МЕТОДИКА РАССЛЕДОВАНИЯ ПРЕСТУПЛЕНИЙ В СФЕРЕ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ
§1. Криминалистическая характеристика преступлений в сфере компьютерно^ информации
Отличительным признаком преступлений в сфере компьютерной информации является особый предмет посягательства — компьютерная информация. Под компьютерной информацией законодателем понимаются сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления, находящиеся на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети. Иными словами, это сведения, циркулирующие в вычислительной среде, зафиксированные на физическом носителе в форме, доступной восприятию ЭВМ, или передающиеся по каналам электросвязи посредством электромагнитных сигналов из одной ЭВМ в другую, из ЭВМ на периферийное устройство, либо на управляющий датчик оборудования. При этом, в соответствии со ст. 2 Закона "Об информации, информатизации и защите информации", выделяются два основных вида (категории) компьютерной информации: общего пользования и конфиденциальная. К конфиденциальной относится та компьютерная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации. Это сведения, отнесенные к различным видам тайн (государственная, служебная, коммерческая, банковская, следственная, медицинская, адвокатская, семейная и др.); передаваемые путем переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений; являющиеся объектом авторских и смежных прав; имеющие статус персональных данных (сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность). Конфиденциальная компьютерная информация всегда будет чужой для лица, не 'имеющего к ней доступа на законных основаниях, либо получившего его в нарушении установленных порядка и правил.
Компьютерная информация как предмет преступления опосредована через физический (машинный) носитель информации, вне которого она не может существовать. Под машинными носителями информации следует понимать всякие технические устройства, предназначенные либо приспособленные для фиксации, хранения, обработки, преобразования, анализа, накопления и передачи компьютерной информации. Наиболее распространены следующие машинные носители информации: гибкие (дискеты) и жесткие (винчестеры) магнитные диски, стриммеры (или Zip), магнитные ленты (в кассетах и бобинах),
оптические и магнитооптические диски (CD сГ- компакт-диски), пластиковые
карты (расчетно-кассовые, пропускные и инье ), интегральные микросхемы (в
виде микропроцессоров, постоянной или оперативной памяти средства вычис
лительной техники), листинг (распечатка ком ьютерной информации на бума
ге), i
Типичными орудиями подготовки, совериц^ия и сокрытия преступлений в сфере компьютерной информации являются: р1
1. Средства электронно-вычислительной те> "[ики:
— различные виды ЭВМ, под которыми m 'ммается комплекс технических
средств, предназначенных для автоматическс ' обработки информации в про
цессе решения вычислительных и информационных задач;
— периферийные устройства — устройства обеспечивающие передачу дан
ных и команд между процессором и пользователем относительно определенно
го центрального процессора (комплекс внешних устройств ЭВМ, не находя
щихся под непосредственным управлением це "трального процессора);
— некоторые аппаратные средства (соедш 1тельные провода, шины, шлей
фы, разъемы, "шнурки", устройства электро 'итания, аппаратные устройства
защиты компьютерной информации от несанкционированного доступа и т.д.);
— устройства приема и передачи компьютг шой информации (модем и дру
гие средства телекоммуникации);
— вредоносные программы для ЭВМ. ■
2. Разработанные, приспособленные и заг 'юграммированные специальные
технические средства негласного получения и формации.
3. Разнообразные магнитные материалы и специальные технические устрой
ства, генерирующие направленное электромаг^ итное излучение.
4. Электромонтажный инструмент и материалы.
5. Контрольно-измерительные приборы и у(Д>ойства.
6. Средства систем электросвязи. ^
Наиболее широко применяемым универса^ ьным орудием совершения пре
ступления в сфере компьютерной информа^ ш является персональная ЭВМ
(ПЭВМ) или персональный компьютер (ПК) <{ соответствующим программным
обеспечением. J
При использовании компьютерной информации в качестве орудия совершения другого преступления она сама становт |я предметом общественно опасного деяния.
При выявлении и расследовании престуш ний в сфере компьютерной информации, совершаемых с использование!* новых телекоммуникационных технологий, особую сложность у сотрудничав правоохранительных органов вызывает вопрос установления конкретного листа совершения преступления. В данном случае место совершения общественно опасного деяния, как правило, не совпадает с местом реального наступлени^общественно опасных последствий. Таких мест может быть несколько. Они огут быть удалены друг от друга на значительные расстояния, находиться в р гщичных учреждениях, на участках местности, в том числе в различных сп анах и континентах. Последнее
возможно по причине неограниченного радиуса действия и мобильности современных средств связи, неотъемлемой частью которых является компьютерная информация. Поэтому местом совершения преступления рассматриваемой категории целесообразно считать тот участок местности или территорию того учреждения, организации, государства, где были совершены общественно опасные деяния независимо от места наступления преступных последствий.
