Раздел 1. Правовая природа и место компьютерно-технической экспертизы в системе судебных экспертиз

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебных экспертиз, предметом которого являются фактические данные, устанавливаемые на основе специальных знаний в области компьютерной техники, программного обеспечения, информационных систем и сетей. В условиях стремительной цифровизации всех сфер общественной жизни значение данного вида экспертного исследования возрастает многократно. Суды, следственные органы и участники процесса всё чаще сталкиваются с необходимостью получения ответов на вопросы, требующие анализа цифровых следов, восстановления удалённых данных, установления авторства программного кода или определения факта несанкционированного доступа.

Правовую основу назначения и производства рассматриваемого вида экспертизы составляет Федеральный закон «О государственной судебно-экспертной деятельности в Российской Федерации», а также процессуальные кодексы — УПК, ГПК, АПК и КАС, каждый из которых устанавливает собственный порядок назначения экспертного исследования. Компьютерно-техническая экспертиза может проводиться как в государственных судебно-экспертных учреждениях, так и в негосударственных организациях, обладающих необходимой материально-технической базой и квалифицированными специалистами. Союз «Федерация судебных экспертов» располагает разветвлённой сетью филиалов и штатом экспертов, специализирующихся на исследовании компьютерной техники и цифровых носителей информации, что позволяет оперативно решать задачи любой сложности на всей территории страны .

Ключевой особенностью компьютерно-технической экспертизы является её междисциплинарный характер. Эксперт должен обладать познаниями не только в области информационных технологий, но и понимать процессуальные требования к оформлению заключения, знать правила обращения с вещественными доказательствами и осознавать пределы своей компетенции. Объектами исследования выступают аппаратные средства — персональные компьютеры, серверы, ноутбуки, мобильные устройства, носители информации; программное обеспечение — системное и прикладное, включая вредоносные программы; информационные объекты — файлы, базы данных, журналы событий, а также сетевые ресурсы и телекоммуникационное оборудование .

Вопросы, разрешаемые компьютерно-технической экспертизой, условно подразделяются на несколько групп. Первая связана с установлением технического состояния и функциональных характеристик оборудования. Вторая касается поиска и анализа информации на носителях. Третья направлена на установление обстоятельств работы пользователя в сети Интернет и с приложениями. Четвёртая охватывает исследование программного обеспечения на предмет наличия вредоносных функций или признаков контрафактности. Пятая группа вопросов связана с установлением факта создания или редактирования конкретного документа на представленном оборудовании .

При назначении рассматриваемого исследования следователь или суд выносит постановление о назначении компьютерно-технической экспертизы, в котором формулирует задачи, перечень объектов и материалы, предоставляемые в распоряжение эксперта. Постановление о назначении компьютерно-технической судебной экспертизы должно содержать чёткие и однозначные формулировки вопросов, не допускающие расширительного толкования. Практика показывает, что небрежно сформулированные вопросы влекут либо отказ эксперта от дачи заключения, либо получение ответов, не имеющих доказательственного значения.

Компьютерно-техническая экспертиза в Москве востребована особенно широко в силу концентрации в столице значительного числа хозяйствующих субъектов, использующих сложные информационные системы, а также высокой плотности уголовных дел и арбитражных споров, связанных с цифровыми доказательствами. Союз «Федерация судебных экспертов» предлагает услуги по производству данного вида исследований с привлечением экспертов, имеющих профильное образование и практический опыт работы с различными операционными системами, файловыми системами и прикладным программным обеспечением.

Раздел 2. Виды компьютерно-технических экспертиз и их содержательная характеристика

Дифференциация компьютерно-технических экспертиз на виды обусловлена различием объектов исследования и решаемых задач. В экспертной практике сложилось деление на аппаратно-компьютерную, программно-компьютерную, информационно-компьютерную и компьютерно-сетевую экспертизы . Каждый вид имеет собственный предмет и методический аппарат.

