34 Статья 212. Хищение путем использования компьютерной техники

1. Хищение имущества путем изменения информации, обрабатываемой в компьютерной системе, хранящейся на машинных носителях или передаваемой по сетям передачи данных, либо путем введения в компьютерную систему ложной информации –

наказывается штрафом, или лишением права занимать определенные должности или заниматься определенной деятельностью, или арестом на срок до шести месяцев, или ограничением свободы на срок до трех лет, или лишением свободы на тот же срок.

2. То же деяние, совершенное повторно, либо группой лиц по предварительному сговору, либо сопряженное с несанкционированным доступом к компьютерной информации, –

наказывается ограничением свободы на срок от двух до пяти лет или лишением свободы на срок до пяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью или без лишения.

3. Деяния, предусмотренные частями первой или второй настоящей статьи, совершенные в крупном размере, –

наказываются лишением свободы на срок от трех до десяти лет с конфискацией имущества или без конфискации и с лишением права занимать определенные должности или заниматься определенной деятельностью или без лишения.

4. Деяния, предусмотренные частями первой, второй или третьей настоящей статьи, совершенные организованной группой либо в особо крупном размере, –

наказываются лишением свободы на срок от шести до пятнадцати лет с конфискацией имущества и с лишением права занимать определенные должности или заниматься определенной деятельностью или без лишения.

Статья 349. Несанкционированный доступ к компьютерной информации

1. Несанкционированный доступ к информации, хранящейся в компьютерной системе, сети или на машинных носителях, сопровождающийся нарушением системы защиты (несанкционированный доступ к компьютерной информации), повлекший по неосторожности изменение, уничтожение, блокирование информации или вывод из строя компьютерного оборудования либо причинение иного существенного вреда, –

наказывается штрафом или арестом на срок до шести месяцев.

2. Несанкционированный доступ к компьютерной информации, совершенный из корыстной или иной личной заинтересованности, либо группой лиц по предварительному сговору, либо лицом, имеющим доступ к компьютерной системе или сети, –

наказывается штрафом, или лишением права занимать определенные должности или заниматься определенной деятельностью, или арестом на срок от трех до шести месяцев, или ограничением свободы на срок до двух лет, или лишением свободы на тот же срок.

3. Несанкционированный доступ к компьютерной информации либо самовольное пользование электронной вычислительной техникой, средствами связи компьютеризованной системы, компьютерной сети, повлекшие по неосторожности крушение, аварию, катастрофу, несчастные случаи с людьми, отрицательные изменения в окружающей среде или иные тяжкие последствия, –

наказываются ограничением свободы на срок до пяти лет или лишением свободы на срок до семи лет.

Статья 350. Модификация компьютерной информации

1. Изменение информации, хранящейся в компьютерной системе, сети или на машинных носителях, либо внесение заведомо ложной информации, причинившие существенный вред, при отсутствии признаков преступления против собственности (модификация компьютерной информации) –

наказываются штрафом, или лишением права занимать определенные должности или заниматься определенной деятельностью, или арестом на срок от трех до шести месяцев, или ограничением свободы на срок до трех лет, или лишением свободы на тот же срок.

2. Модификация компьютерной информации, сопряженная с несанкционированным доступом к компьютерной системе или сети либо повлекшая по неосторожности последствия, указанные в части третьей статьи 349 настоящего Кодекса, –

наказывается ограничением свободы на срок до пяти лет или лишением свободы на срок до семи лет с лишением права занимать определенные должности или заниматься определенной деятельностью или без лишения.

Статья 351. Компьютерный саботаж

1. Умышленные уничтожение, блокирование, приведение в непригодное состояние компьютерной информации или программы, либо вывод из строя компьютерного оборудования, либо разрушение компьютерной системы, сети или машинного носителя (компьютерный саботаж) –

наказываются штрафом, или лишением права занимать определенные должности или заниматься определенной деятельностью, или арестом на срок от трех до шести месяцев, или ограничением свободы на срок до пяти лет, или лишением свободы на срок от одного года до пяти лет.

2. Компьютерный саботаж, сопряженный с несанкционированным доступом к компьютерной системе или сети либо повлекший тяжкие последствия, –

наказывается лишением свободы на срок от трех до десяти лет.

Статья 352. Неправомерное завладение компьютерной информацией

Несанкционированное копирование либо иное неправомерное завладение информацией, хранящейся в компьютерной системе, сети или на машинных носителях, либо перехват информации, передаваемой с использованием средств компьютерной связи, повлекшие причинение существенного вреда, –

наказываются общественными работами, или штрафом, или арестом на срок до шести месяцев, или ограничением свободы на срок до двух лет, или лишением свободы на тот же срок.

Статья 353. Изготовление либо сбыт специальных средств для получения неправомерного доступа к компьютерной системе или сети

Изготовление с целью сбыта либо сбыт специальных программных или аппаратных средств для получения неправомерного доступа к защищенной компьютерной системе или сети –

наказываются штрафом, или арестом на срок от трех до шести месяцев, или ограничением свободы на срок до двух лет.

Статья 354. Разработка, использование либо распространение вредоносных программ

1. Разработка компьютерных программ или внесение изменений в существующие программы с целью несанкционированного уничтожения, блокирования, модификации или копирования информации, хранящейся в компьютерной системе, сети или на машинных носителях, либо разработка специальных вирусных программ, либо заведомое их использование, либо распространение носителей с такими программами –

наказываются штрафом, или арестом на срок от трех до шести месяцев, или ограничением свободы на срок до двух лет, или лишением свободы на тот же срок.

2. Те же действия, повлекшие тяжкие последствия, –

наказываются лишением свободы на срок от трех до десяти лет.

Статья 355. Нарушение правил эксплуатации компьютерной системы или сети

1. Умышленное нарушение правил эксплуатации компьютерной системы или сети лицом, имеющим доступ к этой системе или сети, повлекшее по неосторожности уничтожение, блокирование, модификацию компьютерной информации, нарушение работы компьютерного оборудования либо причинение иного существенного вреда, –

наказывается штрафом, или лишением права занимать определенные должности или заниматься определенной деятельностью, или исправительными работами на срок до двух лет, или ограничением свободы на тот же срок.

2. То же деяние, совершенное при эксплуатации компьютерной системы или сети, содержащей информацию особой ценности, –

наказывается лишением права занимать определенные должности или заниматься определенной деятельностью, или ограничением свободы на срок до трех лет, или лишением свободы на тот же срок.

3. Деяния, предусмотренные частями первой или второй настоящей статьи, повлекшие по неосторожности последствия, указанные в части третьей статьи 349 настоящего Кодекса, –

наказываются ограничением свободы на срок до пяти лет или лишением свободы на срок до семи лет с лишением права занимать определенные должности или заниматься определенной деятельностью или без лишения.

Статья 22.6. Hесанкционированный доступ к компьютерной информации

Hесанкционированный доступ к информации, хранящейся в компьютерной системе, сети или на машинных носителях, сопровождающийся нарушением системы защиты, –

влечет наложение штрафа в размере от двадцати до пятидесяти базовых величин.

Статья 22.7. Нарушение правил защиты информации

1. Нарушение условий, предусмотренных специальным разрешением (лицензией), дающим право на осуществление деятельности в области защиты информации (за исключением сведений, составляющих государственные секреты), –

влечет наложение штрафа в размере от двух до десяти базовых величин, на индивидуального предпринимателя – от десяти до тридцати базовых величин, а на юридическое лицо – от пятидесяти до ста базовых величин.

2. Использование не прошедших подтверждение соответствия требованиям технических нормативных правовых актов в области технического нормирования и стандартизации информационных систем, баз и банков данных, а также средств защиты информации, если они в соответствии с законодательством подлежат обязательному подтверждению соответствия (за исключением средств защиты сведений, составляющих государственные секреты), –

влечет наложение штрафа в размере от пяти до двадцати базовых величин с конфискацией этих средств защиты информации или без конфискации, на индивидуального предпринимателя – от десяти до двадцати базовых величин с конфискацией этих средств защиты информации или без конфискации, а на юридическое лицо – от ста до двухсот базовых величин с конфискацией этих средств защиты информации или без конфискации.

