§ 3. Особенности производства

отдельных следственных действий

Все следственные действия по делам о преступлениях в сфере' компьютерной информации проводятся в строгом соответствии с правилами, регламентированными действующим уголовно-процес­суальным законодательством, но с учетом следующих основных особенностей: следственное действие должно быть заблаговре­менно подготовлено и детально спланировано; в каждом следст­венном действии должны принимать участие специалисты, четко представляющие свои задачи, права и обязанности; понятые долж­ны обладать минимально необходимыми специальными познания­ми в области обработки компьютерной информации (на уровне бы­товых пользователей ПЭВМ), следователь и специалисты — позна­ниями в части полной сохранности (неизменяемости) компьютер­ной информации, содержащейся на осматриваемом (изымаемом) средстве электронно-вычислительной техники; для осмотра, обы­ска и выемки компьютерной информации и ее носителей заранее должны быть подготовлены необходимые СВТ и материалы.

При осмотре места происшествия в состав следственно-опе­ративной группы в зависимости от конкретной следственной ситуа­ции, помимо следователя, должны входить: специалист-кримина­лист, знающий особенности работы со следами по преступлениям данной категории; специалист по СВТ; сотрудник Гостехкомиссии России, Центра защиты информации или ФАПСИ (при наличии на месте происшествия конфиденциальной компьютерной информа­ции, машинных носителей с ней, специальных средств защиты от НСД и(или) СТС негласного получения (уничтожения, блокирова-

99

ния) компьютерной информации); специалист по сетевым техноло­гиям (в случае наличия периферийного оборудования удаленного доступа или локальной компьютерной сети); специалист по систе­мам электросвязи (при использовании для дистанционной переда­чи данных каналов электросвязи); оперативные сотрудники (ОБПСВТ, ОБЭП, налоговой полиции или ФСБ); участковый инспек­тор, обслуживающий данную территорию; инспектор отдела вневе­домственной охраны (в случае, когда место происшествия или СВТ, находящееся на нем, одновременно является охраняемым объек­том); специалист для проведения цветной фото- или видеосъемки следственного действия.

При необходимости в состав СОГ могут быть включены незаин­тересованные в деле специалисты, знающие специфику работы ос­матриваемого объекта (инженеры-электрики, бухгалтеры со знани­ем СВТ, специалисты спутниковых систем связи, операторы компь­ютерных систем и сетей электросвязи и др.).

Целью осмотра места происшествия является установление конкретного СВТ и компьютерной информации, выступающей в качестве предмета и(или) орудия совершения преступления и несу­щей в себе следы преступной деятельности. Поэтому при производст­ве следственного действия целесообразнее всего использовать такти­ческий прием «от центра к периферии», где в качестве «центра» (отправной точки осмотра места происшествия) будет выступать конкретное СВТ и(или) компьютерная информация, обладающая вышеуказанными свойствами. Детальное описание данных предме­тов, их соединений (физических и логических) должно сопровож­даться видеосъемкой, фиксирующей последовательность действий следователя и специалистов, а также полученный при этом результат.

Если при проведении осмотра места происшествия используют­ся СВТ и специальные поисковые технические устройства (мате­риалы), об этом делается соответствующая отметка в протоколе следственного действия с указанием их индивидуальных признаков (тип, марка, название, заводской номер и т. д.). Кроме того, в обяза­тельном порядке делается отметка о том, что данные СВТ перед началом следственного действия в присутствии понятых были тес­тированы специальным программным средством (указывают его тип, вид, название, версию, автора и другие реквизиты) на предмет отсутствия в них вредоносных программно-аппаратных средств и закладок.

Следователю необходимо знать, что к изменению или уничтоже­нию компьютерной информации (следов преступника и преступле­ния) может привести не только работа за пультом управления СВТ

100

(клавиатурой), но и одноразовое кратковременное включение-вы­ключение СВТ или разрыв соединения между ними. Поэтому если на момент проведения следственного действия какие-либо СВТ и иные электротехнические приборы и оборудование были включены или выключены, то они должны оставаться в таком положении до момента окончания осмотра их специалистом. По этой же причине подлежат обязательной охране все пункты отключения электропи­тания, находящиеся на месте происшествия.