Аппаратно-компьютерная экспертиза направлена на исследование физических компонентов компьютерных систем. Эксперт устанавливает тип, модель, технические характеристики устройства, его функциональное назначение, исправность или неисправность, причины возникновения дефектов, соответствие конфигурации заявленным параметрам. В рамках данного вида решаются вопросы о том, относится ли представленное устройство к компьютерным средствам, каково его первоначальное состояние, подвергалось ли оборудование модификации или ремонту. Типичными объектами выступают системные блоки, жёсткие диски, материнские платы, периферийные устройства, мобильные телефоны и планшеты .

Программно-компьютерная экспертиза сосредоточена на исследовании программного обеспечения. Эксперт определяет класс программного средства, его назначение, разработчика, наличие признаков контрафактности, совместимость с аппаратной частью, алгоритм функционирования. Отдельное направление составляет исследование вредоносных программ — установление их наличия на носителе, функциональных возможностей, механизма распространения и воздействия на систему. Вопросы о том, имеются ли на жёстком диске вредоносные программы, каково их назначение и место размещения, относятся к компетенции данного вида экспертизы .

Информационно-компьютерная экспертиза (иногда называемая информационно-аналитической и технической экспертизой компьютерных систем) имеет своим предметом собственно информацию, хранящуюся на носителях. Эксперт осуществляет поиск файлов по заданным критериям, восстановление удалённых данных, установление хронологии создания и модификации документов, атрибуцию файлов конкретным пользователям. Ключевое значение имеет сохранение целостности исследуемых данных, для чего применяются специализированные программно-аппаратные комплексы, обеспечивающие побитовое копирование и последующий анализ образа без внесения изменений в оригинал.

Компьютерно-сетевая экспертиза связана с исследованием сетевых технологий и телекоммуникационного оборудования. Объектами выступают серверы, маршрутизаторы, коммутаторы, сетевые журналы, а также данные, передававшиеся по каналам связи. Эксперт устанавливает топологию сети, конфигурацию оборудования, факты подключения к внешним ресурсам, параметры соединений. Несмотря на дискуссионность выделения данного вида в качестве самостоятельного, практика демонстрирует его востребованность при расследовании преступлений в сфере компьютерной информации и при разрешении споров, связанных с функционированием распределённых информационных систем.

Услуги по экспертизе технического состояния компьютерной техники могут быть востребованы не только в судебном процессе, но и на досудебном этапе — для определения причин выхода оборудования из строя, оценки ущерба, установления факта умышленного повреждения или ненадлежащей эксплуатации. В таких случаях результаты исследования оформляются в виде заключения специалиста, которое впоследствии может быть использовано при подготовке иска или передано в правоохранительные органы.

Компьютерно-техническая экспертиза в Москве и регионах проводится экспертами Союза «Федерация судебных экспертов» с соблюдением требований процессуального законодательства и методических рекомендаций, разработанных для каждого вида исследования. Комплексный характер многих задач требует привлечения специалистов смежных направлений — например, при исследовании программного обеспечения, содержащего элементы криптографии, или при анализе данных, полученных из облачных сервисов.

Раздел 3. Постановка вопросов и подготовка материалов для компьютерно-технической экспертизы

Эффективность экспертного исследования в значительной степени определяется качеством подготовки материалов, направляемых на экспертизу, и корректностью формулирования вопросов. Постановление о назначении компьютерно-технической экспертизы должно содержать не только перечень вопросов, но и описание обстоятельств дела, имеющих значение для исследования, а также сведения об изъятии объектов и условиях их хранения до момента передачи эксперту.

Вопросы на компьютерно-техническую экспертизу формулируются с учётом конкретных обстоятельств дела и задач, стоящих перед следствием или судом. При этом рекомендуется избегать вопросов, выходящих за пределы специальных знаний эксперта, — например, вопросов о виновности лица или о квалификации деяния. Эксперт не вправе разрешать правовые вопросы, и постановка таких вопросов влечёт недопустимость полученного заключения в соответствующей части.