3. Нарушение условий, предусмотренных специальным разрешением (лицензией), дающим право на проведение работ, связанных с использованием и защитой сведений, составляющих государственные секреты, созданием средств, предназначенных для защиты сведений, составляющих государственные секреты, осуществлением мероприятий и (или) оказанием услуг по защите сведений, составляющих государственные секреты, –

влечет наложение штрафа в размере от двадцати до тридцати базовых величин, на индивидуального предпринимателя – от пятидесяти до ста базовых величин, а на юридическое лицо – от ста пятидесяти до двухсот базовых величин.

4. Использование не прошедших подтверждение соответствия требованиям технических нормативных правовых актов в области технического нормирования и стандартизации средств, предназначенных для защиты сведений, составляющих государственные секреты, –

влечет наложение штрафа в размере от тридцати до сорока базовых величин с конфискацией этих средств или без конфискации, на индивидуального предпринимателя – от ста до ста пятидесяти базовых величин с конфискацией этих средств или без конфискации, а на юридическое лицо – от двухсот до трехсот базовых величин с конфискацией этих средств или без конфискации.

Статья 22.8. Незаконная деятельность в области защиты информации

1. Занятие видами деятельности в области защиты информации (за исключением сведений, составляющих государственные секреты) без получения в установленном порядке специального разрешения (лицензии), если такое специальное разрешение (лицензия) в соответствии с законодательством обязательно, –

влечет наложение штрафа в размере до тридцати базовых величин, на индивидуального предпринимателя – от десяти до тридцати базовых величин с конфискацией средств защиты информации или без конфискации, а на юридическое лицо – от тридцати до ста базовых величин с конфискацией средств защиты информации или без конфискации.

2. Занятие видами деятельности, связанной с использованием и защитой сведений, составляющих государственные секреты, созданием средств, предназначенных для защиты сведений, составляющих государственные секреты, осуществлением мероприятий и (или) оказанием услуг по защите сведений, составляющих государственные секреты, без специального разрешения (лицензии) –

влечет наложение штрафа в размере от десяти до двадцати базовых величин, на индивидуального предпринимателя – от двадцати до ста базовых величин с конфискацией созданных без специального разрешения (лицензии) средств защиты сведений, составляющих государственные секреты, или без конфискации, а на юридическое лицо – от ста до трехсот базовых величин с конфискацией созданных без специального разрешения (лицензии) средств защиты сведений, составляющих государственные секреты, или без конфискации.

Статья 22.13. Разглашение коммерческой или иной тайны

Умышленное разглашение коммерческой или иной охраняемой законом тайны без согласия ее владельца лицом, которому такая коммерческая или иная тайна известна в связи с его профессиональной или служебной деятельностью, если это деяние не влечет уголовной ответственности, –

влечет наложение штрафа в размере от четырех до двадцати базовых величин.

Статья 22.15. Разглашение служебной тайны по неосторожности

Разглашение служебной тайны либо утрата документов или компьютерной информации, содержащих сведения, составляющие такую тайну, или предметов, сведения о которых составляют такую тайну, совершенные по неосторожности лицом, имеющим или имевшим к ним доступ, если утрата явилась результатом нарушения установленных правил обращения с указанными документами, компьютерной информацией или предметами, –

влекут наложение штрафа в размере от четырех до двадцати базовых величин.

35 К правовым мерам следует отнести разработку норм, устанавливающих ответственность за компьютерные преступления, защиту авторских прав программистов, совершенствование уголовного и гражданского законодательства, а также судопроизводства. К правовым мерам относятся также вопросы общественного контроля за разработчиками компьютерных систем и принятие соответствующих международных. Только в последние годы появились работы по проблемам правовой борьбы с компьютерной преступностью, (в частности, это работы Ю. Батурина, М. Карелиной, В. Вехова) и совсем недавно отечественное законодательство встало на путь борьбы с компьютерной преступностью. И поэтому, представляется весьма важным расширить правовую и законодательную информированность специалистов и должностных лиц, заинтересованных в борьбе с компьютерными преступлениями

Об информации, информатизации и защите информации”. Данные нормативные акты дают юридическое определение основных компонентов информационной технологии как объектов правовой охраны; устанавливают и закрепляют права и обязанности собственника на эти объекты; определяют правовой режим функционирования средств информационных технологий; определяют категории доступа определенных субъектов к конкретным видам информации; устанавливают категории секретности данных и информации.

36 Объектом преступного посягательства является компьютерная система, сети или машинные носители информации.

Средством совершения преступления являются компьютерная техника, программные (аппаратные) средства, обеспечивающие доступ к защищенной компьютерной системе или сети, вредоносные программы.

Предметом преступного посягательства являются компьютерная информация (программа). В качестве предмета может выступать также компьютерное оборудование, компьютерная система, сеть или машинный носитель информации.

37 Следы совершения преступления в сфере компьютерной информации в силу специфики рассматриваемого вида преступлений редко остаются в виде изменений внешней среды. Они в основном не рассматриваются современной трасологией, поскольку в большинстве случаев носят информационный характер, т.е. представляют собой те или иные изменения в компьютерной информации, имеющие форму ее уничтожения, модификации, копирования, блокирования. Как справедливо отмечает А.В. Касаткин, «при современном развитии вычислительной техники и информационных технологий «компьютерные следы» преступной деятельности имеют широкое распространение. Это должно учитываться следователями и оперативными работниками в их деятельности по собиранию доказательств наряду с поиском уже ставших традиционными следов».

На основании изложенного представляется целесообразным следы неправомерного доступа к компьютерной информации разделить на два типа: традиционные следы (следы-отображения, рассматриваемые трасологией, а также следы-вещества и следы-предметы) и нетрадиционные - информа­ционные следы.

К первому типу относятся материальные следы. Ими могут являться какие-либо рукописные записи, распечатки и т.п., свидетельствующие о приготовлении и совершении преступления. Материальные следы могут остаться и на самой вычислительной технике (следы пальцев рук, микро­частицы на клавиатуре, дисководах, принтере и т.д.), а также на магнитных носителях и CD-ROM дисках.

Информационные следы образуются в результате воздействия (уничто­жения, модификации, копирования, блокирования) на компьютерную информацию путем доступа к ней и представляют собой любые изменения компьютерной информации, связанные с событием преступления. Прежде всего они остаются на машинных носителях информации и отражают измене­ния в хранящейся в них информации (по сравнению с исходным состоянием). Речь идет о следах модификации информации (баз данных, программ, текстовых файлов), находящейся на жестких дисках ЭВМ, дискетах, магнитных лентах, лазерных и магнито-оптических дисках. Кроме того, магнитные носители могут нести следы уничтожения или модификации информации (удаление из каталогов имен файлов, стирание или добавление отдельных записей, физическое разрушение или размагничивание носителей). Информационными следами являются также результаты работы антивирусных и тестовых программ. Данные следы могут быть выявлены при изучении компьютерного оборудования, рабочих записей программистов, протоколов работы антивирусных программ, программного обеспечения. Для выявления подобных следов необходимо участие специалистов.

Информационные следы могут оставаться и при опосредованном (удаленном) доступе через компьютерные сети, например через Интернет. Они возникают в силу того, что система, через которую производится доступ, обладает некоторой информацией, которую эта система запрашивает у лица, пытающегося соединиться с другим компьютером. Она определяет эле­ктронный адрес, используемое программное обеспечение и его версию. Кроме того, при доступе в сеть обычно запрашивается адрес электронной почты, реальное имя и другие данные. Эту информацию запрашивает системный администратор (провайдер) для контроля обращений на его сервер, и это также позволяет идентифицировать личность проникающего в сеть.

38 Компьютерная преступность характеризуется высокой латентностью. Поэтому официальная статистика, к сожалению, пока еще не дает возможности получить достоверных данных относительно криминалистической характеристики лиц, которые совершают преступления в сфере использования компьютерных технологий в Республике Беларусь.

Проблема криминалистической характеристики личности «компьютерного преступника» требует как его изучения на уровне сущностной оценки обобщенных в криминологии и криминалистике фактических данных, так и анализа статистических данных, характеризующих объект исследования, уголовно-правовой характеристики личности преступника.

«Профессиональные» привычки и почерк преступников выражаются в определенных способах, методах, приемах совершения преступлений. Оставленные на месте преступления следы свидетельствуют об особенностях его социально-психологического портрета: опыт, профессия, возраст, пол, знания и т.д. Формирование банка типичных моделей различных категорий преступников позволяет оптимизировать процесс обнаружения круга лиц, среди которых наиболее вероятен поиск преступника. Собранные в процессе расследования сведения о личности преступника, о его криминальном поведении и виновности создают фактическую базу для принятия обоснованных правовых решений по его уголовному преследованию.

Отечественные правонарушители в сфере компьютерной информации условно могут быть разделены на две возрастные группы: первую группу составляют лица в возрасте 14-20 лет, а вторую – лица в возрасте 21 года и старше.

Представителями первой возрастной группы в основном являются старшие школьники или студенты младших курсов высших или средних специальных учебных заведений, которые активно ищут пути самовыражения и находят их, погружаясь в виртуальный мир компьютерных сетей. При этом чаще всего ими движет скорее любопытство и желание проверить свои силы, нежели корыстные мотивы. К числу особенностей, указывающих на совершение компьютерного преступления лицами рассматриваемой категории, можно отнести:

- отсутствие целеустремленной, продуманной подготовки к преступлению;

- оригинальность способа;

- использование в качестве орудий преступления бытовых технических средств и предметов;

- непринятие мер к сокрытию преступления;

- факты немотивированного озорства.

Компьютерные преступники, входящие во вторую возрастную группу, -это уже вполне сформировавшиеся личности, обладающие высокими профессиональными навыками и определенным жизненным опытом. Совершаемые ими деяния носят осознанный корыстный характер, при этом, как правило, предпринимаются меры по противодействию раскрытию преступления. Данная категория компьютерных преступников обладает устойчивыми преступными навыками. Преступления, которые носят серийный, многоэпизодный характер, совершаются ими многократно, обязательно сопровождаются действиями по сокрытию. Это обычно высококвалифицированные специалисты с высшим математическим, инженерно-техническим или экономически образованием, входящие в организованные преступные группы и сообщества, прекрасно оснащенные технически (нередко специальной оперативной техникой). Особую опасность, с точки зрения совершения преступлений в сфере компьютерной информации, представляют профессионалы в области новых информационных технологий. На долю этой группы приходится большинство особо опасных должностных преступлений, совершаемых с использованием средств компьютерной техники, присвоений денежных средств в особо крупных размерах, мошенничеств и пр [1, с.904].

Практически все известные отечественные преступники в сфере компьютерной информации – мужчины.

Компьютерный преступник обладает очень свободолюбивым и эгоцентричным характером, не терпит никакого давления над собой, что часто порождает проблемы в нормальном общении с людьми. Этот тезис хорошо иллюстрируется наличием в большинстве информационных сетей конференций, где происходят постоянные «разборки» и выяснение отношений. В семье такой человек обычно обособлен. Родители могут даже радоваться, что их ребенок часами просиживает возле компьютера, а не проводит время на улице в сомнительных компаниях. Взаимоотношения с противоположным полом у такого человека проявляются в виртуальном мире компьютерных сетей. Особого внимания обустройству жилья и поддержанию порядка в нем он не уделяет. Знает английский язык или, как минимум, читает на нем, поскольку ежедневно контактирует с вычислительной техникой и программным обеспечением. Любит играть в компьютерные игры в стиле «фэнтези» [1, с.904].

Среди мотивов и целей совершения посягательств можно выделить: корыстные (присвоение денежных средств и имущества), политические (шпионаж, деяния, направленные на подрыв финансовой и денежно кредитной политики, валютной системы страны), исследовательский интерес, хулиганские побуждения и озорство, месть и иные побуждения.

Если говорить о психическом отношении преступников к совершаемому деянию, то большинство компьютерных преступлений совершаются с прямым умыслом. Разработчики программ и специалисты служб безопасности свели практически к нулю возможность случайного или неосторожного причинения ущерба охраняемым интересам пользователей компьютерной техники.

Для подавляющего большинства компьютерных преступлений характерны корыстные мотивы. Роль преступлений, совершаемых из озорства, незначительна. Встречаются также и политические мотивы, так как глобальные компьютерные системы являются эффективным инструментом политических акций.

Статистическое соотношение различного рода мотивов при совершении компьютерных преступлений по оценке экспертной комиссии Интерпола, таково:

корыстные мотивы – 66%;

политические мотивы (терроризм, политические акции) – 17%;

из исследовательского интереса – 7%;

из хулиганских побуждений и озорства – 5%;

из мести – 4%.

Зарубежные и отечественные исследования дают возможность сформировать абстрактные портреты типичных компьютерных правонарушителей. Литературные источники портрет типичного современного компьютерного правонарушителя (хакера) часто подают таким образом: рано знакомится с компьютером, компьютерная система для него – смысл жизни, социальный отщепенец, не обращающий внимания на окружающий мир, часто закомплексован. Для многих детей хакерство становится первым настоящим достижением в жизни.

39 классификаций предложена А.Н. Родионовым и А.В. Кузнецовым. Согласно ей, способы совершения компьютерных преступлений можно подразделить:

1) на «изъятие средств компьютерной техники;

2) неправомерный доступ к компьютерной информации: преступления, совершенные в отношении компьютерной информации, находящейся в глобальных компьютерных сетях; преступления, совершенные в отношении компьютерной информации, находящейся в ЭВМ, не являющихся компьютером в классическом понимании этого слова (пейджер, сотовый телефон, кассовый аппарат и т.п.);

3) изготовление или распространение вредоносных программ (вирусы, программы - взломщики и т.п.);

4) перехват информации: электромагнитный; непосредственный;

5) нарушение авторских прав (компьютерное пиратство);

6) комплексные методы.

Способы совершения неправомерного доступа компьютерной информации можно объединить в три основные группы.

Первая группа - это способы непосредственного доступа. При их реализации информация уничтожается, блокируется, модифицируется, копируется, а также может нарушаться работа ЭВМ, системы ЭВМ или их сети путем отдачи соответствующих команд с компьютера, на котором информация находится.

Вторая группа способов совершения рассматриваемого преступления включает способы опосредованного (удаленного) доступа к компьютерной информации. При этом неправомерный доступ к определенному компьютеру и находящейся на нем информации осуществляется с другого компьютера, находящегося на определенном расстоянии, через компьютерные сети. Способы опосредованного доступа к компьютерной информации, в свою очередь, можно разделить на две подгруппы: способы преодоления парольной а также иной программной или технической защиты и последующего подключения к чужой системе; способы перехвата информации.

Третью группу способов совершения анализируемого преступления составляют смешанные способы, которые могут осуществляться как путем непосредственного, так и опосредованного (удаленного) доступа.

В ходе проникновения в информационные сети преступники иногда оставляют различные следы, заметив которые подвергшиеся нападению субъекты нападения меняют систему защиты информации. В ответ на это некоторые преступники намеренно сохраняют следы в первом персональном компьютере информационной сети, вводя таким способом в заблуждение сотрудников служб компьютерной безопасности, которые начинают считать, что имеют дело с неопытным любителем-дилетантом. Тем самым теряется бдительность при контроле за другими системами, к которым преступники получают последующий доступ с помощью применения другого способа По существу, “компьютерный абордаж” является подготовительной стадией компьютерного преступления.

Преодоление программных средств защиты. Этот способ является вспомогательным и предназначен для подготовки совершения компьютерного преступления

“Брешь”. В отличие от “неспешного выбора”, когда производится поиск уязвимых мест в защите компьютерной системы, при данном способе преступником осуществляется их конкретизация: определяются участки, имеющие ошибку (ошибки) или неудачную логику программного строения. Выявленные таким образом “бреши” могут использоваться преступником многократно, пока не будут обнаружены. Последнее возможно лишь высококвалифицированным программистом или лицом, непосредственно разработавшим данную программу. Все эти небрежности, ошибки, слабости в логике приводят к появлению “брешей”. Иногда программисты намеренно делают их для последующего использования в различных целях, в том числе и с целью подготовки совершения преступления.

Под сокрытием преступления понимается деятельность (элемент престу­пной деятельности), направленная на воспрепятствование расследованию путем утаивания, уничтожения, маскировки или фальсификации следов преступления и преступника и их носителей.

Наиболее распространенными способами программного сокрытия следов преступлений в сфере компьютерной информации являются следующие:

Использование так называемых ремейлеров (Remailers). Ремейлер – это компьютер, получающий сообщение и переправляющий его по адресу, указанному отправителем. В процессе переадресовки вся информация об отправителе уничтожается, так что конечный получатель лишен всякой возможности выяснить, кто автор сообщения. Ремейлеров в сети Интернет много, некоторые из них позволяют указывать фиктивный адрес отправителя, большинство же прямо указывают в заголовке, что электронное сообщение анонимно.

Использование в программах пересылки электронной почты вы­мышленного электронного адреса отправителя.

Использование программ-анонимизаторов. В отличие от ремейлеров, которые фактически осуществляют переадресацию электронной почты, направляя ее с другого компьютера, анонимизаторы позволяют изменять данные об обратном адресе и службе электронной почты отправителя. При этом остается возможность установить электронный адрес (IP) компьютера отправителя.

Использование второго электронного почтового ящика. В сети Интернет существует множество сайтов, где свободно и бесплатно можно открыть свой почтовый ящик, откуда отправлять электронную почту под любыми вымышленными исходными данными.

Использование разнообразных вредоносных программ. Так, следы неправомерного доступа к компьютерной информации, в частности файлы истории, фиксирующие все последние проделанные операции, можно удалить, используя вредоносную программу, которые незаконно распространяются как в сети Интернет, так и на компакт-дисках.

Уничтожение информации, находящейся в памяти компьютера и на машинных носителях, в том числе файлов истории, файлов-отчетов, результатов работы антивирусных и тестовых программ и других файлов, содержащих информационные следы преступления (более подробно см. раздел «Данные о следах преступления»).

Помимо программного сокрытия следов преступления, следует выделить и физическое сокрытие следов преступлений в сфере компьютерной инфо­рмации (стирание следов пальцев рук с клавиатуры и других поверхностей, которых касался преступник). Крайней формой сокрытия следов преступления можно предположить попытки физического уничтожения или повреждения компьютерной техники или ее отдельных узлов (например, жесткого диска).

40 По делам о преступлениях данной категории (ст. 272-274 УК РФ) место происшествия не всегда ограничивается какой-то одной опреде¬ленной территорией (одним помещением или отдельным зданием). Места, подлежащие осмотру, могут располагаться на значительных рас¬стояниях друг от друга. Так, например, неправомерный доступ к охра¬няемой законом компьютерной информации совершен с одного места, а вредные последствия — причинены в другом. То же самое можно ска¬зать и о создании, использовании и распространении вредоносных про¬грамм для ЭВМ либо преступном нарушении правил эксплуатации ЭВМ, системы ЭВМ или их сети. Компьютерное оборудование может представлять как отдельную ЭВМ, решающую самостоятельные авто¬номные задачи, так и компьютер, являющийся составной частью ком¬пьютерной системы или сети. Когда компьютер используется в пре¬ступных целях не как часть системы или сети, то место совершения преступления ограничивается тем помещением, где он установлен. Если же он представляет часть системы или сети, то границы осмотра могут быть значительно расширены.

При проведении осмотра необходимо принять во внимание следую¬щие неблагоприятные факторы: а) возможные попытки уничтожить информацию и ценные данные лицами из числа персонала, заинтересованными в сокрытии преступ¬ления; б) наличие в ЭВМ специальных средств защиты от несанкциониро¬ванного доступа, которые, не получив в установленное время специаль¬ный код, автоматически уничтожают всю информацию; в) возможное наличие в ЭВМ иных средств защиты информации от несанкционированного доступа и прочие неожиданности. В связи с изложенным крайне важно участие специалистов на самом первом этапе производства осмотра места происшествия. Они не только помогут разобраться в особенностях компьютерного оборудова- • ния и машинных носителей информации, но и указать, что подлежит^ изъятию. Профиль нужного специалиста определяется в зависимости; от целей и задач осмотра с учетом первоначальных данных о характере преступления. Чаще всего может потребоваться помощь нескольких; специалистов, в том числе программиста по операционным системам и, прикладным программам, электронщика, хорошо знающего компью-; терную технику, специалиста по средствам связи, а также техника-кри- ' миналиста. Последний необходим для обнаружения и сбора традици¬онных доказательств, например скрытых отпечатков пальцев рук на клавиатуре, «мыши», выключателях и тумблерах и др., шифрованных рукописных записях и пр.

Типичные ошибки при осмотре места происшествия по делам о преступлениях в сфере компьютерной информации: 1. Несоблюдение правил обращения с вычислительной техникой и но¬сителями компьютерной информации. 2. Отсутствие чистой дискеты для неотложного копирования ин¬формации, содержащейся в оперативном запоминающем устройстве и там, где она может быть быстро уничтожена при отключении электропитания компьютерного оборудования или по другим при¬чинам. 3. Употребление в тексте протокола осмотра непонятных техничес¬ких и профессиональных терминов, используемых в информатике, без доступного пояснения. 4. Необоснованное изъятие отдельных технических средств и ком¬пьютерного оборудования, так сказать «на всякий случай». 5. Использование вместо копий подлинных носителей машинной информации для пробного включения компьютеров в процессе осмот¬ра места происшествия (особенно программ для ЭВМ). 6. Нарушение правил упаковки и транспортировки компьютерной техники и машинных носителей информации.

41 Осмотр места происшествия следует начать с запрещения доступа к средствам вычислительной техники всем лицам, работающим на объекте.

Принять меры к выявлению и изъятию следов рук, оставшихся на защелках дисководов, кнопках включения питания, участках корпуса около винтов крепления крышки корпуса, клавишах клавиатуры и мыши, разъемах портов и сетевых плат, а также на кнопках печатных устройств. В этих местах обычно остаются следы рук преступников. Кроме того, нельзя исключать возможности доступа в помещение, где находится компьютерная техника и информация посторонними лицами путем взлома, подбора ключей, в т.ч. паролей к электронным замкам, на которых также могут остаться следы. При осмотре кабельных соединений ЛВС требуется убедиться в их целостности, отсутствии следов подключения нештатной аппаратуры.

В связи с возможностью совершения преступлений по сетям телекоммуникации и локальным вычислительным сетям (ЛВС) необходимо установить и зафиксировать в протоколе осмотра расположение всех компьютеров в сети, конкретное назначение каждого компьютера, наличие сервера, места прокладки кабелей, устройств телекоммуникации (модемов, факс-модемов), их расположение и подключение к каналам телефонной связи. Требуется также выяснить наличие специальных средств защиты от несанкционированного доступа к информации, принять меры к установлению ключей (паролей).

При непосредственном осмотре средств вычислительной техники необходимо отразить их размещение в помещении, предназначение, название (обычно указывается на лицевой стороне), серийный номер, комплектацию (наличие и тип дисководов, сетевых карт, разъемов и др.), наличие и тип подключенных периферийных устройств (принтеров, сканеров, модемов и т.д.), наличие соединения с ЛВС и (или) сетями телекоммуникации, состояние устройств (целое или со следами вскрытия).

Описывая внешнее состояние вычислительной техники, нужно обращать внимание на места подключения (например, соединительный кабель между коммуникационными портами принтера и системным блоком компьютера) периферийных устройств, винты крепления крышек корпуса, поверхности под системным блоком, монитором и другими устройствами. Обычно в этих местах происходит скопление пыли, а значит могут остаться следы, характер или отсутствие которых должно быть отражено в протоколе. Также, должны быть отмечены наличие и состояние всех пометок, пломб, специальных знаков и наклеек (инвентарных номеров, записей на память, контрольных маркеров фирм-продавцов и др.), нанесенных на корпуса и устройства компьютеров, наличие загрязнений, механических повреждений и их локализация.

При осмотре средств электронно-вычислительной техники рекомендуется независимо от того, включен компьютер или нет, описать в протоколе положение всех переключателей на всех блоках и устройствах. При наличии включенной техники зафиксировать в протоколе осмотра состояние индикаторных ламп (включены или нет, каким цветом горят, мигают и с какой частотой), а также информацию, высвечиваемую на всевозможных индикаторах и табло. Описать информацию, высвечиваемую на мониторе, при этом необходимо учитывать, что для предотвращения выгорания экрана в большинстве компьютеров используют специальные заставки - хранители экрана, которые могут быть защищены паролем. В протоколе также должен быть зафиксирован вид этого хранителя. В дополнение к протоколу, кроме составления схемы расположения компьютеров и периферийных устройств в помещении и соединения компьютеров в сети, с помощью видео- или фотосъемки рекомендуется зафиксировать информацию на экране монитора, индикаторных панелях, положение переключателей и состояние индикаторных ламп всех устройств компьютерной системы, о чем сделать соответствующие записи в протоколе.

