СПОСОБЫ ПОЛУЧЕНИЯ ДОКАЗАТЕЛЬСТВ И ИНФОРМАЦИИ В СВЯЗИ С ОБНАРУЖЕНИЕМ (ВОЗМОЖНОСТЬЮ ОБНАРУЖЕНИЯ) ЭЛЕКТРОННЫХ НОСИТЕЛЕЙ

Учебное пособие

Под общей редакцией
доктора юридических наук, профессора,
заслуженного юриста РФ
Б. Я. Гаврилова

ebooks@prospekt.org

Информация о книге

УДК 343.98(075.8)

ББК 67.52я73

         С73

Рецензенты:

Кручинина Н. В. – доктор юридических наук, профессор, профессор кафедры криминалистики Московского государственного юридического университета имени О. Е. Кутафина;

Скобелин С. Ю. – кандидат юридических наук, доцент, заведующий криминалистической лабораторией Академии Следственного комитета Российской Федерации;

Стельмах В. Ю. – кандидат юридических наук, доцент кафедры уголовного процесса Уральского юридического института МВД России.

В работе приводятся теоретические и правовые аспекты получения доказательств и информации в связи с обнаружением или возможностью обнаружения электронных носителей, в частности, кратко рассматриваются генезис и классификация электронных носителей, обозначаются проблемы законодательного урегулирования.

В учебном пособии также рассматриваются вопросы, связанные с особенностями тактики отдельных следственных действий, а именно: подготовкой и производством осмотра электронных носителей (и информации на них) и мест их обнаружения, подготовкой и производством обыска и выемки в местах вероятного нахождения электронных носителей (и информации на них). Особое внимание уделено назначению и производству судебной компьютерной экспертизы, а именно: определению оснований, выбору экспертного учреждения или эксперта, подготовке материалов, постановке вопросов, основам деятельности экспертов на вводной, исследовательской и выводной стадиях экспертного исследования. На основе общих положений тактики допроса сформулированы положения, отражающие особенности подготовительного, рабочего и заключительного этапов допроса по делам о неправомерном доступе к компьютерной информации (уголовная ответственность предусмотрена ст. 272 УК РФ). Особое внимание уделено предмету допроса. Одновременно приводятся примеры использования отдельных тактических приемов допроса по делам о неправомерном доступе к компьютерной информации. Выводы и предложения, сформулированные в работе, основаны на результатах анализа актуальной правоохранительной практики.

Законодательство приведено по состоянию на август 2016 г.

Учебное пособие предназначено для сотрудников правоохранительных органов, преподавателей вузов, аспирантов (адъюнктов), слушателей и курсантов образовательных организаций юридического профиля, студентов юридических вузов.

УДК 343.98(075.8)

ББК 67.52я73

© Коллектив авторов, 2016

© ООО «Проспект», 2016

Введение

В условиях глобальной информатизации общества, ускоренного развития услуг в сфере информационных и коммуникационных технологий использование электронных устройств в повседневной жизни человека приобретает первостепенное значение. Технической основой информационного общества стала инфраструктура, состоящая из современных сетей электросвязи и телекоммуникационного оборудования.

Однако наряду с неоспоримыми достижениями информатизация принесла с собой целый ряд сложных негативных явлений, связанных с использованием компьютерной среды для воплощения противоправных механизмов. В таких условиях важным источником доказательственной информации при расследовании преступлений, в ходе которых были использованы информационно-коммуникационные технологии, могут стать электронные накопители информации. В качестве таковых, как правило, выступают компьютерные блоки, ноутбуки, серверы, жесткие диски, компакт-диски, карты памяти, USB-флеш-накопители и др.

Вместе с тем до настоящего времени при производстве отдельных следственных действий встречаются затруднения по обнаружению, фиксации изъятию и исследованию электронных носителей, содержащейся на них информации. Особенности механизма следообразования по данным преступлениям должны учитываться на подготовительном, рабочем и заключительном этапах производства следственных действий, в частности следственного осмотра, обыска, выемки, допроса, назначения и производства судебной компьютерной экспертизы. При проведении перечисленных следственных действий наиболее вероятны организационные и тактические ошибки, влекущие необратимые последствия.

При подготовке учебного пособия авторы преследовали цель составить целостное представление об организации расследования преступлений, где бы информация на электронных носителях имела значение для уголовного дела.

Материалы учебного пособия основаны на результатах исследования нормативных и литературных источников, а также следственной, экспертной и судебной практики.

Глава 1.
Теоретические и правовые аспекты получения доказательств и информации в связи с обнаружением (возможностью обнаружения) электронных носителей

1.1. Понятие, генезис и классификация электронных носителей

Достижения человечества в области информационных технологий способствовали развитию и модификации комплексных технических систем, обрабатывающих существенные массивы информации. Для ее получения, копирования, дистанционного обмена, а также для долгосрочного хранения в настоящее время используются сотни типов и моделей электронных носителей.

Создание и повсеместное использование электронных носителей стало важной вехой не только в информационной среде, но и при построении общественных отношений во всех сферах жизнедеятельности человека, информационном обмене государственных институтов власти.

Рассмотрение этимологического значения термина «электронный носитель» говорит о том, что при семантическом анализе понятия «электронный» формируется его понимание как связанного с использованием свойств электронов, построенного на основе функционирования электронов в пространстве, существующем в информационной среде электронно-вычислительных машин. Одно из значений термина «носитель» — «устройство, несущее, перемещающее что-нибудь, а также вообще то, что заключает, несет в себе что-нибудь»¹.

Обращение к формулировкам, приведенным в положениях ГОСТ 2.051-2013, свидетельствует о логической взаимообусловленности терминологического аппарата, приведенного выше. В соответствии с подп. 3.1.9 указанного ГОСТа, «электронный носитель» обозначается как «любой материальный носитель, используемый для записи, хранения и воспроизведения информации, обрабатываемой с помощью средств вычислительной техники»².

Таким образом, электронный носитель — это любой материальный носитель, содержащий совокупность технических элементов, работающих посредством функционирования электронов в определенном информационном поле, использующийся в целях записи, хранения и воспроизведения информации, обрабатываемой с помощью средств вычислительной техники.

Эволюция электронных носителей началась с изобретением первых электронно-вычислительных машин. Носителями информации в электронно-вычислительных машинах первого поколения были картонные перфокарты, на которых информация была представлена в виде определенной конфигурации небольших отверстий, с помощью которых считывались данные.

Первым электронным носителем в современном понимании этого термина можно назвать накопитель на жестких магнитных дисках (НЖМД) IBM 350 Disk Storage Unit, который был представлен разработчиками 4 сентября 1956 г. По форме он был похож на большой шкаф и занимал почти все офисное помещение. В связи с большой стоимостью его могли себе позволить только крупные корпорации и правительственные организации.

Доступным для обычных пользователей «хранилище информации» стало только в 1979 г., когда компанией Seagate Technology было запущено массовое производство накопителей ST-412 объемом 10 Мб, которые использовались в персональных компьютерах IBM PC/AT и IBM PC/XT.

Дальнейшее развитие этого типа накопителей параллельно развивалось с устройством персонального компьютера, производительность которого увеличивалась в диаметральной прогрессии. Для пользователей персональных компьютеров стали необходимой потребностью передача хранящейся информации, обмен данными между устройствами. Компанией IBM в 1971 г. внедряется в практику использование дискет плотностью записи до 3 Мб, в основе которой помещался гибкий диск, покрывавшийся специальным слоем. Для считывания дискет в персональный компьютер встраивался специальный дисковод, в который помещалась дискета при копировании информации.

В конце 90-х гг. XX в. на смену широко используемых дискет приходят компакт-диски (англ. Compact Disc, CD), представлявшие собой оптический носитель информации в форме пластикового диска диаметром 12 см с круглым отверстием в центре. Запись, а также считывание данных с CD³ выполняется с помощью лазера. Также широкое распространение получили форматы DVD⁴ и BD⁵.

С 2000 г. компакт-диски потеряли свою повсеместную актуальность в связи с распространением USB-флеш-накопителей — небольших по размеру и простых в использовании запоминающих устройств, основные технические характеристики которых (перечисленные выше) значительно превышают остальные типы и форматы съемных электронных носителей, созданных современными информационными технологиями.

Для более углубленного определения содержания термина «электронный носитель» проанализируем его наиболее распространенные виды, формируя из них условную классификацию.

Наиболее распространенной является классификация электронных носителей по признаку зависимости сохранения памяти на устройстве от источника питания (батареи).