Типовые вопросы в рамках аппаратно-компьютерной экспертизы включают: относится ли представленное устройство к аппаратным компьютерным средствам; каковы его технические характеристики и параметры; исправно ли устройство; имеются ли в нём дефекты и какова причина их возникновения; соответствует ли конфигурация устройства заявленной в документации. При исследовании носителей информации дополнительно выясняются тип носителя, метод хранения данных, доступность для чтения, причины отсутствия доступа .

В рамках программно-компьютерной экспертизы ставятся вопросы о классе программного обеспечения, его назначении, разработчике, наличии признаков контрафактности, совместимости с аппаратными средствами, наличии функций, способных блокировать или уничтожать информацию. При исследовании вредоносных программ — имеются ли на носителе программы, приводящие к модификации, блокированию, копированию или уничтожению информации, нарушению работы системы; если да, то каковы их название, назначение и место размещения .

Для информационно-компьютерной экспертизы характерны вопросы: имеются ли на носителе файлы, содержащие определённый текст или изображения; каковы обстоятельства создания, обработки и печати информации; имеются ли сведения о контактах пользователя; присутствуют ли данные о работе в сети Интернет и каковы параметры соединений; имеются ли сообщения электронной почты или сервисов мгновенных сообщений и кому они адресованы.

Постановление о назначении компьютерно-технической судебной экспертизы должно сопровождаться предоставлением эксперту всех необходимых материалов: самого постановления, объектов исследования в упакованном и опечатанном виде, а при необходимости — копий процессуальных документов, содержащих сведения об изъятии объектов. Упаковка должна обеспечивать сохранность объектов и исключать несанкционированный доступ к ним. На упаковке указываются сведения о том, какие объекты упакованы, кем и по какому делу, проставляются подписи и оттиски печатей.

Компьютерно-техническая экспертиза в Москве может быть назначена как в государственное учреждение, так и в негосударственную экспертную организацию. Союз «Федерация судебных экспертов» принимает поручения на производство исследования на основании постановления следователя, определения суда или заявления заинтересованного лица. При обращении в негосударственную организацию сторона дела вправе представить кандидатуру эксперта и запросить сведения о его квалификации и опыте работы по аналогичным делам.

Раздел 4. Производство компьютерно-технической экспертизы: методические и организационные аспекты

Процесс производства компьютерно-технической экспертизы включает несколько последовательных этапов: предварительное ознакомление с материалами и объектами, планирование исследования, непосредственное исследование, оценка полученных результатов и формулирование выводов, оформление заключения. Каждый этап имеет свои особенности, определяемые характером объекта и поставленными вопросами.

На этапе предварительного ознакомления эксперт изучает постановление, проверяет наличие и состояние объектов, оценивает достаточность представленных материалов для ответа на поставленные вопросы. В случае выявления обстоятельств, препятствующих производству экспертизы (непригодность объектов, недостаточность материалов, выход вопросов за пределы компетенции), эксперт заявляет ходатайство о предоставлении дополнительных материалов или мотивированно сообщает о невозможности дачи заключения.

Планирование исследования предполагает выбор методов и средств, адекватных поставленным задачам. Для исследования компьютерной техники применяются как общенаучные методы (анализ, синтез, сравнение, моделирование), так и специальные методы, реализованные в программных средствах. К специальным методам относятся поиск и доступ к данным, манипуляции с данными, восстановление удалённой информации, архивация, анализ сигнатур файлов, мониторинг оперативной и дисковой памяти .

При исследовании системного блока эксперты, как правило, придерживаются следующей последовательности: визуальный осмотр внутренних компонентов; извлечение жёсткого диска; подключение к системному блоку монитора и клавиатуры для определения установок BIOS; загрузка операционной системы с внешнего носителя эксперта для диагностики аппаратных компонентов без использования исследуемого жёсткого диска. Такой подход позволяет исключить внесение изменений в информацию, хранящуюся на исследуемом носителе, и обеспечить сохранность цифровых следов.

Исследование носителей информации включает определение класса носителя, интерфейса, основных технических параметров, выявление таблицы разделов, определение логической адресации системных областей, поиск признаков повреждения целостности структуры данных. Для работы с образами носителей применяются специализированные программные комплексы, обеспечивающие возможность анализа файловой системы без риска модификации исходных данных.