Особенно тщательно должны быть описаны в протоколе сле­дующие фактические данные: технические и конструктивные осо­бенности местности, связанные с установкой и эксплуатацией СВТ, включая расположение и основные характеристики токонесущих коммуникаций; расположение СВТ относительно друг друга и око­нечных устройств токонесущих коммуникаций; отсутствие или нали­чие соединений между ними (видимых и дистанционных); наличие или отсутствие соединений СВТ с оборудованием, в том числе на­ходящимся вне территории осмотра (на это могут указывать кабели и провода, идущие от осматриваемого СВТ за границы места ос-' мотра либо к аппаратам электросвязи (в таком случае границы ос­мотра места происшествия значительно расширяются); наличие, внешнее состояние, расположение и вид охраны СВТ и компьютер­ной информации от НСД, их основные технические характеристики; расположение СВТ относительно вентиляционных и иных отвер­стий в строительных конструкциях, дверных и оконных проемов, технических средств видеонаблюдения, а также относительно дру­гих рабочих мест; наличие в одном помещении со СВТ других элек­трических устройств и приборов (телефонных и иных аппаратов " электросвязи, пейджеров, систем электрочасофикации, оргтехники — ксероксов, аудио-, видеомагнитофонов, автоответчиков, электриче­ских пишущих машинок, приборов электроосвещения, громкогово­рителей, телевизоров, радиоприемников и т. д.).

Особенно тщательно должны быть осмотрены и описаны в про­токоле типичные вещественные доказательства: вредоносные про­граммы для ЭВМ и машинные носители с ними; программы для ЭВМ, заведомо приводящие к несанкционированным пользовате­лем действиям (влияющие на конечные результаты технологиче­ского процесса), а также их носители; обнаруженные СТС негласно­го получения (уничтожения, блокирования) компьютерной инфор­мации и магнитных носителей; специфические следы преступника и преступления. Типичными следами являются: следы орудий взло­ма, повреждения, уничтожения и(или) модификации охранных и сигнальных устройств; показания регистрирующей аппаратуры (ви-

101

деотехники, электронного журнала учета операций с компьютерной информацией, доступа к ней и СВТ, др.); показания специальных мониторинговых (тестовых) программно-аппаратных средств, в том числе электронной цифровой подписи (сокр. ЭЦП)'; следы пальцев рук на СВТ, охранных и сигнальных устройствах, на их клавиатуре, соединительных и электропитающих проводах и разъемах, на ро­зетках и штепсельных вилках, тумблерах, кнопках и рубильниках, включающих и отключающих СВТ и электрооборудование; остатки соединительных проводов и изоляционных материалов; капли при­поя, канифоли или флюса; следы вдавливания, проплавления, про­кола, надреза изоляции токонесущих и соединительных (управляю­щих) проводов, приклеивания к ним сторонних предметов и устройств.

Осмотру подлежат следующие документы и их носители, являю­щиеся доказательствами подготовки, совершения и сокрытия пре­ступления:

а) учетно-справочная документация по работе со СВТ и компью­ терной информацией (технический паспорт или документ, его заме­ няющий; журнал оператора или протокол автоматической фикса­ ции технологических операций, доступа к СВТ и конфиденциальной компьютерной информации; журналы (карточки) учета машинных носителей информации, машинных документов, заказов (заданий или запросов), выдачи МНИ и машинных документов, массивов (участков, зон), программ, записанных на МНИ; журналы учета уничтожения брака бумажных МНИ и машинных документов; акты на стирание конфиденциальной информации и уничтожение ма­ шинных носителей с ней);

б) документация, отражающая санкционированность доступа (удостоверения личности, электронные ключи доступа, пароли, персональные идентификационные номера (ПИН-коды), ЭЦП и иные средства (предметы или устройства) идентификации и аутен­ тификации санкционированного пользователя);

в) учетно-регистрационная и бухгалтерская документация (ли­ цензии и лицензионные соглашения; сертификаты соответствия

¹ Электронная цифровая подпись — реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе (см.: Об электронной цифровой подписи от 10.01.2002 г. № 1-ФЗ. Ст. 3).

102

СВТ, программ для ЭВМ, средств защиты информации (в том числе и ЭЦП), протоколов обмена информацией и форматов электронных документов установленным требованиям; договоры (соглашения) на пользование СВТ и доступ к компьютерной информации с соот­ветствующим -комплектом документов; расчетно-кассовые и иные бухгалтерские документы, отражающие факт оплаты пользовате­лем предоставленной ему услуги, отпущенного товара или осуще­ствленной им кредитно-банковской операции);

г) учетно-контрольная документация (журналы (акты) пусконала- дочных, ремонтных и регламентных работ по техническому обслу­ живанию СВТ, программ для ЭВМ и средств защиты информации; журналы аварий и сбойных (нештатных) ситуаций; акты сбоев и ложных сработок охранных сигнализаций; акты контрольных прове­ рок соблюдения режима безопасности информации, ревизий, слу­ жебных и иных документальных проверок; сводные отчеты и кон­ трольные показатели по отдельным участкам работы, операциям и временным интервалам);

д) документация, регламентирующая действия обслуживающего' персонала (должностные обязанности; инструкции по работе с СВТ, программами для ЭВМ, средствами защиты от НСД, действий оператора в нештатной (аварийной) ситуации; черновая рабочая документация оператора СВТ).