Перед выключением питания требуется корректно завершить все исполняемые в данный момент программы, по возможности сохранить всю промежуточную информацию (тексты, информацию состояния, содержание буферов обмена и др.) в специальных файлах, если возможно - на отдельных дискетах, в противном случае на жестком диске компьютера. В протоколе указать имена этих файлов, вид информации, сохраняемой в каждом, расположение файлов (наименование дискет и их маркировку или логический диск и каталог на винчестере компьютера); выключить компьютер, который подвергся воздействию, а при наличии сети требуется выключить все компьютеры в сети. Если из-за особенностей функционирования системы это невозможно, то следует принять все меры для исключения доступа к информации данного компьютера, по возможности снять с нее копию и принять меры для фиксации всех изменений информации, которые будут происходить впоследствии.

Осмотр машинного носителя информации (МНИ) начинается с определения его типа, вида, назначения и технических параметров, а заканчивается ознакомлением с содержанием сопроводительной документации.

В протоколе осмотра должны быть зафиксированы следующие фактические данные:

1. Тип, вид, марка, назначение, цвет, заводской или учетный номер носителя.

2. Наличие, индивидуальные признаки и техническое состояние футляра (коробки, упаковки, внешней оболочки МНИ) – тип, размеры, цвет, материал, физические повреждения, надписи, принцип функционирования, информационная емкость и другие.

3. Техническое состояние – размеры , внешний вид и материал каркаса, его целостность и индивидуальные признаки; материал основного информационно-несущего слоя и его признаки (наличие или отсутствие механических повреждений – царапин, деформаций, нарушений несущего слоя и т. д.); наличие и положение (сохранность) приспособлений от несанкционированного уничтожения (перезаписи) информации (ключей, пломб, заглушек, маркеров); наличие и техническое состояние механизмов защиты информационно-несущего материала (отверстий – «окон» для считывания и записи информации).

4. Наличие, количество, размеры, цвет, марка и техническое состояние разъемов для подключения к считывающему устройству.

5. Наличие внешней спецификации, ее цвет и размеры (заводские или пользовательские наклейки либо печатные изображения с текстом, рисунком или специальными метками).

6. Наличие и индивидуальные признаки защиты МНИ от подделки или несанкционированного копирования (голограмма, штрих-код, эмбоссинг, идент-печать, флуоресценция, перфорация, ламинат и другие).

7. Признаки материальной подделки МНИ и их защиты⁴.

8. Индивидуальные признаки компьютерного устройства и его программного обеспечения, используемых в процессе осмотра внутреннего состояния МНИ – их тип, вид, марка, название, серийный или регистрационный (учетный) номер, версия, год выпуска и т. п.

9. Ссылка на то, что используемые в процессе осмотра средства электронно – вычислительной техники перед началом следственного действия были тестированы специалистом в присутствии понятых на предмет отсутствия в них вредоносных программных и аппаратных средств: указываются реквизиты (паспортные данные) средств тестирования, например, название программы для ЭВМ, номер ее версии, изготовитель (автор), год выпуска, а также результат тестирования.

10. Результат проверки тестирующей программой для ЭВМ данных, записанных на осматриваемом машинном носителе.

11. Работоспособность и внутренняя спецификация – серийный номер и (или) метка тома либо код доступа к информации; общий объем носителя (для дисков – по объему записи информации, для лент и проволоки – по продолжительности записи); формат разметки; объем области носителя, свободной от записи и занятой под информацию; количество и номера сбойных зон, секторов, участков, кластеров, цилиндров; количество записанных файлов⁵, программ, каталогов-подкаталогов, их название, логическая структура размещения на носителе.

12. Результат поиска скрытых, закодированных или ранее стертых файлов (программ).

42 Электронный документ – документ, в котором информация представлена в электронно - цифровой форме². К этой категории относятся документы, все реквизиты которых находятся в сложных форматах – в виде компьютерной информации (электронно - цифровое документальное сообщение, переданное по каналам электросвязи; электронная страница глобальной сети ЭВМ «Интернет»; файл с данными, позволяющими их идентифицировать; электронный журнал автоматического регистрирующего устройства; электронная записная книжка сотового радиотелефона; программа для ЭВМ; база данных и др.).

осмотру формата и содержания электронного документа или отдельных электронных реквизитов, обнаруженных на МНИ, в том числе скрытых, закодированных или стертых. Его производят по следующему алгоритму.

1. Определяют формат записи компьютерной информации на машинном носителе, стандарт (вид) кодирования данных.

2. Фиксируют название и другие реквизиты программы для ЭВМ, с помощью которой был определен формат записи данных.

3. Устанавливают атрибуты файла: вид программы для ЭВМ, с помощью которой файл был создан; название (имя и расширение), размер (объем), дату и время создания (последнего изменения или стирания), наличие специальной метки или флага (системный, архивный, скрытый, только для чтения или записи и т. д.).

4. Сравнивают установленные атрибуты с отраженными в сопроводительной документации к МНИ и других документах.

5. Определяют и подыскивают программу для ЭВМ, позволяющую осмотреть содержание файла; фиксируют ее название и другие реквизиты⁶.

6. Получают видеограмму документа – изображение документа на экране (мониторе, дисплее) электронного терминала. Если по различным причинам, например, в случае наличия неизвестного пароля, видеограмму документа получить не удается, в дальнейшем это следует сделать путем назначения судебной компьютерно – технической экспертизы.

7. Определяют обязательные реквизиты документа:

1) наименование физического или юридического лица – создателя документа;

2) местонахождение создателя документа, его почтовый или электронный адрес;

3) наименование документа;

4) дату изготовления документа или записи на машинный носитель;

5) размер документа (количество символов, общий объем символов в байтах (битах), количество страниц или дорожек записи информации);

6) на чье имя выдан документ или кому предназначается (реквизиты адресата – получателя);

7) код лица или СВТ, ответственного за правильность изготовления документа или его записи на МНИ (код, позывной, идентификационный номер терминала в сети ЭВМ или электросвязи – номер факса, телефона, IMEI и др.);

8) код лица, утвердившего документ (ПИН-код, номер ЭЦП или закодированный биометрический параметр – отпечаток пальца руки, рисунок радужной оболочки глаза, фоноскопический реквизит, размер ладони, фотография лица и др).

8. Фиксируют дополнительные реквизиты документа: порядковый номер документа в пакете (системе, базе данных) документов; номер телефона, телетайпа; индивидуальный номер налогоплательщика (ИНН); гриф ограничения доступа и другие.

9. Сравнивают обнаруженные реквизиты с отраженными в сопроводительной документации к МНИ и других документах.

10. Изучают признаки оформления и содержание электронного документа: параметры страницы; стиль текста и его расположение на странице; вид, название и размер шрифта; наличие нумерации или маркеров страниц, выделений отдельных реквизитов, символов; содержание реквизитов (текста), имеющее значение для уголовного дела. При этом, следует принимать во внимание такие важные положения вышеуказанного ГОСТ 6.10.4-84, как:

1) Запись документа на машинный носитель и создание машинограммы всегда должны производиться на основе данных, зафиксированных в исходных (первичных) документах, полученных по каналам электросвязи от автоматических регистрирующих устройств или в процессе автоматизированного решения задач (п. 1.6).

2) По требованию пользователя для визуального контроля документа на машинном носителе, он должен быть преобразован в человекочитаемую форму с помощью различных технических средств отображения данных (п. 1.7).

3) Подлинники, дубликаты и копии документа на машинном носителе и машинограммы, полученные стандартными программными средствами, имеют одинаковую юридическую силу, если оформлены в соответствии с требованиями настоящего стандарта (п. 3.1).

4) Подлинником документа на машинном носителе является первая во времени запись документа на машинном носителе, содержащая указание, что этот документ является подлинником (п. 3.2).

5) Дубликаты документа на машинном носителе – это все более поздние по времени, аутентичные по содержанию записи документа на машинном носителе и содержащие указание, что эти документы являются дубликатами (п. 3.3).

6) Копиями документа на машинном носителе считаются документы, переписанные с подлинника или дубликата документа на машинном носителе на другой носитель информации, аутентичные по содержанию и содержащие указание, что эти документы являются копиями (п. 3.4).

7) В дубликатах и копиях должны быть сохранены все обязательные реквизиты, содержащиеся в подлиннике документа на машинном носителе.

11. Производят поиск следов интеллектуального подлога и материальной подделки документа и его носителя.

12. Распечатывают документ в человекочитаемой форме на бумаге и прикладывают к протоколу следственного действия.

13. В случае, если машинным носителем информации является оперативное запоминающее устройство либо нет возможности изъять МНИ с осмотренным документом, принимаются меры к копированию электронного документа на другой МНИ или получается его машинограмма⁷.