Судебная компьютерно-техническая экспертиза требует от эксперта документирования всех выполняемых действий. В заключении отражаются сведения о применённых методах и программных средствах, условиях проведения исследования, выявленных фактах и сделанных выводах. Заключение должно быть проверяемым: иные специалисты, ознакомившись с описательной частью, должны иметь возможность воспроизвести ход исследования и оценить обоснованность выводов.

Компьютерно-техническая экспертиза в Москве, проводимая экспертами Союза «Федерация судебных экспертов», организуется с учётом необходимости оперативного реагирования на запросы клиентов при сохранении высокого качества исследования. Лабораторная база позволяет работать с широким спектром носителей и форматов данных, а эксперты проходят регулярное повышение квалификации в области новых технологий и методов анализа.

Раздел 5. Использование результатов компьютерно-технической экспертизы в судопроизводстве

Заключение эксперта по результатам компьютерно-технической экспертизы является одним из видов доказательств, предусмотренных процессуальным законодательством. Оно подлежит оценке наряду с другими доказательствами по делу и не имеет заранее установленной силы. Суд, следователь, прокурор оценивают заключение по своему внутреннему убеждению, основанному на всестороннем, полном и объективном рассмотрении всех обстоятельств дела.

При оценке заключения учитываются квалификация эксперта, его незаинтересованность в исходе дела, соблюдение процессуального порядка назначения и производства экспертизы, соответствие выводов поставленным вопросам, обоснованность применённых методов. Если заключение вызывает сомнения, может быть назначена повторная или дополнительная экспертиза. Повторная экспертиза поручается другому эксперту или другой экспертной организации; дополнительная — тому же эксперту для разрешения вопросов, не ставившихся ранее, или для уточнения выводов.

Компьютерно-техническая экспертиза в Москве часто становится предметом тщательного исследования в состязательном процессе, поскольку стороны могут оспаривать как методику, так и выводы эксперта. В таких ситуациях важное значение приобретает возможность допроса эксперта в судебном заседании для разъяснения данного им заключения. Эксперт вправе давать пояснения по вопросам, связанным с проведённым исследованием, но не вправе выходить за пределы своей компетенции.

Союз «Федерация судебных экспертов» обеспечивает защиту своих заключений в судах, предоставляя экспертов для участия в судебных заседаниях и дачи пояснений по существу проведённых исследований. Это особенно важно в случаях, когда противоположная сторона представляет альтернативное заключение или ставит под сомнение достоверность выводов.

Судебная компьютерно-техническая экспертиза нередко требуется на стадии предварительного расследования для установления обстоятельств, имеющих ключевое значение для квалификации деяния. Например, при расследовании дел о неправомерном доступе к компьютерной информации экспертиза позволяет установить факт несанкционированного проникновения в систему, время и способ доступа, а также объём информации, к которой был получен доступ. При расследовании дел о распространении вредоносных программ экспертное исследование направлено на установление свойств программы, её поражающих возможностей и механизма распространения.

В арбитражном процессе компьютерно-техническая экспертиза востребована при разрешении споров, связанных с исполнением договоров в сфере информационных технологий, с защитой исключительных прав на программное обеспечение, с оценкой качества выполненных работ по разработке или внедрению информационных систем. В гражданском процессе — при спорах о защите чести и достоинства, связанных с распространением сведений в сети Интернет, при разделе имущества, включающего компьютерную технику, при установлении фактов использования персональных данных.

Кейс 1. Установление факта создания документа на конкретном компьютере

В производстве следователя находилось уголовное дело о мошенничестве, связанном с заключением договоров на поставку оборудования. Обвиняемый отрицал, что подписывал договор, представленный потерпевшей стороной, утверждая, что документ был сфальсифицирован. По версии следствия, договор был изготовлен с использованием компьютерной техники, изъятой в офисе обвиняемого. На разрешение компьютерно-технической экспертизы были поставлены вопросы: имеются ли на жёстком диске системного блока файлы, содержащие текст договора; если да, то каковы дата и время создания этих файлов; создавались ли файлы в результате набора текста или копирования из другого источника.