На жаргонном языке компьютерных преступников называют "хакерами", "крэкерами" и "фрикерами". Данные лица, как правило, обладают специальными познаниями и практическими навыками в области компьютерных технологий и, как минимум, являются пользователями ЭВМ.
Как правило, в случае совершения преступления в сфере компьютерной информации в отношении юридического лица, преступником или сообщником (пособником) является сотрудник данного учреждения, организации. Это — операторы ЭВМ, периферийных устройств и средств связи; программисты; инженеры-системотехники; инженеры-электроники; администраторы баз данных; должностные и иные лица, имеющие доступ к ЭВМ, системе ЭВМ или их сети.
Ведя речь о личности преступников, важно подчеркнуть, что данному типу людей присущи высокий уровень интеллектуального развития, нестандартность мышления, профессионализм, фанатичное отношение к новым компьютерным технологиям, изобретательность, богатая фантазия и скрытность. Преступник из числа сотрудников организации нередко является образцовым служащим, имеющим соответствующее образование. Указанные лица, как правило, ранее не совершали никаких преступлений. Нередко — это руководители различного ранга, обладающие распорядительными функциями, но непосредственно не отвечающие за конкретные участки работы с компьютерной информацией и ЭВМ.
Чаще всего преступления в сфере компьютерной информации совершаются устойчивыми преступными группами, для которых характерны мобильность, высокая техническая оснащенность, четкое распределение ролей, ярко выраженная корыстная мотивация, хорошо продуманная система сокрытия следов преступных деяний. Наибольшую опасность и сложность для выявления и раскрытия представляют преступные группы, имеющие в своем составе высококвалифицированных специалистов, обладающих специальными познаниями в области негласного получения и защиты компьютерной информации. Большая часть преступлений, совершенных указанными субъектами, остаются латентными.
Мотивы и цели совершения преступления в сфере компьютерной информации различны. В рейтинговом порядке их можно расположить следующим образом: корысть, месть, личные неприязненные отношения с сослуживцами и руководством по месту работы, стремление скрыть другое преступление, хулиганские побуждения и озорство, исследовательские цели, демонстрация личных интеллектуальных способностей или превосходства.
Практически невозможно привести исчерпывающий перечень способов совершения преступления в сфере компьютерной информации, так как их содержание могут составлять самые разнообразные действия, в зависимости от изобретательности, преступной квалификации и интеллектуальности преступника. Однако, несмотря на многообразие способов совершения преступления рассматриваемого вида их можно сгруппировать следующим образом:
1) использование либо распространение вредоносных программ для ЭВМ
или машинных носителей с такими программами;
2) перехват компьютерной информации;
3) несанкционированный доступ к компьютерной информации;
4) манипуляции данными и управляющими командами;
5) комплексные методы.
Наиболее часто используются следующие способы подготовки* совершения и сокрытия преступления в сфере компьютерной информации: хищение (изъятие) носителей компьютерной информации (ЭВМ, дискет, пластиковых карточек и т.д.); создание вредоносных программ для ЭВМ; распространение вредоносных программ; распространение машинных носителей, содержащих вредоносные программы для ЭВМ; внесение изменений в ^шествующие программы; копирование охраняемой законом компьютерной информации; дезактивация либо обход защиты компьютерной информации и средства электронно-вычислительной техники от несанкционированного доступа (подбор пароля, кода доступа и др.); перехват компьютерной информации из канала электросвязи; неправомерный доступ к средствам электронно-вычислительной техники; блокирование, модификация, копирование, уничтожение, повреждение компьютерной информации с использованием специально приспособленных, разработанных, запрограммированных технических средств негласного получения информации.
При выявлении и расследовании преступлений в сфере компьютерной информации подлежат установлению: факт совершения преступления (не является ли событие следствием непреодолимых факторов); непосредственная причина нарушения безопасности компьютерной информации и орудий ее обработки; предмет преступного посягательства; категория компьютерной информации (общего пользования или конфиденциальная); место и время совершения преступления; способ совершения преступления; совершено ли преступление дистанционно извне помещения (по каналам электросвязи, локальной вычислительной сети); режим работы с компьютерной информацией и орудиями ее обработки; с помощью каких конкретно средств вычислительной техники совершено преступление (тип, вид, модификация, функциональное назначение, техническое состояние и другие признаки); конкретный терминал или участок сети (абонентский номер, код, шифр, рабочая частота), режим их работы и ответственное лицо; имела ли место утечка конфиденциальной информации; размер материального ущерба, из чего он складывается; с какими служебными действиями, с операциями технологического процесса связано преступление, кто из должностных лиц или работников несет ответственность
и имеет непосредственное отношение к ним в силу технологии производства, должностных инструкций (обязанностей) или командно-административного управления; личность подозреваемого и основные ее характеристики (обладает ли специальными познаниями, какими и в каком объеме); не совершено ли преступление группой лиц, каковы роль и характер каждого участника преступления; мотив преступления; кто является потерпевшим (физическое или юридическое лицо); кому было известно о намерениях преступников, кто участвовал в сокрытии преступления и его следов; причины и условия, способствовавшие совершению и сокрытию преступления, что усугубило их проявление > — не обусловлено ли это нарушениями нормативных актов, положений, инструкций, правил, организации работы другими лицами, кем именно и по каким причинам.