1. Энергозависимые. К энергозависимым электронным носителям можно отнести устройства, память в которых остается постоянной только благодаря использованию источника питания (батареи). К такого рода устройствам можно отнести:

а) оперативное запоминающее устройство ЭВМ (ОЗУ ЭВМ). В момент запуска компьютера (при включении электропитания) в ОЗУ ЭВМ загружаются в определенном порядке файлы с командами (программами) и данными, обеспечивающими для компьютера возможность их обработки. Сведения о том, где и какая информация хранится или какими командами обрабатывается в ОЗУ ЭВМ, в каждый конкретный момент доступны пользователю и при необходимости могут быть получены немедленно с помощью стандартных инструментов. Таким образом, ОЗУ ЭВМ фактически является носителем компьютерной информации. При этом нужно учитывать, что ОЗУ является энергозависимым, т. е. данные стираются в момент отключения данного устройства от источника питания;

б) оперативное запоминающее устройство периферийных устройств (ОЗУ)⁶. В процессе обработки информации компьютер ведет активный обмен информацией со своими периферийными устройствами, в том числе с устройствами ввода и вывода информации, которые, в свою очередь, нередко имеют собственные ОЗУ, где временно хранятся массивы информации, предназначенные для обработки этими устройствами (например, лазерный принтер, где «в очереди» на печать несколько документов). Заметим, что создание у самостоятельных компьютерных устройств собственных ОЗУ — наметившаяся тенденция. Устройство ОЗУ периферийных устройств сходно с ОЗУ ЭВМ, поддается контролю и управлению и, следовательно, может рассматриваться как носитель компьютерной информации.

2. Энергонезависимые. Устройства с энергонезависимой памятью способны хранить данные при отсутствии электрического питания. Энергонезависимые электронные носители, в свою очередь, можно разделить на следующие группы:

а) магнитные накопители. Данная подгруппа разделяется на три вида электронных носителей:

— гибкий магнитный диск (синоним — дискета, FDD)⁷. Дискета является портативным носителем информации , используемым для многократной записи и хранения данных ; представляет собой помещенный в защитный пластиковый корпус гибкий магнитный диск, покрытый ферромагнитным слоем. Дискеты обычно имеют функцию защиты от записи, посредством которой можно предоставить доступ к данным только в режиме чтения. Распространенная емкость дискеты — 1,44 Мб. В настоящее время дискеты практически не встречаются в практике, в том числе в процессе совершения преступлений;

— накопитель на жестком магнитном диске (синоним — жесткий диск, HDD)⁸. Названный электронный носитель является устройством хранения компьютерной информации , в основе действия которого лежит принцип магнитной записи. Информация на этом носителе записывается на жесткие (алюминиевые или стеклянные ) пластины , покрытые слоем ферромагнитного материала (в настоящее время разработаны гибридные жесткие диски, где используются классические магнитные накопители и технология флеш-памяти⁹).

Жесткий диск обычно установлен внутри системного блока компьютера. Как правило, на любом работающем персональном компьютере имеется один несъемный жесткий диск, но иногда могут быть установлены и дополнительные жесткие диски. Сведения о конкретном жестком диске могут быть получены из справочной документации, а также исходя из маркировки, нанесенной на диске.

В интересах расследования необходимы знания о таком свойстве жесткого диска (и других электронных носителей), как емкость. Емкость жесткого диска означает максимальный объем данных, которые могут на нем храниться.

Сведения о емкости могут быть полезны в тактическом плане. Например, свидетельствовать о намерениях пользователя по наполнению жесткого диска информацией определенного объема, а также о фактическом объеме компьютерной информации на носителе (последнее предполагает выбор следователем соответствующего электронного носителя, если принято решение об изъятии информации в ходе производства следственного действия);

б) оптические накопители. Указанная формулировка является собирательной, обозначающей категорию дисков, чтение с которых на компьютерных устройствах ведется с помощью оптического (лазерного) излучения.

Непосредственным носителем информации является рельефная подложка из поликарбоната, на которую нанесен тонкий слой отражающего свет вещества. В дисках, изготовленных промышленным способом, непосредственным носителем информации служит тонкий слой металла, который помещается на отштампованную заранее матрицу из поликарбоната. В любом случае информация на диск заносится через лазерную гравировку: выжигание светочувствительного слоя диска под воздействием высокотемпературного лазерного луча (выжигание информационных точек — питов). При чтении диска считывающий луч лазера отражается от записанных и чистых участков по-разному (в одном случае он поглощается, в другом — в отраженном виде возвращается к считывающей лазерной головке). В итоге мы получаем логический «ноль» и «единицу» — формат фиксации компьютерной информации.

Представителем первого поколения оптических дисков является компакт-диск CD, вмещающий до 650 Мб информации. Представителем второго поколения можно назвать диск DVD, вмещающий до 18 Гб информации (адаптированный для компьютера объем — 4,7 Гб). Третье поколение включает диски Blu-Ray, вмещающие от 25 до 50 Гб (разработчик Sony и др.), и HD–DVD, вмещающие от 15 до 30 Гб (разработчик Toshiba и др.).

Оптические диски имеют различные модификации. Так, например, CD-диски имеют две модификации (CD-R, CD-ROM); DVD-диски имеют шесть модификаций (DVD-R, DVD+R, DVD–DL, DVD+DL, DVD-RW, DVD+RW) и т. д. Здесь же отметим, что диски могут быть предназначены для однократной и многократной записи, а также предоставлять возможность односторонней и двухсторонней записи.

Как нам представляется, следователь должен иметь представление о модификациях дисков. Например, в ситуации, когда в ходе обыска обнаружены диски DVD–DL (с информацией на них), а в месте производства следственного действия отсутствует оптический дисковод, позволяющий осуществлять двухстороннюю запись, следователь может выдвинуть версию о местонахождении данного устройства;

в) магнитно-оптические накопители. Данный носитель сочетает в себе свойства оптических и магнитных дисков, которые изготавливаются с использованием ферромагнетиков. Запись на магнитно-оптический диск осуществляется по следующей технологии: излучение лазера разогревает участок дорожки, после чего электромагнитный импульс изменяет намагниченность, создавая отпечатки, эквивалентные «питам» на оптических дисках.

Считывание осуществляется тем же самым лазером, но на меньшей мощности (недостаточной для разогрева диска): поляризованный лазерный луч проходит сквозь материал диска, отражается от подложки, проходит сквозь оптическую систему и попадает на датчик. При этом в зависимости от намагниченности изменяется плоскость поляризации луча лазера, что и определяется датчиком.

Магнитно-оптический диск взаимодействует с операционной системой как жесткий диск, поэтому он может быть отформатирован в стандартную файловую систему (NTFS и др.). Интересной особенностью данного диска является его использование преимущественно в корпусе;

г) постоянное программируемое запоминающее устройство ЭВМ (ППЗУ ЭВМ). Данное устройство состоит из интегрированных микросхем, содержащих общую программу (программа состоит из последовательно выполняемых рабочих программ — алгоритмов управления). ППЗУ ЭВМ является энергонезависимым, т. е. данные не стираются в момент его отключения от источника питания. ППЗУ ЭВМ встроено («зашито») в аппаратное устройство, инсталлируется однократно и неизменяемо. Таким образом, ППЗУ ЭВМ фактически является носителем компьютерной информации;

д) флеш-накопители. В настоящее время самыми распространенными электронными носителями информации являются флеш-накопители. Значительная емкость и компактные размеры позволяют легко переносить их, например, в кошельке или паспорте. В зависимости от устройства и применения выделяются следующие виды флеш-накопителей:

— USB-флеш-накопители имеют три традиционных компонента: USB-штекер (USB 2.0, 3.0, micro-USB), обеспечивающий физическое соединение с цифровым устройством, корпус и плату-основу, на которой находятся необходимые для функционирования элементы — микроконтроллер, контрольные точки, микросхема (чип) флеш-памяти, кварцевый резонатор. Также на данной плате могут находиться дополнительные элементы, например, светодиод, ограничитель записи и т. д. Работа такого флеш- накопителя возможна только посредством подключения к гнезду USB¹⁰ на цифровом устройстве либо к специальному штекеру-переходнику. При этом им не требуется собственный источник питания, а подключение к программному обеспечению компьютерного устройства происходит в автоматическом режиме.

Корпус классических «флешек» может быть изготовлен из различного материала и представлен в различных формах. Более того, в качестве корпуса флешки могут быть использованы предметы домашнего обихода, канцелярские принадлежности, детские игрушки, брелоки и т. д.;

— карты памяти SD (Secure Digital) представляют собой компактную полимерную конструкцию квадратной формы. Такие карты памяти предназначены для использования в переносных устройствах — цифровых фотоаппаратах, видеокамерах, электронных книгах и т. д. На корпусе SD-карты имеется механический переключатель, который в закрытом положении блокирует возможность записи информации на карту. В настоящее время наибольшее распространение получили три формата SD-карт: SD, SDHC, SDXC. Имея стандартные, единообразные физические размеры, указанные карты памяти отличаются объемом и скоростью передачи данных.

Формат | Стандарт | Объем памяти
SD | SDA 1.0 | до 4 Гб
SDHC | SDA 2.0 | от 4 до 25 Гб
SDXC | SDA 3.0 | от 64 Гб до 2 ТБ

Для использования SD-карт в небольших по размерам компьютерных устройствах существуют две их модификации: Mini-SD и Micro-SD. Как правило, в комплекте с такими картами имеются универсальные адаптеры (переходники), благодаря которым Mini-SD и Micro-SD могут использоваться во всех типах слотов, размещенных в компьютерных устройствах.

Понимание сущности электронных носителей информации позволяет нам перейти к рассмотрению краткой характеристики данных носителей. Знание видов и основных характеристик электронных носителей информации даст следователю возможность правильно собрать (например, описать в протоколе сведения о жестком диске компьютера), проверить (например, установить причастность названного выше диска к преступлению путем назначения и производства судебной экспертизы) и оценить (например, проверить заключение эксперта) доказательства.