Экспертом был произведён осмотр системного блока, извлечён накопитель на жёстких магнитных дисках, создан побитовый образ носителя. Анализ файловой системы позволил обнаружить в каталоге временных файлов текстового редактора фрагменты документа, содержащие характерные реквизиты договора. Метаданные файлов содержали сведения о дате создания и последней модификации, совпадающие с периодом, предшествовавшим заключению договора. Кроме того, в журнале автосохранения редактора были обнаружены записи, подтверждающие неоднократное открытие и редактирование файла в течение нескольких дней.

Сопоставление содержимого обнаруженных файлов с текстом представленного договора показало их существенное совпадение за исключением отдельных фрагментов, изменённых при финальном редактировании. Эксперт пришёл к выводу, что на представленном носителе имеются файлы, содержащие текст договора, созданные в результате набора с клавиатуры и последующего редактирования в период, предшествовавший дате подписания документа. Заключение эксперта было использовано стороной обвинения для опровержения версии о фальсификации документа потерпевшей стороной.

В ходе судебного разбирательства защита заявила ходатайство о вызове эксперта для дачи пояснений. Эксперт подтвердил, что выявленные временные метки не могли быть результатом случайного изменения, поскольку коррелировали с данными журналов операционной системы и записями в файлах автосохранения. Суд принял заключение в качестве допустимого и достоверного доказательства.

Кейс 2. Восстановление удалённых файлов при расследовании дела о распространении контрафактного программного обеспечения

Организация, специализирующаяся на разработке бухгалтерского программного обеспечения, обратилась в правоохранительные органы с заявлением о незаконном использовании её программного продукта. В ходе проверки у индивидуального предпринимателя были изъяты системный блок и ноутбук. Заявитель утверждал, что предприниматель использовал нелицензионную версию программы и распространял её среди клиентов. На разрешение компьютерно-технической экспертизы были поставлены вопросы: имеются ли на представленных носителях экземпляры программного обеспечения, сходного с продуктом заявителя; если да, то каковы признаки контрафактности; имеются ли следы удаления или установки программ.

Эксперт создал образы носителей и применил методы восстановления удалённых данных. В нераспределённом пространстве жёсткого диска были обнаружены фрагменты установочных файлов, содержащих характерные строковые константы и идентификаторы, совпадающие с продуктом заявителя. Кроме того, в реестре операционной системы сохранились записи об установке и удалении программы, а в каталоге временных файлов — следы работы с дистрибутивом. На ноутбуке были обнаружены архивные копии, содержащие исполняемые файлы и лицензионные ключи, не соответствующие легально приобретённым экземплярам.

Эксперт отметил, что часть файлов была удалена, однако восстановление оказалось возможным благодаря тому, что секторы, содержавшие данные, не были перезаписаны. Анализ журналов установки позволил установить даты инсталляции и удаления, а также пути к каталогам, использовавшимся при работе с программой. Вывод эксперта содержал указание на наличие на носителях экземпляров программного обеспечения, обладающих признаками контрафактности, и на факт неоднократной установки и удаления программы в период, относящийся к инкриминируемым событиям.

Защита предпринимателя настаивала на том, что обнаруженные файлы могли быть занесены случайно или являться остатками демонстрационной версии. Однако эксперт в судебном заседании пояснил, что обнаруженные идентификаторы и отсутствие ограничений демонстрационного периода свидетельствуют о полнофункциональной версии продукта. Суд признал заключение обоснованным.

Кейс 3. Анализ журналов сетевых подключений при расследовании несанкционированного доступа

В ходе служебной проверки в коммерческой организации был выявлен факт несанкционированного копирования базы данных клиентов. Подозрение пало на одного из сотрудников, имевшего доступ к серверу. Сотрудник отрицал причастность, утверждая, что в указанное время находился в отпуске и не пользовался служебным компьютером. На разрешение экспертизы были поставлены вопросы: осуществлялось ли подключение к серверу с рабочей станции, закреплённой за сотрудником; если да, то в какое время и с какими параметрами; имеются ли следы копирования базы данных на внешние носители.