§2. Организация расследования на первоначальном этапе
Раскрывать преступления в сфере компьютерной информации сложно, так как нередко преступники прибегают к различным уловкам, маскируют свои преступные деяния многочисленными объективными и субъективными причинами, которые действительно могут иметь место (например, сбой в работе ЭВМ и программного обеспечения, средств электросвязи, энергообеспечиваю-щего оборудования; замыкание в электропроводке и т. п.).
Перечень неотложных следственных действий и оперативных мероприятий, очередность их проведения будут определяться конкретной следственной ситуацией, в которой начинается расследование. Следственная ситуация характеризуется прежде всего объемом и достоверностью исходной криминалистически значимой информации, имеющейся в распоряжении следователя и оперативного работника.
Поводами и основаниями для возбуждения уголовных дел о преступлениях в сфере компьютерной информации чаще всего служат: заявления граждан (конкретных потерпевших); сообщения руководителей предприятий, учреждений, организаций и должностных лиц (базирующиеся, как правило, на материалах контрольно-ревизионных проверок и сообщениях служб безопасности); сведения, полученные в результате проведения оперативно-розыскных мероприятий; статьи, заметки и письма, опубликованные в средствах массовой информации.
Как правило, возбуждению уголовного дела предшествует предварительная проверка материалов, поступивших в правоохранительные органы. В связи с этим следователь может заблаговременно ознакомиться с собранными по делу материалами, совместно с оперативным сотрудником выбрать в тактическом отношении наиболее оптимальный момент для возбуждения дела, а также определить характер и последовательность первоначальных следственных действий, организационных и иных мероприятий. Как показывает практика, успех расследования преступления в сфере компьютерной информации обеспечивают: быстрота и решительность действий следователя и оперативного сотрудника в самые первые часы производства по делу; организованное взаимодействие с различными подразделениями правоохранительных органов; наличие спе-
циалиста в области компьютерной обработки информации (возможно, пользователя ЭВМ).
В ходе предварительной проверки материалов при решении вопроса о воз
буждении уголовного дела следователь должен прежде всего получить четкое и
полное представление о предмете посягательства, характере деятельности и
структуре объекта, где возможно было совершено преступление, изучить кон
кретные условия его деятельности, существующий там порядок учета и отчет
ности, систему товаро- и документооборота, коммуникативные и иные тактико-
технические характеристики используемой компьютерной техники, организа
цию охраны конфиденциальной компьютерной информации. Необходимо так
же хорошо знать служебные обязанности лиц, имеющих прямые или косвен
ные отношения к орудиям обработки и компьютерной информации, которые
стали предметом преступного посягательства. *
К типичным признакам подготовки, совершения и сокрытия преступления в сфере компьютерной информации относятся: появление в ЭВМ, системе ЭВМ или их сети фальшивых данных; частые сбои в работе аппаратуры; жалобы клиентов на предоставление некачественного доступа к ЭВМ, системе ЭВМ, их сети или компьютерной информации; сверхурочная работа некоторых сотрудников на ЭВМ, в системе ЭВМ или их сети, нарушение установленного графика их эксплуатации; нерегламентированный доступ к ЭВМ, системе ЭВМ, их сети и к компьютерной информации отдельных субъектов; нарушение правил работы с компьютерной информацией и несанкционированные манипуляции с ней; чрезмерный интерес отдельных субъектов (клиентов, сотрудников) к содержанию чужих распечаток (листингов) и компьютерной информации определенной категории; случаи перезаписи отдельных данных и компьютерной информации без серьезных требуемых на то причин; применение на рабочем месте и вынос с работы личных машинных носителей информации под различными предлогами (записи игр и т. п.); исследование мусорных корзин (контейнеров) с технологическими отходами компьютерной обработки информации; случаи утечки конфиденциальной информации либо обнаружение негласных специальных технических средств ее получения; нарушение установленных правил оформления документов при работе с ЭВМ, системой ЭВМ, их сетью или компьютерной информацией; создание копий определенной категории данных и компьютерной информации, не предусмотренных технологическим процессом; несоответствие данных, содержащихся в первичных документах, данным машинограмм; подозрительно частое обращение одного и того же пользователя к данным и компьютерной информации определенной категории.