Различают карты с незащищенной памятью (полнодоступной), для которых отсутствуют ограничения на чтение и запись данных; и карты с защищенной памятью, использующие специальный механизм разрешений на чтение/запись и удаление информации. Обычно карты с защищенной памятью содержат неизменяемую область идентификационных данных. Данная особенность должна учитываться следователем при принятии решения о проведении отдельных следственных действий (например, осмотра предмета или назначения судебной экспертизы).

Считывание (и запись) карт памяти, использующих флеш-память, возможно несколькими способами:

1) подключение к персональному компьютеру устройства, в котором используется карта памяти;

2) подключение к персональному компьютеру специального устройства — универсального кардридера;

е) иные носители (здесь названы электронные носители, не получившие повсеместного распространения или используемые в узких кругах; вероятность встретиться с такими носителями в процессе расследования минимальная, однако представление о них иметь нужно):

— внешний накопитель на жестком магнитном диске (синоним — zip-драйвер)¹¹. Zip-драйвер — устройство для записи и считывания информации на диск, в основе которого лежит та же технология, что и для обычных дискет. При этом диск в накопителе Zip вращается со скоростью, в восемь раз превышающей скорость вращения стандартной дискеты (1,44 Мб), что позволяет плотнее размещать на нем дорожки и записывать до 100 Мб данных. Данный накопитель преимущественно используется для хранения информации; подключается либо через порт принтера с внешней стороны корпуса компьютера, либо параллельно порту CD-ROM с внутренней стороны корпуса компьютера;

— внешнее устройство накопления информации (синоним — ленточный накопитель, стример)¹². Стример — запоминающее устройство, работающее по принципу магнитной записи на ленточном носителе, с последовательным доступом к данным (по принципу действия аналогичен бытовому магнитофону). Основное назначение стримера состоит в том, чтобы записывать и воспроизводить информацию, а также архивировать и осуществлять резервное копирование данных. Как аналог стримера применяются jaz-устройства.

Таким образом, электронным носителем являются предметы материального мира — устройства, работающие на основе взаимодействия электронов, предназначенные для хранения, передачи, копирования цифровой информации, обрабатываемой компьютерными устройствами. С развитием информационных и коммуникационных технологий потребовались новые вместительные, компактные и экономичные хранилища данных, об условиях устройства функционирования которых должен иметь представление следователь, дознаватель в случае необходимости получения доказательств, изъятия таких электронных носителей.

1.2. Законодательное урегулирование получения доказательств и информации с электронных носителей, проблемные вопросы толкования и применения

Развитие информационных и телекоммуникационных технологий и их активное использование в повседневной жизни открыли новые возможности для обмена информационными ресурсами между их пользователями. Вместе с появившимися возможностями возникла потребность правового урегулирования в том числе вопроса правомерного получения информации, содержащейся на электронных носителях, в рамках процедур, урегулированных различными отраслями права.

Термин «информация» происходит от латинского informatio, означающего «ознакомление, разъяснение, представление, понятие». Традиционно информация в широком смысле слова связывается с понятиями «знания», «данные», «сведения»; «сообщения о чем-либо». Информация является достаточно универсальной категорией, но в то же время имеет законодательное определение.

Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» расширяет существовавший до этого подход и, упрощая применявшееся в ранее действовавшем законе понятие, определяет информацию как сведения (сообщения, данные) независимо от формы их представления (ст. 2 закона).

В юридической литературе общее определение информации, в основу которого положено отражение как свойство материи, было дано в 1976 г. А. И. Трусовым, который считал, что информация охватывает отражение предметов и явлений в человеческом сознании, явлений и процессов друг в друге, вне связи с сознанием. В то же время практически все авторы, пытавшиеся дать определение данной универсальной категории, отмечали, что термин «информация» обладает широчайшим смысловым полем и поэтому трудно поддается определению.

Во многом смысловой аспект данного определения отражает сущность тех наук, в рамках которых исследуется это понятие. Поэтому содержание понятия информации применительно к отдельным отраслям знания имеет свою специфику. С учетом специфики предмета криминалистки информация представляет собой содержание результата процесса отражения, при котором один объект (отражаемый), взаимодействуя с другим объектом или субъектом (отражающим), вызывает изменения в его состоянии и тем самым передает ему часть сведений о собственном содержании. Для уяснения сущности понятия «информация», которое достаточно часто фигурирует в работах криминалистов и процессуалистов, необходимо учитывать свойства этого феномена.

Очевидно, что в криминалистике речь идет о разновидностях информации, циркулирующей в уголовном судопроизводстве, возникновение и актуализация которой обусловлены событием преступления. В результате совершения преступления возникают не доказательства как таковые в уголовно-процессуальном смысле, а информация, связанная с совершением преступления, с фактами изменения вследствие этого реальной действительности. Такая информация существует объективно, вне сознания лица, расследующего преступление, или иного субъекта уголовно-процессуальной деятельности.

Одной из разновидностей информации является компьютерная информация. В научной литературе неоднократно высказывалось мнение о необходимости законодательного закрепления понятия «компьютерная информация» и вынесении его в примечание к ст. 272 УК РФ. Ранее понятие компьютерной информации приходилось трактовать, исходя из диспозиции ст. 272 УК РФ, как «информацию на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети».

В настоящий момент примечание к ст. 272 УК РФ содержит определение этого понятия, где под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи.

В центре содержания компьютерной информации находится электрический сигнал, который, согласно теории информации и связи (Клод Шеннон, 1963 г.), является материальным носителем информации, используемым для передачи сообщений в системе связи (при этом сигнал может не приниматься, но будучи принятым, становится сообщением, информацией).

Исходя из закона, в настоящий момент законодатель не привязывает компьютерную информацию лишь к машинному носителю, электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети. Таким образом, криминалистическое значение приобретает та информация, которая еще не зафиксирована на каком-либо носителе или устройстве, а находится в процессе передачи (более подробно компьютерную информацию с точки зрения появления электронного следа мы рассмотрим в следующих вопросах пособия).

Компьютерная информация облекается в форму электронного документа, определение которого напрямую дано в законодательстве России. Электронный документ — документированная информация, представленная в электронной форме, то есть в виде, пригодном для восприятия человеком с использованием электронных вычислительных машин, а также для передачи по информационно-телекоммуникационным сетям или обработки в информационных системах (ст. 2 Федерального закона от 27 июля 2006 г. № 149-ФЗ).

Электронные документы очень часто встречаются в правоприменительной практике, что предопределяет знание следователем основных классификационных групп данного вида документов:

— по назначению (официальное электронное издание, научное электронное издание, справочное электронное издание и др.);

— по юридической природе и силе (электронный документ, отражающий норму федерального закона, подзаконного акта и проч.);

— категории доступности (общедоступные и имеющие ограничения для распространения);

— источнику происхождения (электронные документы, создаваемые пользователем и самой системой, т. е. самой электронной средой);

— электронному носителю (электронный документ на жестком диске, на оптическом диске и т. д.);

— форме представления (материальные и виртуальные);

— формату записи или протоколу передачи (текстовые, графические, видео и др.); и др.

Федеральным законом от 28 июля 2012 г. № 143-ФЗ вводится новая правовая категория — электронный носитель информации.

Следует обратить внимание на то, что законодателем оставлена без внимания более корректная конструкция термина, указанная в вышеупомянутом ГОСТе 2.051-2013, состоящая из сочетания слов «электронный» и «носитель». Тщательное рассмотрение конфигурации слов «электронный носитель информации» позволяет говорить о возможной логической ошибке, выраженной тавтологией: электронный носитель информации — это (априори) носитель какой-либо цифровой (символьной, графической, текстовой) информации.

Учитывая, что терминологический аппарат, использованный в конструкциях процессуальных норм, был введен в общие правила производства обыска и выемки, можно обстоятельно говорить о том, что новеллы затронули процессуальную деятельность органов предварительного расследования, осуществляемую не только по экономическим преступлениям, но и по всем тем уголовным делам, в предмет доказывания которых входят обстоятельства, свидетельствующие об использовании «электронных носителей информации» подозреваемым (обвиняемым) в ходе подготовки, совершения, сокрытия преступления.

Идея разработчиков законопроекта выражалась в том, что на современном этапе развития информационных технологий необходимо упорядочить процедуру изъятия в ходе расследования уголовных дел электронных носителей информации (компьютерных блоков, серверов, ноутбуков, карт памяти) и порядка возвращения изъятых электронных носителей информации и (или) копирования содержащейся на них информации. По замыслу авторов, реализация законопроекта должна была позволить обеспечить дополнительную защиту прав предпринимателей и решить задачу продолжения деятельности хозяйствующих субъектов в случае изъятия электронных носителей информации в ходе расследования уголовных дел¹³.

В результате в ст. 81, 82, 166, 182 и 183 УПК РФ были внесены значительные корректировки, наделяющие правом законного владельца или обладателя на получение копии сведений, содержащихся на изымаемом носителе. Главным образом такие преобразования были обусловлены тем, что в следственной практике повсеместно встречались случаи, когда деятельность той или иной организации после процедур по изъятию указанных носителей следственными органами была частично либо полностью парализована.

