Введение

Компьютерно-техническая экспертиза (КТЭ) — это вид судебной экспертизы, при котором специалисты в области информационных технологий исследуют компьютерную технику, носители информации, программное обеспечение и цифровые данные для ответа на юридически значимые вопросы. Это один из наиболее динамично развивающихся родов судебных экспертиз, что обусловлено стремительной цифровизацией всех сфер жизни и, соответственно, ростом числа преступлений и споров, связанных с компьютерной информацией.

Актуальность КТЭ определяется несколькими факторами. Во-первых, практически любое современное преступление — от экономического до насильственного — оставляет цифровые следы: переписку, историю браузера, геолокацию, банковские транзакции, данные видеонаблюдения. Во-вторых, гражданско-правовые споры всё чаще касаются цифровых активов, программного обеспечения, электронных документов и онлайн-репутации. В-третьих, административные дела, связанные с нарушением законодательства в области персональных данных, авторских прав, рекламы, также требуют специальных познаний в области IT.

Судебная компьютерно-техническая экспертиза (СКТЭ) — это самостоятельный род судебных экспертиз, относящийся к классу инженерно-технических экспертиз, проводимых в целях определения статуса объекта как компьютерного средства, выявления и изучения его роли в расследуемом преступлении, а также получения доступа к информации на электронных носителях с последующим всесторонним её исследованием.

Предмет СКТЭ — факты и обстоятельства, устанавливаемые на основе исследования закономерностей разработки и эксплуатации компьютерных средств и систем, обеспечивающих реализацию информационных процессов, которые зафиксированы в материалах уголовных, гражданских и иных дел.

Ключевое отличие от других экспертиз: объектом исследования являются не физические свойства устройства как такового, а информационные процессы — как данные создаются, обрабатываются, хранятся, передаются и уничтожаются. Эксперт отвечает на вопросы о том, какая информация содержится на носителе, как она туда попала, кто и когда с ней работал.

В отличие от многих традиционных экспертиз, КТЭ имеет дело с объектами, которые обладают свойством изменчивости: данные могут быть легко модифицированы, удалены, зашифрованы. Это предъявляет особые требования к процедуре изъятия, хранения и исследования цифровых доказательств. Нарушение этих требований может привести к тому, что полученные результаты будут признаны недопустимыми доказательствами.

---

2. В отношении кого и чего проводится

КТЭ назначается в следующих случаях:

• На накопителе данных содержится информация, способная нанести урон жизни или правам человека.

• Компьютер (компьютерная система, накопитель данных) принадлежит человеку, совершившему преступление, для раскрытия которого необходима информация из данного компьютера.

• Информационное содержимое компьютера представляет собой предмет спора сторон — например, данные, защищённые авторским правом, патентными свидетельствами.

• Проводится расследование преступлений, совершённых посредством применения компьютерных систем.

• Необходимо отследить хронологию манипуляций, совершавшихся с данными на персональном компьютере.

• Требуется извлечь информацию и установить её содержимое.

Объектами КТЭ являются:

• Компьютерная техника (системные блоки, ноутбуки, серверы).

• Носители информации (жёсткие диски, SSD, флеш-накопители, оптические диски).

• Мобильные устройства (смартфоны, планшеты).

• Программное обеспечение и операционные системы.

• Вычислительные сети и телекоммуникационные устройства.

• Информационное содержимое сайтов, социальных сетей, электронных почтовых ящиков, облачных хранилищ.

Субъектный состав участников КТЭ включает:

• Следователя (дознавателя) — назначает экспертизу, формулирует вопросы.

• Эксперта — проводит исследование, несёт ответственность за выводы.

• Подозреваемого (обвиняемого) — чьи устройства исследуются.

• Потерпевшего — чьи права нарушены.

• Специалиста — может привлекаться для консультаций.

• Понятых — при изъятии носителей.

Процессуальные основания для назначения КТЭ:

• В уголовном процессе — ст. 195–207 УПК РФ.

• В гражданском процессе — ст. 79–87 ГПК РФ.

• В арбитражном процессе — ст. 82–87 АПК РФ.

• В административном процессе — ст. 77–78 КАС РФ.

---

3. Как проходит процедура

3.1. Подготовительный этап

• Изучение постановления о назначении экспертизы — уточнение вопросов, определение объёма исследования.

• Изучение материалов дела — анализ обстоятельств, связанных с компьютерной информацией.

• Подготовка оборудования — создание стендового компьютера, обеспечение сохранности исследуемых данных.

• Обеспечение сохранности цифровых доказательств — создание побитовых образов носителей, фиксация контрольных сумм (хеш-сумм).

Принцип неизменности: Исследование должно проводиться только на копии (образе) носителя. Оригинал должен быть опечатан и храниться в неизменном виде. Это ключевое требование, обеспечивающее допустимость доказательств.

Процедура создания образа:

1. Подключение носителя через аппаратный блок защиты от записи (write-blocker).

2. Создание побитовой копии с помощью специализированного ПО (EnCase, FTK, dd).

3. Вычисление хеш-суммы оригинала и образа (MD5, SHA-1, SHA-256).

4. Сравнение хеш-сумм — подтверждение идентичности.

5. Опечатывание оригинала и передача его на хранение.

3.2. Исследование аппаратных средств

Исследование системного блока персонального компьютера проводится путём:

• Визуального осмотра внутренних аппаратных компонентов.

• Извлечения из системного блока жёсткого диска.

• Подключения монитора, клавиатуры и мыши и прерывания загрузки для определения установок программы SETUP BIOS.