Чтобы детально разобраться в особенностях деятельности потерпевшей стороны (физического или юридического лица), следователю и оперативному сотруднику необходимо ознакомиться с соответствующей справочной литературой, изучить ведомственные нормативные акты. Исключительно важное значение имеют консультации со специалистами. Для этих целей могут быть привлечены любые лица, обладающие необходимыми знаниями и опытом для дачи консультаций по делу. Как правило, это квалифицированные сотрудники
различных организаций, осуществляющих свою деятельность в сфере инфор
мации, информатизации и защиты информации. Наиболее предпочтительны
сотрудники: Государственной технической комиссии при Президенте Россий
ской Федерации (Гостехкомиссии) и ее региональных структурных подразде
лений (Спеццентров), размещающихся на базе воинских формирований Мини
стерства обороны; подразделений Федерального агентства правительственной
связи и информации (ФАПСИ), размещающихся на базе оперативно-
технических подразделений ФСБ России; оперативно-технических подразде
лений правоохранительных органов; специалисты межрегиональных Центров
защиты информации, функционирующих на базе гражданских высших учеб
ных технических заведений. «,
Наиболее типичными следственными ситуациями, с которыми приходится сталкиваться при расследовании преступлений в сфере компьютерной информации, являются:
1. Сведения о причинах возникновения общественно опасных деяний, спо
собе их совершения и личности правонарушителя отсутствуют.
2. Имеются сведения о причинах возникновения преступления, способе его
совершения, но нет сведений о личности преступника.
3. Известны причины возникновения преступления, способы его совершения
и сокрытия, личность преступника и другие обстоятельства.
В первых двух следственных ситуациях обычно планируют и осуществляют следующие первоначальные следственные действия, оперативно-розыскные и организационные мероприятия:
1) допрос заявителя или лиц, на которых указано в исходной информации
как на возможных свидетелей;
2) решение вопроса о возможности задержания преступника с поличным и о
необходимых в связи с этим мероприятиях;
3) вызов и инструктаж необходимых специалистов для участия в осмотре
места происшествия;
4) осмотр места происшествия (с осмотром и изъятием машинных носителей
и компьютерной информации, ПЭВМ, документов и т. п.);
5) проведение оперативно-розыскных мероприятий в целях установления
причин совершения преступления, выявления лиц, виновных в его совершении,
обнаружения следов и других вещественных доказательств;
6) выемку и последующий осмотр средств электронно-вычислительной тех
ники, предметов, материалов и документов (в том числе находящихся в элек
тронной форме на машинных носителях информации), характеризующих про
изводственную операцию, в ходе которой по имеющимся данным совершены
преступные действия;
7) допросы свидетелей (очевидцев);
8) допросы подозреваемых (свидетелей), ответственных за данный участок
работы, конкретную производственную операцию и защиту конфиденциальной
информации;
9) обыски на рабочих местах и по месту проживания подозреваемых;
V
10) назначение компьютерно-технической, радиотехнической, тн нической,
бухгалтерской и иных экспертиз. с
Дальнейшие действия планируют с учетом дополнительной ш формации, полученной при производстве вышеуказанных действий.
При наличии третьей следственной ситуации необходимо произвести х
1) изучение поступивших материалов с позиций их полноты, < >блюдения
норм уголовно-процессуального законодательства и порядка их пер дачи в ор
ганы следствия. При необходимости — принять меры к получении лнедостаю-
щей процессуальной информации; ь
2) возбуждение уголовного дела; '
3) вызов и инструктаж необходимых специалистов для участие в осмотре
места происшествия; f
4) осмотр места происшествия; F
5) личные обыски задержанных, обыски на рабочих местах и г* i месту их
проживания; т
6) допрос подозреваемых; с
7) выемку и осмотр вещественных и письменных доказательств; '
8) изъятие и осмотр подлинных документов, удостоверяющих^ чность за
держанных, а также документов, характеризующих те произведет! гнные опе
рации, в процессе которых допущены нарушения и преступные дей< *вия (в том
числе документов, находящихся в электронной форме на машинны носителях
информации);
9) допрос лиц, названных в документах, переданных в следствен), >ie органы,
как допустивших нарушения, ответственных за конкретный учас" ок работы
(компьютерную информацию, ЭВМ, систему ЭВМ, их сеть, денеж ые средст
ва, материальные ценности, услуги и т. п.) по фактам установленн ix наруше
ний;
10) истребование, а при необходимости производство выемки hi эмативных
актов и документов, характеризующих порядок и организацию ра эты в дан
ном подразделении с конфиденциальной информацией, с бланками0 трогой от
четности, компьютерной информацией, ЭВМ, системой ЭВМ, их се .ю и т. п;
11) допрос свидетелей, причастных к соответствующим произв Ьственным
операциям или подозреваемых в связях с лицами, совершившими |реступные
действия; J
12) анализ полученной информации и решение вопроса о необхо£ и мости на
значения судебных экспертиз, проведения ревизии или проверки (т том числе
повторной).