Так, например, следственными органами в рамках расследования уголовного дела был произведен обыск в служебных помещениях ООО «Магистральстройсервис», в ходе которого был изъят сервер, пульт управления к нему, а также системные блоки компьютеров сотрудников бухгалтерии данного общества. После многократных попыток копирование баз данных было совершено, однако действия по их принятию в работу — приобретение нового сервера (так как изъятый при обыске сервер так и не был возвращен), его настройка, установка программного обеспечения, установка скопированных данных заняли длительное время. В связи с этими обстоятельствами работники общества были лишены возможности подготовить и сдать необходимые сведения в Пенсионный фонд в установленные сроки¹⁴.

Между тем перечень электронных носителей информации, об изъятии которых идет речь в процессуальных нормах, остался не регламентирован, их круг законодателем четко не обозначен.

Учитывая, что одним из процессуальных требований производства изъятия электронных носителей информации стало обязательное участие специалиста, типичной можно назвать ситуацию, когда следователь перед выемкой мобильного телефона, не работающего посредством функционирования определенной операционной системы, задается вопросом о том, следует ли относить такое устройство к электронным носителям информации и необходимо ли выполнить требования, предусмотренные ч. 91 ст. 182 УПК РФ и ч. 31 ст. 183 УПК РФ. Исходя из содержания гостовского термина, можно однозначно сказать: да. Но так ли все однозначно в практических условиях, когда при производстве изъятия в «особом порядке» одним из обязательных правил является использование специальных знаний?

Прецеденты, созданные в судебной практике, указывают на вольную интерпретацию судами установленной процедуры изъятия. Так, в одном случае судом признан несостоятельным довод апелляционных жалоб о том, что в ходе выемки CD-RW-диск был изъят у Н. с нарушением требований ч. 3¹ ст. 183 УПК РФ, так как изъятие происходило без специалиста. При этом суд, ссылаясь на нормы ч. 5 ст. 164 УПК РФ и ст. 168 УПК РФ, указал, что следователь только вправе привлечь к участию в следственном действии специалиста, но не обязан¹⁵. То есть указывая на соблюдение общего правила, суд, по сути, оставил без внимания надлежащее исполнение специального.

В другой ситуации суд, парируя жалобу адвоката на действия следователя, связанные с изъятием при производстве обыска системных блоков с электронными носителями без специалиста, указывает на то, что «они были произведены уполномоченным должностным лицом на основании соответствующего постановления, принятого в рамках возбужденного расследуемого уголовного дела в соответствии со ст. 182 УПК РФ»¹⁶.

И, пожалуй, самой распространенной в практике является позиция судебных органов, признающих правомерным производство обыска (выемки) электронных носителей информации без участия специалиста, согласно которой необходимость такого участия предполагается только при копировании информации с электронных устройств, обнаруженных при обыске, на иные электронные носители информации¹⁷. То есть в случае если изымаются носители целиком, то по мнению суда, специальные знания не требуются.

Примечательно, что встречаются решения и с альтернативными выводами. Так, Кемеровский областной суд своим постановлением от 13 марта 2014 г. 22К-1137/2014 оставил без изменения решение Центрального районного суда г. Кемерово по жалобе на действия должностных лиц при проведении выемки, а апелляционную жалобу адвоката без удовлетворения. При этом суд, отклоняя доводы адвоката, указывает на то, что «…фактически при проведении выемки 10 декабря 2013 г. не осуществлялось изъятие электронных носителей информации, а осуществлялось копирование имеющейся информации на отдельный носитель, что не запрещено нормами УПК РФ и не требует обязательного привлечения специалиста. Электронные носители с информацией остались в месте проведения выемки. Проведена выемка носителя с копированной информацией, а не носитель с копированной информацией оставлен в месте производства выемки»¹⁸.

Представляет практический интерес постановление Омского областного суда от 21 ноября 2013 г. № 22-3496/2013, которым действия следователя по непривлечению специалиста при производстве обыска, в ходе которого были изъяты электронные носители информации признаются незаконными. При этом суд не находит оснований для признания самого обыска незаконным, поскольку «изъятие электронных носителей было произведено в рамках Уголовно-процессуального кодекса РФ, конституционные права участников уголовного судопроизводства нарушены не были». Разъясняя свою позицию, суд приводит в качестве довода следующий тезис: «Само по себе изъятие системного блока и ноутбука не представляло какой-либо сложности, требующей участия лица, обладающего специальными познаниями, и не повлияло на законность самого обыска»¹⁹.

Анализ следственной практики показывает, что сотрудники органов предварительного расследования, дабы упростить процесс получения необходимой компьютерной информации, используют правовые механизмы изъятия, не предполагающие обязательного привлечения специалиста, например, подменяя выемку предмета, документа проведением осмотра места происшествия. Примечательны ситуации, когда потерпевший формально в ходе допроса представляет следователю карту памяти, извлеченную из видеорегистратора, которая в последующем направляется на экспертизу. Необходимо обратить внимание и на случаи, когда изъятие компьютерного оборудования осуществляется в закамуфлированном виде — как атрибутов оргтехники или черных ящиков неустановленного содержания без указания в протоколе какой-либо идентификационной, маркировочной информации.

Указанные ситуации свидетельствуют об умышленной подмене одного следственного действия другим, что нередко приводит к утрате их доказательственного значения.

Отметим, что Конституционный Суд РФ также обратил внимание на указанные моменты. В своем определении от 5 марта 2014 г. № 518-О суд указал, что изъятие обнаруженных в ходе осмотра места происшествия следов преступления, предметов и документов, имеющих значение для уголовного дела, осмотр которых на месте затруднен или требует продолжительного времени, не может подменять собой процессуальные, в том числе следственные, действия, для которых уголовно-процессуальным законом установлены специальная процедура и другие основания и условия проведения (обыск, выемка, наложение ареста на имущество и т. д.).

Между тем положения норм ч. 9¹ ст. 182 УПК РФ и ч. 3¹ ст. 183 УПК РФ устанавливают диспозитивные правила, согласно которым при производстве обыска (выемки) изъятие электронных носителей информации производится с участием специалиста вне зависимости от произведенных при изъятии манипуляций с электронными устройствами, а также их «сложности».

По смыслу перечисленных норм, копирование с изымаемых электронных носителей информации — это часть следственного действия (обыска, выемки), а не самостоятельное процессуальное действие. Причем копирование в ходе производства обыска (выемки) с изымаемых электронных носителей информации на другой электронный носитель информации вправе осуществить только специалист. К тому же это может быть реализовано «по ходатайству законного владельца изымаемых электронных носителей информации или обладателя содержащейся на них информации».

В соответствии с ч. 1 ст. 75 УПК РФ, доказательства, полученные с нарушением требований УПК РФ, являются недопустимыми. Поэтому все интерпретации возможного изъятия, используемые правоприменителем, которые предполагают отсутствие специалиста в таких процедурах, по сути являются произвольным толкованием текста уголовно-процессуального законодательства.

Отметим, что невыполнение данного законодательного правила может повлечь исключение из доказательств не только протокола обыска (выемки), но и всех составленных по его результатам процессуальных документов.

Так, 23 декабря 2013 г. Индустриальным районным судом г. Барнаула Алтайского края был признан недопустимым протокол выемки, в ходе которой была изъята распечатка текстовых сообщений с интернет-сайта, в связи с тем, что для изъятия информации с электронных носителей информации, в нарушение требований ч. 3¹ ст. 183 УПК РФ, не был привлечен специалист. Соответственно, судом были признаны недопустимыми доказательствами протокол выемки, протокол осмотра изъятой распечатки, а также распечатка сообщений от пользователя под логином «…» на сайте «…»²⁰.

Достаточно уместным представляется разъяснение законодателем в ч. 9¹ ст. 182 УПК РФ и ч. 3¹ ст. 183 УПК РФ порядка копирования информации, согласно которому по просьбе законного владельца или обладателя информации ему может быть предоставлена копия изымаемых электронных данных.

В свою очередь, не совсем понятным является правило, предполагающее законодательный запрет производства копирования информации, «если это может воспрепятствовать расследованию преступления». Отсутствие в приведенной формулировке конкретных случаев воспрепятствования по сути допускает произвольное толкование, что может привести к злоупотреблениям и нарушениям прав законных владельцев электронных носителей информации²¹.

Так, апелляционным определением Московского областного суда от 20 июня 2013 г. по делу № 22-4172/2013 было признано незаконным постановление старшего следователя, которым отказано в удовлетворении ходатайства адвоката о разрешении переписать данные с жестких дисков изъятых компьютеров ООО «…», а также о получении ксерокопий всех изъятых документов в связи с тем, что следователем не приведено убедительных мотивов отказа в удовлетворении заявленного ходатайства. Помимо этого, судом указывается, что направление уголовного дела в экспертное учреждение для проведения бухгалтерской судебной экспертизы не могло являться основанием для отказа в удовлетворении ходатайства адвоката о предоставлении копий изъятых документов и данных с жестких дисков. Тем более что, согласно постановлению о назначении указанной экспертизы, в распоряжение эксперта следователем были предоставлены отдельные документы, а о том, что направляются жесткие диски с компьютеров, в постановлении не указано²².

Отмечая положительную тенденцию законодателя по ограждению экономических форм деятельности, выраженной в этом случае в обеспечении «права на копию», необходимо акцентировать внимание на не совсем удачной интерпретации механизма, применяемого при производстве обыска и выемки, в ходе которых следствию необходимо изъять электронные данные, находящиеся на определенных электронных накопителях.

В данном случае, как небезапелляционно указывает А. Н. Першин, существующий подход законодателя демонстрирует отсутствие логики в распространении обязывающих норм об участии специалиста на все случаи изъятия электронных носителей информации²³. В связи с этим считаем необходимым для рассмотрения законодателем предложенный в литературе проект поправок в нормы, регулирующие процедуру осмотра с учетом существующих «особых» правил изъятия²⁴.

Учитывая, что в условиях действия «электронных» новелл у следователей в разы возросла потребность в привлечении специалистов-компьютерщиков, в их качестве стали выступать не только эксперты ведомственных учреждений, но и сотрудники сторонних организаций (системные администраторы, консультанты специализированных магазинов, сотрудники технических отделов, программисты и др.). Между тем остается открытым вопрос об уровне их компетентности, в частности, наличии достаточных знаний и опыта, необходимых для полноценного извлечения электронных данных и (или) целостного изъятия накопителей, на которых они содержались. Интересным представляется мнение С. В. Зуева, согласно которому изъятие средств компьютерной техники вполне доступно и специалисту «средней руки»²⁵. Остается только определить, каких специалистов можно отнести к этой категории, а также уповать на возможность признания их достаточной компетентности в суде.

Обобщение литературы, в которой освещались вопросы производства изъятия в ходе обыска и (или) выемки электронных носителей информации, позволило провести систематизацию различных научных позиций.

Так, к первой группе можно отнести позицию ученых, которые, несмотря на требования закона, допускают возможность привлечения специалиста при изъятии электронных носителей информации по усмотрению следователя, трактуя тем самым нормы ч. 9¹ ст. 182 УПК РФ и ч. 3¹ ст. 183 УПК РФ в зависимости от потребностей уполномоченных лиц в специальных познаниях²⁶.

Вторая (условная) группа ученых предлагает привлекать специалистов в зависимости от типа изымаемого электронного носителя информации. Так, А. Н. Осипенко и А. И. Гайдин полагают, что участие специалиста в изъятии обнаруженных на месте обыска внешних накопителей на жестких магнитных дисках, компакт-дисков, карт флеш-памяти излишне. Такие объекты, по их мнению, без какого-либо ущерба проведению следствия и интересам их владельца могут быть самостоятельно упакованы следователем и впоследствии направлены на экспертизу²⁷. По мнению М. В. Старичкова и В. А. Антонова, нет необходимости привлекать специалиста для изъятия сотового телефона, цифрового фотоаппарата, MP3-плеера²⁸. Позицию, согласно которой изъятие простейших электронных устройств следователь может производить самостоятельно, занимает и К. И. Сотников²⁹.

Подобные примеры (пусть и достаточно редкие) демонстрируют, с одной стороны, отсутствие у ученых и практиков единого представления о надлежащем механизме привлечения специалиста к процедурам изъятия, с другой — свидетельствуют о недостаточной ясности правовых норм, которые «должны обеспечивать точность написанного, полностью соответствовать мысли, которая была вложена в них автором»³⁰.

Между тем, по смыслу рассматриваемых норм, копирование с изымаемых электронных носителей информации — это, по нашему мнению, часть следственного действия (обыска, выемки), а не самостоятельное процессуальное действие. Причем копирование в ходе производства обыска (выемки) с изымаемых электронных носителей информации на другой электронный носитель информации вправе осуществить только специалист. К тому же это может быть реализовано по ходатайству законного владельца изымаемых электронных носителей информации или обладателя содержащейся на них информации.

Глава 2.
Тактика следственных действий, направленных на обнаружение, фиксацию и изъятие электронных носителей и информации на них

2.1. Тактика осмотра электронных носителей (и информации на них) и мест их обнаружения

Производство осмотра электронных носителей (и информации на них) и мест их обнаружения основывается на ряде положений.

Во-первых, УПК РФ закрепляет такие виды осмотра, как: осмотр места происшествия, местности, жилища и иного помещения, предметов и документов (ст. 176 УПК РФ). Для нас представляет интерес осмотр места происшествия (например, местонахождения персональных компьютеров организации, попавшей в поле зрения правоохранительных органов внутренних дел в связи с совершением преступления), а также осмотр предметов и документов (например, электронных носителей и информации, содержащейся на них).

Под осмотром места происшествия нами понимается безотлагательное следственное действие, направленное на установление, фиксацию и исследование обстановки места обнаружения электронного носителя информации, преимущественно электронно-цифровых следов и иных сведений, могущих иметь значение для возбуждения уголовного дела и его расследования.

Под осмотром электронных носителей информации нами понимается действие следователя в рамках осмотра места происшествия, а равно самостоятельное следственное действие по обнаружению, фиксации и изъятию преимущественно электронно-цифровых следов преступления и описанию общих и индивидуальных признаков электронного носителя информации. При этом осмотр следов преступления и иных обнаруженных предметов может быть произведен как в ходе осмотра места происшествия (по общему правилу), так и после него, если для такого осмотра требуется продолжительное время или осмотр на месте затруднен (ст. 177 УПК РФ).

Во-вторых, в теории криминалистики установлено, что деятельность следователя на подготовительном этапе осмотра места происшествия может быть условно разделена на действия до выезда на место происшествия и действия после прибытия на место происшествия. Каждый из названных этапов имеет свое содержание.

В настоящем параграфе этап подготовки будет рассмотрен с акцентом на осмотр места происшествия. Здесь же при необходимости будут обозначены вопросы, затрагивающие подготовку к осмотру предметов (электронных носителей информации) как самостоятельному следственному действию.

В-третьих, проведение осмотра места происшествия в жилище без согласия проживающих в нем лиц возможно на основании судебного решения в порядке, установленном ч. 5 ст. 165 УПКРФ, а в исключительных случаях — без судебного решения, но с последующим уведомлением судьи и прокурора в течение 24 часов после проведения осмотра. Здесь же заметим, что в практике могут возникнуть ситуации, когда следователь может «прикоснуться» к государственной и иной охраняемой законом тайне (например, осматривая носитель информации, содержащей коммерческую тайну).

Действия следователя до выезда на место происшествия. Своевременность прибытия на место происшествия и качество самого осмотра напрямую зависит от деятельности следователя, предшествующей выезду на него. Содержание этой деятельности обусловлено вопросами, которые должен решить следователь на анализируемом этапе.

1.1. Определение целей и задач осмотра места происшествия. Применительно к осмотру места происшествия как способу получения доказательственной информации с электронных носителей постановка целей не имеет какой-либо специфики. Речь здесь идет о целях, решаемых путем проведения осмотра места происшествия любого преступления: 1) получение исходных данных для построения криминалистических версий и проверка имеющихся криминалистических версий; 1) получение новых и проверка имеющихся доказательств.

Однако определение круга задач применительно к осмотру места происшествия как способу получения доказательственной информации с электронных носителей будет иметь специфику. Поскольку задачи конкретизируют деятельность следователя, формулировка задач должна учитывать сферу приложения его усилий. В этой связи задачи могут быть изложены следующим образом:

1) обнаружение, фиксация и изъятие преимущественно электронно-цифровых следов преступления (например, файлов, содержащих информацию о заключаемых договорах, — по делам о мошенничествах в финансовой сфере). Данные следы могут быть оставлены в результате совершения компьютерных преступлений (ст. 272–274 УК РФ), а также иных преступных посягательств (мошенничеств, действий по доступу к системам мобильной связи и пользованию ее ресурсами и т. д.)³¹;

2) фиксация обстановки преступлений, в результате совершения которых были оставлены электронно-цифровые следы. Сведения об обстановке позволяют судить как об условиях использования лицом, совершившим преступление, электронных носителей информации, так и об условиях обнаружения и изъятия этих носителей правоохранительными органами. Это, в свою очередь, может иметь значение для придания информации на электронных носителях качества доказательств (например, обнаружение электронного носителя с «пиратской» бухгалтерской программой в помещении финансового подразделения проверяемой организации может свидетельствовать об относимости электронного носителя к уголовному делу).

Постановка названных выше задач, по нашему мнению, создает возможность достижения целей осмотра. Здесь лишь нужно сделать оговорку относительно задач, решаемых в рамках целей «получение исходных данных для построения криминалистических версий и проверки имеющихся криминалистических версий». Для достижения этих целей перед осмотром должны ставиться задачи, конкретизированные к специфическим преступлениям и выдвигаемым по ним версиям (например, частные типовые версии по делам о неправомерном доступе к компьютерной информации).

1.2. Осуществление следователем действий (организация их проведения другими лицами), направленных на устранение обстоятельств, могущих затруднить деятельность следователя или повлечь неблагоприятные последствия (например, уничтожение следов):

1) установление типа программного обеспечения и характера взаимодействия компьютерных устройств, наличия подключения к сети (локальная сеть, глобальная сеть Интернет). На данном этапе можно вести речь об операционной системе Windows и ее альтернативах (Linux, MacОs и др.). Каждая из операционных систем имеет свой интерфейс (средство графического отображения процессов, происходящих в компьютере), управление и иные параметры.

