Правовая информатика

Целью осмотра  места происшествия является установление конкретного СВТ и компьютерной информации, выступающей в качестве предмета и (или) орудия совершения преступления и несущих в себе следы преступной деятельности. Поэтому при производстве следственного действия целесообразнее всего использовать тактический прием «от центра - к периферии» (“Эксцентрический”), где в качестве «центра» (отправной точки осмотра места происшествия) будет выступать конкретное СВТ и (или) компьютерная информация, обладающая вышеуказанными свойствами. Детальное описание данных предметов, их соединений (физических и логических) должно сопровождаться видеосъемкой, фиксирующей последовательность действий следователя и специалистов, а также полученный при этом результат.

Если при  проведении осмотра места происшествия используются СВТ и специальные  поисковые технические устройства (материалы), об этом делается соответствующая  отметка в протоколе следственного  действия с указанием их индивидуальных признаков (тип, марка, название, заводской номер и т.д.). Кроме того, в обязательном порядке делается отметка о том, что данные СВТ перед началом следственного действия в присутствии понятых были тестированы специальным программным средством (указывают его тип, вид, название, версию, автора и другие реквизиты) на предмет отсутствия в них вредоносных программно-аппаратных средств и закладок.

Следователю необходимо знать, что к изменению или  уничтожению компьютерной информации (следов преступника и преступления) может привести не только работа за пультом управления СВТ (клавиатурой), но и одноразовое кратковременное включение-выключение СВТ или разрыв соединения между ними. Поэтому, если на момент проведения следственного действия какие-либо СВТ и иные электротехнические приборы и оборудование были включены или выключены, то они должны оставаться в таком положении до момента окончания осмотра их специалистом. По этой же причине подлежат обязательной охране все пункты отключения электропитания, находящиеся на месте происшествия.

Особенно тщательно  должны быть описаны в протоколе  следующие фактические данные:

-технические и конструктивные особенности местности, связанные с установкой и эксплуатацией СВТ, включая расположение и основные характеристики токонесущих коммуникаций;

-расположение СВТ относительно друг друга и оконечных устройств токонесущих коммуникаций;

-отсутствие или наличие соединений между ними (видимых и дистанционных); наличие или отсутствие соединений СВТ с оборудованием, в том числе находящемся вне территории осмотра (на это могут указывать кабели и провода, идущие от осматриваемого СВТ за границы места осмотра, либо к аппаратам электросвязи (в таком случае границы осмотра места происшествия значительно расширяются);

-наличие, внешнее состояние, расположение и вид охраны СВТ и компьютерной информации от НСД, их основные технические характеристики;

-расположение СВТ относительно вентиляционных и иных отверстий в строительных конструкциях, дверных и оконных проемов, технических средств видеонаблюдения, а также относительно других рабочих мест;

-наличие в одном помещении со СВТ других электрических устройств и приборов (телефонных и иных аппаратов электросвязи, пейджеров, систем электрочасофикации, оргтехники - ксероксов, аудио-, видеомагнитофонов, автоответчиков, электрических пишуших машинок, приборов электроосвещения, громкоговорителей, телевизоров, радиоприемников и т.д.).

Особенно тщательно  должны быть осмотрены и описаны  в протоколе типичные вещественные доказательства:

1.вредоносные  программы для ЭВМ и машинные носители с ними;

2.программы для ЭВМ, заведомо приводящие к несанкционированным пользователем действиям (влияющие на конечные результаты технологического процесса), а также их носители;

3.обнаруженные  СТС негласного получения (уничтожения,  блокирования) компьютерной информации и магнитных носителей;

4.специфические  следы преступника и преступления.

Типичными следами  являются:

1.следы орудий  взлома, повреждения, уничтожения  и (или) модификации охранных и сигнальных устройств;

2.показания  регистрирующей аппаратуры (видеотехники, электронного журнала учета операций с компьютерной информацией, доступа к ней и СВТ, др.);

3.показания  специальных мониторинговых (тестовых) программно-аппаратных средств,  в том числе электронной цифровой подписи (сокр. ЭЦП); следы пальцев рук на СВТ, охранных и сигнальных устройствах, на их клавиатуре, соединительных и электропитающих проводах и разъемах, на розетках и штепсильных вилках, тумблерах, кнопках и рубильниках, включающих и отключающих СВТ и электрооборудование;

4.остатки соединительных проводов и изоляционных материалов;

5.капли припоя, канифоли или флюса; следы вдавливания,  проплавления, прокола, надреза изоляции  токонесущих и соединительных (управляющих)  проводов, приклеивания к ним  сторонних предметов и устройств.

