Несанкционированное распространение информации относится к числу наиболее серьезных угроз цифровой среды. Утечка может произойти в организации, государственном учреждении или в личной переписке. При этом значение имеют не только сам факт публикации или передачи данных, но и способ получения информации, круг лиц, получивших к ней доступ, а также последствия для владельца данных.
Компьютерное исследование по таким делам позволяет установить технические обстоятельства инцидента. Специалист анализирует электронные устройства, журналы событий, переписку, сетевую активность и другие цифровые следы. Полученные результаты могут использоваться для внутреннего расследования, защиты нарушенных прав и доказывания обстоятельств дела.
Что устанавливается при компьютерном исследовании
Исследование проводится для ответа на конкретные вопросы, имеющие значение для ситуации. В зависимости от обстоятельств могут устанавливаться:
- какая информация была скопирована, изменена, опубликована или передана;
- когда и с какого устройства осуществлялся доступ к данным;
- какие учетные записи, приложения или сетевые соединения использовались;
- имелись ли признаки удаления, сокрытия или изменения электронных файлов;
- могла ли информация быть получена в результате действий пользователя либо вследствие внешнего вмешательства;
- соответствуют ли представленные электронные материалы исходным данным.
Важно различать технический и правовой вопросы. Специалист устанавливает, каким образом происходили действия с информацией и какие цифровые следы они оставили. Окончательная юридическая оценка, включая вопрос о наличии правонарушения или преступления, относится к компетенции суда и органов расследования.
Правовое регулирование защиты информации
В Республике Казахстан обработка и защита персональных данных регулируются Законом Республики Казахстан «О персональных данных и их защите». Документ определяет основные принципы работы с персональными данными, права субъектов данных и обязанности собственников и операторов информационных систем.
Вопросы функционирования информационных систем, электронных ресурсов и информационной безопасности рассматриваются в рамках Закона Республики Казахстан «Об информатизации». Его положения имеют значение при анализе доступа к информационным системам, сохранности электронных ресурсов и обязанностей участников цифрового взаимодействия.
В зависимости от способа распространения сведений и характера последствий могут применяться нормы Кодекса Республики Казахстан об административных правонарушениях, Уголовного кодекса Республики Казахстан, а также положения гражданского законодательства о защите личных неимущественных прав и возмещении вреда.
Если цифровые материалы используются в рамках уголовного производства, порядок их получения, проверки и оценки определяется Уголовно-процессуальным кодексом Республики Казахстан. Электронные файлы и сведения из информационных систем должны быть получены и сохранены таким образом, чтобы можно было проверить их происхождение и целостность.
Основные причины утечек
Внешнее вмешательство
Злоумышленники могут получить доступ к учетным записям или информационным системам с помощью вредоносных программ, подбора паролей, фишинговых сообщений и использования уязвимостей программного обеспечения. После этого данные могут быть скопированы, изменены или размещены в открытом доступе.
Действия работников и пользователей
Утечка не всегда связана с атакой извне. Причиной могут стать ошибочная отправка файла не тому адресату, использование личного носителя, публикация сведений в открытом чате или намеренная передача данных лицу, не имеющему соответствующего разрешения.
Недостаточный контроль
Риск возрастает, если в организации отсутствует разграничение доступа, не ведутся журналы событий, сотрудники используют одинаковые пароли, а резервные копии хранятся без надлежащей защиты. В таких условиях бывает трудно установить момент утечки и конкретного пользователя, совершившего действие.
Как проводится исследование
Сбор и фиксация материалов
На первом этапе определяются источники цифровой информации. Ими могут быть компьютеры, мобильные устройства, серверы, системы видеонаблюдения, электронная почта, облачные хранилища и журналы сетевой активности.
Особое внимание уделяется сохранению исходного состояния носителей. При работе с данными применяются методы, позволяющие не изменять оригинальные файлы и зафиксировать их технические характеристики. Это важно для последующей проверки достоверности результатов.
Анализ цифровых следов
Исследователь сопоставляет временные отметки, сведения о входах в систему, историю операций с файлами и сетевые соединения. Анализ помогает определить последовательность событий и установить, какие действия происходили до и после распространения информации.
