Методика расследования преступлений в сфере компьютерных технологий. Факт неправомерного доступа к информации. Типичные следственные ситуации по делам о компьютерных преступлениях

Информация и информационные правоотношения стали новым предметом преступного посягательства. К преступлениям этой категории УК РФ относит: неправомерный доступ к компьютерной информации (ст. 272); создание, использование и распространение вредоносных программ для ЭВМ (ст. 273); нарушение правил эксплуатации ЭВМ, их системы или сети (ст. 274).

Общий объект указанных преступлений - общественные отношения по обеспечению информационной безопасности, а непосредственными объектами преступного посягательства являются: базы и банки данных, отдельные файлы конкретных компьютерных систем и сетей, а также компьютерные технологии и программные средства, включая те, которые обеспечивают защиту компьютерной информации от неправомерного доступа.

Под информацией понимают сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Документированная информация - это зафиксированные на материальном носителе сведения с реквизитами, позволяющими их идентифицировать. Компьютерная информация является документированной, но хранящейся в ЭВМ или управляющей ею в соответствии с программой и (или) предписаниями пользователя.

К машинным носителям компьютерной информации относят устройства памяти ЭВМ, ее периферийные устройства, компьютерные средства связи, сетевые устройства и сети электросвязи.

Статья 272 УК РФ устанавливает ответственность, если неправомерный доступ к компьютерной информации привел к таким негативным последствиям, как уничтожение, блокирование, модификация, копирование информации либо нарушение работы ЭВМ, их системы или сети.

Уничтожение информации - это такое изменение ее состояния, которое лишает ее первоначального качества, вследствие чего она перестает отвечать своему прямому назначению. Под блокированием понимается временная или постоянная невозможность доступа к информации со стороны законного пользователя, а под модификацией - ее видоизменение с появлением новых, нежелательных свойств. Копирование - это воспроизведение точного или относительно точного аналога оригинала; а нарушение работы ЭВМ, их системы или сети - замедление, зацикливание, прекращение действия программы, нарушение порядка выполнения команд, отказ в выдаче информации, отключение элементов компьютерной системы, другие нештатные ситуации.

При этом системой считается взаимосвязанная совокупность ЭВМ с их единым организационно-техническим обеспечением, а сетью - объединение действующих на определенной территории систем ЭВМ.

При расследовании неправомерного доступа к компьютерной информации следственные задачи решаются в такой очередности:

1) устанавливается: а) факт неправомерного доступа к информации в компьютерной системе или сети, б) место несанкционированного проникновения в эту систему или сеть и в) время совершения преступления;

2) определяется: а) способ несанкционированного доступа и степень надежности средств защиты компьютерной информации, б) лица, совершившие неправомерный доступ, их виновность и мотивы преступления, в) вредные последствия содеянного.

Факт неправомерного доступа к информации

Факт неправомерного доступа к информации первыми, как правило, обнаруживают пользователи компьютерной системы или сети. Такие факты иногда устанавливаются в ходе оперативно-розыскной деятельности органов внутренних дел, ФСБ , ФСНП. Их можно выявить и в ходе прокурорских проверок, ревизий , судебных экспертиз, следственных действий по уголовным делам.

Признаками несанкционированного доступа или подготовки к нему могут служить: а) появление в компьютере искаженных данных; 6) необновление в течение длительного времени кодов, паролей и других защитных средств компьютерной системы; в) увеличение числа сбоев в работе ЭВМ; г) участившиеся жалобы пользователей компьютерной системы или сети.

Таким фактам могут предшествовать или сопутствовать: 1) осуществление без необходимости сверхурочных работ; 2) немотивированные отказы отдельных сотрудников, обслуживающих компьютерную систему или сеть, от отпуска; 3) приобретение работником для личного пользования дорогостоящего компьютера; 4) чистые дискеты или диски, принесенные на работу сотрудниками компьютерной системы под предлогом копирования программ для компьютерных игр; 5) участившиеся случаи перезаписи отдельных данных без серьезных на то причин; 6) подозрительный интерес некоторых работников к содержанию чужих принтерных распечаток; 7) повторный ввод в компьютер одной и той же информации.

Необходимо выделить также признаки неправомерного доступа, выражающиеся в отступлениях от установленного порядка обработки документов. Имеются в виду: а) нарушения принятых правил оформления документов и изготовления машинограмм; б) лишние документы, подготовленные для обработки на ЭВМ; в) несоответствие информации, содержащейся в первичных документах, данным машинограмм; г) преднамеренные утрата или уничтожение первичных документов и машинных носителей информации, внесение искажений в данные их регистрации. Следует, однако, помнить, что перечисленные признаки могут быть результатом не только злоупотреблений, но и других причин, например случайных ошибок и сбоев компьютерной техники.

Место несанкционированного доступа

Место несанкционированного доступа в компьютерную систему или сеть удается установить с немалыми трудностями, ибо таких мест может быть несколько. На практике чаще обнаруживается место неправомерного доступа к компьютерной информации с целью хищения денежных средств , но и для этого приходится выявлять все места работы компьютеров, имеющих единую телекоммуникационную связь.

Гораздо проще это место устанавливается в случае несанкционированного доступа к единичному компьютеру. Но и тут нужно учитывать, что информация на машинных носителях может храниться в других помещениях, которые тоже подлежат установлению.

Значительно труднее определить место непосредственного применения технических средств удаленного несанкционированного доступа, которые, естественно, не входят в данную компьютерную систему или сеть. К его установлению необходимо привлекать соответствующих специалистов. Подлежат выяснению и места хранения информации на машинных носителях, добытой преступником в результате неправомерного доступа к компьютерной системе или сети.

Время несанкционированного доступа

Время несанкционированного доступа устанавливается с помощью программ общесистемного назначения, которые в работающем компьютере обычно фиксируют текущее время. Это позволяет по соответствующей команде вывести на экран дисплея сведения о точном времени выполнения той или иной операции. Если данная программа работает, то при несанкционированном входе в систему или сеть время работы на компьютере любого пользователя и производства конкретной операции автоматически фиксируются в оперативной памяти. Тогда время несанкционированного доступа можно определить в ходе следственного осмотра компьютера, его распечаток или дискет, производимого с помощью специалиста, чтобы информация, находящаяся в оперативной памяти ЭВМ или на дискете, не была случайно стерта.

Время несанкционированного доступа устанавливается и путем допроса свидетелей из числа сотрудников данной компьютерной системы. Выясняется, когда конкретно каждый из них работал на ЭВМ, если это не было зафиксировано в автоматическом режиме.

Способы преступной деятельности

Способы преступной деятельности в среде компьютерной информации могут быть разделены на две большие группы. Первая группа преступных действий осуществляется без использования компьютерных устройств в качестве инструмента для проникновения извне в информационные системы или воздействия на них. Это могут быть: а) хищение машинных носителей информации в виде блоков и элементов ЭВМ: б) использование визуальных, оптических и акустических средств наблюдения за ЭВМ; в) считывание и расшифровка различных электромагнитных излучений компьютера и обеспечивающих систем; г) фотографирование информации в процессе ее обработки; д) изготовление бумажных дубликатов входных и выходных документов, копирование распечаток; е) использование визуальных, оптических и акустических средств наблюдения за лицами, имеющими отношение к необходимой злоумышленнику информации, подслушивание их разговоров; ж) осмотр и изучение не полностью утилизированных отходов деятельности вычислительных центров; з) вступление в прямой контакт с лицами, имеющими отношение к необходимой злоумышленнику информации и получение от них под разными предлогами нужных сведений и др.

Для таких действий, как правило, характерны достаточно локальная следовая картина, определяющаяся тем, что место совершения преступных действий и дислокация объекта преступного посягательства расположены вблизи друг от друга или совпадают, и традиционны приемы по их исследованию.

Вторая группа преступных действий осуществляется с использованием компьютерных и коммуникационных устройств в качестве инструмента для проникновения в информационные системы или воздействия на них.

Так, несанкционированный доступ реализуется с помощью различных способов: подбором пароля, использованием чужого имени, отысканием и применением пробелов в программе, а также других мер преодоления защиты компьютерной информации. Конкретный способ несанкционированного доступа можно установить путем допроса свидетелей из числа лиц, обслуживающих компьютерную систему, и ее разработчиков. У них необходимо выяснить, как преступник мог проникнуть в защищенную систему, например, узнать идентификационный номер законного пользователя, код, пароль для доступа, получить сведения о других средствах защиты системы или сети ЭВМ.

Способ несанкционированного доступа надежнее установить путем производства судебной информационно-технической экспертизы. Перед экспертом ставится вопрос: «Каким способом был осуществлен несанкционированный доступ в данную компьютерную систему?» Для этого эксперту нужно представить всю проектную документацию на взломанную компьютерную систему, а также данные о ее сертификации. При производстве такой экспертизы не обойтись без использования компьютерного оборудования той же системы, которую взломал преступник, либо специальных технических и программных средств.

В ряде случаев целесообразно производство следственного эксперимента для проверки возможности преодоления средств защиты компьютерной системы одним из предполагаемых способов. Одновременно может быть проверена возможность появления на экране дисплея закрытой информации или ее распечатки вследствие ошибочных, неумышленных действий оператора либо из-за случайного технического сбоя в электронном оборудовании.

Выясняя надежность средств зашиты компьютерной информации, прежде всего следует установить, предусмотрены ли в данной системе или сети ЭВМ меры защиты от несанкционированного доступа, в том числе к определенным файлам. Это выясняется в ходе допросов разработчиков и пользователей системы, а также при изучении проектной документации и инструкций по эксплуатации системы. Изучая инструкции, нужно обращать особое внимание на разделы о мерах защиты информации, порядке допуска пользователей к конкретным данным, разграничении их полномочий, организации контроля за доступом. Важно разобраться в аппаратных, программных, криптографических, организационных и других методах защиты информации, поскольку для обеспечения высокой степени надежности компьютерных систем, обрабатывающих документированную информацию с ограниченным доступом, используется комплекс мер по обеспечению их безопасности от несанкционированного доступа.

Так, законодательством предусмотрена обязательная сертификация средств защиты систем и сетей ЭВМ, а также обязательное лицензирование всех видов деятельности в области проектирования и производства названных средств. Поэтому в ходе расследования необходимо выяснить: 1) есть ли лицензия на производство средств защиты информации от несанкционированного доступа, задействованных в данной компьютерной системе, и 2) соответствуют ли их параметры выданному сертификату. Ответить на последний вопрос может информационно-техническая экспертиза, с помощью которой выясняется: соответствуют ли средства защиты информации от несанкционированного доступа, использованные в данной компьютерной системе, выданному сертификату? Правда, ответственность за выявленные отклонения, позволившие несанкционированный доступ к компьютерной информации, ложится на пользователя системы, а не на разработчика средств ее защиты.

При установлении лиц, совершивших несанкционированный доступ к закрытой компьютерной информации

При установлении лиц, совершивших несанкционированный доступ к закрытой компьютерной информации, следует учитывать, что он является технологически весьма сложным. Осуществить его могут только специалисты, имеющие достаточно высокую квалификацию. Поэтому поиск подозреваемых лучше начинать с технического персонала пострадавших компьютерных систем или сетей. Это в первую очередь их разработчики, а также руководители, операторы, программисты, инженеры связи, специалисты по защите информации и т.д.

Следственная практика свидетельствует, что, чем технически сложнее способ проникновения в компьютерную систему или сеть, тем легче установить подозреваемого, ибо круг специалистов, обладающих соответствующими способностями, весьма ограничен.

Похищенные программы и базы данных могут быть обнаружены в ходе обысков у обвиняемых, а также при оперативно-розыскных мероприятиях. Если незаконно полученная информация - конфиденциальна или имеет категорию государственной тайны , то вред, причиненный ее разглашением, устанавливается представителями Гостехкомиссии РФ.

Факты незаконного изменения, уничтожения, блокирования информации, выведения из строя компьютерного оборудования, закачки в информационную систему заведомо ложных сведений устанавливаются прежде всего самими пользователями компьютерной системы или сети. Надо помнить, что не все эти негативные последствия наступают в результате умышленных действий. Их причиной могут стать случайные сбои в работе компьютерного оборудования, происходящие довольно часто.

При определении размера вреда, причиненного несанкционированным доступом, учитываются не только прямые затраты на ликвидацию негативных последствий, но и упущенная выгода. Такие последствия устанавливаются в ходе следственного осмотра компьютерного оборудования и носителей информации с анализом баз и банков данных, допросов технического персонала, владельцев информационных ресурсов. Вид и размер ущерба обычно определяются посредством комплексной экспертизы, проводимой с участием специалистов в области информатизации, средств вычислительной техники и связи, экономики , финансовой деятельности и товароведения.

На заключительном этапе расследования формируется целостное представление об обстоятельствах, которые облегчили несанкционированный доступ к компьютерной информации. Здесь важно последовательное изучение различных документов, особенно относящихся к защите информации. Весьма значимы материалы ведомственного (служебного) расследования.

К этим обстоятельствам относятся: 1) неэффективность методов защиты компьютерной информации от несанкционированного доступа; 2) совмещение функций разработки и эксплуатации программного обеспечения в рамках одного структурного подразделения; 3) неприменение в технологическом процессе всех имеющихся средств и процедур регистрации операций, действий программ и обслуживающего персонала; 4) нарушение сроков изменения паролей пользователей, а также сроков хранения копий программ и компьютерной информации.

Расследование создания, использования и распространения вредоносных программ для ЭВМ

К вредоносным программам для ЭВМ прежде всего относятся так называемые компьютерные вирусы, т.е. программы, могущие внедряться в другие программы, размножаться и при определенных условиях повреждать компьютерные системы, хранящуюся в них информацию и программное обеспечение. Свое название они получили потому, что многие их свойства аналогичны свойствам природных вирусов. Компьютерный вирус может самовоспроизводиться во всех системах определенного типа. Некоторые из них безопасны, однако большинство приносит существенный вред.

Имеются также иные вредоносные программы, используемые обычно для хищений денежных средств в компьютерных банковских системах и совершения других злоупотреблений в сфере компьютерной информации.

Непосредственный объект данного преступления - это общественные отношения по безопасному использованию ЭВМ, ее программного обеспечения и информационного содержания. Часть 1 ст. 273 УК РФ предусматривает совершение одного из следующих действий: а) создание программы или внесение в нее изменений, заведомо влекущих несанкционированное уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, их системы или сети; б) использование или распространение подобных программ либо машинных носителей с ними. Изменением программы является преобразование алгоритма, описанного в ней на специальном языке, а распространением - расширение сферы ее применения.

Часть 2 этой статьи предусматривает более опасное преступление - любое из вышеуказанных действий, повлекшее тяжкие последствия. Причем возможны две формы вины : умысел по отношению к действиям и неосторожность относительно общественно опасных последствий. Этим преступлениям свойственна высокая латентность, особенно трудно выявлять создателей вредоносных программ.

Основные задачи расследования решаются в такой последовательности: 1) установление факта и способа создания, использования и распространения вредоносной программы для ЭВМ; 2) установление лиц, виновных в названных деяниях, а также вреда, причиненного ими.

Установление факта и способа создания, использования и распространения вредоносной программы для ЭВМ

Установление факта и способа создания, использования и распространения вредоносной программы для ЭВМ. Такая программа обнаруживается, как правило, тогда, когда уже проявились вредные последствия ее действия. Однако она может быть выявлена и в процессе антивирусной проверки, производимой при начале работы на компьютере, особенно если предстоит использование чужих дискет или дисков.

Разработка вредоносных программ для ЭВМ обычно осуществляется одним из двух способов.

1. Вредоносная программа разрабатывается прямо на одном из рабочих мест компьютерной системы, что, как правило, маскируется под правомерную повседневную работу. В силу своих служебных обязанностей разработчик имеет доступ к системе и обрабатываемой в ней информации, в том числе нередко к кодам и паролям. Сокрытие преступного характера своих действий разработчик осуществляет путем удаления компрометирующих данных или их хранения на собственных дискетах.

2. Программа создается вне сферы обслуживания компьютерной системы, для воздействия на которую она ориентирована. Злоумышленнику необходимы сведения о функционирующей в системе информации, способах доступа к ней, методах ее защиты. Для получения этих сведений он устанавливает связи с кем-либо из пользователей системы либо внедряется в нее посредством взлома.

Иногда вредоносная программа создается путем внесения изменений в действующую программу. Например, на Волжском автозаводе оказалось умышленно расстроенной работа трех линий главного сборочного конвейера, управляемого компьютером. Произошло это по вине инженера-программиста Урозбаева, который из низменных побуждений пять месяцев назад ввел в одну из взаимодействующих программ управления накопителем механических узлов заведомо неправильную последовательность команд счета подвесок и подачи шасси на главный конвейер. Тем самым предприятию был причинен крупный материальный ущерб, а кроме того, из-за сверхнормативного простоя главного сборочного конвейера не было собрано около 500 автомобилей «Жигули».