• Определения системной даты, времени компьютера, других конфигурационных установок.

• Загрузки операционной системы с системной дискеты эксперта и диагностирования аппаратных компонентов без жёсткого диска.

Типовые задачи аппаратного исследования:

• Установление конфигурации компьютера.

• Диагностика неисправностей.

• Определение технических параметров носителей.

• Выявление признаков модификации оборудования.

• Установление факта подключения внешних устройств.

3.3. Исследование носителей информации

Исследование носителей компьютерной информации проводится путём:

• Определения класса носителя (CD-ROM, CD-R, CD-RW и др.).

• Определения интерфейса, состояния перемычек и переключателей.

• Подключения к стендовому компьютеру исследуемого жёсткого диска в качестве дополнительного.

• Определения основных технических параметров (номеров цилиндров, головок, секторов, ёмкости).

• Выявления таблицы разделов диска с определением их характеристик.

• Определения логической адресации системных областей разделов.

• Поиска признаков повреждения целостности данных.

Файловые системы: Исследование может проводиться в файловых системах FAT16/32, NTFS, exFAT, ext2/3/4, HFS+, APFS. Каждая файловая система имеет свои особенности хранения метаданных, что учитывается при поиске и восстановлении информации.

Метаданные: Особое внимание уделяется метаданным — данным о данных:

• Даты создания, изменения, доступа к файлам.

• Владелец файла, права доступа.

• История переименований.

• Сведения о устройстве, на котором создан файл.

• EXIF-данные изображений (геолокация, модель камеры, дата съёмки).

3.4. Методы экспертного исследования

При решении задач СКТЭ широко используются методы, реализованные в стандартных утилитах и сервисных программах:

• Методы поиска и доступа к данным (контекстный поиск, конвертирование данных).

• Методы манипуляции с данными (копирование, перемещение, редактирование).

• Методы восстановления данных (в том числе удалённой информации).

• Методы архивации, парольной защиты.

Экспертные исследования фактов, связанных с сетевыми и телекоммуникационными технологиями, предопределяют развитие специальных методов:

• Методы распределённой обработки данных.

• Методы иерархизации протоколов.

• Топологические методы и методы доступа.

• Методы коммутации и маршрутизации.

Специализированное программное обеспечение:

• EnCase Forensic — комплексное решение для сбора и анализа цифровых доказательств.

• AccessData FTK — инструмент для криминалистического анализа.

• X-Ways Forensics — мощный анализатор файловых систем.

• Autopsy — бесплатная платформа с открытым исходным кодом.

• Cellebrite — для исследования мобильных устройств.

• Oxygen Forensic — для мобильной криминалистики.

• Volatility — для анализа оперативной памяти.

3.5. Типовые задачи СКТЭ

Классические задачи компьютерно-технической экспертизы:

• Диагностика неисправностей компьютерных устройств, носителей и накопителей данных.

• Установление соответствия конфигурации компьютерных устройств технической документации.

• Исследование файловых систем носителей с целью восстановления удалённой информации; реконструкция сбойных файлов; извлечение данных специализированного формата.

• Поиск зашифрованной информации.

• Поиск файлов текстовых документов, содержащих ключевые слова.

• Поиск и отбор мультимедийных файлов различного типа.

• Исследование программного обеспечения с целью установления его функционального назначения (в том числе установление признаков игрового, вредоносного ПО).

• Сравнительный автороведческий анализ, установление соответствия ПО технической документации.

• Исследование обстоятельств работы пользователя в операционной системе, коммуникаций в сети Интернет.

• Исследование обстоятельств создания, изменения файлов (установление признаков подлога ПО, файлов текстовых документов, данных).

---

4. Видовая классификация СКТЭ

В теории судебной экспертизы принята классификация СКТЭ по обеспечивающим компонентам компьютерной системы:

4.1. Судебная аппаратно-компьютерная экспертиза

Предмет: факты и обстоятельства, устанавливаемые на основе исследования закономерностей эксплуатации аппаратных средств компьютерной системы — материальных носителей информации о факте или событии гражданского, административного или уголовного дела.

Задачи: диагностика неисправностей, установление конфигурации, определение технических параметров.

Объекты: системные блоки, ноутбуки, серверы, периферийные устройства, комплектующие.

4.2. Судебная программно-компьютерная экспертиза

Предмет: закономерности разработки (создания) и применения (использования) программного обеспечения компьютерной системы.

Задачи: исследование функционального назначения ПО, установление признаков вредоносного ПО, сравнительный анализ программных продуктов.

Объекты: операционные системы, прикладное ПО, утилиты, исходный код, исполняемые файлы.

4.3. Судебная информационно-компьютерная экспертиза (данных)

Предмет: поиск, обнаружение, анализ и оценка информации, подготовленной пользователем или порождённой программами для организации информационных процессов в компьютерной системе.

Задачи: восстановление удалённых данных, поиск информации по ключевым словам, анализ хронологии работы пользователя.

Это ключевой вид СКТЭ, так как позволяет завершить целостное построение доказательственной базы путём окончательного разрешения большинства вопросов, связанных с компьютерной информацией.

4.4. Судебная компьютерно-сетевая экспертиза

Предмет: факты и обстоятельства, устанавливаемые на основе исследования закономерностей функционирования сетевых информационных технологий.

Особенность: объекты интегрированы из объектов предыдущих видов экспертиз (аппаратные, программные и информационные), но функционируют в определённой сетевой технологии.

