Раздел 1. Правовая природа и место компьютерно-технической экспертизы в системе судебных экспертиз

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебных экспертиз, отнесённый к классу инженерно-технических исследований, предметом которого выступают факты и обстоятельства, устанавливаемые на основе специальных знаний в области компьютерных средств, систем и информационных процессов . В условиях стремительного расширения цифрового оборота и concomitant роста числа правонарушений, совершаемых с использованием информационно-телекоммуникационных технологий, рассматриваемый вид экспертной деятельности приобретает значение процессуального инструмента, без которого установление объективной истины по значительному числу уголовных, гражданских и арбитражных дел становится объективно затруднительным. Именно поэтому компьютерно-техническая экспертиза в Москве и иных субъектах Российской Федерации назначается как по делам о неправомерном доступе к компьютерной информации, так и по спорам, связанным с защитой авторских прав на программное обеспечение, а также по делам о мошенничестве, совершённом в электронной среде.

Правовую основу назначения и производства рассматриваемого исследования образуют нормы процессуального законодательства, регламентирующие порядок назначения судебной экспертизы, права и обязанности эксперта, а также требования, предъявляемые к заключению как к самостоятельному виду доказательств. Постановление о назначении компьютерно-технической экспертизы выносится органом предварительного расследования или судом при наличии необходимости применения специальных познаний для установления обстоятельств, имеющих значение для правильного разрешения дела. При этом законодатель не устанавливает исчерпывающего перечня вопросов, разрешаемых данным родом экспертиз, что обусловлено динамичным характером объектов исследования и постоянным совершенствованием компьютерных технологий.

В юридической литературе и экспертной практике утвердилась видовая классификация судебной компьютерно-технической экспертизы, включающая аппаратно-компьютерную, программно-компьютерную, информационно-компьютерную и компьютерно-сетевую составляющие . Указанное деление носит преимущественно дидактический и организационный характер, поскольку на практике эксперт нередко разрешает вопросы, относящиеся одновременно к нескольким видам, что не противоречит процессуальному законодательству и отражает комплексный характер исследования компьютерных средств и информационных объектов. Аппаратно-компьютерная экспертиза направлена на установление технических характеристик, функционального назначения и фактического состояния компьютерной техники, тогда как программно-компьютерная экспертиза ориентирована на исследование системного и прикладного программного обеспечения, включая установление фактов его разработки, модификации и использования . Информационно-компьютерная экспертиза предполагает поиск, обнаружение и анализ информации, хранящейся на машинных носителях, а компьютерно-сетевая — установление обстоятельств взаимодействия компьютерных средств с сетями передачи данных, включая сеть Интернет .

Компьютерная экспертиза как разновидность судебной компьютерно-технической экспертизы не образует самостоятельного процессуального статуса, однако в практической деятельности термин нередко используется для обозначения исследований, объектом которых выступают исключительно информационные объекты, без углублённого изучения аппаратной части. Подобное терминологическое разнообразие не порождает правовых последствий, поскольку определяющим критерием остаётся соответствие поставленных вопросов области специальных знаний эксперта и соблюдение процессуальной формы назначения исследования. Вместе с тем при формулировании постановления о назначении компьютерно-технической судебной экспертизы следователю или суду целесообразно указывать конкретные задачи, решение которых требуется для установления обстоятельств дела, поскольку абстрактная формулировка «провести компьютерно-техническую экспертизу» без детализации вопросов может повлечь возвращение постановления без исполнения либо существенное расширение пределов исследования, не соответствующее целям доказывания.

Раздел 2. Объекты, задачи и типовые вопросы компьютерно-технического исследования

Объектами судебной компьютерно-технической экспертизы выступают компьютерные средства и их компоненты, машинные носители информации, периферийные устройства, сетевые аппаратные средства, а также системное и прикладное программное обеспечение и информационные объекты, созданные или обработанные с использованием компьютерных систем . К числу аппаратных объектов относятся системные блоки персональных компьютеров, портативные вычислительные устройства, серверное оборудование, мобильные телефоны и планшетные устройства, а также электронные носители данных различных типов. Программные объекты включают операционные системы, прикладные программы, утилиты, вредоносное программное обеспечение и исходные коды программ. Информационные объекты представляют собой текстовые, графические, аудио- и видеоданные, базы данных, файлы журналов и иные сведения, хранящиеся на носителях в электронной форме .

Задачи, разрешаемые в рамках рассматриваемого рода экспертиз, условно подразделяются на диагностические и идентификационные. Диагностические задачи направлены на установление технического состояния компьютерного средства, его функциональных возможностей, причин возникновения неисправностей, а также на выявление признаков использования устройства для совершения определённых действий. Идентификационные задачи предполагают установление тождества или групповой принадлежности объектов, например, определение того, создан ли конкретный документ с использованием представленного комплекта компьютерной техники, либо установление факта подключения конкретного внешнего носителя к исследуемому компьютеру. Услуги по экспертизе технического состояния компьютерной техники востребованы не только в судебном производстве, но и в досудебном порядке, когда сторона правоотношения стремится зафиксировать состояние оборудования до возникновения спора либо подтвердить наличие дефекта производственного характера.

Типовые вопросы на компьютерно-техническую экспертизу формулируются с учётом объекта исследования и характера устанавливаемых обстоятельств. В отношении аппаратных средств перед экспертом могут быть поставлены вопросы о типе, модели и технических характеристиках устройства, его функциональном предназначении, фактическом состоянии и наличии отклонений от типовых параметров, а также о причинах изменения потребительских свойств . При исследовании программного обеспечения эксперт разрешает вопросы о составе и классификации программных средств, их функциональном назначении, времени установки, наличии признаков вредоносного поведения и совместимости с аппаратной частью компьютерной системы. Информационно-компьютерная составляющая предполагает постановку вопросов о наличии на носителе файлов, содержащих определённые сведения, об обстоятельствах создания, изменения и удаления файлов, а также о возможности восстановления удалённой информации . Компьютерно-сетевая экспертиза ориентирована на установление фактов подключения к сети Интернет, использования учётных записей, обмена электронными сообщениями и посещения сетевых ресурсов .

Следует учитывать, что вопросы, поставленные на разрешение эксперта, не должны выходить за пределы его специальных знаний и не могут носить правового характера. Эксперт не вправе разрешать вопросы о виновности лица, о квалификации деяния или о наличии состава правонарушения, поскольку указанные вопросы относятся к исключительной компетенции органов предварительного расследования и суда. Информационно-аналитическая и техническая экспертиза компьютерных систем предполагает исследование технической стороны функционирования системы и анализа содержащихся в ней данных, однако выводы эксперта не подменяют собой юридическую оценку установленных фактических обстоятельств. Надлежащим образом составленное постановление о назначении компьютерно-технической экспертизы содержит указание на материалы, предоставляемые эксперту, формулировку вопросов и сведения об экспертном учреждении или конкретном эксперте, которому поручается производство исследования.

Раздел 3. Организация производства и процессуальное оформление результатов

Организация производства компьютерно-технической экспертизы требует соблюдения последовательности процессуальных и технических действий, обеспечивающих сохранность объектов исследования и достоверность получаемых результатов. При назначении исследования следователь или суд выносит постановление о назначении компьютерно-технической судебной экспертизы, в котором указываются основания назначения, объекты, подлежащие исследованию, и вопросы, поставленные перед экспертом. К постановлению прилагаются объекты исследования в упакованном и опечатанном виде, а также, при необходимости, материалы дела, содержащие сведения, значимые для формулирования выводов. Эксперт, получивший постановление и объекты, проводит их предварительный осмотр, устанавливает пригодность объектов для исследования и при наличии оснований заявляет ходатайство о предоставлении дополнительных материалов либо о разъяснении поставленных вопросов.

Процесс экспертного исследования включает несколько взаимосвязанных стадий. На этапе предварительного исследования эксперт фиксирует внешнее состояние объектов, их маркировочные обозначения и комплектность, после чего переходит к раздельному исследованию, в ходе которого изучаются технические параметры аппаратных средств, структура файловых систем, состав программного обеспечения и характеристики информационных объектов. Сравнительное исследование предполагает сопоставление выявленных признаков с данными, содержащимися в материалах дела, либо с эталонными значениями, после чего эксперт формулирует выводы и оформляет заключение. При производстве аппаратно-компьютерной экспертизы исследование системного блока осуществляется без загрузки штатной операционной системы с жёсткого диска, что обеспечивает сохранность информации и исключает непреднамеренное изменение данных в ходе экспертного эксперимента . Исследование носителей информации производится с использованием стендового оборудования, позволяющего подключить исследуемый накопитель в качестве дополнительного устройства и получить доступ к его содержимому без риска модификации хранящихся сведений.

Заключение эксперта по результатам компьютерно-технического исследования должно соответствовать требованиям процессуального законодательства и содержать вводную, исследовательскую и выводную части. Во вводной части указываются сведения об эксперте, основания производства экспертизы, перечень поступивших объектов и вопросы, поставленные на разрешение. Исследовательская часть содержит описание применённых методов и технических средств, последовательность действий эксперта и выявленные признаки, послужившие основанием для формулирования выводов. Выводы эксперта должны быть сформулированы в форме, доступной для восприятия лицами, не обладающими специальными познаниями в области компьютерных технологий, и вместе с тем сохранять достаточную степень определённости, позволяющую использовать их в процессе доказывания. При производстве исследования в экспертном учреждении, входящем в систему Союза «Федерация судебных экспертов», обеспечивается соблюдение требований независимости, объективности и всесторонности, а также надлежащее документальное оформление всех этапов экспертного производства.

Раздел 4. Кейс 1: Исследование аппаратного состояния компьютерной техники при споре о качестве товара

В производство экспертного учреждения поступило гражданское дело по иску гражданина К. к обществу с ограниченной ответственностью о расторжении договора купли-продажи и возврате уплаченной суммы за приобретённый системный блок персонального компьютера. Истец указывал, что в течение гарантийного срока устройство неоднократно самопроизвольно выключалось, а после третьего месяца эксплуатации прекратило загрузку. Продавец возражал против удовлетворения требований, ссылаясь на нарушение покупателем правил эксплуатации и указывая, что выявленная неисправность носит эксплуатационный характер. Судом по ходатайству истца была назначена компьютерно-техническая экспертиза, производство которой поручено эксперту, обладающему специальными познаниями в области аппаратного обеспечения вычислительной техники.