При необходимости проверяются удаленные файлы, метаданные документов, история подключений внешних устройств и признаки использования программ для сокрытия активности. Сам по себе найденный файл не всегда подтверждает факт распространения, поэтому оценивается совокупность связанных между собой данных.
Определение характера и последствий инцидента
Изучается содержание распространенных сведений, их объем, режим доступа и круг возможных получателей. Отдельно оценивается, содержались ли в материалах персональные данные, коммерческая тайна, служебная информация или сведения, затрагивающие частную жизнь.
В юридическом смысле последствия зависят от конкретных обстоятельств. Значение могут иметь продолжительность доступа к данным, возможность их дальнейшего копирования, число затронутых лиц и наличие подтвержденного вреда.
Оформление результатов
По итогам работы составляется документ с описанием объектов исследования, примененных методов, выявленных обстоятельств и сделанных выводов. Формулировки должны быть понятными, проверяемыми и не выходить за пределы специальных знаний.
Для процессуального использования важно указать, откуда получены материалы, кто их передал, в каком состоянии они находились и какие действия выполнялись при исследовании. Нарушения порядка обращения с цифровыми объектами могут поставить под сомнение достоверность выводов.
Какие материалы обычно имеют значение
- системные и прикладные журналы событий;
- данные электронной почты и корпоративных мессенджеров;
- история входов в учетные записи;
- резервные копии и образы цифровых носителей;
- сведения о подключении внешних устройств;
- сетевые журналы и данные средств защиты информации;
- документы, фотографии, видеозаписи и иные файлы;
- протоколы осмотра устройств и результаты их изъятия.
Копирование отдельных файлов без фиксации источника и условий получения может оказаться недостаточным. Для надежной проверки желательно сохранять не только содержание документа, но и сведения о его расположении, времени создания, изменении и способе извлечения.
Профилактика несанкционированного распространения
- Установить правила доступа. Работники должны получать только тот объем полномочий, который необходим им для выполнения обязанностей.
- Использовать многофакторную аутентификацию. Дополнительное подтверждение личности снижает риск компрометации учетной записи.
- Вести журналы событий. Регистрация входов, копирования и передачи файлов помогает своевременно обнаружить подозрительную активность.
- Обучать работников. Регулярные инструктажи позволяют распознавать фишинговые сообщения и соблюдать правила обращения с данными.
- Шифровать важную информацию. При утрате устройства шифрование затрудняет доступ к содержащимся на нем сведениям.
- Проверять настройки доступа. Общие папки, облачные хранилища и ссылки на документы необходимо регулярно пересматривать.
- Разработать порядок реагирования. Организация должна заранее определить, кто фиксирует инцидент, сохраняет цифровые следы и уведомляет заинтересованных лиц.
Что делать при обнаружении утечки
Прежде всего следует сохранить имеющиеся сведения и не предпринимать действий, которые могут изменить цифровые следы. Не рекомендуется самостоятельно переустанавливать программное обеспечение, удалять переписку или очищать журналы событий.
Необходимо зафиксировать время обнаружения инцидента, перечень затронутых систем и известных пользователей. Если сведения относятся к персональным данным, организация должна оценить ситуацию с учетом требований законодательства о персональных данных и внутренних процедур информационной безопасности.
В дальнейшем могут потребоваться техническое исследование устройств, осмотр информационных систем, анализ переписки и иные процессуальные действия. Их содержание определяется обстоятельствами дела и полномочиями соответствующих органов.
Итог
Компьютерное исследование при утечке информации помогает восстановить последовательность событий, определить способ доступа к данным и проверить достоверность цифровых материалов. Его результаты имеют наибольшую практическую ценность, когда информация собрана законным способом, сохранена без изменений и сопровождается понятным описанием происхождения.
Для широкой аудитории главное правило заключается в том, что цифровые сведения требуют такого же внимательного обращения, как и документы на бумаге. Своевременная фиксация инцидента, ограничение доступа и сохранение электронных следов повышают возможности для защиты нарушенных прав.