Эксперт проанализировал журналы сервера, коммутатора и рабочей станции. В журнале сервера были обнаружены записи об успешной аутентификации учётной записи сотрудника в дату, когда он, по его утверждению, отсутствовал. IP-адрес, с которого производилось подключение, соответствовал рабочей станции сотрудника. В журнале коммутатора сохранились записи о подключении к порту, к которому была подключена эта станция, в то же время. На самой рабочей станции в журнале событий операционной системы были обнаружены записи о входе в систему и запуске клиентского приложения базы данных.

Кроме того, эксперт исследовал историю подключений внешних устройств. В реестре сохранились сведения о подключении USB-накопителя, идентификатор которого совпадал с устройством, изъятым у сотрудника. Время подключения коррелировало со временем сессии работы с базой данных. Объём скопированных данных, определённый по журналам приложения, соответствовал размеру выгруженного файла, обнаруженного на изъятом USB-накопителе.

Эксперт пришёл к выводу, что подключение к серверу с рабочей станции сотрудника имело место, аутентификация прошла успешно с использованием его учётных данных, и в тот же период к станции подключалось внешнее запоминающее устройство, на которое была скопирована информация. Заключение было использовано работодателем при принятии решения о привлечении сотрудника к дисциплинарной ответственности и при обращении в правоохранительные органы.

Кейс 4. Исследование вредоносного программного обеспечения в деле о блокировке работы предприятия

На предприятии произошла блокировка работы локальной сети, сопровождавшаяся выводом на экраны мониторов требования о переводе денежных средств. Служба безопасности предприятия обратилась в экспертно-криминалистическое подразделение. На разрешение компьютерно-технической экспертизы были поставлены вопросы: имеются ли на представленных носителях вредоносные программы; если да, то каковы их функциональные возможности и механизм распространения; имеются ли следы проникновения в сеть извне или заражения через съёмные носители.

Эксперт исследовал образы жёстких дисков нескольких рабочих станций и сервера. На всех носителях были обнаружены исполняемые файлы, обладающие признаками вредоносных программ: они осуществляли шифрование файлов с определёнными расширениями и создавали текстовые файлы с требованием выкупа. Анализ кода позволил установить, что программа распространялась через сетевые ресурсы с использованием уязвимости в протоколе удалённого доступа. В журналах сервера сохранились записи о подключениях с внешнего IP-адреса, предшествовавших заражению.

Эксперт также обнаружил на одной из рабочих станций следы подключения USB-накопителя за несколько дней до инцидента. На накопителе, изъятом у сотрудника, был найден файл, содержащий тот же вредоносный код, что и на заражённых машинах. Анализ метаданных файла позволил установить дату его создания и предположительный источник происхождения.

Вывод эксперта содержал описание функциональных возможностей вредоносной программы, механизма её распространения и указание на вероятный первоначальный источник заражения. Заключение способствовало установлению лиц, причастных к инциденту, и принятию мер по предотвращению подобных случаев в будущем.

Кейс 5. Определение технического состояния оборудования при споре о качестве поставленного товара

Между поставщиком и покупателем возник спор относительно качества поставленной партии компьютерной техники. Покупатель утверждал, что значительная часть оборудования имеет дефекты, поставщик настаивал на том, что оборудование было исправно на момент передачи. На разрешение судебной компьютерно-технической экспертизы были поставлены вопросы: имеются ли в представленных устройствах дефекты; если да, то каковы причины их возникновения — производственные или эксплуатационные; соответствует ли оборудование заявленным техническим характеристикам.

Эксперт произвёл внешний осмотр устройств, диагностику аппаратных компонентов с использованием специализированного программного обеспечения, проверил соответствие серийных номеров и конфигурации сопроводительной документации. В нескольких системных блоках были выявлены следы перегрева, повреждения конденсаторов на материнских платах и некорректная работа модулей памяти. Анализ журналов событий операционной системы показал наличие повторяющихся ошибок, связанных с работой оборудования, начиная с первых дней эксплуатации.

