Раздел 1. Концептуальные и процессуальные основания судебной компьютерно-технической экспертизы

Судебная компьютерно-техническая экспертиза представляет собой процессуальное действие, состоящее в исследовании экспертом на основе специальных познаний в области информационных технологий и вычислительной техники материальных носителей информации, компьютерных систем и их компонентов, а также информационных процессов, следов и результатов их функционирования, производимое в целях установления обстоятельств, имеющих значение для дела. Указанное определение, будучи доктринальным, отражает сложившееся в отечественной теории судебной экспертизы понимание сущности данного рода исследований, однако нуждается в уточнении применительно к современному этапу развития технических средств и процессуальных форм их использования. Судебная компьютерно-техническая экспертиза в Москве и иных субъектах Российской Федерации назначается и производится в порядке, предусмотренном соответствующими процессуальными кодексами, и занимает особое место в системе судебных экспертиз в силу специфики объекта исследования, каковым выступают не только материальные носители, но и заключенная в них информация, обладающая свойством легкой изменяемости, копируемости и потенциальной скрытности от непосредственного восприятия.

В отличие от традиционных криминалистических экспертиз, объект судебной компьютерно-технической экспертизы не обладает устойчивостью материального следа в привычном понимании. Информация, хранящаяся на цифровом носителе, может быть модифицирована, удалена или сфальсифицирована без видимых физических изменений самого носителя. Это обстоятельство предъявляет повышенные требования к процедуре изъятия, упаковки, транспортировки и хранения объектов, а также к методике их исследования. В частности, обязательным условием допустимости результатов судебной компьютерно-технической экспертизы является обеспечение неизменности исходных данных, что достигается путем создания побитовых образов носителей, вычисления контрольных сумм (хэш-функций) до и после исследования и фиксации этих операций в заключении эксперта и приложениях к нему. Игнорирование указанных требований способно привести к признанию заключения недопустимым доказательством, независимо от содержательной правильности выводов эксперта.

Процессуальная природа судебной компьютерно-технической экспертизы определяется ее местом в системе доказательств. Заключение эксперта по результатам данного исследования выступает самостоятельным видом доказательства, подлежащим оценке наряду с иными доказательствами по делу. Специфика оценки заключается в необходимости проверки не только логической обоснованности выводов и соблюдения процессуальной формы, но и технической корректности примененных методов и инструментов. Суд и участники процесса, не обладая специальными познаниями в области информационных технологий, вынуждены опираться на профессиональные критерии, выработанные экспертной практикой, либо прибегать к помощи специалиста для оценки заключения. В этой связи особое значение приобретает качество и полнота описания исследовательской части заключения, где должны быть отражены последовательность действий эксперта, использованное программное обеспечение (с указанием версий и, при необходимости, контрольных сумм дистрибутивов), а также обоснование выбора методов исследования.

Содержательно судебная компьютерно-техническая экспертиза охватывает широкий спектр задач, дифференцируемых в зависимости от объекта и поставленных вопросов. Аппаратный аспект предполагает исследование технических средств — накопителей на жестких магнитных дисках, твердотельных накопителей, оперативных запоминающих устройств, процессоров, периферийных устройств, мобильных телефонов, планшетных компьютеров, серверного оборудования, а также встраиваемых систем и устройств Интернета вещей. Программный аспект связан с анализом программного обеспечения, включая операционные системы, прикладные программы, вредоносные программы, исходный код и исполняемые файлы, а также с установлением фактов и обстоятельств разработки, модификации и использования программных продуктов. Информационный аспект охватывает исследование собственно информации, хранящейся на носителях и в системах: файлов различных форматов, баз данных, журналов событий, метаданных, сообщений электронной почты, данных мессенджеров, истории браузеров, сведений о сетевых соединениях и иных цифровых следов. Сетевой аспект предполагает анализ сетевой активности, IP-адресации, данных о доменных именах, сетевых протоколах и телеметрии, что особенно востребовано при расследовании преступлений в сфере компьютерной информации и спорах, связанных с оказанием телематических услуг.

Особое значение для теории и практики судебной компьютерно-технической экспертизы имеет разграничение диагностических и идентификационных задач. Диагностические задачи направлены на установление технического состояния объекта, его функциональных возможностей, наличия или отсутствия признаков вредоносного воздействия, причин возникновения сбоев и ошибок. Идентификационные задачи связаны с установлением тождества объекта, например, определением того, что конкретный файл был создан на определенном устройстве, что сообщение отправлено с конкретного аккаунта, что программное обеспечение, обнаруженное на носителе, является модификацией конкретного исходного продукта. Решение идентификационных задач требует применения специализированных методов, включая анализ хэш-сумм, метаданных, временных меток, артефактов файловых систем и журналов операционной системы. Корректность постановки вопросов перед экспертом напрямую влияет на возможность решения указанных задач и, следовательно, на доказательственную ценность заключения.

В условиях расширения сферы применения цифровых технологий судебная компьютерно-техническая экспертиза выходит за пределы исключительно уголовного судопроизводства. Она востребована в гражданском и арбитражном процессе при разрешении споров о качестве программного обеспечения, о защите деловой репутации в сети Интернет, о нарушении исключительных прав на результаты интеллектуальной деятельности, о взыскании убытков, вызванных сбоями информационных систем, а также в административном судопроизводстве. Универсальность объекта исследования — компьютерной информации — обусловливает межотраслевой характер института судебной компьютерно-технической экспертизы, что, в свою очередь, требует от эксперта не только технической квалификации, но и понимания процессуальных особенностей соответствующего вида судопроизводства, включая сроки, порядок взаимодействия с судом и сторонами, требования к форме и содержанию заключения.

Организационно-правовые аспекты назначения и производства рассматриваемого вида экспертизы связаны с выбором экспертного учреждения или конкретного эксперта. Законодательство допускает производство судебной экспертизы как в государственных судебно-экспертных учреждениях, так и в негосударственных организациях и частными экспертами, обладающими необходимой квалификацией. Выбор конкретного эксперта или учреждения относится к усмотрению органа или лица, назначившего экспертизу, однако при этом должны учитываться сложность задач, наличие необходимой приборной базы и программного обеспечения, а также сроки производства. Независимость эксперта, отсутствие ведомственной или иной заинтересованности в исходе дела выступают гарантиями объективности заключения. В этой связи представляется обоснованной практика привлечения к производству судебной компьютерно-технической экспертизы специализированных негосударственных экспертных организаций, располагающих современным оборудованием и штатом экспертов, специализирующихся на различных аспектах компьютерно-технических исследований.

Соискание квалифицированной экспертной поддержки целесообразно осуществлять через профессиональные объединения судебных экспертов, обеспечивающие контроль качества и соблюдение методических требований. Союз «Федерация судебных экспертов» объединяет специалистов в различных областях судебной экспертизы, включая компьютерно-техническую, и предоставляет возможность получения экспертных заключений, соответствующих процессуальным требованиям и современному уровню развития технических знаний. Стоимость производства судебной компьютерно-технической экспертизы начинается от 20 000 рублей и определяется в зависимости от сложности объекта, количества поставленных вопросов и объема исследуемой информации. Выезд эксперта на место осмотра объекта, например, для исследования серверного оборудования, размещенного в дата-центре или офисе организации, оплачивается дополнительно. В случаях, когда стороне спора требуется не только экспертное заключение, но и представительство в суде, юридические услуги оказываются юристами, специализирующимися на ведении дел, связанных с цифровыми доказательствами, что обеспечивает комплексную защиту интересов клиента на всех стадиях процесса.

Таким образом, концептуальные и процессуальные основания судебной компьютерно-технической экспертизы образуют сложную систему, включающую доктринальное понимание ее сущности, процессуальные нормы, определяющие порядок назначения и допустимость результатов, а также организационно-технические условия, обеспечивающие качество исследования. Дальнейшее изложение будет посвящено практическим аспектам назначения и производства данного вида экспертизы, анализу типичных объектов и методов их исследования, а также иллюстрации теоретических положений конкретными примерами из экспертной практики.