Их осмотр позволяет установить способ совершения преступле­ния в сфере компьютерной информации, использованные для этого преступником материалы и средства, наличие у субъекта специаль­ных навыков и познаний; выдвинуть версии о причинно-следствен­ных связях.

Осмотр средства электронно-вычислительной техники в большинстве случаев является первоначальным следственным действием и проводится для обнаружения следов преступления; решения вопросов о том, кем, с какой целью и при каких обстоя­тельствах было совершено преступление; выяснения обстановки происшедшего события; восстановления механизма совершения преступления. Проводить осмотр следует с участием специалиста.

Прежде всего нужно уяснить смысл и назначение СВТ; устано­вить, включено оно или нет; проверить его работоспособность и на­личие в его памяти компьютерной информации; установить нали­чие или отсутствие сопряжения с каналом электросвязи и другими техническими устройствами. После этого необходимо перейти к по­иску материальных следов, содержащихся на его корпусе, отдель­ных деталях и проводных соединениях, в его постоянной и опера­тивной памяти (в виде компьютерной информации).

103

При осмотре СВТ недопустимо использование: магнитосодержа-щих материалов и инструментов; технических устройств, генери­рующих и излучающих электромагнитные поля и наводки (магнит­ный порошок и кисточка, электромагнит, металлодетектор, мощные осветительные приборы, УФ и ИК излучатели и т. п.); кислотно-ще­лочных материалов и нагревательных приборов во избежании уничтожения (повреждения) СВТ и компьютерной информации, следов преступника и преступления. Вышеуказанными материала­ми и оборудованием можно пользоваться с особой осторожностью на расстоянии более 1 м от СВТ и их соединительных проводов.

Осмотр СВТ обычно приводит к необходимости их изъятия для последующего экспертного исследования и (или) приобщения к де­лу в качестве вещественного доказательства.

В протоколе осмотра СВТ фиксируют: его тип (назначение), мар­ку (название), конфигурацию, цвет и заводской номер (серийный, инвентарный или учетный номер изделия); тип (назначение), цвет и другие индивидуальные признаки соединительных и электропитаю-щих проводов; состояние на момент осмотра (выключено или вклю­чено); техническое состояние — внешний вид, целостность корпу­са, комплектность (налучие и работоспособность необходимых блоков, узлов, деталей и правильность их соединения между со­бой), наличие расходных материалов, тип используемого машинно­го носителя информации; тип источника электропитания, его такти­ко-технические характеристики и техническое состояние (рабочее напряжение, частота тока, рабочая нагрузка, наличие предохрани­теля, стабилизатора, сетевого фильтра, количество подключенного к нему электрооборудования, количество питающих электроразъе­мов-розеток и т. д.); наличие заземления («зануления») СВТ и его техническое состояние; наличие и техническая возможность под­ключения к СВТ периферийного оборудования и(или) самого СВТ к такому оборудованию либо к каналу электросвязи; имеющиеся по­вреждения, не предусмотренные стандартом конструктивные изме­нения в архитектуре строения СВТ, его отдельных деталей (частей, блоков), особенно те, которые могли возникнуть в результате преступления, а равно могли спровоцировать возникновение проис­шествия; следы преступной деятельности (следы орудий взлома корпуса СВТ, проникновения внутрь корпуса, пальцев рук, несанк­ционированного подключения к СВТ сторонних технических уст­ройств и др.); расположение СВТ в пространстве относительно пе­риферийного оборудования и других электротехнических уст­ройств; точный порядок соединения СВТ с другими техническими устройствами; категорию обрабатываемой информации (общего

104

пользования или конфиденциальная); наличие или отсутствие ин­дивидуальных средств защиты осматриваемого СВТ и обрабаты­ваемой на нем информации от несанкционированного доступа и манипулирования. Если на момент осмотра СВТ находится в рабо­чем состоянии, то необходимо детально описать: расположение его рабочих механизмов и изображение на его видеоконтрольном уст­ройстве (экране, мониторе, дисплее); основные действия, произво­димые специалистом при осмотре СВТ (порядок корректного приос­тановления работы и закрытия исполняемой операции или про­граммы, выключения СВТ, отключения от источника электропита­ния, рассоединения (или соединения) СВТ, отсоединения прово­дов; результаты измерения технических параметров контрольно-из­мерительной или тестовой аппаратурой и т. п.).

