Компьютерная экспертиза востребована в ситуациях, когда техническое устройство, программное обеспечение или цифровые данные становятся предметом спора, расследования либо проверки. Компьютер используется не только для общения и развлечений, но и для работы, хранения документов, управления информационными системами и обмена сведениями.
Исследование может проводиться в рамках гражданского, уголовного или административного производства, а также до обращения в суд. Его основная задача заключается в том, чтобы получить специальные знания о технических и цифровых объектах, которые невозможно оценить только с помощью обычного осмотра.
Что позволяет установить исследование
В зависимости от поставленных вопросов специалист может определить:
- фактическое состояние компьютера, периферийных устройств и отдельных комплектующих;
- соответствие установленного программного обеспечения заявленным характеристикам и документации;
- наличие признаков изменения, удаления или несанкционированной установки программ;
- характер технической неисправности и ее влияние на работоспособность устройства;
- наличие на носителе определенных файлов, сведений или фрагментов данных;
- способ удаления, перезаписи или повреждения информации;
- признаки использования конкретного устройства для создания, изменения или передачи файла;
- наличие защищаемой или конфиденциальной информации;
- соответствие программного продукта оригинальной версии и признаки его модификации.
Вопросы, связанные с авторством программного кода или документов, требуют особенно осторожного подхода. Технические признаки могут свидетельствовать о способе создания файла, времени его изменения, используемом программном обеспечении и особенностях учетной записи, однако окончательные правовые выводы о виновности или принадлежности результата деятельности делает не эксперт, а уполномоченный орган.
Объекты компьютерной экспертизы
Объектом исследования может быть как отдельное устройство, так и совокупность цифровых следов. К ним относятся:
- системные блоки, ноутбуки, планшеты и смартфоны;
- жесткие диски, твердотельные накопители, карты памяти и другие носители;
- серверное оборудование и сетевые устройства;
- операционные системы, прикладные программы и базы данных;
- электронные документы, журналы событий, переписка и метаданные файлов;
- данные, размещенные в информационных системах и сети Интернет;
- резервные копии, образы дисков и сведения о подключении устройств.
Перед началом работы важно определить предмет исследования. Если вопрос сформулирован слишком широко, специалисту может быть трудно выделить юридически значимые обстоятельства. Например, вместо общего вопроса о том, «кто пользовался компьютером», целесообразно установить, с какого устройства выполнялся вход, когда создавался конкретный файл и какие учетные данные использовались.
Какие вопросы можно поставить перед специалистом
Перечень вопросов зависит от обстоятельств дела и состояния представленных объектов. На практике могут исследоваться следующие обстоятельства:
- какова модель и конфигурация представленного компьютера;
- соответствуют ли фактические характеристики устройства сведениям, указанным в документах;
- имеются ли признаки замены, модернизации или повреждения комплектующих;
- какая неисправность возникла и могла ли она повлиять на работу техники;
- проводилась ли настройка устройства для пользователей с особыми потребностями;
- содержится ли на носителе необходимая информация и в каком виде она сохранена;
- имеются ли признаки сокрытия, удаления или восстановления данных;
- какие действия выполнялись с определенным файлом или учетной записью;
- содержит ли устройство установленное программное обеспечение и имеются ли признаки его изменения;
- какие технические сведения позволяют определить источник сетевого подключения;
- какова степень утраты или повреждения цифровой информации;
- каким способом данные были уничтожены, перезаписаны или изменены.
Не каждый вопрос может быть решен техническими методами. Например, эксперт способен исследовать цифровые следы и определить обстоятельства работы устройства, но не должен подменять суд или орган расследования, устанавливая юридическую виновность конкретного лица.
Значение заключения специалиста
В Республике Казахстан порядок назначения и проведения судебной экспертизы регулируется Законом Республики Казахстан «О судебно-экспертной деятельности». Процессуальное значение заключения определяется соответствующим видом производства, включая нормы Гражданского процессуального кодекса Республики Казахстан и Уголовно-процессуального кодекса Республики Казахстан.
Заключение должно содержать описание исследованных объектов, примененных методов, проведенных действий и полученных результатов. В нем также указываются выводы по вопросам, поставленным перед экспертом. Документ может быть использован судом наряду с другими доказательствами, но не имеет заранее установленной силы и оценивается с учетом всей совокупности материалов дела.
Если исследование затрагивает персональные данные, необходимо учитывать требования Закона Республики Казахстан «О персональных данных и их защите». При работе с программами, документами и цифровыми произведениями также могут иметь значение нормы Закона Республики Казахстан «Об авторском праве и смежных правах».
Как сохранить цифровые доказательства
Надежность результата во многом зависит от того, как устройство или носитель были обнаружены, изъяты и переданы на исследование. Желательно зафиксировать внешний вид объекта, его состояние, подключенные кабели и индикаторы работы. Самостоятельное включение, очистка, установка программ или копирование файлов могут изменить цифровые следы.
При передаче устройства важно обеспечить его сохранность и описать индивидуальные признаки. В ряде случаев специалист работает не с оригиналом, а с цифровым образом носителя. Такой подход позволяет проводить исследование без постоянного воздействия на исходные данные и снижает риск их случайного изменения.
Особое значение имеют журналы событий, сведения о времени создания и изменения файлов, данные об учетных записях, история подключений и резервные копии. При этом дата, указанная в свойствах файла, не всегда подтверждает момент его фактического создания, поэтому обычно оценивается совокупность технических признаков.
Когда исследование может быть полезно
Компьютерная экспертиза применяется при спорах о неисправности техники, утрате электронных документов, неправомерном доступе к информационной системе, распространении конфиденциальных сведений и использовании программного обеспечения. Она также помогает проверить доводы о том, что файл был изменен после определенного события или что устройство не могло выполнять заявленные функции.
Для получения объективного результата необходимо заранее определить обстоятельства, которые требуется подтвердить, сформулировать понятные вопросы и предоставить специалисту относящиеся к делу материалы. Чем точнее обозначены границы исследования, тем легче отличить технические факты от предположений и сделать выводы, пригодные для правовой оценки.