На разрешение эксперта были поставлены вопросы о фактическом состоянии представленного системного блока, о причинах возникновения неисправности и о том, является ли выявленный дефект производственным или эксплуатационным. Объектом исследования выступил системный блок в комплекте с блоком питания и кабелем подключения, изъятый у истца и представленный в суд в упаковке, исключающей доступ без нарушения целостности. При предварительном осмотре экспертом зафиксированы следы вскрытия корпуса, выразившиеся в нарушении целостности гарантийных пломб на боковой панели, при этом следы механических повреждений на внешних поверхностях отсутствовали. Указанное обстоятельство потребовало выяснения вопроса о том, производилось ли вскрытие корпуса самим потребителем или иным лицом, не уполномоченным на совершение таких действий.

В ходе раздельного исследования эксперт произвёл демонтаж боковой панели и визуальный осмотр внутренних компонентов. Было установлено, что на поверхности материнской платы в области цепи питания процессора имеются следы термического воздействия, характер которых свидетельствует о перегреве, возникшем вследствие длительной работы устройства при недостаточной эффективности охлаждения. При этом штатный кулер процессора находился в работоспособном состоянии, однако радиатор был покрыт слоем пыли, плотность которого существенно превышала допустимые значения, что могло явиться причиной нарушения теплоотвода. Экспертом также отмечено, что крепление кулера к процессору осуществлено с нарушением штатной схемы, что не соответствует конструкции, предусмотренной изготовителем.

Для разрешения вопроса о причинах неисправности экспертом был проведён анализ документации, представленной в материалах дела, включая руководство по эксплуатации и гарантийные условия. Согласно условиям гарантии, производитель не несёт ответственности за повреждения, возникшие вследствие нарушения правил эксплуатации, в том числе несвоевременной очистки системы охлаждения от пыли. Вместе с тем эксперт обратил внимание на то, что конструкция корпуса не предусматривает удобного доступа к радиатору без демонтажа дополнительных компонентов, а руководство по эксплуатации не содержит указания на периодичность очистки внутренних поверхностей от пыли. Указанное обстоятельство было принято во внимание при формулировании вывода о том, что выявленный дефект имеет смешанную этиологию: с одной стороны, имеет место перегрев вследствие загрязнения системы охлаждения, с другой — конструктивные особенности устройства не обеспечивают достаточной защиты от накопления пыли в условиях обычной эксплуатации.

При формулировании выводов эксперт указал, что неисправность системного блока выразилась в повреждении цепи питания процессора вследствие термического воздействия, возникшего в результате перегрева. Причиной перегрева явилось сочетание эксплуатационного фактора в виде загрязнения радиатора и конструктивного фактора, выразившегося в недостаточной эффективности штатной системы охлаждения при заявленных условиях эксплуатации. Выявленные следы вскрытия корпуса не находятся в причинной связи с возникновением неисправности, поскольку демонтаж панели не затрагивает компонентов системы охлаждения. Заключение эксперта было положено судом в основу решения о частичном удовлетворении исковых требований, поскольку было установлено наличие как эксплуатационных, так и конструктивных причин возникновения дефекта. Сторонам разъяснено право ходатайствовать о назначении дополнительной или повторной экспертизы, однако такие ходатайства заявлены не были.

Раздел 5. Кейс 2: Программно-компьютерное исследование по делу о нарушении авторских прав

В производство экспертного учреждения поступило уголовное дело по обвинению гражданина М. в совершении преступления, предусмотренного статьёй о нарушении авторских и смежных прав. Органом предварительного расследования было установлено, что обвиняемый, являясь индивидуальным предпринимателем, осуществлял реализацию компьютерной техники с предустановленным программным обеспечением, права на использование которого принадлежали правообладателю. По версии следствия, программное обеспечение было установлено без согласия правообладателя и без приобретения соответствующих лицензий, что повлекло причинение ущерба в крупном размере. Защита настаивала на том, что программное обеспечение было приобретено у официального поставщика, а документы, подтверждающие лицензионность, были утрачены по независящим от обвиняемого обстоятельствам.

На разрешение эксперта были поставлены вопросы о составе программного обеспечения, установленного на представленных системных блоках, о наличии признаков контрафактности, о способе установки программ и о возможности установления источника их приобретения по имеющимся на носителях сведениям. Объектами исследования выступили три системных блока, изъятых в торговом помещении, а также оптические диски с дистрибутивами, обнаруженные при обыске. Экспертом был проведён осмотр объектов, после чего произведено копирование содержимого жёстких дисков на стендовые накопители с использованием программных средств, обеспечивающих побитовое копирование и исключающих модификацию исходных данных. Копии были заверены и приобщены к материалам дела, а оригиналы возвращены органу, назначившему экспертизу.

При исследовании содержимого жёстких дисков экспертом установлено наличие операционной системы и комплекта прикладных программ, включая офисный пакет и программу для работы с графикой. Анализ файловой системы показал, что установка программного обеспечения производилась с использованием инсталляционных пакетов, размещённых на локальном диске, при этом следы обращения к серверам активации правообладателя отсутствовали. Экспертом были обнаружены файлы, содержащие ключи активации, а также сведения о применении программных средств обхода технической защиты, что подтверждалось наличием соответствующих исполняемых файлов и записей в журналах событий. Временные метки файлов позволили установить, что установка программного обеспечения производилась в период, предшествующий изъятию техники, при этом даты создания файлов соответствовали датам, указанным в товарных накладных, представленных стороной защиты.

Дальнейшее исследование было направлено на установление источника происхождения дистрибутивов. Экспертом проанализированы метаданные файлов, содержащиеся в установочных пакетах, а также записи в реестре операционной системы, отражающие сведения об установленных программах и их идентификаторах. Было установлено, что часть программного обеспечения была установлена с использованием дистрибутивов, записанных на оптические диски, представленные в качестве объектов исследования. При этом на дисках отсутствовали голографические защитные элементы и полиграфическое оформление, характерное для официальных изданий, а содержимое дисков включало файлы, не предусмотренные официальной комплектацией. Экспертом также отмечено наличие на жёстких дисках следов использования программных средств, предназначенных для генерации ключей активации, что свидетельствовало о целенаправленных действиях по обходу лицензионных механизмов.

По результатам исследования эксперт пришёл к выводу, что на представленных системных блоках установлено программное обеспечение, обладающее признаками контрафактности, выразившимися в отсутствии следов легальной активации, наличии средств обхода технической защиты и использовании дистрибутивов, не соответствующих официальным изданиям. Установить конкретный источник приобретения программного обеспечения по имеющимся на носителях сведениям не представилось возможным ввиду отсутствия записей, позволяющих идентифицировать продавца или поставщика. Заключение эксперта было использовано стороной обвинения в качестве доказательства, подтверждающего факт установки нелицензионного программного обеспечения, однако суд, оценив заключение в совокупности с иными доказательствами, признал его допустимым и достоверным, указав, что выводы эксперта носят технический характер и не предрешают вопроса о виновности обвиняемого.

Раздел 6. Кейс 3: Информационно-компьютерное исследование по делу о хищении денежных средств

В производство экспертного учреждения поступило уголовное дело по обвинению гражданина С. в совершении хищения денежных средств с банковского счёта с использованием компьютерной техники. По версии следствия, обвиняемый получил доступ к учётной записи потерпевшей в системе дистанционного банковского обслуживания путём подбора пароля, после чего осуществил перевод денежных средств на счёт, открытый на имя подставного лица. Потерпевшая отрицала передачу кому-либо своих учётных данных и указывала, что не осуществляла перевода. Защита выдвинула версию о том, что доступ к счёту был осуществлён с использованием вредоносного программного обеспечения, установленного на компьютер потерпевшей без её ведома, в связи с чем обвиняемый не мог располагать сведениями, необходимыми для совершения хищения.

На разрешение эксперта были поставлены вопросы о наличии на представленном ноутбуке потерпевшей следов работы с системой дистанционного банковского обслуживания, о времени и обстоятельствах осуществления операций, а также о наличии признаков воздействия вредоносного программного обеспечения, направленного на перехват учётных данных. Объектом исследования выступил ноутбук, изъятый у потерпевшей, а также выписка по счёту, содержащая сведения о времени и суммах операций. Экспертом произведено копирование содержимого накопителя, после чего исследование проводилось на копии, что обеспечивало сохранность оригинала.

Анализ файловой системы позволил установить, что на ноутбуке использовался браузер, в котором сохранялись учётные данные для доступа к различным ресурсам, включая систему дистанционного банковского обслуживания. Экспертом обнаружены файлы cookie и записи журнала посещений, содержащие сведения о времени обращения к странице входа в систему банка. Сопоставление временных меток с данными выписки показало, что вход в систему был осуществлён в период, предшествующий переводу средств, при этом использовался тот же браузер и та же учётная запись операционной системы, которая применялась потерпевшей в обычном режиме. Следов удалённого подключения к ноутбуку извне экспертом не обнаружено, равно как и признаков работы программ удалённого администрирования в период, соответствующий спорным операциям.

В ходе исследования на ноутбуке было обнаружено программное обеспечение, обладающее признаками вредоносного, а именно программа, осуществляющая запись нажатий клавиш и сохранение полученных данных в скрытом файле. Экспертом установлено время установки указанной программы, которое предшествовало спорным операциям, а также то обстоятельство, что файл, содержащий записанные данные, был создан в период, охватывающий вход в систему банка. Однако при анализе содержимого файла экспертом не обнаружено записей, соответствующих логину и паролю потерпевшей, что могло объясняться как особенностями работы программы, так и тем, что ввод учётных данных производился с использованием методов, не фиксируемых перехватчиком. Кроме того, экспертом отмечено, что доступ к системе банка осуществлялся с того же IP-адреса, который использовался потерпевшей при обычной работе, что не исключало возможности совершения операций с её собственного устройства.

При формулировании выводов эксперт указал, что на представленном ноутбуке имеются следы работы с системой дистанционного банковского обслуживания в период, соответствующий спорным операциям, при этом признаки удалённого воздействия на устройство отсутствуют. Наличие вредоносного программного обеспечения, способного осуществлять перехват вводимых данных, установлено, однако факт перехвата учётных данных потерпевшей и их использования для доступа к счёту материалами исследования не подтверждается. Эксперт также отметил, что вход в систему был осуществлён с использованием браузера, сохранявшего учётные данные, что не позволяет исключить возможность доступа к счёту с самого устройства без ввода пароля. Заключение эксперта было оценено судом в совокупности с показаниями потерпевшей и данными, полученными от банка, и послужило основанием для вынесения обвинительного приговора, поскольку версия защиты о перехвате данных не нашла подтверждения.

Раздел 7. Кейс 4: Компьютерно-сетевое исследование по делу о распространении противоправной информации

В производство экспертного учреждения поступило уголовное дело по обвинению гражданина Д. в совершении действий, направленных на распространение информации, признанной судом запрещённой к обороту на территории Российской Федерации. По версии следствия, обвиняемый, используя принадлежащий ему персональный компьютер и подключение к сети Интернет, размещал на общедоступном ресурсе материалы, содержащие признаки противоправного контента. Защита настаивала на том, что доступ к компьютеру имели иные лица, проживающие совместно с обвиняемым, в связи с чем установление конкретного пользователя, осуществившего размещение материалов, невозможно.

