Особенности первоначального этапа расследования преступлений в сфере компьютерной информации.

Место несанкционированного доступа в компьютерную систему или сеть установить трудно, ибо таких мест может быть несколько. На практике чаще обнаруживается место неправомерного доступа к компьютерной информации с целью хищения денежных средств; но и для этого приходится выявлять все места работы компьютеров, имею-щих единую телекоммуникационную связь. Гораздо проще это место устанавливается в случае несанкционированного доступа к единичному компьютеру. Много труднее определить место непосредственного при-менения технических средств удаленного несанкционированного дос-тупа, которые не входят в данную компьютерную систему или сеть. К этой работе, а также к установлению места хранения информации на машинных носителях, добытой преступником в результате неправомер-ного доступа к компьютерной системе или сети, необходимо привле-кать соответствующих специалистов.

Время несанкционированного доступа выясняется с помощью про-грамм общесистемного назначения, которые в работающем компьютере обычно фиксируют текущее время. Это позволяет вывести на экран дисплея сведения о точном времени выполнения той или иной опера-ции. Если такая программа работает, то при несанкционированном вхо-де в систему или сеть время конкретной операции на компьютере фик-сируются автоматически. Тогда интересующий момент можно опреде-лить в ходе следственного осмотра компьютера или его распечаток. Время несанкционированного доступа устанавливается и путем допроса свидетелей из числа сотрудников данной компьютерной системы, выяс-няется, когда конкретно каждый из них работал на ЭВМ.

Способы преступной деятельности в среде компьютерной инфор-мации могут быть разделены на две большие группы. Первая группа не предусматривает использование компьютерных устройств в качестве инструмента для проникновения в информационные системы или воз-действия на них. Это могут быть: а) хищение машинных носителей информации; б) использование визуальных, оптических и акустических средств наблюдения за ЭВМ; в) считывание и расшифровка электро-магнитных излучений компьютера и обеспечивающих систем; г) фото-графирование информации в процессе ее обработки; д) изготовление бумажных дубликатов входных и выходных документов, копирование распечаток; е) использование вышеупомянутых средств наблюдения за лицами, имеющими отношение к необходимой злоумышленнику ин-формации, подслушивание их разговоров и др.

Для таких действий, как правило, характерна достаточно локальная следовая картина: место совершения преступных действий и дислокация объекта преступного посягательства расположены вблизи друг от друга или совпадают, потому срабатывают традиционные приемы по их ис-следованию.

Вторая группа преступных действий осуществляется с использовани-ем компьютерных и коммуникационных устройств в качестве инстру-мента для проникновения в информационные системы или воздействия на них. Так, несанкционированный доступ реализуется с помощью под-бора пароля, использования чужого имени, отыскания и использования пробелов в программе, а также других мер преодоления защиты компью-терной информации. Конкретный способ несанкционированного доступа можно установить путем допроса свидетелей из числа лиц, обслуживаю-щих компьютерную систему, и ее разработчиков. У них необходимо вы-яснить, как преступник мог проникнуть в защищенную систему, получить сведения о средствах защиты системы или сети ЭВМ (см. схему 11).

Способ несанкционированного доступа в компьютерную систему можно установить посредством компьютерно-технической экспертизы. Для этого эксперту предоставляют всю проектную документацию на взломанную компьютерную систему, а также данные о ее сертификации.

В ряде случаев целесообразен следственный эксперимент, напри-мер, для проверки возможности: преодоления средств защиты компью-терной системы одним из предполагаемых способов; появления на эк-ране дисплея закрытой информации или ее распечатки вследствие оши-бочных действий оператора, технического сбоя.

Выясняя надежность средств зашиты компьютерной информации, прежде всего следует установить, предусмотрены ли в данной системе или сети меры защиты от несанкционированного доступа, в том числе к опре-деленным файлам. Это выясняется в ходе допросов разработчиков и поль-зователей системы, а также при изучении проектной документации и инст-рукций по эксплуатации системы. Изучая инструкции, нужно обращать особое внимание на разделы о мерах защиты информации, о порядке до-пуска пользователей к конкретным данным, разграничении их полномо-чий, организации контроля за доступом. Важно разобраться в аппаратных, программных, криптографических, организационных и других методах защиты документированной информации, имеющей ограниченный доступ.

Законодательством предусмотрена обязательная сертификация средств защиты систем и сетей ЭВМ, а также лицензирование всех видов дея-тельности в области проектирования и производства названных средств. Поэтому в ходе расследования необходимо выяснить, есть ли лицензия на производство средств защиты информации от несанкционированного доступа, задействованных в данной компьютерной системе, и соответ-ствуют ли их параметры выданному сертификату.

закрытой компьютерной информации, следует учитывать, что он является технологически весьма сложным. Осуществить такой доступ могут только специалисты, имеющие достаточно высокую квалифика-цию. Поэтому поиск подозреваемых лучше начинать с технического персонала «атакованных» компьютерных систем или сетей. Это, в пер-вую очередь, их разработчики, а также руководители, операторы, про-граммисты, инженеры связи, специалисты по защите информации и т.д. Следственная практика свидетельствует, что чем сложнее способ про-никновения в компьютерную систему или сеть, тем легче установить подозреваемого, ибо круг специалистов, обладающих соответствующи-ми способностями, весьма ограничен.

Доказыванию причастности конкретного субъекта к несанкциони-рованному доступу способствуют различные следы, обнаруживаемые при следственном осмотре ЭВМ и ее компонентов. Это, например, сле-ды пальцев, записи на внешней упаковке дискет. Для их исследования назначаются криминалистические экспертизы — дактилоскопическая, почерковедческая и др.

У субъектов, заподозренных в неправомерном доступе к компью-терной информации, производится обыск в целях обнаружения: ЭВМ различных конфигураций, принтеров, средств телекоммуникационной связи с компьютерными сетями, записных книжек, в том числе элек-тронных, с уличающими записями, дискет и дисков с информацией, могущей иметь значение для дела, особенно если это коды, пароли, идентификационные номера пользователей данной компьютерной сис-темы, а также сведения о них. При обыске нужно изымать литературу и методические материалы по компьютерной технике и программирова-нию. К производству обыска и осмотру изъятых предметов рекоменду-ется привлекать специалиста по компьютерной технике.

Установить виновность и мотивы лиц, осуществивших несанкцио-нированный доступ, можно лишь по результатам всего расследования. Решающими здесь являются показания свидетелей, подозреваемых, обвиняемых, потерпевших, заключения судебных экспертиз, а также результаты обысков. В ходе расследования выясняется: 1) с какой це-лью совершен несанкционированный доступ к компьютерной информа-ции; 2) знал ли правонарушитель о системе ее защиты; 3) желал ли пре-одолеть эту систему и какими мотивами при этом руководствовался.