Осмотр машинного носителя и компьютерной информации проводят по принципу «от общего к частному». Вначале описывают внешние индивидуадьные признаки носителя: его цвет, размер, тип, вид, название, марку, заводской, и индивидуальный номер, на­личие наклейки и надписей на ней, наличие или отсутствие физиче­ских повреждений корпуса и следов на нем, положение элемента защиты от записи (стирания) компьютерной информации. Затем пе­реходят к осмотру компьютерной информации, содержащейся на МНИ. Перед началом ее осмотра необходимо указать в протоколе следственного действия: индивидуальные признаки используемого для осмотра средства электронно-вычислительной техники и ос­новные реквизиты его программного обеспечения (тип, вид, марку, название, заводской или регистрационный номер, номер версии, юридический адрес и (или) автора программного продукта); юриди­ческие реквизиты программы, с помощью которой СВТ и его про­граммное обеспечение в присутствии понятых было тестировано специалистом на предмет отсутствия вредоносных программно-ап­паратных средств. После этого на указанный предмет проверяется и осматриваемая компьютерная информация.

Анализируя содержащуюся на осматриваемом носителе компь­ютерную информацию, надо установить сведения, имеющие отно­шение к расследуемому событию. Для оптимизации процесса ос­мотра большого объема информации можно применять функции автоматизированного поиска по конкретному слову (реквизиту), входящие в состав стандартного программного обеспечения ЭВМ. Ход осмотра должен дополнительно фиксироваться на цветной фо­то- или видеопленке. При обнаружении следов преступления необ­ходимо сделать распечатку всей или части компьютерной инфор­мации и приложить ее к протоколу следственного действия с указа-

105

нием в протоколе индивидуальных признаков использованного для этого печатающего устройства (тип, вид, марка, название, номер).

В протоколе осмотра, помимо вышеуказанного, необходимо от­разить: наличие, индивидуальные признаки защиты носителя от не­санкционированного использования (голография, штрих-код, эм-боссинг, флюоресцирование, перфорация, ламинирование личной подписи и(или) фотографии владельца, их размеры, цвет, вид и т. п.); признаки материальной подделки МНИ и его защиты; внутреннюю спецификацию носителя — серийный номер и (или) метку тома ли­бо код, размер разметки (для дисков — по объему записи информа­ции, для лент — по продолжительности записи); размер области носителя, свободной от записи и занятой под информацию; количе­ство и номера сбойных зон, секторов, участков, кластеров, цилинд­ров; количество записанных программ, файлов, каталогов ( структу­ра их расположения на МНИ, название, имя и (или) расширение, размер (объем), в том числе тот, который занимают их названия, дату и время создания (или последнего изменения), а также специ­альную метку или флаг (системный, архивный, скрытый, только для чтения или записи и т. д.); наличие скрытых или ранее стертых файлов (программ) и их реквизиты (название, размер, дата и время создания или уничтожения).

Готовясь к проведению обыска, следователь должен решить что и где он будет искать. Для этого необходимо тщательно изу­чить обстоятельства дела и собрать ориентирующую информацию о предмете обыска, месте его проведения и личности обыскивае­мого. По делам о преступлениях в сфере компьютерной информа­ции предметом обыска могут быть не только разнообразные СВТ, машинные носители и содержащаяся на них компьютерная инфор­мация, но и документы, средства электросвязи, разработанные и приспособленные специальные технические устройства, бытовые электротехнические устройства и оборудование, материалы и инст­рументы.

В ходе обыска следует обращать внимание на литературу, мето­дические материалы и рекламные проспекты по компьютерной тех­нике, обработке, защите, передаче и негласному получению компь­ютерной информации, а также на аудио-, видеокассеты, распечатки машинной информации и документы о соответствующем образова­нии. Особое внимание нужно уделять предметам, содержащим ко­ды, пароли доступа, идентификационные номера, названия, элек­тронные адреса пользователей конкретных компьютерных систем и сетей, алгоритмы входа и работы в системах и сетях. Необходимо также переиллюстрировать записные ( телефонные) книжки, спра-

106

вочники и каталоги, в том числе электронные, находящиеся в памя­ти телефонных аппаратов, пейджеров и других компьютерных уст­ройств.

