Назначение и производство экспертиз. Участие специалиста

Наиболее часто применяемым способом использования специальных знаний при расследовании уголовных дел является такое процессуальное действие, как судебная экспертиза. Судебная компьютерная экспертиза представляет собой род криминалистической экспертизы, проводимой в целях получения доказательств по уголовным и гражданским делам, устанавливаемых на основе изучения закономерностей функционирования информации в средствах вычислительной техники.

Специальные познания в области компьютерной экспертизы составляют автоматизация и вычислительная техника (в том числе программирование), информационные системы и процессы, электроника, электротехника, радиотехника и связь.

Полноценная организация компьютерной экспертизы подразумевает наличие в подразделении специалистов по различным операционным системам, прикладному программному обеспечению, бухгалтерским программам, базам данных, программированию, криптоанализу, мультимедиа, сетевым и Интернет - технологиям, аппаратным компонентам компьютера и машинным носителям информации, связи.

При производстве компьютерной экспертизы могут быть решены следующие задачи:

- обеспечение доступа к информации, содержащейся в компьютерах и на машинных носителях информации;

- выявление действий пользователя, произведенных им с компьютером и на машинном носителе информации (процессах обработки файлов, ведения баз данных, работе в сетях передачи данных и т.п.);

- определений свойств программ и программных продуктов;

- определение возможностей совершения каких-либо действий с помощью средств вычислительной техники;

- определение принадлежности программ и данных к конкретным классам;

- установление материальных объектов по компьютерной информации (проводится в комплексе с другими видами экспертиз);

- установление фактических обстоятельств совершения преступления (проводится при наличии информации, полученной из различных источников).

Практика показывает, что для доказывания преступлений, предусмотренных статьей 146 УК РФ, перед экспертом можно ставить следующие типовые вопросы (выборочно):

1.1. Имеются ли на (дать перечень объектов) произведения (дать перечень произведений)?(при наличии образцов для сравнительного исследования).

1.2. Имеются ли на (дать перечень объектов) произведения, атрибутирующие себя как (дать перечень наименований)? (при отсутствии образцов для сравнительного исследования)

1.3. Имеются ли на (дать перечень объектов) произведения, у которых в качестве правообладателя указаны (дать перечень наименований)?

2.1. Если да, то какие сведения о наименовании / правообладателях имеются в данных произведениях?

2.2. Если да, то какие сведения о дате и времени установки программных продуктов (для установленного программного обеспечения) / создания и последнего сохранения произведений имеются в представленных объектах?

2.3. Если да, то какие сведения о пользователях программных продуктов, ключах установки и т.п. имеются в представленных объектах (для установленного программного обеспечения)?

3. Имеются ли на (дать перечень объектов) программные продукты, с помощью которых можно совершать следующие действия (дать перечень действий)?

4. Имеются ли на (дать перечень объектов) сведения о (дать перечень сведений)?

При этом следует иметь в виду, что формулировки вопросов зависят от обстоятельств дела и объектов, представленных на экспертизу. Кроме того, укаанные вопросы следует предварительно согласовывать с экспертом или со специалистом.

Судебная компьютерная экспертиза проводится в соответствии с типовой методикой исследования компьютерной информации. Для ответа на первый вопрос необходимо дополнительно провести сопоставление двух программных продуктов между собой по следующей схеме:

N п/п	Исследуемый программный продукт	Программный продукт, представленный в качестве образца	Порядок сравнения и сравниваемые свойства
1	Установлен	Установлен	- наименование каталогов и подкаталогов; - наименование, расположение, размеры, даты сохранения, атрибуты файлов; - содержимое файлов. Если имеются различия, то сравниваются функциональные возможности каждого программного продукта, особенности оформления (вид меню и подменю, выдаваемые сообщения, форматы обрабатываемых файлов).
2	Установлен	В виде дистрибутива	Установить дистрибутив. Порядок сравнения аналогичен п.1.
3	В виде дистрибутива	В виде дистрибутива	1. Сравнение дистрибутивов по: - наименованию каталогов и подкаталогов; - наименованию, расположению, размерам, дате сохранения, атрибутам файлов; - содержимому файлов. Если различий нет, то на этом сравнение можно закончить. 2. Сравнение процесса установки (по порядку, виду меню и подменю, запрашиваемым параметрам и т.п.). 3. Сравнение установленных программных продуктов аналогично п. 1
4	В виде дистрибутива	Установлен	Установить дистрибутив. Порядок сравнения аналогичен п.1.

В процессе сравнения эксперт должен указывать не только на совпадения, но и на различия и давать им объяснения (различие в версиях, различные варианты процесса установки, отсутствие рекламной информации, доработка и т.п.). Вместо образца для сравнительного исследования допустимо использовать хеш-функции составляющих его каталогов и файлов (при наличии). Если исследуемый объект претерпел существенные изменения (например, изменилось содержимое *.exe файлов), не позволяющие проводить исследование вышеописанным способом, для производства экспертизы необходимо запросить следователя о предоставлении дополнительных сведений от правообладателя о значимых и неизменных свойствах программного продукта, по которым его можно отличить от других продуктов (например, областей кода в оперативной памяти). Такие сведения следователь может получить, в том числе, путем допроса (с привлечением специалиста).

При отсутствии технической возможности копирования информации на машинные носители (RAID-массив, большой объем НЖМД и т.п.) допустимо с разрешения следователя исследовать компьютерную информацию разрушающими методами. К ним относятся:

- включение средства вычислительной техники (системного блока, ноутбука и т.п.) с использованием загрузочных машинных носителей (флеш-карт, CD- и DVD- дисков и проч.);

- включение средства вычислительной техники (системного блока, ноутбука и т.п.) с использованием собственной операционной системы.

Последний вариант является наименее приемлемым, поскольку изменяет следовую картину работы пользователя на данном средстве вычислительной техники, у эксперта отсутствует возможность использования специализированного программного обеспечения для исследования компьютерной информации, к тому же операционная система существенно ограничивает возможности эксперта по доступу к различным областям НЖМД.