3. Следственные версии.

При выдвижении версий совершения преступлений в сфере компь­ютерной информации необходимо учитывать, что они совершаются обычно группой из 2 и более человек, хотя не исключена возможность работы преступника - одиночки. В таком случае он сам или, если действует группа, один из ее членов, является либо сотрудником данного учреж­дения, либо имеет свободный доступ к компьютерам (представитель службы технической или программной поддержки, программист работаю­щий по контракту и т.д.), умеет работать с вычислительной техникой, хорошо представляет, какая информация и где расположена в компьюте­ре. Интерес обычно представляет информация, содержащая государс­твенную или коммерческую тайну (например информация базы данных пе­редвижении оружия, наркотиков и т.д.).

В основном, как правило, информация преступниками копируется на магнитный носитель, хотя не исключена возможность передачи ее по сетям телекоммуникации, распечатки на бумаге, кино-, фото-, видео­съемки изображения экрана и действий оператора или перехват с по­мощью специальных технических средств. Копирование может осущест­вляться как на портативный компьютер (Notebook) с подключением его к локальной вычислительной сети, так и непосредственно к последова­тельному или параллельному порту конкретной ЭВМ с помощью специаль­ного кабеля.

Преступление обычно происходит в рабочее время и внешне не от­личается от обычной работы в учреждении. Похищенная информация ис­пользуется в дальнейшем самими преступниками для подготовки хище­ний или может быть продана заинтересованным лицам.

Учитывая конкретные обстоятельства, следователем могут быть выдвинуты и проверены следующие общие версии:

3.1. Преступление совершено сотрудником данного учреждения, либо лицом, имеющим свободный доступ к компьютерной технике.

3.2. Преступление совершено сторонним лицом, входящим в круг родственников, друзей, знакомых сотрудников учреждений.

3.3. Преступление совершено группой лиц по предварительному сговору или организованной группой с участием сотрудника данного

учреждения, либо лица имеющего свободный доступ к компьютерной тех­нике и в совершенстве владеющего навыками работы с ней.

3.4. Преступление совершено лицом или группой лиц, не связан­ных с деятельностью учреждения и не представляющих ценность компь­ютерной информации.

Приведенный перечень следственных версий является общим, и в зависимости от конкретной ситуации может быть расширен.

4. Экспертные исследования.

В зависимости от стоящих перед следствием задач и спецификой объектов исследования для установления конструктивных особенностей и состояния компьютеров, периферийных устройств, магнитных носите­лей и пр., компьютерных сетей, причин возникновения сбоев в работе указанного оборудования, а также изучения информации, хранящейся в компьютере и на магнитных носителях назначается компьютерно-техни­ческая экспертиза.

4.1. Объекты компьютерно-технической экспертизы.

4.1.1. Компьютеры в сборке, их системные блоки;

4.1.2. Периферийные устройства (дисплеи, принтеры, дисководы, модемы, клавиатура, сканеры, манипуляторы типа "мышь", джойстки и пр.), коммуникационные устройства компьютеров и вычислительных се­тей;

4.1.3. Магнитные носители информации (жесткие и флоппи-диски, оптические диски, ленты);

4.1.4. Словари поисковых признаков систем (тезаурусы), класси­фикаторы и иная техническая документация, например, технические за­дания и отчеты;

4.1.5. Электронные записные книжки, пейджеры, телефонные аппа­раты с памятью номеров, иные электронные носители текстовой или цифровой информации, техническая документация к ним.

В системе Министерства внутренних дел в настоящее время нет специальных экспертных подразделений, которые производят компьютер­но-технические экспертизы носителей машинной информации, программ­ного обеспечения, баз данных и аппаратного обеспечения ЭВМ. В связи с этим они могут быть назначены специалистам соответствующей квалификации из внеэкспертных учреждений. В частности, такие специалисты могут быть в информационных центрах, учебных и научно-исследова­тельских заведениях МВД России. Кроме того, для производства этого вида экспертиз можно привлекать специалистов учебных и научно-исс­ледовательских заведений, не относящихся к системе МВД России, фирм и организаций, занимающихся разработкой программного и аппаратного обеспечения для компьютеров, их эксплуатацией и ремонтом. Данный вид экспертиз может быть поручен специалистам в области эксплуата­ции ЭВМ (системным программистам, инженерам по обслуживанию, непос­редственно работающим с данного вида носителями и др.) и програм­мистам, которые обладают соответствующей квалификацией.

При вынесении постановления о назначении компьютерно-техничес­кой экспертизы следователем, в постановлении о ее назначении, обя­зательно указываются серийный номер компьютера и его индивидуальные признаки (конфигурация, цвет, надписи на корпусе и т.д.).