Раздел 2. Объекты судебной компьютерно-технической экспертизы и методы их исследования

Объекты судебной компьютерно-технической экспертизы характеризуются значительным разнообразием, обусловленным многообразием технических средств, программных продуктов и информационных массивов, вовлекаемых в орбиту судопроизводства. Систематизация объектов имеет не только теоретическое, но и практическое значение, поскольку от отнесения объекта к определенной категории зависит выбор методов исследования, требуемая квалификация эксперта и перечень вопросов, которые могут быть разрешены в рамках конкретной экспертизы. В научной литературе и экспертной практике утвердилось деление объектов на аппаратные, программные, информационные и комбинированные, хотя границы между указанными категориями подвижны, а комплексный характер современных информационных систем зачастую требует одновременного исследования объектов нескольких категорий.

Аппаратные объекты составляют материальную основу для хранения и обработки информации. К ним относятся накопители на жестких магнитных дисках (HDD), твердотельные накопители (SSD), внешние запоминающие устройства, флеш-карты, оптические диски, оперативные запоминающие устройства, а также вычислительные устройства в целом: персональные компьютеры, ноутбуки, планшеты, смартфоны, серверы, сетевые маршрутизаторы, коммутаторы, межсетевые экраны, устройства Интернета вещей и встраиваемые контроллеры. Исследование аппаратных объектов предполагает установление их технических характеристик, работоспособности, комплектности, наличия следов вскрытия или модификации, а также извлечение содержащейся на них информации. Специфика работы с аппаратными объектами состоит в необходимости обеспечения их сохранности: любые действия, связанные с подключением устройства к экспертной станции, должны производиться с использованием блокираторов записи, исключающих случайное или намеренное изменение исходных данных. Для устройств, находящихся в неработоспособном состоянии, может потребоваться применение методов низкоуровневого доступа, включая прямое считывание микросхем памяти или использование технологических интерфейсов, что требует специального оборудования и квалификации.

Программные объекты включают операционные системы, прикладное программное обеспечение, утилиты, драйверы, вредоносные программы, исходный код программных продуктов, исполняемые файлы и библиотеки. Исследование программных объектов направлено на установление их функционального назначения, авторства, факта модификации, наличия или отсутствия вредоносных свойств, а также на выявление признаков неправомерного использования. Сложность программных объектов определяется их нематериальной природой: программный код может быть подвергнут обфускации, шифрованию, упаковке, что затрудняет его анализ. Для исследования программных объектов применяются методы статического и динамического анализа. Статический анализ предполагает изучение кода без его исполнения (дизассемблирование, декомпиляция, анализ сигнатур), динамический — наблюдение за поведением программы в контролируемой среде (песочнице, виртуальной машине) с фиксацией системных вызовов, сетевой активности и изменений файловой системы. Выбор метода определяется характером поставленных вопросов и особенностями объекта.

Информационные объекты представляют собой собственно информацию, хранящуюся на носителях и в системах. Это файлы различных форматов (текстовые документы, электронные таблицы, изображения, аудио- и видеозаписи, архивы), базы данных, журналы событий операционной системы и приложений, метаданные файлов, сообщения электронной почты, данные мессенджеров, история браузеров, закладки, cookies, кэш, а также удаленные файлы, восстановление которых становится возможным благодаря сохранившимся в файловой системе артефактам. Информационные объекты наиболее многочисленны и разнообразны; именно они несут основную доказательственную нагрузку, поскольку позволяют установить содержание коммуникаций, хронологию событий, факты создания, изменения или удаления документов, а также авторство и источник происхождения информации. Методы исследования информационных объектов включают поиск по ключевым словам и сигнатурам, восстановление удаленных данных (карвинг), анализ временных меток, сопоставление метаданных различных файлов, анализ журналов и баз данных приложений.

Комбинированные объекты представляют собой информационные системы, включающие аппаратные, программные и информационные компоненты, функционирующие в единой связке. Примерами могут служить автоматизированные рабочие места, серверные стойки с установленным программным обеспечением и базами данных, системы электронного документооборота, бухгалтерские информационные системы на платформе «1С», системы управления базами данных, веб-серверы, системы видеонаблюдения. Исследование комбинированных объектов требует комплексного подхода и нередко выходит за рамки компетенции одного эксперта, требуя привлечения специалистов в области сетевых технологий, систем управления базами данных, прикладного программирования. Судебная компьютерно-техническая экспертиза информационных баз «1С» выделяется в отдельное направление, поскольку указанная платформа имеет специфическую архитектуру хранения данных и журналирования операций, что требует применения специальных методик для установления фактов внесения изменений «задним числом», восстановления хронологической последовательности хозяйственных операций и выявления признаков имитации деятельности .

Методологическая основа судебной компьютерно-технической экспертизы включает общенаучные методы (анализ, синтез, сравнение, моделирование, эксперимент) и специальные методы, выработанные в рамках компьютерной криминалистики и судебной экспертизы. К специальным методам относятся создание криминалистических образов носителей информации, обеспечивающее неизменность исходных данных; вычисление и верификация контрольных сумм (MD5, SHA-1, SHA-256); монтаж образов в режиме «только чтение» для исключения модификации; файловый и сигнатурный анализ; восстановление удаленных файлов и разделов; анализ журналов операционной системы и приложений; анализ метаданных; корреляционный анализ временных меток; динамический анализ поведения программ в изолированной среде. Выбор конкретного набора методов определяется характером объекта и поставленными вопросами, однако обязательным требованием является документирование всех действий эксперта и применяемых инструментов, что обеспечивает воспроизводимость исследования и возможность его проверки.

Отдельного внимания заслуживает вопрос о применении инструментальных средств. Программное обеспечение, используемое при производстве судебной компьютерно-технической экспертизы, подразделяется на специализированное криминалистическое (EnCase Forensic, FTK Imager, Autopsy, Belkasoft Evidence Center, Magnet AXIOM, «Мобильный Криминалист Эксперт») и общесистемное и прикладное (операционные системы, архиваторы, редакторы шестнадцатеричных кодов, средства разработки). Применение специализированного программного обеспечения предпочтительно, поскольку оно обеспечивает документирование действий, расчет контрольных сумм и формирование отчетов, пригодных для приобщения к заключению. Вместе с тем эксперт вправе использовать и иные инструменты, если их применение методически обосновано и не приводит к изменению исследуемых объектов. В заключении должны быть указаны наименования и версии использованных программ, а в необходимых случаях — их контрольные суммы, что позволяет исключить подмену инструмента и обеспечить доверие к результатам.

Практика показывает, что значительная часть проблем, с которыми сталкиваются эксперты при производстве судебной компьютерно-технической экспертизы, связана не с технической сложностью исследования, а с дефектами объектов, поступивших на экспертизу. К типичным дефектам относятся: нарушение процедуры изъятия, приведшее к изменению информации; ненадлежащая упаковка и транспортировка, повлекшая повреждение носителей; отсутствие сведений о состоянии объекта на момент изъятия; неполнота исходных данных, необходимых для ответа на поставленные вопросы; отсутствие паролей доступа к зашифрованным контейнерам и учетным записям. Указанные дефекты не всегда являются неустранимыми, однако их наличие снижает доказательственную ценность заключения или делает невозможным решение поставленных задач. В этой связи представляется целесообразным привлечение специалиста (эксперта) уже на стадии изъятия объектов, что позволяет обеспечить соблюдение технических требований и процессуальных норм.

Объекты судебной компьютерно-технической экспертизы продолжают эволюционировать вместе с развитием технологий. Если еще два десятилетия назад основными объектами являлись стационарные персональные компьютеры и жесткие диски, то в настоящее время все большее значение приобретают мобильные устройства (смартфоны, планшеты), устройства Интернета вещей, облачные хранилища и распределенные информационные системы. Указанная тенденция требует от экспертов постоянного совершенствования квалификации и освоения новых методов, а от организаторов экспертной деятельности — обеспечения соответствующей приборной и программной базы. Союз «Федерация судебных экспертов» уделяет внимание подготовке экспертов по современным направлениям компьютерно-технических исследований, что позволяет обеспечивать высокое качество экспертиз по наиболее сложным и актуальным категориям дел.