Задачи: исследование обстоятельств коммуникаций в сети Интернет, работы с онлайн-сервисами, анализ сетевых соединений.

4.5. Судебная экспертиза мобильных устройств

Предмет: факты и обстоятельства, устанавливаемые на основе исследования мобильных устройств (смартфонов, планшетов, коммуникаторов).

Особенности: Мобильные устройства имеют специфическую архитектуру, ограниченные ресурсы, особые операционные системы (iOS, Android). Исследование требует специального оборудования и ПО. Многие данные хранятся в зашифрованном виде.

Задачи: извлечение сообщений, звонков, геолокации, фотографий, данных приложений.

---

5. Несколько кейсов проведения КТЭ

На основе анализа судебной практики и типовых задач можно выделить следующие характерные кейсы.

Кейс 1: Восстановление удалённой информации

Фабула: В ходе расследования дела о мошенничестве изъят компьютер подозреваемого. Необходимо установить, имелись ли на жёстком диске удалённые файлы, содержащие финансовую документацию.

Результат КТЭ: Экспертами проведено исследование файловой системы с применением методов восстановления данных. Обнаружены удалённые файлы таблиц Excel, содержащие сведения о движении денежных средств. Установлена хронология удаления — за день до задержания.

Экспертная логика: Использование методов восстановления данных позволило получить доказательства, которые подозреваемый считал уничтоженными. Ключевым явилось применение побитового анализа нераспределённого пространства.

Кейс 2: Установление факта подключения внешних носителей

Фабула: По делу о разглашении коммерческой тайны требовалось установить, копировались ли конфиденциальные документы на внешние носители.

Результат КТЭ: Экспертами проанализированы системные журналы Windows. Установлено, что к компьютеру подключался USB-накопитель определённой модели в конкретные даты. В журналах зафиксированы операции копирования файлов из папки с коммерческой тайной.

Экспертная логика: Артефакты операционной системы (журналы, записи реестра) позволяют восстановить хронологию действий пользователя даже при отсутствии самого носителя.

Кейс 3: Исследование вредоносного программного обеспечения

Фабула: Расследование дела о неправомерном доступе к компьютерной информации. Требовалось установить, использовалось ли вредоносное ПО для получения несанкционированного доступа.

Результат КТЭ: Экспертами обнаружены исполняемые файлы с признаками вредоносного ПО. Проведён мониторинг оперативной памяти (проверка контрольных сумм) и дисковой памяти (анализ файловых сигнатур). Установлено функциональное назначение программы — перехват паролей.

Экспертная логика: Анализ сигнатур и поведения программы позволил квалифицировать её как вредоносную, что является ключевым доказательством по делу.

Кейс 4: Анализ переписки в мессенджерах

Фабула: По делу о вымогательстве требовалось установить содержание переписки обвиняемого с потерпевшим.

Результат КТЭ: Экспертами исследована память мобильного телефона. Извлечены сообщения из мессенджера, восстановлена хронология переписки, установлены учётные записи участников. Обнаружены удалённые сообщения.

Экспертная логика: Мобильные устройства хранят значительные объёмы пользовательской информации даже после удаления. Восстановление переписки позволяет установить факты угроз и требований.

Кейс 5: Установление авторства программного продукта

Фабула: Спор между двумя компаниями о правах на программное обеспечение. Требовалось установить, является ли продукт ответчика результатом разработки истца.

Результат КТЭ: Экспертами проведён сравнительный анализ исходного кода, структуры программ, уникальных идентификаторов. Установлено значительное совпадение фрагментов кода, характерных для разработки истца. Выявлены признаки модификации оригинального продукта.

Экспертная логика: Сравнительный анализ программных продуктов позволяет установить заимствования даже при изменении внешнего вида и названия.

Кейс 6: Диагностика неисправности компьютерной техники

Фабула: Гражданский спор между покупателем и продавцом компьютера. Требовалось установить причину неисправности — производственный дефект или неправильная эксплуатация.

Результат КТЭ: Проведён визуальный осмотр компонентов, диагностика аппаратных средств. Установлено, что неисправность вызвана перегревом вследствие неисправности системы охлаждения, что является производственным дефектом.

Экспертная логика: Аппаратная диагностика позволяет разграничить производственные дефекты и повреждения, вызванные эксплуатацией.

Кейс 7: Анализ хронологии работы пользователя

Фабула: По делу о хищении денежных средств с банковского счёта требовалось установить, с какого компьютера и в какое время был осуществлён вход в онлайн-банк.

Результат КТЭ: Экспертами исследованы системные журналы, кэш браузера, файлы cookie. Установлено, что вход в онлайн-банк осуществлялся с конкретного IP-адреса в определённое время. Проанализированы учётные записи пользователей системы.

Экспертная логика: Цифровые следы в браузере и системных журналах позволяют установить обстоятельства удалённого доступа.

Кейс 8: Исследование информации в облачном хранилище

Фабула: Дело о распространении запрещённого контента. Требовалось установить, какие файлы хранились в облачном аккаунте обвиняемого.

Результат КТЭ: Экспертами проанализированы данные о работе с облачным сервисом, восстановлены сведения об учётных записях, истории загрузок и синхронизации файлов. Установлен перечень файлов, загруженных в облако.

Экспертная логика: Исследование облачных сервисов требует специальных знаний в области сетевых технологий и анализа метаданных.

Кейс 9: Установление факта подлога документа

Фабула: По делу о мошенничестве требовалось установить, является ли представленный электронный документ подлинным или был создан путём монтажа.