Компьютерные устройства, находящиеся на месте происшествия, могут быть как автономными, так и объединенными в локальную сеть. В обоих случаях компьютеры могут быть подключены к сети Интернет. Учитывать это необходимо как минимум для того, чтобы верно определить момент начала осмотра, последовательность действий членов следственно-оперативной группы и т. д.;

2) установление наличия средств защиты от несанкционированного доступа. Для защиты информации от несанкционированного доступа применяются организационные, технические, программные и криптографические методы. Подготовка к осмотру места происшествия предполагает знание следователем факта применения на месте осмотра (объекте осмотра):

а) организационных методов защиты информации (порядок осуществления пропускного режима в осматриваемом месте, типичные места хранения электронных носителей информации, возможность проникновения посторонних лиц в осматриваемое место и др.);

б) технических методов защиты информации (фильтры, экраны на аппаратуру; ключ для блокировки клавиатуры; устройства аутентификации; электронные ключи на микросхемах и др.);

в) программных методов защиты информации (блокировка экрана и клавиатуры; использование средств парольной защиты BIOS и др.).

Знание криптографических методов защиты информации в процессе осмотра места происшествия не обязательно, поскольку они предполагают преобразование информации, в результате чего сведения становятся недоступными для восприятия (шифрование, стенография). В этом случае используются возможности судебных экспертиз, о чем будет сказано позже;

3) обеспечение сохранности обстановки на месте происшествия;

4) недопущение преждевременного восстановления компьютерной системы (например, разъяснение руководителю организации, пострадавшей от неправомерного доступа к компьютерной информации, негативных результатов преждевременного восстановления системы).

Например, в операционной системе Windows Vista может быть активирован механизм восстановления системы. При этом обновленные документы (которые могут содержать электронно-цифровые следы) могут быть заменены на эти же документы, но в предыдущей редакции (ранее сохраненные в Центре архивации и восстановления). Одновременно программы, которые установлены на компьютере после выбора «точки восстановления», будут утеряны.

1.3. Определение места проведения осмотра. Следователь, определяя место осмотра, должен акцентировать свое внимание на места вероятного нахождения электронных носителей информации. В качестве таковых можно выделить металлические сейфы, главный компьютер локальной сети (сервер), персональные компьютеры, ноутбуки; также представляют интерес периферийные устройства.

Дополнительно (на что мы обращали внимание ранее, говоря о задачах осмотра) целесообразно осмотреть места расположения объектов, могущих содержать электронные носители информации (например, осмотр помещений с компьютерной техникой, в том числе рабочих мест персонала). Это позволит связать информацию, содержащуюся на электронном носителе, с местом происшествия.

В литературе также обращается внимание на важность осмотра, к примеру, автотранспорта и иных мест, где хранились, клонировались мобильные телефоны, а также производились иные радиоэлектронные устройства. К этому добавим, что, коль скоро речь может идти о совершении компьютерного преступления, то осмотр места происшествия должен охватывать все компьютеры, входящие в локальную сеть пострадавшей организации, в том числе точки входа и выхода из нее в сеть Интернет.

Помимо определения координат места осмотра, обязательным элементом подготовки является получение информации о месте, что важно как минимум с тактической стороны. Например, проведение осмотра мобильного телефона вблизи предметов, обладающих сильным электромагнитным излучением, может привести к уничтожению компьютерной информации. Таким образом, готовясь к осмотру, следователю необходимо собрать данные о наличии на месте предполагаемого осмотра объектов, оборудования, аппаратуры, устройств, обладающих сильным электромагнитным излучением (например, путем опроса представителей организации, подлежащей осмотру).

1.4. Определение времени осмотра места происшествия. Время осмотра места происшествия означает этап расследования, конкретную дату, планируемое время начала и окончания следственного действия.

Необходимо стремиться к тому, чтобы осмотр места происшествия по уголовным делам, где фигурирует компьютерная информация, был проведен на первоначальном этапе. В противном случае появляется возможность повреждения или уничтожения информации, содержащейся на электронных носителях.

Говоря о времени осмотра места происшествия, следователь должен учитывать возможность привлечения необходимых участников к осмотру. Одним из таких участников выступает специалист. Его привлечение позволит осуществить данное следственное действие более полно, что, соответственно, повлияет на продолжительность осмотра. Кроме этого, в отдельных ситуациях участие специалиста обязательно (например, ч. 9¹ ст. 182 и ч. 3¹ ст. 183 УПК РФ).

1.5. Определение круга участников осмотра места происшествия. Значительный вклад в качество осмотра места происшествия вносит участие в нем специалистов, поскольку в противном случае восприятие следователем информационного содержания электронного носителя в ходе осмотра будет невозможным. Кроме того, могут быть внесены изменения в первоначальный образ информации на электронном носителе.

Согласно действующему законодательству, специалист может оказать содействие следователю в обнаружении, закреплении и изъятии предметов и документов, применении технических средств в исследовании материалов уголовного дела, для постановки вопросов эксперту (ч. 1 ст. 58 УПК РФ). Одновременно специалист может принимать участие в обсуждении вопросов, касающихся назначения и производства судебной экспертизы (ч. 1, 3 и 4 ст. 57, ч. 1 ст. 197 УПК РФ). Кроме этого, он может помочь следователю в установлении механизма работы компьютерного оборудования, определения места обнаруженного электронного носителя информации в компьютерной технике.

Привлекая специалиста, следователю необходимо убедиться в его компетентности, учитывая тот факт, что общего понятия «специалист по компьютерной технике» не существует. В этой связи интерес представляют ряд направлений: электроника, электротехника, информационные системы и процессы, радиотехника и связь, вычислительная техника, программирование и автоматизация.

Компетентность специалиста — оценочный термин, поэтому его наполнение зависит от конкретной ситуации. Компетентность специалиста может быть установлена посредством анализа уровня его образования (например, наличие диплома о высшем образовании по специальностям, связанным с компьютерным программированием), периода работы в сфере оборота компьютерной информации, места работы на момент привлечения к производству следственного действия (целесообразно привлекать лиц, работающих в специализированных государственных учреждениях).

Профиль нужного специалиста определяется в зависимости от целей и задач осмотра с учетом первоначальных данных о характере преступления. Как правило, может возникнуть необходимость в привлечении специалистов в области программирования операционных систем и прикладных программ³². Здесь же следует отметить роль эксперта-криминалиста, который может оказать помощь в обнаружении и сборе традиционных доказательств (например, слабо видимых следов пальцев рук на клавиатуре, компьютерной мыши и т. д.). Кроме этого, полезным будет приглашение бухгалтера со знанием персонального компьютера (может оказать содействие специалисту-программисту в обнаружении информации в специальных бухгалтерских программах).

С целью охраны помещения, входов и выходов, а возможно, и предотвращения противодействия работе следственно-оперативной группы во время осмотра целесообразно привлечение сотрудников органов внутренних дел и Национальной гвардии (оперативных сотрудников, сотрудников центра специального назначения сил оперативного реагирования и др.). Например, если транспортировку изъятых компьютерных средств не получилось осуществить за один раз, то сотрудники органов внутренних дел могут обеспечить временную охрану изъятого оборудования.

В целях удостоверения факта, хода, содержания и результатов осмотра могут быть приглашены понятые (если следователь примет такое решение, руководствуясь ч. 1¹ ст. 170 УПК РФ). Данные лица в силу специфики следственного действия должны быть как минимум сведущи в компьютерной технике и порядке работы на ней на уровне пользователей (осведомленность понятых может быть установлена путем постановки соответствующих вопросов). При этом не рекомендуется приглашение понятых из числа работников организации, в которой проводится осмотр. Это продиктовано их возможной причастностью к совершению компьютерного преступления.

В качестве участников могут быть приглашены представители администрации осматриваемой организации. Таковыми могут быть руководитель организации или его заместитель, а также представитель службы безопасности или охраны организации.

Помимо этого, в практике может возникнуть ситуация, диктующая приглашение владельца электронного носителя информации. Например, если следователем принято решение о проведении осмотра мобильного телефона (или прогнозируется его наличие на месте происшествия) и до проведения осмотра были получены сведения о том, что в мобильном телефоне имеются коды блокировок, то для проведения следственного осмотра можно пригласить владельца мобильного телефона. Данному лицу будет предложено самостоятельно разблокировать свой телефон или заранее уточнить данные коды у владельца мобильного телефона, получив согласие на разблокирование телефона без его участия.

Осмотр места происшествия неизбежно потребует от организации, подвергающейся осмотру, временных затрат на его проведение (речь идет о времени, потраченном вследствие простоя персонала, необходимости перемещения объектов и т. д.). Поэтому следователь должен предусмотреть участие лиц со стороны осматриваемой организации, могущих снизить затраты названных ресурсов. Например, привлечь к участию в осмотре сетевого или системного администратора организации (системного программиста, системного инженера), отвечающего за осматриваемые компьютеры или знающего особенности их эксплуатации.

Более того, осмотр без системного администратора может оказаться неполноценным, поскольку тот знает параметры, назначение и схему размещения осматриваемых технических средств по помещениям, их систему охраны и защиты, особенности запуска, пароль входа в компьютерную систему. Это лицо может оказать помощь в установлении тактически важных обстоятельств: соединены ли компьютеры в локальную сеть, каковы схема их соединения и основные правила ее безопасного использования и т. д.

1.6. Определение перечня специальных средств (программных продуктов) и упаковочного материала. В ходе подготовки к осмотру места происшествия, равно как и к осмотру предметов — электронных носителей информации — следователь должен обратить внимание на целесообразность, а во многих случаях обязательность подготовки специальных средств, в том числе программных продуктов (как правило, действия следователя сводятся к проверке их наличия и готовности у специалиста).

Например, на момент осмотра мобильного телефона как носителя компьютерной информации может произойти его отключение из-за быстрой разрядки аккумуляторной батареи. В связи с этим следует проверить состояние зарядки мобильного телефона или позаботиться о наличии зарядного устройства (попросить его у владельца, подобрать у коллег по работе).

Проведение осмотра пластиковой банковской карты предполагает подготовку электронного терминала³³ или другого оборудования, что позволит обнаружить необходимую информацию в электронной форме.

В процессе осмотра объекта, содержащего электронный носитель информации (либо непосредственно электронного носителя), возникает необходимость в применении специальной аппаратуры, в качестве которой выделяют:

1) специализированный лабораторно-исследовательский переносной компьютер со специальным аппаратным и программным обеспечением для просмотра содержимого жестких дисков, компакт-дисков и других электронных носителей, которые окажутся на месте происшествия, если на месте отсутствуют другие работающие компьютеры либо их использование специалистом признано нецелесообразным. Как вариант — применение ноутбука с жестким диском большой емкости, возможностью подключения сменных жестких дисков и пишущим CD/DVD-приводом, портами для подключения внешних устройств (принтера, внешнего жесткого диска, цифрового фотоаппарата или видеокамеры);

2) соединительные кабели и аппаратные средства (адаптер, блок питания — для прямого подключения к компьютерам и сети);

3) портативный или малогабаритный принтер³⁴, подключаемый к компьютеру или ноутбуку (для изготовления бумажных распечаток протокола осмотра, списка каталогов и файлов, обнаруженных на осматриваемом носителе информации);

4) загрузочные носители (например, компакт-диски) с исследовательским и сервисным программным обеспечением, а также отформатированные диски, записываемые компакт-диски, переносные накопители большой емкости типа ZIP и другие устройства для резервирования информации, которая будет изыматься. Кроме этого — накопители большой вместимости, совместимые с ноутбуком следственно-оперативной группы и пишущим CD/DVD-приводом;

5) внешний жесткий диск с необходимым программным обеспечением для запуска с него осматриваемого компьютера в ситуации, когда запуск собственной операционной системы невозможен или нежелателен;

6) аппаратура, в том числе цифровая: фото- и видеокамера, фотовспышка;

7) программное обеспечение общего и специального назначения (на исследовательском компьютере):

а) текстовый редактор для составления компьютерной версии протокола, табличный редактор для описи оборудования, описания осматриваемых и изъятых устройств, носителей, других объектов, копируемой информации;

б) диагностические программы для сбора информации об устройствах, входящих в состав компьютерной системы, их параметрах и техническом состоянии;

в) программы сбора информации о файловой системе на машинных носителях (структуре папок и файлов, их свойствах, атрибутах), а также выявления программ, имеющих признаки вредоносности, в компьютерной системе и на отдельных электронных носителях информации;

г) программы получения информации о программах, находящихся в оперативной памяти компьютера, на месте осмотра (обеспечивающие просмотр буфера памяти компьютера);

д) программы определения настроек аппаратуры и свойств программ;

е) программы просмотра и вывода на печать содержимого файлов разных типов. Кроме того, необходимо подготовить достаточное количество упаковочного материала для компьютерной техники, носителей информации и документации, которые могут быть изъяты в процессе осмотра (антистатические пластиковые пакеты, крепкие картонные коробки и упаковочная пена³⁵, боксы-контейнеры для компакт-дисков и других носителей), цветные самоклеющиеся ярлыки, бумагу для принтеров. При этом количество упаковочного материала и бумаги определяется с учетом предполагаемого количества и характеристик объектов, изымаемых на месте происшествия. Для перевозки указанной специальной аппаратуры, а также компьютерной техники, которая, возможно, будет изъята с места происшествия, нужно обеспечить следственно-оперативную группу транспортом.

1.7. Определение тактического приема осмотра места происшествия. В ходе осмотра могут использоваться различные тактические приемы. Так, осмотр помещения целесообразно осуществлять, применяя тактический прием «от центра к периферии». В качестве «центра» — отправной точки осмотра места происшествия — будет выступать конкретный компьютер, а если речь идет об осмотре конкретного компьютера, то компьютерная информация, имеющая значение для уголовного дела. Дальнейшее продвижение должно быть направлено в сторону периферийных и иных устройств.

Присутствует мнение об использовании полиэксцентрического приема осмотра как разновидности эксцентрического способа осмотра с исследованием, исходящим из нескольких информационных центров-узлов. При этом в качестве исходных центров будут выступать отдельные персональные компьютеры, образующие интересующий следователя участок, а движение осуществляется от одного узла к другому в соответствии с порядком расположения и типами каналов связи.

Есть позиция, согласно которой при осмотре места происшествия, где можно прогнозировать наличие электронных носителей информации, следует пользоваться тактическим приемом «от периферии к центру». В центре находится самый важный объект (объекты) — сервер сети.

В любом случае применение конкретного тактического приема зависит от конкретных обстоятельств. Осмотр целесообразно начинать с такого участка (узла) места происшествия, который содержит наибольший объем криминалистической информации (например, при расследовании преступлений в сфере компьютерной информации это обычно компьютер). Вместе с тем исходную точку осмотра выбирают так, чтобы обеспечить не только целеустремленность и полноту осмотра, но и такой порядок действий следователя и других участников осмотра, который исключил бы или по крайней мере свел к минимуму возможность уничтожения либо повреждения участниками осмотра следов преступления.

Осмотр сервера (серверной станции) может проводиться одновременно несколькими осмотровыми группами (параллельный осмотр). В этом случае организуется параллельное обследование входящих в локальную сеть рабочих станций.

В помещениях с компьютерами допустим последовательный осмотр, т. е. осмотр осуществляется от одного компьютера к другому. Очередность осмотра устанавливается в зависимости от степени связанности компьютера (наличие кабеля связи; обеспечение условия прямой видимости для оборудования, оснащенного инфракрасным портом передачи информации) или удаленности его расположения от основного (опорного) информационного узла (например, от сервера).

1.8. Инструктаж участников осмотра места происшествия. В процессе инструктажа следователь должен учитывать и обратить внимание присутствующих на недопустимость как минимум: 1) прикосновений лиц, присутствующих в осматриваемом месте, к компьютерной технике без разрешения следователя; 2) выключения электроснабжения кем-либо из лиц, присутствующих в осматриваемом месте.

Кроме этого, выделяют правила обращения с компьютерной техникой:

1) все включения и выключения компьютерного оборудования должны осуществляться только специалистами либо под их руководством;

2) не производить разъединения или соединения кабельных линий, прежде чем не будет выяснено их назначение, чтобы не допустить ущерба компьютерной системе или информации;

3) вскрытие корпуса системного блока и демонтаж компьютерного оборудования производить только с участием специалиста;

4) не допускать попадания мелких частиц и порошков на рабочие части устройств ввода-вывода компьютеров;

5) применение магнитных искателей, ультрафиолетовых осветителей, инфракрасных преобразователей и других подобных приборов для осмотра компьютерной техники должно быть согласовано со специалистом, чтобы избежать разрушения электронных носителей информации и интегральных микросхем памяти, а также повреждения информации.

Действия следователя при прибытии на место происшествия. Прибыв на место происшествия, следователь должен выполнить ряд незамедлительных действий:

1) организовать блокировку доступа персонала, работающего в месте осмотра, ко всем компьютерам сети, серверу и иным средствам компьютерной техники (для недопущения изменения или повреждения информации во время осмотра);

2) удалить всех посторонних (лиц, не участвующих в осмотре), по возможности разместив их в помещении, исключающем использование любых средств связи;

3) выставить охрану у средств компьютерной техники и электрических распределительных щитов, пультов (при большом количестве мест разместить сотрудников, обеспечивающих охрану, в точках, позволяющих просматривать данные места);

4) при наличии локальной компьютерной сети, связывающей компьютеры, отсоединить удаленный доступ к системе извне, например, отключить шнур модема от телефонного кабеля; блокировать выход сервера во внешнюю (глобальную) сеть;

5) установить, не запущена ли на компьютере программа уничтожения информации (при запуске данной программы с помощью специалиста предпринять действия по ее приостановлению или отмене, в том числе отключить компьютер от питания).

Существует мнение, что в начале осмотра места происшествия необходимо изымать у персонала осматриваемой организации электронные записные книжки и иные подобные средства (например, ноутбук или планшет через Wi-Fi позволяет в ходе осмотра осуществлять нежелательные для следствия действия). Однако данные рекомендации, при всех положительных тактических моментах, представляются сомнительными.

Во-первых, с самого начала работы следователь должен стремиться к созданию обстановки делового сотрудничества с работниками этой организации, а названные выше действия могут привести к конфронтации и отрицательно сказаться на результатах осмотра. Однако сделанный вывод не следует понимать буквально, поскольку обстановка делового сотрудничества может отсутствовать без ущерба для дела в ситуации, когда речь идет об осмотре в организации, с оборудования которой совершено распространение детской порнографии.