На факт создания вредоносной программы могут косвенно указывать следующие обстоятельства: а) повышенная заинтересованность посторонних лиц алгоритмами функционирования программ, работой системы блокировки и защиты, входной и выходной информацией; б) внезапный интерес к программированию лиц, в круг обязанностей которых оно не входит. Эти обстоятельства выявятся как в ходе оперативно-розыскных мероприятий, так и при производстве следственных действий, в частности допросов пользователей компьютерной системы, в которой обнаружились признаки действия вредоносной программы.

О создании вредоносной программы свидетельствуют факты ее использования и распространения, особенно данные, позволяющие заподозрить конкретное лицо в такой противоправной деятельности. При этом необходимы своевременные и тщательно произведенные обыски в местах работы и жительства подозреваемого, а также там, откуда он мог наладить доступ к компьютерной системе. К обыску целесообразно привлечь специалиста-программиста, который поможет обнаружить все имеющее отношение к созданию вредоносной программы для ЭВМ.

Факты использования и распространения вредоносной программы

Факты использования и распространения вредоносной программы нередко обнаруживаются с помощью антивирусных программ. В ходе расследования такие факты можно установить при осмотре следующих документов: а) журналов учета рабочего времени , доступа к вычислительной технике, ее сбоев и ремонта, регистрации пользователей компьютерной системы или сети, проведения регламентных работ; б) лицензионных соглашений и договоров на пользование программными продуктами и их разработку; в) книг паролей; приказов и других документов, регламентирующих работу учреждения и использование компьютерной информации. Эти документы нередко ведутся в электронной форме, поэтому к ознакомлению с ними необходимо привлекать специалиста. При изучении журналов, книг, соглашений и другой документации следователь может выяснить законность использования того или иного программного обеспечения, систему организации работы учреждения и использования в нем информации, доступа к ней и компьютерной технике, круг лиц, имевших на это право .

Конкретное место нарушения правил эксплуатации ЭВМ можно установить при осмотре автоматизированных рабочих мест пользователей компьютерной системы или сети. Осмотру подлежат все подключенные к ним ЭВМ. Осмотр должен проводиться с участием специалиста, помогающего выяснить дислокацию компьютера, работа на котором привела к вредным последствиям из-за преступного нарушения правил его эксплуатации.

Необходимо различать место нарушения правил и место наступления вредных последствий. Они не всегда совпадают, особенно когда нарушаются правила эксплуатации компьютерных сетей, в которых персональные ЭВМ подчас расположены на значительных расстояниях друг от друга.

При расследовании нарушения правил эксплуатации компьютерной сети очень важно установить, где расположена станция, эксплуатация которой велась с грубыми отступлениями от требований информационной безопасности. В первую очередь следует определить места, где по схеме развертывания сети дислоцированы рабочие станции, имеющие собственные дисководы, так как именно на них имеются потенциальные возможности для преступных нарушений правил эксплуатации компьютерной сети. Это, например, возможность для нарушителя скопировать данные с файлового сервера на свою дискету или использовать дискеты с различными программами, в том числе с компьютерными вирусами.

Такие действия, ставящие под угрозу целостность информации, содержащейся в центральных файловых серверах, на бездисковых рабочих станциях исключены. Рекомендуется производить следственный осмотр учетных данных, в которых могут быть отражены сведения о расположении конкретной рабочей станции, использующей файловый сервер. Кроме того, необходимо допросить в качестве свидетелей администратора сети и специалистов, обслуживающих файловый сервер, в котором произошло уничтожение, блокирование или модификация компьютерной информации.

Подлежат выяснению следующие вопросы: 1) на какой рабочей станции могли быть нарушены правила эксплуатации компьютерной сети, где она расположена; 2) могли ли быть нарушены правила эксплуатации данной локальной вычислительной сети на конкретной рабочей станции.

Если правила нарушены непосредственно на файловом сервере, то места нарушения и наступления вредных последствий совпадают.

Место нарушения правил может установить и информационно-техническая экспертиза, если перед ней поставлен вопрос: на какой конкретно рабочей станции локальной вычислительной сети были нарушены правила ее эксплуатации, что повлекло наступление вредных последствий?

При определении времени нарушения правил эксплуатации ЭВМ необходимо установить и зафиксировать еще и время наступления вредных последствий. Нарушение правил и наступление таких последствий могут произойти одновременно. Так, при отключении электропитания вследствие нарушения установленных правил обеспечения информационной безопасности может быть мгновенно уничтожена введенная в ЭВМ очень важная информация, которую не успели записать на дискету. Это неизбежно происходит в случае отсутствия источников автономного электропитания, автоматически подключающихся при отключении основного.

Возможен и большой временной интервал между моментом нарушения правил и временем наступления вредных последствий. Например, в определенный момент времени злоумышленник в нарушение установленных правил вносит изменения в программу или базу данных, а значительно позже наступают вредные последствия.

Время нарушения правил обычно конкретизируется по учетным данным, которые фиксируются в процессе эксплуатации ЭВМ. К ним относятся сведения о результатах применения средств автоматического контроля компьютерной системы, регистрирующих ее пользователей и моменты подключения к ней абонентов, содержание журналов учета сбойных ситуаций, передачи смен операторами ЭВМ, распечатки выходной информации, где, как правило, фиксируется время ее обработки.

Указанные данные могут быть получены благодаря осмотру места происшествия , выемке и осмотру необходимых документов. Осмотр места происшествия и документов проводится с участием специалиста. Время нарушения правил можно установить также путем допросов свидетелей из числа лиц, участвующих в эксплуатации ЭВМ. Допрашиваемым целесообразно задать следующие вопросы: 1) каким образом в данной компьютерной системе фиксируются факты и время отклонения от установленных правил эксплуатации ЭВМ; 2) когда могло быть нарушено определенное правило эксплуатации ЭВМ, повлекшее вредные последствия.

При необходимости может быть назначена судебная информационно-техническая экспертиза, перед которой для установления времени преступного нарушения правил можно сформулировать следующие вопросы: 1) как технически осуществляется автоматическая фиксация времени обращения пользователей к данной компьютерной системе или сети и всех изменений, происходящих в их информационных массивах; 2) можно ли по представленным машинным носителям информации установить время нарушения определенных правил эксплуатации ЭВМ, если да, то когда нарушение произошло.

Время наступления вредных последствий устанавливается по материалам служебного расследования и результатам осмотра места происшествия, а также путем допроса свидетелей и производства судебных экспертиз.

При осмотре места происшествия могут быть обнаружены машинные носители информации, на которых ранее хранились важные, охраняемые законом данные. Последние вследствие нарушения правил эксплуатации ЭВМ оказались уничтоженными или существенно измененными либо заблокированными. На носителях может быть зафиксировано время наступления таких последствий, которое выясняется при следственном осмотре, с помощью специалиста.

Указанные последствия часто обнаруживаются пользователями компьютерной системы или сети, а также администраторами базы данных. Поэтому при их допросах в качестве свидетелей следует уточнить, когда они впервые обнаружили отсутствие или существенное изменение сведений, находившихся в определенной базе данных.

Время наступления вредных последствий можно установить и в результате производства информационно-технической экспертизы, на разрешение которой ставятся следующие вопросы: 1) как технически осуществляется автоматическая фиксация времени уничтожения или изменения базы данных либо блокирования отдельных файлов; 2) можно ли по стертым или измененным вследствие нарушения правил эксплуатации ЭВМ базам данных установить время наступления вредных последствий и если да, то когда они наступили.

Способ нарушения правил эксплуатации ЭВМ может быть как активным, так и пассивным. Первый выражается в самовольном выполнении непредусмотренных операций при компьютерной обработке информации, а второй - в невыполнении предписанных действий.

Механизм нарушения

Механизм нарушения таких правил связан с технологией обработки информации на ЭВМ. Это, например, неправильное включение и выключение ЭВМ, использование посторонних дискет без предварительной проверки на наличие компьютерного вируса, невыполнение требования об обязательном копировании информации для ее сохранения на случай уничтожения оригинала.

Способ и механизм нарушения правил выясняется путем допросов свидетелей , подозреваемых и обвиняемых, проводимых с участием специалистов, проведения следственного эксперимента , производства судебной информационно-технической экспертизы. При ее назначении может быть поставлен вопрос: «Каков механизм нарушения правил эксплуатации ЭВМ?»

При допросах выясняется последовательность той или иной операции на ЭВМ, которая привела к нарушению правил. В ходе следственного эксперимента проверяется возможность наступления вредных последствий при нарушении определенных правил. Он проводится с использованием копий исследуемой информации и по возможности на той же ЭВМ, при работе на которой правила эксплуатации были нарушены.

Характер ущерба

Характер ущерба, причиненного преступным нарушением правил эксплуатации ЭВМ, может заключаться в уничтожении, блокировании или модификации охраняемой законом информации. Ущерб носит либо чисто экономический характер, либо вредит интересам государства вследствие утечки сведений, составляющих государственную тайну . Разглашение или утрата такой информации может создать серьезную угрозу внешней безопасности Российской Федерации, что влечет еще и уголовную ответственность по ст. 283 и 284 УК РФ. Степень секретности информации определяется в соответствии с Законом «О государственной тайне».

Размер ущерба устанавливается посредством информационно-экономической экспертизы, разрешающей вопрос: «Какова стоимость информации, уничтоженной (или измененной) вследствие нарушения правил эксплуатации ЭВМ?»

При установлении лица, допустившего преступное нарушение правил эксплуатации ЭВМ, следует иметь в виду, что виновным согласно ч. 1 ст. 274 УК может быть лицо, имеющее доступ к ЭВМ, их системе или сети. При этом необходимо различать субъектов, имеющих доступ к ЭВМ, и тех, кто имеет доступ к компьютерной информации, ибо не всякое лицо, допущенное к ЭВМ, имеет доступ к компьютерной информации. К ЭВМ, их системе или сети, как правило, имеют доступ определенные лица в силу выполняемой ими работы, связанной с применением средств компьютерной техники. Среди них и следует устанавливать нарушителей правил.

В отношении каждого из них устанавливается: а) фамилия, имя, отчество; б) занимаемая должность (относится к категории должностных лиц, ответственных за информационную безопасность и надежность работы компьютерного оборудования, либо к категории непосредственно отвечающих за обеспечение выполнения правил эксплуатации данной компьютерной системы или сети); в) образование, специальность, стаж работы по специальности и в данной должности, уровень профессиональной квалификации; г) конкретные обязанности по обеспечению информационной безопасности и нормативные акты , которыми они установлены (положение, приказ, распоряжение, контракт, договор , проектная документация на автоматизированную систему и пр.); д) причастность к разработке, внедрению в опытную и промышленную эксплуатацию данной компьютерной системы или сети; е) наличие и объем доступа к базам и банкам данных; ж) характеристика лица по месту работы; з) наличие домашнего компьютера и оборудования к нему.

Все это устанавливается посредством допросов свидетелей , подозреваемого и обвиняемого, осмотра и изучения эксплуатационных документов на данную компьютерную систему, осмотра компьютера, оборудования к нему, машинных носителей информации и распечаток.

Виновность лица

Виновность лица, совершившего преступное нарушение правил эксплуатации ЭВМ, устанавливается по результатам всех проведенных следственных действий. Соответствующие правила могут быть нарушены как умышленно, так и по неосторожности, в то время как относительно последствий вина может быть только неосторожной. При умышленном нарушении рассматриваемых правил и наличии умысла на наступление вредных последствий должна наступать ответственность за совокупность совершенных преступлений .

Обстоятельства, способствовавшие совершению данного преступления, выявляются путем изучения как общего состояния охраны информационной безопасности в определенной системе или сети, так и факторов, непосредственно обусловивших расследуемое событие. Многие обстоятельства, способствовавшие нарушению правил эксплуатации ЭВМ, устанавливаются по материалам служебного расследования.

§ 1. Родовая криминалистическая характеристика преступлений

Массовая компьютеризация, начавшаяся в России в конце 80-х – первой половине 90-х годов (несколько позже, чем в США и Западной Европе), привела к развитию рынка компьютеров и программного обеспечения, повышению профессиональной подготовки пользователей, увеличению потребностей организаций в совершенствовании технологий обработки данных, значительно расширила сферу применения ЭВМ, кᴏᴛᴏᴩые все чаще подключаются к сетям широкого доступа. Активно внедряется автоматизированная обработка бухгалтерской и иной производственной документации, "безбумажные" технологии. Информация, содержащаяся в компьютере, зачастую вообще не хранится на бумаге. Компьютер стал практически обязательным элементом рабочего стола не только руководителей, но и рядовых сотрудников.

Важно заметить, что одним из следствий ϶ᴛᴏго процесса явилась криминализация сферы оборота компьютерной информации, что вызвало необходимость законодательно регламентировать уголовную ответственность за совершение преступлений в данной сфере. Так, УК РФ определяет как преступления:

неправомерный доступ к компьютерной информации, повлекший за собой уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети (ст. 272);

создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами (ст. 273);

нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если ϶ᴛᴏ деяние причинило существенный вред (ст. 274)

Важно знать, что большинство таких преступлений совершается в кредитно-финан-совой сфере, однако эта уголовно-правовая категория далеко не охватывает всего спектра применения ЭВМ в криминальных целях. Компьютерную информацию нередко используют и в таких "традиционных" преступлениях, как приϲʙᴏение, мошенничество, фальшивомонетничество, лжепредпринимательство и др., например для: фальсификации платежных документов; хищения наличных и безналичных денежных

средств путем перечисления на фиктивные счета; "отмывания" денег; вторичного получения уже произведенных выплат; совершения покупок с использованием фальсифицированных или похищенных электронных платежных средств (кредитных карт); продажи секретной информации и пр.

Дать криминалистическую характеристику преступлений в данной сфере невозможно без определения понятия компьютерной информации. Федеральный закон "Об информации, информатизации и защите информации" определяет ее как "сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления". "Документированная информация;– зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать"1. При этом под криминалистически значимой информацией понимается совокупность знаний о совершенном преступлении. Как мы уже упоминали в главе 21, она может быть актуальной и потенциальной.

Компьютерная информация – информация на машинном носителе, в ЭВМ, системе или сети ЭВМ – также может быть криминалистически значимой, при расследовании и компьютерных преступлений, и посягательств, где ЭВМ выступает как объект (кража компьютера, незаконное использование машинного времени) или средство совершения преступления (использование ЭВМ для накопления информации, подделки документов и пр.) Программные продукты тоже могут использоваться и в качестве объекта преступления (незаконное копирование, причинение ущерба применением разрушающих программ – вирусов), и в качестве инструмента совершения преступления (несанкционированное проникновение в компьютерную систему, искажения и подлоги информации)

Компьютерная информация применительно к процессу доказывания может быть определена как фактические данные, обработанные компьютером и полученные на его выходе в форме, доступной восприятию ЭВМ либо человека или передающиеся по телекоммуникационным каналам, на базе кᴏᴛᴏᴩых в определенном законом порядке устанавливаются обстоятельства, имеющие значение для правильного разрешения дела2.

Источниками компьютерной информации служат: машинная распечатка; накопители на магнитных, оптических и иных носителях; база данных (фонд) оперативной памяти ЭВМ или постоянного запоминающего, устройства. Информация в ЭВМ вводится через стандартные (клавиатуру и накопители – на гибких (НГМД) и (или) на жестких магнитных дисках (НЖМД)) и нестандартные (мышь, модем, дигитайзер, сканер, аналого-цифровой преобразователь и др.) устройства ввода. Блок устройств вывода информации позволяет получить результаты работы

1 Федеральный закон "Об информации, информатизации и защите информации". Комментарий. М., 1996.

2 При подготовке раздела использованы материалы канд. дисс. Касаткина А. В. Тактика собирания и использования компьютерной информации при расследовании преступлений. М., 1997.

компьютера в привычном для пользователя виде. Стандартные устройства вывода – монитор (дисплей) и НГМД (НЖМД), нестандартные – принтер, модем, плоттер (графопостроитель) и др. Стоит сказать, для долговременного и надежного хранения данных создано множество устройств: магнитные и магнитооптические дисковые накопители, накопители на магнитной ленте и т. д.

Важно заметить, что одним из основных элементов криминалистической характеристики, особенно важным при расследовании преступлений в сфере движения компьютерной информации, будет способ совершения и сокрытия преступлений. Остановимся подробнее на способах использования вычислительной техники для достижения преступной цели:

1. Создание компьютерной базы данных, содержащей информацию о преступлении. В наибольшей степени типичным будут, например, базы данных о девушках, занимающихся проституцией, учета поступивших заказов, а также доходов от ϲʙᴏдничества, кᴏᴛᴏᴩые ведутся в диспетчерских ϲᴏᴏᴛʙᴇᴛϲᴛʙующих подпольных фирм.

2. Использование ЭВМ и периферийных устройств в качестве полиграфической базы для проектирования и изготовления фальсифицированных (подложных) документов, денежных знаков, кредитных карточек и т. д.