Результат КТЭ: Экспертами проведён анализ метаданных файла, проверка контрольных сумм, исследование структуры документа. Установлено несоответствие даты создания документа и даты его последнего изменения. Выявлены признаки редактирования после purported даты подписания.

Экспертная логика: Метаданные и артефакты файловой системы позволяют установить факты изменения документов после их создания.

Кейс 10: Исследование сетевого трафика

Фабула: Дело о неправомерном доступе к серверу организации. Требовалось установить, осуществлялись ли несанкционированные подключения.

Результат КТЭ: Экспертами проанализированы журналы сервера, логи сетевого оборудования. Установлены IP-адреса подключений, не соответствующие легитимным пользователям. Выявлена попытка подбора пароля.

Экспертная логика: Анализ сетевых журналов и логов позволяет установить факты несанкционированного доступа и идентифицировать источник подключения.

Кейс 11: Исследование данных с видеорегистратора

Фабула: По делу о ДТП требовалось установить, какие видеозаписи имеются на карте памяти автомобильного видеорегистратора, а также установить дату, время и скорость движения транспортного средства в момент события.

Результат КТЭ: Экспертами создан побитовый образ карты памяти, проведён анализ файловой системы. Обнаружены видеозаписи в формате .MP4, восстановлены удалённые фрагменты. Проанализированы метаданные файлов: дата, время, координаты GPS (при наличии), скорость. Установлено, что запись велась непрерывно, зафиксирован момент резкого торможения.

Экспертная логика: Видеорегистраторы хранят не только видео, но и метаданные (время, координаты, скорость). Анализ этих данных позволяет реконструировать обстоятельства ДТП. Важно учитывать возможность циклической перезаписи, при которой старые файлы могут быть утеряны.

---

Кейс 12: Анализ данных с банковских терминалов и POS-систем

Фабула: Расследование дела о мошенничестве с банковскими картами. Требовалось установить, какие транзакции проводились через конкретный POS-терминал, и имеются ли признаки несанкционированного вмешательства в его работу.

Результат КТЭ: Экспертами исследована память POS-терминала, проанализированы журналы транзакций. Установлено, что в определённые периоды проводились операции без физического предъявления карты (признак скимминга). Обнаружено вредоносное ПО, модифицирующее данные транзакций перед отправкой в банк.

Экспертная логика: POS-терминалы являются специализированными устройствами, но принципы их исследования аналогичны компьютерным. Ключевым является анализ журналов и выявление аномалий в последовательности операций.

---

Кейс 13: Восстановление данных после форматирования жёсткого диска

Фабула: По делу о хищении интеллектуальной собственности обвиняемый утверждал, что жёсткий диск был отформатирован задолго до изъятия и не содержит значимой информации.

Результат КТЭ: Экспертами проведён анализ файловой системы. Установлено, что форматирование было выполнено за 2 дня до изъятия. С использованием методов восстановления данных (анализ MFT, журналов, нераспределённого пространства) восстановлены тысячи файлов, включая исходный код, техническую документацию, переписку.

Экспертная логика: Форматирование не уничтожает данные физически — оно лишь изменяет записи в файловой системе. Восстановление возможно, если поверх данных не производилась запись. Ключевым является как можно более раннее создание образа.

---

Кейс 14: Исследование программы для нелегального оборота наркотиков

Фабула: Дело о распространении наркотиков через даркнет. Требовалось установить функциональное назначение программы, обнаруженной на компьютере обвиняемого.

Результат КТЭ: Экспертами проведён анализ исполняемых файлов, исходного кода (при наличии), сетевой активности. Установлено, что программа является клиентом для доступа к торговой площадке в сети Tor. Выявлены функции шифрования, анонимизации, автоматического размещения заказов.

Экспертная логика: Исследование специализированного ПО требует знаний в области криптографии и сетевых технологий. Анализ функционального назначения позволяет квалифицировать программу как инструмент для совершения преступлений.

---

Кейс 15: Установление факта кибербуллинга

Фабула: Дело о доведении до самоубийства несовершеннолетней. Требовалось установить содержание сообщений, поступавших на телефон потерпевшей, и идентифицировать отправителя.

Результат КТЭ: Экспертами исследована память мобильного телефона, восстановлены удалённые сообщения из мессенджеров и социальных сетей. Установлены учётные записи отправителя, IP-адреса, использованные для входа. Выявлена хронология травли, продолжавшейся несколько месяцев.

Экспертная логика: Восстановление удалённых сообщений и метаданных позволяет установить факты систематического психологического давления. Идентификация отправителя возможна через анализ учётных записей и сетевых подключений.

---

Кейс 16: Исследование программы для обхода защиты банковской системы

Фабула: Дело о неправомерном доступе к банковской информационной системе. Требовалось установить, использовалось ли специальное ПО для обхода систем защиты.

Результат КТЭ: Экспертами обнаружены исполняемые файлы с признаками эксплойтов. Проведён анализ кода, выявлены функции эксплуатации уязвимостей, обхода антивирусной защиты, маскировки под легитимные процессы. Установлено, что программа предназначена для несанкционированного доступа к банковским счетам.

Экспертная логика: Эксплойты — это программы, использующие уязвимости для несанкционированного доступа. Их анализ требует глубоких знаний в области информационной безопасности. Выводы экспертов являются ключевыми для квалификации деяния.

---

Кейс 17: Анализ данных с GPS-трекеров

Фабула: По делу о незаконном наблюдении требовалось установить, какие GPS-трекеры использовались, и какие данные о перемещениях они фиксировали.