Ценные доказательства могут быть обнаружены и при личных обысках подозреваемых (обвиняемых).

Предметом выемки в подавляющем большинстве случаев со- . вершения преступления в сфере компьютерной информации явля­ются персональные компьютеры, машинные носители информации (включая распечатки на бумаге, аудио- и видеокассеты, пластико­вые карты) и всевозможные документы (в том числе и электрон­ные)', отражающие и регламентирующие различные операции, тех­нологические процессы, связанные с обработкой, накоплением, созданием, передачей и защитой компьютерной информации, с ис­пользованием ЭВМ, системы ЭВМ и их сети. Последние находятся по месту работы (учебы) подозреваемого (обвиняемого), в рабочих кабинетах должностных лиц и других служебных (учебных) поме­щениях.

Помимо вышеуказанного могут быть изъяты специальные техни­ческие средства для негласного получения, модификации и уничто­жения информации, свободные образцы почерка, бланки и фраг­менты документов, заготовки машинных носителей информации, исходные тексты программ для ЭВМ, черновики и иные образцы для сравнительного исследования.

Перед изъятием магнитных носителей информации они должны быть в обязательном порядке упакованы в алюминиевый материал (алюминиевую фольгу или специальный контейнер), предохраняю­щий МНИ и его содержимое от внешнего электромагнитного и маг­нитного воздействия.

Назначение экспертиз. При расследовании преступления в сфере компьютерной информации наиболее часто назначают компьютерно-техническую экспертизу. Ее проводят в целях: воспроизведения и распечатки всей или части компьютерной информации (по опреде­ленным темам, ключевым словам и т. д.), содержащейся на машин­ных носителях, в том числе находящейся в нетекстовой форме (в сложных форматах: в форме языков программирования, электрон­ных таблиц, баз данных и т. д.); восстановления компьютерной ин­формации, ранее содержавшейся на машинных носителях, но впо­следствии стертой (уничтоженной) или измененной (модифициро-

¹ Электронный документ — документ, в котором информация представлена в электронно-цифровой форме См.: Об электронной цифровой подписи: Закон РФ от 10.01.2002 г. № 1-ФЗ. Ст. 3.

107

ванной) по различным причинам; установления даты и времени создания, изменения (модификации), уничтожения либо копирова­ния информации (документов, файлов, программ); расшифровки закодированной информации, подбора паролей и раскрытия систе­мы защиты от НСД; исследования СВТ и компьютерной информа­ции на предмет наличия программно-аппаратных модулей и моди­фикаций, приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, на­рушению работы ЭВМ, системы ЭВМ или их сети; установления авторства, места (средства) подготовки и способа изготовления до­кументов (файлов, программ), находящихся на МНИ; выяснения возможных каналов утечки информации из компьютерной сети, кон­кретных СВТ и помещений; установления возможных несанкциони­рованных способов доступа к охраняемой законом компьютерной информации и ее носителям; выяснения технического состояния, исправности СВТ, степени их износа, а также индивидуальных при­знаков адаптации СВТ под конкретного пользователя; установле­ния уровня профессиональной подготовки отдельных лиц, проходя­щих по делу, в области программирования и в качестве пользова­теля конкретного СВТ; установления конкретных лиц, нарушивших правила эксплуатации ЭВМ, системы ЭВМ или их сети; установле­ния причин и условий, способствующих совершению преступления в сфере компьютерной информации.

До вынесения постановления о назначении экспертизы рекомен­дуется проконсультироваться со специалистом по поводу ее целей, формулировки вопросов, характера предоставляемых материалов.

Может быть назначена идентификационная и неидентификаци­онная компьютерно-техническая экспертиза.

По делам рассматриваемой категории из криминалистических экспертиз назначают дактилоскопическую, одорологическую, трасо-логическую, почерковедческую, фоноскопическую, автороведче-скую, радиотехническую и технико-криминалистическую экспертизу документов, экспертизу полимерных материалов и изделий из них.

Ю8

РАЗДЕЛ 5 ^^_SSSSBSB!BBSB^_S=^^^_!B^_SS^^_B

МЕЖВИДОВЫЕ МЕТОДИКИ РАССЛЕДОВАНИЯ ПРЕСТУПЛЕНИЙ