В очередность перечисленных следственных действий, оператив ::ых и орга
низационных мероприятий могут быть внесены коррективы в зав1( ;имости от
изменения ситуации. и
i.Г
§3. Особенности тактики отдельных следственных
действий и использования специальных знаний К следственным действиям, которые по делам о преступлениях в сфере компьютерной информации отличаются наибольшей спецификой, относятся: осмотр места происшествия; осмотр средства электронно-вычислительной техники (СВТ); осмотр машинного носителя и компьютерной информации: обыск и выемка; назначение судебных экспертиз. Указанные следственные действия проводятся в строгом соответствии с правилами, регламентированными действующим уголовно-процессуальным законодательством, но с учетом следующих основных особенностей: следственное действие должно быть заблаговременно подготовлено и детально спланировано; в каждом следственном действии должны принимать участие специалисты, четко представляющие свои задачи, права и обязанности; понятые должны обладать минимально необходимыми специальными познаниями в области обработки компьютерной информации (на уровне бытовых пользователей ПЭВМ), следователь и специалисты — познаниями в части полной сохранности (неизменяемости) компьютерной информации, содержащейся на осматриваемом (изымаемом) средстве электронно-вычислительной техники; для осмотра, обыска и выемки компьютерной информации и ее носителей заранее должны быть подготовлены необходимые СВТ и материалы.
При осмотре места происшествияв состав следственно-оперативной группы (СОГ) в зависимости от конкретной следственной ситуации, помимо следователя, должны входить: специалист-криминалист, знающий особенности работы со следами по преступлениям данной категории; специалист по СВТ; сотрудники Гостехкомиссии России, Центра защиты информации или ФАПСИ (при наличии на месте происшествия конфиденциальной компьютерной информации, машинных носителей с ней, специальных средств защиты от несанкционированного доступа (НСД) и (или) специальных технических средств негласного получения (уничтожения) компьютерной информации); специалист по сетевым технологиям (в случае наличия периферийного оборудования удаленного доступа или локальной компьютерной сети); специалист по системам электросвязи (при использовании для дистанционной передачи данных каналов электросвязи); оперативные сотрудники (ОУР, ОБЭП, налоговой полиции, ФСБ); участковый инспектор, обслуживающий данную территорию; инспектор отдела вневедомственной охраны (в случае, когда место происшествия или СВТ, находящееся на нем, одновременно является охраняемым объектом); специалист для проведения видеосъемки следственного действия.
При необходимости в состав СОГ могут быть включены незаинтересованные в деле специалисты, знающие специфику работы осматриваемого объекта (инженеры-электрики, бухгалтеры со знанием СВТ, специалисты спутниковых систем связи, операторы компьютерных систем и сетей электросвязи, др.).
Целью осмотра места происшествия является установление конкретного СВТ и компьютерной информации, выступающей в качестве предмета и (или) орудия совершения преступления и несущих в себе следы преступной деятельно-
сти. Поэтому при производстве следственного действия целесообразнее всего использовать тактический прием "от центра — к периферии", где в качестве "центра" (отправной точки осмотра места происшествия) будет выступать конкретное СВТ и (или) компьютерная информация, обладающая вышеуказанными свойствами. Детальное описание данных предметов, их соединений (физических и логических) должно сопровождаться видеосъемкой, фиксирующей последовательность действий следователя и специалистов, а также полученный при этом результат.
Если при проведении осмотра места происшествия используются СВТ и спе
циальные поисковые технические устройства (материалы), об этом делается
соответствующая отметка в протоколе следственного действия с указанием их
индивидуальных признаков (тип, марка, название, заводской номер и т.д.).
Кроме того, в обязательном порядке делается отметка о том, что данные СВТ
перед началом следственного действия в присутствии понятых были тестиро
ваны специальным программным средством (указывают его тип, вид, название
и другие реквизиты) на предмет отсутствия в них вредоносных программно-
аппаратных средств и закладок. «
Следователю необходимо знать, что к изменению или уничтожению компьютерной информации (следов преступника и преступления) может привести не только работа за пультом управления СВТ (клавиатурой), но и одноразовое включение-выключение СВТ или разрыв соединения между ними. Поэтому, если на момент проведения следственного действия какие-либо СВТ и иные электротехнические приборы и оборудование были включены или выключены, то они должны оставаться в таком положении до момента окончания осмотра их специалистом. По этой же причине подлежат обязательной охране все пункты отключения электропитания СВТ, находящиеся на месте происшествия.