Учитывая, что компьютерно-техническая экспертиза - новый фор­мирующийся род судебных экспертиз, необходимость в которых обуслов­ливается широким внедрением компьютерных технологий практически во все сферы человеческой деятельности полезным будет дать краткую ха­рактеристику ее возможностей.

В настоящее время в рамках этого рода экспертиз выделяются два вида:

- техническая экспертиза компьютеров и их комплектующих, кото­рая проводится в целях изучения конструктивных особенностей и сос­тояния компьютера, его периферийных устройств, магнитных носителей и пр., компьютерных сетей, а также причин возникновения сбоев в ра­боте вышеуказанного оборудования;

- экспертиза данных и программного обеспечения, осуществляемая в целях изучения информации, хранящейся в компьютере и на магнитных носителях.

Вопросы, выносимые на разрешение компьютерно-технической экс­пертизы, в зависимости от вида экспертизы также подразделяются на две группы.

4.2. Вопросы, разрешаемые технической экспертизой компьютеров и их комплектующих (диагностические).

4.2.1. Компьютер какой модели представлен на исследование? Ка­ковы технические характеристики его системного блока и периферийных устройств? Каковы технические характеристики данной вычислительной сети?

4.2.2. Где и когда изготовлен и собран данный компьютер и его комплектующие? Осуществлялась ли сборка компьютера в заводских ус­ловиях или кустарно?

4.2.3. Соответствует ли внутреннее устройство компьютера и пе­риферии прилагаемой технической документации? Не внесены ли в конс­трукцию компьютера изменения (например, установка дополнительных встроенных устройств: жестких дисков, устройств для расширения опе­ративной памяти, считывания оптических дисков и пр., иные изменения конфигурации)?

4.2.4. Исправен ли компьютер и его комплектующие? Каков их из­нос? Каковы причины неисправности компьютера и периферийных уст­ройств? Не содержат ли физических дефектов магнитные носители ин­формации?

4.2.5. Не производилась ли адаптация компьютера для работы с ним специфических пользователей (левша, слабовидящий и пр.)?

4.2.6. Каковы технические характеристики иных электронных средств приема, накопления и выдачи информации (пейджер, электрон­ная записная книжка, телефонный сервер)? Исправны ли эти средства? Каковы причины неисправностей?

4.3. Диагностические вопросы, разрешаемые экспертизой данных и программного обеспечения.

4.3.1. Какая операционная система использована в компьютере?

4.3.2. Каково содержание информации, хранящейся на внутренних и внешних магнитных носителях, в том числе какие программные про­дукты там находятся? Каково назначение программных продуктов? Каков алгоритм их функционирования, способа ввода и вывода информации? Какое время проходит с момента введения данных до вывода результа­тов при работе данной компьютерной программы, базы данных?

4.3.3. Являются ли данные программные продукты лицензионными (или несанкционированными) копиями стандартных систем или ориги­нальными разработками?

4.3.4. Не вносились ли в программы данного системного продукта какие-либо коррективы (какие), изменяющие выполнение некоторых опе­раций (каких)?

4.3.5. Соответствует ли данный оригинальный компьютерный про­дукт техническому заданию? Обеспечивается ли при его работе выпол­нение всех предусмотренных функций?

4.3.6. Использовались ли для ограничения доступа к информации пароли, скрытые файлы, программы защиты и пр.? Каково содержание скрытой информации? Не предпринимались ли попытки подбора паролей, взлома защитных средств и иные попытки несанкционированного досту­па?

4.3.7. Возможно ли восстановление стертых файлов? Возможно ли восстановление дефектных магнитных носителей информации? Каково со­держание восстановленных файлов?

4.3.8. Каков механизм утечки информации из локальных вычисли­тельных сетей, глобальных сетей и распределенных баз данных?

4.3.9. Имеются ли сбои в функционировании компьютера, работе отдельных программ? Каковы причины этих сбоев? Не вызваны ли сбои в работе компьютера влиянием вируса (какого)? Распространяется ли не­гативное влияние вируса на большинство программ или он действует только на определенные программы? Возможно ли восстановить в полном объеме функционирование данной программы (текстового файла), пов­режденного вирусом?

4.3.10. Каково содержание информации, хранящейся на пейджере, в электронной записной книжке и пр.? Имеется ли в книжке скрытая информация и каково ее содержание?

4.3.11. Когда производилась последняя корректировка данного файла или инсталляция данного программного продукта?

4.3.12. Каков был уровень профессиональной подготовки в облас­ти программирования и работы с компьютерной техникой лица, произ­ведшего данные действия с компьютером и программным обеспечением?