют согласования методических подходов, применяемых различными специалистами. Указанное согласование не всегда достигается, поскольку специалисты различных профилей могут придерживаться различных представлений о том, какие методы являются надлежащими. Конфликт между методическими подходами разрешается посредством переговоров между экспертами, однако указанные переговоры не всегда приводят к согласию. В результате заключение комплексной экспертизы может содержать внутренние противоречия, которые создают предпосылки для оспаривания.

Компьютерно-техническая экспертиза в Москве, произведенная в рамках комплексного исследования, нередко сталкивается с проблемой распределения ответственности между экспертами. Каждый эксперт несет ответственность за свою часть заключения, однако общий вывод формулируется совместно. Указанное распределение ответственности не всегда четко определено, что создает предпосылки для конфликта между экспертами в случае оспаривания заключения. Сторона, заинтересованная в дискредитации заключения, использует указанную неопределенность для постановки вопроса о том, кто именно несет ответственность за ошибочные выводы.

Раздел 22. Проблемы, связанные с использованием автоматизированных методов исследования

Автоматизированные методы исследования приобретают все большее значение в компьютерно-технической экспертизе, поскольку объемы исследуемых данных превышают возможности их ручного анализа. Указанные методы позволяют производить поиск, фильтрацию и классификацию информации, однако их применение создает предпосылки для конфликта между требованием достоверности и ограниченностью алгоритмических процедур. Автоматизированный поиск, основанный на заданных критериях, может пропустить информацию, не соответствующую этим критериям, но имеющую значение для дела. Указанное ограничение не всегда осознается участниками процесса, которые воспринимают результаты автоматизированного анализа как исчерпывающие.

Эксперт, применяющий автоматизированные методы, должен обосновать выбор критериев поиска и оценить риск пропуска релевантной информации. Указанное обоснование требует познаний в области статистики и теории вероятностей, которые не всегда входят в подготовку эксперта-компьютерщика. В результате эксперт применяет критерии, руководствуясь интуицией или опытом, без надлежащего обоснования. Сторона, оспаривающая заключение, указывает на возможный пропуск информации как на основание для сомнений в полноте исследования.

Вопросы на компьютерно-техническую экспертизу, требующие поиска информации по заданным признакам, создают предпосылки для конфликта между заказчиком и экспертом по поводу критериев поиска. Заказчик, обладающий представлением о том, какая информация имеет значение для дела, формулирует критерии в общем виде, не конкретизируя их. Эксперт, получивший такие критерии, вынужден самостоятельно определять, какие признаки являются релевантными, что создает предпосылки для расхождения между ожиданиями заказчика и результатами исследования. Указанное расхождение не всегда осознается на стадии формулирования вопросов и обнаруживается только после получения заключения.

Постановление о назначении компьютерно-технической экспертизы в Москве должно содержать указание на методы, которые предполагается использовать при производстве исследования. На практике указанное требование не соблюдается: следователь не обладает познаниями, необходимыми для определения методов, и оставляет выбор на усмотрение эксперта. Указанная свобода создает предпосылки для применения методов, не апробированных в судебно-экспертной практике, что создает предпосылки для оспаривания заключения. Эксперт, применяющий такие методы, вынужден самостоятельно обосновывать их надежность, что выходит за пределы его компетенции.

Раздел 23. Конфликт между требованием сохранности доказательственной информации и необходимостью ее исследования

Сохранность доказательственной информации представляет собой требование, соблюдение которого необходимо для обеспечения возможности повторного исследования и верификации выводов. Указанное требование вступает в конфликт с необходимостью исследования, поскольку любое исследование изменяет объект. В компьютерно-технической экспертизе указанный конфликт проявляется с особой остротой, поскольку цифровые объекты изменяются при каждом обращении, а возможности их резервирования не всегда доступны.

Эксперт, получивший носитель информации, должен произвести его копирование до начала исследования. Указанное копирование требует применения специального оборудования и программного обеспечения, которые не всегда доступны в экспертных учреждениях. В результате эксперт вынужден либо исследовать оригинал, изменяя его, либо отказываться от производства исследования. Оба варианта создают предпосылки для конфликта: в первом случае сторона, заинтересованная в оспаривании заключения, указывает на изменение объекта, во втором — на неполноту исследования.

Техническая экспертиза компьютерной техники в части исследования работающих систем сталкивается с проблемой, связанной с невозможностью остановки системы без нарушения ее функционирования. Эксперт, исследующий работающий сервер, не может произвести его копирование без остановки, поскольку копирование работающей системы не гарантирует целостности данных. Указанное ограничение вынуждает эксперта производить исследование в режиме реального времени, что создает предпосылки для изменения объекта в ходе исследования. Сторона, заинтересованная в оспаривании заключения, использует указанное обстоятельство для обоснования сомнений в достоверности выводов.

Компьютерная экспертиза разновидность судебной компьютерно-технической экспертизы в части исследования мобильных устройств сталкивается с дополнительной проблемой, связанной с невозможностью создания полного образа устройства без его разблокировки. Устройство, защищенное паролем, не может быть скопировано стандартными средствами, что создает предпосылки для исследования только доступной части данных. Указанное ограничение не всегда осознается участниками процесса, которые ожидают полного исследования. Эксперт, ограниченный доступной частью данных, формулирует выводы в пределах своих возможностей, что создает предпосылки для оспаривания заключения как неполного.

Вопросы на компьютерно-техническую экспертизу, требующие исследования информации, хранящейся в облачных сервисах, создают особую проблему для сохранности доказательственной информации. Данные, хранящиеся в облаке, находятся вне контроля эксперта и могут быть изменены или удалены провайдером без его ведома. Эксперт, исследующий облачные данные, вынужден принимать их в том состоянии, в котором они были представлены, не имея возможности верифицировать их целостность. Указанное ограничение создает предпосылки для оспаривания заключения, поскольку сторона, заинтересованная в этом, указывает на возможное изменение данных после их изъятия.

Раздел 24. Проблемы, связанные с оценкой заключения компьютерно-технической экспертизы судом

Оценка заключения компьютерно-технической экспертизы судом представляет собой заключительный этап, на котором определяется доказательственное значение произведенного исследования. Судья, не обладающий специальными познаниями, вынужден оценивать заключение на основе формальных критериев и внутреннего убеждения, формирующегося под влиянием доводов сторон. Указанное положение создает предпосылки для конфликта между требованием объективной оценки и фактической зависимостью судьи от позиций сторон, каждая из которых стремится представить заключение в выгодном для себя свете.

Постановление о назначении компьютерно-технической экспертизы, вынесенное с соблюдением процессуальных требований, создает презумпцию допустимости заключения. Указанная презумпция может быть опровергнута стороной, представившей аргументированные возражения. На практике указанные возражения не всегда принимаются судом, поскольку судья не обладает познаниями, необходимыми для их оценки. В результате заключение, содержащее методологические ошибки, но оформленное надлежащим образом, принимается в качестве достоверного доказательства. Противоположная ситуация, при которой методологически корректное заключение содержит вероятностные выводы, воспринимается как недостаточное доказательство, поскольку судья ожидает категоричности.

Вопросы на компьютерно-техническую экспертизу, ответы на которые содержат вероятностные выводы, создают проблему для судебной оценки. Судья, оценивающий вероятностный вывод, вынужден определить, является ли указанная вероятность достаточной для признания обстоятельства доказанным. Указанное определение не имеет формальных критериев и зависит от усмотрения судьи. Конфликт между требованием определенности и вероятностным характером выводов разрешается посредством совокупной оценки всех доказательств, однако указанная оценка не всегда приводит к однозначному результату.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования сложных инцидентов нередко содержит выводы, которые не могут быть верифицированы без применения специальных познаний. Судья, оценивающий такие выводы, вынужден доверять эксперту, не имея возможности проверить обоснованность его заключения. Указанное доверие создает предпосылки для злоупотреблений со стороны эксперта, который может формулировать выводы, не обеспеченные достаточными основаниями. Сторона, заинтересованная в оспаривании заключения, использует указанное обстоятельство для постановки вопроса о недопустимости доказательства, однако указанный вопрос не всегда разрешается в ее пользу.

Компьютерно-техническая экспертиза в Москве, произведенная в рамках состязательного процесса, нередко становится объектом критики со стороны проигравшей стороны, которая указывает на неполноту исследования или на некомпетентность эксперта. Указанная критика не всегда обоснована, однако создает предпосылки для апелляционного обжалования. Суд апелляционной инстанции, рассматривающий жалобу, вынужден оценивать заключение повторно, что требует познаний, которых у него нет. В результате оценка заключения сводится к формальной проверке соблюдения процессуальных требований, а содержательная сторона остается вне пределов рассмотрения.

Раздел 25. Проблемы, связанные с определением стоимости и сроков производства компьютерно-технических исследований

Стоимость и сроки производства компьютерно-технической экспертизы представляют собой факторы, влияющие на доступность данного вида исследования для участников процесса. Указанные факторы создают предпосылки для конфликта между требованием равенства процессуальных возможностей и фактическим неравенством сторон, обладающих различными финансовыми ресурсами. Сторона, способная оплатить производство исследования в негосударственном учреждении, получает доступ к более широкому спектру методов и к более сжатым срокам, тогда как сторона, вынужденная довольствоваться государственной экспертизой, сталкивается с очередями и ограниченным инструментарием.

Постановление о назначении компьютерно-технической экспертизы в Москве, выносимое судом, должно содержать указание на учреждение, которому поручается производство исследования, и на порядок оплаты. На практике указанные вопросы не всегда решаются надлежащим образом, что создает предпосылки для конфликта между сторонами. Сторона, не согласная с выбором учреждения, заявляет отвод эксперту, что затягивает процесс. Сторона, не согласная с порядком оплаты, ходатайствует о назначении экспертизы в учреждение, располагающее бюджетным финансированием, что не всегда возможно ввиду отсутствия таких учреждений, обладающих необходимой квалификацией.

Виды компьютерно-технических экспертиз различаются по стоимости: аппаратная диагностика может быть произведена с минимальными затратами, тогда как анализ больших объемов информации требует применения дорогостоящего оборудования и программного обеспечения. Следователь, назначающий экспертизу, не всегда осознает указанное различие и устанавливает бюджет, недостаточный для производства полноценного исследования. Эксперт, вынужденный работать в условиях ограниченного бюджета, применяет методы, которые не обеспечивают достаточной полноты. Сторона, заинтересованная в оспаривании заключения, использует указанное обстоятельство для обоснования своей позиции.

Техническая экспертиза компьютерной техники в части сроков производства сталкивается с проблемой, связанной с зависимостью от производителей оборудования и программного обеспечения. Эксперт, исследующий устройство, может столкнуться с необходимостью получения информации от производителя, что требует времени. Указанная зависимость не всегда осознается участниками процесса, которые ожидают производства исследования в сроки, установленные процессуальным законодательством. Конфликт между ожиданиями и фактическими возможностями разрешается посредством продления сроков, что создает предпосылки для затягивания процесса.

Раздел 26. Проблемы, связанные с определением пределов экспертного исследования при наличии признаков противоправных действий

Определение пределов экспертного исследования при наличии признаков противоправных действий представляет собой задачу, от разрешения которой зависит допустимость заключения. Эксперт, обнаруживший в ходе исследования признаки преступления, не вправе производить их правовую квалификацию, поскольку указанная квалификация относится к компетенции органов предварительного расследования и суда. Указанное ограничение не всегда соблюдается: эксперт, увлеченный исследованием, формулирует выводы, выходящие за пределы его компетенции, что создает предпосылки для оспаривания заключения.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта неправомерного доступа, нередко формулируются таким образом, что ответ на них требует правовой оценки. Эксперт, отвечающий на такой вопрос, вынужден либо отказаться от его разрешения, ссылаясь на выход за пределы компетенции, либо произвести техническое исследование, результаты которого могут быть использованы для правовой квалификации. Указанный выбор не всегда осознается экспертом, который может переоценить свою роль и сформулировать выводы, содержащие элементы правовой оценки.

Постановление о назначении компьютерно-технической экспертизы должно содержать вопросы, сформулированные в технических терминах, не предполагающих правовой оценки. На практике указанное требование не всегда соблюдается: следователь формулирует вопросы в терминах, заимствованных из уголовного закона, что создает предпосылки для выхода эксперта за пределы компетенции. Эксперт, получивший такой вопрос, вынужден самостоятельно переформулировать его в технических терминах, что создает предпосылки для расхождения между вопросом, поставленным следователем, и вопросом, разрешенным экспертом.

Компьютерная экспертиза разновидность судебной компьютерно-технической экспертизы в части исследования признаков противоправных действий сталкивается с проблемой, связанной с разграничением технической констатации и юридической квалификации. Эксперт, обнаруживший на носителе информацию, распространение которой ограничено законом, не вправе оценивать ее как запрещенную к обороту, однако он обязан зафиксировать ее наличие и описать содержание в терминах, доступных для последующей правовой оценки. Указанное разграничение не всегда соблюдается: эксперт либо ограничивается формальной констатацией, не описывая содержание, что делает выводы непригодными для правовой квалификации, либо выходит за пределы компетенции, оценивая информацию как противоправную. Оба варианта создают предпосылки для конфликта между экспертом и участниками процесса.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления авторства программного кода, нередко формулируются с использованием терминов, заимствованных из гражданского законодательства, таких как «плагиат» или «неправомерное заимствование». Указанные термины имеют правовое содержание, и их использование в вопросах эксперту создает предпосылки для выхода за пределы компетенции. Эксперт, отвечающий на такой вопрос, вынужден либо переформулировать его в технических терминах, либо указать на невозможность разрешения вопроса в предложенной формулировке. Указанный отказ не всегда понимается участниками процесса, которые воспринимают его как уклонение от ответа.

Постановление о назначении компьютерно-технической экспертизы в Москве, выносимое в рамках уголовного дела о неправомерном доступе к компьютерной информации, должно содержать вопросы, разграничивающие техническую и правовую стороны исследования. На практике указанное требование не всегда соблюдается: следователь формулирует вопрос о том, имел ли место неправомерный доступ, что предполагает правовую оценку, которая относится к компетенции следователя, а не эксперта. Эксперт, получивший такой вопрос, вынужден ограничиться констатацией технических признаков доступа, не оценивая его правомерность, что создает предпосылки для расхождения между ожиданиями следователя и содержанием заключения.

Техническая экспертиза компьютерной техники в части исследования следов противоправных действий сталкивается с проблемой, связанной с необходимостью сохранения конфиденциальности информации, полученной в ходе исследования. Эксперт, обнаруживший в ходе исследования сведения, составляющие коммерческую или личную тайну, не вправе разглашать их, однако он обязан отразить их в заключении, если они имеют значение для дела. Указанное противоречие между требованием конфиденциальности и требованием полноты заключения разрешается посредством формулирования выводов в обобщенной форме, не раскрывающей содержания информации. Указанный подход не всегда удовлетворяет участников процесса, которые ожидают конкретных сведений.

Раздел 27. Проблемы, связанные с исследованием информации, хранящейся на устройствах, изъятых у лиц, не являющихся участниками процесса

Изъятие компьютерной техники у лиц, не являющихся участниками процесса, создает предпосылки для конфликта между требованием установления истины и правом на неприкосновенность частной жизни. Указанный конфликт приобретает особую остроту в случаях, когда изъятое устройство содержит информацию, относящуюся не только к расследуемому событию, но и к личной жизни владельца. Эксперт, исследующий такое устройство, вынужден разграничивать информацию, имеющую значение для дела, и информацию, не относящуюся к предмету доказывания. Указанное разграничение не всегда возможно на техническом уровне, поскольку файлы, содержащие релевантную и нерелевантную информацию, могут быть перемешаны в пределах одной файловой системы.

Постановление о назначении компьютерно-технической экспертизы должно содержать указание на объем информации, подлежащей исследованию, и на критерии отбора релевантных данных. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования устройства, не конкретизируя, какая информация подлежит извлечению. Эксперт, получивший такое задание, вынужден самостоятельно определять критерии отбора, что создает предпосылки для исследования информации, не относящейся к делу, и для последующего оспаривания заключения как полученного с нарушением прав владельца устройства.

Вопросы на компьютерно-техническую экспертизу, касающиеся исследования устройств, изъятых у третьих лиц, нередко формулируются без учета необходимости минимизации вмешательства в частную жизнь. Эксперт, отвечающий на такие вопросы, вынужден производить исследование в объеме, необходимом для ответа, однако указанный объем не всегда может быть определен заранее. В результате эксперт либо исследует весь объем данных, что создает предпосылки для нарушения прав, либо ограничивается выборочным исследованием, что создает предпосылки для неполноты заключения. Указанная дилемма не имеет универсального разрешения и воспроизводится в каждом конкретном случае.

Компьютерно-техническая экспертиза в Москве в части исследования устройств, изъятых у третьих лиц, сталкивается с проблемой, связанной с отсутствием единых критериев минимизации вмешательства. Различные экспертные учреждения применяют различные подходы: одни производят полное копирование устройства и последующий анализ, другие ограничиваются исследованием отдельных директорий. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 28. Проблемы, связанные с исследованием информации, полученной из открытых источников

Исследование информации, полученной из открытых источников, таких как веб-сайты, социальные сети и общедоступные базы данных, создает предпосылки для конфликта между требованием достоверности и изменчивостью источника. Информация, размещенная в открытом доступе, может быть изменена или удалена в любой момент, что создает предпосылки для утраты доказательственного значения. Эксперт, исследующий такую информацию, вынужден фиксировать ее состояние на определенный момент, однако указанная фиксация не всегда обеспечивает возможность последующей верификации.

Виды компьютерно-технических экспертиз, предполагающие исследование открытых источников, требуют применения методов, обеспечивающих сохранность доказательственной информации. К таким методам относится создание снимков веб-страниц, заверенных электронной подписью, и фиксация метаданных, позволяющих установить время и источник получения информации. Указанные методы не всегда применяются на практике, что создает предпосылки для оспаривания заключений, основанных на информации, целостность которой не может быть подтверждена.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления содержания веб-страниц на определенный момент, требуют применения методов ретроспективного анализа, таких как исследование кэшированных копий и архивных снимков. Указанные методы не всегда обеспечивают достаточную достоверность, поскольку кэшированные копии могут быть неполными, а архивные снимки — произведенными с задержкой. Эксперт, применяющий такие методы, вынужден формулировать выводы в вероятностной форме, что создает предпосылки для оспаривания заключения.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования открытых источников должно содержать указание на конкретные ресурсы и временные интервалы, подлежащие исследованию. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «информации, размещенной в сети», не конкретизируя ресурсы и интервалы. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 29. Проблемы, связанные с исследованием информации, хранящейся на устройствах, подключенных к корпоративным сетям

Исследование информации, хранящейся на устройствах, подключенных к корпоративным сетям, создает предпосылки для конфликта между требованием установления истины и необходимостью сохранения функционирования сети. Указанный конфликт приобретает особую остроту в случаях, когда изъятие устройства или его отключение от сети приводит к нарушению бизнес-процессов организации. Эксперт, исследующий такое устройство, вынужден либо производить исследование в режиме реального времени, что создает предпосылки для изменения объекта, либо ходатайствовать об остановке устройства, что создает предпосылки для убытков организации.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования корпоративных сетей требует применения методов, позволяющих производить анализ без нарушения функционирования сети. К таким методам относится зеркалирование трафика, позволяющее фиксировать сетевые взаимодействия без вмешательства в работу сети, и удаленное сканирование, позволяющее получать информацию о конфигурации устройств без их остановки. Указанные методы не всегда доступны экспертам, что создает предпосылки для применения более грубых методов, создающих риск нарушения функционирования сети.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта несанкционированного доступа к корпоративной сети, требуют исследования журналов, которые могут быть распределены по multiple устройствам. Эксперт, исследующий такие журналы, вынужден собирать информацию с различных источников, что создает предпосылки для неполноты исследования в случае, если часть устройств недоступна. Указанная неполнота не всегда осознается участниками процесса, которые ожидают полного исследования.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования корпоративных сетей должно содержать указание на устройства и сегменты сети, подлежащие исследованию, а также на допустимые методы вмешательства. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования сети, не конкретизируя объем и методы. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования и методы, что создает предпосылки для конфликта с администраторами сети, заинтересованными в сохранении ее функционирования.

Раздел 30. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих шифрование

Использование шифрования создает предпосылки для конфликта между требованием доступа к информации и правом на защиту приватности. Указанный конфликт приобретает особую остроту в случаях, когда устройство, содержащее доказательственную информацию, защищено шифрованием, ключ к которому известен только владельцу. Эксперт, исследующий такое устройство, вынужден либо преодолевать защиту техническими средствами, что не всегда возможно, либо ходатайствовать о предоставлении ключа владельцем, что создает предпосылки для отказа.

Виды компьютерно-технических экспертиз, предполагающие исследование зашифрованной информации, требуют применения методов криптоанализа, которые не всегда доступны экспертам. Указанные методы требуют значительных вычислительных ресурсов и специальных познаний, которыми обладают ограниченный круг специалистов. Эксперт, не обладающий такими познаниями, вынужден ограничиться констатацией наличия шифрования, не имея возможности исследовать содержание информации. Указанная констатация не всегда удовлетворяет участников процесса, которые ожидают получения содержательных выводов.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления содержания зашифрованной информации, требуют применения методов, выходящих за пределы стандартной экспертной подготовки. Эксперт, получивший такой вопрос, вынужден либо отказаться от его разрешения, ссылаясь на отсутствие необходимых познаний, либо применить методы, не апробированные в судебно-экспертной практике, что создает предпосылки для оспаривания заключения. Указанный выбор не всегда осознается экспертом, который может переоценить свои возможности и сформулировать выводы, не обеспеченные достаточными основаниями.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования зашифрованной информации должно содержать указание на методы, которые предполагается использовать, и на допустимость применения методов принудительного преодоления защиты. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования устройства, не конкретизируя методы. Эксперт, получивший такое задание, вынужден самостоятельно определять методы, что создает предпосылки для применения методов, не соответствующих ожиданиям участников процесса, и для последующего оспаривания заключения.