Эксперт пришёл к выводу, что выявленные дефекты носят производственный характер и связаны с недостатками компонентов, а не с нарушением правил эксплуатации. В отношении части устройств дефекты не были обнаружены. Заключение позволило суду дифференцированно подойти к оценке требований истца и определить размер подлежащей взысканию суммы.

Услуги по экспертизе технического состояния компьютерной техники, оказанные в рамках данного дела, включали не только диагностику, но и сопоставление выявленных неисправностей с условиями эксплуатации, зафиксированными в журналах. Такой подход обеспечил убедительность выводов и их принятие судом.

Кейс 6. Установление авторства программного кода при споре о правах на служебное произведение

Между работодателем и бывшим сотрудником возник спор о принадлежности прав на программный продукт, разработанный в период трудовых отношений. Работодатель утверждал, что программа создана в рамках служебного задания, сотрудник настаивал на том, что разрабатывал её в личное время с использованием собственного оборудования. На разрешение компьютерно-технической экспертизы были поставлены вопросы: имеются ли на представленных носителях файлы, содержащие исходный код программы; каковы даты создания и модификации этих файлов; совпадает ли время работы над кодом с периодом, когда сотрудник находился на рабочем месте.

Эксперт исследовал образы жёстких дисков рабочего компьютера сотрудника и его личного ноутбука. На рабочем компьютере были обнаружены файлы исходного кода, метаданные которых указывали на создание в период, охватываемый трудовым договором, и в часы, соответствующие рабочему графику. На личном ноутбуке также были обнаружены фрагменты кода, но с более поздними датами модификации. Анализ журналов системы контроля версий, сохранившихся на рабочем компьютере, позволил установить последовательность внесения изменений и имена пользователей, под которыми производились коммиты.

Эксперт отметил, что обнаруженные на рабочем компьютере файлы содержат комментарии и структуру, характерные для корпоративного стандарта разработки, принятого у работодателя. Фрагменты, найденные на личном ноутбуке, являлись производными от кода, созданного на рабочем компьютере, а не наоборот. Вывод эксперта способствовал разрешению спора в пользу работодателя, поскольку подтверждал создание программы в рамках трудовых обязанностей с использованием предоставленного оборудования.

Кейс 7. Анализ данных мобильного устройства при расследовании дела о распространении запрещённой информации

В ходе расследования уголовного дела, связанного с распространением информации, запрещённой к обороту, у подозреваемого был изъят мобильный телефон. На разрешение компьютерно-технической экспертизы были поставлены вопросы: имеются ли на устройстве файлы, содержащие информацию определённого содержания; имеются ли данные о передаче этих файлов через мессенджеры или по электронной почте; каковы учётные записи, использовавшиеся на устройстве.

Эксперт создал образ памяти устройства с использованием специализированного программно-аппаратного комплекса. Анализ файловой системы позволил обнаружить графические и видеофайлы, содержащие запрещённую информацию. В базах данных мессенджеров сохранились сведения о переписке, включая отправленные и полученные вложения. Журналы соединений содержали записи о передаче файлов через сеть Интернет. Идентификаторы учётных записей, обнаруженные в настройках приложений, позволили установить, кому принадлежит устройство.

Эксперт пришёл к выводу, что на устройстве имеются файлы, содержащие запрещённую информацию, и что эти файлы передавались через мессенджер в период, относящийся к инкриминируемым событиям. Заключение было использовано в суде наряду с другими доказательствами.

Кейс 8. Исследование серверного оборудования при корпоративном споре о доступе к базе данных

В арбитражном споре между двумя компаниями, ранее связанными договором о совместной деятельности, истец утверждал, что ответчик после расторжения договора неправомерно сохранил доступ к серверу и скопировал базу данных клиентов. Ответчик отрицал факт копирования. На разрешение компьютерно-технической экспертизы были поставлены вопросы: имеются ли в журналах сервера записи о подключениях с IP-адресов, принадлежащих ответчику, после расторжения договора; осуществлялось ли копирование базы данных и т.д.