На разрешение эксперта были поставлены вопросы о наличии на представленном компьютере следов посещения ресурса, на котором были размещены материалы, о времени и обстоятельствах размещения, а также о том, какие учётные записи использовались для доступа к ресурсу. Объектом исследования выступил системный блок, изъятый в жилище обвиняемого, а также сведения, предоставленные провайдером о подключениях абонента. Экспертом произведено копирование данных с накопителя, после чего исследование проводилось на копии с использованием программных средств анализа браузерной активности и журналов операционной системы.

Анализ журналов браузера позволил установить, что с представленного компьютера осуществлялось посещение ресурса, указанного в материалах дела, в период, соответствующий времени размещения материалов. Экспертом обнаружены записи, содержащие сведения об учётной записи, использованной для авторизации на ресурсе, а также файлы cookie, сохранившие сессионные данные. Временные метки посещений коррелировали с данными провайдера о сетевых подключениях, что подтверждало факт выхода в сеть Интернет с исследуемого устройства в спорный период. Экспертом также установлено, что на компьютере использовалась операционная система с несколькими учётными записями, однако вход в систему в период, предшествующий размещению материалов, осуществлялся только под одной из них, совпадающей с именем обвиняемого.

Дальнейшее исследование было направлено на установление возможности доступа к компьютеру иных лиц. Экспертом отмечено, что учётная запись, использованная для входа в систему, была защищена паролем, однако на рабочем столе обнаружен текстовый файл, содержащий пароль в открытом виде, что могло позволить иным лицам, имеющим физический доступ к устройству, осуществить вход под указанной учётной записью. Вместе с тем экспертом не обнаружено следов использования иных учётных записей в период, непосредственно предшествующий спорным событиям, а также признаков удалённого подключения к компьютеру. Анализ журналов системы показал, что вход в систему в интересующий период производился с локальной консоли, а не посредством удалённого доступа.

По результатам исследования эксперт пришёл к выводу, что с представленного компьютера осуществлялось посещение ресурса и авторизация с использованием учётной записи, зарегистрированной на имя обвиняемого, в период, соответствующий времени размещения материалов. Признаков использования иных учётных записей или удалённого доступа в указанный период не установлено. Вместе с тем эксперт указал, что наличие пароля в открытом виде на рабочем столе не позволяет исключить возможность входа в систему иными лицами, имеющими физический доступ к компьютеру, однако следов такого входа в журналах не обнаружено. Заключение эксперта было положено в основу обвинительного приговора, поскольку совокупность исследованных доказательств позволила суду сделать вывод о совершении деяния обвиняемым.

Раздел 8. Кейс 5: Исследование мобильного устройства по делу о мошенничестве

В производство экспертного учреждения поступило уголовное дело по обвинению гражданина Т. в совершении мошенничества с использованием средств мобильной связи. По версии следствия, обвиняемый осуществлял рассылку сообщений, содержащих заведомо ложные сведения, побуждавшие получателей перечислять денежные средства на указанные им реквизиты. Потерпевшие, проживающие в различных субъектах Российской Федерации, перечислили на счета, указанные в сообщениях, денежные средства, после чего обращения к отправителю становились невозможными. Защита настаивала на том, что мобильный телефон, изъятый у обвиняемого, не использовался для рассылки сообщений, а сим-карта, с которой осуществлялась рассылка, обвиняемому не принадлежит.

На разрешение эксперта были поставлены вопросы о наличии на представленном мобильном устройстве следов отправки сообщений, о времени отправки и абонентских номерах, на которые осуществлялась рассылка, а также о том, какая сим-карта использовалась для отправки. Объектом исследования выступил мобильный телефон, изъятый у обвиняемого, а также детализация соединений, предоставленная оператором связи. Экспертом произведено извлечение данных из памяти устройства с использованием специализированного программного обеспечения, обеспечивающего доступ к файловой системе и базам данных приложений.

Анализ содержимого памяти устройства позволил установить, что в приложении для обмена сообщениями сохранилась история переписки, содержащая тексты, совпадающие с текстами сообщений, полученных потерпевшими. Экспертом зафиксированы даты и время отправки сообщений, а также абонентские номера получателей. Сопоставление указанных сведений с детализацией соединений, предоставленной оператором связи, показало, что отправка сообщений осуществлялась с абонентского номера, зарегистрированного на имя обвиняемого, в период, соответствующий времени, указанному в детализации. Экспертом также установлено, что в устройстве использовалась сим-карта с указанным абонентским номером, при этом какие-либо иные сим-карты в устройстве не обнаружены.

Дальнейшее исследование было направлено на установление возможности отправки сообщений с использованием иного устройства или иной сим-карты. Экспертом проанализированы данные о регистрации устройства в сети оператора связи, содержащиеся в памяти телефона, а также сведения о привязке учётных записей к устройству. Установлено, что учётная запись, использованная для отправки сообщений, была привязана к представленному устройству и не использовалась на иных устройствах в спорный период. Следов удаления сообщений или очистки истории переписки в период, предшествующий изъятию устройства, экспертом не обнаружено, что могло свидетельствовать о том, что устройство не подвергалось воздействию, направленному на уничтожение следов.

При формулировании выводов эксперт указал, что на представленном мобильном устройстве имеются следы отправки сообщений, тексты которых совпадают с сообщениями, полученными потерпевшими, в период, соответствующий данным детализации соединений. Отправка осуществлялась с абонентского номера, зарегистрированного на имя обвиняемого, с использованием сим-карты, обнаруженной в устройстве. Признаков использования иного устройства или иной сим-карты для отправки указанных сообщений не установлено. Заключение эксперта было использовано стороной обвинения в качестве доказательства, подтверждающего факт отправки сообщений с устройства обвиняемого, и в совокупности с показаниями потерпевших и данными оператора связи послужило основанием для вынесения обвинительного приговора.

Раздел 9. Кейс 6: Восстановление удалённой информации по делу о разглашении коммерческой тайны

В производство экспертного учреждения поступило гражданское дело по иску общества с ограниченной ответственностью к бывшему работнику о взыскании убытков, причинённых разглашением коммерческой тайны. Истец указывал, что ответчик, занимая должность руководителя отдела продаж, скопировал на личный носитель сведения, составляющие коммерческую тайну, включая клиентскую базу и условия договоров с контрагентами, после чего уволился и передал указанные сведения конкурирующей организации. Ответчик отрицал факт копирования, указывая, что вся информация, с которой он работал была общедоступной либо не обладала признаками конфиденциальности, а личный носитель им не использовался. Судом по ходатайству истца была назначена компьютерно-техническая экспертиза, производство которой поручено эксперту, обладающему специальными познаниями в области информационно-компьютерных исследований. На разрешение эксперта поставлены вопросы о наличии на представленном служебном компьютере следов копирования файлов, содержащих сведения, отнесённые истцом к коммерческой тайне, на внешние носители, о времени и обстоятельствах такого копирования, а также о возможности восстановления удалённых файлов и записей журналов, отражающих операции с носителями.

Объектами исследования выступили служебный ноутбук, изъятый у истца после увольнения ответчика, личный внешний накопитель, добровольно представленный ответчиком, а также документы, определяющие перечень сведений, отнесённых к коммерческой тайне. Экспертом произведено побитовое копирование содержимого накопителей на стендовые носители, после чего исследование проводилось исключительно на копиях, что обеспечивало неизменность исходных объектов. При предварительном осмотре служебного ноутбука установлено, что операционная система использовалась в штатном режиме, следов переустановки или полного форматирования накопителя не обнаружено, что создавало предпосылки для восстановления удалённых данных.

В ходе раздельного исследования экспертом проанализированы записи журналов операционной системы, отражающие подключение внешних устройств. Установлено, что в период, предшествующий увольнению ответчика, к служебному ноутбуку неоднократно подключался внешний накопитель, идентификатор которого совпал с идентификатором устройства, представленного ответчиком. Экспертом зафиксированы дата и время подключений, а также серийный номер устройства, что позволило однозначно соотнести события подключения с конкретным носителем. Кроме того, в журналах обнаружены записи о копировании файлов, содержащих наименования, совпадающие с перечнем сведений, отнесённых истцом к коммерческой тайне.

Дальнейшее исследование было направлено на восстановление удалённых файлов и записей. С использованием программных средств восстановления данных экспертом обнаружены фрагменты файлов, содержащих клиентскую базу и условия договоров, которые были удалены с накопителя служебного ноутбука. Анализ метаданных восстановленных файлов позволил установить даты их создания и последней модификации, которые предшествовали дате подключения внешнего носителя. Экспертом также восстановлены записи, свидетельствующие о том, что копирование осуществлялось в директорию, соответствующую корневому каталогу внешнего носителя, при этом объём скопированных данных соответствовал объёму файлов, указанных в перечне конфиденциальных сведений.

На представленном ответчиком внешнем накопителе экспертом обнаружены файлы, содержащие сведения, совпадающие по наименованию и содержанию с файлами, восстановленными на служебном ноутбуке. Анализ метаданных указанных файлов показал, что даты их создания и модификации соответствуют датам, зафиксированным в журналах служебного ноутбука, а учётная запись, под которой производилось копирование, совпадает с учётной записью ответчика. Экспертом отмечено, что на внешнем носителе также имеются файлы, созданные после увольнения ответчика, что могло свидетельствовать о дальнейшей работе с указанными сведениями.

При формулировании выводов эксперт указал, что на служебном ноутбуке имеются следы подключения внешнего накопителя, представленного ответчиком, в период, предшествующий увольнению, а также следы копирования файлов, содержащих сведения, отнесённые истцом к коммерческой тайне, на указанный носитель. Восстановленные записи и метаданные файлов позволяют установить, что копирование производилось под учётной записью ответчика. На внешнем накопителе обнаружены файлы, тождественные по содержанию файлам, отнесённым к коммерческой тайне, с метаданными, соответствующими времени копирования. Заключение эксперта было положено судом в основу решения о взыскании с ответчика убытков, поскольку факт неправомерного копирования конфиденциальной информации был подтверждён совокупностью исследованных доказательств.

Раздел 10. Кейс 7: Аппаратно-компьютерное исследование по делу о неправомерном доступе к компьютерной информации

В производство экспертного учреждения поступило уголовное дело по обвинению гражданина Р. в совершении неправомерного доступа к компьютерной информации, повлёкшего уничтожение и модификацию сведений, принадлежащих организации. По версии следствия, обвиняемый, являясь бывшим системным администратором, использовал сохранившиеся у него учётные данные для доступа к серверу организации, после чего осуществил удаление файлов, содержащих бухгалтерскую отчётность, и модификацию конфигурации серверного программного обеспечения. Защита настаивала на том, что доступ к серверу был осуществлён иными лицами, а обвиняемый в спорный период находился в другом регионе и не мог совершить инкриминируемые действия.

На разрешение эксперта были поставлены вопросы о наличии на представленном серверном оборудовании следов несанкционированного доступа, о времени и способе осуществления доступа, а также о том, с какого устройства и с использованием каких учётных данных производился вход в систему. Объектами исследования выступили серверный блок, изъятый в организации, журналы регистрации событий, предоставленные администратором, а также резервные копии, сохранившиеся на момент, предшествующий инциденту. Экспертом произведено копирование содержимого серверных накопителей, после чего исследование проводилось на копиях с использованием программных средств анализа журналов и файловых систем.

Анализ журналов регистрации позволил установить, что вход в систему с правами администратора был осуществлён в ночное время с использованием учётной записи, ранее принадлежавшей обвиняемому и не заблокированной после его увольнения. Экспертом зафиксированы IP-адрес, с которого осуществлялось подключение, а также используемый протокол удалённого доступа. Сопоставление указанного IP-адреса со сведениями, предоставленными провайдером, показало, что подключение осуществлялось с абонентского номера, зарегистрированного на имя супруги обвиняемого по адресу его фактического проживания, что противоречило версии защиты о нахождении обвиняемого в другом регионе.

Дальнейшее исследование было направлено на установление способа осуществления доступа и характера действий, совершённых в системе. Экспертом установлено, что подключение производилось с использованием протокола удалённого рабочего стола, при этом аутентификация прошла успешно с первого раза, что свидетельствовало о знании пароля. В журналах зафиксированы команды, направленные на удаление файлов бухгалтерской отчётности, а также на изменение конфигурации серверного программного обеспечения, что привело к нарушению штатной работы сервера. Экспертом отмечено, что действия производились в течение ограниченного промежутка времени и носили целенаправленный характер, что не соответствовало версии о случайном или ошибочном доступе.

При исследовании резервных копий, сохранившихся на момент, предшествующий инциденту, экспертом установлено, что удалённые файлы содержали бухгалтерскую отчётность за предшествующие периоды, а их восстановление позволило подтвердить факт уничтожения сведений. Экспертом также проанализированы записи о подключении внешних устройств к серверу, в результате чего установлено, что в период, соответствующий инциденту, подключение внешних носителей не производилось, что исключало возможность копирования сведений перед их удалением. Указанное обстоятельство было принято во внимание при оценке последствий деяния.

При формулировании выводов эксперт указал, что на представленном серверном оборудовании имеются следы несанкционированного доступа, осуществлённого в ночное время с использованием учётной записи, ранее принадлежавшей обвиняемому, с IP-адреса, соответствующего адресу фактического проживания обвиняемого. Доступ осуществлялся по протоколу удалённого рабочего стола с использованием пароля, а совершённые действия были направлены на удаление файлов бухгалтерской отчётности и модификацию конфигурации серверного программного обеспечения. Признаков подключения внешних носителей в период инцидента не установлено. Заключение эксперта было использовано стороной обвинения в качестве доказательства, подтверждающего факт несанкционированного доступа с устройства, связанного с обвиняемым, и в совокупности с иными доказательствами послужило основанием для вынесения обвинительного приговора.

Раздел 11. Кейс 8: Программно-компьютерное исследование по делу о распространении вредоносного программного обеспечения

В производство экспертного учреждения поступило уголовное дело по обвинению гражданина Ф. в совершении действий, направленных на создание и распространение вредоносного программного обеспечения, предназначенного для несанкционированного доступа к компьютерной информации. По версии следствия, обвиняемый разработал программу, обеспечивающую скрытый доступ к компьютерам пользователей, и разместил её на общедоступном ресурсе под видом полезной утилиты. Защита настаивала на том, что разработанная программа не обладает признаками вредоносности, а её функциональность ограничивается диагностикой системы и не предполагает несанкционированного доступа.

На разрешение эксперта были поставлены вопросы о функциональном назначении представленного программного обеспечения, о наличии в нём признаков вредоносного поведения, о механизмах воздействия на компьютерную систему и о возможности использования программы для несанкционированного доступа к информации. Объектами исследования выступили исходные коды программы, представленные обвиняемым, исполняемые файлы, изъятые с ресурса, а также системные блоки, на которых производилось тестирование программы. Экспертом произведено копирование исходных кодов и исполняемых файлов, после чего исследование проводилось в изолированной среде, исключающей воздействие на внешние сети.

Анализ исходных кодов позволил установить, что программа содержит модули, обеспечивающие скрытую передачу данных о нажатиях клавиш, содержимом экрана и файловой системе на удалённый сервер, адрес которого задан в конфигурационном файле. Экспертом обнаружены механизмы маскировки, включая шифрование передаваемых данных и имитацию сетевой активности легитимных приложений, что затрудняло обнаружение программы средствами защиты. Установлено, что программа не требует явного согласия пользователя на установку и функционирует в фоновом режиме, не отображая признаков своего присутствия в системе.

Дальнейшее исследование было направлено на установление механизмов воздействия программы на компьютерную систему. Экспертом произведён запуск исполняемого файла в изолированной среде, в результате чего зафиксировано создание скрытых файлов, модификация записей реестра, обеспечивающих автозапуск, а также установление сетевого соединения с удалённым сервером. Экспертом отмечено, что программа осуществляет передачу данных, содержащих сведения о системе и действиях пользователя, на сервер, расположенный по адресу, указанному в конфигурации. Указанные действия совершаются без уведомления пользователя и без возможности их отключения штатными средствами, что свидетельствует о скрытом характере функционирования.

При исследовании исполняемых файлов, изъятых с ресурса, экспертом установлено их тождество с исполняемыми файлами, полученными в результате компиляции исходных кодов, представленных обвиняемым. Сравнение проводилось по хеш-значениям, а также по результатам анализа структуры файлов и содержащихся в них строковых констант. Совпадение указанных признаков позволило установить, что распространённая на ресурсе программа является результатом компиляции исходных кодов, представленных обвиняемым.

При формулировании выводов эксперт указал, что представленное программное обеспечение обладает признаками вредоносного, выразившимися в скрытой передаче данных о действиях пользователя на удалённый сервер, маскировке своего присутствия в системе и функционировании без согласия пользователя. Программа содержит механизмы, позволяющие осуществлять несанкционированный доступ к компьютерной информации, и не может быть отнесена к категории диагностических утилит, поскольку её функциональность выходит за пределы диагностики системы. Распространённые на ресурсе исполняемые файлы тождественны результату компиляции исходных кодов, представленных обвиняемым. Заключение эксперта было положено в основу обвинительного приговора, поскольку совокупность исследованных доказательств подтверждала факт создания и распространения вредоносного программного обеспечения.

Раздел 12. Кейс 9: Информационно-компьютерное исследование по делу о споре о качестве программного продукта

В производство экспертного учреждения поступило арбитражное дело по иску общества с ограниченной ответственностью к разработчику программного обеспечения о взыскании убытков, причинённых ненадлежащим качеством программного продукта. Истец указывал, что приобретённая система управления складом функционировала с существенными недостатками, выразившимися в потере данных и некорректном формировании отчётов, что привело к сбоям в деятельности организации и причинению убытков. Ответчик возражал, указывая, что недостатки возникли вследствие неправильной эксплуатации системы истцом, а также вследствие вмешательства в программный код, произведённого сотрудниками истца без согласования с разработчиком.

На разрешение эксперта были поставлены вопросы о фактическом состоянии программного продукта, о наличии в нём дефектов, о причинах возникновения сбоев, а также о том, производились ли изменения программного кода после передачи продукта истцу. Объектами исследования выступили сервер, на котором функционировала система, дистрибутив программного продукта, переданный ответчиком, а также журналы работы системы, предоставленные истцом. Экспертом произведено копирование содержимого серверных накопителей и дистрибутива, после чего исследование проводилось на копиях.

Анализ журналов работы системы позволил установить, что сбои, выразившиеся в потере данных и некорректном формировании отчётов, возникали в периоды, соответствующие времени выполнения операций с большими объёмами данных. Экспертом отмечено, что в указанные периоды в журналах фиксировались ошибки, связанные с превышением допустимых значений параметров конфигурации, что могло свидетельствовать о недостаточной проработке механизмов обработки данных при пиковых нагрузках. Вместе с тем экспертом установлено, что часть ошибок возникала после внесения изменений в конфигурационные файлы, не предусмотренных документацией.

Дальнейшее исследование было направлено на сравнение программного кода, функционирующего на сервере, с дистрибутивом, переданным ответчиком. Экспертом произведено сравнение хеш-значений исполняемых файлов и конфигурационных файлов, в результате чего установлено, что часть файлов, функционирующих на сервере, отличается от файлов, содержащихся в дистрибутиве. Анализ различий позволил установить, что изменения затрагивают модули, отвечающие за обработку данных и формирование отчётов, при этом характер изменений свидетельствовал о вмешательстве в программный код, произведённом после передачи продукта истцу. Экспертом также обнаружены следы изменения конфигурационных файлов, повлиявших на параметры обработки данных.

При исследовании дистрибутива, переданного ответчиком, экспертом установлено, что содержащиеся в нём файлы соответствуют документации и не содержат дефектов, способных привести к потере данных при штатной эксплуатации. Экспертом отмечено, что программный продукт содержит механизмы контроля целостности, позволяющие выявлять несанкционированные изменения, однако указанные механизмы не были активированы истцом, что не позволило своевременно обнаружить вмешательство в программный код.

При формулировании выводов эксперт указал, что сбои в работе системы возникли вследствие совокупности факторов, включая недостаточную проработку механизмов обработки данных при пиковых нагрузках, а также вследствие вмешательства в программный код и конфигурационные файлы, произведённого после передачи продукта истцу. Изменения, внесённые в программный код, затрагивают модули, отвечающие за обработку данных и формирование отчётов, и находятся в причинной связи с возникновением части сбоев. Дистрибутив, переданный ответчиком, не содержит дефектов, способных привести к потере данных при штатной эксплуатации. Заключение эксперта было положено судом в основу решения о частичном удовлетворении исковых требований, поскольку было установлено наличие как дефектов программного продукта, так и вмешательства со стороны истца.

Раздел 13. Кейс 10: Компьютерно-сетевое исследование по делу о нарушении правил доступа к сети

В производство экспертного учреждения поступило дело об административном правонарушении, возбуждённое в отношении должностного лица организации, допустившего нарушение правил эксплуатации информационной системы, повлёкшее несанкционированный доступ к сведениям ограниченного доступа. По версии контролирующего органа, должностное лицо не обеспечило надлежащую защиту сетевой инфраструктуры, что позволило посторонним лицам получить доступ к информационным ресурсам организации. Защита настаивала на том, что доступ был осуществлён с использованием учётных данных, полученных вследствие действий третьих лиц, а должностное лицо предприняло все необходимые меры для защиты информации.