Особенно тщательно должны быть описаны в протоколе следующие фактические данные: технические и конструктивные особенности местности, связанные с установкой и эксплуатацией СВТ, включая расположение и основные характеристики токонесущих коммуникаций; расположение СВТ относительно друг друга и оконечных устройств токонесущих коммуникаций; отсутствие или наличие соединений между ними (видимых и дистанционных); наличие или отсутствие соединений СВТ с оборудованием, в том числе находящемся вне территории осмотра (на это могут указывать кабели и провода, идущие от осматриваемого СВТ за границы места осмотра, либо к аппаратам внутренней связи (в таком случае границы осмотра места происшествия значительно расширяются); наличие, внешнее состояние, расположение и вид охраны СВТ и компьютерной информации от НСД, их основные технические характеристики; расположение СВТ относительно вентиляционных и иных отверстий в строительных конструкциях, дверных и оконных проемов, технических средств видеонаблюдения, а также относительно других рабочих мест; наличие в одном помещении со СВТ других электрических устройств и приборов (телефонных и иных аппаратов электросвязи, систем электрочасофикации, оргтехники — ксероксов, аудио-, видеомагнитофонов, автоответчиков, электрических пишущих
машинок, приборов электроосвещения, громкоговорителей, телевизоров, радиоприемников и т.д.).
Особенно тщательно должны быть осмотрены и описаны в протоколе вещественные доказательства: вредоносные программы для ЭВМ и машинные носители с ними; программы для ЭВМ, заведомо приводящие к несанкционированным пользователем действиям (влияющим на конечные результаты технологического процесса), а также их носители; обнаруженные специальные технические устройства негласного получения и уничтожения компьютерной информации; специфические следы преступника и преступления. Типичными следами являются: следы орудий взлома, повреждения, уничтожения и (или) модификации охранных и сигнальных устройств; показания регистрирующей аппаратуры (видеотехники, электронного журнала учета операций с компьютерной информацией, доступа к ней и др.); показания специальных мониторинговых (тестовых) программно-аппаратных средств; следы пальцев рук на СВТ, охранных и сигнальных устройствах, на их клавиатуре, соединительных и электропитающих проводах и разъемах, на розетках и штепсильных вилках, тумблерах, кнопках и рубильниках, включающих СВТ и электрооборудование; остатки соединительных проводов и изоляционных материалов; капли припоя, канифоли или флюса; следы вдавливания, проплавления, прокола, надреза изоляции электронесущих и соединительных проводов, приклеивания к ним сторонних предметов и устройств.
Осмотру подлежат различные документы и технические устройства, которыми преступники воспользовались для совершения преступления: учетно-справочная документация по работе с СВТ и компьютерной информацией (технический паспорт или документ, его заменяющий); журнал оператора или протокол автоматической фиксации расчетно-кассовых и иных операций; журнал учета машинных носителей информации, машинных документов, заказов (заданий или запросов); журнал (карточки) учета выдачи машинных носителей информации (МНИ) и машинных документов; журнал (карточки) учета массивов (участков, зон), программ, записанных на МНИ; журнал учета уничтожения брака бумажных МНИ и машинных документов; акты на стирание конфиденциальной информации и уничтожение машинных носителей с ней; удостоверения личности; электронные ключи доступа. Их осмотр позволяет установить способ совершения преступления в сфере компьютерной информации, использованные для этого преступником материалы и средства, наличие у субъекта специальных навыков и познаний; выдвинуть версии о причинно-следственных связях.
Осмотр средства электронно-вычислительной техникив большинстве случаев является первоначальным следственным действием и проводится для обнаружения следов преступления; для решения вопросов о том, кем, с какой целью и при каких обстоятельствах было совершено преступление; выяснения обстановки происшедшего события; восстановления механизма совершения преступления. Проводить осмотр следует с участием специалиста.
Прежде всего нужно уяснить смысл и назначение СВТ; установить, включено оно или нет; проверить его работоспособность и наличие в его памяти ком-
пьютерной информации; установить наличие или отсутствие сопряжения с каналом электросвязи и другими техническими устройствами. После этого необходимо перейти к поиску материальных следов, содержащихся на его корпусе, отдельных деталях и проводных соединениях, в его постоянной и оперативной памяти (в виде компьютерной информации).
При осмотре СВТ недопустимо использование: магнитосодержащих материалов и инструментов; технических устройств, генерирующих и излучающих электромагнитные поля и наводки (магнитный порошок и кисточка, электромагнит, металлодетектор, мощные осветительные приборы, УФ и ИК излучатели и т. п.); кислотно-щелочных материалов и нагревательных приборов во избежание уничтожения (повреждения) СВТ и компьютерной информации, следов преступника и преступления. Вышеуказанными материалами и оборудованием можно пользоваться с особой осторожностью нр расстоянии более одного метра от СВТ и их соединительных проводов.
Осмотр СВТ обычно приводит к необходимости их изъятия для последующего экспертного исследования и (или) приобщения к делу в качестве вещественного доказательства.