3. Использование электронных средств доступа (компьютерные, телекоммуникационные системы, кредитные карточки и т. д.) в целях хищения (приϲʙᴏения и кражи)

По оценкам отечественных и зарубежных исследователей, уровень латентности компьютерных преступлений составляет около 90%, а из оставшихся 10% выявленных раскрывается только 1%. Как показывает практика расследования других видов преступлений, использование компьютерной информации позволяет примерно в 50% случаев предъявить обвинение, а в 35% – оказывает существенную помощь в розыске преступников, достоверно устанавливая механизм совершения преступления.

Способы совершения компьютерных преступлений1 можно сгруппировать следующим образом.

I. Методы перехвата.

1. Непосредственный перехват – старейший из используемых способов. Требующееся оборудование можно приобрести в магазинах: микрофон, радиоприемник, кассетный диктофон, модем, принтер. Перехват данных осуществляется либо непосредственно через телефонный канал системы, либо подключением к компьютерным сетям. Вся информация записывается. Объектами подслушивания будут различные систе-мы – кабельные и проводные, наземные микроволновые, спутниковой и правительственной связи.

2. Электромагнитный перехват. Используются перехватывающие устройства, работающие без прямого контакта. Можно уловить излучение центральным процессором, дисплеем, телефоном, принтером, линиями микроволновой связи, считывать данные с дисплейных терминалов при помощи доступных каждому простейших технических средств

1 Использованы классификации Ю. М. Батурина и В. Б. Вехова.

§ 1. Криминалистическая характеристика преступлений

(дипольной антенны, телевизора) Преступники, находясь в автомашине или просто с приемником в портфеле на некᴏᴛᴏᴩом расстоянии от здания, могут, не привлекая к себе внимания, легко узнавать данные, хранящиеся в памяти ЭВМ или используемые в процессе работы. Во время экспериментов удавалось получать сведения, кᴏᴛᴏᴩые выводились одновременно на 25 дисплейных терминалах, расположенных в непосредственной близости друг от друга, и отделять выведенные на каждый экран данные. В случае если к телевизору подключить видеомагнитофон, то информацию можно не только накопить, но и спокойно проанализировать позднее.

3. Использование "жучков" ("клопов"), заключается в установке

микрофона в компьютере с целью прослушивания разговоров персонала.

Простой прием, обычно используемый как вспомогательный для полу

чения информации о работе компьютерной системы, о персонале, о

мерах безопасности и т. д. -

4. "Уборка мусора" – поиск данных, оставленных пользователем после работы с компьютером. Включает физический вариант – осмотр содержимого мусорных корзин и сбор оставленных за ненадобностью распечаток, деловой переписки и т. п. Электронный вариант основан на том, что последние из сохраненных данных обычно не стираются после завершения работы. Другой пользователь записывает только небольшую часть ϲʙᴏей информации, а затем спокойно считывает предыдущие записи, выбирая нужную ему информацию. Таким способом могут быть.обнаружены пароли, имена пользователей и т. п.

II. Методы несанкционированного доступа.

1. "За дураком" – используется для вхрда в закрытые для доступа помещения или терминалы. Физический вариант состоит в том, ɥᴛᴏбы, взяв в руки как можно больше предметов, связанных с работой на компьютере, прохаживаться с деловым видом возле запертой двери, за кᴏᴛᴏᴩой находится терминал, и, когда появится законный пользователь, уверенно пройти в дверь вместе с ним. Электронный вариант проходит, когда компьютерный терминал незаконного пользователя подключается к линии законного через телефонные каналы (Интернет) или когда пользователь выходит ненадолго, оставляя терминал в активном режиме. Не стоит забывать, что вариантом будет прием "за хвост": незаконный пользователь тоже подключается к линии связи, а затем дожидается сигнала, обозначающего конец работы, перехватывает его и входит в систему, когда законный пользователь заканчивает активный режим.

2. Компьютерный "абордаж". Хакеры1, набирая на удачу один номер за другим, дожидаются, пока на другом конце провода не отзовется чужой компьютер. После ϶ᴛᴏго телефон Подключается к приемнику сигналов в собственной ПЭВМ, и связь установлена.
Стоит отметить, что остается угадать код (а слова, кᴏᴛᴏᴩые служат паролем, часто банальны и берутся из руководства по пользованию компьютера) и можно внедриться в чужую компьютерную систему.

1 Хакер (от англ, "hack" – разрубать) – программист или квалифицированный пользователь ЭВМ, занимающийся поиском способов получения несанкционированного (самовольного) доступа к компьютерной информации и техническим средствам.

Глава 56. Преступления в сфере компьютерной информации

3. Неспешный выбор – несанкционированный доступ к файлам законного пользователя через слабые места в защите системы. Важно заметить, что однажды обнаружив их/нарушитель может не спеша исследовать содержащуюся в системе информацию, копировать ее, возвращаться к ней много раз.

4. "Маскарад" или "самозванство" – некто проникает в компьютерную систему, выдавая себя за законного пользователя. Системы, кᴏᴛᴏᴩые не обладают средствами аутентичной идентификации (например, по физиологическим характеристикам: по отпечаткам пальцев, по рисунку сетчатки глаза, голосу и т. п.), оказываются без защиты против ϶ᴛᴏго, приема. Самый простейший путь его осуществления – получить коды и другие идентифицирующие шифры законных пользователей. Так, группа студентов послала всем пользователям университетского компьютера сообщение, что изменился его телефонный номер, и в качестве нового назвала номер, запрограммированный так, ɥᴛᴏбы отвечать в точности, как университетская ЭВМ. Стоит сказать - пользователь, посылая вызов, набирал ϲʙᴏй личный код, и студенты смогли составить перечень кодов и использовать его в ϲʙᴏих целях.

5. Мистификация. Стоит сказать - пользователь с удаленного терминала случайно подключается к чьей-то системе, будучи абсолютно уверенным, что он работает с той системой, с какой и намеревался. Владелец ϶ᴛᴏй системы, формируя правдоподобные отклики, может какое-то время поддерживать ϶ᴛᴏ заблуждение, получая одновременно некᴏᴛᴏᴩую информацию, в частности коды.

6. "Аварийный". Использует тот факт, что в любом компьютерном центре имеется особая программа, применяемая в случае возникновения сбоев или других отклонений в работе ЭВМ. Именно такая программа – мощный и опасный инструмент в руках злоумышленника. Этим способом была совершена крупная кража в банке Нью-Джерси.

7. "Склад без стен". Несанкционированный доступ осуществляется в результате системной поломки. К примеру, если некᴏᴛᴏᴩые файлы пользователя остаются открытыми, он может получить доступ к не принадлежащим ему частям банка данных.

III. Методы манипуляции.

1. Подмена данных – изменение или введение новых данных осуществляетсятрадиционно при вводе или выводе информации с ЭВМ. К примеру, служащий одного нью-йоркского банка, изменяя входные данные, похитил за 3 года 1,5 млн. долларов. В Пенсильвании (США) клерк мебельного магазина, введя с терминала фальшивые данные, украл товаров на 200 тыс. долларов.

2. Манипуляции с пультом управления компьютера – механическое воздействие на технические средства машины создает возможности манипулирования данными.

3. "Троянский конь" – тайный ввод в чужую программу команд, позволяющих, не изменяя работоспособность программы, осуществить определенные функции. Этим способом преступники обычно отчисляют на ϲʙᴏй счет определенную сумму с каждой операции. Не стоит забывать, что вариантом будет "Салями", когда отчисляемые суммы малы и их потери практически незаметны (например, по 1 доллару с операции), а накопление осуществляется за счет большого количества операций. Это один из простейших и безопасных способов, особенно если отчисляются небольшие

§ 1. Криминалистическая характеристика преступлений

дробные суммы, поскольку в данных случаях обычно все равно делается округление. Но когда сумма мала в процентном отношении от значительных денежных переводов, вероятность раскрытия значительно повышается. Служащий американского банка, решив накопить деньги побыстрее, начал отчислять сразу по 100 долларов, но с очень крупных счетов и был раскрыт всего после 41 такой операции.

" 4. "Бомба" – тайное встраивание в программу набора команд, кᴏᴛᴏᴩые должны сработать (или каждый раз срабатывать) при определенных условиях или в определенные моменты времени. К примеру, в США получила распространение форма компьютерного вандализма, при кᴏᴛᴏᴩой "троянский конь" разрушает через какой-то промежуток времени все программы, хранящиеся в памяти машины. Во многих поступивших в продажу компьютерах оказалась "временная бомба", кᴏᴛᴏᴩая "взрывается" в самый неожиданный момент, разрушая всю библиотеку данных.

5. Моделирование процессов, в кᴏᴛᴏᴩые преступники хотят вмешаться, и планируемые методы совершения и сокрытия посягательства для оптимизации способа преступления. Важно заметить, что одним из вариантов будет реверсивная модель, когда создается модель конкретной системы, в кᴏᴛᴏᴩую вводятся реальные исходные данные и учитываются планируемые действия. Из полученных правильных результатов подбираются правдоподобные желательные. Затем путем прогона модели назад, к началу, выясняют результаты и устанавливают, какие манипуляции с исходными данными нужно проводить. Таких операций может быть несколько. После ϶ᴛᴏго остается только осуществить задуманное. Бухгалтер пароходной компании в Калифорнии (США) в целях подготовки хищения смоделировал всю бухгалтерскую систему компании и установил, сколько фальшивых счетов ему крайне важно и какие операции следует проводить. Модель бухгалтерского баланса подсказала ему, что при имеющихся пробелах в ревизионной службе 5% искажений не будут заметны. Стоит сказать, для создания видимости реальной ситуации он организовал 17 подставных компаний, обеспечил каждую из них ϲʙᴏим счетом и начал денежные операции, кᴏᴛᴏᴩые оказались настолько успешными, что в первый год он похитил 250 тыс. долларов без какого-либо нарушения финансовой деятельности компании. К тому времени, когда увеличенные выплаты вызвали подозрение – даже не у самой компании, а у,ее банка, сумма хищения составила миллион долларов.

6. "Воздушный змей" – способ, кᴏᴛᴏᴩый весьма часто используется в России. В двух банках (но можно и в нескольких) открывают по небольшому счету и переводят деньги из одного банка в другой и обратно с постепенно повышающимися суммами. Хитрость заключается в том, ɥᴛᴏбы до момента, когда в банке обнаружится, что поручение о переводе не обеспечено необходимой суммой, приходило бы извещение о переводе в ϶ᴛᴏт банк, так, ɥᴛᴏбы общая сумма покрывала требование о первом переводе. Цикл повторяется много раз до тех пор, пока на счете не оказывается приличная сумма. Тогда деньги быстро снимаются и владелец счетов исчезает. На практике в такую игру включают большое число банков: так сумма накапливается быстрее и число поручений о переводе не достигает подозрительной частоты. Этим способом служа-

Глава 56. Преступления в сфере компьютерной информации

щий банка в Лос-Анджелесе со ϲʙᴏими сообщниками, кᴏᴛᴏᴩые давали поручения о переводе, похитил 21,3 млн. долларов.

Как правило, компьютерные преступления совершаются с помощью того или иного сочетания приемов.

Следующим элементом криминалистической характеристики будет личность преступника. В литературе уже можно считать устоявшимся деление лиц, совершающих преступления в сфере компьютерной информации, на три группы.

1. Появление компьютерной преступности тесно связано с хакерами. Их целью может быть сначала чисто спортивный интерес, связанный с решением трудной задачи "взлома" защиты программного продукта или создание компьютерных вирусов только для того, ɥᴛᴏбы потешить ϲʙᴏе самолюбие, пошутить. Хакеры и составляют первую группу. Их отличает высокий профессионализм в сочетании со специфическим компьютерным фанатизмом. Следует подчеркнуть, что характерной особенностью преступников ϶ᴛᴏй группы будет отсутствие у них четко выраженных противоправных намерений. Практически все действия совершаются ими с целью проявления ϲʙᴏих интеллектуальных способностей. К ϶ᴛᴏй же группе примыкают профессиональные программисты, многие из кᴏᴛᴏᴩых обладают незаурядным интеллектом и отличаются нестандартным мышлением. Разработка мер безопасности для собственных компьютерных систем и "взлом" чужих средств защиты будут для них двуединой задачей и интересны сами по себе. Постепенно некᴏᴛᴏᴩые из них переориентируются на извлечение из ϲʙᴏей работы некᴏᴛᴏᴩой материальной выгоды (в России ϶ᴛᴏму нередко способствует тяжелое материальное положение научных работников); она может быть сопряжена и с разработкой новых вирусов и одновременно борющихся с ними программ, кᴏᴛᴏᴩые иначе не будут находить сбыта. К числу особенностей, указывающих на совершение компьютерного преступления лицами рассматриваемой категории, можно отнести следующие1:

отсутствие.целеустремленной, продуманной подготовки к преступлению;

оригинальность способа;

использование в качестве орудий преступления бытовых технических средств и предметов;

непринятие мер к сокрытию преступления; - .

факты немотивированного озорства.

2. Психически больные лица, страдающие так называемыми компьютерными фобиями (информационными болезнями) Кстати, эта категория заболеваний связана с нарушениями в информационном режиме человека под воздействием внешних или внутренних дестабилизирующих факторов как врожденного, так и приобретенного ϲʙᴏйства. Вследствие ускоряющегося ритма жизни, информационного взрыва, к кᴏᴛᴏᴩому многие

§ 1. Криминалистическая характеристика преступлений

люди оказались неподготовлены, интенсификации труда за счет компьютерных1 технологий многие служащие попадают в различные стрессовые ситуации, некᴏᴛᴏᴩые из кᴏᴛᴏᴩых заканчиваются формированием компьютерных фобий и неврозов (страха перед потерей контроля над ϲʙᴏими действиями) По существу, ϶ᴛᴏ есть не что иное, как профессиональное заболевание.
Стоит отметить, что основные симптомы его проявления: быстрая утомляемость, резкие скачки артериального давления при контакте с компьютерной техникой, повышенное потоотделение, головокружение и головные боли, дрожь в конечностях, затрудненность дыхания, обмороки и т. д..Действия, совершаемые лицами ϶ᴛᴏй категории, в основном направлены на физическое уничтожение либо повреждение средств компьютерной техники без наличия преступного умысла с частичной или полной потерей контроля над ϲʙᴏими действиями.

3. Профессиональные преступники, в деяниях кᴏᴛᴏᴩых ярко выра

жены корыстные цели. Обладают устойчивыми преступными навыками.

Преступления, кᴏᴛᴏᴩые носят серийный, многоэпизодный характер,

совершают многократно, обязательно"сопровождают действиями по со

крытию. Это обычно высококвалифицированные специалисты с высшим

математическим, инженерно-техническим,или экономическим образо

ванием, входящие в организованные преступные группы и сообщества,

прекрасно оснащенные технически (нередко специальной оперативной

Среди мотивов и целей совершения посягательств можно выделить: корыстные (приϲʙᴏение денежных средств и имущества), политические (шпионаж, деяния, направленные на. подрыв финансовой и денежно-кредитной политики, валютной системы страны), исследовательский интерес, хулиганские побуждения и озорство, месть и иные побуждения.

Существенную роль в структуре криминалистической характеристики играют обобщенные сведения о потерпевшей стороне. Информация о ней будет безусловно криминалистически значимой, поскольку помогает полнее охарактеризовать личность преступника, его мотивы, точнее очертить круг лиц, среди кᴏᴛᴏᴩых его следует искать. Преступник обычно не случайно избирает потерпевшую сторону объектом ϲʙᴏего посягательства.

Глава 56. Преступления в сфере компьютерной информации

Согласно данным международного комитета по компьютерной преступности, подобные деяния представляют собой серьезную угрозу. Так, вывод из строя электронно-вычислительной системы в результате возникновения нештатной технической ситуации или преступления может привести к финансовому краху даже самый крупный банк за четверо суток, а более мелкое учреждение – за сутки. Пока в качестве потерпевшей стороны обычно выступает юридическое лицо. При этом массовая компьютеризация, внедрение глобальной сети Интернет в скором времени, видимо, изменит эту ситуацию.

Потерпевших можно подразделить на три основные группы: собственники компьютерной системы, клиенты, пользующиеся их услугами, иные лица. Потерпевшая сторона, особенно ᴏᴛʜᴏϲᴙщаяся к первой группе, часто неохотно сообщает (или не сообщает) правоохранительным органам о преступных фактах в сфере движения компьютерной информации по следующим причинам: из-за некомпетентности сотрудников правоохранительных органов в данном вопросе; боязни, что убытки от расследования превысят сумму причиненного ущерба и к тому же будет подорван авторитет фирмы; боязни раскрытия в ходе судебного разбирательства системы безопасности организации; -боязни выявления собственных незаконных действий; боязни должностных лиц, что одним из итогов расследования станут выводы об их профессиональной непригодности (некомпетентности); правовая неграмотность; непонимание истинной ценности имеющейся информации. Эти обстоятельства безусловно способствуют совершению преступных акций данного рода.