Осмотру подлежат следующие документы и их носители, являющиеся доказательствами подготовки, совершения и сокрытия преступления:

а)учетно-справочная документация по работе с СВТ и  компьютерной информацией (технический  паспорт или документ его заменяющий; журнал оператора или протокол автоматической фиксации технологических операций, доступа к СВТ и конфиденциальной компьютерной информации; журналы (карточки) учета машинных носителей информации, машинных документов,  заказов (заданий или запросов), выдачи МНИ и машинных документов, массивов (участков, зон), программ, записанных на МНИ; журналы учета уничтожения брака бумажных МНИ и машинных документов; акты на стирание конфиденциальной информации и уничтожение машинных носителей с ней);

б)документация, отражающая санкционированность доступа ( удостоверения личности, электронные ключи доступа, пароли, персональные идентификационные номера (ПИН-коды), ЭЦП и иные средства (предметы или устройства) идентификации и аутентификации санкционированного пользователя);

в)учетно-регистрационная и бухгалтерская документация (лицензии и лицензионные соглашения; сертификаты соответствия СВТ, программ для ЭВМ, средств защиты информации (в том числе и ЭЦП), протоколов обмена информацией и форматов электронных документов установленным требованиям; договора (соглашения) на пользование СВТ и доступ к компьютерной информации с соответствующим комплектом документов; расчетно-кассовые и иные бухгалтерские документы, отражающие факт оплаты пользователем предоставленной ему услуги, отпущенного товара или осуществленной им кредитно-банковской операции);

г)учетно-контрольная  документация (журналы (акты) пуско - наладочных, ремонтных и регламентных работ  по техническому обслуживанию СВТ, программ для ЭВМ и средств защиты информации; журналы аварий и сбойных (нештатных) ситуаций; акты сбоев и ложных сработок охранных сигнализаций; акты контрольных проверок соблюдения режима безопасности информации, ревизий, служебных и иных документальных проверок; сводные отчеты и контрольные показатели по отдельным участкам работы, операциям и временным интервалам);

д)документация, регламентирующая действия обслуживающего персонала ( должностные обязанности; инструкции по работе с СВТ, программами  для ЭВМ, средствами защиты от НСД, действий оператора в нештатной ( аварийной) ситуации; черновая рабочая документация оператора СВТ).

Их осмотр позволяет  установить способ совершения преступления в сфере компьютерной информации, использованные для этого преступником материалы и средства, наличие  у субъекта специальных навыков и познаний; выдвинуть версии о причинно-следственных связях.

Осмотр средства электронно-вычислительной техники в большинстве случаев является первоначальным следственным действием и проводится для обнаружения следов преступления; для решения вопросов о том, кем, с какой целью и при каких обстоятельствах было совершено преступление; выяснения обстановки происшедшего события; восстановления механизма совершения преступления. Проводить осмотр следует с участием специалиста.

Прежде всего  нужно уяснить смысл и назначение СВТ;

установить, включено оно или нет;

проверить его  работоспособность и наличие  в его памяти компьютерной информации;

установить  наличие или отсутствие сопряжения с каналом электросвязи и другими  техническими устройствами. После этого  необходимо перейти к поиску материальных следов, содержащихся на его корпусе, отдельных деталях и проводных соединениях, в его постоянной и оперативной памяти (в виде компьютерной информации).

При осмотре  СВТ недопустимо использование:

1.магнитосодержащих материалов и инструментов;

2.технических устройств, генерирующих и излучающих электромагнитные поля и наводки (магнитный порошок и кисточка, электромагнит, металлодетектор, мощные осветительные приборы, УФ и ИК излучатели и т.п.);

3.кислотно-щелочных материалов и нагревательных приборов во избежании уничтожения (повреждения) СВТ и компьютерной информации, следов преступника и преступления.

Вышеуказанными  материалами и оборудованием  можно пользоваться с особой осторожностью  на расстоянии более 1 метра от СВТ  и их соединительных проводов.