На разрешение эксперта были поставлены вопросы о состоянии сетевой инфраструктуры организации, о наличии в ней уязвимостей, о времени и способе осуществления несанкционированного доступа, а также о том, какие меры защиты применялись и соответствовали ли они требованиям, предъявляемым к информационным системам. Объектами исследования выступили сетевое оборудование, серверы, журналы регистрации событий безопасности, а также документы, определяющие политику информационной безопасности организации. Экспертом произведено копирование содержимого журналов и конфигураций сетевого оборудования, после чего исследование проводилось на копиях.

Анализ конфигураций сетевого оборудования позволил установить, что в организации применялась сегментация сети, однако сегмент, содержащий серверы с информационными ресурсами ограниченного доступа, был доступен из сегмента, предназначенного для рабочих станций сотрудников, без дополнительной аутентификации. Экспертом отмечено, что межсетевое экранирование применялось, однако правила фильтрации содержали избыточные разрешения, позволяющие устанавливать соединения с серверами по протоколам, не предусмотренным производственной необходимостью. Указанные особенности конфигурации создавали предпосылки для несанкционированного доступа.

Дальнейшее исследование было направлено на анализ журналов регистрации событий безопасности. Экспертом установлено, что несанкционированный доступ был осуществлён в ночное время с использованием учётной записи, принадлежащей сотруднику, не имевшему прав доступа к указанным ресурсам. Анализ журналов показал, что аутентификация прошла успешно с первого раза, что могло свидетельствовать о знании пароля, а также о том, что учётная запись не была защищена дополнительными механизмами, включая многофакторную аутентификацию. Экспертом зафиксированы IP-адреса, с которых осуществлялось подключение, и установлено, что часть подключений производилась из внешней сети, что не соответствовало политике безопасности организации.

При исследовании документов, определяющих политику информационной безопасности, экспертом установлено, что организация располагала документами, регламентирующими порядок доступа к информационным ресурсам, однако требования указанных документов не были реализованы в полном объёме. В частности, не была внедрена многофакторная аутентификация для учётных записей с повышенными правами, не проводился регулярный аудит правил фильтрации, не осуществлялось своевременное блокирование учётных записей уволенных сотрудников. Указанные обстоятельства свидетельствовали о недостаточности мер, принятых должностным лицом для защиты информации.

При формулировании выводов эксперт указал, что сетевая инфраструктура организации содержала уязвимости, выразившиеся в избыточных разрешениях правил фильтрации, отсутствии дополнительной аутентификации для доступа к ресурсам ограниченного доступа и неприменении многофакторной аутентификации. Несанкционированный доступ был осуществлён с использованием учётной записи сотрудника, не имевшего прав доступа, при этом часть подключений производилась из внешней сети. Меры защиты, применённые должностным лицом, не соответствовали требованиям, предъявляемым к информационным системам, и не обеспечивали надлежащую защиту сведений ограниченного доступа. Заключение эксперта было использовано контролирующим органом в качестве доказательства, подтверждающего факт нарушения правил эксплуатации информационной системы, и в совокупности с иными доказательствами послужило основанием для привлечения должностного лица к административной ответственности.

Раздел 14. Процессуальные особенности оценки заключения по результатам компьютерно-технического исследования

Оценка заключения эксперта по результатам компьютерно-технического исследования представляет собой самостоятельный этап процессуальной деятельности, в ходе которого следователь или суд устанавливают допустимость, относимость и достоверность содержащихся в заключении выводов. Заключение эксперта не имеет заранее установленной силы и оценивается в совокупности с иными доказательствами по делу, однако при этом должно соответствовать требованиям, предъявляемым к процессуальным документам. Компьютерно-техническая экспертиза, проведённая с соблюдением установленных требований, выступает одним из доказательств, на основании которого устанавливаются фактические обстоятельства, имеющие значение для правильного разрешения дела.

При оценке заключения учитывается соблюдение процессуального порядка назначения и производства экспертизы, наличие у эксперта необходимой квалификации и отсутствие оснований для его отвода, а также полнота и обоснованность выводов. Постановление о назначении компьютерно-технической экспертизы должно содержать сведения об объектах исследования и вопросах, поставленных на разрешение эксперта, а заключение — отражать последовательность действий эксперта и выявленные признаки. Несоблюдение указанных требований может повлечь признание заключения недопустимым доказательством, что исключает возможность его использования в процессе доказывания.

Особенностью оценки заключения по результатам компьютерно-технического исследования является необходимость установления того, что выводы эксперта не выходят за пределы его специальных знаний и не носят правового характера. Эксперт не вправе разрешать вопросы о виновности лица, о квалификации деяния или о наличии состава правонарушения, поскольку указанные вопросы относятся к исключительной компетенции органов предварительного расследования и суда. Вместе с тем выводы эксперта могут быть использованы для установления фактических обстоятельств, на основании которых впоследствии делается вывод о наличии или отсутствии состава правонарушения.

При возникновении сомнений в обоснованности заключения или при наличии противоречий между выводами эксперта и иными доказательствами по делу может быть назначена дополнительная или повторная экспертиза. Дополнительная экспертиза назначается при недостаточной ясности или полноте заключения, а также при возникновении новых вопросов в отношении ранее исследованных объектов. Повторная экспертиза назначается при возникновении сомнений в обоснованности заключения или при наличии противоречий между выводами, содержащимися в заключении, и иными доказательствами. Производство дополнительной и повторной экспертизы поручается иному эксперту или иной экспертной комиссии, что обеспечивает независимость и объективность исследования.

Оценка заключения по результатам компьютерно-технического исследования предполагает также установление соответствия применённых методов и технических средств современному уровню развития науки и техники. Эксперт должен использовать методы, обеспечивающие сохранность объектов исследования и достоверность получаемых результатов, а также отражать в заключении сведения о применённых методах и технических средствах. Применение методов, не апробированных или не соответствующих характеру исследования, может повлечь признание заключения недостоверным.

В практике производства компьютерно-технических экспертиз нередко возникает необходимость разъяснения выводов эксперта лицам, не обладающим специальными познаниями в области компьютерных технологий. В таких случаях эксперт может быть вызван для дачи показаний, в ходе которых он разъясняет содержание заключения и отвечает на вопросы, связанные с проведённым исследованием. Показания эксперта не заменяют заключения, однако позволяют устранить неясности и восполнить недостающую информацию, необходимую для оценки доказательств.

При оценке заключения учитывается также соблюдение требований, предъявляемых к упаковке и хранению объектов исследования. Нарушение целостности упаковки, отсутствие сведений о времени и условиях хранения объектов могут повлечь сомнения в неизменности объектов и, как следствие, в достоверности выводов эксперта. В таких случаях может быть назначена повторная экспертиза, производство которой поручается иному эксперту или экспертной комиссии.

Судебная компьютерно-техническая экспертиза в системе судебных экспертиз занимает особое место, поскольку её результаты нередко имеют решающее значение для установления обстоятельств дела. Вместе с тем заключение эксперта не может подменять собой совокупность иных доказательств, а выводы эксперта должны оцениваться в контексте всех установленных по делу обстоятельств. Соблюдение требований, предъявляемых к назначению, производству и оценке результатов компьютерно-технического исследования, обеспечивает допустимость и достоверность заключения и создаёт условия для его использования в процессе доказывания.

Раздел 15. Взаимодействие участников процесса при назначении и производстве компьютерно-технического исследования

Взаимодействие участников процесса при назначении и производстве компьютерно-технического исследования строится на основе принципов состязательности и равноправия сторон, а также требований, предъявляемых к процессуальному порядку назначения экспертизы. Следователь или суд, принимая решение о назначении экспертизы, обязан обеспечить сторонам возможность заявить отвод эксперту, ходатайствовать о постановке дополнительных вопросов и представить дополнительные материалы. Указанные права реализуются путём ознакомления с постановлением о назначении компьютерно-технической экспертизы и заявления соответствующих ходатайств.

При назначении экспертизы по ходатайству стороны суд или следователь обязан рассмотреть заявленное ходатайство и принять мотивированное решение. Отказ в удовлетворении ходатайства должен быть обоснован, поскольку необоснованный отказ может повлечь нарушение права на представление доказательств. Вместе с тем удовлетворение ходатайства о назначении экспертизы не является обязанностью суда или следователя, если поставленные вопросы не имеют значения для дела или выходят за пределы специальных знаний эксперта.

При производстве экспертизы эксперт вправе заявить ходатайство о предоставлении дополнительных материалов, необходимых для дачи заключения, а также о привлечении к производству экспертизы других экспертов. Указанные ходатайства подлежат рассмотрению органом, назначившим экспертизу, в установленном порядке. Отказ в удовлетворении ходатайства эксперта может повлечь невозможность дачи заключения, что должно быть отражено в сообщении о невозможности дачи заключения.

Участники процесса вправе присутствовать при производстве экспертизы, если это не создаёт препятствий для её проведения. Присутствие участников процесса при производстве компьютерно-технического исследования может быть ограничено в связи с необходимостью обеспечения сохранности объектов исследования и соблюдения требований, предъявляемых к условиям проведения исследования. В таких случаях участники процесса вправе ознакомиться с заключением эксперта после его получения органом, назначившим экспертизу.

Ознакомление с заключением эксперта является важным этапом взаимодействия участников процесса, поскольку позволяет сторонам оценить полноту и обоснованность выводов и при необходимости заявить ходатайство о назначении дополнительной или повторной экспертизы. При ознакомлении с заключением участники процесса вправе заявить возражения и ходатайства, которые подлежат рассмотрению в установленном порядке. Необоснованное ограничение права на ознакомление с заключением может повлечь нарушение права на защиту.

При назначении и производстве компьютерно-технического исследования нередко возникает необходимость взаимодействия эксперта с специалистами в области компьютерных технологий, не являющимися экспертами. Специалист может быть привлечён для участия в производстве следственных действий, для разъяснения вопросов, требующих специальных познаний, а также для оказания помощи в обнаружении и фиксации объектов. Участие специалиста не заменяет собой производство экспертизы, однако позволяет обеспечить полноту и объективность исследования.

Взаимодействие участников процесса при назначении и производстве компьютерно-технического исследования должно строиться на основе соблюдения требований процессуального законодательства, обеспечения прав и законных интересов сторон, а также создания условий для всестороннего и объективного исследования обстоятельств дела. Соблюдение указанных требований обеспечивает допустимость и достоверность заключения эксперта и создаёт условия для его использования в процессе доказывания.

Раздел 16. Заключительные положения о значении компьютерно-технического исследования для установления обстоятельств дела

Компьютерно-техническая экспертиза в современной правоприменительной практике приобретает значение процессуального инструмента, без которого установление объективной истины по значительному числу дел становится объективно затруднительным. Расширение цифрового оборота, рост числа правонарушений, совершаемых с использованием информационно-телекоммуникационных технологий, а также увеличение объёма электронных доказательств обусловливают необходимость применения специальных познаний в области компьютерных средств, систем и информационных процессов. Компьютерная экспертиза как разновидность судебной компьютерно-технической экспертизы обеспечивает возможность исследования информационных объектов и установления обстоятельств, имеющих значение для правильного разрешения дела.

Значение компьютерно-технического исследования для установления обстоятельств дела проявляется в нескольких аспектах. Во-первых, указанное исследование позволяет установить фактические обстоятельства, которые не могут быть установлены иными средствами доказывания, например, факт копирования файлов на внешний носитель, факт подключения устройства к сети, факт отправки сообщений с конкретного устройства. Во-вторых, компьютерно-техническое исследование позволяет проверить достоверность иных доказательств, например, показаний участников процесса, документов, представленных сторонами. В-третьих, указанное исследование позволяет установить обстоятельства, свидетельствующие о наличии или отсутствии признаков правонарушения, что имеет значение для квалификации деяния.

В практике производства компьютерно-технических экспертиз нередко возникает необходимость исследования объектов, которые не могут быть представлены в экспертное учреждение в силу их особенностей, например, серверного оборудования, функционирующего в непрерывном режиме, или информационных систем, доступ к которым ограничен. В таких случаях исследование может проводиться по месту нахождения объектов, что требует соблюдения дополнительных требований, направленных на обеспечение сохранности объектов и достоверности получаемых результатов. Услуги по экспертизе технического состояния компьютерной техники, оказываемые в стационарных условиях, не всегда применимы к указанным объектам, что обусловливает необходимость выездного производства исследования.

Информационно-аналитическая и техническая экспертиза компьютерных систем предполагает исследование не только технической стороны функционирования системы, но и анализа содержащихся в ней данных. Указанное исследование позволяет установить закономерности функционирования системы, выявить признаки несанкционированного воздействия, а также установить обстоятельства, связанные с обработкой информации. Вместе с тем указанное исследование не подменяет собой юридическую оценку установленных фактических обстоятельств, поскольку выводы эксперта носят

Раздел 16. Заключительные положения о значении компьютерно-технического исследования для установления обстоятельств дела (продолжение)

…технический характер и не предрешают вопроса о виновности лица, о квалификации деяния или о наличии состава правонарушения. Юридическая оценка установленных обстоятельств относится к исключительной компетенции органов предварительного расследования и суда, которые оценивают заключение эксперта в совокупности с иными доказательствами по делу.

Компьютерно-техническая экспертиза в Москве и иных субъектах Российской Федерации назначается как по уголовным делам, так и по гражданским, арбитражным и административным делам, что свидетельствует об универсальном характере указанного рода экспертиз. При этом особенности производства компьютерно-технического исследования определяются характером объектов исследования и задачами, поставленными на разрешение эксперта. В одних случаях исследование ограничивается установлением технических характеристик аппаратных средств, в других — предполагает анализ информационных объектов и сетевых взаимодействий. Указанное разнообразие задач обусловливает необходимость дифференцированного подхода к организации производства экспертизы и выбору методов исследования.

Постановление о назначении компьютерно-технической судебной экспертизы должно содержать указание на конкретные задачи, решение которых требуется для установления обстоятельств дела, поскольку абстрактная формулировка вопросов может повлечь существенное расширение пределов исследования, не соответствующее целям доказывания. При формулировании вопросов целесообразно учитывать характер объектов исследования и возможности эксперта по разрешению поставленных задач. Вопросы, выходящие за пределы специальных знаний эксперта, не подлежат постановке на разрешение, поскольку их разрешение относится к компетенции иных участников процесса.

Виды компьютерно-технических экспертиз, выделяемые в экспертной практике, не образуют исчерпывающего перечня, поскольку развитие компьютерных технологий обусловливает появление новых объектов исследования и новых задач, требующих применения специальных познаний. Вместе с тем указанное деление имеет значение для организации производства экспертизы, поскольку позволяет определить характер исследования и необходимые методы. При назначении экспертизы следователь или суд вправе указать вид исследования, однако окончательное определение методов и последовательности действий относится к компетенции эксперта.

Вопросы на компьютерно-техническую экспертизу формулируются с учётом объекта исследования и характера устанавливаемых обстоятельств. При формулировании вопросов целесообразно избегать излишней детализации, которая может ограничить эксперта в выборе методов исследования, а также избегать вопросов, носящих правовой характер. Вопросы должны быть сформулированы ясно и не допускать неоднозначного толкования, поскольку неясность вопросов может повлечь необходимость их уточнения и, как следствие, увеличение сроков производства экспертизы.

Значение компьютерно-технического исследования для установления обстоятельств дела обусловливает необходимость обеспечения надлежащего качества производства экспертизы. Указанное качество обеспечивается соблюдением требований, предъявляемых к процессуальному порядку назначения и производства экспертизы, квалификацией эксперта, применением апробированных методов и технических средств, а также надлежащим документальным оформлением результатов исследования. Соблюдение указанных требований создаёт условия для признания заключения допустимым и достоверным доказательством и его использования в процессе доказывания.

При производстве компьютерно-технического исследования в экспертном учреждении, входящем в систему Союза «Федерация судебных экспертов», обеспечивается соблюдение требований независимости, объективности и всесторонности, а также надлежащее документальное оформление всех этапов экспертного производства. Указанные требования являются основой деятельности экспертных учреждений, входящих в систему Союза, и обеспечивают доверие к результатам экспертной деятельности. Обращение в экспертное учреждение, входящее в систему Союза «Федерация судебных экспертов», позволяет получить квалифицированную помощь в производстве компьютерно-технического исследования и обеспечить надлежащее качество экспертного заключения.

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебных экспертиз, значение которого для установления обстоятельств дела обусловлено расширением цифрового оборота и увеличением объёма электронных доказательств. Указанное исследование позволяет установить фактические обстоятельства, которые не могут быть установлены иными средствами доказывания, проверить достоверность иных доказательств и установить обстоятельства, свидетельствующие о наличии или отсутствии признаков правонарушения. Соблюдение требований, предъявляемых к назначению, производству и оценке результатов компьютерно-технического исследования, обеспечивает допустимость и достоверность заключения и создаёт условия для его использования в процессе доказывания.

Раздел 17. Особенности исследования объектов, представленных в электронной форме

Исследование объектов, представленных в электронной форме, имеет ряд особенностей, обусловленных нематериальным характером указанных объектов и возможностью их модификации без видимых следов. К объектам, представленным в электронной форме, относятся файлы, базы данных, журналы регистрации событий, конфигурационные файлы, а также сведения, хранящиеся в облачных сервисах и иных удалённых хранилищах. Указанные объекты не имеют постоянной материальной формы и могут быть изменены, удалены или скопированы без оставления видимых следов, что обусловливает необходимость применения специальных методов их исследования и фиксации.

При исследовании объектов, представленных в электронной форме, эксперту надлежит обеспечить сохранность исходных данных и исключить возможность их непреднамеренной модификации. Указанное требование обеспечивается путём копирования данных на стендовые носители с использованием программных средств, обеспечивающих побитовое копирование и исключающих модификацию исходных данных. Копии заверяются и приобщаются к материалам дела, а оригиналы возвращаются органу, назначившему экспертизу, либо сохраняются в экспертном учреждении в порядке, установленном процессуальным законодательством.

Фиксация объектов, представленных в электронной форме, предполагает составление протокола осмотра, в котором отражаются сведения о носителе, на котором хранятся объекты, о файловой системе, о наименованиях и размерах файлов, а также о хеш-значениях, позволяющих идентифицировать объекты и проверить их целостность. Указанные сведения позволяют впоследствии установить, что исследованию подвергались именно те объекты, которые были представлены на исследование, и что в ходе исследования они не были модифицированы. Услуги по экспертизе технического состояния компьютерной техники нередко включают в себя фиксацию объектов, представленных в электронной форме, что обеспечивает полноту исследования.

При исследовании объектов, представленных в электронной форме, эксперту надлежит учитывать возможность их модификации в процессе эксплуатации компьютерной системы. Указанная модификация может быть обусловлена как действиями пользователя, так и функционированием программного обеспечения, включая операционную систему и прикладные программы. Временные метки файлов, журналы регистрации событий и иные сведения позволяют установить последовательность событий и выявить признаки модификации, не связанной с действиями пользователя. Указанные сведения имеют значение для установления обстоятельств, связанных с созданием, изменением и удалением объектов.

При исследовании объектов, представленных в электронной форме, нередко возникает необходимость восстановления удалённых данных. Указанное восстановление производится с использованием программных средств, позволяющих обнаружить фрагменты файлов, сохранившиеся на носителе после их удаления. Восстановленные данные позволяют установить сведения, которые были удалены, а также время и обстоятельства удаления. Вместе с тем восстановленные данные не всегда обладают достаточной полнотой и достоверностью, что обусловливает необходимость осторожного подхода к их оценке. Компьютерно-техническая экспертиза, включающая восстановление удалённых данных, позволяет установить обстоятельства, которые не могут быть установлены иными средствами доказывания.

При исследовании объектов, представленных в электронной форме, эксперту надлежит учитывать возможность их хранения в удалённых хранилищах, доступ к которым осуществляется через сеть Интернет. Указанные объекты не находятся на представленных носителях, однако сведения о них могут содержаться в журналах регистрации событий и в кэше приложений. Исследование указанных сведений позволяет установить факт обращения к удалённым хранилищам, а также сведения о характере хранящихся объектов. Вместе с тем указанное исследование не позволяет получить доступ к самим объектам, если такой доступ не был предоставлен органом, назначившим экспертизу.

Информационно-аналитическая и техническая экспертиза компьютерных систем предполагает исследование объектов, представленных в электронной форме, в контексте их функционирования в составе компьютерной системы. Указанное исследование позволяет установить закономерности функционирования системы, выявить признаки несанкционированного воздействия, а также установить обстоятельства, связанные с обработкой информации. Вместе с тем указанное исследование не подменяет собой исследование отдельных объектов, поскольку каждый объект обладает собственными характеристиками, требующими применения специальных методов.

Раздел 18. Организационные аспекты производства компьютерно-технического исследования в экспертных учреждениях

Организация производства компьютерно-технического исследования в экспертных учреждениях предполагает решение комплекса задач, связанных с обеспечением надлежащего качества экспертизы, соблюдением процессуальных требований и созданием условий для всестороннего и объективного исследования объектов. Указанные задачи решаются путём формирования штата экспертов, обладающих необходимой квалификацией, оснащения экспертных подразделений современным оборудованием и программным обеспечением, а также разработки методических рекомендаций по производству экспертиз отдельных видов.

Формирование штата экспертов предполагает наличие у экспертов специальных познаний в области компьютерных средств, систем и информационных процессов, а также знаний процессуального законодательства и требований, предъявляемых к заключению эксперта. Эксперт должен обладать навыками работы с современным оборудованием и программным обеспечением, а также способностью формулировать выводы в форме, доступной для восприятия лицами, не обладающими специальными познаниями. Указанные требования обусловливают необходимость систематического повышения квалификации экспертов и освоения ими новых методов исследования.

Оснащение экспертных подразделений современным оборудованием и программным обеспечением предполагает наличие стендового оборудования, позволяющего подключать исследуемые носители в качестве дополнительных устройств, программных средств анализа файловых систем и журналов регистрации событий, а также средств восстановления удалённых данных. Указанное оснащение обеспечивает возможность производства исследования объектов различных типов и позволяет получать достоверные результаты. Компьютерно-техническая экспертиза в Москве и иных субъектах Российской Федерации производится в экспертных учреждениях, оснащённых указанным оборудованием, что обеспечивает надлежащее качество исследования.

Разработка методических рекомендаций по производству экспертиз отдельных видов предполагает обобщение экспертной практики и формулирование рекомендаций по выбору методов исследования, последовательности действий эксперта и оформлению результатов. Указанные рекомендации не носят обязательного характера, однако их применение способствует единообразию экспертной практики и повышению качества экспертиз. Виды компьютерно-технических экспертиз, выделяемые в экспертной практике, обусловливают необходимость разработки методических рекомендаций применительно к каждому виду исследования.

Организация производства компьютерно-технического исследования предполагает также решение задач, связанных с обеспечением сохранности объектов исследования. Указанные задачи решаются путём надлежащей упаковки объектов, обеспечения условий их хранения и транспортировки, а также соблюдения требований, предъявляемых к обращению с объектами, содержащими информацию ограниченного доступа. Указанные требования обусловлены необходимостью исключения возможности модификации объектов и обеспечения достоверности получаемых результатов.

При производстве компьютерно-технического исследования в экспертном учреждении, входящем в систему Союза «Федерация судебных экспертов», обеспечивается соблюдение требований независимости, объективности и всесторонности, а также надлежащее документальное оформление всех этапов экспертного производства. Указанные требования являются основой деятельности экспертных учреждений, входящих в систему Союза, и обеспечивают доверие к результатам экспертной деятельности. Обращение в экспертное учреждение, входящее в систему Союза «Федерация судебных экспертов», позволяет получить квалифицированную помощь в производстве компьютерно-технического исследования и обеспечить надлежащее качество экспертного заключения.

Организация производства компьютерно-технического исследования предполагает также взаимодействие экспертных учреждений с органами, назначающими экспертизу, и с участниками процесса. Указанное взаимодействие строится на основе соблюдения требований процессуального законодательства и обеспечивает возможность своевременного получения дополнительных материалов, разъяснения вопросов и устранения неясностей, возникающих в ходе производства экспертизы. Указанное взаимодействие способствует повышению качества экспертизы и сокращению сроков её производства.

Раздел 19. Особенности производства компьютерно-технического исследования по отдельным категориям дел

Производство компьютерно-технического исследования по отдельным категориям дел имеет особенности, обусловленные характером обстоятельств, подлежащих установлению, и характером объектов исследования. По уголовным делам о неправомерном доступе к компьютерной информации исследование направлено на установление факта доступа, способа его осуществления и характера действий, совершённых в системе. По уголовным делам о мошенничестве, совершённом в электронной среде, исследование направлено на установление факта отправки сообщений, их содержания и обстоятельств получения денежных средств. По гражданским делам о защите авторских прав на программное обеспечение исследование направлено на установление факта использования программного обеспечения, его состава и признаков контрафактности.

По уголовным делам о неправомерном доступе к компьютерной информации особое значение имеет установление времени и способа осуществления доступа, а также установление устройства, с которого осуществлялся доступ. Указанные обстоятельства устанавливаются путём анализа журналов регистрации событий, сведений о сетевых подключениях и данных, содержащихся в памяти устройств. Компьютерно-техническая экспертиза, проведённая по указанной категории дел, позволяет установить фактические обстоятельства, которые не могут быть установлены иными средствами доказывания.

По уголовным делам о мошенничестве, совершённом в электронной среде, особое значение имеет установление факта отправки сообщений, их содержания и обстоятельств получения денежных средств. Указанные обстоятельства устанавливаются путём анализа содержимого памяти устройств, детализации соединений, предоставленной операторами связи, а также сведений, содержащихся в банковских документах. Компьютерно-техническая экспертиза, проведённая по указанной категории дел, позволяет установить связь между устройством, с которого осуществлялась отправка сообщений, и лицом, которому указанное устройство принадлежит.

По гражданским делам о защите авторских прав на программное обеспечение особое значение имеет установление факта использования программного обеспечения, его состава и признаков контрафактности. Указанные обстоятельства устанавливаются путём анализа содержимого накопителей, сравнения исследуемого программного обеспечения с эталонными образцами, а также анализа сведений о лицензировании. Компьютерно-техническая экспертиза, проведённая по указанной категории дел, позволяет установить факт использования программного обеспечения без согласия правообладателя и определить размер причинённого ущерба.

По делам о разглашении коммерческой тайны особое значение имеет установление факта копирования сведений, отнесённых к коммерческой тайне, на внешние носители, а также установление времени и обстоятельств копирования. Указанные обстоятельства устанавливаются путём анализа журналов регистрации событий, восстановления удалённых данных и анализа метаданных файлов. Компьютерно-техническая экспертиза, проведённая по указанной категории дел, позволяет установить факт неправомерного копирования конфиденциальной информации и создать условия для взыскания причинённых убытков.

По делам об административных правонарушениях в области защиты информации особое значение имеет установление состояния сетевой инфраструктуры, наличия уязвимостей и соответствия применённых мер защиты требованиям, предъявляемым к информационным системам. Указанные обстоятельства устанавливаются путём анализа конфигураций сетевого оборудования, журналов регистрации событий безопасности и документов, определяющих политику информационной безопасности. Компьютерно-техническая экспертиза, проведённая по указанной категории дел, позволяет установить факт нарушения правил эксплуатации информационной системы и создать условия для привлечения должностного лица к ответственности.

Раздел 20. Вопросы, разрешаемые при производстве компьютерно-технического исследования, и пределы компетенции эксперта

Вопросы, разрешаемые при производстве компьютерно-технического исследования, определяются характером объектов исследования и задачами, поставленными на разрешение эксперта. Указанные вопросы подразделяются на диагностические и идентификационные, при этом их перечень не является исчерпывающим, поскольку развитие компьютерных технологий обусловливает появление новых задач, требующих применения специальных познаний. Вопросы на компьютерно-техническую экспертизу формулируются с учётом объекта исследования и характера устанавливаемых обстоятельств, при этом они не должны выходить за пределы специальных знаний эксперта.

Пределы компетенции эксперта определяются областью специальных знаний, которыми он обладает, а также требованиями процессуального законодательства, запрещающими эксперту разрешать вопросы правового характера. Эксперт не вправе разрешать вопросы о виновности лица, о квалификации деяния или о наличии состава правонарушения, поскольку указанные вопросы относятся к исключительной компетенции органов предварительного расследования и суда. Вместе с тем эксперт вправе разрешать вопросы, связанные с установлением фактических обстоятельств, на основании которых впоследствии делается вывод о наличии или отсутствии состава правонарушения.

При формулировании вопросов, поставленных на разрешение эксперта, целесообразно учитывать возможность их разрешения с использованием имеющихся методов и технических средств. Вопросы, разрешение которых требует применения методов, не апробированных или не соответствующих характеру исследования, не подлежат постановке на разрешение, поскольку их разрешение может повлечь получение недостоверных результатов. Указанное требование обусловлено необходимостью обеспечения достоверности заключения и его использования в процессе доказывания.

Вопросы, поставленные на разрешение эксперта, должны быть сформулированы ясно и не допускать неоднозначного толкования. Неясность вопросов может повлечь необходимость их уточнения и, как следствие, увеличение сроков производства экспертизы. Указанное требование обусловлено необходимостью обеспечения своевременности производства экспертизы и соблюдения прав участников процесса. Постановление о назначении компьютерно-технической экспертизы должно содержать вопросы, сформулированные с учётом указанных требований.

При производстве компьютерно-технического исследования эксперт вправе выйти за пределы поставленных вопросов, если в ходе исследования будут установлены обстоятельства, имеющие значение для дела, по поводу которых ему не были поставлены вопросы. Указанное право обусловлено необходимостью обеспечения полноты исследования и установления всех обстоятельств, имеющих значение для правильного разрешения дела. Вместе с тем эксперт не вправе разрешать вопросы, выходящие за пределы его специальных знаний, поскольку их разрешение относится к компетенции иных участников процесса.

Вопросы, разрешаемые при производстве компьютерно-технического исследования, нередко требуют применения знаний из различных областей науки и техники. В таких случаях к производству экспертизы могут быть привлечены специалисты в соответствующих областях, а исследование может носить комплексный характер. Комплексная экспертиза предполагает совместное участие экспертов различных специальностей в производстве исследования и формулирование общего вывода. Указанная форма производства экспертизы позволяет обеспечить всесторонность и объективность исследования объектов, требующих применения знаний из различных областей.

Пределы компетенции эксперта определяются также требованиями, предъявляемыми к квалификации эксперта. Эксперт должен обладать специальными познаниями в области компьютерных средств, систем и информационных процессов, а также знаниями процессуального законодательства и требований, предъявляемых к заключению эксперта. Указанные требования обусловливают необходимость систематического повышения квалификации экспертов и освоения ими новых методов исследования.

Раздел 21. Судебная компьютерно-техническая экспертиза в системе средств доказывания

Судебная компьютерно-техническая экспертиза в системе средств доказывания занимает особое место, поскольку её результаты нередко имеют решающее значение для установления обстоятельств дела. Указанное место обусловлено тем, что компьютерно-техническое исследование позволяет установить фактические обстоятельства, которые не могут быть установлены иными средствами доказывания, а также проверить достоверность иных доказательств. Вместе с тем заключение эксперта не имеет заранее установленной силы и оценивается в совокупности с иными доказательствами по делу.