14. Полученные в ходе осмотра документы и предметы оформляются и изымаются соответствующим процессуальным порядком.

44 что осмотр - это непосредственное обнаружение, восприятие и исследование следователем материальных объектов, имеющих отношение к исследуемому событию.  Выемка - следственное действие, в процессе которого производится изъятие объектов, имеющих значение для правильного решения задач уголовного судопроизводства, в тех случаях, когда их местонахождение точно известно следователю и изъятие прямо или косвенно не нарушает прав личности. Для участия в обыске и выемке целесообразно приглашать специалиста в области компьютерной техники.

При осмотрах, обысках, выемках, сопряженных с изъятием ЭВМ, машинных носителей и информации возникает ряд общих проблем, связанных со спецификой изымаемых технических средств.

Так, необходимо предвидеть меры безопасности, предпринимаемые преступниками с целью уничтожения вещественных доказательств.

Применительно к компьютерным преступлениям обыск и выемка производятся чаще всего, когда имеются сведения о лицах, причастных к их совершению, способах, средствах или месте преступного посягательства с использованием компьютерных технологий и вероятном местонахождении доказательств. При проведении обыска и выемки (в отличие от осмотра места происшествия) круг поиска доказательств сужен не только до конкретного  помещения, где находится компьютерная техника, но зачастую до отдельного компьютера или устройства, содержащего конкретную информацию и иные следы преступления.

Методика и тактика проведения обыска и выемки при расследовании преступлений в сфере компьютерной информации имеют свои особенности и   отличаются от аналогичных следственных действий при расследовании других преступлений.

Это обусловлено не только опасностью умышленного уничтожения информации, имеющей доказательственное значение, еще не выявленными соучастниками преступления, либо иными заинтересованными лицами среди персонала по месту работы подозреваемого или его близких по месту жительства, но и вероятностью неосторожного поведения следователя и других членов следственно-оперативной группы, которые в результате неправильного и неквалифицированного обращения с программно-аппаратными средствами могут повредить информацию либо уничтожить следы.

Одним из важнейших условий проведения обыска (выемки) является строгое соблюдение установленных правил обращения с компьютерной техникой и носителями информации, технически грамотное проведение поиска электронных доказательств, иной нужной информации.  

Обыск (выемка) производятся:

- на рабочем месте  конкретного лица (лиц) в организации, на предприятии, где находится компьютерное оборудование, с помощью которого совершено преступное посягательство на информационные базы данных этих же организаций, предприятий;

- в служебных помещениях организаций, предприятий, с использованием компьютерного оборудования которых конкретным или еще не установленным лицом (лицами) совершено преступное посягательство на информационные базы данных сторонних организаций и предприятий;

- по месту постоянного или временного жительства подозреваемого или лиц из ближайшего его окружения, где установлено компьютерное оборудование, использовавшееся при совершении преступления;

- в любом месте нахождения компьютерного оборудования (например, Notebook);

Процесс обыска (выемки) можно условно разделить на четыре этапа: подготовка, начало обыска (выемки), непосредственное проведение, а также заключительная стадия.

На подготовительном этапе необходимо:

1. При подборе специалиста в области компьютерных технологий для участия в проведении обыска (выемки) учитывать особенности компьютерной технологии, использованной при совершении данного преступления, поскольку нет универсальных специалистов, которые одинаково бы разбирались во всех программно-технических средствах.  

2. Оценить с участием специалиста данные, полученные в ходе расследования до проведения обыска (выемки), включая сведения:

На начальной стадии обыска (выемки) необходимо:

1. По прибытии на место проведения следственного действия запретить всем находящимся в помещении лицам прикасаться к компьютерам, машинным носителям, включать и выключать аппаратуру и энергопитание. Любые попытки осуществить какие-либо действия с компьютером или подключенными к нему устройствами могут быть расценены как попытка уничтожения доказательств, что следует отразить в протоколе обыска (выемки).

2. Произвести обзорную фото и видео съемку обыскиваемого помещения и находящегося в нем компьютерного оборудования до того, как приступить к производству обыска.

3. Определить объем предстоящего обыска, т.е. автономный компьютер (как, например, в квартире) или компьютерная сеть (в учреждении, организации, на предприятии).

4. Принять дополнительные меры по обеспечению сохранности информации.

На заключительной стадии обыска (выемки) следует:

1. Определить с помощью специалиста (с учетом использования компьютера как орудия преступления или источника доказательств), какие носители информации следует изъять (а если это выемка – подлежат выемке). Изымаются те носители, которые содержат или с наибольшей вероятностью могут содержать доказательства совершенного преступления. Таковыми являются:

- системные блоки компьютера, в которых установлены жесткие диски, изымать которые отдельно от системного блока нецелесообразно, переносные  компьютеры (notebook);

- клавиатура (некоторые их типы могут самостоятельно выступать в качестве терминала и имеют дисковые накопители);

- принтеры (имеющие платы памяти, в которых хранятся задания на печать), а также, при необходимости, и иные компоненты компьютера;

- съемные машинные носители информации (дискеты, лазерные компакт-диски, магнитные ленты).

Изымаются и все остальные указанные выше вещественные доказательства совершенного преступления, а также техническая и иная документация, имеющая отношение к подлежащему изъятию (выемке) оборудованию и носителям информации.

2. Подготовить для изъятия (выемки) намеченные аппаратные средства.

С этой целью необходимо:

- завершить работу компьютерной системы;

- выключить электропитание;

- промаркировать устройства компьютера перед тем, как их отсоединить и изъять, наклеить липкие листы или ленты с указанием даты и подписями следователя, специалиста, понятых и владельца (пользователя) данных аппаратных средств (ими могут быть не только подозреваемый, но и персонал организации – администраторы сети, операторы и т.д.). Рекомендуется, чтобы устройства, соединенные с одним центральным процессом, были помечены одним номером, а каждое устройство должно иметь наклейку в тех местах, к которым подсоединены кабели;

- отсоединить все кабели, предварительно зафиксировав их положение (с помощью фото-видеосъемки). Все кабели, которые соединяют изымаемые устройства компьютера, также маркируются с обоих концов и изымаются. Липкой лентой с подписями участников обыска (выемки) пломбируются все имеющиеся разъемы и кнопки с тем, чтобы исключить возможность включения компьютера и его устройств без нарушения пломбирования;

- опломбировать корпус аппаратного устройства с тем, чтобы исключить возможность его вскрытия;

- разъединить устройства компьютера и упаковать раздельно, с указанием на упаковке съемных машинных носителей информации места их обнаружения. Разъединение рекомендуется начать с периферийных устройств. Упаковка, а затем и вывоз (транспортировка) изъятого оборудования и машинных носителей производятся с учетом рекомендаций изготовителя, указанных в инструкциях, и мер по обеспечению сохранности, предусмотренных для компьютерной техники.

3. Оформить протокол обыска (выемки)

45 Вопрос об изъятии документов надлежит согласовать со специалистами, при этом в протоколе необходимо указать наименование и название подлежащих изъятию документов, количество экземпляров, число страниц, место обнаружения. Особенно это важно при изъятии данных в «почтовых ящиках» электронной почты. Такое изъятие осуществляется по правилам наложения ареста и выемки почтово-телеграфной корреспонденции с предъявлением соответствующих требований к владельцу почтового узла, где находится конкретный «почтовый ящик».

При изъятии отдельных устройств вычислительной техники и машинных носителей информации, обнаруженных в процессе осмотра места происшествия, рекомендуется соблюдать следующие правила их упаковки и транспортировки:

1. Средства компьютерной техники изымаются только в выключенном состоянии, при этом должны быть выполнены и отражены в протоколе следующие действия:

- установка включенного состояния оборудования и фиксация порядка его отключения;

- описание точного местонахождения изымаемых предметов и их расположения относительно друг друга и окружающих предметов (с приложением необходимых схем и планов);

- описание порядка соединения между собой всех устройств с указанием особенностей соединения (цвет, количество, размеры, характерные индивидуальные признаки соединительных проводов, кабелей, шлейфов, разъемов, штекеров и их спецификация);

- определение отсутствия либо наличия компьютерной сети, используемого канала (каналы) связи и телекоммуникаций (в этом случае должен быть установлен и зафиксирован тип связи, используемая аппаратура, абонентский номер, позывной либо рабочая частота);

- разъединение (с соблюдением всех необходимых мер предосторожности) и опломбирование их технических входов и выходов;

- определение вида упаковки и транспортировки изъятых предметов.