Результат КТЭ: Экспертами исследованы данные с серверов GPS-трекинга, восстановлены записи о местоположении, времени, скорости. Установлено, что трекеры были установлены на автомобилях потерпевших и фиксировали их перемещения в течение нескольких месяцев. Идентифицированы устройства и учётные записи, с которых осуществлялся доступ к данным.

Экспертная логика: GPS-трекеры хранят данные на серверах производителей. Их исследование требует взаимодействия с облачными сервисами и анализа сетевого трафика. Ключевым является установление связи между устройствами и учётными записями.

---

Кейс 18: Исследование программы для автоматического создания ботов

Фабула: Дело о накрутке голосов в интернет-голосовании. Требовалось установить, использовалось ли специальное ПО для автоматического создания учётных записей и голосования.

Результат КТЭ: Экспертами обнаружены скрипты, предназначенные для автоматического создания аккаунтов и отправки голосов. Проанализированы журналы работы программы, установлено количество созданных аккаунтов, IP-адреса, использованные для голосования. Выявлены признаки использования прокси-серверов для маскировки.

Экспертная логика: Автоматизированные скрипты оставляют характерные следы в логах и сетевом трафике. Их анализ позволяет установить факт накрутки и идентифицировать источник атаки.

---

Кейс 19: Анализ данных с облачного хранилища после удаления аккаунта

Фабула: Дело о распространении экстремистских материалов. Обвиняемый утверждал, что удалил свой аккаунт в облачном сервисе и не имеет доступа к материалам.

Результат КТЭ: Экспертами направлены запросы в облачный сервис, получены данные о загрузках файлов, IP-адресах, времени сессий. Установлено, что аккаунт был удалён, но данные о загрузках сохранились в резервных копиях и журналах сервиса. Восстановлены сведения о файлах, загруженных до удаления.

Экспертная логика: Облачные сервисы хранят метаданные даже после удаления аккаунта. Взаимодействие с провайдером и анализ журналов позволяют восстановить историю активности пользователя.

---

Кейс 20: Исследование программы для майнинга криптовалют

Фабула: Дело о неправомерном использовании вычислительных ресурсов. Требовалось установить, использовалось ли ПО для скрытого майнинга криптовалют на серверах организации.

Результат КТЭ: Экспертами обнаружены исполняемые файлы майнера, проанализированы журналы его работы. Установлено, что майнер был установлен без ведома администрации, использовал значительные вычислительные ресурсы, подключался к пулу для добычи криптовалюты. Идентифицирован кошелёк, на который поступала добытая валюта.

Экспертная логика: Скрытый майнинг оставляет следы в виде повышенной нагрузки на процессор, сетевой активности, специфических процессов. Анализ этих артефактов позволяет установить факт неправомерного использования ресурсов.

---

Итоговое обобщение по всем кейсам

Анализ двадцати кейсов позволяет выделить универсальные элементы методики КТЭ, применимые независимо от конкретного типа устройства или данных:

1. Обеспечение сохранности данных — создание побитовых образов, фиксация хеш-сумм, работа только с копиями.
2. Анализ файловой системы — исследование структуры разделов, таблиц размещения файлов, журналов.
3. Восстановление удалённых данных — анализ нераспределённого пространства, MFT, журналов.
4. Анализ метаданных — даты, время, владельцы, устройство создания, EXIF-данные.
5. Анализ системных журналов — журналы Windows, логи приложений, сетевые журналы.
6. Исследование сетевой активности — IP-адреса, DNS-запросы, cookies, кэш браузера.
7. Анализ программного обеспечения — функциональное назначение, сигнатуры, поведение.
8. Исследование мобильных устройств — извлечение данных из памяти, анализ приложений.
9. Взаимодействие с облачными сервисами — запросы к провайдерам, анализ метаданных.
10. Документирование результатов — протоколы, скриншоты, контрольные суммы.

Каждый кейс демонстрирует, что КТЭ требует не только технических знаний, но и понимания юридического контекста, умения работать с доказательствами и способности формулировать выводы, понятные суду. Только системный подход к исследованию цифровых следов позволяет обеспечить объективность, полноту и доказательственную ценность экспертного заключения.

Обобщение: универсальные элементы методики

---

6. Судебная или независимая экспертиза: все за и против

6.1. Судебная экспертиза

🟢 Плюсы и преимущества:

1. Процессуальная легитимность. Заключение судебной экспертизы является полноценным доказательством по делу, полученным в установленном законом порядке.

2. Обязательность для сторон. Следователь или суд вправе обязать подэкспертного предоставить устройство для исследования.

3. Широкие права сторон по контролю. Стороны могут знакомиться с постановлением, заявлять отводы, вносить дополнительные вопросы.

4. Институциональная инфраструктура. Государственные экспертные учреждения обладают отработанной методологией и стандартизированными процедурами.

5. Бесплатность для участников (в уголовном процессе).

🔴 Минусы и риски:

1. Монополизм и перегруженность государственных учреждений.

2. Ограничения в выборе эксперта.

3. Потенциальная зависимость экспертов.

4. Специфика предметной области — быстрая устареваемость знаний требует постоянного обновления методик.

5. Техническая оснащённость государственных лабораторий не всегда соответствует современным требованиям.

6.2. Независимая экспертиза

🟢 Плюсы и преимущества:

1. Свобода выбора эксперта — привлечение узких специалистов.

2. Скорость выполнения.

3. Индивидуальный подход.

4. Возможность приобщения до назначения судебной экспертизы.

5. Современное техническое оснащение — коммерческие лаборатории часто лучше оснащены.

🔴 Минусы и риски:

1. Отсутствие процессуального статуса доказательства.

2. Риск непризнания судом.

3. Финансовые затраты.

4. Риск манипуляции — «заказной» характер.

5. Ограниченный доступ к материалам дела.

6.3. Сравнительная таблица

6.4. Стратегические рекомендации

Когда целесообразна судебная экспертиза:

• Требуется процессуально безупречное доказательство.

• Необходим доступ ко всем материалам дела.

• Финансовые ресурсы ограничены.

• Требуется принудительное изъятие устройств.

Когда целесообразна независимая экспертиза:

• Требуется альтернативное мнение.

• Важна скорость.

• Необходим узкий специалист по конкретной технологии.

• Существует риск необъективности государственного учреждения.

• Требуется современное специализированное ПО.

Оптимальная стратегия: сочетание обеих форм. Независимое обследование до назначения судебной экспертизы позволяет собрать дополнительные данные и обеспечить более полную информационную базу.

---

7. Примеры вопросов на КТЭ

7.1. Общие принципы формулирования вопросов

1. Разграничение компетенций — вопросы должны соответствовать специальным знаниям эксперта в области IT.

2. Конкретность — привязка к конкретным файлам, устройствам, временным периодам.

3. Отсутствие правовых вопросов — эксперт не решает вопрос о виновности.

4. Техническая корректность — вопросы должны быть сформулированы на языке, понятном IT-специалисту.

5. Учёт момента исследования — вопросы о состоянии на момент изъятия и на момент исследования.

7.2. Типовые вопросы при исследовании носителей информации

1. Содержит ли данный носитель информации какие-либо данные?

2. В каком формате содержатся данные на носителе?

3. Файлы какого типа содержатся на представленном для анализа носителе данных?

4. Имеются ли на данном накопителе данных какие-либо средства защиты от копирования или несанкционированного доступа?

5. Присутствуют ли на анализируемых носителях зашифрованные, скрытые, защищённые паролем или удалённые данные?

6. Какова хронология действий пользователя относительно определённого процесса?

7. Какие программные продукты, предназначенные для решения определённой задачи, присутствуют в представленном персональном компьютере?

8. Какие данные, содержащиеся в представленных для проведения экспертизы документах, находятся в компьютерной системе?

9. Каким образом организован механизм доступа к содержащимся на носителе данным?

10. Каков перечень имеющихся в исследуемом компьютере файлов?

7.3. Типовые вопросы при исследовании мобильных телефонов

1. Какая пользовательская информация имеется на представленных мобильных телефонах?

2. Какое программное обеспечение установлено в представленных на исследование мобильных телефонах?

3. Какие сообщения, созданные в программах обмена мгновенными сообщениями, имеются в памяти представленных на исследование мобильных телефонов?

4. Какие сведения о соединениях между абонентами (звонки, SMS-сообщения) имеются в памяти представленных на исследование мобильных телефонов и СИМ-карт?

5. Какие почтовые сообщения имеются в памяти представленных на исследование мобильных телефонов?

6. Какие сведения о посещении Интернет-ресурсов имеются в памяти представленных на исследование мобильных телефонов?

7. Какая иная пользовательская информация (геолокации, пользовательские графические файлы и видеозаписи) имеются в памяти представленных на исследование мобильных телефонов?

8. Какие данные о пользователях (имена, учётные записи) представленных на исследования мобильных телефонов имеются в их памяти?

9. Имеются ли в памяти устройств пользовательская информация или файлы, созданные или изменённые после ________ года?

10. Имеется ли среди программного обеспечения программное обеспечение с признаками вредоносности? Если да, то какие функциональные особенности имеются у выявленного программного обеспечения?

7.4. Типовые вопросы при исследовании сетевой активности

1. Имеется ли на представленных на исследование электронных носителях информация, содержащая определённые ключевые слова?

2. Имеется ли на представленных на исследование электронных носителях информация о работе пользователя с указанным программным обеспечением?

3. Подключались ли внешние носители информации к данному компьютерному оборудованию? Производились ли какие-либо операции с данными (копирование, удаление файлов)? Загружались ли сторонние файлы или программы на компьютер или другое исследуемое устройство?

4. Какое программное обеспечение установлено на компьютер?

5. Соответствует ли разработанный программный продукт требованиям ТЗ, нормативным и техническим требованиям, предъявляемым заказчиком к продукту?

6. Какие сведения о дате и времени работы того или иного программного обеспечения имеются в памяти компьютерного оборудования или систем?

7. Какие сведения о работе в сети Интернет имеются на исследуемом компьютерном оборудовании?

8. Имеются ли на исследуемом оборудовании сведения о работе с Интернет-мессенджерами, электронной почтой, в социальных сетях? Если да, то имеются ли сведения об учётных записях (аккаунтах, логинах) и паролях?

9. Имеются ли на исследуемом оборудовании сведения о работе с онлайн-банками в определённый временной период?

7.5. Типичные ошибки при формулировании вопросов

7.6. Рекомендации по формулированию вопросов

1. Привязывайте к конкретным файлам и периодам — вместо общих вопросов о содержимом носителя.

2. Указывайте формат данных — какие расширения файлов интересуют.

3. Разграничивайте технические и правовые аспекты — эксперт не оценивает доказательственное значение.

4. Консультируйтесь со специалистами — перед формулированием вопросов целесообразно проконсультироваться с IT-экспертом.

5. Учитывайте возможности исследования — некоторые данные могут быть безвозвратно утеряны.

---

8. Рецензирование заключения КТЭ

8.1. Правовые основания и цель рецензирования

Заключение эксперта оценивается судом по общим правилам оценки доказательств (ст. 88 УПК РФ, ст. 67 ГПК РФ). Согласно ст. 8 Федерального закона «О государственной судебно-экспертной деятельности», заключение должно отвечать требованиям объективности, полноты, всесторонности и научной обоснованности.

Цель рецензирования:

• Установить соответствие заключения требованиям научной обоснованности.

• Выявить методологические, методические и логические ошибки.

• Подготовить основания для ходатайства о дополнительной или повторной экспертизе.

8.2. Основные направления рецензирования

Процессуальные аспекты:

• Компетентность экспертов в области IT.

• Соблюдение прав участников.

• Полнота ответов на поставленные вопросы.

Методологические аспекты:

• Соответствие методов задачам исследования.

• Достаточность использованных инструментов.

• Научная обоснованность — апробированность методик.

Содержательные аспекты:

• Полнота анализа материалов дела.

• Корректность работы с цифровыми доказательствами (обеспечение сохранности, создание образов).

• Обоснованность выводов.

Оформление и логика:

• Структура заключения.

• Ясность и однозначность формулировок.

• Логическая связь между исследовательской частью и выводами.

8.3. Специфика рецензирования КТЭ

Оценка сохранности цифровых доказательств:

• Создавался ли образ носителя перед исследованием?

• Обеспечена ли неизменность исходных данных?

• Фиксировались ли контрольные суммы?

Оценка использованных инструментов:

• Являются ли использованные программы сертифицированными?

• Соответствуют ли методы современному уровню науки?

• Воспроизводимы ли результаты?

Оценка выводов:

• Вытекают ли выводы из проведённых исследований?

• Учтены ли альтернативные объяснения?

• Указаны ли ограничения исследования?

8.4. Типичные ошибки и недостатки

Методологические ошибки:

Логические ошибки:

Процессуальные ошибки:

8.5. Структура рецензии

1. Вводная часть — сведения о рецензенте, о заключении, основания.

2. Анализ процессуальных аспектов — компетентность, соблюдение прав.

3. Анализ методологии — использованные методы, инструменты, обоснованность.

4. Анализ содержания — полнота, корректность, обоснованность выводов.

5. Анализ оформления — структура, ясность, логика.

6. Выводы рецензента — оценка, перечень недостатков, рекомендации.

8.6. Процессуальное значение рецензии

Рецензия не является доказательством. Она представляет собой мнение специалиста (ст. 58 УПК РФ, ст. 188 ГПК РФ) и может быть использована для:

1. Обоснования ходатайства о дополнительной или повторной экспертизе.

2. Постановки вопросов перед экспертом при допросе.

3. Аргументации позиции стороны в прениях.

Важно: Суд не обязан принимать рецензию во внимание. Однако качественная рецензия, выявляющая существенные методологические ошибки, часто становится основанием для назначения повторной экспертизы.

8.7. Критерии оценки качества заключения КТЭ

8.8. Практические рекомендации для рецензента

1. Изучите постановление — соотнесите вопросы с ответами.

2. Проверьте структуру заключения.

3. Оцените методологию — соответствуют ли инструменты задачам.

4. Проверьте сохранность данных — создавался ли образ носителя.

5. Проанализируйте логику — вытекают ли выводы из данных.

6. Выявите противоречия.

7. Сформулируйте выводы — какие ошибки выявлены.

8. Подготовьте рекомендации — конкретные процессуальные действия.

---

9. Стоимость проведения КТЭ

Стоимость КТЭ не является фиксированной величиной и определяется индивидуально в каждом конкретном случае.

9.1. Факторы, определяющие стоимость

1. Сложность экспертного случая — объём носителя, необходимость восстановления данных, исследование вредоносного ПО.

2. Формат проведения:

   • Амбулаторная экспертиза — исследование в экспертном учреждении.

   • Выездная экспертиза — на месте нахождения оборудования.

3. Объём материалов — количество носителей, объём данных.

4. Количество специалистов — в сложных случаях привлекаются эксперты разных специализаций.

5. Срочность выполнения — срочные экспертизы оцениваются по повышенному тарифу.

6. Регион — Москва и Санкт-Петербург дороже, чем регионы.

7. Дополнительные услуги:

   • Выезд эксперта в суд.

   • Создание образов носителей.

   • Привлечение узких специалистов (сетевые технологии, мобильные устройства).

9.2. Ориентировочные цены

Москва:

Региональные учреждения:

Примечание: Точная стоимость определяется после ознакомления с постановлением и материалами дела.

9.3. Что входит в стоимость

1. Изучение материалов дела — постановления, протоколов осмотра.

2. Создание образов носителей — обеспечение сохранности исходных данных.

3. Исследование данных — поиск, анализ, восстановление информации.

4. Работа экспертной комиссии — коллегиальное обсуждение.

5. Составление заключения — оформление результатов.

Дополнительно оплачиваются:

• Выезд эксперта в суд.

• Срочность выполнения.

• Привлечение узких специалистов.

9.4. Особенности ценообразования в судебной и независимой экспертизе

Судебная экспертиза:

• Для участников уголовного процесса — бесплатна (расходы несёт государство).

• В гражданском процессе — расходы распределяются судом.

• Тарифы государственных учреждений — фиксированные, ниже рыночных.

• Ограничение: перегруженность и длительные сроки.

Независимая экспертиза:

• Оплачивается заказчиком.