Раздел 3. Практические аспекты назначения и производства судебной компьютерно-технической экспертизы

Назначение судебной компьютерно-технической экспертизы является процессуальным действием, эффективность которого во многом определяется качеством подготовки материалов, формулировкой вопросов и выбором экспертного учреждения. Практика показывает, что значительная часть трудностей, возникающих при производстве экспертизы, обусловлена недостатками, допущенными на стадии назначения. К числу наиболее распространенных недостатков относятся: некорректная постановка вопросов, выходящих за пределы компетенции эксперта или сформулированных в форме, не позволяющей дать однозначный ответ; неполнота представленных объектов и материалов, необходимых для решения поставленных задач; отсутствие сведений о состоянии объектов на момент изъятия; нарушение процедуры изъятия и упаковки, приведшее к утрате или модификации информации.

Подготовка к назначению судебной компьютерно-технической экспертизы предполагает определение круга обстоятельств, подлежащих установлению, и формулирование вопросов, адекватных возможностям экспертного исследования. Вопросы должны быть конкретными, не допускать альтернативных толкований и не требовать правовой оценки. Недопустимо ставить перед экспертом вопросы, решение которых относится к исключительной компетенции суда или следственных органов (например, о виновности лица, о квалификации деяния). Вместе с тем вопросы технического характера должны быть сформулированы таким образом, чтобы ответ на них имел доказательственное значение для дела. Например, вопрос «Имеются ли на представленном носителе файлы, содержащие определенные сведения?» является корректным и позволяет эксперту применить методы поиска и восстановления информации. Вопрос «Является ли представленная программа вредоносной?» требует уточнения критериев вредоносности, поскольку данное понятие не имеет единого технического определения и может рассматриваться в различных аспектах.

Выбор экспертного учреждения или эксперта осуществляется органом или лицом, назначившим экспертизу, с учетом сложности предстоящего исследования, наличия необходимой приборной базы и программного обеспечения, сроков производства, а также сведений о квалификации и опыте эксперта. Государственные судебно-экспертные учреждения обладают развитой инфраструктурой и штатом экспертов, однако их загрузка может приводить к значительным срокам производства. Негосударственные экспертные организации и частные эксперты нередко обеспечивают более оперативное производство, однако их выбор требует проверки наличия у эксперта соответствующей квалификации и условий для качественного исследования. Союз «Федерация судебных экспертов» предоставляет возможность привлечения экспертов, прошедших профессиональный отбор и располагающих необходимыми компетенциями в области компьютерно-технических исследований, что снижает риски, связанные с недостаточной квалификацией эксперта.

Стоимость производства судебной компьютерно-технической экспертизы зависит от ряда факторов: количества и сложности объектов, объема исследуемой информации, необходимости применения специального оборудования и программного обеспечения, срочности производства. Минимальная стоимость экспертизы в организациях, сотрудничающих с Союзом «Федерация судебных экспертов», начинается от 20 000 рублей. Выезд эксперта на место осмотра объекта оплачивается дополнительно и может быть необходим в случаях, когда объект не может быть транспортирован (например, серверное оборудование, размещенное в дата-центре, или информационная система, функционирование которой не может быть приостановлено). Расходы на производство экспертизы в гражданском и арбитражном процессе, как правило, возлагаются на сторону, заявившую ходатайство о ее назначении, с последующим распределением судебных расходов по правилам соответствующего процессуального кодекса. В уголовном процессе расходы на производство экспертизы в государственных учреждениях финансируются за счет средств федерального бюджета, тогда как привлечение негосударственных экспертов может требовать согласования и несения расходов стороной или иным заинтересованным лицом.

Производство судебной компьютерно-технической экспертизы начинается с изучения поступивших материалов: определения, постановления или иного процессуального документа о назначении экспертизы, объектов исследования, а также сопроводительных документов. Эксперт проверяет целостность упаковки, фиксирует ее состояние и реквизиты, составляет опись поступивших объектов. В случае обнаружения повреждений упаковки или объектов, а также при наличии сомнений в сохранности информации эксперт незамедлительно уведомляет орган или лицо, назначившее экспертизу, и составляет соответствующий акт. Указанные действия имеют важное значение для обеспечения допустимости заключения, поскольку позволяют исключить возможность изменения объектов до начала исследования.

Исследовательская часть экспертизы включает несколько этапов. На подготовительном этапе эксперт создает криминалистический образ носителя информации (побитовую копию), вычисляет контрольные суммы исходного носителя и образа, монтирует образ в режиме «только чтение» на экспертной станции. Указанные операции должны быть документированы с указанием примененных программных средств и полученных значений контрольных сумм. На этапе раздельного исследования эксперт изучает объекты в отдельности: анализирует файловую систему, структуру каталогов, метаданные файлов, журналы операционной системы и приложений, базы данных, а также иные артефакты, имеющие значение для поставленных вопросов. На этапе сравнительного исследования производится сопоставление признаков, выявленных у различных объектов, либо сравнение исследуемого объекта с образцами (эталонами), если это необходимо для решения идентификационных задач. На заключительном этапе эксперт оценивает полученные результаты, формулирует выводы и оформляет заключение.

Заключение эксперта по результатам судебной компьютерно-технической экспертизы должно соответствовать требованиям процессуального законодательства и включать вводную, исследовательскую части и выводы. Вводная часть содержит сведения об эксперте, основании производства экспертизы, объектах и материалах, поступивших на исследование, а также вопросы, поставленные перед экспертом. Исследовательская часть должна быть изложена с достаточной полнотой, позволяющей проверить ход и результаты исследования: описываются состояние объектов, последовательность действий эксперта, примененные методы и программные средства, выявленные признаки и обоснование выводов. Выводы формулируются в виде ответов на поставленные вопросы, при этом эксперт вправе указать на невозможность ответа на вопрос с приведением причин (непригодность объекта, недостаточность исходных данных, выход за пределы компетенции). Заключение подписывается экспертом и заверяется печатью экспертного учреждения (при наличии).

Особого внимания заслуживает взаимодействие эксперта с органом или лицом, назначившим экспертизу, в случаях возникновения вопросов, требующих уточнения или дополнительных материалов. Эксперт вправе ходатайствовать о предоставлении дополнительных материалов, о привлечении других экспертов (при необходимости комплексного исследования), о разъяснении вопросов, не входящих в его компетенцию. Указанные ходатайства должны быть мотивированы и своевременны, поскольку их несвоевременное заявление может привести к необоснованному затягиванию производства. В практике нередки случаи, когда экспертиза назначается без предварительной консультации со специалистом, что приводит к постановке вопросов, не соответствующих возможностям исследования, или к представлению объектов в состоянии, непригодном для исследования. Привлечение специалиста на стадии подготовки к назначению экспертизы позволяет избежать указанных ошибок и повысить эффективность экспертного исследования.

Отдельным аспектом практической деятельности является участие эксперта в судебном заседании для разъяснения заключения. Процессуальное законодательство предусматривает право суда и участников процесса задавать эксперту вопросы, связанные с проведенным исследованием и данным им заключением. Участие эксперта в судебном заседании требует не только технической компетентности, но и умения излагать результаты исследования в доступной для непрофессиональной аудитории форме, не допуская упрощений, искажающих существо выводов. В случае необходимости суд может назначить дополнительную или повторную экспертизу, основания и порядок назначения которых определяются соответствующими процессуальными нормами. Повторная экспертиза поручается другому эксперту или экспертному учреждению, при этом в распоряжение нового эксперта должны быть представлены заключение первичной экспертизы и материалы, послужившие основанием для сомнений в его обоснованности.