Раздел 31. Проблемы, связанные с исследованием информации, хранящейся на устройствах, имеющих ограниченный срок службы

Ограниченный срок службы устройств хранения информации создает предпосылки для конфликта между требованием сохранности доказательственной информации и физическим старением носителя. Указанный конфликт приобретает особую остроту в случаях, когда носитель, на котором хранится доказательственная информация, имеет признаки деградации, такие как bad-блоки или снижение скорости чтения. Эксперт, исследующий такой носитель, вынужден либо производить копирование с применением методов, обеспечивающих максимальную сохранность, либо ограничиться выборочным чтением, что создает предпосылки для утраты информации.

Техническая экспертиза компьютерной техники в части исследования деградирующих носителей требует применения методов, позволяющих производить чтение с обходом поврежденных участков. К таким методам относится посекторное копирование с пропуском нечитаемых блоков и последующим анализом считанных данных. Указанные методы требуют специального оборудования и программного обеспечения, которые не всегда доступны в экспертных учреждениях. Эксперт, не располагающий таким оборудованием, вынужден либо отказываться от исследования, либо применять методы, создающие риск полной утраты информации.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления содержания информации, хранящейся на деградирующем носителе, требуют применения методов восстановления, которые не всегда обеспечивают полное извлечение данных. Эксперт, применяющий такие методы, вынужден формулировать выводы в вероятностной форме, указывая на возможную утрату части информации. Указанная вероятность не всегда принимается судом в качестве достаточной для признания обстоятельства доказанным, что создает предпосылки для оспаривания заключения.

Компьютерно-техническая экспертиза в Москве в части исследования деградирующих носителей сталкивается с проблемой, связанной с отсутствием единых критериев оценки сохранности информации. Различные экспертные учреждения применяют различные подходы: одни производят копирование с максимальной сохранностью, другие ограничиваются стандартными методами. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не обеспечивающих достаточной сохранности.

Раздел 32. Проблемы, связанные с исследованием информации, хранящейся на устройствах, изъятых в ходе обыска

Изъятие компьютерной техники в ходе обыска создает предпосылки для конфликта между требованием процессуальной экономии и необходимостью обеспечения сохранности информации. Указанный конфликт приобретает особую остроту в случаях, когда изъятие производится без участия специалиста, что создает предпосылки для нарушения процедуры копирования и для последующей утраты доказательственной информации. Эксперт, получивший устройство, изъятое с нарушением процедуры, вынужден либо констатировать невозможность исследования, либо производить исследование в условиях неопределенности, что создает предпосылки для оспаривания заключения.

Постановление о назначении компьютерно-технической экспертизы в Москве должно содержать указание на процедуру изъятия и на меры, принятые для обеспечения сохранности информации. На практике указанное требование не всегда соблюдается: протокол обыска содержит общее указание на изъятие устройства, не конкретизируя, были ли приняты меры для предотвращения изменения информации. Эксперт, получивший такое устройство, не может установить, были ли данные изменены после изъятия, что создает предпосылки для сомнений в их достоверности.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта изменения информации после изъятия, требуют применения методов, позволяющих обнаружить следы вмешательства. К таким методам относится анализ журналов и метаданных, которые могут содержать записи о действиях, произведенных после изъятия. Указанные методы не всегда обеспечивают достаточную достоверность, поскольку следы вмешательства могут быть стерты. Эксперт, применяющий такие методы, вынужден формулировать выводы в вероятностной форме, что создает предпосылки для оспаривания заключения.

Виды компьютерно-технических экспертиз, предполагающие исследование устройств, изъятых в ходе обыска, требуют применения методов, позволяющих восстановить хронологию событий. Указанные методы включают анализ временных меток, журналов и иных артефактов, которые могут содержать сведения о действиях, произведенных с устройством. Эксперт, применяющий такие методы, должен учитывать возможность изменения временных меток и журналов, что создает предпосылки для неопределенности выводов. Указанная неопределенность не всегда осознается участниками процесса, которые ожидают однозначных выводов.

Раздел 33. Проблемы, связанные с исследованием информации, хранящейся на устройствах, принадлежащих организациям с распределенной структурой

Распределенная структура организации создает предпосылки для конфликта между требованием установления истины и необходимостью учета множественности источников информации. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, распределена по серверам, расположенным в различных подразделениях организации. Эксперт, исследующий такую информацию, вынужден либо производить сбор данных с различных источников, что требует значительных временных затрат, либо ограничиться исследованием одного источника, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования распределенных организаций требует применения методов, позволяющих производить сбор и агрегацию данных из различных источников. К таким методам относится централизованный сбор журналов и использование систем управления информацией и событиями безопасности. Указанные методы не всегда доступны экспертам, что создает предпосылки для исследования отдельных источников без учета их взаимосвязи.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта распространения информации в распределенной организации, требуют исследования маршрутов перемещения данных между подразделениями. Эксперт, исследующий такие маршруты, вынужден анализировать журналы различных систем, что создает предпосылки для неполноты исследования в случае, если часть журналов недоступна. Указанная неполнота не всегда осознается участниками процесса, которые ожидают полного исследования.

Техническая экспертиза компьютерной техники в части исследования распределенных организаций сталкивается с проблемой, связанной с различием в конфигурации систем различных подразделений. Эксперт, исследующий различные подразделения, вынужден учитывать различия в настройках, что создает предпосылки для ошибок в интерпретации данных. Указанные ошибки не всегда обнаруживаются на стадии исследования и могут привести к ошибочным выводам. Сторона, заинтересованная в оспаривании заключения, использует указанное обстоятельство для обоснования своей позиции.

Раздел 34. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих виртуализацию

Использование виртуализации создает предпосылки для конфликта между требованием установления истины и сложностью определения границ исследуемого объекта. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, хранится в виртуальной машине, которая может быть запущена на различных физических серверах. Эксперт, исследующий такую информацию, вынужден либо производить анализ виртуальной машины как единого объекта, либо учитывать ее взаимодействие с гипервизором и физическим сервером, что создает предпосылки для расширения объема исследования.

Виды компьютерно-технических экспертиз, предполагающие исследование виртуальных сред, требуют применения методов, позволяющих производить анализ как виртуальной машины, так и гипервизора. Указанные методы включают исследование файлов виртуальных дисков, журналов гипервизора и конфигураций виртуальных сетей. Эксперт, применяющий такие методы, должен учитывать, что виртуальная машина может быть перемещена с одного физического сервера на другой, что создает предпосылки для изменения ее состояния.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта доступа к информации, хранящейся в виртуальной машине, требуют исследования журналов гипервизора, которые могут содержать сведения о запуске, остановке и миграции виртуальных машин. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, что создает предпосылки для неопределенности выводов. Указанная неопределенность не всегда осознается участниками процесса, которые ожидают однозначных выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования виртуальных сред должно содержать указание на объекты, подлежащие исследованию, включая виртуальные машины, гипервизоры и физические серверы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования сервера, не конкретизируя, какие виртуальные машины подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 35. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих контейнеризацию

Использование контейнеризации создает предпосылки для конфликта между требованием установления истины и сложностью определения границ исследуемого объекта. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, хранится в контейнере, который может быть запущен на различных физических серверах и может использовать общие ресурсы с другими контейнерами. Эксперт, исследующий такую информацию, вынужден либо производить анализ контейнера как единого объекта, либо учитывать его взаимодействие с хост-системой и другими контейнерами, что создает предпосылки для расширения объема исследования.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования контейнеров требует применения методов, позволяющих производить анализ как контейнера, так и хост-системы. Указанные методы включают исследование слоев контейнера, журналов оркестратора и конфигураций сетевых взаимодействий. Эксперт, применяющий такие методы, должен учитывать, что контейнер может быть пересоздан из образа, что создает предпосылки для утраты информации, хранившейся в его изменяемом слое.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта доступа к информации, хранящейся в контейнере, требуют исследования журналов оркестратора, которые могут содержать сведения о запуске, остановке и пересоздании контейнеров. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, что создает предпосылки для неопределенности выводов. Указанная неопределенность не всегда осознается участниками процесса, которые ожидают однозначных выводов.

Компьютерно-техническая экспертиза в Москве в части исследования контейнеров сталкивается с проблемой, связанной с отсутствием единых методик исследования. Различные экспертные учреждения применяют различные подходы: одни исследуют контейнер как единый объект, другие — отдельные слои. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 36. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих облачные технологии

Использование облачных технологий создает предпосылки для конфликта между требованием установления истины и ограниченностью доступа к информации, хранящейся у провайдера. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, хранится в облачном сервисе, доступ к которому может быть получен только через учетную запись пользователя. Эксперт, исследующий такую информацию, вынужден либо ходатайствовать о предоставлении доступа, что создает предпосылки для отказа провайдера, либо ограничиться исследованием локальных кэшированных данных, что создает предпосылки для неполноты заключения.

Виды компьютерно-технических экспертиз, предполагающие исследование облачных данных, требуют применения методов, позволяющих производить сбор информации из облачных сервисов. К таким методам относится использование программных интерфейсов облачных сервисов, позволяющих получать журналы и данные без непосредственного доступа к серверам провайдера. Указанные методы не всегда доступны экспертам, что создает предпосылки для исследования только локальных данных.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта доступа к информации, хранящейся в облачном сервисе, требуют исследования журналов облачного провайдера, которые могут содержать сведения о действиях пользователя. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что провайдер может находиться в юрисдикции, не предусматривающей сотрудничества с правоохранительными органами. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования облачных данных должно содержать указание на провайдера и на порядок получения доступа к информации. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования облачного сервиса, не конкретизируя провайдера и порядок доступа. Эксперт, получивший такое задание, вынужден самостоятельно определять порядок получения доступа, что создает предпосылки для затягивания исследования и для последующего оспаривания заключения.

Раздел 37. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию блокчейн

Использование технологии блокчейн создает предпосылки для конфликта между требованием установления истины и сложностью определения субъекта, ответственного за размещение информации. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, размещена в распределенном реестре, доступ к которому осуществляется через криптографические кошельки. Эксперт, исследующий такую информацию, вынужден либо производить анализ транзакций, что создает предпосылки для определения адресов кошельков, либо ограничиться констатацией факта размещения информации, не имея возможности установить лицо, разместившее ее.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования блокчейн-транзакций требует применения методов, позволяющих производить анализ публичных реестров и сопоставление адресов кошельков с известными субъектами. Указанные методы не всегда обеспечивают достаточную достоверность, поскольку адреса кошельков не содержат персональных данных, а их связь с конкретными лицами может быть установлена только на основе дополнительной информации. Эксперт, применяющий такие методы, вынужден формулировать выводы в вероятностной форме, что создает предпосылки для оспаривания заключения.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта размещения информации в блокчейне, требуют исследования транзакций, которые могут содержать ссылки на внешние ресурсы. Эксперт, исследующий такие транзакции, вынужден учитывать, что содержимое внешних ресурсов может быть изменено или удалено, что создает предпосылки для утраты доказательственной информации. Указанная утрата не всегда осознается участниками процесса, которые ожидают полного исследования.