§ 2.

При расследовании преступлений в данной сфере можно выделить (как и по другим категориям) три типичные следственные ситуации. Преступление, связанное с движением компьютерной информации произошло:

в условиях очевидности – характер и его обстоятельства известны (например, какой вирус и каким способом введен в компьютерную сеть) и выявлены потерпевшим собственными силами, преступник известен и задержан (явился с повинной);

известен способ совершения, но механизм преступления в полном объеме неясен, например произошел несанкционированный доступ к файлам законного пользователя через Интернет, через слабые места в защите компьютерной системы, преступник известен, но скрылся;

налицо только преступный результат-, например дезорганизация компьютерной сети банка, механизм преступления и преступник неизвестны.

В первом случае крайне важно установить, имелась ли причинно-следственная связь между несанкционированным проникновением в компьютерную систему и наступившими последствиями (сбоями в работе, занесением компьютерного вируса и пр.), определить размеры ущерба. Во втором – первоочередной задачей, наряду с указанными выше, являет-

§ 2.
Стоит отметить, что особенности тактики следственных действий.

ся розыск и задержание преступника. И наконец, в наименее благоприятной (третьей) ситуации крайне важно установить механизм преступления.

Остановимся подробнее на особенностях тактики отдельных следственных действий, в ходе кᴏᴛᴏᴩых производится обнаружение, фиксация, изъятие компьютерной информации, а именно: осмотра места происшествия (местности, помещений, предметов, документов), -обыска (в т.ч. личного, на местности и в помещении), выемки (предметов, документов, почтово-телеграфной корреспонденции, документов, содержащих государственную тайну), прослушивания телефонных и других переговоров. При производстве данных следственных действий крайне важно тактически правильно производить поиск информации в компьютере, что позволит избежать ее уничтожения или повреждения; найти требуемое; зафиксировать и изъять его в ϲᴏᴏᴛʙᴇᴛϲᴛʙии с процессуальными нормами. Современное развитие электроники позволяет хранить огромные массивы информации в незначительных по объему устройствах.

При подготовке к осмотру, обыску или выемке следователь решает вопрос о необходимости изъятия компьютерной информации. На эту необходимость, помимо признаков состава преступления в сфере движения компьютерной информации, могут указывать:

наличие у подозреваемого (обвиняемого) или потерпевшего (в некᴏᴛᴏᴩых случаях свидетелей) специального образования в области вычислительной техники и информатики, а также компьютерной техники в личном пользовании;

присутствие в материалах дела документов, изготовленных машинным способом (ответы на запросы, справки, полученные от обвиняемого или потерпевшей стороны);

хищение носителей компьютерной информации;

данные об увлечении вышеуказанных лиц вычислительной техникой, информатикой и программированием или об их частых контактах с людьми, имеющими такие увлечения.

На подготовительном этапе осмотра или обыска необходимо получить достоверные данные о виде и конфигурации используемой ЭВМ; о том, подключена ли она к локальной или глобальной сети (типа Интернет); наличии службы информационной безопасности и защиты от несанкционированного доступа; системе электропитания помещений, где установлена вычислительная техника; квалификации пользователей; собрать сведения о сотрудниках, обслуживающих вычислительную технику (взаимоотношениях в коллективе, его возможной криминализации и т. д.) Владение такой информацией облегчит следователю доступ к хранящимся в компьютере информации и максимально повысит ее доказательственную силу.

Часто решающее значение имеет внезапность обыска (неотложность осмотра), поскольку компьютерную информацию можно быстро уничтожить. В случае если получены сведения о том, что компьютеры организованы в локальную сеть, следует заранее установить местонахождение всех средств компьютерной техники, подключенных к ϶ᴛᴏй сети, и организо-

Глава 56. Преступления в сфере компьютерной информации

вать групповой обыск одновременно во всех помещениях, где установлены ЭВМ. Перед началом обыска (осмотра) принимаются меры, кᴏᴛᴏᴩые предотвратят возможное повреждение или уничтожение информации. Стоит сказать, для ϶ᴛᴏго следует обеспечить контроль за бесперебойным электроснабжением ЭВМ в момент осмотра, удалить всех посторонних лиц с территории, на кᴏᴛᴏᴩой производится осмотр или обыск, прекратить дальнейший доступ; принять меры к тому, ɥᴛᴏбы оставшиеся лица не имели возможности прикасаться к средствам вычислительной техники и к источникам электропитания. В случае если на объекте находятся взрывчатые, легковоспламеняющиеся, едкие вещества, посторонние источники электромагнитного излучения и другие предметы и аппаратура, способные привести к аварии ЭВМ, эвакуировать их.
Стоит отметить, что осмотр или обыск целесообразно производить с участием специалиста в области информатики и вычислительной техники. Желательно и в качестве понятых приглашать лиц, знакомых с работой ЭВМ.

Не следует ограничиваться поиском информации только в компью

тере; крайне важно внимательно осмотреть имеющуюся документацию,

вплоть до записей на клочках бумаги, поскольку программисты часто,

не надеясь на ϲʙᴏю память, оставляют записи о паролях, изменениях

конфигурации системы, особенностях построения информационной базы

компьютера. Многие пользователи хранят копии ϲʙᴏих файлов на диске

тах во избежание утраты их при выходе компьютера из строя. По϶ᴛᴏму

любые обнаруженные носители информации должны быть изъяты и

изучены. .

Только после перечисленных подготовительных мер следует приступать к рабочему этапу следственного действия. Изучение" практики показывает: несоблюдение элементарных правил ведет к тому, что деятельность следователя по сбору компьютерной информации не достигает ϲʙᴏей цели. Так, присутствующий при обыске подозреваемый незаметно от членов следственно-оперативной группы всего-навсего изменил положение тумблера переключателя рабочего напряжения ПЭВМ, расположенного на задней стенке системного блока, с 220 на 115 вольт. При включении блок питания через некᴏᴛᴏᴩое время вышел из строя, что привело к неисправности всего компьютера.

Тактика поиска компьютерной информации должна избираться исходя из, во-первых, степени защищенности данных, во-вторых – функционального состояния компьютера и периферийных устройств на момент производства следственного действия.

О высокой степени защищенности компьютера может свидетельствовать наличие специальных систем защиты информации от несанкционированного доступа и (или) сертифицированных средств защиты; постоянная охрана территории и здания, где размещается компьютерная система, с помощью технических средств и специального персонала, использование строгого пропускного режима, специальное оборудование помещений; наличие администратора (службы) защиты информации, нормальное функционирование и контроль работы.

Низкая степень защищенности определяется наличием простого алгоритма ограничения доступа (например, данные защищены только

§ 2.
Стоит отметить, что особенности тактики следственных действий

паролем), получением достоверных данных о его преодолении, при ϶ᴛᴏм нет необходимости применять специальные средства доступа к данным.

Деятельность следователя по преодолению защиты компьютера от несанкционированного доступа – одна из самых ответственных. Именно при некорректном обращении защищенные данные могут быть самоуничтожены, искажены, спрятаны и т. д. с помощью специальных программ. Чтобы ϶ᴛᴏго не произошло, при подготовке к проведению следственного действия крайне важно как можно более точно и полно определить степень защищенности компьютера, средства защиты, пароли, ключевые слова и т. д.

,
С одной точки зрения, по общему мнению специалистов в области вычислительной техники и программирования, на сегодняшний день нет программно-технических средств, способных на 100% гарантировать защиту. Отсюда следует, что, в принципе, возможно преодолеть любую преграду при поиске информации. С другой стороны, существующие средства защиты настолько разнообразны, используют различные алгоритмы и принципы построения защиты, что для их преодоления может понадобиться немало времени. В среде хакеров именно преодоление защиты от несанкционированного доступа будет одним из высших подтверждений мастерства.

Причины защиты данных в компьютере различны. Кроме цели противодействия раскрытию и расследованию преступления, пользователи защищают данные от некомпетентности и неаккуратности при выполнении работ на ЭВМ. Защита компьютерной информации осуществляется путем идентификации (пользователь сообщает ϲʙᴏе имя) и,аутентификации (проверки подлинности) – вторая сторона убеждается, что субъект действительно тот, за кого себя выдает. Подлинность подтверждается знанием пароля, личного идентификационного номера, криптографического ключа и пр.; личной карточкой или иным устройством аналогичного назначения; голосом, отпечатками пальцев и другими биометрическими характеристиками и т. д.

Пароли давно встроены в операционные системы и другие сервисные программы. При правильном использовании они могут обеспечить приемлемый для многих организаций уровень безопасности. Важно заметить, что однако, при всем этом, по совокупности характеристик их следует признать самым слабым средством проверки подлинности. Надежность паролей базируется на способности помнить их и хранить в тайне. Чтобы пароль был запоминающимся, его зачастую делают простым, однако простой пароль не трудно угадать, особенно если заранее изучить пристрастия, увлечения, круг интересов законного пользователя. Иногда пароли с самого начала не будут тайной, так как имеют стандартные значения, указанные в документации, и далеко не всегда после установки с"истемы производится их смена. Ввод пароля можно определить и с помощью оптических приборов, приборов перехвата электромагнитного излучения процессора и монитора. Статья 6 Федерального закона "Об оперативно-розыскной деятельности" определяет среди прочих оперативно-розыскных мероприятий снятие информации с технических каналов связи. Проведение указанного мероприятия предусматривает знание оперативным работником каналов возможного снятия (перехвата) компьютерной информа-

Глава 56. Преступления в сфере компьютерной информации

ции, способов несанкционированного доступа, умения применять специальные технические средства.

Анализ парольной защиты при осмотре или обыске компьютерной техники позволит следователю с большей вероятностью определить истинного владельца криминалистически значимой информации, найденной в компьютере. Иначе говоря, чем выше надежность парольной системы, тем с большей уверенностью можно определить ее истинного владельца и тем выше доказательственная сила обнаруженной информации.

Другим средством аутентификации служат токены – предметы или устройства, владение кᴏᴛᴏᴩыми подтверждает подлинность пользователя. Самыми распространенными из них будут карточки с магнитной полосой. Обычно пользователь набирает на клавиатуре ϲʙᴏй идентификационный номер, после чего процессор проверяет его совпадение с тем, что записан на карточке, а также подлинность самой карточки. Иногда (обычно для физического контроля доступа) карточки применяют сами по себе, без запроса личного идентификационного номера.

Безбумажная технология дает целый ряд преимуществ при обмене документами по сети связи или на машинных носителях. Но при ϶ᴛᴏм возникает проблема идентификации автора документа и самого документа. В традиционной (бумажной) технологии она решается за счет того, что информация в документе жестко связана с физическим носителем (бумагой) На машинных носителях такой связи нет. Отметим, что технически эта проблема частично решена с помощью применения цифровой подписи. Отметим, что технология состоит по сути в том, что лицо, составившее документ, кодирует его с помощью специальной программы – электронного ключа. При ϶ᴛᴏм применяется два ключа. Важно заметить, что один из них, не секретный, используется для шифровки и может публиковаться вместе с адресом пользователя, другой – секретный, применяется для расшифровки и известен только определенному лицу. Кстати, эта программа хранится на отдельной дискете, обычно у автора документа или стороны, кᴏᴛᴏᴩой тот направлен. Цифровая подпись реализует две функции – гарантирует целостность сообщения и удостоверяет личность автора документа. Криптографическая защита считается одним из наиболее мощных средств обеспечения конфиденциальности информации в компьютере или на магнитных носителях. Необходимо помнить, что даже в том случае, когда в распоряжении следствия имеется компьютер или магнитный носитель, но электронный ключ не обнаружен, "прочитать" информацию и идентифицировать ее автора (владельца) не представится возможным.

Помимо использования криптоалгоритмов, существует еще целый набор программных средств, позволяющих шифровать информацию и учитывающих различные условия анализа шифротекста при попытке его вскрытия. К ним, в частности, можно отнести и общеизвестную программу Diskreet из пакета Norton Utilities, позволяющую кроме шифрования магнитных носителей информации выполнять функцию блокировки клавиатуры и экрана ЭВМ (гашение" изображения ценной информации), а также предусматривающую защиту информационных объектов на уровне файлов или виртуальных (логических) дисков винчестера. Стоит сказать, для возобновления нормальной работы в ЭВМ требуется ввести пароль.

§ 2.
Стоит отметить, что особенности тактики следственных действий

Все программы защиты, управляющие доступом к машинной информации, функционируют по принципу ответа на вопросы: кто может выполнять, какие операции и над какими данными. Доступ "может быть определен как:

общий (безусловно предоставляемый каждому пользователю);

отказ (безусловный отказ, например, разрешение на удаление порции информации);

зависимый от события (управляемый событием); предусматривает блокировку обращения пользователя, например, в определенные интервалы времени или при обращении к компьютерной системе с определенного терминала;

зависимый от содержания данных (в ϶ᴛᴏм случае решение о доступе базируется на текущем значении данных, например, некᴏᴛᴏᴩым пользователям запрещено читать те или иные данные);

зависимый от состояния (динамического состояния компьютерной системы); осуществляется в зависимости от текущего состояния компьютерной системы, управляющих программ и системы защиты;

частотно-зависимый (например, доступ разрешен пользователю только один или определенное число раз – таким образом предотвращается возможность динамического управления событиями)-

по имени или другим признакам пользователя (например, пользователю должно быть более 18 лет);

зависимый от полномочий (предусматривает обращение пользователя к программам, данным, оборудованию в зависимости от предоставленного режима, например, может быть разрешено "только чтение", "чтение и запись", "только выполнение");

зависимый от предыстории обращений и учитывающий семантические связи между данными в сочетании с управлением доступом, зависящим от полномочий (программой проводится анализ контекста, включающего предыдущие запросы, их обработку, среду текущего запроса и семантические отношения между данными);

по разрешению (паролю или другому идентификатору: карточка, значок и т. д.), где под идентификацией понимается процедура установления подлинности пользователя, осуществляющего доступ к компьютерной системе;

по процедуре (в ϶ᴛᴏм случае система имеет ϲʙᴏю собственную процедуру: автоматически генерирует собственные правила обеспечения безопасности данных)

К новой электронной технологии относится применение электронных ключей. Электронный ключ – ϶ᴛᴏ устройство с памятью, выполненное на специализированной микросхеме размером не более спичечного коробка. В случае если при осмотре компьютера запустить защищенную программу, то она проверит наличие ϲʙᴏего ключа. Когда такой ключ найден, программа выполняется; иначе выдается информация об ошибке и работа прерывается. Сам ключ вводится в порт компьютера, предназначенного для подключения принтера, и легко выводится.

Исходя из всего выше сказанного, мы приходим к выводу, что очевидно, что наличие и использование оперативной информации зачастую может сыграть решающую роль при поиске в ЭВМ. При этом успешное преодоление защиты еще не решает все про-. блемы собирания доказательств в компьютере. Тактические особенности

Глава 56. Преступления в сфере компьютерной информации

поиска компьютерной информации зависят также от функционального состояния ЭВМ и ее периферийных устройств на момент осмотра или обыска. Информация может быть либо зафиксирована на постоянном носителе, либо храниться в ЭВМ только в период ее работы, по϶ᴛᴏму следователю необходимо выбирать различные тактические приемы поиска в зависимости от того, работает компьютер на момент начала следственного действия или отключен.

При включении компьютера в работу электронные устройства образуют в нем определенный объем так называемой "оперативной памяти" (ОЗУ), кᴏᴛᴏᴩая предназначена для операционных действий над информацией и программами и сохраняет их в процессе работы. При включении компьютера и (или) окончании работы с конкретной программой или данными ОЗУ очищается и готово для ввода новых. В процессе работы компьютера ОЗУ специальными программными средствами расчленяется на специальные области, предназначенные для раздельного хранения программ и данных. Среди таких-областей, по желанию пользователя, может быть выделена специальная, кᴏᴛᴏᴩая имитирует внешнее устройство – накопитель информации. Этот накопитель (так называемый "виртуальный диск" или "псевдодиск") отличается высокой скоростью доступа и позволяет выполнять специфические операции по обмену программами (данными) с устройствами ЭВМ. О работающем компьютере свидетельствуют положение тумблеров, мигание или горение индикаторов на передней панели системного блока, изображение на дисплее, небольшая вибрация и чуть слышный шум работающих внутри вентиляторов.

В случае, если компьютер на момент начала осмотра оказался включен, крайне важно оценить информацию, изображенную на дисплее. Прежде всего определить, какая программа" исполняется на данный момент. В случае работы стандартного программного продукта (например, на экране изображены, окна операционных оболочек Norton Commander или Windows) – не приступать к каким-либо манипуляциям на входе без предварительного визуального осмотра технических средств. Экран дисплея крайне важно сфотографировать. Отключить все телефонные линии, подсоединенные к компьютеру. Уместно отметить, что описать все соединения на задней стенке системного блока. В случае если необходимо, вскрыть кожух системного блока и визуально определить конфигурацию ЭВМ, описать месторасположение электронных плат. Следование данным правилам позволит обезопасить поиск информации от различного рода устройств повреждения или уничтожения как аппаратных средств, так и информационной базы. Этими устройствами могут быть электронные ключи, радиозакладки-шумоподавителя и др. В случае, если при осмотре аппаратных средств выявлены неизвестные участникам осмотра (обыска) устройства (платы расширения, нестандартные соединения и т. д.), компьютер крайне важно сразу.выключить. При ϶ᴛᴏм следует не отключать тумблер блока питания, а вынуть вилку из розетки. Затем (до отсоединения проводов) крайне важно промаркировать всю систему подключения, все порты и разъемы, ɥᴛᴏбы потом можно было осуществить точную реконструкцию расположения кабелей, плат расширения и других устройств.

§ 2.
Стоит отметить, что особенности тактики следственных действий

В случае если конфигурация процессора стандартна, следует корректно завершить работу исполняемой в данный момент программы. Либо дождаться завершения ее работы до выдачи дополнительных, возможно искомых, данных. Присутствующим при осмотре (обыске) крайне важно разъяснять все действия следователя и специалиста в ходе манипуляций с ЭВМ. Недопустимо вмешательство в информационную базу без наглядного и доступного комментария ϲʙᴏих действий. Объяснено должно быть любое нажатие на клавиатуру, передвижение мыши и т. д.

В случае если для поиска информации задействуются программные продукты, не находящиеся в компьютере, а используемые следователем, ϶ᴛᴏ крайне важно отметить в протоколе осмотра или обыска. Нужно помнить, такие программы должны быть стандартными. Необходимо обеспечить наглядность контроля, т. е. все ключевые этапы работы программы изображаются на экране дисплея, а следователь либо специалист комментирует происходящее. Максимально активное участие понятых при поиске информации важно еще и потому, что результатом выполнения искомой программы может явиться не текстовой или графический документ, а аудио-или видеоролик (вербальная или визуальная информация) Такой итог работы программы, являясь уникальным (неповторимым), фиксируется с помощью протокола (не считая фото- и видеосъемки)

В случае обнаружения искомой информации текущее изображение экрана дисплея также крайне важно сфотографировать, после чего стандартными средствами переписать информацию на постоянный носитель (обычно – магнитный диск) либо распечатать.

Включать и выключать компьютеры, производить с ними какие-то манипуляции может только специалист в области вычислительной техники. В случае если на объекте было отключено электроснабжение, например, в связи с пожаром или взрывом, до его включения следует проверить, находятся ли все компьютеры и периферийные устройства в отключенном состоянии. Изымать крайне важно сразу все имеющиеся на объекте компьютеры (или хотя бы блоки памяти) и магнитные носители. Нельзя оставлять их на ответственное хранение на самом объекте или в другом месте, где к ним могут иметь доступ посторонние лица. Содержащаяся на магнитных носителях информация может быть легко уничтожена преступником, например, с помощью источника электромагнитного излучения. При ϶ᴛᴏм визуально определить ϶ᴛᴏ невозможно.

Компьютеры и их комплектующие опечатываются: на разъемы налагают лист бумаги, закрепляя его края на боковых стенках компьютера густым клеем или клейкой лентой, ɥᴛᴏбы исключить возможность работы с ними в отсутствие "владельца или эксперта.. Магнитные носители упаковываются, хранятся и перевозятся в" специальных экранированных контейнерах или в стандартных дискетных или иных алюминиевых футлярах заводского изготовления, ɥᴛᴏбы исключить разрушающее воздействие различных электромагнитных и магнитных полей и наводок, направленных излучений. Уместно отметить, что опечатываются только контейнеры или футляры. Пояснительные надписи наносятся на специальные самоклеящиеся данныекетки для дискет, причем сначала делается надпись, а потом данныекетка наклеивается на предназначенный для ϶ᴛᴏго участок. В случае если на дис-

Глава 56. Преступления в сфере компьютерной информации

кете уже имеется данныекетка с какой-либо надписью, проставляется только порядковый номер, а пояснительные надписи под данным номером делаются на отдельном листке, кᴏᴛᴏᴩый вкладывается в коробку. Недопустимо приклеивать что-либо непосредственно к магнитным носителям, пропускать через них бечеву, пробивать отверстия, наносить подписи, пометки, печати и т. д.

В протоколе следственного действия описываются основные физические характеристики изымаемых устройств, магнитных и других постоянных носителей информации, серийные номера аппаратуры, их видимые индивидуальные признаки. Машинные распечатки оформляются как приложение к протоколу.

Поскольку помимо информационных на аппаратных средствах зачастую оказываются традиционные для криминалистики следы, к участию в осмотре целесообразно привлекать специалиста-криминалиста. Из следственной практики известны случаи обнаружения следов пальцев рук, металлообрабатывающих инструментов, ручной пайки на внутренних элементах компьютерных средств.

При осуществлении допросов подозреваемых и обвиняемых необходимо учитывать данные криминалистической характеристики о личности предполагаемого преступника. Не стоит забывать, что важной будет подготовка к допросу, в процессе кᴏᴛᴏᴩой крайне важно постараться хотя бы условно выбрать, к какой группе относится подозреваемый или обвиняемый, и на ϶ᴛᴏм основывать, тактику допроса. При первоначальном допросе необходимо, побуждая лицо к деятельному раскаянию, выяснить, какие изменения в работу компьютерных систем были внесены, какие вирусы использовались, есть ли с позиции подозреваемого (обвиняемого) возможность быстро устранить или уменьшить вред, причиненный несанкционированным проникновением в систему. Какие сведения и кому передавались.

При первоначальных допросах свидетелей и потерпевших крайне важно выяснить назначение и функции компьютерной системы, кто имел доступ к ней и в помещения, где располагалась компьютерная техника, не появлялись ли там посторонние лица, какие средства защиты использовались. В случае если часть информации была закрытой, то кто санкционировал доступ к ней и кто реально был допущен. Какой вред (имущественный, неимущественный) причинен преступлением и имеются ли способы его уменьшить.

§ 3. Возможности судебных экспертиз при расследовании преступлений в сфере движения компьютерной информации

Выше уже отмечалось большое значение, кᴏᴛᴏᴩое имеет по делам данной категории участие специалиста в собирании доказательственной информации. Но наиболее важен ее дальнейший анализ, исследование доказательств в ходе экспертных исследований.

Основной род экспертиз – компьютерно-технические. В ϲᴏᴏᴛʙᴇᴛϲᴛʙии с их задачами и спецификой объектов исследования в настоящее время в рамках ϶ᴛᴏго рода экспертиз можно выделить два вида:

§ 3. Возможности судебных экспертиз при расследовании преступлений

техническая экспертиза компьютеров и их комплектующих, ко

торая проводится в целях изучения конструктивных особенностей и со

стояния компьютера, его периферийных устройств, магнитных носите

лей и пр., компьютерных сетей, а также причин возникновения сбоев в

экспертиза данных и программного обеспечения, осуществляемая в целях изучения информации, хранящейся в компьютере и на магнитных носителях.

Вопросы, выносимые на разрешение компьютерно-технической эк-/епертизы, можно, по ее виду, также подразделить на две группы. Вопросы, разрешаемые технической экспертизой компьютеров и их комплектующих (диагностические):

1) компьютер какой модели представлен на исследование; каковы технические характеристики его системного блока и периферийных устройств; каковы технические характеристики данной вычислительной сети;

2) где и когда изготовлен и собран данный компьютер и его комплектующие; осуществлялась ли сборка компьютера в заводских условиях или кустарно;

3) ϲᴏᴏᴛʙᴇᴛϲᴛʙует ли внутреннее устройство компьютера и периферии прилагаемой технической документации; не внесены ли в конструкцию компьютера изменения (например, установка дополнительных встроенных устройств: жестких дисков, устройств для расширения оперативной памяти, считывания оптических дисков и пр., иные изменения конфигурации);

4) исправен ли компьютер и его комплектующие; каков их износ; каковы причины неисправности компьютера и периферийных устройств; не содержат ли физических дефектов магнитные носители информации;

5) не производилась ли адаптация компьютера для работы с ним специфических пользователей (левша, слабовидящий и пр.);

6) каковы технические характеристики иных электронных средств приема, накопления и выдачи информации (пейджер, электронная записная книжка, телефонный сервер); исправны ли данные средства; каковы причины неисправностей.

Вопросы, разрешаемые экспертизой данных и программного обеспечения (диагностические):

1) какая операционная система использована в компьютере;

2) каково содержание информации, хранящейся на внутренних и внешних магнитных носителях, в т.ч. какие программные продукты там находятся; каково назначение программных продуктов; каков алгоритм их функционирования, способа ввода и вывода информации; какое время проходит с момента введения данных до вывода результатов при работе данной компьютерной программы, базы данных;

3) будут ли данные программные продукты лицензионными (и-ли несанкционированными) копиями стандартных систем или оригинальными разработками;

4) не вносились ли в программы данного системного продукта какие-либо коррективы (какие), изменяющие выполнение некᴏᴛᴏᴩых операций (каких);

Глава 56. Преступления в сфере компьютерной информации

5) ϲᴏᴏᴛʙᴇᴛϲᴛʙует ли данный оригинальный компьютерный продукт техническому заданию; обеспечивается ли при его работе выполнение всех предусмотренных функций;

6) использовались ли для ограничения доступа к информации паро- i ли, скрытые файлы, программы защиты и пр.; каково содержание скрытой информации; не предпринимались ли попытки подбора паролей, взлома защитных средств и иные попытки несанкционированного доступа;

7) возможно ли восстановление стертых файлов, дефектных магнитных носителей информации; каково содержание восстановленных файлов;

8) каков механизм утечки информации из локальных вычислительных сетей, глобальных сетей и распределенных баз данных;

9) имеются ли сбои в функционировании компьютера, работе отдельных программ; каковы причины данных сбоев; не вызваны ли сбои" в работе компьютера влиянием вируса (какого); распространяется ли негативное.влияние вируса на большинство программ или он действует только на определенные программы; возможно ли восстановить в полном объеме функционирование данной программы (текстового файла), поврежденной вирусом;

10) каково содержание информации, хранящейся на пейджере, в электронной записной книжке и пр.; имеется ли в книжке скрытая информация и каково ее содержание;

11) когда производилась последняя корректировка данного файла или инсталляция данного программного продукта;

12) каков был уровень профессиональной подготовки в области программирования и работы с компьютерной техникой лица, произведшего данные действия.

С помощью компьютерно-технических экспертиз возможно разрешение и некᴏᴛᴏᴩых вопросов идентификационного характера:

" 1) имеют ли комплектующие компьютера (печатные платы, магнитные носители, дисководы и пр.) единый источник происхождения;

2) не написана ли данная компьютерная программа определенным лицом (решается комплексно при производстве компьютерно-технической и автороведческой экспертиз)

Объектами компьютерно-технической экспертизы явля-ются:

компьютеры в сборке, их системные блоки;

периферийные устройства (дисплеи, принтеры, дисководы, модемы, клавиатуры, сканеры, манипуляторы типа "мышь", джойстики и пр.), коммуникационные устройства компьютеров и вычислительных сетей;

магнитные носители информации (жесткие и флоппи-диски, оптические диски, ленты);

распечатки программных и текстовых файлов;

словари поисковых признаков систем (тезаурусы), классификаторы и иная техническая документация, например технические задания и отчеты;

электронные записные книжки, пейджеры, иные электронные носители текстовой или цифровой информации, техническая документация к. ним.

§ 3. .Возможности судебных экспертиз при расследовании преступлений

По делам данной категории могут назначаться экспертизы других классов и родов: трасологические – для анализа следов взлома, дактилоскопические –- следов рук, как на внешних, так и на внутренних поверхностях компьютеров и их комплектующих. Судебно-экономичес-кие экспертизы, в частности, финансово-экономические и бухгалтерские, назначаются, когда, например, преступления в сфере движения компьютерной информации связаны с преступлениями в кредитно-фи-нансовой сфере. Весьма распространены технико-криминалистические экспертизы документов, когда компьютер используется как средство для изготовления поддельных документов, фальшивых денежных билетов и пр. При использовании средств прослушивания переговоров назначаются фоноскопические экспертизы.

В. Голубев

Выступление 26 февраля 2003 г.
на Southeast Cybercrime Summit
в Атланте, США

Расследование компьютерных преступлений существенно отличаются от расследований других "традиционных" преступлений. По данным уголовным делам чаще всего допускаются ошибки, что зачастую объясняется отсутствием надлежащего уровня теоретической и практической подготовки оперативных работников и следователей. Изучение уголовных дел этой категории дает основание полагать, что одной из существенных причин низкого качества следствия является отсутствие систематизированных и отработанных методик расследования компьютерных преступлений, а также ошибки, которые совершаются при проведении следственных действий в отношении компьютерной информации либо самих компьютеров.

Результаты анализа практической деятельности правоохранительных органов по расследованию компьютерных преступлений свидетельствуют о том, что исследование компьютерной техники целесообразно проводить в условиях криминалистической лаборатории, где эту работу выполняют специалисты с необходимой профессиональной подготовкой.

Доказательства, связанные с компьютерными преступлениями и изъятые с места происшествия, могут быть легко изменены, как в результате ошибок при их изъятии, так и в процессе самого исследования. Представление подобных доказательств в судебном процессе требует специальных знаний и соответствующей подготовки. Здесь нельзя недооценивать роль экспертизы, которая может дать квалифицированный ответ на поставленные вопросы.

Однако экспертиза требует какого-то времени не только на ее проведение, но и на поиск соответствующих специалистов, а при изъятии компьютерной техники существенным фактором, позволяющим сохранить необходимую доказательную информацию, является неожиданность и оперативность. Именно поэтому изъятие компьютеров и информации приходится проводить теми силами, которые в настоящее время проводят следственные действия. В данном случае именно следователь не застрахован от ошибок, обусловленных недостаточностью знаний, что потом достаточно умело, используется защитой в суде.

Поставленная проблема имеет два аспекта: общие ошибки, которые допускаются работниками правоохранительных органов при расследовании компьютерных преступлений, и технические аспекты, связанные с защитой информации, которая устанавливается на компьютерах их непосредственными пользователями.

Как известно, обнаружение, осмотр и изъятие компьютеров и компьютерной информации в процессе следственных действий могут совершаться не только при следственном осмотре (ст. 190 КПК), но и при проведении других следственных действий: обыски (ст. 178 КПК); выемки (ст. 179 КПК); воспроизведения обстоятельств и обстановки происшествия (ст.194 КПК).

Следует выделить некоторые правила работы с компьютерами, изъятыми при расследовании преступлений в сфере компьютерной информации, а также предложить общие рекомендации, которые могут быть полезными при обработке компьютерных доказательств.

Рассмотрим некоторые типичные ошибки, наиболее часто совершаемые при проведении следственных действий в отношении компьютерной информации либо самих компьютеров.

Ошибка 1. Ошибочная работа с компьютером.

Первое и основное правило, которое должно неуклонно выполняться, состоит в следующем: никогда и ни при каких условиях не работать на изъятом компьютере. Это правило допускает, что изъятый компьютер - прежде всего объект исследования специалиста. Поэтому до передачи экспертам его желательно даже не включать, поскольку категорически запрещено исполнять любые операции на изъятом компьютере, не обеспечив необходимых мер защиты (например, защиты от модификации или создания резервной копии). Если на компьютере установлена система защиты (например - пароль), то его включение может вызвать уничтожение информации, которая находится на жестком диске. Не допускается загрузка такого компьютера с использованием его собственной операционной системы.

Подобная мера объясняется достаточно просто: преступнику не составляет особого труда установить на своем компьютере программу для уничтожения информации на жестком или гибком магнитном дисках, записав такие "ловушки" через модификацию операционной системы. Например, простая команда DIR, которая используется для отображения каталога диска, может быть легко изменена, чтобы отформатировать жесткий диск.

После того, как данные и сама разрушительная программа уничтожены, никто не сможет сказать наверняка, был ли "подозреваемый" компьютер оборудован такими программами специально, или это результат небрежности при исследовании компьютерных доказательств?

Ошибка 2. Допуск к компьютеру владельца (пользователя) компьютера.

Серьезной ошибкой является допуск к исследуемому компьютеру владельца для оказания помощи в его эксплуатации. Известны многие случаи из практики, когда подозреваемые на допросах, связанных с компьютерными доказательствами, допускались к работе на изъятом компьютере. Позже они рассказывали своим знакомым, как шифровали файлы "прямо под носом у полицейских", а те об этом даже не догадывались. Учитывая такие последствия, компьютерные специалисты стали делать резервные копии компьютерной информации прежде, чем допускать к работе над ней.

Еще одна проблема связанна с возможностью опровержения в суде идентичности предъявленного на процессе программного обеспечения тому, которое находилось на данном компьютере на момент изъятия. Чтобы избежать подобных ситуаций, компьютер, следует опечатать в присутствии понятых, не включая. Если работник правоохранительных органов принимает решение об осмотре компьютера на месте, первое, что необходимо сделать, это снять копию с жесткого магнитного диска и любой дискеты, которая будет изыматься как вещественное доказательство. Это означает, что до проведения каких-либо операций с компьютером, необходимо зафиксировать его состояние на момент проведения следственных действий.

Ошибка 3. Отсутствие проверки компьютера на наличие вирусов и программных закладок.

С целью проверки компьютера на наличие вирусов и программных закладок, необходимо загрузить компьютер не с его операционной системы, а со своей загодя подготовленной дискеты, либо со стендового жесткого диска. Проверке подвергаются все носители информации - дискеты, жесткий диск и другие носители. Эту работу следует проделать привлеченному к участию в следственных действиях специалисту с помощью специального программного обеспечения.

Нельзя допустить, чтобы у суда появилась возможность обвинения следствия в умышленном заражении компьютера вирусами, в некомпетентности при проведении следственных действий, либо просто в небрежности, поскольку доказать, что вирус находился в компьютере до момента исследования, вряд ли возможно, а подобное обвинение поставит под сомнение всю работу эксперта и достоверность его выводов.

Такие наиболее типичные ошибки, которые часто встречаются при исследовании компьютера в делах, связанных с расследованием компьютерных преступлений. Однако рассмотренный перечень не охватывает всех ошибок, возникающих в процессе изъятия и исследования компьютерной информации. Этому можно легко дать объяснение: отсутствие достаточного опыта в подобных делах в нашей стране. В то же время в странах Западной Европы и США уже накоплен богатый опыт расследования сложных компьютерных преступлений. Необходимо более тщательно его изучить, что позволит избежать многих из них.

Во избежание ошибок при проведении следственных действий на начальном этапе расследования, которые могут привести к потере или искажению компьютерной информации, следует придерживаться некоторых предохранительных мер.

В процессе обыска и выемки, связанных с изъятием компьютера, магнитных носителей и информации, возникает ряд общих проблем, связанных со спецификой изымаемых технических средств. В первую очередь необходимо предусмотреть меры безопасности, которые совершаются преступниками с целью уничтожения компьютерной информации. Они, например, могут использовать специальное оборудование, в критических случаях образующее сильное магнитное поле, которое стирает магнитные записи.

На протяжении обыска все электронные доказательства, находящиеся в компьютере либо в компьютерной системе должны быть собраны таким образом, дабы они потом могли быть признанными судом. Мировая практика показывает, что в большинстве случае под давлением представителей защиты в суде электронные доказательства не принимаются во внимание. Чтобы гарантировать их признание в качестве доказательств, необходимо строго придерживаться уголовно-процессуального законодательства, а также стандартизированных приемов и методик их изъятия.

Обычно компьютерные доказательства сохраняются путем создания точной копии с оригинала (первичного доказательства), прежде чем делается какой-либо их анализ. Но делать копии компьютерных файлов, используя только стандартные программы резервного копирования, недостаточно. Вещественные доказательства могут существовать в виде уничтоженных либо спрятанных файлов, а данные, связанные с этими файлами, можно сохранить только с помощью специального программного обеспечения. В самом простом виде это могут быть программы типа - SafeBack, а для гибких дискет бывает достаточно программы DOS Discopy.

Магнитные носители, на которые предусматривается копировать информацию, должны быть заранее подготовленные (необходимо убедиться, что на них отсутствует какая-нибудь информация). Носители следует сохранять в специальных упаковках либо заворачивать в чистую бумагу. Необходимо помнить, что информация может быть повреждена влажностью, температурным влиянием или электростатическими (магнитными) полями.

Многие текстовые редакторы и программы управления базами данных создают временные файлы как побочный продукт нормальной работы программного обеспечения. Большинство пользователей компьютера не осознают важности создания этих файлов, потому что обычно они уничтожаются программой в конце сеанса работы. Однако данные, находящиеся внутри этих уничтоженных файлов, могут оказаться наиболее полезными. Особенно, если исходный файл был кодированный или документ подготовки текстов был напечатан, но никогда не сохранялся на диске, такие файлы могут быть восстановлены.

Популярность Microsoft Windows принесла некоторые дополнительные средства, касающиеся исследования компьютерной информации. Swap File функционируют как дисковая память, огромная база данных и множество разных временных фрагментов информации. В этом Swap File может быть обнаружен даже весь текст документа.

Часто дубли текстовых файлов можно обнаружить на жестком либо гибком магнитных дисках. Это могут быть незначительные изменения между версиями одного документа, которые могут иметь доказательную ценность. Расхождения можно легко идентифицировать с помощью наиболее современных текстовых редакторов.

Приступая к осмотру компьютера, следователь и специалист, непосредственно производящий все действия на ЭВМ, должны придерживаться следующего:

• перед выключением компьютера необходимо по возможности закрыть все используемые на компьютере программы. Следует помнить о том, что некорректный выход с некоторых программ может вызвать уничтожение информации или испортить саму программу;
• принять меры по установлению пароля доступа к защищенным программам;
• при активном вмешательстве сотрудников предприятия, стремящихся противодействовать следственной группе, необходимо отключить электропитание всех компьютеров на объекте, опечатать их и изъять вместе с магнитными носителями для исследования информации в лабораторных условиях;
• в случае необходимости консультаций персонала предприятия, получать их следует у разных лиц путем опрашивания или допроса. Подобный метод позволит получить максимально правдивую информацию и избежать умышленного вреда;
• при изъятии технических средств, целесообразно изымать не только системные блоки, но и дополнительные периферийные устройства (принтеры, стримеры, модемы, сканеры и т.п.);
• при наличии локальной вычислительной сети необходимо иметь нужное количество специалистов для дополнительного исследования информационной сети;
• изымать все компьютеры (системные блоки) и магнитные носители;
• тщательно осмотреть документацию, обращая внимание на рабочие записи операторов ЭВМ, ибо часто именно в этих записях неопытных пользователей можно обнаружить коды, пароли и другую полезную информацию;
• составить список всех внештатных и временных работников организации (предприятия) с целью выявления программистов и других специалистов в области информационных технологий, работающих в данном учреждении. Желательно установить их паспортные данные, адреса и места постоянной работы;
• записать данные всех лиц, находящихся в помещении на момент появления следственной группы, независимо от объяснения причин их пребывания в данном помещении;
• составить список всех сотрудников предприятия, имеющих доступ к компьютерной технике либо часто пребывающих в помещении, где находятся ЭВМ.

Если возможен непосредственный доступ к компьютеру и исключены все нежелательные ситуации, приступают к осмотру. Причем следователь и специалист должны четко объяснять все свои действия понятым.

При осмотре должны быть установлены:

• конфигурация компьютера с четким и подробным описанием всех устройств;
• номера моделей и серийные номера каждого из устройств;
• инвентарные номера, присваиваемые бухгалтерией при постановке оборудования на баланс предприятия;
• другая информация с фабричных ярлыков (на клавиатуре ярлык обычно находится на обратной стороне, а на мониторе и процессоре - сзади). Такая информация вносится в протокол осмотра вычислительной техники и может быть важной для следствия.

Фотографирование и маркирование элементов компьютерной системы - важный первый шаг при подготовке системы к транспортировке. Документирование состояния системы на данном этапе необходимо для правильной сборки и подключения всех элементов системы в условиях лаборатории. При фотографировании следует исполнить снимки системы крупным планом ее передней и задней частей. Фотографирование и маркирование элементов изымаемой компьютерной системы дает возможность в точности воссоздать состояние компьютерной техники в лабораторных условиях исследования. Некоторое оборудование типа внешних модемов может иметь множество мелких переключателей, фиксирующих его состояние, которые при транспортировке могут быть изменены, что создаст дополнительные проблемы для эксперта.

В заключение необходимо подчеркнуть, что при проведении любых следственных действий, связанных с расследованием преступлений в сфере использования компьютерных технологий (особенно выемка информации и компьютерного оборудования) целесообразно с самого начала привлечение специалиста в области информационных технологий. До начала следственных действий следует также иметь определенную информацию, касающуюся: марки, модели, компьютера, операционной системы, периферийных устройств, средств связи и любые другие ведомости о системе, которая является объектом расследования. Целенаправленная деятельность следователя, оперативных работников, особенно на первичном этапе расследования, обеспечивает успех дальнейшего расследования компьютерных преступлений.

Статьи на эту тему • Разработка и реализация политики безопасности предприятия
• Электронная коммерция и национальная безопасность
• Разграничение информации в современном коммерческом предприятии
• Юридические меры охраны конфиденциальных сведений как составная часть корпоративной системы защиты информации
• Обеспечение защиты информации от непреднамеренного воздействия техническими средствами
•

§ 4. Технико-криминалистические средства, используемые для экспертного исследования криминалистических объектов

§ 5. Применение технико-криминалистических средств для решения иных криминалистических задач

Глава 5. Компьютеры как средства криминалистической техники § 1. Значение информационно-компьютерного обеспечения криминалистической деятельности

§ 2. Компьютеризация процесса расследования преступлений

§ 3. Компьютеризация экспертных исследований

Глава 6. Криминалистическая фотография, видеозапись и голография § 1. Система и значение криминалистической фотографии

§ 2. Криминалистическая оперативная фотография

§ 3. Криминалистическая исследовательская фотография

§ 4. Криминалистическая видеозапись

§ 5. Голография в криминалистике

Глава 7. Отождествление человека по внешним и внутренним признакам § 1. Правила словесного описания внешнего облика человека

§ 2. Анатомические (морфологические) признаки наружного строения человека

§ 3. Функциональные признаки, особые и броские приметы внешнего облика

§ 5. Использование методики "словесного портрета" в оперативно-розыскной и следственной практике

§ 6. Фотопортретная экспертиза

§ 7. Отождествление человека по генетическим признакам

Глава 8. Трасология § 1. Классификация следов, правила их обнаружения и изъятия

§ 2. Следы рук

§ 3. Следы ног

§ 4. Следы орудий взлома и инструментов

§ 5. Следы транспортных средств

Глава 9. Материалы, вещества, изделия как носители криминалистически значимой информации § 1. Общие положения и задачи криминалистического исследования материалов, веществ и изделий

§ 2. Виды и возможности криминалистического исследования материалов, веществ и изделий

§ 3. Криминалистическое исследование микрообъектов

Глава 10. Криминалистическая одорология § 1. Понятие и классификация одорологических объектов

§ 2. Работа с запаховыми следами человека

Глава 11. Криминалистическая баллистика § 1. Общие положения криминалистической баллистики

§ 2. Классификация и информационное содержание баллистических объектов

§ 3. Классификация и характеристики ручного огнестрельного оружия

Механизм образования следов на гильзах в пистолетах, автоматах и карабинах

§ 4. Обнаружение, осмотр, фиксация и изъятие огнестрельного оружия и следов выстрела

§ 5. Криминалистический анализ оружия и следов его действия

Глава 12. Криминалистическая взрывотехника § 1. Общие положения криминалистической взрывотехники

§ 2. Обнаружение, осмотр, фиксация, изъятие и исследование взрывотехнических объектов

Глава 13. Криминалистическое исследование документов § 1. Понятие, виды и задачи криминалистического исследования документов

§ 2. Понятие и классификация изучаемых объектов

§ 3. Отождествление средств и материалов, использованных для изготовления документов

§ 4. Установление наличия и способа подделки документов

§ 5. Восстановление нечитаемых записей, разорванных и сожженных документов, прочтение шифровальной переписки

§ 6. Исследование материалов документов

Глава 14. Криминалистическое исследование письма и письменной речи § 1. Научные основы криминалистического исследования письма и письменной речи

§ 2. Понятие, классификация и информационное содержание признаков почерка

Глава 15. Криминалистическая фоноскопия § 1. Научные основы криминалистической фоноскопия

§ 2. Определение личных качеств человека по признакам устной речи

§ 3. Автоматизированные методы анализа устной речи

Глава 16. Криминалистическая регистрация § 1. Общие положения криминалистической регистрации

§ 2. Оперативно-справочные, розыскные и криминалистические учеты

§ 3. Экспертно-криминалистические учеты

§ 4. Справочно-вспомогательные учеты

§ 5. Криминалистические информационные массивы международных организаций

Раздел третий. Криминалистическая тактика Глава 17. Общие положения криминалистической тактики § 1. Понятие, сущность и категории криминалистической тактики

§ 2. Криминалистическая тактика и следственная практика

§ 3. Тактика следственного действия

Глава 18. Криминалистические версии и планирование расследования § 1. Особенности версионного процесса в криминалистике

§ 2. Планирование расследования преступлений

§ 3. Планирование отдельных следственных действий и оперативно-розыскных мероприятий

Глава 19. Следственный осмотр и освидетельствование § 1. Понятие и общие тактические положения следственного осмотра

§ 2. Тактика осмотра места происшествия

§ 3. Виды следственного осмотра

§ 4. Освидетельствование

Глава 20. Следственный эксперимент § 1. Общие положения производства следственного эксперимента

§ 2. Подготовка к производству следственного эксперимента

§ 3. Тактика производства следственного эксперимента

Глава 21. Обыск и выемка § 1. Понятие обыска и его общие тактические положения

§ 2. Особенности тактики выемки

Глава 22. Допрос и очная ставка § 1. Общие положения тактики допроса

§ 2. Тактика допроса свидетелей и потерпевших

§ 3. Тактика допроса подозреваемых и обвиняемых

§ 4. Особенности тактики допроса отдельных категорий лиц

§ 5. Тактика производства очной ставки

§ 6. Фиксация хода и результатов допроса и очной ставки

Глава 23. Предъявление для опознания § 1. Понятие, условия и задачи предъявления для опознания

§ 2. Подготовка и производство предъявления для опознания

§ 3. Особенности предъявления для опознания отдельных видов объектов

Глава 24. Проверка показаний на месте § 1. Понятие и содержание проверки показаний на месте

§ 2. Тактика производства проверки показаний на месте

§ 3. Фиксация проверки показаний на месте

Глава 25. Применение специальных познаний при расследовании преступлений § 1. Характеристика специальных познаний и формы их использования в борьбе с преступностью

§ 2. Применение специальных познаний посредством экспертизы

Раздел четвертый. Криминалистическая методика расследования Глава 26. Общие положения криминалистической методики расследования § 1. Понятие и содержание криминалистической методики расследования

§ 2. Основания и принципы формирования криминалистических методик расследования

§ 3. Структура и содержание криминалистических методик расследования

Глава 27. Организационно-управленческие основы расследования преступлений § 1. Понятие оперативно-розыскной деятельности и ее правовые основы

§ 2. Основы тактики взаимодействия следственных, оперативных органов и криминалистических подразделений

§ 3. Взаимодействие следователя и оперативно-розыскных органов с общественностью при расследовании преступлений

§ 4. Основы криминалистической профилактики

Глава 28. Методика расследования убийств § 1. Криминалистическая характеристика убийств

§ 2. Первоначальный этап расследования убийства при наличии трупа

§ 3. Последующий этап расследования убийства при наличии трупа

§ 4. Особенности расследования убийств "без трупа"

Глава 29. Особенности расследования умышленных убийств, совершаемых наемниками § 1. Обстоятельства, подлежащие установлению при расследовании умышленных убийств, совершенных по найму

§ 2. Первоначальный этап расследования умышленных убийств, совершенных наемниками

§ 3. Особенности производства первоначальных следственных действий

§ 2. Выдвижение следственных версий и планирование начала расследования

§ 3. Особенности тактики отдельных следственных действий

Глава 31. Расследование краж, грабежей и разбойных нападений § 1. Криминалистическая характеристика краж, грабежей и разбоев

§ 2. Первоначальные следственные действия и оперативно-розыскные мероприятия по получении сообщения о преступлении

§ 3. Некоторые особенности тактики следственных действий

Глава 32. Методика расследования контрабанды § 1. Криминалистическая характеристика контрабанды

§ 2. Типовые следственные ситуации, версии и планирование расследования

§ 3. Взаимодействие при расследовании дел о контрабанде

§ 4. Тактика проведения отдельных следственных действий по делам о контрабанде

Глава 33. Методика расследования налоговых преступлений § 1. Обстоятельства, подлежащие доказыванию

§ 2. Выявление налоговых преступлений

§ 3. Методика расследования уклонений от уплаты налогов с организаций

§ 4. Методика расследования налоговых преступлений, совершаемых гражданами

Глава 34. Методика расследования поджогов и преступных нарушений правил пожарной безопасности § 1. Криминалистическая характеристика поджогов и нарушений правил пожарной безопасности

§ 2. Тактика осмотра места происшествия по делам о пожарах

§ 3. Особенности тактики отдельных следственных действий

Глава 35. Методика расследования преступного наркобизнеса § 1. Характерные особенности преступного наркобизнеса

§ 2. Особенности следственных ситуаций, отработки версий и планирования расследования

§ 3. Первоначальный этап расследования дел о преступном наркобизнесе

Глава 36. Методика расследования экологических преступлений § 1. Криминалистическая характеристика экологических правонарушений

§ 2. Типичные следственные ситуации и действия следователя на первоначальном этапе расследования

Глава 37. Методика расследования преступлений против безопасности движения и эксплуатации транспорта § 1. Обстоятельства совершения транспортных преступлений

§ 2. Обстоятельства, подлежащие установлению в зависимости от исходных следственных ситуаций

§ 3. Первоначальный этап расследования

§ 4. Последующий этап расследования

Глава 38. Методика расследования преступлений в сфере компьютерной информации § 1. Расследование фактов неправомерного доступа к компьютерной информации

§ 2. Расследование создания, использования и распространения вредоносных программ для эвм

§ 3. Расследование нарушения правил эксплуатации эвм, их системы или сети

Глава 38. Методика расследования преступлений в сфере компьютерной информации § 1. Расследование фактов неправомерного доступа к компьютерной информации

Информация и информационные правоотношения все чаще становятся новым предметом преступного посягательства. К преступлениям этой категории УК РФ относит: неправомерный доступ к компьютерной информации (ст. 272); создание, использование и распространение вредоносных программ для ЭВМ (ст. 273); нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети (ст. 274).

Общий объект данных преступлений общественные отношения по обеспечению информационной безопасности, а непосредственными объектами преступного посягательства являются: базы и банки данных, отдельные файлы конкретных компьютерных систем и сетей, а также компьютерные технологии и программные средства, включая те, которые обеспечивают защиту компьютерной информации от неправомерного доступа.

Под информацией понимаются сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Документированная информация это зафиксированные на материальном носителе сведения с реквизитами, которые позволяют их идентифицировать. Компьютерная информация считается документированной, но хранящейся в ЭВМ или управляющей ею в соответствии с программой и (или) предписаниями пользователя.

К машинным носителям компьютерной информации относятся блоки памяти ЭВМ, ее периферийные системы, компьютерные средства связи, сетевые устройства и сети электросвязи.

Ответственность по ст. 272 УК РФ наступает в случае, если неправомерный доступ к компьютерной информации привел к таким опасным последствиям, как уничтожение, блокирование, модификация, копирование информации либо нарушение работы ЭВМ, их системы или сети.

Уничтожением считается такое изменение информации, которое лишает ее первоначального качества, вследствие чего она перестает отвечать своему прямому назначению. Под блокированием понимается временная или постоянная невозможность доступа к информации со стороны законного пользователя, а под модификацией ее видоизменение с появлением новых, нежелательных свойств. Копирование это воспроизведение точного или относительно точного аналога оригинала; а нарушение работы ЭВМ, их системы или сети замедление, зацикливание, прекращение действия программы, нарушение порядка выполнения команд, отказ в выдаче информации, отключение элементов компьютерной системы, другие нештатные ситуации. При этом системой считается взаимосвязанная совокупность компьютеров с их единым организационно-техническим обеспечением, а сетью объединение систем ЭВМ, действующих на определенной территории.

При расследовании неправомерного доступа к компьютерной информации обстоятельства содеянного устанавливаются в такой очередности:

1) факт неправомерного доступа к информации в компьютерной системе или сети;

2) место несанкционированного проникновения в эту систему или сеть;

3) время совершения преступления;

4) способ несанкционированного доступа;

5) степень надежности средств защиты компьютерной информации;

6) лица, совершившие неправомерный доступ, их виновность и мотивы преступления;

7) вредные последствия содеянного.

Для рассматриваемых преступлений характерны такие ситуации начала расследования:

1. Собственник компьютерной системы обнаружил нарушение ее целостности и (или) конфиденциальности, установил виновное лицо и заявил о случившемся в правоохранительные органы.

2. Собственник самостоятельно выявил названные нарушения, однако не смог установить злоумышленника и заявил о случившемся.

3. Сведения о нарушении целостности и (или) конфиденциальности информации и виновном субъекте стали известны или непосредственно обнаружены компетентным органом, владелец компьютерной системы этот факт скрывает.

4. Правоохранительным органом обнаружены признаки противоправного вторжения в компьютерную систему, виновное лицо и владелец информации неизвестны.

Факт неправомерного доступа к информации обнаруживают, как правило, пользователи компьютерной системы или сети. Такие факты иногда устанавливаются в ходе оперативно-розыскной деятельности органов внутренних дел, ФСБ, ФСНП России. Их можно выявить и в ходе прокурорских проверок, ревизий, судебных экспертиз, следственных действий по расследуемым делам.

Признаками несанкционированного доступа или подготовки к нему могут служить:

а) появление в компьютере искаженных данных;

б) длительное необновление кодов, паролей и других защитных средств компьютерной системы;

в) увеличение числа сбоев в работе ЭВМ;

г) участившиеся жалобы пользователей компьютерной системы или сети.

Таким фактам могут предшествовать или сопутствовать:

1) осуществление без необходимости сверхурочных работ;

2) немотивированные отказы отдельных сотрудников, обслуживающих компьютерную систему или сеть, от очередного отпуска;

3) приобретение работником для личного пользования дорогостоящего компьютера;

4) чистые дискеты или диски, принесенные на работу кем-то из сотрудников компьютерной системы под предлогом копирования программ для компьютерных игр;

5) участившиеся случаи перезаписи отдельных данных без серьезных на то причин;

6) необоснованный интерес некоторых работников к содержанию чужих принтерных распечаток;

7) повторный ввод в компьютер одной и той же информации и др.

Необходимо выяснить также признаки неправомерного доступа, выражающиеся в отступлениях от установленного порядка обработки документов. Имеются в виду:

а) нарушения принятых правил оформления документов и изготовления машинограмм;

б) лишние документы, подготовленные для обработки на ЭВМ;

в) несоответствие информации, содержащейся в первичных документах, данным машинограмм;

г) преднамеренные утрата или уничтожение первичных документов и машинных носителей информации, внесение искажений в данные их регистрации. Следует, однако, помнить, что перечисленные признаки могут быть результатом не только злоупотреблений, но и других причин, например халатности персонала, случайных ошибок и сбоев компьютерной техники.

Место несанкционированного проникновения в компьютерную систему или сеть удается установить с определенными трудностями, поскольку таких мест может быть несколько. На практике чаще обнаруживается место неправомерного доступа к компьютерной информации с целью хищения денежных средств, но для этого также приходится выявлять все места работы компьютеров, имеющих единую телекоммуникационную связь.

Гораздо проще это место устанавливается тогда, когда расследуется несанкционированный доступ к единичному компьютеру. Но и тут нужно учитывать, что информация на машинных носителях может храниться в других помещениях.

Во много раз труднее определить место непосредственного применения технических средств удаленного несанкционированного доступа, которые не входят в данную компьютерную систему или сеть. К его установлению необходимо привлекать соответствующих специалистов. Необходимо выяснить также место хранения информации на машинных носителях, добытой преступником в результате неправомерного доступа к компьютерной системе или сети.

Время несанкционированного доступа можно определить с помощью программ общесистемного назначения. В работающем компьютере они обычно фиксируют текущее время. Если данная программа функционирует, то при несанкционированном входе в систему или сеть время работы на компьютере любого пользователя и производства конкретной операции автоматически фиксируется в оперативной памяти. Тогда время несанкционированного доступа можно определить в ходе следственного осмотра компьютера, его распечаток или дискет, производимого с участием специалиста, чтобы информация, находящаяся в оперативной памяти ЭВМ или на дискете, не была случайно стерта. В качестве специалистов могут выступать, например, сотрудники информационных центров МВД, ГУВД, УВД субъектов Российской Федерации.

Время несанкционированного доступа устанавливается и путем допроса свидетелей из числа сотрудников данной компьютерной системы. Выясняется, когда именно каждый из них работал на ЭВМ, если это не было зафиксировано в автоматическом режиме.

Способы преступных манипуляций в сфере компьютерной информации могут быть разделены на две большие группы. Первая группа осуществляется без использования компьютерных устройств в качестве инструмента для проникновения извне в информационные системы или воздействия на них. Это могут быть:

а) хищение машинных носителей информации в виде блоков и элементов ЭВМ;

б) использование визуальных, оптических и акустических средств наблюдения за ЭВМ;

в) считывание и расшифровка различных электромагнитных излучений компьютера и обеспечивающих систем;

г) фотографирование информации в процессе ее обработки;

д) изготовление бумажных дубликатов входных и выходных документов, копирование распечаток;

е) использование оптических и акустических средств наблюдения за лицами, имеющими отношение к необходимой злоумышленнику информации, фиксация их разговоров;

ж) осмотр и изучение не полностью утилизированных отходов деятельности компьютерных систем;

з) вступление в прямой контакт с лицами, имеющими отношение к необходимой злоумышленнику информации, получение от них под разными предлогами нужных сведений и др.

Для таких действий, как правило, характерна достаточно локальная следовая картина. Она определяется тем, что место совершения преступных действий и дислокация объекта преступного посягательства расположены вблизи друг от друга или совпадают. Приемы их исследования достаточно традиционны.

Вторая группа преступных действий осуществляется с использованием компьютерных и коммуникационных устройств. Тогда несанкционированный доступ реализуется с помощью различных способов: подбором пароля, использованием чужого имени, отысканием и применением пробелов в программе, а также других мер преодоления защиты компьютерной информации. Конкретный способ несанкционированного доступа можно установить путем допроса свидетелей из числа лиц, обслуживающих компьютерную систему, и ее разработчиков. При этом следует учитывать выявленную следовую картину. У них необходимо выяснить как преступник мог проникнуть в защищенную систему, например узнать идентификационный номер законного пользователя, код, пароль для доступа, получить сведения о других средствах защиты системы или сети ЭВМ (см. схему).

┌───────────────────────────┐

┌────────────────────────────────────┤ Следы преступных действий │

│ └─┬───────────────────────┬─┘

│ ┌──────────────────────────────────────┐ ┌───────────────────────────────┐

│┌──┤ В ЭВМ и на машинных носителях │ │ В линиях электросвязи ├──────┐

││ └──────────────────────────────────────┘ └───────────────────────────────┘ │

││ ┌────────────────────────────┐ ┌────────────────────────────────────┐ │

│├─ │ Изменения в ОЗУ │ │ Документированная информация о │ │

││ └────────────────────────────┘ │ прохождении сигнала через оператора│◄───┤

││ ┌────────────────────────────┐ └───┬────────────────────┬───────────┘ │

││ │ Специализированная │ ▼ ▼ │

│├─ │ конфигурация оборудования │ ┌─────────────────────┐ ┌─────────────────────────┐ │

││ │ │ ┌───┤ Документы │ ┌──┤ Компьютерная информация │ │

││ └────────────────────────────┘ │ └─────────────────────┘ │ └─────────────────────────┘ │

││ ┌────────────────────────────┐ │ ┌─────────────────────┐ │ ┌─────────────────────────┐ │

││ │ Специальная конфигурация │ │ │ Документы, │ ├─ │Базы данных, фиксирующие │ │

│├─ │ программ работы в сетях │ ├── │ регистрирующие │ │ │ соединения │ │

││ └────────────────────────────┘ │ │соединения абонентов │ │ └─────────────────────────┘ │

││ ┌────────────────────────────┐ │ └─────────────────────┘ │ ┌─────────────────────────┐ │

│└─ │ Следы в файловой системе │ │ ┌─────────────────────┐ │ │ Коммутаторы, │ │

│ └─┬───────────┬────────────┬─┘ │ │ Протоколы │ └─ │ осуществляющие и │ │

│ │ ▼ │ ├── │взаиморасчетов между │ │регистрирующие соединения│ │

│ │ ┌──────────────────┐ │ │ │ операторами │ └─────────────────────────┘ │

│ │ │Копии чужих файлов│ │ │ └─────────────────────┘ │

│ │ └──────────────────┘ │ │ ┌─────────────────────┐ │

│ ▼ ▼ │ │ Платежные документы │ │

│ ┌────────────┐┌────────────────┐ └── │ об оплате трафика │ │

│ │ Программное││Специализирован-│ │ между операторами │ │

│ │ обеспечение││ное "хакерское" │ └─────────────────────┘ │

│ │для создания││ программное │ ┌─────────────────────────┘

│ │ программ ││ обеспечение │ │

│ └────────────┘└────────────────┘ ▼

│ ┌────────────┐ ┌─────────────────────────────────────────────────────────┐

│ │ Прочие │ │Результаты наблюдения при проведении оперативно-розыскных│

└────────────────────── │ │ │ мер и предварительного следствия │

└──┬─────────┘ └─────────────────────────┬───────────────────────────────┘

┌───────────────────────┐ │ ┌─────────────────────────────────┐ │

│ Рукописные записи │◄─┼─ │Описания программного обеспечения│ │ ┌────────────────────────────┐

│и принтерные распечатки│ │ └─────────────────────────────────┘ ├─ │Пеленгация источника сигнала│

└┬──────────────────────┘ │ ┌─────────────────────────────────┐ │ └────────────────────────────┘

│ ┌───────────────────┐ │ │ Инструкции по пользованию ЭВМ и │ │ ┌────────────────────────────┐

├─ │ Коды доступа │ ├─ │ ее устройствами │ │ │ Прослушивание телефонных и │

│ └───────────────────┘ │ └─────────────────────────────────┘ ├─ │ иных переговоров │

│ ┌───────────────────┐ │ ┌─────────────────────────────────┐ │ └────────────────────────────┘

├─ │ Текста программ │ │ │ Устройства доступа в телефонные │ │ ┌────────────────────────────┐

│ └───────────────────┘ ├─ │ сети и сети ЭВМ │ │ │ Прохождение криминального │

│ ┌───────────────────┐ │ └─────────────────────────────────┘ └─ │ сигнала через оператора │

│ │ Записные книжки с │ │ ┌─────────────────────────────────┐ └────────────────────────────┘

└─ │ именами других │ ├─ │ Нестандартные периферийные │

│ хакеров │ │ └─────────────────────────────────┘

└───────────────────┘ │ ┌─────────────────────────────────┐

└─ │ Счета телефонных компаний │

└─────────────────────────────────┘

Чрезвычайно важны и другие действия, направленные на фиксацию факта нарушения целостности (конфиденциальности) компьютерной системы и его последствий, следов преступных манипуляций виновного субъекта, отразившихся в ЭВМ и на машинных носителях информации, в линиях связи и др.

Способ несанкционированного доступа надежнее установить путем производства судебной информационно-технической экспертизы. Перед экспертом ставится вопрос: "Каким способом был осуществлен несанкционированный доступ в данную компьютерную систему?" Для этого эксперту нужно представить всю проектную документацию на взломанную компьютерную систему, а также данные о ее сертификации. При производстве такой экспертизы не обойтись без использования компьютерного оборудования той же системы, которую взломал преступник, либо специальных технических и программных средств.

В ряде случаев целесообразен следственный эксперимент для проверки возможности преодоления средств защиты компьютерной системы одним из предполагаемых способов. Одновременно может быть проверена возможность появления на экране дисплея конфиденциальной информации или ее распечатки вследствие ошибочных, неумышленных действий оператора либо случайного технического сбоя в электронном оборудовании.

Выясняя надежность средств защиты компьютерной информации, прежде всего следует установить, предусмотрены ли в данной системе или сети ЭВМ меры защиты от несанкционированного доступа, в том числе к определенным файлам. Это возможно в ходе допросов разработчиков и пользователей системы, а также при изучении проектной документации и инструкций по эксплуатации системы. Изучая инструкции, нужно обращать особое внимание на разделы о мерах защиты информации, порядке допуска пользователей к конкретным данным, разграничении их полномочий, организации контроля за доступом. Важно разобраться в аппаратных, программных, криптографических, организационных и других методах защиты информации, поскольку для обеспечения высокой степени надежности компьютерных систем, обрабатывающих документированную информацию с ограниченным доступом, обычно используется комплекс мер по обеспечению их безопасности от несанкционированного доступа.

Так, законодательством предусмотрена обязательная сертификация средств защиты систем и сетей ЭВМ, а кроме того обязательное лицензирование всех видов деятельности в области проектирования и производства названных средств. Поэтому в процессе расследования необходимо выяснить: 1) есть ли лицензия на производство средств защиты информации, задействованных в данной компьютерной системе, от несанкционированного доступа и 2) соответствуют ли их параметры выданному сертификату. Ответ на последний вопрос может дать информационно-техническая экспертиза, с помощью которой выясняется: соответствуют ли средства защиты информации от несанкционированного доступа, использованные в данной компьютерной системе, выданному сертификату? Правда, ответственность за выявленные отклонения, позволившие несанкционированный доступ к компьютерной информации, ложится на пользователя системы, а не на разработчика средств ее защиты.