Соискание экспертной поддержки в рамках Союза «Федерация судебных экспертов» предоставляет заинтересованным лицам возможность получения квалифицированной помощи на всех стадиях: от консультации по вопросам назначения экспертизы и формулирования вопросов до производства исследования и участия эксперта в судебном заседании. В тех случаях, когда стороне спора требуется представительство в суде, юридические услуги оказываются юристами, специализирующимися на ведении дел, связанных с цифровыми доказательствами и результатами судебных экспертиз. Комплексный подход позволяет обеспечить согласованность технической и правовой позиций и повысить эффективность защиты интересов клиента.

Раздел 4. Кейсы из экспертной практики судебной компьютерно-технической экспертизы

Кейс 1. Исследование жесткого диска по делу о хищении денежных средств с использованием вредоносного программного обеспечения

В производство экспертного учреждения поступил жесткий диск, изъятый у подозреваемого в совершении хищения денежных средств с банковских счетов граждан. Согласно постановлению следователя, на жестком диске могли содержаться следы использования вредоносного программного обеспечения, предназначенного для несанкционированного доступа к системам дистанционного банковского обслуживания. Перед экспертом были поставлены вопросы: имеются ли на представленном носителе файлы, обладающие признаками вредоносных программ; если да, каково их функциональное назначение и позволяют ли они осуществлять несанкционированный доступ к компьютерной информации; имеются ли на носителе следы запуска указанных программ и взаимодействия с удаленными ресурсами.

При поступлении объекта была проверена целостность упаковки, составлена опись, зафиксированы серийный номер и модель накопителя. Экспертом создан побитовый образ носителя с использованием аппаратного блокиратора записи и специализированного программного комплекса, вычислены контрольные суммы образа (SHA-256) до и после создания, значения зафиксированы в протоколе. Образ смонтирован в режиме «только чтение» на экспертной станции. В ходе файлового анализа обнаружены исполняемые файлы, расположенные в каталогах временных файлов и автозагрузки, с именами, имитирующими системные утилиты. Проведен статический анализ обнаруженных файлов: изучена структура исполняемых модулей, строковые константы, импортируемые функции. Установлено наличие функций, характерных для программ удаленного администрирования, включая перехват нажатий клавиш, создание снимков экрана, передачу файлов по сети. Динамический анализ в изолированной среде подтвердил, что при запуске программа устанавливает сетевое соединение с удаленным сервером и передает данные, содержащие учетные данные и фрагменты экранных форм.

Дополнительно исследованы журналы операционной системы и артефакты браузера. Обнаружены записи о запуске исполняемых файлов, временные метки которых коррелируют с периодами совершения хищений, а также история обращений к ресурсам, доменные имена которых совпадают с адресами, зафиксированными в сетевой телеметрии, предоставленной банком. В кэше браузера обнаружены фрагменты страниц, содержащих формы ввода реквизитов доступа. На основании совокупности выявленных признаков эксперт пришел к выводу, что на представленном носителе имеются файлы, обладающие функциональными признаками вредоносного программного обеспечения, предназначенного для несанкционированного доступа к защищенной компьютерной информации; следы запуска указанных файлов и их взаимодействия с удаленными ресурсами присутствуют и могут быть соотнесены с периодами, имеющими значение для дела. Заключение было принято судом в качестве допустимого и достоверного доказательства, положено в основу обвинительного приговора. Судебная компьютерно-техническая экспертиза в данном случае позволила установить не только факт наличия вредоносного кода, но и его функциональную роль в механизме хищения, что имело решающее значение для квалификации деяния.

Кейс 2. Исследование серверного оборудования по спору о качестве выполнения работ по государственному контракту

В арбитражный суд поступило исковое заявление государственного заказчика к исполнителю о взыскании неустойки за нарушение сроков и ненадлежащее качество работ по созданию информационной системы. Ответчик возражал против иска, ссылаясь на то, что работы выполнены в полном объеме и надлежащего качества, а выявленные недостатки обусловлены действиями самого заказчика. Судом по ходатайству истца назначена судебная компьютерно-техническая экспертиза, на разрешение которой поставлены вопросы: соответствует ли фактическое состояние информационной системы требованиям технического задания; какие компоненты системы функционируют некорректно и в чем причина неисправностей; имеются ли в системе следы вмешательства, приведшего к нарушению ее работоспособности.

Объектом исследования выступил серверный блок, изъятый в помещении заказчика, а также предоставленные сторонами документация и резервные копии. Экспертом произведен осмотр серверного оборудования, зафиксированы его конфигурация, модель, серийные номера комплектующих, состояние кабельных подключений. Сервер был отключен от сети, создан образы энергонезависимых носителей (RAID-массива) с использованием аппаратного контроллера. Образы смонтированы в изолированной среде. Анализ журналов операционной системы и прикладного программного обеспечения показал наличие повторяющихся ошибок в работе модуля интеграции с внешней системой, что приводило к периодическим отказам в обработке запросов. Установлено, что конфигурация модуля не соответствует параметрам, предусмотренным техническим заданием: таймауты соединений занижены, механизм повторных попыток отключен, что привело к накоплению очереди необработанных сообщений.

Исследование резервных копий позволило установить, что в определенный период времени в конфигурационные файлы были внесены изменения, не предусмотренные проектной документацией. Временные метки изменений коррелируют с датами, указанными в актах выполненных работ, что свидетельствует о том, что изменения могли быть внесены исполнителем в ходе сдачи-приемки. Дальнейший анализ показал, что указанные изменения не были документированы и не согласованы с заказчиком. Эксперт пришел к выводу, что часть выявленных неисправностей обусловлена несоответствием конфигурации системы требованиям технического задания, а часть — внесенными изменениями, не предусмотренными проектом. Заключение эксперта было использовано судом для разграничения ответственности сторон и определения объема некачественно выполненных работ. Судебная компьютерно-техническая экспертиза в данном деле позволила преодолеть конфликт технических позиций сторон и установить объективные причины неработоспособности системы, что способствовало принятию законного и обоснованного решения.

Кейс 3. Исследование мобильного устройства по делу о распространении сведений, порочащих деловую репутацию

В суд общей юрисдикции поступило исковое заявление организации о защите деловой репутации, в котором истец требовал признать не соответствующими действительности сведения, распространенные ответчиком в мессенджере, и обязать ответчика опровергнуть указанные сведения. В обоснование требований истец ссылался на скриншоты переписки, представленные в материалы дела. Ответчик оспаривал подлинность скриншотов, утверждая, что они могли быть сфабрикованы. Судом назначена судебная компьютерно-техническая экспертиза, перед экспертом поставлены вопросы: имеются ли на представленном мобильном устройстве сообщения, содержащие сведения, указанные истцом; соответствуют ли представленные скриншоты содержанию переписки, обнаруженной на устройстве; возможно ли установить дату и время отправки сообщений.

Объектом исследования выступил смартфон, принадлежащий ответчику, изъятый в ходе обеспечения доказательств. Экспертом произведен осмотр устройства, зафиксированы его модель, серийный номер, состояние экрана и корпуса, версия операционной системы. С использованием специализированного программного комплекса для исследования мобильных устройств создан физический образ памяти устройства, вычислены контрольные суммы. Образ смонтирован в изолированной среде; произведен анализ файловой системы, баз данных мессенджера, кэша и журналов. Обнаружены базы данных, содержащие историю переписки, включая текстовые сообщения, вложения и служебные метки. Извлечены сообщения, содержащие сведения, указанные истцом, с определением идентификаторов отправителя и получателя, а также временных меток отправки и доставки. Установлено, что временные метки соответствуют часовому поясу устройства и коррелируют с иными событиями в журналах системы.

Сопоставление содержания обнаруженных сообщений с представленными скриншотами показало их текстовое совпадение, однако оформление скриншотов отличалось от интерфейса мессенджера на момент, указанный в исковом заявлении: на скриншотах присутствовали элементы, характерные для более поздней версии приложения, а также отсутствовали некоторые служебные отметки, отображаемые в обнаруженных базах данных. Эксперт пришел к выводу, что обнаруженные на устройстве сообщения по содержанию соответствуют представленным скриншотам, однако сами скриншоты не могут рассматриваться как точное отображение интерфейса устройства на указанный период времени и, вероятно, были созданы или обработаны позднее. Заключение эксперта позволило суду критически оценить представленные истцом доказательства и принять решение с учетом установленных обстоятельств. Судебная компьютерно-техническая экспертиза в данном случае продемонстрировала возможности установления не только содержания цифровых коммуникаций, но и признаков модификации визуальных доказательств, что имеет важное значение для оценки достоверности скриншотов, все чаще представляемых в суды в качестве доказательств.