Техническая экспертиза компьютерной техники в части исследования блокчейн-транзакций сталкивается с проблемой, связанной с отсутствием единых методик сопоставления адресов кошельков с конкретными лицами. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом публичных реестров, другие используют дополнительные источники информации. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 38. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию интернета вещей

Использование технологии интернета вещей создает предпосылки для конфликта между требованием установления истины и ограниченностью возможностей исследования устройств, не предназначенных для хранения информации. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, хранится в устройстве, функциональность которого ограничена и которое не имеет стандартных интерфейсов для извлечения данных. Эксперт, исследующий такое устройство, вынужден либо применять методы, не предусмотренные производителем, что создает предпосылки для повреждения устройства, либо ограничиться исследованием доступных данных, что создает предпосылки для неполноты заключения.

Виды компьютерно-технических экспертиз, предполагающие исследование устройств интернета вещей, требуют применения методов, позволяющих производить извлечение данных без нарушения функционирования устройства. К таким методам относится исследование энергонезависимой памяти, журналов событий и сетевого трафика. Указанные методы не всегда доступны экспертам, что создает предпосылки для исследования только внешних проявлений функционирования устройства.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта функционирования устройства интернета вещей, требуют исследования журналов, которые могут содержать сведения о действиях, произведенных с устройством. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что устройство может быть подключено к сети, что создает предпосылки для изменения его состояния. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования устройств интернета вещей сталкивается с проблемой, связанной с отсутствием единых методик извлечения данных. Различные экспертные учреждения применяют различные подходы: одни исследуют устройство через стандартные интерфейсы, другие — через непосредственное подключение к микросхемам памяти. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не обеспечивающих достаточной сохранности.

Раздел 39. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию искусственного интеллекта

Использование технологии искусственного интеллекта создает предпосылки для конфликта между требованием установления истины и сложностью интерпретации решений, принятых алгоритмами. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, была сгенерирована или обработана системой искусственного интеллекта, решение которой не может быть объяснено на уровне, доступном для понимания эксперта. Эксперт, исследующий такую информацию, вынужден либо ограничиться констатацией факта генерации, не имея возможности установить логику решения, либо применять методы объяснимого искусственного интеллекта, которые не всегда доступны.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования систем искусственного интеллекта требует применения методов, позволяющих производить анализ моделей и данных, на которых они обучены. Указанные методы включают исследование весов моделей, анализ обучающих выборок и восстановление логики принятия решений. Эксперт, применяющий такие методы, сталкивается с принципиальной ограниченностью: современные нейросетевые модели обладают свойством непрозрачности, при котором внутренняя логика решения не может быть полностью реконструирована даже при наличии доступа к модели и данным. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме, что не всегда принимается судом в качестве достаточного доказательства.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта генерации информации системой искусственного интеллекта, требуют исследования метаданных, которые могут содержать сведения о модели, версии и параметрах генерации. Эксперт, исследующий такие метаданные, вынужден учитывать, что они могут быть удалены или изменены, а также что различные системы могут генерировать сходные метаданные, что создает предпосылки для неопределенности атрибуции. Указанная неопределенность не всегда осознается участниками процесса, которые ожидают однозначного вывода о происхождении информации.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования систем искусственного интеллекта должно содержать указание на модели и данные, подлежащие исследованию, а также на допустимые методы анализа. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «системы искусственного интеллекта», не конкретизируя, какие именно компоненты подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Компьютерная экспертиза разновидность судебной компьютерно-технической экспертизы в части исследования систем искусственного интеллекта сталкивается с проблемой, связанной с отсутствием апробированных методик. Указанные методики находятся в стадии разработки, что создает предпосылки для применения экспертами подходов, не прошедших верификацию. Сторона, заинтересованная в оспаривании заключения, использует указанное обстоятельство для обоснования своей позиции, указывая на отсутствие научной обоснованности примененных методов. Эксперт, в свою очередь, вынужден самостоятельно обосновывать надежность примененных методов, что выходит за пределы его компетенции.

Раздел 40. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию дополненной и виртуальной реальности

Использование технологии дополненной и виртуальной реальности создает предпосылки для конфликта между требованием установления истины и сложностью фиксации пространственных данных. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой пространственные данные, зафиксированные устройством в момент события. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию пространственной сцены, что требует применения специализированного программного обеспечения, либо ограничиться анализом метаданных, что создает предпосылки для неполноты заключения.

Виды компьютерно-технических экспертиз, предполагающие исследование устройств дополненной и виртуальной реальности, требуют применения методов, позволяющих производить извлечение пространственных данных и их визуализацию. К таким методам относится анализ файлов, содержащих координаты объектов, ориентацию устройства и временные метки. Указанные методы не всегда доступны экспертам, что создает предпосылки для исследования только тех данных, которые могут быть извлечены стандартными средствами.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта нахождения лица в определенном месте, требуют исследования данных о геолокации, которые могут быть зафиксированы устройством дополненной реальности. Эксперт, исследующий такие данные, вынужден учитывать, что они могут быть неточными вследствие погрешностей GPS или манипуляций с устройством. Указанная неточность создает предпосылки для неопределенности выводов, что не всегда осознается участниками процесса.

Техническая экспертиза компьютерной техники в части исследования устройств дополненной и виртуальной реальности сталкивается с проблемой, связанной с отсутствием единых форматов хранения пространственных данных. Различные производители используют различные форматы, которые не всегда документированы. Эксперт, исследующий такие данные, вынужден либо применять методы реверс-инжиниринга, что требует значительных временных затрат, либо ограничиться анализом метаданных, что создает предпосылки для неполноты заключения.

Раздел 41. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию беспроводной связи

Использование технологий беспроводной связи создает предпосылки для конфликта между требованием установления истины и сложностью определения источника сигнала. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась по беспроводному каналу, источник которого не может быть однозначно определен. Эксперт, исследующий такую информацию, вынужден либо производить анализ радиосигналов, что требует специального оборудования, либо ограничиться анализом журналов устройств, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования беспроводных сетей требует применения методов, позволяющих производить анализ трафика и идентификацию устройств. К таким методам относится анализ MAC-адресов, которые могут быть изменены программно, и анализ радиопочерков устройств, которые могут быть уникальными. Эксперт, применяющий такие методы, должен учитывать возможность изменения идентификаторов, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта подключения устройства к беспроводной сети, требуют исследования журналов точек доступа, которые могут содержать сведения о подключениях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что устройства могут подключаться к сети без ведома владельца. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования беспроводных сетей должно содержать указание на устройства и точки доступа, подлежащие исследованию, а также на временные интервалы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «беспроводной сети», не конкретизируя, какие устройства и интервалы подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 42. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию спутниковой навигации

Использование технологий спутниковой навигации создает предпосылки для конфликта между требованием установления истины и ограниченностью точности навигационных данных. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой треки, зафиксированные навигационным устройством. Эксперт, исследующий такие треки, вынужден либо производить их реконструкцию с учетом погрешностей, что требует применения специализированных методов, либо ограничиться констатацией факта нахождения в определенной точке, что создает предпосылки для неполноты заключения.

Виды компьютерно-технических экспертиз, предполагающие исследование навигационных данных, требуют применения методов, позволяющих производить анализ треков и их сопоставление с данными о местности. К таким методам относится анализ временных меток, скоростей и направлений движения, которые могут содержать сведения о способе перемещения. Эксперт, применяющий такие методы, должен учитывать возможность подмены координат посредством программных средств, что создает предпосылки для ошибочных выводов.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта нахождения лица в определенном месте, требуют исследования данных о геолокации, которые могут быть зафиксированы навигационным устройством. Эксперт, исследующий такие данные, вынужден учитывать, что они могут быть неточными вследствие погрешностей спутниковой навигации или манипуляций с устройством. Указанная неточность создает предпосылки для неопределенности выводов, что не всегда осознается участниками процесса.

Компьютерно-техническая экспертиза в Москве в части исследования навигационных данных сталкивается с проблемой, связанной с отсутствием единых методик оценки точности. Различные экспертные учреждения применяют различные подходы: одни учитывают погрешности в несколько метров, другие — в несколько десятков метров. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 43. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию биометрической идентификации

Использование технологий биометрической идентификации создает предпосылки для конфликта между требованием установления истины и правом на защиту биометрических данных. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой биометрические шаблоны, хранящиеся в устройстве. Эксперт, исследующий такие шаблоны, вынужден либо производить их анализ, что создает предпосылки для нарушения прав субъекта данных, либо ограничиться констатацией факта наличия шаблонов, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования биометрических данных требует применения методов, позволяющих производить анализ шаблонов без их восстановления в исходном виде. К таким методам относится анализ метаданных, которые могут содержать сведения о времени создания и использования шаблонов. Эксперт, применяющий такие методы, должен учитывать, что биометрические шаблоны могут быть использованы для идентификации лица, что создает предпосылки для нарушения прав.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта использования биометрической идентификации, требуют исследования журналов, которые могут содержать сведения о попытках аутентификации. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что успешная аутентификация не всегда означает, что устройством пользовался владелец. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования биометрических данных должно содержать указание на объем данных, подлежащих исследованию, и на меры, обеспечивающие защиту прав субъекта данных. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования устройства, не конкретизируя, какие биометрические данные подлежат исследованию и какие меры должны быть приняты для их защиты. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для нарушения прав субъекта данных.

Раздел 44. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию машинного обучения

Использование технологий машинного обучения создает предпосылки для конфликта между требованием установления истины и сложностью интерпретации моделей, обученных на больших данных. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, была обработана моделью, решение которой не может быть объяснено на уровне, доступном для понимания эксперта. Эксперт, исследующий такую информацию, вынужден либо ограничиться констатацией факта обработки, не имея возможности установить логику решения, либо применять методы объяснимого машинного обучения, которые не всегда доступны.

Виды компьютерно-технических экспертиз, предполагающие исследование моделей машинного обучения, требуют применения методов, позволяющих производить анализ обучающих данных и весов моделей. Указанные методы включают анализ признаков, на которые модель реагирует, и оценку влияния отдельных признаков на решение. Эксперт, применяющий такие методы, должен учитывать, что модели могут быть обучены на данных, содержащих предубеждения, что создает предпосылки для ошибочных решений.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта обработки информации моделью машинного обучения, требуют исследования журналов, которые могут содержать сведения о вызовах модели и параметрах обработки. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что модель может быть обновлена без ведома эксперта. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования моделей машинного обучения сталкивается с проблемой, связанной с отсутствием единых методик оценки качества моделей. Различные экспертные учреждения применяют различные подходы: одни оценивают точность на тестовой выборке, другие — устойчивость к состязательным атакам. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 45. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию распределенного реестра

Использование технологий распределенного реестра создает предпосылки для конфликта между требованием установления истины и сложностью определения субъекта, ответственного за внесение записи. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, была внесена в распределенный реестр, доступ к которому осуществляется через криптографические ключи. Эксперт, исследующий такую информацию, вынужден либо производить анализ транзакций, что создает предпосылки для определения адресов, либо ограничиться констатацией факта внесения записи, не имея возможности установить лицо, внесшее ее.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования распределенных реестров требует применения методов, позволяющих производить анализ транзакций и их сопоставление с известными субъектами. Указанные методы не всегда обеспечивают достаточную достоверность, поскольку адреса не содержат персональных данных, а их связь с конкретными лицами может быть установлена только на основе дополнительной информации. Эксперт, применяющий такие методы, вынужден формулировать выводы в вероятностной форме, что создает предпосылки для оспаривания заключения.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта внесения информации в распределенный реестр, требуют исследования транзакций, которые могут содержать ссылки на внешние ресурсы. Эксперт, исследующий такие транзакции, вынужден учитывать, что содержимое внешних ресурсов может быть изменено или удалено, что создает предпосылки для утраты доказательственной информации. Указанная утрата не всегда осознается участниками процесса, которые ожидают полного исследования.

Компьютерно-техническая экспертиза в Москве в части исследования распределенных реестров сталкивается с проблемой, связанной с отсутствием единых методик сопоставления адресов с конкретными лицами. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом публичных реестров, другие используют дополнительные источники информации. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 46. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию квантовых вычислений

Использование технологий квантовых вычислений создает предпосылки для конфликта между требованием установления истины и ограниченностью возможностей современных методов анализа. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, была обработана квантовым алгоритмом, результаты которого не могут быть воспроизведены на классических компьютерах. Эксперт, исследующий такую информацию, вынужден либо ограничиться констатацией факта обработки, не имея возможности верифицировать результаты, либо применять методы квантовой симуляции, которые не всегда доступны.

Виды компьютерно-технических экспертиз, предполагающие исследование квантовых вычислений, требуют применения методов, позволяющих производить анализ квантовых схем и результатов их выполнения. Указанные методы находятся в стадии разработки и не всегда апробированы в судебно-экспертной практике. Эксперт, применяющий такие методы, вынужден самостоятельно обосновывать их надежность, что выходит за пределы его компетенции. Сторона, заинтересованная в оспаривании заключения, использует указанное обстоятельство для обоснования своей позиции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта обработки информации квантовым алгоритмом, требуют исследования журналов, которые могут содержать сведения о вызовах квантовых устройств. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что квантовые устройства могут быть доступны ограниченному кругу лиц. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования квантовых вычислений должно содержать указание на устройства и алгоритмы, подлежащие исследованию, а также на допустимые методы анализа. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «квантовых вычислений», не конкретизируя, какие компоненты подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 47. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию 5G

Использование технологий 5G создает предпосылки для конфликта между требованием установления истины и сложностью определения местоположения устройства. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась по сети 5G, инфраструктура которой включает множество малых сот, что создает предпосылки для более точного определения местоположения, но одновременно и для большего объема данных, подлежащих исследованию. Эксперт, исследующий такую информацию, вынужден либо производить анализ данных множества сот, что требует значительных временных затрат, либо ограничиться анализом данных одной соты, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования сетей 5G требует применения методов, позволяющих производить анализ данных о подключениях к сотам и их сопоставление с данными о местоположении. Указанные методы включают анализ временных меток и уровней сигнала, которые могут содержать сведения о перемещении устройства. Эксперт, применяющий такие методы, должен учитывать возможность подмены идентификаторов устройства, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта нахождения устройства в определенном месте, требуют исследования данных о подключениях к сотам, которые могут содержать сведения о местоположении. Эксперт, исследующий такие данные, вынужден учитывать, что они могут быть неточными вследствие особенностей распространения радиосигналов, а также что устройство может быть подключено к соте, расположенной на значительном расстоянии. Указанная неточность создает предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования сетей 5G сталкивается с проблемой, связанной с отсутствием единых методик оценки точности определения местоположения. Различные экспертные учреждения применяют различные подходы: одни учитывают погрешности в несколько метров, другие — в несколько сотен метров. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 48. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию спутниковой связи

Использование технологий спутниковой связи создает предпосылки для конфликта между требованием установления истины и ограниченностью доступа к данным, хранящимся у оператора спутниковой связи. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась по спутниковому каналу, данные о котором хранятся у оператора, находящегося в иностранной юрисдикции. Эксперт, исследующий такую информацию, вынужден либо ходатайствовать о предоставлении данных оператором, что создает предпосылки для отказа, либо ограничиться анализом локальных данных, что создает предпосылки для неполноты заключения.

Виды компьютерно-технических экспертиз, предполагающие исследование спутниковой связи, требуют применения методов, позволяющих производить анализ локальных журналов устройств, которые могут содержать сведения о сеансах связи. Указанные методы не всегда обеспечивают достаточную полноту, поскольку локальные журналы могут быть неполными или измененными. Эксперт, применяющий такие методы, вынужден формулировать выводы в вероятностной форме, что создает предпосылки для оспаривания заключения.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта передачи информации по спутниковому каналу, требуют исследования данных оператора, которые могут содержать сведения о сеансах связи. Эксперт, исследующий такие данные, вынужден учитывать, что они могут быть недоступны, а также что оператор может находиться в юрисдикции, не предусматривающей сотрудничества с правоохранительными органами. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования спутниковой связи должно содержать указание на оператора и на порядок получения данных. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «спутникового канала», не конкретизируя оператора и порядок доступа. Эксперт, получивший такое задание, вынужден самостоятельно определять порядок получения данных, что создает предпосылки для затягивания исследования и для последующего оспаривания заключения.

Раздел 49. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию радиочастотной идентификации

Использование технологий радиочастотной идентификации создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, хранящихся на метках. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой данные о перемещении объектов, зафиксированные считывателями меток. Эксперт, исследующий такие данные, вынужден либо производить анализ журналов считывателей, что требует доступа к системе, либо ограничиться анализом меток, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования радиочастотной идентификации требует применения методов, позволяющих производить анализ журналов считывателей и сопоставление их с данными о перемещении объектов. Указанные методы включают анализ временных меток и идентификаторов меток, которые могут содержать сведения о маршрутах перемещения. Эксперт, применяющий такие методы, должен учитывать возможность клонирования меток, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта перемещения объекта, требуют исследования журналов считывателей, которые могут содержать сведения о прохождении меток через точки считывания. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что метки могут быть считаны без ведома владельца. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования радиочастотной идентификации сталкивается с проблемой, связанной с отсутствием единых методик анализа журналов считывателей. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом временных меток, другие — анализом маршрутов. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 50. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию NFC

Использование технологии NFC создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, сохраняемых при бесконтактных платежах. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой данные о платежах, которые могут быть сохранены как на устройстве, так и на серверах платежной системы. Эксперт, исследующий такие данные, вынужден либо производить анализ устройства, что создает предпосылки для неполноты вследствие ограниченности локальных данных, либо ходатайствовать о предоставлении данных платежной системы, что создает предпосылки для отказа.

Виды компьютерно-технических экспертиз, предполагающие исследование NFC-платежей, требуют применения методов, позволяющих производить анализ токенов, которые могут содержать сведения о платежах. Указанные методы включают анализ журналов приложений и сопоставление их с данными платежной системы. Эксперт, применяющий такие методы, должен учитывать, что токены могут быть заменены при перевыпуске карты, что создает предпосылки для утраты связи между токеном и картой.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта совершения платежа, требуют исследования журналов приложений, которые могут содержать сведения о транзакциях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что платеж может быть совершен без ведома владельца устройства. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования NFC-платежей должно содержать указание на устройства и платежные системы, подлежащие исследованию, а также на порядок получения данных от платежной системы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования устройства, не конкретизируя, какие данные платежной системы подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 51. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию Bluetooth

Использование технологии Bluetooth создает предпосылки для конфликта между требованием установления истины и сложностью определения устройств, находившихся в непосредственной близости. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой данные о спаренных устройствах, которые могут содержать сведения о контактах. Эксперт, исследующий такие данные, вынужден либо производить анализ журналов спаривания, что создает предпосылки для определения устройств, либо ограничиться констатацией факта наличия спаренных устройств, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования Bluetooth-соединений требует применения методов, позволяющих производить анализ журналов спаривания и сопоставление их с данными о местоположении. Указанные методы включают анализ MAC-адресов, которые могут быть изменены программно, и уровней сигнала, которые могут содержать сведения о расстоянии. Эксперт, применяющий такие методы, должен учитывать возможность изменения идентификаторов, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта нахождения устройств в непосредственной близости, требуют исследования журналов спаривания, которые могут содержать сведения о соединениях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что устройства могут быть спарены без ведома владельца. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования Bluetooth-соединений сталкивается с проблемой, связанной с отсутствием единых методик оценки расстояния по уровню сигнала. Различные экспертные учреждения применяют различные подходы: одни учитывают уровень сигнала, другие — время отклика. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 52. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию Wi-Fi

Использование технологии Wi-Fi создает предпосылки для конфликта между требованием установления истины и сложностью определения местоположения устройства. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой данные о подключениях к точкам доступа, которые могут содержать сведения о местоположении. Эксперт, исследующий такие данные, вынужден либо производить анализ журналов точек доступа, что требует доступа к инфраструктуре, либо ограничиться анализом журналов устройства, что создает предпосылки для неполноты заключения.

Виды компьютерно-технических экспертиз, предполагающие исследование Wi-Fi-соединений, требуют применения методов, позволяющих производить анализ журналов подключений и сопоставление их с данными о местоположении точек доступа. Указанные методы включают анализ MAC-адресов точек доступа, которые могут быть изменены, и уровней сигнала, которые могут содержать сведения о расстоянии. Эксперт, применяющий такие методы, должен учитывать возможность подмены MAC-адресов, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта нахождения устройства в определенном месте, требуют исследования журналов подключений, которые могут содержать сведения о точках доступа. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что устройство может быть подключено к точке доступа, расположенной на значительном расстоянии. Указанная неточность создает предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования Wi-Fi-соединений сталкивается с проблемой, связанной с отсутствием единых методик оценки точности определения местоположения. Различные экспертные учреждения применяют различные подходы: одни учитывают уровень сигнала, другие — триангуляцию по нескольким точкам доступа. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 53. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию Li-Fi

Использование технологии Li-Fi создает предпосылки для конфликта между требованием установления истины и ограниченностью методов фиксации световых сигналов, которые не сохраняются в журналах в том виде, в котором сохраняются данные радиочастотных технологий. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась по световому каналу, приемник которого не вел журналирования. Эксперт, исследующий такую информацию, вынужден либо констатировать невозможность восстановления содержания передачи, либо применять методы анализа побочных артефактов, которые не всегда доступны. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме, что не всегда принимается судом в качестве достаточного доказательства.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта передачи информации по световому каналу, требуют исследования журналов приемника, которые могут содержать сведения о сеансах связи. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также чтоLi-Fi-соединения могут не журналироваться вовсе. Указанные обстоятельства создают предпосылки для неопределенности выводов, что не всегда осознается участниками процесса, ожидающими однозначного ответа.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования Li-Fi-соединений должно содержать указание на приемники и передатчики, подлежащие исследованию, а также на допустимые методы фиксации световых сигналов. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «оптического канала», не конкретизируя, какие устройства подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 54. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию ультраширокополосной связи

Использование технологий ультраширокополосной связи создает предпосылки для конфликта между требованием установления истины и сложностью определения точного местоположения устройства в помещениях. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой данные о перемещении лица внутри здания, зафиксированные якорными устройствами. Эксперт, исследующий такие данные, вынужден либо производить анализ данных множества якорей, что требует доступа к инфраструктуре, либо ограничиться анализом журналов устройства, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования ультраширокополосной связи требует применения методов, позволяющих производить анализ данных о времени пролета сигнала и углах прихода. Указанные методы включают анализ временных меток и уровней сигнала, которые могут содержать сведения о местоположении с точностью до десятков сантиметров. Эксперт, применяющий такие методы, должен учитывать возможность отражения сигналов от стен и мебели, что создает предпосылки для ошибочного определения местоположения.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта нахождения лица в определенном помещении, требуют исследования данных якорей, которые могут содержать сведения о перемещении. Эксперт, исследующий такие данные, вынужден учитывать, что они могут быть неполными или измененными, а также что устройство может быть перемещено без ведома владельца. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования ультраширокополосной связи сталкивается с проблемой, связанной с отсутствием единых методик оценки точности определения местоположения. Различные экспертные учреждения применяют различные подходы: одни учитывают погрешности в несколько сантиметров, другие — в несколько метров. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 55. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию Zigbee

Использование технологии Zigbee создает предпосылки для конфликта между требованием установления истины и сложностью определения топологии сети, которая может быть динамической. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой данные о взаимодействии устройств в сети умного дома, топология которой может изменяться при добавлении или удалении устройств. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию топологии на момент события, что требует применения специализированных методов, либо ограничиться анализом текущей топологии, что создает предпосылки для неполноты заключения.

Виды компьютерно-технических экспертиз, предполагающие исследование Zigbee-сетей, требуют применения методов, позволяющих производить анализ журналов координатора и маршрутизаторов. Указанные методы включают анализ адресов устройств и маршрутов передачи данных, которые могут содержать сведения о взаимодействиях. Эксперт, применяющий такие методы, должен учитывать возможность изменения топологии вследствие выхода из строя устройств, что создает предпосылки для ошибочной реконструкции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта взаимодействия устройств, требуют исследования журналов координатора, которые могут содержать сведения о событиях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что устройства могут взаимодействовать без ведома владельца. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования Zigbee-сетей сталкивается с проблемой, связанной с отсутствием единых методик реконструкции топологии. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом текущей топологии, другие — реконструкцией на основе журналов. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 56. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию Z-Wave

Использование технологии Z-Wave создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, сохраняемых контроллером сети. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой данные о командах, переданных устройству, которые могут быть не заjournalированы контроллером. Эксперт, исследующий такие данные, вынужден либо констатировать невозможность восстановления команд, либо применять методы анализа побочных артефактов, которые не всегда доступны. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме, что не всегда принимается судом в качестве достаточного доказательства.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования Z-Wave-сетей требует применения методов, позволяющих производить анализ журналов контроллера и сопоставление их с данными о событиях. Указанные методы включают анализ временных меток и идентификаторов устройств, которые могут содержать сведения о командах. Эксперт, применяющий такие методы, должен учитывать возможность передачи команд в обход контроллера, что создает предпосылки для неполноты исследования.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта передачи команды устройству, требуют исследования журналов контроллера, которые могут содержать сведения о командах. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что команда может быть передана напрямую, минуя контроллер. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования Z-Wave-сетей должно содержать указание на контроллер и устройства, подлежащие исследованию, а также на временные интервалы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «сети умного дома», не конкретизируя, какие устройства подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 57. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию LoRaWAN

Использование технологии LoRaWAN создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, сохраняемых на сервере сети. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой данные о показаниях датчиков, которые могут быть агрегированы на сервере без сохранения исходных значений. Эксперт, исследующий такие данные, вынужден либо констатировать невозможность восстановления исходных значений, либо применять методы анализа агрегированных данных, которые не всегда позволяют установить детали. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование LoRaWAN-сетей, требуют применения методов, позволяющих производить анализ журналов сервера и сопоставление их с данными датчиков. Указанные методы включают анализ временных меток и идентификаторов устройств, которые могут содержать сведения о показаниях. Эксперт, применяющий такие методы, должен учитывать возможность подмены идентификаторов устройств, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта показаний датчика, требуют исследования журналов сервера, которые могут содержать сведения о значениях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что датчик может передавать недостоверные данные вследствие неисправности. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования LoRaWAN-сетей сталкивается с проблемой, связанной с отсутствием единых методик анализа агрегированных данных. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом агрегированных значений, другие — реконструкцией исходных данных. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 58. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию NB-IoT

Использование технологии NB-IoT создает предпосылки для конфликта между требованием установления истины и ограниченностью пропускной способности канала, которая не позволяет передавать большие объемы данных. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась фрагментами, которые могут быть утрачены при передаче. Эксперт, исследующий такие данные, вынужден либо констатировать невозможность восстановления полной картины, либо применять методы анализа фрагментов, которые не всегда позволяют установить целое. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования NB-IoT-сетей требует применения методов, позволяющих производить анализ журналов базовой станции и сопоставление их с данными устройства. Указанные методы включают анализ временных меток и идентификаторов устройств, которые могут содержать сведения о передачах. Эксперт, применяющий такие методы, должен учитывать возможность потери пакетов, что создает предпосылки для неполноты исследования.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта передачи информации, требуют исследования журналов базовой станции, которые могут содержать сведения о сеансах связи. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что передача может быть прервана. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования NB-IoT-сетей сталкивается с проблемой, связанной с отсутствием единых методик восстановления фрагментированных данных. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом доступных фрагментов, другие — реконструкцией на основе косвенных признаков. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 59. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию Sigfox

Использование технологии Sigfox создает предпосылки для конфликта между требованием установления истины и ограниченностью размера передаваемых сообщений, которые не могут содержать большие объемы данных. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась в виде коротких сообщений, содержание которых может быть неоднозначно интерпретировано. Эксперт, исследующий такие сообщения, вынужден либо констатировать невозможность однозначной интерпретации, либо применять методы анализа контекста, которые не всегда доступны. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование Sigfox-сообщений, требуют применения методов, позволяющих производить анализ журналов базовой станции и сопоставление их с данными устройства. Указанные методы включают анализ временных меток и идентификаторов устройств, которые могут содержать сведения о сообщениях. Эксперт, применяющий такие методы, должен учитывать возможность подмены идентификаторов устройств, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления содержания сообщения, требуют исследования журналов базовой станции, которые могут содержать сведения о полезной нагрузке. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что сообщение может быть передано в закодированном виде. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования Sigfox-сообщений должно содержать указание на базовые станции и устройства, подлежащие исследованию, а также на временные интервалы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «сети Sigfox», не конкретизируя, какие устройства подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 60. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию спутникового интернета вещей

Использование технологий спутникового интернета вещей создает предпосылки для конфликта между требованием установления истины и ограниченностью доступа к данным, хранящимся у оператора спутниковой сети. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась через спутник, данные о передаче которых хранятся у оператора, находящегося в иностранной юрисдикции. Эксперт, исследующий такие данные, вынужден либо ходатайствовать о предоставлении данных оператором, что создает предпосылки для отказа, либо ограничиться анализом локальных данных устройства, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования спутникового интернета вещей требует применения методов, позволяющих производить анализ локальных журналов устройств, которые могут содержать сведения о сеансах связи. Указанные методы не всегда обеспечивают достаточную полноту, поскольку локальные журналы могут быть неполными или измененными. Эксперт, применяющий такие методы, вынужден формулировать выводы в вероятностной форме, что создает предпосылки для оспаривания заключения.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта передачи информации через спутник, требуют исследования данных оператора, которые могут содержать сведения о сеансах связи. Эксперт, исследующий такие данные, вынужден учитывать, что они могут быть недоступны, а также что оператор может находиться в юрисдикции, не предусматривающей сотрудничества с правоохранительными органами. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования спутникового интернета вещей сталкивается с проблемой, связанной с отсутствием единых методик анализа локальных журналов. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом временных меток, другие — анализом содержания сообщений. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 61. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию Mesh-сетей

Использование Mesh-сетей создает предпосылки для конфликта между требованием установления истины и сложностью определения маршрута передачи данных, который может изменяться динамически. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась через промежуточные узлы, которые могут не сохранять журналы. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию маршрута на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта передачи, не имея возможности установить маршрут. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование Mesh-сетей, требуют применения методов, позволяющих производить анализ журналов узлов и сопоставление их с данными о топологии. Указанные методы включают анализ временных меток и идентификаторов узлов, которые могут содержать сведения о маршрутах. Эксперт, применяющий такие методы, должен учитывать возможность изменения топологии вследствие выхода из строя узлов, что создает предпосылки для ошибочной реконструкции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления маршрута передачи данных, требуют исследования журналов узлов, которые могут содержать сведения о пересылке. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что узлы могут не сохранять журналы вовсе. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования Mesh-сетей сталкивается с проблемой, связанной с отсутствием единых методик реконструкции маршрутов. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов доступных узлов, другие — реконструкцией на основе косвенных признаков. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 62. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию программно-определяемых сетей

Использование программно-определяемых сетей создает предпосылки для конфликта между требованием установления истины и сложностью определения конфигурации сети на момент события. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, передавалась по сети, конфигурация которой изменялась программно и не сохранялась в журналах. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию конфигурации на основе доступных журналов контроллера, что не всегда возможно, либо ограничиться констатацией факта передачи, не имея возможности установить маршрут. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования программно-определяемых сетей требует применения методов, позволяющих производить анализ журналов контроллера и сопоставление их с данными о конфигурации. Указанные методы включают анализ временных меток и идентификаторов правил, которые могут содержать сведения о маршрутах. Эксперт, применяющий такие методы, должен учитывать возможность изменения правил без сохранения предыдущих версий, что создает предпосылки для неполноты исследования.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления конфигурации сети на момент события, требуют исследования журналов контроллера, которые могут содержать сведения об изменениях правил. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что правила могут быть изменены без журналирования. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования программно-определяемых сетей должно содержать указание на контроллер и коммутаторы, подлежащие исследованию, а также на временные интервалы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «сети», не конкретизируя, какие компоненты подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 63. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию сетевых функций виртуализации

Использование технологий сетевых функций виртуализации создает предпосылки для конфликта между требованием установления истины и сложностью определения того, какая именно виртуальная функция обрабатывала трафик. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, обрабатывалась цепочкой виртуальных функций, каждая из которых может не сохранять журналы. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию цепочки обработки на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта обработки, не имея возможности установить, какая функция выполнила конкретное действие. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование сетевых функций виртуализации, требуют применения методов, позволяющих производить анализ журналов оркестратора и сопоставление их с данными о трафике. Указанные методы включают анализ временных меток и идентификаторов функций, которые могут содержать сведения об обработке. Эксперт, применяющий такие методы, должен учитывать возможность динамического изменения цепочки функций, что создает предпосылки для ошибочной реконструкции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта обработки трафика виртуальной функцией, требуют исследования журналов оркестратора, которые могут содержать сведения о развертывании и конфигурации функций. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что функции могут быть развернуты без журналирования. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования сетевых функций виртуализации сталкивается с проблемой, связанной с отсутствием единых методик реконструкции цепочек обработки. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов оркестратора, другие — анализом трафика на различных участках. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 64. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию сегментации сети

Использование технологий сегментации сети создает предпосылки для конфликта между требованием установления истины и сложностью определения того, какие сегменты сети были доступны устройству. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, хранилась в сегменте, доступ к которому осуществлялся через несколько уровней изоляции. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию маршрутов доступа на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта наличия доступа, не имея возможности установить, каким образом он был получен. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования сегментированных сетей требует применения методов, позволяющих производить анализ журналов межсетевых экранов и сопоставление их с данными о правилах сегментации. Указанные методы включают анализ временных меток и идентификаторов правил, которые могут содержать сведения о доступе. Эксперт, применяющий такие методы, должен учитывать возможность изменения правил без сохранения предыдущих версий, что создает предпосылки для неполноты исследования.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта доступа к сегменту сети, требуют исследования журналов межсетевых экранов, которые могут содержать сведения о разрешенных и заблокированных соединениях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что соединения могут быть установлены в обход правил. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования сегментированных сетей сталкивается с проблемой, связанной с отсутствием единых методик оценки эффективности сегментации. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом правил, другие — анализом фактического трафика. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 65. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию микросервисной архитектуры

Использование микросервисной архитектуры создает предпосылки для конфликта между требованием установления истины и сложностью определения того, какой именно микросервис обработал запрос. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, обрабатывалась цепочкой микросервисов, каждый из которых может не сохранять журналы. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию цепочки обработки на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта обработки, не имея возможности установить, какой сервис выполнил конкретное действие. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование микросервисной архитектуры, требуют применения методов, позволяющих производить анализ журналов распределенной трассировки и сопоставление их с данными о запросах. Указанные методы включают анализ идентификаторов трассировки, которые могут содержать сведения о цепочке обработки. Эксперт, применяющий такие методы, должен учитывать возможность отсутствия трассировки в некоторых сервисах, что создает предпосылки для неполноты исследования.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта обработки запроса микросервисом, требуют исследования журналов распределенной трассировки, которые могут содержать сведения о вызовах. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что трассировка может быть отключена. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования микросервисной архитектуры должно содержать указание на сервисы и системы трассировки, подлежащие исследованию, а также на временные интервалы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «приложения», не конкретизируя, какие сервисы подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 66. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию бессерверных вычислений

Использование технологий бессерверных вычислений создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, сохраняемых платформой. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, обрабатывалась функцией, которая выполнялась в течение короткого времени и не сохраняла журналы. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию на основе журналов платформы, что не всегда возможно, либо ограничиться констатацией факта вызова функции, не имея возможности установить, что именно она выполнила. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования бессерверных вычислений требует применения методов, позволяющих производить анализ журналов платформы и сопоставление их с данными о вызовах. Указанные методы включают анализ временных меток и идентификаторов вызовов, которые могут содержать сведения об обработке. Эксперт, применяющий такие методы, должен учитывать возможность ограниченного срока хранения журналов, что создает предпосылки для утраты информации.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта выполнения функции, требуют исследования журналов платформы, которые могут содержать сведения о вызовах. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что журналы могут быть удалены по истечении срока хранения. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования бессерверных вычислений сталкивается с проблемой, связанной с отсутствием единых методик анализа журналов платформы. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом доступных журналов, другие — реконструкцией на основе косвенных признаков. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Постановление о назначении компьютерно-технической экспертизы в части исследования бессерверных вычислений должно содержать указание на платформу, функции и временные интервалы, подлежащие исследованию, а также на порядок получения журналов от провайдера платформы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «облачной функции», не конкретизируя, какие именно функции и интервалы подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования. Конфликт между экспертом и следователем по поводу объема задания приобретает в данной области устойчивый характер, поскольку провайдеры платформ ограничивают сроки хранения журналов и предоставляют их только по официальному запросу, что создает предпосылки для утраты доказательственной информации.

Раздел 67. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию контейнерной оркестрации

Использование технологий контейнерной оркестрации создает предпосылки для конфликта между требованием установления истины и сложностью определения того, на каком именно узле кластера выполнялся контейнер в момент события. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, обрабатывалась контейнером, который мог быть перемещен с одного узла на другой без сохранения сведений о перемещении. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию на основе журналов оркестратора, что не всегда возможно, либо ограничиться констатацией факта обработки, не имея возможности установить, на каком узле она производилась. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование контейнерной оркестрации, требуют применения методов, позволяющих производить анализ журналов оркестратора и сопоставление их с данными о событиях в контейнерах. Указанные методы включают анализ временных меток и идентификаторов контейнеров, которые могут содержать сведения о перемещениях. Эксперт, применяющий такие методы, должен учитывать возможность пересоздания контейнеров, что создает предпосылки для утраты информации, хранившейся в их изменяемых слоях.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта выполнения контейнера на конкретном узле, требуют исследования журналов оркестратора, которые могут содержать сведения о размещении. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что оркестратор может не сохранять историю размещения. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования контейнерной оркестрации сталкивается с проблемой, связанной с отсутствием единых методик реконструкции размещения контейнеров. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов оркестратора, другие — анализом журналов узлов. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 68. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию инфраструктуры как кода

Использование технологий инфраструктуры как кода создает предпосылки для конфликта между требованием установления истины и сложностью определения того, какая именно версия конфигурации применялась в момент события. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, обрабатывалась системой, конфигурация которой изменялась программно и не сохранялась в журналах. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию конфигурации на основе доступных версий кода, что не всегда возможно, либо ограничиться констатацией факта применения конфигурации, не имея возможности установить, какая именно версия применялась. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования инфраструктуры как кода требует применения методов, позволяющих производить анализ репозиториев и сопоставление версий кода с данными о событиях. Указанные методы включают анализ временных меток коммитов и идентификаторов версий, которые могут содержать сведения о примененных конфигурациях. Эксперт, применяющий такие методы, должен учитывать возможность применения конфигурации, не зафиксированной в репозитории, что создает предпосылки для неполноты исследования.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления конфигурации системы на момент события, требуют исследования репозитория, который может содержать сведения о версиях кода. Эксперт, исследующий репозиторий, вынужден учитывать, что он может быть неполным или измененным, а также что конфигурация может быть применена вручную, минуя репозиторий. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования инфраструктуры как кода должно содержать указание на репозиторий и системы управления конфигурацией, подлежащие исследованию, а также на временные интервалы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «конфигурации», не конкретизируя, какие репозитории подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 69. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию непрерывной интеграции и доставки

Использование технологий непрерывной интеграции и доставки создает предпосылки для конфликта между требованием установления истины и сложностью определения того, какая именно сборка была развернута в производственной среде. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, обрабатывалась приложением, версия которого отличалась от версии, зафиксированной в репозитории. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию цепочки сборки и развертывания на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта обработки, не имея возможности установить, какая версия приложения обрабатывала данные. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование непрерывной интеграции и доставки, требуют применения методов, позволяющих производить анализ журналов систем сборки и сопоставление их с данными о развертывании. Указанные методы включают анализ идентификаторов сборок и артефактов, которые могут содержать сведения о версиях. Эксперт, применяющий такие методы, должен учитывать возможность развертывания артефактов, не прошедших через систему сборки, что создает предпосылки для неполноты исследования.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления версии приложения на момент события, требуют исследования журналов систем сборки и развертывания, которые могут содержать сведения о версиях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что развертывание может быть произведено вручную. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования непрерывной интеграции и доставки сталкивается с проблемой, связанной с отсутствием единых методик реконструкции цепочек сборки и развертывания. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов, другие — анализом артефактов. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 70. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию управления секретами

Использование технологий управления секретами создает предпосылки для конфликта между требованием установления истины и необходимостью защиты конфиденциальной информации. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой секреты, хранящиеся в специализированных хранилищах, доступ к которым ограничен. Эксперт, исследующий такие данные, вынужден либо ходатайствовать о предоставлении доступа, что создает предпосылки для отказа, либо ограничиться анализом метаданных, что создает предпосылки для неполноты заключения.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования управления секретами требует применения методов, позволяющих производить анализ журналов доступа к хранилищам без раскрытия содержания секретов. Указанные методы включают анализ временных меток и идентификаторов субъектов доступа, которые могут содержать сведения о том, кто и когда обращался к секретам. Эксперт, применяющий такие методы, должен учитывать возможность маскирования секретов, что создает предпосылки для неполноты исследования.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта доступа к секретам, требуют исследования журналов хранилища, которые могут содержать сведения о доступе. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что доступ может быть осуществлен с использованием украденных учетных данных. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования управления секретами должно содержать указание на хранилища, подлежащие исследованию, и на меры, обеспечивающие защиту секретов. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «системы управления секретами», не конкретизируя, какие хранилища подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 71. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию управления идентификацией

Использование технологий управления идентификацией создает предпосылки для конфликта между требованием установления истины и сложностью определения того, какое именно лицо осуществляло доступ к системе. Указанный конфликт приобретает особую остроту в случаях, когда доступ осуществлялся с использованием учетной записи, которая могла быть скомпрометирована. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию событий на основе журналов, что не всегда возможно, либо ограничиться констатацией факта доступа с определенной учетной записи, не имея возможности установить, кто именно осуществил доступ. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование управления идентификацией, требуют применения методов, позволяющих производить анализ журналов аутентификации и сопоставление их с данными о действиях пользователей. Указанные методы включают анализ временных меток и идентификаторов сессий, которые могут содержать сведения о доступе. Эксперт, применяющий такие методы, должен учитывать возможность использования украденных учетных данных, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта доступа конкретного лица, требуют исследования журналов аутентификации, которые могут содержать сведения о сессиях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что учетные данные могут быть использованы третьими лицами. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования управления идентификацией сталкивается с проблемой, связанной с отсутствием единых методик атрибуции действий конкретному лицу. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов, другие — анализом биометрических данных. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 72. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию управления привилегированным доступом