2. Упаковку устройств вычислительной техники и машинных носителей информации желательно производить в специальную тару, в которой данная техника поставляется предприятием – изготовителем (если, разумеется, она сохранилась).

3. Сменные носители компьютерной информации (дискеты, лазерные диски, магнитные ленты стримеров и др.) должны быть упакованы отдельно друг от друга, т.е. каждый в свой конверт (бумажный, пластмассовый или полиэтиленовый), либо завернуты в плотную бумагу (для предотвращения электромагнитного воздействия). Магнитный носитель информации целесообразно также обернуть в бытовую алюминиевую фольгу.

4. Технические устройства при отсутствии заводской тары упаковываются в ящики (желательно, деревянные), в которых в качестве внутренних перегородок используются прокладки из упругого материала (гофрированного картона, пенопласта, толстого слоя бумаги).

5. Упакованная техника и машинные носители должны быть опечатаны и снабжены удостоверительными надписями. Вопросы упаковки компьютерной техники и носителей также желательно уточнить со специалистом.

6. Транспортировка устройств вычислительной техники и машинных носителей информации осуществляется так, чтобы не допустить:

- механического воздействия на аппаратуру;

- влияния атмосферных факторов (дождя, снега, повышенной влажности);

- воздействия электромагнитных излучений;

- влияния слишком высоких и низких температур, помня, что аппаратура, содержащая в себе носители информации, должна храниться в диапазоне температур от 0 до +50О С.

 Определить с помощью специалиста (с учетом использования компьютера как орудия преступления или источника доказательств), какие носители информации следует изъять (а если это выемка – подлежат выемке). Изымаются те носители, которые содержат или с наибольшей вероятностью могут содержать доказательства совершенного преступления. Таковыми являются:

- системные блоки компьютера, в которых установлены жесткие диски, изымать которые отдельно от системного блока нецелесообразно, переносные  компьютеры (notebook);

- клавиатура (некоторые их типы могут самостоятельно выступать в качестве терминала и имеют дисковые накопители);

- принтеры (имеющие платы памяти, в которых хранятся задания на печать), а также, при необходимости, и иные компоненты компьютера;

- съемные машинные носители информации (дискеты, лазерные компакт-диски, магнитные ленты).

Изымаются и все остальные указанные выше вещественные доказательства совершенного преступления, а также техническая и иная документация, имеющая отношение к подлежащему изъятию (выемке) оборудованию и носителям информации.

2. Подготовить для изъятия (выемки) намеченные аппаратные средства.

С этой целью необходимо:

- завершить работу компьютерной системы;

- выключить электропитание;

- промаркировать устройства компьютера перед тем, как их отсоединить и изъять, наклеить липкие листы или ленты с указанием даты и подписями следователя, специалиста, понятых и владельца (пользователя) данных аппаратных средств (ими могут быть не только подозреваемый, но и персонал организации – администраторы сети, операторы и т.д.). Рекомендуется, чтобы устройства, соединенные с одним центральным процессом, были помечены одним номером, а каждое устройство должно иметь наклейку в тех местах, к которым подсоединены кабели;

- отсоединить все кабели, предварительно зафиксировав их положение (с помощью фото-видеосъемки). Все кабели, которые соединяют изымаемые устройства компьютера, также маркируются с обоих концов и изымаются. Липкой лентой с подписями участников обыска (выемки) пломбируются все имеющиеся разъемы и кнопки с тем, чтобы исключить возможность включения компьютера и его устройств без нарушения пломбирования;

- опломбировать корпус аппаратного устройства с тем, чтобы исключить возможность его вскрытия;

- разъединить устройства компьютера и упаковать раздельно, с указанием на упаковке съемных машинных носителей информации места их обнаружения. Разъединение рекомендуется начать с периферийных устройств. Упаковка, а затем и вывоз (транспортировка) изъятого оборудования и машинных носителей производятся с учетом рекомендаций изготовителя, указанных в инструкциях, и мер по обеспечению сохранности, предусмотренных для компьютерной техники.

46-49 http://www.sudexpert.ru/possib/comp.php

Судебные компьютерно-технические экспертизы (СКТЭ) производятся в целях определения статуса объекта как компьютерного средства, выявления и изучения его роли в расследуемом преступлении, а также получения доступа к информации на носителях данных с последующим всесторонним ее исследованием.

Родовая классификация СКТЭ организована на основе обеспечивающих компонент любого компьютерного средства (аппаратного, или технического, программного и информационного обеспечения). Соответственно этому в СКТЭ выделяются: 1) аппаратно-компьютерная экспертиза; 2) программно-компьютерная экспертиза; 3) информационно-компьютерная экспертиза (данных); 4) компьютерно-сетевая экспертиза.

Данная классификация может быть эффективно использована при назначении комплексных экспертиз и решения большого перечня задач.

I. Сущность судебной аппаратно-компьютерной экспертизы заключается в проведении исследования технических (аппаратных) средств компьютерной системы. Предметом данного вида СКТЭ являются факты и обстоятельства, устанавливаемые на основе исследования закономерностей эксплуатации аппаратных средств компьютерной системы — материальных носителей информации о факте или событии гражданского либо уголовного дела.

Вопросы, разрешаемые судебной аппаратно-компьютерной экспертизой.

1. Относится ли представленное устройство к аппаратным компьютерным средствам? 2. К какому типу (марке, модели) относится аппаратное средство? Каковы его технические характеристики и параметры? 3. Каково функциональное предназначение аппаратного средства? 4. Какова роль и функциональные возможности данного аппаратного средства в конкретной компьютерной системе? 5. Относится ли данное аппаратное средство к представленной компьютерной системе? 6. Используется ли данное аппаратное средство для решения конкретной функциональной задачи? 7. Какое первоначальное состояние (конфигурацию, характеристики) имело аппаратное средство? 8. Каково фактическое состояние (исправно, неисправно) представленного аппаратного средства? Имеются ли в нем отклонения от типовых (нормальных) параметров, в том числе и физические дефекты? 9. Какие эксплуатационные режимы установлены на данном аппаратном средстве? 10. Является ли неисправность данного средства следствием нарушения определенных правил эксплуатации? 11. Каковы причины изменения функциональных (потребительских) свойств в начальной конфигурации представленного аппаратного средства? 12. Является ли представленное аппаратное средство носителем информации? 13. Каков вид (тип, модель, марка) представленного носителя информации? 14. Какое запоминающее устройство предназначено для работы с данным накопителем информации? Имеется ли в составе представленной компьютерной системы запоминающее устройство для работы с этим носителем информации? 15. Каковы параметры (форм-фактор, емкость, среднее время доступа к данным, скорость передачи данных и др.) носителя информации? Какой метод хранения данных реализован на представленном носителе? 16. Доступен ли для чтения представленный носитель информации? 17. Каковы причины отсутствия доступа к носителю информации?

II. Для осуществления экспертного исследования программного обеспечения предназначена судебная программно-компьютерная экспертиза. Ее предметом являются закономерности разработки (создания) и применения (использования) программного обеспечения компьютерной системы, представленной на исследование в целях установления истины по гражданскому или уголовному делу. Целью судебной программно-компьютерной экспертизы является изучение функционального предназначения, характеристик и реализуемых требований, алгоритма и структурных особенностей, текущего состояния представленного на исследование программного обеспечения компьютерной системы.

На разрешение судебных экспертиз этого рода ставятся следующие вопросы.

1. Какова общая характеристика представленного программного обеспечения, из каких компонент (программных средств) оно состоит? 2. Какую классификацию имеют конкретные программные средства (системные или прикладные) представленного программного обеспечения? Обладают ли они признаками контрафактности? 3. Каково наименование, тип, версия, вид представления (явный, скрытый, удаленный) программного средства? 4. Каковы реквизиты разработчика и владельца данного программного средства? 5. Каков состав соответствующих файлов программного обеспечения, каковы их параметры (объемы, даты создания, атрибуты)? 6. Какое общее функциональное предназначение имеет программное средство? 7. Имеются ли на носителях информации программные средства для реализации определенной функциональной за¬дачи? 8. Какие требования предъявляет данное программное средство к аппаратным средствам компьютерной системы? 9. Какова совместимость конкретного программного средства с программным и аппаратным обеспечением компьютерной системы? 10. Используется ли данное программное средство для решения определенной функциональной задачи? 11. Каково фактическое состояние программного средства, его работоспособность по реализации отдельных (конкретных) функций? 12. Каким образом организован ввод и вывод данных в представленном программном средстве? 13. Имеются ли в программном средстве отклонения от нормальных параметров типовых программных продуктов (например, свойства инфицирования, недокументированных функций)? 14. Имеет ли программное средство защитные возможности (программные, аппаратно-программные) от несанкционированного доступа и копирования? 15. Каким образом организованы защитные возможности программного средства? 16. Каков общий алгоритм данного программного средства? 17. Какие программные инструментальные средства (языки программирования, компиляторы, стандартные библиотеки) использовались при разработке данного программного средства? 18. Имеются ли на носителях информации тексты (коды) с первоначальным состоянием программы? 19. Подвергался ли алгоритм программного средства модификации по сравнению с исходным состоянием? В чем это нашло отражение? 20. Какой вид имело программное средство до его последней модификации? 21. Использованы ли в алгоритме программы и ее тексте какие-либо специфические (нестандартные) приемы алгоритмизации и программирования? 22. С какой целью было произведено изменение каких-либо функций в программном средстве? 23. Направлены ли внесенные изменения в программное средство на преодоление его защиты? 24. Достигается ли решение определенных задач после внесения изменений в программное средство? 25. Каким способом были произведены изменения в программе (преднамеренно, воздействием вредоносной программы, ошибками программной среды, аппаратным сбоем и др.)? 26. Какова хронология внесения изменений в программном средстве? 27. Какова хронология использования программного средства (начиная с ее инсталляции)? 28. Имеются ли в программном средстве враждебные функции, которые влекут уничтожение, блокирование, модификацию либо копирование информации, нарушение работы компьютерной системы? 29. Каковы последствия дальнейшей эксплуатации определенного программного средства?

III. Судебная информационно-компьютерная экспертиза (данных) является ключевым видом СКТЭ, так как позволяет завершить целостное построение доказательственной базы путем окончательного разрешения большинства вопросов, связанных с компьютерной информацией. Целью этого вида является поиск, обнаружение, анализ и оценка информации, подготовленной пользователем или порожденной (созданной) программами для организации информационных процессов в компьютерной системе.

Судебная информационно-компьютерная экспертиза (данных) производится для разрешения следующих вопросов.

1. Как отформатирован носитель информации и в каком виде на него записаны данные? 2. Каковы характеристики физического размещения данных на носителе информации? 3. Каковы характеристики логического размещения данных на носителе информации? 4. Какие свойства, характеристики и параметры (объемы, даты создания-изменения, атрибуты и др.) имеют данные на носителе информации? 5. Какого вида (явный, скрытый, удаленный, архив) информация имеется на носителе? 6. К какому типу относятся выявленные (определенные) данные (текстовые, графические, база данных, электронная таблица, мультимедиа, запись пластиковой карты, данные постоянного запоминающего устройства и др.) и какими программными средствами они обеспечиваются? 7. Каким образом организован доступ (свободный, ограниченный и проч.) к данным на носителе информации и каковы его характеристики? 8. Какие свойства, характеристики имеют выявленные средства защиты данных и какие пути ее преодоления возможны? 9. Какие признаки преодоления защиты (либо попыток несанкционированного доступа) имеются на носителе информации? 10. Каково содержание защищенных данных? 11. Каково фактическое состояние выявленных данных и соответствует ли оно типовому состоянию на соответствующих носителях данных? 12. Какие несоответствия типовому представлению имеются в выявленных данных (нарушение целостности, несоответствие формата, вредоносные включения и проч.)? 13. Каковы пользовательские (потребительские) свойства и предназначение данных на носителе информации? 14. Какие данные для решения определенной функциональной (потребительской) задачи имеются на носителе информации? 15. Какие данные с фактами и обстоятельствами конкретного дела находятся на представленном носителе информации? 16. Какие данные о собственнике (пользователе) компьютерной системы (в том числе имена, пароли, права доступа и проч.) имеются на носителях информации? 17. Какие данные с представленных на экспертизу документов (образцов) и в каком виде (целостном, фрагментарном) находятся на носителе информации? 18. Каково первоначальное состояние данных на носителе (в каком виде, какого содержания и с какими характеристиками, атрибутами находились определенные данные до их удаления или модификации)? 19. Каким способом и при каких обстоятельствах произведены действия, или операции (блокирование, модификация, копирование, удаление определенных данных), на носителе информации? 20. Какой механизм (последовательность действий) по решению конкретной задачи отражен в определенных данных на носителе информации? 21. Какая хронологическая последовательность действий (операций) с выявленными данными имела место при решении конкретной задачи (например, подготовки изображений денежных знаков, ценных бумаг, оттисков печатей и т. п.)? 22. Какая причинная связь имеется между действиями (вводом, модификацией, удалением и проч.) с данными и произошедшим событием (например, нарушением в работе компьютерной системы, в том числе сбоями в программном и аппаратном обеспечении)? 23. Какова степень соответствия (или несоответствия) действий с конкретной информацией специальному регламенту или правилам эксплуатации определенной компьютерной системы?

IV. Судебная компьютерно-сетевая экспертиза в отличие от предыдущих основывается, прежде всего, на функциональном предназначении компьютерных средств, реализующих какую-либо сетевую информационную технологию. Она выделена в отдельный вид в связи с тем, что лишь использование специальных знаний в области сетевых технологий позволяет соединить воедино полученные объекты, сведения о них и эффективно решить поставленные экспертные задачи. Особое место в компьютерно-сетевой экспертизе занимают экспертные исследования, связанные с интернет-технологиями.

Судебная экспертиза этого рода производится для решения следующих задач:

а) определение свойств и характеристик аппаратного средства и программного обеспечения, установление места, роли и функционального предназначения исследуемого объекта в сети (например, для программного средства в отношении к сетевой операционной системе; для аппаратного средства — отношение к серверу, рабочей станции, активного сетевого оборудования и т. д.); б) выявление свойств и характеристик вычислительной сети, установление ее архитектуры, конфигурации, выявление установленных сетевых компонент, организации доступа к данным; в) определение соответствия выявленных характеристик типовым для конкретного класса средств сетевой технологии, определение принадлежности средства к серверной или клиентской части приложений; г) определение фактического состояния и исправности сетевого средства, наличия физических дефектов, состояния системного журнала, компонент управлением доступа; д) установление первоначального состояния вычислительной сети в целом и каждого сетевого средства в отдельности, возможного места покупки (приобретения), уточнение изменений, внесенных в первоначальную конфигурацию (например, добавление дополнительных сетевых устройств, устройств расширения на сервере либо рабочих станциях и проч.); е) определение причин изменения свойств вычислительной сети (например, по организации уровней управления доступом), установление факта нарушения режимов эксплуатации сети, фактов (следов) использования внешних («чужих») программ и т. п.; ж) определение свойств и состояния вычислительной сети по ее отображению в информации носителей данных (например, RAID-массивы; жесткие диски, флоппи-диски, CD-ROM, ZIP-накопители и т. п.); з) определение структуры механизма и обстоятельства события в сети по его результатам (например, сценария несанкционированного доступа, механизма распространения в сети вредоносных функций и т. д.); и) установление причинной связи между использованием конкретных аппаратно-программных средств вычислительной сети и результатами их применения.

Как видно, задачи судебной компьютерно-сетевой экспертизы охватывают практически все основные задачи основных родов СКТЭ, т. е. решение аппаратных, программных и информационных аспектов при установлении фактов и обстоятельств дела.

Наиболее часто встречаемыми в практике вопросами являются следующие.

1. Имеются ли признаки работы данного компьютерного средства в сети Интернет? 2. Какие аппаратные средства использовались для подключения к Интернету? 3. Имеются ли заготовленные соединения с узлом сети Интернет и каковы их свойства (номера телефонов провайдера, имена и пароли пользователя, даты создания)? 4. Каково содержание установок программы удаленного доступа к сети и протоколов соединений? 5. Какие имеются адреса Интернета, по которым осуществлялся доступ с данного компьютерного средства? 6. Имеется ли какая-либо информация о проведении электронных платежей и использовании кодов кредитных карт? 7. Имеются ли почтовые сообщения, полученные (а также отправленные) по электронной почте? 8. Имеются ли сообщения, полученные (отправленные) посредством использования программ персональной связи через Интернет, и каково их содержание?