Заключение эксперта по результатам компьютерно-технического исследования выступает самостоятельным видом доказательств, предусмотренным процессуальным законодательством. Указанное заключение содержит выводы эксперта, основанные на применении специальных познаний, и подлежит оценке наряду с иными доказательствами. Оценка заключения предполагает установление его допустимости, относимости и достоверности, а также установление соответствия выводов эксперта поставленным вопросам и материалам дела.

Допустимость заключения эксперта по результатам компьютерно-технического исследования предполагает соблюдение процессуального порядка назначения и производства экспертизы, наличие у эксперта необходимой квалификации и отсутствие оснований для его отвода. Нарушение указанных требований может повлечь признание заключения недопустимым доказательством, что исключает возможность его использования в процессе доказывания. Указанное требование обусловлено необходимостью обеспечения законности и обоснованности принимаемых решений.

Относимость заключения эксперта по результатам компьютерно-технического исследования предполагает связь содержащихся в нём выводов с обстоятельствами, имеющими значение для дела. Выводы эксперта, не связанные с указанными обстоятельствами, не могут быть использованы в процессе доказывания, поскольку не способствуют установлению объективной истины. Указанное требование обусловлено необходимостью обеспечения целенаправленности экспертного исследования и соблюдения прав участников процесса.

Достоверность заключения эксперта по результатам компьютерно-технического исследования предполагает соответствие содержащихся в нём выводов действительности. Указанная достоверность обеспечивается применением апробированных методов и технических средств, соблюдением требований, предъявляемых к сохранности объектов исследования, а также надлежащим документальным оформлением результатов исследования. Указанное требование обусловлено необходимостью обеспечения доверия к результатам экспертной деятельности и их использования в процессе доказывания.

Заключение эксперта по результатам компьютерно-технического исследования не имеет преимущества перед иными доказательствами и подлежит оценке в совокупности с ними. Указанное требование обусловлено принципом свободной оценки доказательств, согласно которому никакие доказательства не имеют заранее установленной силы. Вместе с тем заключение эксперта, основанное на применении специальных познаний, нередко имеет значение для установления обстоятельств, которые не могут быть установлены иными средствами доказывания.

Судебная компьютерно-техническая экспертиза в системе средств доказывания занимает особое место, поскольку её результаты позволяют установить фактические обстоятельства, которые не могут быть установлены иными средствами доказывания, а также проверить достоверность иных доказательств. Указанное место обусловливает необходимость обеспечения надлежащего качества производства экспертизы и соблюдения требований, предъявляемых к заключению эксперта. Соблюдение указанных требований создаёт условия для признания заключения допустимым и достоверным доказательством и его использования в процессе доказывания.

Раздел 22. Практические аспекты подготовки материалов для производства компьютерно-технического исследования

Подготовка материалов для производства компьютерно-технического исследования представляет собой самостоятельный этап процессуальной деятельности, от качества которого зависит полнота и объективность экспертного исследования. Указанная подготовка предполагает обнаружение и фиксацию объектов исследования, их изъятие и упаковку, а также подготовку документов, содержащих сведения, значимые для формулирования выводов. Указанные действия производятся следователем или судом с участием специалиста, обладающего специальными познаниями в области компьютерных технологий.

Обнаружение и фиксация объектов исследования предполагает установление места нахождения объектов, их внешнего вида и состояния, а также сведений, позволяющих идентифицировать объекты. Указанные действия производятся с соблюдением требований, предъявляемых к следственным действиям, и отражаются в протоколе, содержащем сведения об объектах и условиях их обнаружения. Компьютерно-техническая экспертиза, проведённая по результатам надлежащей фиксации объектов, позволяет установить обстоятельства, связанные с их использованием и модификацией.

Изъятие объектов исследования предполагает их отделение от места нахождения и помещение в упаковку, обеспечивающую сохранность объектов и исключающую возможность их модификации. Указанные действия производятся с соблюдением требований, предъявляемых к обращению с объектами, содержащими информацию ограниченного доступа. При изъятии компьютерной техники необходимо учитывать, что её отключение от сети питания может повлечь утрату данных, хранящихся в оперативной памяти, что обусловливает необходимость применения специальных методов изъятия. Услуги по экспертизе технического состояния компьютерной техники нередко включают в себя консультирование по вопросам изъятия объектов, что обеспечивает сохранность информации.

Упаковка объектов исследования предполагает помещение объектов в упаковку, обеспечивающую их сохранность и исключающую возможность доступа к ним без нарушения целостности упаковки. Указанная упаковка должна содержать сведения об объектах, дате и месте их изъятия, а также подписи лиц, производивших изъятие. Нарушение целостности упаковки может повлечь сомнения в неизменности объектов и, как следствие, в достоверности выводов эксперта. Указанное требование обусловлено необходимостью обеспечения сохранности объектов и достоверности получаемых результатов.

Подготовка документов, содержащих сведения, значимые для формулирования выводов, предполагает сбор документов, определяющих перечень сведений, отнесённых к коммерческой тайне, документов, подтверждающих права на программное обеспечение, а также документов, содержащих сведения о функционировании компьютерных систем. Указанные документы приобщаются к материалам, направляемым в экспертное учреждение, и используются экспертом при формулировании выводов. Постановление о назначении компьютерно-технической судебной экспертизы должно содержать указание на документы, предоставляемые эксперту.

Практические аспекты подготовки материалов для производства компьютерно-технического исследования предполагают также решение вопросов, связанных с обеспечением сохранности информации ограниченного доступа. Указанные вопросы решаются путём соблюдения требований, предъявляемых к обращению с информацией ограниченного доступа, а также путём привлечения к участию в следственных действиях специалистов, обладающих соответствующими познаниями. Указанные требования обусловлены необходимостью обеспечения защиты прав и законных интересов участников процесса.

Раздел 23. Компьютерно-техническая экспертиза в условиях развития цифровых технологий

Компьютерно-техническая экспертиза в условиях развития цифровых технологий приобретает значение процессуального инструмента, без которого установление объективной истины по значительному числу дел становится объективно затруднительным. Развитие цифровых технологий обусловливает появление новых объектов исследования, включая облачные сервисы, мобильные приложения, устройства интернета вещей и системы искусственного интеллекта. Указанные объекты обладают особенностями, требующими применения специальных методов исследования и подготовки экспертов, обладающих соответствующими познаниями.

Облачные сервисы представляют собой удалённые хранилища, доступ к которым осуществляется через сеть Интернет. Указанные сервисы не находятся на представленных носителях, однако сведения о них могут содержаться в журналах регистрации событий и в кэше приложений. Исследование указанных сведений позволяет установить факт обращения к облачным сервисам, а также сведения о характере хранящихся объектов. Вместе с тем указанное исследование не позволяет получить доступ к самим объектам, если такой доступ не был предоставлен органом, назначившим экспертизу. Компьютерно-техническая экспертиза, проведённая в отношении облачных сервисов, позволяет установить обстоятельства, связанные с обработкой информации в удалённых хранилищах.

Мобильные приложения представляют собой программное обеспечение, функционирующее на мобильных устройствах и обеспечивающее доступ к различным сервисам. Указанные приложения обладают особенностями, обусловленными ограниченностью ресурсов мобильных устройств и использованием специфических механизмов хранения данных. Исследование мобильных приложений позволяет установить факты отправки сообщений, осуществления платежей и обмена данными. Компьютерно-техническая экспертиза, проведённая в отношении мобильных приложений, позволяет установить обстоятельства, связанные с использованием мобильных устройств.

Устройства интернета вещей представляют собой устройства, подключённые к сети Интернет и обеспечивающие сбор и передачу данных. Указанные устройства обладают особенностями, обусловленными ограниченностью ресурсов и использованием специфических протоколов передачи данных. Исследование устройств интернета вещей позволяет установить факты сбора и передачи данных, а также обстоятельства, связанные с их функционированием. Компьютерно-техническая экспертиза, проведённая в отношении устройств интернета вещей, позволяет установить обстоятельства, связанные с их использованием.

Системы искусственного интеллекта представляют собой программные системы, обеспечивающие обработку данных и принятие решений на основе алгоритмов машинного обучения. Указанные системы обладают особенностями, обусловленными сложностью алгоритмов и невозможностью полного объяснения принимаемых решений. Исследование систем искусственного интеллекта позволяет установить факты обработки данных и принятия решений, а также обстоятельства, связанные с их функционированием. Компьютерно-техническая экспертиза, проведённая в отношении систем искусственного интеллекта, позволяет установить обстоятельства, связанные с их использованием.

Развитие цифровых технологий обусловливает необходимость подготовки экспертов, обладающих познаниями в области новых технологий. Указанная подготовка предполагает освоение методов исследования облачных сервисов, мобильных приложений, устройств интернета вещей и систем искусственного интеллекта. Компьютерно-техническая экспертиза в Москве и иных субъектах Российской Федерации производится в экспертных учреждениях, обеспечивающих подготовку экспертов и оснащение их современным оборудованием и программным обеспечением. Обращение в экспертное учреждение, входящее в систему Союза «Федерация судебных экспертов», позволяет получить квалифицированную помощь в производстве компьютерно-технического исследования и обеспечить надлежащее качество экспертного заключения.

Раздел 24. Итоговые положения о правовом значении компьютерно-технического исследования

Компьютерно-техническая экспертиза представляет собой самостоятельный род судебных экспертиз, правовое значение которого обусловлено расширением цифрового оборота и увеличением объёма электронных доказательств. Указанное исследование позволяет установить фактические обстоятельства, которые не могут быть установлены иными средствами доказывания, проверить достоверность иных доказательств и установить обстоятельства, свидетельствующие о наличии или отсутствии признаков правонарушения. Правовое значение указанного исследования проявляется в возможности его использования в качестве доказательства по уголовным, гражданским, арбитражным и административным делам.

Правовое значение компьютерно-технического исследования обусловлено также требованиями процессуального законодательства, предусматривающими возможность назначения экспертизы при наличии необходимости применения специальных познаний. Указанная возможность обеспечивает реализацию принципа всесторонности и объективности исследования обстоятельств дела и создаёт условия для принятия законного и обоснованного решения. Постановление о назначении компьютерно-технической экспертизы выступает процессуальным документом, на основании которого производится исследование и оформляется заключение.

Правовое значение компьютерно-технического исследования проявляется в возможности его использования для установления обстоятельств, связанных с использованием компьютерных средств и информационных объектов. Указанные обстоятельства нередко имеют решающее значение для установления объективной истины по делу, поскольку иные средства доказывания не позволяют установить факты копирования файлов, подключения устройств к сети, отправки сообщений и иных действий, совершённых с использованием компьютерных технологий. Компьютерная экспертиза как разновидность судебной компьютерно-технической экспертизы обеспечивает возможность исследования указанных обстоятельств и их использования в процессе доказывания.

Правовое значение компьютерно-технического исследования обусловливает необходимость обеспечения надлежащего качества производства экспертизы и соблюдения требований, пред