При установлении лиц, совершивших несанкционированный доступ к конфиденциальной компьютерной информации, следует учитывать, что он является технологически весьма сложным. Осуществить его могут только специалисты, обладающие достаточно высокой квалификацией. Поэтому поиск подозреваемых рекомендуется начинать с технического персонала взломанных компьютерных систем или сетей. Это в первую очередь их разработчики, а также руководители, операторы, программисты, инженеры связи, специалисты по защите информации, другие сотрудники.

Следственная практика свидетельствует, что чем технически сложнее способ проникновения в компьютерную систему или сеть, тем легче установить подозреваемого, ибо круг специалистов, обладающих соответствующими способностями, весьма ограничен.

Доказыванию виновности конкретного субъекта в несанкционированном доступе к компьютерной информации способствует использование различных следов, обнаруживаемых при осмотре ЭВМ и ее компонентов. Это, например, следы пальцев, записи на внешней упаковке дискет и др. Для их исследования назначаются криминалистические экспертизы дактилоскопическая, почерковедческая и др.

Для установления лиц, обязанных обеспечивать надлежащий режим доступа к компьютерной системе или сети, следует прежде всего ознакомиться с должностными инструкциями, определяющими полномочия сотрудников, ответственных за защиту конфиденциальной информации. Их необходимо допросить для выяснения, кто запускал нештатную программу и фиксировалось ли это каким-либо способом. Нужно также выяснить, кто особо увлекается программированием, учится или учился на курсах программистов, интересуется системами защиты информации.

У субъектов, заподозренных в неправомерном доступе к компьютерной информации, производится обыск в целях обнаружения: ЭВМ различных конфигураций, принтеров, средств телекоммуникационной связи с компьютерными сетями, записных книжек, в том числе электронных, с уличающими записями, дискет и дисков с информацией, могущей иметь значение для дела, особенно если это коды, пароли, идентификационные номера пользователей данной компьютерной системы, а также сведения о них. При обыске нужно изымать также литературу и методические материалы по компьютерной технике и программированию. К производству обыска и осмотру изъятых предметов рекомендуется привлекать специалиста по компьютерной технике, незаинтересованного в исходе дела.

Доказать виновность и выяснить мотивы лиц, осуществивших несанкционированный доступ к компьютерной информации, можно лишь по результатам всего расследования. Решающими здесь будут показания свидетелей, подозреваемых, обвиняемых, потерпевших, заключения судебных экспертиз, главным образом информационно-технологических и информационно-технических, а также результаты обысков. В ходе расследования выясняется:

1) с какой целью совершен несанкционированный доступ к компьютерной информации;

2) знал ли правонарушитель о системе ее защиты;

3) желал ли преодолеть эту систему и какими мотивами при этом руководствовался.

Вредные последствия неправомерного доступа к компьютерной системе или сети могут заключаться в хищении денежных средств или материальных ценностей, завладении компьютерными программами, а также информацией путем изъятия машинных носителей либо копирования. Это может быть также незаконное изменение, уничтожение, блокирование информации, выведение из строя компьютерного оборудования, внедрение в компьютерную систему вредоносного вируса, ввод заведомо ложных данных и др.

Хищения денежных средств чаще всего совершаются в банковских электронных системах путем несанкционированного доступа к их информационным ресурсам, внесения в последние изменений и дополнений. Такие посягательства обычно обнаруживают сами работники банков, устанавливаются они и в ходе оперативно-розыскных мероприятий. Сумма хищения определяется посредством судебно-бухгалтерской экспертизы.

Факты неправомерного завладения компьютерными программами вследствие несанкционированного доступа к той или иной системе и их незаконного использования выявляют, как правило, потерпевшие. Максимальный вред причиняет незаконное получение информации из различных компьютерных систем, ее копирование и размножение с целью продажи либо использования в других преступных целях (например, для сбора компрометирующих данных на кандидатов на выборные должности различных представительных и исполнительных органов государственной власти).

Похищенные программы и базы данных могут быть обнаружены в ходе обысков у обвиняемых, а также при оперативно-розыскных мероприятиях. Если незаконно полученная информация конфиденциальна или имеет категорию государственной тайны, то вред, причиненный ее разглашением, определяется представителями Гостехкомиссии России.

Факты незаконного изменения, уничтожения, блокирования информации, выведения из строя компьютерного оборудования, "закачки" в информационную систему заведомо ложных сведений выявляются прежде всего самими пользователями компьютерной системы или сети. Следует учитывать, что не все эти негативные последствия наступают в результате умышленных действий. Их причиной могут стать случайные сбои в работе компьютерного оборудования, происходящие довольно часто.

При определении размера вреда, причиненного несанкционированным доступом, учитываются не только прямые затраты на ликвидацию негативных последствий, но и упущенная выгода. Такие последствия устанавливаются в ходе следственного осмотра компьютерного оборудования и носителей информации с анализом баз и банков данных. Помогут здесь и допросы технического персонала, владельцев информационных ресурсов. Вид и размер ущерба обычно определяются посредством комплексной экспертизы, проводимой с участием специалистов в области информатизации, средств вычислительной техники и связи, экономики, финансовой деятельности и товароведения.

На заключительном этапе расследования формируется целостное представление об обстоятельствах, которые облегчили несанкционированный доступ к компьютерной информации. Здесь важно последовательное изучение различных документов, особенно относящихся к защите информации. Весьма значимы материалы ведомственного (служебного) расследования.

К этим обстоятельствам относятся:

1) неэффективность методов защиты компьютерной информации от несанкционированного доступа;

2) совмещение функций разработки и эксплуатации программного обеспечения в рамках одного структурного подразделения;

3) неприменение в технологическом процессе всех имеющихся средств и процедур регистрации операций, действий программ и обслуживающего персонала;

4) нарушение сроков изменения паролей пользователей, а также сроков хранения копий программ и компьютерной информации.

Научный руководитель – Кряжев Владимир Сергеевич, кандидат юридических наук, доцент

Профилактика, расследование и предотвращение преступлений в сфере компьютерной информации осуществляется с применением правовых, программно-технических и организационно-технических норм. Правовое поле регулирует нормы, которыми устанавливается ответственность за совершение преступлений в сфере компьютерной информации. С использованием данных норм защищаются авторские права программистов (разработчиков, распространителей и владельцев программного обеспечения).

Распространение компьютерной информации ограничивается рамками законов в сфере международного права. При помощи правовых инструментов контролируется деятельность разработчиков как распространителей компьютерной информации. Организационно-технические нормы позволяют организовать охрану вычислительных центров, куда стекается и откуда распространяется компьютерная информация.

Несмотря на грамотную кадровую политику центров обработки компьютерной информации, существуют как внутренние риски совершения преступлений в сфере компьютерной информации нанятым персоналом, так и риски вирусных атак с кражей данных и порчей хранящейся на вычислительных серверах информации.

Защита систем, где хранится и обрабатывается компьютерная информации, подразумевает наличие системы контроля доступа. Профилактика от распространения вирусов минимизирует риски совершения преступлений в сфере компьютерной информации, однако полностью не исключает этого.

В рамках политики по защите компьютерных данных программисты и владельцы центров обработки информации используют разные инструменты, в частности, резервное копирование данных, программы для защиты от кражи данных, охранные сигнализации и кодовые системы доступа к управлению вычислительным оборудованием. В настоящее время на уровне государства принята программа по развитию специальной службы, цель ее функционирования – профилактика преступлений в сфере компьютерной информации и расследование уже совершенных преступлений.

В настоящее время борьба с компьютерной преступностью в России ведется под воздействием факторов, которые снижают как эффективность профилактических мер, так и расследование преступлений в сфере компьютерной безопасности. По мнению исследователя Щеголаева Н.А., такими факторами являются: отсутствие совершенной правовой системы, которая бы отвечала интересам граждан в сфере защиты компьютерной информации, отсутствие организационно-технического обеспечения, которое бы отвечало интересам власти и его граждан в сфере защиты компьютерной информации.

В настоящее время на борьбу с компьютерной преступностью выделяется небольшой объем финансирования, что не позволяет осуществлять полноценную профилактику преступлений и внедрять эффективные методики расследования совершенных преступлений. Техническая, организационная и правовая база требует не только постоянных финансовых вливаний, но и их увеличения в сфере активизации преступных элементов, действия которых направлены на кражу, перехват и распространение компьютерной информации, которая противоречит правовым нормам России и международного права.

Последствия совершения компьютерных преступлений в сфере компьютерной информации в достаточной мере не осознаются федеральными и региональными властями, институтами правовой защиты гражданского населения.

Правоохранительные органы не располагают достаточной информационно-технической и программной базой для расследования преступлений в сфере компьютерной безопасности. Все структуры правоохранительных органов действуют по-разному, при обнаружении факта совершения преступления.

Отсутствие четкого алгоритма взаимодействия подразделений полиции и других структур ведет к тому, что большая часть преступлений остается нераскрытой, оперативники не могут получить достаточно данных для того, чтобы квалифицировать преступление, опираясь на его признаки. Кроме того, кадровый состав суда, прокуратуры и полиции не имеет достаточного уровня подготовки для профилактики таких преступлений и их эффективного расследования.

В России действует единая система учета совершенных преступлений, однако она морально устарела, не отвечает специфике совершения преступлений в сфере компьютерной информации. Средства и технологии информации в настоящее время недостаточно защищены от действий преступных элементов. Порою пренебрежительность и незнание владельцев компьютерной информации ведет к привлечению внимания к ним преступных элементов.

На мировом уровне уже приняты совершенные законы и внедрены единые системы безопасности, которые позволяют проводить специалистам работу по профилактике преступлений в сфере компьютерной информации, эффективно расследовать преступления и отслеживать преступные действия не только для защиты государственных, но и гражданских интересов. С целью повышения эффективности профилактики преступлений в сфере компьютерной информации, расследования преступлений и защиты интересов граждан предлагается применить несколько необходимых мер. Во-первых, разработать и внедрить проект, который бы предусматривал постоянное функционирование и отслеживание потоков компьютерной информации.

Такая система могла бы выявлять при помощи алгоритмов попытки совершения преступлений, а также устанавливать слежение за активными элементами, которые ведут подозрительную деятельность. Эта система могла бы использоваться и для профилактики преступлений.

Правоохранительная система и судебная система могут взаимодействовать более эффективно, если будут разработаны единые регламенты взаимодействия между структурами. Кроме того, требуется обеспечить подразделения и спецслужбы необходимой программно-технической базой.

В связи с активизацией преступных элементов за рубежом требуется разработать и внедрить стандарты, которые бы стали регулировать порядок взаимодействия российских правоохранительных органов и органов других стран. В связи с тем, что обеспечение компьютерной безопасности возложено не только на специальные подразделения и полицию, но и на владельцев, носителей и хранителей компьютерной информации, необходимо наладить взаимодействие между социальными фондами, банками, владельцами серверов и оборудование путем регламентирования норм взаимодействия. Координированные действия заинтересованных в обеспечении компьютерной безопасности структур позволили бы проводить профилактику преступлений, отслеживать действия подозрительных лиц и эффективно взаимодействовать при обнаружении признаков совершения преступления.

Кроме того, требуется наделить полномочиями в сфере обеспечения компьютерной безопасности лиц, прошедших квалифицированную подготовку. В настоящее время этой работой занимается до 70% специалистов, которые слабо разбираются в специфике распространения компьютерной информации. Это недопустимо для эффективной работы специальных подразделений в сфере обеспечения компьютерной безопасности.

На базе государственных учреждений требуется создать специальные факультеты, где могла бы вестись подготовка специалистов в области компьютерной безопасности. Программами обучения необходимо предусмотреть не только качественную теоретическую подготовку, но и практическую подготовку еще до момента поступления на службу. Учитывая специфику и рост преступлений в сфере компьютерной информации, необходимо предусмотреть постоянное функционирование системы переподготовки специалистов в сфере профилактики и расследования преступлений в сфере компьютерной безопасности.

Это одна из главных задач, которая в настоящее время стоит перед государством, но не выполнена в связи с недостатком финансирования и недостаточной оценкой юридических последствий от совершения таких преступлений.

Обращаясь к правовым нормам в сфере профилактики и расследования преступлений в области компьютерной информации, следует отметить несовершенство правовой системы. Так, в УК содержатся статьи, предусматривающие уголовную ответственность за получение неправомерного доступа к информации, за распространение вредоносных программ, за нарушения в сфере правил эксплуатации электронно-вычислительных машин.

Этими статьями ограничивается правовая ответственность лиц за совершение преступлений в сфере компьютерной информации. Согласно УК, преступлением в сфере компьютерной информации является получение неправомерного доступа к электронно-вычислительным машинам и их сетям, эти действия для квалификации преступления должны подразумевать нанесение такого вреда, как порча, блокировка и незаконное копирование информации.

Что касается международной практики в сфере профилактики и расследования компьютерных преступлений, то она сводится к организации симпозиумов и встреч в рамках ООН, которая формирует рекомендации и рекомендует к применению стандарты взаимодействия субъектов, заинтересованных в обеспечении безопасности компьютерной информации.

Таким образом, к настоящему времени не сложилось общемировой и российской практики по взаимодействию правоохранительных структур, которые являются ответственными за обеспечение безопасности компьютерной информации. Единого плана по развитию отрасли защиты пока не принято. С единым планом действий можно было бы оперативно и качественно наладить работу системы по обеспечению компьютерной безопасности.

Сюда следует отнести внеправительственные мероприятия, разделение ответственности между подразделениями позволит усилить контроль за работой специалистов, заинтересованных в обеспечении компьютерной безопасности с позиции экономики, политики и промышленности. Правительству требуется провести встречи с субъектами-носителями и распространителями компьютерной информации для того, чтобы на этой базе подготовить новые проекты законов в сфере обеспечения компьютерной безопасности.

Требуется разработка проектов по защите от совершения преступлений в сфере компьютерной информации на уровне промышленности, которая убеждена в том, что реализации поставленной задачи нельзя достичь без специальных промышленных продуктов. Требуется развивать международное сотрудничество и разработать единый регламент взаимодействия правоохранительных структур разных стран. Требуется провести работы по унификации законодательных актов и внедрить их в систему международного права.

Требуется разработать и постоянно совершенствовать стандарты по координации взаимодействия разных государственных органов. А в рамках Интерпола можно осуществить первый проект стандартизации взаимодействия национальных структур в сфере обеспечения компьютерной безопасности.

Материально-техническая база системы правосудия и обеспечения правопорядка устарела и не позволяет эффективно бороться с преступниками в сфере компьютерной безопасности. Таким образом, должна быть принята программа финансирования и модернизации материально-технической базы правоохранительных структур, которые специализируются, как только на преступлениях в сфере компьютерной информации, так и на обеспечении общего правопорядка.

С совершенствованием материально-технической базы можно было бы ввести единую систему учета преступлений в сфере компьютерной информации. Ее анализ мог бы быть использован для разработки профилактических мер в сфере обеспечения компьютерной безопасности. К настоящему времени не разработано единой специфики расследования преступлений в сфере обеспечения компьютерной безопасности, что осложняет ведение оперативно-розыскной деятельности.

Знание специфики совершения таких преступлений могло бы улучшить результаты оперативно-розыскной деятельности. Поэтому требуется получение качественных знаний специалистами, как в рамках профессиональной подготовки, так и в рамках программа переподготовки специалистов соответствующих подразделений.

Основными научными дисциплинами в рамках преподавания программ для специалистов в сфере обеспечения безопасности компьютерной информации могли бы стать психология и кибернетика, информационные технологи и психолингвистика. Реализация данного подхода в данное время является затруднительной, поскольку нет достаточного оснащения и необходимой базы для обучения специалистов.

Учитывая тот факт, что повысить эффективность расследования преступлений в сфере компьютерной информации необходимо срочно, следует на базе подразделений обеспечения правопорядка в самом широком смысле использовать последние достижения в сфере информационных технологий.

Для эффективного расследования таких преступлений необходимо разработать единую тактику и стратегию. К данной работе следует привлекать высококвалифицированных специалистов. При осуществлении агентурной работы следует пересмотреть качественный состав субъектов, с целью установления конфиденциального и эффективного сотрудничества.

В арсенал оперативной техники следует включить современные технические приборы и устройства (компьютеры и программное обеспечение). Для личного состава правоохранительных структур необходимо предусмотреть разработку и принятие программ подготовки. С целью выполнения долгосрочной стратегии следует предусмотреть возможности для организации переподготовки специалистов в сфере обеспечения компьютерной безопасности.

Данными программами должна преследоваться не только качественная теоретическая подготовка специалистов, но и практическая работа по освоению современной компьютерной техники и программных средств. Без соблюдения этих требований итоги оперативно-розыскной деятельности по фактам преступлений в сфере компьютерной безопасности останутся неудовлетворительными.

Таким образом, повышению эффективности расследования преступлений в сфере компьютерной безопасности будет способствовать усовершенствование правовой, технической базы и внедрение программ подготовки специалистов в сфере обеспечения компьютерной безопасности.