В протоколе осмотра СВТ фиксируют: его тип (назначение),1 марку (название), конфигурацию, цвет и заводской номер (или инвентарный, учетный номер изделия); тип (назначение), цвет и другие индивидуальные признаки соединительных и электропитающих проводов; состояние на момент осмотра (выключено или включено); техническое состояние — внешний вид, целостность корпуса, комплектность (наличие и работоспособность необходимых блоков, узлов, деталей, и правильность их соединения между собой), наличие расходных материалов, тип используемого машинного носителя информации; тип источника электропитания, его тактико-технические характеристики и техническое состояние (рабочее напряжение, частота тока, рабочая нагрузка, наличие предохранителя, стабилизатора, сетевого фильтра, количество подключенного к нему электрооборудования, количество питающих электроразъемов-розеток и т.д.); наличие заземления ("зануления") СВТ и его техническое состояние; наличие и техническую возможность подключения к СВТ периферийного оборудования и (или) самого СВТ к такому оборудованию, либо к каналу электросвязи; имеющиеся повреждения, не предусмотренные стандартом конструктивные изменения в архитектуре строения СВТ, его отдельных деталей (частей, блоков), особенно те, которые могли возникнуть в результате преступления, а равно могли спровоцировать возникновение происшествия; следы преступной деятельности (следы орудий взлома корпуса СВТ, проникновения внутрь корпуса, пальцев рук, несанкционированного подключения к СВТ сторонних технических устройств и др.); расположение СВТ в пространстве относительно периферийного оборудования и других электротехнических устройств; точный порядок соединения СВТ с другими техническими устройствами; категорию обрабатываемой информации (общего пользования или конфиденциальная); наличие или отсутствие индивидуальных средств защиты осматриваемого СВТ и обрабатываемой на нем информации от несанкциони-
рованного доступа и манипулирования. Если на момент осмотра СВТ находится в рабочем состоянии, необходимо детально описать: расположение его рабочих механизмов и изображение на его видеоконтрольном устройстве (экране, мониторе, дисплее); все действия, производимые специалистом при осмотре СВТ (порядок нажатия на клавиши и запорные механизмы, порядок корректного приостановления работы и закрытия исполняемой операции или программы, выключения СВТ, отключения от источника электропитания, рассоединения (или соединения) СВТ, отсоединения проводов, результаты измерения технических параметров контрольно-измерительной или тестовой аппаратурой и т.п.).
Осмотр машинного носителя и компьютерной информациипроводят по принципу "от общего к частному". Ьначале описывают внешние индивидуальные признаки носителя: его размер, тип, вид, название, марку, заводской и индивидуальный номер, наличие наклейки и надписей на ней, наличие или отсутствие физических повреждений корпуса и следов на нем, положение элемента защиты от записи/стирания компьютерной информации. Затем переходят к осмотру компьютерной информации, содержащейся на МНИ. Перед началом ее осмотра необходимо указать в протоколе следственного действия: индивидуальные признаки используемого для осмотра средства электронно-вычислительной техники и основные реквизиты его программного обеспечения (тип, вид, марку, название, заводской или регистрационный номер, номер версии, юридический адрес и (или) автора программного продукта); юридические реквизиты программы, с помощью которой СВТ и его программное обеспечение в присутствии понятых было тестировано специалистом на предмет отсутствия вредоносных программно-аппаратных средств. После этого на указанный предмет проверяется и осматриваемая компьютерная информация.
Анализируя содержащуюся на осматриваемом носителе компьютерную информацию, надо установить сведения, имеющие отношение к расследуемому событию. Для оптимизации процесса осмотра большого объема информации можно применять функции автоматизированного поиска по конкретному слову (реквизиту), входящие в состав стандартного программного обеспечения ЭВМ. Ход осмотра должен фиксироваться на фото- или видеопленке. При обнаружении следов преступления необходимо сделать распечатку всей или части компьютерной информации и приложить ее к протоколу следственного действия.
В протоколе осмотра, помимо вышеуказанного, необходимо отразить: наличие, индивидуальные признаки защиты носителя от несанкционированного использования (голография, штрих-код, эмбоссинг, флуоресцирование, перфорация, вплавление личной подписи и (или) фотографии владельца, их размеры, цвет, вид и т. п.); признаки материальной подделки МНИ и его защиты; внутреннюю спецификацию носителя — серийный номер и (или) метку тома, либо код, размер разметки (для дисков — по объему записи информации, для лент — по продолжительности записи); размер области носителя свободной от записи и занятой под информацию; количество и номера сбойных зон, секторов, участков, кластеров, цилиндров; количество записанных программ, файлов, ка-
талогов (их структуру, название, имя и (или) расширение, размер (объем), в том числе тот, который занимают их названия, дата и время создания (или последнего изменения), а также специальная метка или флаг (системный, архивный, скрытый, только для чтения или записи и т.д.); наличие скрытых или ранее стертых файлов (программ) и их реквизиты (название, размер, дата и время создания или уничтожения).