• Стоимость выше, включает коммерческую составляющую.

• Преимущества: скорость, индивидуальный подход, свобода выбора эксперта.

9.5. Практические рекомендации

Для адвоката (защитника):

1. Запрашивайте смету заранее.

2. Учитывайте объём данных — чем больше носителей, тем выше цена.

3. Рассмотрите альтернативу — государственная экспертиза может быть бесплатной.

4. Планируйте дополнительные расходы.

Для стороны, инициирующей независимую экспертизу:

1. Получите несколько коммерческих предложений.

2. Уточните, что входит в стоимость.

3. Спросите о сроках.

4. Проверьте квалификацию экспертов.

9.6. Сравнительная таблица: судебная vs независимая экспертиза (стоимость)

9.7. Заключение

Стоимость компьютерно-технической экспертизы — величина переменная, зависящая от сложности случая, количества и объёма носителей, необходимости восстановления данных, региона. Государственные учреждения предлагают более низкие цены, но с длительными сроками. Независимые экспертные организации обеспечивают скорость и индивидуальный подход, но стоимость выше. При планировании бюджета необходимо учитывать дополнительные расходы и запрашивать точную смету до начала работы.

---

10. Нормативно-правовое регулирование КТЭ

10.1. Федеральные законы

• УПК РФ — ст. 195–207 (назначение и производство экспертизы), ст. 164 (общие правила следственных действий), ст. 166 (протокол следственного действия).

• ГПК РФ — ст. 79–87 (экспертиза в гражданском процессе).

• АПК РФ — ст. 82–87 (экспертиза в арбитражном процессе).

• КАС РФ — ст. 77–78 (экспертиза в административном процессе).

• ФЗ «О государственной судебно-экспертной деятельности» — базовый закон, регулирующий экспертную деятельность.

• ФЗ «Об информации, информационных технологиях и о защите информации» — регулирует отношения в сфере информации.

• ФЗ «О персональных данных» — регулирует обработку персональных данных.

10.2. Подзаконные акты

• Приказы Минюста России — методические рекомендации по производству экспертиз.

• Ведомственные приказы МВД, ФСБ, СК России — регулируют экспертную деятельность в соответствующих ведомствах.

10.3. Международные стандарты

• ISO/IEC 27037:2012 — руководство по идентификации, сбору, приобретению и сохранению цифровых доказательств.

• ISO/IEC 27041:2015 — руководство по обеспечению пригодности методов исследования.

• ISO/IEC 27042:2015 — руководство по анализу и интерпретации цифровых доказательств.

• SWGDE — Scientific Working Group on Digital Evidence (научная рабочая группа по цифровым доказательствам).

---

11. Этические аспекты КТЭ

11.1. Конфиденциальность

Эксперт получает доступ к значительным объёмам личной информации: переписке, фотографиям, финансовым данным, медицинским records. Соблюдение конфиденциальности является обязательным требованием.

11.2. Минимизация вмешательства

Исследование должно быть минимально инвазивным. Эксперт не должен исследовать данные, не относящиеся к поставленным вопросам.

11.3. Беспристрастность

Эксперт не должен находиться под влиянием сторон. Его выводы должны основываться исключительно на результатах исследования.

11.4. Компетентность

Эксперт должен обладать достаточными знаниями и навыками для проведения исследования. При недостатке компетенции — заявить самоотвод.

---

12. Перспективы развития КТЭ

12.1. Искусственный интеллект

ИИ всё чаще используется как для совершения преступлений (deepfake, автоматизированные атаки), так и для их расследования (анализ больших данных, выявление аномалий).

12.2. Облачные технологии

Всё больше данных хранится в облаках, что создаёт проблемы для их изъятия и исследования (юрисдикция, шифрование, распределённость).

12.3. Шифрование

Сквозное шифрование в мессенджерах и устройствах создаёт серьёзные препятствия для исследования. Эксперты вынуждены искать обходные пути или работать с метаданными.

12.4. Интернет вещей (IoT)

Устройства IoT (умные колонки, камеры, датчики) становятся источниками цифровых доказательств. Их исследование требует новых методик.

12.5. Квантовые вычисления

В перспективе квантовые вычисления могут как создать новые угрозы для шифрования, так и предоставить новые возможности для анализа данных.

---

Общее заключение

Компьютерно-техническая экспертиза представляет собой сложный и динамично развивающийся род судебной экспертизы, требующий интеграции знаний в области информационных технологий, криминалистики и процессуального права. Эффективность КТЭ зависит от:

1. Качества методики — соблюдения последовательности этапов, обоснованности выбора методов, обеспечения сохранности цифровых доказательств.

2. Правильной формулировки вопросов — привязки к конкретным файлам и периодам, разграничения компетенций.

3. Критической оценки заключения — рецензирования, выявления типичных ошибок, обоснования ходатайств о дополнительной или повторной экспертизе.

4. Осознанного выбора формы — судебной или независимой, с учётом их преимуществ и недостатков.

5. Понимания стоимостных факторов — для планирования бюджета и выбора оптимального варианта.

6. Соблюдения этических норм — конфиденциальности, беспристрастности, компетентности.

7. Учёта нормативно-правового регулирования — как национального, так и международного.

8. Готовности к вызовам будущего — ИИ, облака, шифрование, IoT, квантовые вычисления.

Только системный подход к каждому из этих аспектов позволяет обеспечить объективность, полноту и доказательственную ценность экспертного заключения, что в конечном счёте служит интересам правосудия в условиях цифровой эпохи.