Использование технологий управления привилегированным доступом создает предпосылки для конфликта между требованием установления истины и сложностью определения того, какие действия были произведены с использованием привилегированных учетных записей. Указанный конфликт приобретает особую остроту в случаях, когда действия, имеющие значение для дела, были произведены с использованием учетной записи, доступ к которой имели несколько лиц. Эксперт, исследующий такие данные, вынужден либо производить реконструкцию событий на основе журналов, что не всегда возможно, либо ограничиться констатацией факта использования привилегированной учетной записи, не имея возможности установить, кто именно ее использовал. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования привилегированного доступа требует применения методов, позволяющих производить анализ журналов сессий и сопоставление их с данными о действиях. Указанные методы включают анализ временных меток и идентификаторов сессий, которые могут содержать сведения о доступе. Эксперт, применяющий такие методы, должен учитывать возможность совместного использования учетных записей, что создает предпосылки для ошибочной атрибуции.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта выполнения привилегированной операции, требуют исследования журналов сессий, которые могут содержать сведения о командах. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что сессия может быть записана не полностью. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования привилегированного доступа сталкивается с проблемой, связанной с отсутствием единых методик анализа записей сессий. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов, другие — анализом видеозаписей. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 73. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию поведенческой аналитики

Использование технологий поведенческой аналитики создает предпосылки для конфликта между требованием установления истины и сложностью интерпретации поведенческих моделей. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой оценки поведения пользователя, сгенерированные системой аналитики. Эксперт, исследующий такие данные, вынужден либо констатировать невозможность верификации моделей, либо применять методы объяснимой аналитики, которые не всегда доступны. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование поведенческой аналитики, требуют применения методов, позволяющих производить анализ моделей и данных, на которых они обучены. Указанные методы включают анализ признаков, на которые модель реагирует, и оценку влияния отдельных признаков на решение. Эксперт, применяющий такие методы, должен учитывать возможность обучения моделей на данных, содержащих предубеждения, что создает предпосылки для ошибочных решений.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта аномального поведения пользователя, требуют исследования журналов системы аналитики, которые могут содержать сведения об оценках. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что модель может быть обновлена без ведома эксперта. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования поведенческой аналитики должно содержать указание на модели и данные, подлежащие исследованию, а также на допустимые методы анализа. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «системы аналитики», не конкретизируя, какие модели подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 74. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию обнаружения вторжений

Использование технологий обнаружения вторжений создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, сохраняемых системами обнаружения. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой срабатывания системы, которые могут быть как истинными, так и ложными. Эксперт, исследующий такие данные, вынужден либо производить анализ срабатываний на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта срабатывания, не имея возможности установить, было ли оно истинным. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования систем обнаружения вторжений требует применения методов, позволяющих производить анализ журналов срабатываний и сопоставление их с данными о трафике. Указанные методы включают анализ временных меток и сигнатур, которые могут содержать сведения о событиях. Эксперт, применяющий такие методы, должен учитывать возможность настройки системы на обнаружение только известных атак, что создает предпосылки для пропуска новых атак.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта вторжения, требуют исследования журналов системы обнаружения, которые могут содержать сведения о срабатываниях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что срабатывания могут быть ложными. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования систем обнаружения вторжений сталкивается с проблемой, связанной с отсутствием единых методик оценки достоверности срабатываний. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов, другие — анализом трафика. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 75. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию предотвращения утечек данных

Использование технологий предотвращения утечек данных создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, сохраняемых системами предотвращения. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой блокировки, которые могут быть как обоснованными, так и ошибочными. Эксперт, исследующий такие данные, вынужден либо производить анализ блокировок на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта блокировки, не имея возможности установить, была ли она обоснованной. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование систем предотвращения утечек, требуют применения методов, позволяющих производить анализ журналов блокировок и сопоставление их с данными о содержимом. Указанные методы включают анализ временных меток и правил, которые могут содержать сведения о блокировках. Эксперт, применяющий такие методы, должен учитывать возможность настройки системы на блокировку только известных шаблонов, что создает предпосылки для пропуска новых шаблонов.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта попытки передачи конфиденциальной информации, требуют исследования журналов системы предотвращения, которые могут содержать сведения о блокировках. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что блокировки могут быть ошибочными. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования систем предотвращения утечек сталкивается с проблемой, связанной с отсутствием единых методик оценки обоснованности блокировок. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов, другие — анализом содержимого. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 76. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию управления событиями безопасности

Использование технологий управления событиями безопасности создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, агрегируемых системами управления. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой корреляции событий, которые могут быть как значимыми, так и случайными. Эксперт, исследующий такие данные, вынужден либо производить анализ корреляций на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта корреляции, не имея возможности установить, была ли она значимой. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования систем управления событиями требует применения методов, позволяющих производить анализ журналов корреляций и сопоставление их с данными об исходных событиях. Указанные методы включают анализ временных меток и правил корреляции, которые могут содержать сведения о связях. Эксперт, применяющий такие методы, должен учитывать возможность настройки системы на корреляцию только известных сценариев, что создает предпосылки для пропуска новых сценариев.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта взаимосвязи событий, требуют исследования журналов системы управления, которые могут содержать сведения о корреляциях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что корреляции могут быть случайными. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования систем управления событиями должно содержать указание на системы и правила корреляции, подлежащие исследованию, а также на временные интервалы. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «системы управления событиями», не конкретизируя, какие правила подлежат исследованию. Эксперт, получивший такое задание, вынужден самостоятельно определять объем исследования, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 77. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию анализа поведения пользователей и сущностей

Использование технологий анализа поведения пользователей и сущностей создает предпосылки для конфликта между требованием установления истины и сложностью интерпретации моделей, описывающих нормальное поведение. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой отклонения от нормального поведения, которые могут быть как злонамеренными, так и случайными. Эксперт, исследующий такие данные, вынужден либо производить анализ отклонений на основе доступных моделей, что не всегда возможно, либо ограничиться констатацией факта отклонения, не имея возможности установить его причину. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование анализа поведения, требуют применения методов, позволяющих производить анализ моделей и данных, на которых они обучены. Указанные методы включают анализ признаков, на которые модель реагирует, и оценку влияния отдельных признаков на решение. Эксперт, применяющий такие методы, должен учитывать возможность обучения моделей на данных, содержащих предубеждения, что создает предпосылки для ошибочных решений.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта аномального поведения, требуют исследования журналов системы анализа, которые могут содержать сведения об отклонениях. Эксперт, исследующий такие журналы, вынужден учитывать, что они могут быть неполными или измененными, а также что модель может быть обновлена без ведома эксперта. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Техническая экспертиза компьютерной техники в части исследования анализа поведения сталкивается с проблемой, связанной с отсутствием единых методик оценки аномальности. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов, другие — анализом моделей. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 78. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию расширенного обнаружения и реагирования

Использование технологий расширенного обнаружения и реагирования создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, сохраняемых агентами, установленными на конечных устройствах. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой телеметрию, которая может быть неполной вследствие ограничений агента. Эксперт, исследующий такие данные, вынужден либо производить анализ телеметрии на основе доступных журналов, что не всегда возможно, либо ограничиться констатацией факта события, не имея возможности установить его детали. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Информационно-аналитическая и техническая экспертиза компьютерных систем в части исследования расширенного обнаружения требует применения методов, позволяющих производить анализ телеметрии и сопоставление ее с данными о событиях. Указанные методы включают анализ временных меток и идентификаторов процессов, которые могут содержать сведения о событиях. Эксперт, применяющий такие методы, должен учитывать возможность отключения агента, что создает предпосылки для утраты информации.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта выполнения процесса, требуют исследования телеметрии, которая может содержать сведения о процессах. Эксперт, исследующий телеметрию, вынужден учитывать, что она может быть неполной или измененной, а также что агент может быть отключен. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Компьютерно-техническая экспертиза в Москве в части исследования расширенного обнаружения сталкивается с проблемой, связанной с отсутствием единых методик анализа телеметрии. Различные экспертные учреждения применяют различные подходы: одни ограничиваются анализом журналов, другие — анализом дампов памяти. Указанное различие создает предпосылки для неравенства процессуальных возможностей и для оспаривания заключений, произведенных с применением подходов, не соответствующих ожиданиям сторон.

Раздел 79. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию песочницы

Использование технологий песочницы создает предпосылки для конфликта между требованием установления истины и ограниченностью данных, сохраняемых в изолированной среде. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой результаты выполнения файла в песочнице, которые могут отличаться от результатов выполнения на реальной системе. Эксперт, исследующий такие данные, вынужден либо производить анализ результатов песочницы, что не всегда отражает реальное поведение, либо ограничиться констатацией факта выполнения, не имея возможности установить реальное поведение. Указанная ограниченность создает предпосылки для формулирования выводов в вероятностной форме.

Виды компьютерно-технических экспертиз, предполагающие исследование песочницы, требуют применения методов, позволяющих производить анализ отчетов песочницы и сопоставление их с данными о реальных системах. Указанные методы включают анализ поведенческих индикаторов и сетевых соединений, которые могут содержать сведения о поведении. Эксперт, применяющий такие методы, должен учитывать возможность обнаружения песочницы вредоносным кодом, что создает предпосылки для изменения поведения.

Вопросы на компьютерно-техническую экспертизу, касающиеся установления факта поведения файла, требуют исследования отчетов песочницы, которые могут содержать сведения о поведении. Эксперт, исследующий такие отчеты, вынужден учитывать, что они могут быть неполными или измененными, а также что вредоносный код может обнаружить песочницу и изменить поведение. Указанные обстоятельства создают предпосылки для неопределенности выводов.

Постановление о назначении компьютерно-технической экспертизы в Москве в части исследования песочницы должно содержать указание на конфигурацию песочницы и временные интервалы, подлежащие исследованию. На практике указанное требование не всегда соблюдается: следователь ограничивается общим указанием на необходимость исследования «файла в песочнице», не конкретизируя конфигурацию. Эксперт, получивший такое задание, вынужден самостоятельно определять конфигурацию, что создает предпосылки для расхождения между ожиданиями следователя и результатами исследования.

Раздел 80. Проблемы, связанные с исследованием информации, хранящейся на устройствах, использующих технологию эмуляции

Использование технологий эмуляции создает предпосылки для конфликта между требованием установления истины и ограниченностью точности эмуляции. Указанный конфликт приобретает особую остроту в случаях, когда информация, имеющая значение для дела, представляет собой результаты