Осмотр СВТ  обычно приводит к необходимости  их изъятия для последующего экспертного  исследования и(или) приобщения к делу в качестве вещественного доказательства.

В протоколе  осмотра СВТ фиксируют:

-его тип (назначение), марку (название), конфигурацию, цвет и заводской номер (серийный, инвентарный или учетный номер изделия);

-тип (назначение), цвет и другие индивидуальные признаки соединительных и электропитающих проводов;

-состояние на момент осмотра (выключено или включено);

-техническое состояние - внешний вид, целостность корпуса, комплектность (наличие и работоспособность необходимых блоков, узлов, деталей, и правильность их соединения между собой), наличие расходных материалов, тип используемого машинного носителя информации;

-тип источника электропитания, его тактико-технические характеристики и техническое состояние (рабочее напряжение, частота тока, рабочая нагрузка, наличие предохранителя, стабилизатора, сетевого фильтра, количество подключенного к нему электрооборудования, количество питающих электроразъемов-розеток и т.д.);

-наличие заземления («зануления») СВТ и его техническое состояние;

-наличие и техническая возможность подключения к СВТ периферийного оборудования и(или) самого СВТ к такому оборудованию, либо к каналу электросвязи;

-имеющиеся повреждения, непредусмотренные стандартом конструктивные изменения в архитектуре строения СВТ, его отдельных деталей (частей, блоков), особенно те, которые могли возникнуть в результате преступления, а равно могли спровоцировать возникновение происшествия; следы преступной деятельности (следы орудий взлома корпуса СВТ, проникновения внутрь корпуса, пальцев рук, несанкционированного подключения к СВТ сторонних технических устройств и др.);

-расположение СВТ в пространстве,  относительно периферийного оборудования и других электротехнических устройств; точный порядок соединения СВТ с другими техническими устройствами; категорию обрабатываемой информации (общего пользования или конфиденциальная); наличие или отсутствие индивидуальных средств защиты осматриваемого СВТ и обрабатываемой на нем информации от несанкционированного доступа и манипулирования.

Если на момент осмотра СВТ находится в рабочем  состоянии необходимо детально описать:

расположение  его рабочих механизмов и изображение  на его видеоконтрольном устройстве (экране, мониторе, дисплее);

основные действия, производимые специалистом при осмотре  СВТ (порядок корректного приостановления  работы и закрытия исполняемой операции или программы, выключения СВТ, отключения от источника электропитания, рассоединения (или соединения) СВТ, отсоединения проводов, результаты измерения технических параметров контрольно-измерительной или тестовой аппаратурой и т.п.).

Осмотр машинного  носителя и компьютерной информации проводят по принципу «от общего к частному». Вначале описывают внешние индивидуальные признаки носителя: его цвет, размер, тип, вид, название, марка, заводской и индивидуальный номер, наличие наклейки и надписей на ней, наличие или отсутствие физических повреждений корпуса и следов на нем, положение элемента защиты от записи/стирания компьютерной информации. Затем переходят к осмотру компьютерной информации, содержащейся на МНИ.

Перед началом  ее осмотра необходимо указать в  протоколе следственного действия:

1.индивидуальные признаки используемого для осмотра средства электронно-вычислительной техники и основные реквизиты его программного обеспечения (тип, вид, марку, название, заводской или регистрационный номер, номер версии, юридический адрес и(или) автора программного продукта);

2.юридические реквизиты программы, с помощью которой СВТ и его программное обеспечение в присутствии понятых было тестировано специалистом на предмет отсутствия вредоносных программно-аппаратных средств.

После этого  на указанный предмет проверяется  и осматриваемая компьютерная информация.

Анализируя  содержащуюся на осматриваемом носителе компьютерную информацию, надо установить сведения, имеющие отношение к  расследуемому событию.

Для оптимизации  процесса осмотра большого объема информации можно применять функции автоматизированного поиска по конкретному слову (реквизиту), входящие в состав стандартного программного обеспечения ЭВМ. Ход осмотра должен дополнительно фиксироваться на цветной фото- или видеопленке. При обнаружении следов преступления, необходимо сделать распечатку всей или части компьютерной информации и приложить ее к протоколу следственного действия с указанием в протоколе индивидуальных признаков использованного для этого печатающего устройства (тип, вид, марку, название, номер).

В протоколе  осмотра, помимо вышеуказанного, необходимо отразить: