Экспертиза компьютеров и цифровых данных

Компьютерная экспертиза востребована в ситуациях, когда техническое устройство, программное обеспечение или цифровые данные становятся предметом спора, расследования либо проверки. Компьютер используется не только для общения и развлечений, но и для работы, хранения документов, управления информационными системами и обмена сведениями.

Исследование может проводиться в рамках гражданского, уголовного или административного производства, а также до обращения в суд. Его основная задача заключается в том, чтобы получить специальные знания о технических и цифровых объектах, которые невозможно оценить только с помощью обычного осмотра.

Что позволяет установить исследование

В зависимости от поставленных вопросов специалист может определить:

• фактическое состояние компьютера, периферийных устройств и отдельных комплектующих;
• соответствие установленного программного обеспечения заявленным характеристикам и документации;
• наличие признаков изменения, удаления или несанкционированной установки программ;
• характер технической неисправности и ее влияние на работоспособность устройства;
• наличие на носителе определенных файлов, сведений или фрагментов данных;
• способ удаления, перезаписи или повреждения информации;
• признаки использования конкретного устройства для создания, изменения или передачи файла;
• наличие защищаемой или конфиденциальной информации;
• соответствие программного продукта оригинальной версии и признаки его модификации.

Вопросы, связанные с авторством программного кода или документов, требуют особенно осторожного подхода. Технические признаки могут свидетельствовать о способе создания файла, времени его изменения, используемом программном обеспечении и особенностях учетной записи, однако окончательные правовые выводы о виновности или принадлежности результата деятельности делает не эксперт, а уполномоченный орган.

Объекты компьютерной экспертизы

Объектом исследования может быть как отдельное устройство, так и совокупность цифровых следов. К ним относятся:

• системные блоки, ноутбуки, планшеты и смартфоны;
• жесткие диски, твердотельные накопители, карты памяти и другие носители;
• серверное оборудование и сетевые устройства;
• операционные системы, прикладные программы и базы данных;
• электронные документы, журналы событий, переписка и метаданные файлов;
• данные, размещенные в информационных системах и сети Интернет;
• резервные копии, образы дисков и сведения о подключении устройств.

Перед началом работы важно определить предмет исследования. Если вопрос сформулирован слишком широко, специалисту может быть трудно выделить юридически значимые обстоятельства. Например, вместо общего вопроса о том, «кто пользовался компьютером», целесообразно установить, с какого устройства выполнялся вход, когда создавался конкретный файл и какие учетные данные использовались.

Какие вопросы можно поставить перед специалистом

Перечень вопросов зависит от обстоятельств дела и состояния представленных объектов. На практике могут исследоваться следующие обстоятельства:

• какова модель и конфигурация представленного компьютера;
• соответствуют ли фактические характеристики устройства сведениям, указанным в документах;
• имеются ли признаки замены, модернизации или повреждения комплектующих;
• какая неисправность возникла и могла ли она повлиять на работу техники;
• проводилась ли настройка устройства для пользователей с особыми потребностями;
• содержится ли на носителе необходимая информация и в каком виде она сохранена;
• имеются ли признаки сокрытия, удаления или восстановления данных;
• какие действия выполнялись с определенным файлом или учетной записью;
• содержит ли устройство установленное программное обеспечение и имеются ли признаки его изменения;
• какие технические сведения позволяют определить источник сетевого подключения;
• какова степень утраты или повреждения цифровой информации;
• каким способом данные были уничтожены, перезаписаны или изменены.

Не каждый вопрос может быть решен техническими методами. Например, эксперт способен исследовать цифровые следы и определить обстоятельства работы устройства, но не должен подменять суд или орган расследования, устанавливая юридическую виновность конкретного лица.

Значение заключения специалиста

В Республике Казахстан порядок назначения и проведения судебной экспертизы регулируется Законом Республики Казахстан «О судебно-экспертной деятельности». Процессуальное значение заключения определяется соответствующим видом производства, включая нормы Гражданского процессуального кодекса Республики Казахстан и Уголовно-процессуального кодекса Республики Казахстан.

Заключение должно содержать описание исследованных объектов, примененных методов, проведенных действий и полученных результатов. В нем также указываются выводы по вопросам, поставленным перед экспертом. Документ может быть использован судом наряду с другими доказательствами, но не имеет заранее установленной силы и оценивается с учетом всей совокупности материалов дела.

Если исследование затрагивает персональные данные, необходимо учитывать требования Закона Республики Казахстан «О персональных данных и их защите». При работе с программами, документами и цифровыми произведениями также могут иметь значение нормы Закона Республики Казахстан «Об авторском праве и смежных правах».

Как сохранить цифровые доказательства

Надежность результата во многом зависит от того, как устройство или носитель были обнаружены, изъяты и переданы на исследование. Желательно зафиксировать внешний вид объекта, его состояние, подключенные кабели и индикаторы работы. Самостоятельное включение, очистка, установка программ или копирование файлов могут изменить цифровые следы.

При передаче устройства важно обеспечить его сохранность и описать индивидуальные признаки. В ряде случаев специалист работает не с оригиналом, а с цифровым образом носителя. Такой подход позволяет проводить исследование без постоянного воздействия на исходные данные и снижает риск их случайного изменения.

Особое значение имеют журналы событий, сведения о времени создания и изменения файлов, данные об учетных записях, история подключений и резервные копии. При этом дата, указанная в свойствах файла, не всегда подтверждает момент его фактического создания, поэтому обычно оценивается совокупность технических признаков.

Когда исследование может быть полезно

Компьютерная экспертиза применяется при спорах о неисправности техники, утрате электронных документов, неправомерном доступе к информационной системе, распространении конфиденциальных сведений и использовании программного обеспечения. Она также помогает проверить доводы о том, что файл был изменен после определенного события или что устройство не могло выполнять заявленные функции.

Для получения объективного результата необходимо заранее определить обстоятельства, которые требуется подтвердить, сформулировать понятные вопросы и предоставить специалисту относящиеся к делу материалы. Чем точнее обозначены границы исследования, тем легче отличить технические факты от предположений и сделать выводы, пригодные для правовой оценки.