Готовясь к проведению обыска,следователь должен решить, что и где он будет искать. Для этого необходимо тщательно изучить обстоятельства дела и собрать ориентирующую информацию о предмете обыска, месте его проведения и личности обыскиваемого. По делам о преступлениях в сфере компьютерной информации предметом обыска могут быть не только разнообразные СВТ, машинные носители и содержащаяся на них компьютерная информация, но и документы, средства электросвязи, разработанные и приспособленные технические устройства, бытовые электротехнические устройства и оборудование, материалы и инструменты.
В ходе обыска следует обращать внимание на литературу, методические материалы и рекламные проспекты по компьютерной технике, обработке, защите, передаче и негласному получению компьютерной информации, а т,акже на аудио-, видеокассеты, распечатки машинной информации и документы о соответствующем образовании. Особое внимание нужно уделять предметам, содержащим коды, пароли доступа, идентификационные номера, названия, адреса пользователей конкретных компьютерных систем, алгоритмы входа и работы в системе. Необходимо также переиллюстрировать записные (телефонные) книжки, справочники и каталоги, в том числе электронные, находящиеся в памяти телефонных аппаратов, пейджеров и других компьютерных устройств.
Ценные доказательства могут быть обнаружены и при личных обысках подозреваемых (обвиняемых).
Предметом выемкив подавляющем большинстве случаев совершения преступлений в сфере компьютерной информации являются персональные компьютеры, машинные носители информации (включая распечатки на бумаге, аудио- и видеокассеты) и всевозможные документы, отражающие и регламентирующие различные операции, технологические процессы, связанные собработкой, накоплением, созданием, передачей и защитой компьютерной информации, использования ЭВМ, системы ЭВМ и их сети. Последние находятся по месту работы (учебы) подозреваемого (обвиняемого), в рабочих кабинетах должностных лиц и других служебных (учебных) помещениях.
Помимо вышеуказанного могут быть изъяты специальные технические средства для негласного получения и уничтожения информации, свободные образцы почерка, бланки документов, заготовки машинных носителей информации, исходные тексты компьютерных программ, черновики и иные образцы для сравнительного исследования.
Перед изъятием магнитных носителей информации они должны быть в обязательном порядке упакованы в алюминиевый материал (алюминиевую фольгу
или специальный контейнер), предохраняющий МНИ и его содержимое от внешнего электромагнитного и магнитного воздействия.
Назначение экспертиз. При расследовании преступления в сфере компьютерной информации наиболее характерна компьютерно-техническая экспертиза. Ее проводят в целях: воспроизведения и распечатки всей или части компьютерной информации (по определенным темам, ключевым словам и т.д.), содержащейся на машинных носителях, в том числе находящейся в нетекстовой форме (в сложных форматах: в форме языков программирования, электронных таблиц, баз данных и т.д.); восстановления компьютерной информации, ранее содержавшейся на машинных носителях, но впоследствии стертой (уничтоженной) или измененной (модифицированной) по различным причинам; установления даты и времени создания, изменения (модификации), уничтожения, либо копирования информации (документов, файлов, программ); расшифровки закодированной информации, подбора паролей и раскрытия системы защиты от НСД; исследования СВТ и компьютерной информации на предмет наличия программно-аппаратных модулей и модификаций, приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети; установления авторства, места (средства) подготовки и способа изготовления документов (файлов, программ), находящихся на МНИ; выяснения возможных каналов утечки информации из компьютерной сети, конкретных СВТ и помещений; установления возможных несанкционированных способов доступа к охраняемой законом компьютерной информации и ее носителям; выяснения технического состояния, исправности СВТ, оценки их износа, а также индивидуальных признаков адаптации СВТ под конкретного пользователя; установления уровня профессиональной подготовки отдельных лиц, проходящих по делу, в области программирования и в качестве пользователя конкретного СВТ; установления конкретных лиц, нарушивших правила эксплуатации ЭВМ, системы ЭВМ или их сети; установления причин и условий, способствующих совершению преступления в сфере компьютерной информации.
До вынесения постановления о назначении экспертизы рекомендуется проконсультироваться со специалистом по поводу ее целей, формулировки вопросов, характера предоставляемых материалов.
Может быть назначена идентификационная и неидентификационная компьютерно-техническая экспертиза.
По делам рассматриваемой категории из криминалистических экспертиз наиболее часто назначают дактилоскопическую, трасологическую, почерко-ведческую, фоноскопическую, автороведческую, радиотехническую и технико-криминалистическую экспертизу документов.
Глава 34