Кейс 4. Исследование информационной базы «1С:Предприятие» по делу о взыскании задолженности

В арбитражный суд обратилось общество с ограниченной ответственностью с иском к контрагенту о взыскании задолженности за поставленные товары. Ответчик возражал против иска, ссылаясь на то, что часть поставок была возвращена, а часть оплачена, и представлял в обоснование выписки из своей информационной базы. Истец оспаривал достоверность выписок, утверждая, что данные могли быть изменены. Судом назначена судебная компьютерно-техническая экспертиза информационной базы «1С:Предприятие», на разрешение эксперта поставлены вопросы: соответствует ли фактическое состояние информационной базы данным, представленным ответчиком; имеются ли признаки внесения изменений в базу данных задним числом; какова хронологическая последовательность отражения хозяйственных операций, имеющих значение для дела.

Объектом исследования выступила информационная база, размещенная на сервере ответчика, а также резервные копии базы за спорный период. Экспертом произведена выгрузка информационной базы в формате, обеспечивающем сохранение структуры и данных, создан образ серверного накопителя, вычислены контрольные суммы. Анализ журнала регистрации операций «1С» позволил установить последовательность действий пользователей, включая даты и время создания, изменения и удаления документов, а также идентификаторы пользователей, совершивших операции. Выявлены записи, свидетельствующие о том, что отдельные документы, датированные более ранними числами, были созданы или изменены в более поздний период, при этом временные метки создания и модификации в журнале не совпадают с датами документов. Установлено также, что ряд документов, отражающих возврат товаров, был создан после даты, указанной в исковом заявлении, и после проведения сверки расчетов, что может свидетельствовать о попытке корректировки данных.

Сопоставление данных информационной базы с первичными документами (товарными накладными, актами сверки), представленными сторонами, показало, что часть операций, отраженных в базе, не подтверждается первичными документами, а часть операций, подтвержденных документами, в базе отсутствует или отражена в иной сумме. Эксперт пришел к выводу, что в информационной базе имеются признаки внесения изменений в данные задним числом, а хронологическая последовательность отражения операций не соответствует фактическому порядку совершения хозяйственных операций, что ставит под сомнение достоверность выписок, представленных ответчиком. Заключение эксперта было положено судом в основу решения об удовлетворении исковых требований. Судебная компьютерно-техническая экспертиза информационных баз «1С» является относительно новым, но востребованным направлением, поскольку позволяет выявлять манипуляции с учетными данными, которые не обнаруживаются при обычной документальной проверке .

Кейс 5. Исследование исходного кода программного продукта по спору о нарушении исключительных прав

В арбитражный суд обратилось ООО «ГАРПИКС» с иском к ГУП «МОСГОРТРАНС» о взыскании задолженности по договору на разработку единой системы топливного баланса. Заказчик отказался от приемки работ, ссылаясь на несоответствие системы требованиям технического задания. В ходе рассмотрения дела возник вопрос о том, является ли представленный результат разработки оригинальным произведением или содержит фрагменты кода, заимствованные из иного программного продукта. Судом назначена судебная компьютерно-техническая экспертиза, перед экспертом поставлены вопросы: соответствует ли представленный исходный код требованиям технического задания; имеются ли в представленном коде фрагменты, тождественные или сходные с кодом иного программного продукта, права на который принадлежат третьему лицу; является ли представленный код результатом самостоятельной разработки.

Объектами исследования выступили исходный код системы, представленный исполнителем в виде архивов, проектная документация, техническое задание, а также исходный код программного продукта, права на который, по утверждению истца, были нарушены. Экспертом произведена инвентаризация файлов исходного кода, определены языки программирования, среды разработки, структура проекта. Проведен статический анализ кода: изучены имена классов, методов и переменных, структура модулей, комментарии, стилистические особенности. Установлено, что значительная часть кода имеет признаки, характерные для автоматически сгенерированного кода (шаблонные конструкции, стандартные имена), что затрудняет идентификацию авторства. Вместе с тем выявлены фрагменты, содержащие нестандартные алгоритмические решения, совпадающие с аналогичными фрагментами в коде истца, включая совпадение имен переменных, последовательности операторов и структуры условных переходов. Статистический анализ совпадений показал, что вероятность случайного совпадения указанных фрагментов крайне низка.

Дополнительно исследованы метаданные файлов, история изменений (при наличии), а также комментарии в коде, содержащие указания на разработчиков и даты. Установлено, что часть файлов содержит комментарии, совпадающие с комментариями в коде истца, включая орфографические ошибки и нестандартные сокращения. Эксперт пришел к выводу, что представленный исходный код содержит фрагменты, тождественные фрагментам кода истца, и что указанные совпадения не могут быть объяснены требованиями технического задания или ограничениями языка программирования; в части соответствия требованиям технического задания установлено, что система реализует предусмотренные функции, однако качество реализации отдельных модулей не позволяет сделать однозначный вывод о полном соответствии. Заключение эксперта позволило суду разрешить спор, однако окончательная правовая квалификация была дана судом с учетом норм гражданского законодательства об интеллектуальной собственности. Судебная компьютерно-техническая экспертиза в данном деле потребовала не только технических знаний, но и понимания критериев оригинальности программного кода, что иллюстрирует сложность задач, стоящих перед экспертами в спорах, связанных с программным обеспечением.

Кейс 6. Исследование устройства Интернета вещей по делу о пожаре

В производство экспертного учреждения поступило устройство «умный дом», изъятое с места пожара в жилом помещении. Следствие рассматривало версии о неисправности электропроводки и о поджоге. Родственники погибшего настаивали на том, что причиной возгорания могла стать неисправность устройства управления отоплением, подключенного к сети. Перед экспертом поставлены вопросы: находится ли представленное устройство в работоспособном состоянии; имеются ли в памяти устройства записи о событиях, предшествовавших пожару; возможно ли установить, какие команды подавались на устройство и кем.

Объектом исследования выступил контроллер «умного дома», включающий модуль управления отопительными приборами, модуль связи по протоколу Wi-Fi и энергонезависимую память. Устройство поступило в обугленном корпусе, однако внутренние компоненты частично сохранились. Экспертом произведена фотофиксация состояния устройства, выполнена разборка с фиксацией расположения компонентов, извлечен модуль энергонезависимой памяти. С использованием программатора произведено считывание дампа памяти, вычислена контрольная сумма. Анализ дампа показал, что в памяти сохранились журналы событий, включая записи о температуре, состоянии реле, командах, полученных по сети. Установлено, что за несколько часов до предполагаемого времени возгорания на устройство поступали команды на включение отопительного прибора на максимальную мощность, при этом датчик температуры передавал значения, соответствующие нормальному режиму. Команды поступали с внешнего IP-адреса, идентификатор устройства в журнале совпадал с идентификатором, указанным в мобильном приложении, привязанном к учетной записи проживавшего в квартире лица.

Дальнейший анализ показал, что незадолго до пожара в журнале появились записи об ошибке датчика температуры и о переходе устройства в режим ручного управления. Причиной ошибки, по заключению эксперта, мог стать как нагрев датчика в результате начавшегося возгорания, так и иные факторы; однозначно установить первопричину не представилось возможным из-за повреждения части компонентов. Вместе с тем эксперт отметил, что последовательность событий, зафиксированная в памяти устройства, не исключает версии о внешнем воздействии на устройство с целью изменения режима его работы. Заключение эксперта было использовано следствием для проверки версий и в конечном счете способствовало установлению картины происшедшего. Судебная компьютерно-техническая экспертиза устройств Интернета вещей представляет собой новое и быстро развивающееся направление, требующее от экспертов знаний в области встраиваемых систем и сетевых протоколов; практика таких исследований пока невелика, однако потребность в них возрастает по мере распространения «умных» устройств.

Кейс 7. Исследование резервных копий и журналов облачного сервиса по делу о нарушении договорных обязательств

Между ООО «Альфа» и ООО «Бета» был заключен договор на оказание услуг по размещению информационных ресурсов в облачном сервисе. В результате сбоя в работе облачного провайдера данные истца были частично утрачены. Истец обратился в арбитражный суд с требованием о взыскании убытков. Ответчик оспаривал размер убытков и утверждал, что истцом не были приняты необходимые меры по резервированию данных. Судом назначена судебная компьютерно-техническая экспертиза, перед экспертом поставлены вопросы: возможно ли восстановление утраченных данных из представленных резервных копий; соответствовала ли конфигурация системы резервирования, использованная истцом, требованиям договора и обычаям делового оборота; имелись ли в журналах облачного сервиса записи, позволяющие установить причины и объем утраты данных.

Объектами исследования выступили резервные копии, предоставленные истцом, а также выгрузки журналов облачного сервиса, предоставленные ответчиком. Экспертом произведена инвентаризация резервных копий, определены их форматы, даты создания, полнота. Установлено, что резервные копии создавались с периодичностью, предусмотренной договором, однако глубина хранения составляла менее предусмотренной, а часть копий оказалась поврежденной. Анализ журналов облачного сервиса показал, что сбой произошел в результате аппаратной ошибки на стороне провайдера, при этом система резервирования провайдера функционировала штатно, однако восстановление из резервных копий провайдера было возможно только на уровне виртуальных машин, а не отдельных файлов, что не соответствовало ожиданиям истца. Эксперт пришел к выводу, что часть утраченных данных могла быть восстановлена из представленных истцом резервных копий при условии их корректного создания, однако повреждение копий и недостаточная глубина хранения не позволяют восстановить данные в полном объеме; вместе с тем конфигурация системы резервирования истца не в полной мере соответствовала рекомендациям, обычно применяемым при работе с облачными сервисами. Заключение эксперта способствовало заключению мирового соглашения, в рамках которого стороны согласовали размер компенсации. Судебная компьютерно-техническая экспертиза в данном деле продемонстрировала возможности исследования облачных инфраструктур, что становится все более актуальным в связи с переводом информационных систем в облачную среду.

Кейс 8. Исследование следов сетевого взаимодействия по делу о неправомерном доступе к компьютерной информации

Органом предварительного следствия расследовалось уголовное дело о неправомерном доступе к охраняемой законом компьютерной информации, совершенном лицом с использованием служебного положения. По версии следствия, обвиняемый, являясь администратором информационной системы организации, осуществил несанкционированный доступ к базе данных, содержащей сведения о клиентах, и скопировал часть информации. Обвиняемый отрицал факт копирования, утверждая, что доступ был обусловлен служебной необходимостью и не сопровождался выгрузкой данных. Перед экспертом поставлены вопросы: имеются ли в журналах информационной системы записи о доступе к базе данных с учетной записи обвиняемого; зафиксированы ли операции копирования или выгрузки данных; возможно ли установить, с какого устройства и по какому сетевому адресу осуществлялся доступ.

Объектами исследования выступили сервер базы данных, коммутатор, а также журналы межсетевого экрана, предоставленные организацией. Экспертом созданы образы носителей сервера, произведена выгрузка журналов. Анализ журналов системы управления базами данных показал наличие запросов на выборку данных из таблиц, содержащих сведения о клиентах, выполненных с учетной записи обвиняемого в период, указанный в обвинении. Установлено, что объем выбранных данных значительно превышал объем, необходимый для выполнения обычных служебных операций, и что запросы выполнялись в нерабочее время. Журналы межсетевого экрана зафиксировали сессию, в рамках которой с устройства, закрепленного за обвиняемым (идентифицировано по MAC-адресу), осуществлялось подключение к серверу базы данных с внешнего IP-адреса, не входящего в диапазон адресов организации. Журналы сервера приложений показали, что в рамках указанной сессии производилась выгрузка файла, размер которого соответствует размеру таблицы, содержащей сведения о клиентах.

Обвиняемый в ходе допроса пояснил, что подключался к серверу удаленно для выполнения служебного задания, однако не смог представить доказательств такого задания. Эксперт пришел к выводу, что в журналах зафиксированы записи, свидетельствующие о доступе к базе данных с учетной записи обвиняемого, а также об операциях выгрузки данных, объем и характер которых не соответствуют обычной служебной деятельности; доступ осуществлялся с внешнего сетевого адреса. Заключение эксперта было признано допустимым и достоверным доказательством и использовано стороной обвинения. Судебная компьютерно-техническая экспертиза в данном деле позволила восстановить хронологию событий и установить связь между действиями пользователя и сетевыми событиями, что имеет важное значение для расследования преступлений в сфере компьютерной информации.

Кейс 9. Исследование электронной почты и метаданных документов по делу о признании договора незаключенным

В арбитражном суде рассматривался спор между двумя организациями о признании договора поставки незаключенным. Истец утверждал, что договор не подписывался уполномоченным лицом, а представленная ответчиком копия договора является сфальсифицированной. Ответчик ссылался на то, что договор был согласован путем обмена электронными письмами, и представил распечатки переписки. Судом назначена судебная компьютерно-техническая экспертиза, перед экспертом поставлены вопросы: имеются ли в представленных почтовых ящиках сообщения, содержащие проект договора и согласование его условий; соответствуют ли представленные распечатки содержанию переписки, обнаруженной в почтовых ящиках; имеются ли признаки модификации вложенных файлов (документов) после их создания.

Объектами исследования выступили почтовые ящики сторон на корпоративных почтовых серверах, а также электронные документы, представленные сторонами. Экспертом произведена выгрузка почтовых ящиков в формате, сохраняющем служебные заголовки и вложения, вычислены контрольные суммы. Анализ переписки показал наличие сообщений, содержащих проекты договора, а также сообщений с подтверждением согласования условий. Служебные заголовки сообщений содержали сведения о маршруте прохождения, что позволило подтвердить, что сообщения действительно отправлялись с почтовых серверов, указанных сторонами. Вложения извлечены, исследованы их метаданные: установлены даты создания, даты последней модификации, сведения о программном обеспечении, использованном для создания документов, а также идентификаторы авторов. Установлено, что один из файлов, представленных ответчиком в качестве окончательной версии договора, имеет дату последней модификации более позднюю, чем дата, указанная в самом документе, а сведения об авторе не совпадают со сведениями об авторе, указанными в более ранних версиях. Дальнейшее сравнение версий документов выявило различия в тексте, касающиеся существенных условий договора (сроков поставки и порядка оплаты), при этом в почтовой переписке согласование именно этих условий не подтверждается.

Эксперт пришел к выводу, что переписка содержит обсуждение проекта договора, однако окончательная версия документа, представленная ответчиком, имеет признаки модификации после предполагаемой даты согласования, а согласование отдельных существенных условий в переписке не подтверждается. Заключение эксперта было использовано судом для оценки достоверности доказательств и принятия решения об отказе в иске. Судебная компьютерно-техническая экспертиза в данном деле показала значение исследования метаданных электронных документов, которые часто остаются вне поля зрения при обычной документальной проверке, но могут содержать критически важную информацию о происхождении и истории документа.

Кейс 10. Исследование резервных копий и журналов событий по делу о восстановлении данных после кибератаки

В арбитражный суд обратилось ООО «Гамма» с иском к страховой компании о взыскании страхового возмещения по договору страхования имущества, включая информационные ресурсы. В результате кибератаки, выразившейся в распространении шифровальщика, данные истца были зашифрованы, а часть утрачена. Страховщик оспаривал наступление страхового случая, ссылаясь на то, что истец не обеспечил надлежащей защиты информации и не принял мер по резервированию. Судом назначена судебная компьютерно-техническая экспертиза, перед экспертом поставлены вопросы: возможно ли установить способ проникновения вредоносного программного обеспечения в информационную систему истца; имелись ли в системе истца резервные копии, позволявшие восстановить данные без уплаты выкупа; соответствует ли уровень защиты информации, обеспеченный истцом, обычным требованиям для организаций аналогичного профиля.

Объектами исследования выступили серверы истца, резервные копии, журналы событий, а также образцы зашифрованных файлов и записка с требованием выкупа. Экспертом созданы образы носителей, произведен анализ журналов операционной системы и приложений. Установлено, что проникновение вредоносного программного обеспечения произошло через уязвимость в веб-приложении, опубликованном на внешнем интерфейсе, за несколько дней до шифрования. Журналы зафиксировали аномальную сетевую активность, включая обращения к командному серверу, что свидетельствует о наличии канала управления. Анализ резервных копий показал, что копии создавались регулярно, однако хранились на сервере, доступном из той же сети, что и основные данные, и были также зашифрованы. При этом часть копий, хранившихся на отключенном носителе, сохранилась и позволяла восстановить критически важные данные, однако объем восстановления был ограничен.

Эксперт пришел к выводу, что проникновение вредоносного программного обеспечения стало возможным вследствие наличия неустраненной уязвимости в веб-приложении, при этом в системе истца имелись резервные копии, однако их хранение было организовано с нарушением принципа изоляции, что привело к шифрованию значительной части копий; вместе с тем часть данных могла быть восстановлена. Вопрос о соответствии уровня защиты обычным требованиям был оставлен экспертом без ответа как выходящий за пределы технической компетенции, поскольку оценка достаточности мер защиты предполагает учет организационных и экономических факторов, относящихся к компетенции суда. Заключение эксперта способствовало заключению мирового соглашения. Судебная компьютерно-техническая экспертиза в данном деле продемонстрировала комплексный характер задач, возникающих при расследовании инцидентов информационной безопасности, и необходимость разграничения технических и правовых аспектов оценки.

Раздел 5. Доказательственное значение и оценка заключения судебной компьютерно-технической экспертизы

Заключение эксперта по результатам судебной компьютерно-технической экспертизы является одним из видов доказательств, предусмотренных процессуальным законодательством. Его доказательственное значение определяется возможностью установления на основе заключения обстоятельств, входящих в предмет доказывания по делу, а также соблюдением требований допустимости и достоверности. Специфика оценки заключения рассматриваемого вида экспертизы обусловлена технической сложностью предмета исследования и необходимостью проверки не только логической обоснованности выводов, но и корректности примененных методов и инструментов. Суд, не обладая специальными познаниями в области информационных технологий, вынужден опираться на критерии, выработанные экспертной практикой, либо прибегать к помощи специалиста для оценки заключения.

Допустимость заключения судебной компьютерно-технической экспертизы предполагает соблюдение процессуальной формы назначения и производства экспертизы, а также требований, предъявляемых к эксперту и его заключению. К числу обстоятельств, влекущих признание заключения недопустимым, относятся: производство экспертизы лицом, подлежащим отводу; нарушение прав участников процесса при назначении экспертизы; несоблюдение требований к форме и содержанию заключения; производство экспертизы с нарушением требований о сохранности объектов, приведшее к их изменению. В практике встречаются случаи признания заключений недопустимыми в связи с тем, что экспертом не были приняты меры по обеспечению неизменности исходных данных (например, исследование производилось непосредственно на оригинальном носителе без создания образа и без использования блокиратора записи), что не позволяет исключить возможность модификации информации в процессе исследования. Указанное обстоятельство подчеркивает важность соблюдения технических требований, которые в судебной практике рассматриваются как условия допустимости.

Достоверность заключения оценивается судом на основе совокупности критериев: компетентность эксперта, достаточность и надлежащее качество объектов и материалов, научная обоснованность примененных методов, полнота и логическая непротиворечивость выводов. Проверка компетентности эксперта предполагает анализ сведений об образовании, квалификации, стаже работы по соответствующей экспертной специальности. В отношении судебной компьютерно-технической экспертизы особое значение имеет специализация эксперта в конкретной области: эксперт, квалифицированный в исследовании аппаратных средств, может не обладать достаточными познаниями для анализа исходного кода или баз данных. В связи с этим в заключении должно быть указано, какие именно методы и инструменты применялись, что позволяет оценить соответствие квалификации эксперта характеру решенных задач.

Проверка научной обоснованности методов предполагает установление того, что примененные методы и программные средства являются признанными в экспертной практике и пригодными для решения поставленных задач. В судебной компьютерно-технической экспертизе сложился определенный набор апробированных инструментов, использование которых считается стандартным. Применение нестандартных или самостоятельно разработанных экспертом инструментов не исключается, однако требует особенно тщательного документирования и обоснования, поскольку в противном случае выводы могут быть поставлены под сомнение. В заключении должны быть указаны наименования, версии и, при необходимости, контрольные суммы использованного программного обеспечения, что обеспечивает возможность проверки и воспроизводимости исследования.

Полнота заключения определяется тем, в какой мере в исследовательской части отражены все существенные для выводов действия и обстоятельства. Для судебной компьютерно-технической экспертизы характерна ситуация, когда выводы основаны на анализе больших массивов данных, и от того, насколько полно описаны критерии поиска и отбора информации, зависит возможность проверки выводов. Если эксперт ограничивается указанием на обнаружение файлов или записей без описания процедуры поиска, оценка достоверности выводов затрудняется. С другой стороны, излишняя детализация, включение в заключение технической информации, не имеющей отношения к поставленным вопросам, может затруднить восприятие заключения и создать видимость обоснованности выводов, не подкрепленных достаточными данными.

Логическая непротиворечивость выводов предполагает соответствие выводов исследовательской части и отсутствие внутренних противоречий. В практике встречаются заключения, в которых выводы сформулированы в категорической форме, тогда как исследовательская часть содержит указания на неопределенности и ограничения, не позволяющие сделать однозначный вывод. Подобные расхождения служат основанием для критической оценки заключения и могут повлечь назначение дополнительной или повторной экспертизы. Эксперт обязан формулировать выводы в той форме, которая соответствует степени определенности полученных результатов: категорический вывод допустим лишь при наличии достаточных и непротиворечивых данных; при их отсутствии вывод должен быть сформулирован как вероятностный или как вывод о невозможности решения вопроса.

Оценка заключения судебной компьютерно-технической экспертизы в состязательном процессе предполагает активное участие сторон, каждая из которых вправе представить свои возражения, заявить ходатайство о вызове эксперта, о назначении дополнительной или повторной экспертизы, а также представить заключение специалиста, содержащее критику заключения эксперта. Возможности стороны по оспариванию заключения во многом зависят от качества его оформления: чем полнее и прозрачнее описана методика исследования, тем сложнее оспорить выводы, и наоборот, недостатки оформления создают основу для критики. В этой связи экспертные организации, дорожащие своей репутацией, уделяют значительное внимание не только содержательной правильности исследования, но и форме изложения его результатов.

Особую роль в оценке заключения судебной компьютерно-технической экспертизы играет участие специалиста. Специалист, обладающий познаниями в области информационных технологий, может дать пояснения по вопросам, связанным с примененными методами, корректностью использования программных средств, полнотой исследования. Заключение специалиста, содержащее аргументированную критику заключения эксперта, может повлиять на решение суда о назначении повторной экспертизы. Вместе с тем критика со стороны специалиста, не подкрепленная конкретными указаниями на ошибки и несоответствия, не должна приниматься судом во внимание, поскольку оценка заключения требует не эмоциональных суждений, а анализа его соответствия критериям допустимости и достоверности.

В случаях, когда результаты судебной компьютерно-технической экспертизы используются для обоснования позиции стороны в суде, целесообразно обеспечить взаимодействие эксперта и юриста, представляющего интересы стороны. Юрист, знакомый с существом технических выводов, может более эффективно формулировать вопросы, заявлять ходатайства и представлять заключение в суде. Союз «Федерация судебных экспертов» предоставляет возможность такого взаимодействия, обеспечивая согласованность экспертной и правовой позиций. Юридические услуги в суде, оказываемые юристами Союза, позволяют использовать результаты экспертизы наиболее эффективным образом, что особенно важно в сложных делах, где исход спора зависит от правильной интерпретации технических данных.

Доказательственное значение судебной компьютерно-технической экспертизы не исчерпывается установлением фактов, имеющих значение для конкретного дела. В более широком контексте развитие данного вида экспертизы способствует формированию единообразной практики работы с цифровыми доказательствами, выработке стандартов, которым должны соответствовать экспертные заключения. Накопление экспертной практики позволяет выявлять типичные ошибки и совершенствовать методические подходы. В этом смысле каждая проведенная экспертиза вносит вклад в развитие института судебной компьютерно-технической экспертизы, повышая доверие к результатам экспертных исследований и обеспечивая надежность судебных актов, основанных на цифровых доказательствах.

Раздел 6. Организационное и ресурсное обеспечение производства судебной компьютерно-технической экспертизы

Организация производства судебной компьютерно-технической экспертизы требует наличия специализированной материально-технической базы, программного обеспечения и квалифицированных кадров. Указанные требования обусловлены характером задач, решаемых в рамках данного вида экспертизы, и необходимостью обеспечения сохранности объектов, достоверности и воспроизводимости результатов. Экспертная организация, принимающая на себя производство судебной компьютерно-технической экспертизы, должна располагать помещениями, пригодными для размещения оборудования и хранения объектов, а также средствами, исключающими несанкционированный доступ к исследуемой информации.

Материально-техническое обеспечение включает экспертные станции, оснащенные современными вычислительными средствами, достаточными для обработки больших объемов данных и работы с ресурсоемкими приложениями. Для исследования накопителей необходимы аппаратные блокираторы записи, обеспечивающие подключение устройств в режиме «только чтение», а также устройства для низкоуровневого доступа к микросхемам памяти (программаторы). Для исследования мобильных устройств применяются специализированные комплексы, поддерживающие извлечение данных из устройств различных производителей и моделей. Для исследования сетевых устройств и инфраструктуры необходимы коммутаторы, маршрутизаторы, средства анализа сетевого трафика. Для исследования поврежденных носителей может потребоваться оборудование для замены компонентов (например, магнитных головок в жестких дисках), что предполагает наличие чистого помещения или бокса.

Программное обеспечение судебной компьютерно-технической экспертизы подразделяется на специализированное криминалистическое и общесистемное. Специализированное программное обеспечение предназначено для создания образов, анализа файловых систем, восстановления удаленных данных, анализа журналов, исследования мобильных устройств и формирования отчетов. К числу распространенных программных комплексов относятся EnCase Forensic, FTK, Autopsy, Belkasoft Evidence Center, Magnet AXIOM, «Мобильный Криминалист Эксперт». Выбор конкретного инструмента определяется характером объекта и задачами исследования; в распоряжении эксперта, как правило, имеется несколько инструментов, что позволяет перепроверять результаты и повышать их надежность. Общесистемное и прикладное программное обеспечение (операционные системы, виртуальные машины, архиваторы, редакторы) используется для обеспечения функционирования экспертной станции и выполнения вспомогательных операций. Все применяемые программные средства должны быть легально приобретены и использоваться в соответствии с лицензионными условиями.

Кадровое обеспечение судебной компьютерно-технической экспертизы предполагает наличие у экспертов высшего профессионального образования в области информационных технологий, вычислительной техники, информационной безопасности или смежных областях, а также специальной подготовки в области судебной экспертизы. Эксперт должен знать процессуальные основы судебной экспертизы, владеть методиками исследования различных объектов, уметь оформлять заключение в соответствии с предъявляемыми требованиями. Повышение квалификации экспертов осуществляется посредством участия в специализированных программах, семинарах, стажировках, а также изучения экспертной практики и методических материалов. Союз «Федерация судебных экспертов» уделяет внимание профессиональному развитию экспертов, организуя мероприятия, направленные на обмен опытом и освоение новых методов исследования.

Организация хранения объектов судебной компьютерно-технической экспертизы требует соблюдения условий, исключающих их повреждение и несанкционированный доступ. Носители информации должны храниться в помещениях с контролируемым доступом, защищенных от воздействия электромагнитных полей, влаги, пыли и механических повреждений. При поступлении объектов составляется опись, фиксируются их индивидуальные признаки и состояние упаковки. В случае необходимости длительного хранения объектов, содержащих информацию ограниченного доступа, должны приниматься меры по обеспечению конфиденциальности. По завершении экспертизы объекты возвращаются органу или лицу, назначившему экспертизу, в упакованном и опечатанном виде, с сопроводительным документом, фиксирующим их состояние.

Финансовое обеспечение производства судебной компьютерно-технической экспертизы осуществляется за счет средств, предусмотренных на эти цели в соответствующем бюджете (для государственных экспертных учреждений), либо за счет средств заказчика (для негосударственных экспертных организаций и частных экспертов). Стоимость экспертизы определяется ее сложностью, объемом исследуемой информации, количеством объектов и вопросов, срочностью производства. В организациях, сотрудничающих с Союзом «Федерация судебных экспертов», минимальная стоимость судебной компьютерно-технической экспертизы начинается от 20 000 рублей. Выезд эксперта на место осмотра объекта оплачивается дополнительно, что обусловлено необходимостью обеспечения сохранности объекта и соблюдения требований к его исследованию в естественной среде функционирования. Юридические услуги в суде, оказываемые юристами Союза, оплачиваются отдельно и не входят в стоимость экспертизы.

Организационное взаимодействие экспертной организации с органом или лицом, назначившим экспертизу, строится на основе процессуальных норм и договорных отношений (в случаях, когда производство экспертизы осуществляется на возмездной основе). Экспертная организация обеспечивает соблюдение сроков производства, информирует заказчика о ходе экспертизы, заявляет ходатайства о предоставлении дополнительных материалов в случае необходимости. По завершении экспертизы заключение передается заказчику в установленном порядке, вместе с объектами и материалами, если они подлежат возврату. В случаях, когда требуется участие эксперта в судебном заседании, экспертная организация обеспечивает явку эксперта и его готовность к ответам на вопросы суда и участников процесса.

Ресурсное обеспечение судебной компьютерно-технической экспертизы не ограничивается материальными и кадровыми ресурсами. Важным ресурсом является накопленная экспертная практика, обобщение которой позволяет выявлять типичные ошибки, разрабатывать рекомендации по назначению и производству экспертиз, совершенствовать методические подходы. Обобщение практики осуществляется как на уровне отдельных экспертных организаций, так и на уровне профессиональных объединений. Союз «Федерация судебных экспертов» аккумулирует информацию о производстве экспертиз по различным категориям дел, что позволяет экспертам, сотрудничающим с Союзом, использовать в своей работе апробированные подходы и избегать ошибок, выявленных в прошлом. Указанный ресурс имеет нематериальный характер, но его значение для качества экспертиз трудно переоценить.

В заключение следует отметить, что организационное и ресурсное обеспечение судебной компьютерно-технической экспертизы представляет собой комплекс взаимосвязанных элементов, каждый из которых вносит вклад в обеспечение качества и допустимости экспертных заключений. Надлежащее материально-техническое оснащение, квалифицированные кадры, отработанные процедуры хранения объектов и взаимодействия с заказчиком, а также накопленная экспертная практика создают условия для производства экспертиз, результаты которых способны выдержать проверку в состязательном процессе. Союз «Федерация судебных экспертов» в рамках своей деятельности стремится к обеспечению указанных условий, что позволяет заинтересованным лицам получать экспертные услуги, соответствующие современным требованиям. Стоимость экспертизы, начинающаяся от 20 000 рублей, отражает минимальный уровень затрат, необходимых для качественного производства исследования, при этом окончательная цена определяется сложностью конкретной задачи. Выезд на место осмотра и юридические услуги в суде оплачиваются дополнительно, что позволяет клиентам выбирать необходимый объем услуг и формировать бюджет с учетом своих потребностей.