Во-вторых, положения УПК РФ, регламентирующие производство осмотра помещений, не содержат указания на возможность совершения принудительных действий в отношении лиц, находящихся в месте осмотра.

Конечно же, нельзя отрицать тактическую значимость сведений, присутствующих в личных электронных записных книжках, ноутбуках, карманных персональных компьютерах и других средствах (там могут содержаться пароли доступа, адреса в сети Интернет, документы, взятые для домашней или мобильной работы, и т. д.). Поэтому можно предложить владельцам личных средств компьютерной техники добровольно сдать их на время осмотра с разъяснением причины этой просьбы следователя и обязательности возврата указанных средств после окончания осмотра. Если будет получен отказ, то следователь, в соответствии с требованиями ст. 21 и 161 УПК РФ, должен принять меры к получению подписки у владельца средства компьютерной техники о запрете пользования этими средствами во время осмотра.

Проконсультировавшись со специалистом, можно предпринять шаги к уменьшению неудобств, создаваемых нормальной работе организации на период осмотра. Например, разрешить переключиться на резервную компьютерную систему. В бесконфликтной ситуации, характеризующейся совпадением интересов следователя и лиц, находящихся на объекте, подлежащем осмотру, достаточно попросить персонал приостановить текущую работу с компьютерной техникой, не использовать мобильную связь и перейти в другое помещение, где с ними смогут побеседовать сотрудники оперативных подразделений для установления обстоятельств, имеющих значение для дела.

После этого, перед тем как приступить к непосредственному осмотру места происшествия, необходимо выполнить ряд действий.

Во-первых, если это не было сделано ранее, привлечь к осмотру компьютера или группы компьютеров, расположенных в одном или смежных помещениях, связанных в локальную сеть, сетевого или системного администратора организации (системного программиста, системного инженера), отвечающего за осматриваемые компьютеры или знающего особенности их эксплуатации. Данные лица, о чем ранее говорилось, помогут установить, соединены ли компьютеры в локальную сеть, каковы схема их соединения и основные правила ее безопасного использования. Кроме этого, они могут указать тип используемой сетевой операционной системы и перечень прикладного программного обеспечения, используемого для работы сети и на рабочих местах, а также установить наличие и место хранения резервных копий серверных дисков, баз данных.

Во-вторых, в присутствии специалистов порознь допросить (получить объяснение), опросить очевидцев; лиц, обнаруживших признаки преступления, и иных лиц, располагающих сведениями, которые должны быть приняты во внимание при осмотре (показания опрашиваемых лиц целесообразно фиксировать с помощью средств звукозаписи).

В частности, у администратора системы целесообразно установить: какие операционные системы установлены на сервере и пользовательских компьютерах; какие системы защиты и шифрования разрешены к применению пользователями на рабочих местах; где хранятся файлы, к которым можно получать доступ с рабочих мест; где и как создаются резервные копии; как зарегистрированы идентификаторы (имена и пароли пользователей); кто, кроме администратора сети, имеет наиболее полные права доступа в систему.

У администратора сети или конкретного работника (оператора персонального компьютера) устанавливают, какие признаки, по его мнению, свидетельствуют о совершении преступления, когда и при каких обстоятельствах они обнаружены, какие действия предпринимались по устранению вредных последствий до прибытия следователя и другие подробности обнаружения происшествия.

В-третьих, при необходимости окончательно определить круг участников осмотра места происшествия (пригласить понятых, если это не было сделано ранее; проконтролировать соответствие понятых требованиям ст. 60 УПК РФ; разъяснить участникам осмотра их права, обязанности и ответственность, а также порядок производства данного следственного действия; уведомить их о том, какие именно и кем будут применяться технические средства).

В-четвертых, если в процессе осмотра планируется использование специальной техники и программ для работы с компьютерной информацией, то перед применением они должны быть протестированы в присутствии понятых (или с использованием технических средств фиксации хода и результатов тестирования) на предмет отсутствия в ней вредоносных программно-аппаратных средств и закладок. Понятые извещаются о назначении и наличии лицензии программного обеспечения, которое будет применяться во время осмотра.

Обобщая изложенное выше, следует отметить тот факт, что осмотр электронных носителей может осуществляться как в рамках осмотра места происшествия, так и в рамках самостоятельного действия. В первом случае проводится осмотр места обнаружения данных носителей. Подготовительный этап осмотра электронных носителей информации и мест их обнаружения, за исключением определения целей следственного действия, имеет специфику, которая обусловлена особенностями преступлений, совершаемых с использованием компьютерной информации, а равно особенностями функционирования компьютерных технических средств и программного обеспечения.

Производство осмотра места обнаружения электронных носителей информации, фиксация его результата. Окончание рассмотрения подготовительного этапа осмотра диктует переход к рабочему и заключительному этапам данного следственного действия.

Содержание деятельности следователя в этом случае будет носить многоуровневый характер и включать в себя, во-первых, осмотр помещений с компьютерной техникой, необходимый для того, чтобы связать объект, содержащий электронный носитель информации, с событием преступления; зафиксировать обстановку обнаружения данного объекта. Во-вторых, осмотр рабочих мест, оснащенных персональными компьютерами, необходимый для того, чтобы связать электронный носитель информации через объект, его содержащий, с событием преступления, а также зафиксировать обстановку обнаружения данного электронного носителя³⁶. В-третьих, осмотр электронного носителя необходимый для получения доказательственной информации. Необходимо оговориться, что применительно к рассматриваемому вопросу электронные носители нами понимаются несколько шире: носители, обладающие нормативно закрепленными признаками, дополнены объектами, в состав которых включены электронные носители и которые воспринимаются как единое целое (например, смартфон и т. п.).

Однако прежде чем перейти к освещению заявленных вопросов, обратим внимание на типичные следы, которые могут быть обнаружены в процессе проведения названных видов осмотра.

В процессе осмотра места происшествия необходимо помнить, что электронные носители сами по себе являются следом (в широком смысле), поэтому сам факт их обнаружения, наряду с другими следами, может быть положен в основу доказывания. Кроме этого, каждый такой носитель информации может содержать материальные и электронно-цифровые следы.

Например, в процессе совершения преступлений в сфере мобильных телекоммуникаций подозреваемым используются объекты, выступающие в качестве электронных носителей информации:

1) похищенный у легального пользователя мобильный телефон;

2) клонированный мобильный телефон³⁷;

3) мобильный телефон, доработанный на техническом и программном уровне для осуществления сканирования идентификационных данных (номеров) легальных пользователей (ESN, MIN и др.);

4) средства компьютерной техники (накопитель на жестком магнитном диске, лазерные диски, программаторы³⁸);

5) сканирующие технические устройства, мониторы мобильной связи, технические комплексы (последние представляют собой комбинацию сканера, компьютера и мобильного телефона).

Названные выше объекты содержат следы совершения преступления, которые могут быть обнаружены в ходе осмотра электронных носителей информации.

Их можно разделить на:

1) материальные следы (следы пальцев, инструментов, микрочастиц на клавиатуре, внутри мобильного телефона, на поверхности компьютера и его устройствах, съемных электронных носителях информации; установленные кустарным способом в мобильный телефон дополнительные микросхемы, конструктивно-технические изменения электронных схем мобильного телефона);

2) электронные следы³⁹ (программное обеспечение, с помощью которого осуществлялось сканирование, декодирование, запись и хранение необходимых данных; следы изменения указанных программ; сообщения телекоммуникационных сервисов SMS; персональные данные абонента в энергонезависимой памяти мобильного телефона).

1. Осмотр помещений с компьютерной техникой. В ходе осмотра следователь воспринимает общую картину места происшествия; определяет его границы, количество и схемы расположения рабочих мест, в том числе наличие и количество подключенных к локальной или глобальной сети компьютеров, вид связи сети; уточняет порядок размещения компьютерного оборудования и местонахождение электронных носителей информации. Основная идея осмотра на этом уровне — зафиксировать объекты, могущие участвовать в «электронном взаимодействии» (например, расположение электрических розеток, наличие кабеля для соединения отдельных компьютеров в локальную сеть и т. д.).

Тактические приемы, используемые в ходе статического и динамического осмотра, реализуются не в отношении всего места происшествия, а лишь относительно узла (отдельного персонального компьютера), который вначале изучается статически, а затем динамически.

По завершении осмотра компьютеров, входящих в сеть, производится осмотр помещения. При осмотре кабельных соединений локальной сети надо убедиться в их целостности на всем протяжении, отсутствии следов подключений нештатной аппаратуры.

В ходе осмотра рекомендуется обратить внимание на:

1) место расположения осматриваемого помещения в здании организации;

2) наличие и состояние охранной сигнализации;

3) микроклиматические условия эксплуатации компьютера на момент осмотра (температура, влажность воздуха).

1.2. Осмотр рабочих мест, оснащенных персональными компьютерами. При осмотре названных рабочих мест представляют интерес:

1) отдельные компьютеры, не подключенные к локальной сети организации или сети Интернет;

2) компьютеры, подключенные к локальной сети организации или сети Интернет;

3) главный компьютер локальной сети (сервер);

4) сетевые линии связи;

5) соединительные кабели;

6) периферийные устройства (принтеры, модемы, сканеры и т. п.).

В ходе осмотра компьютеров (независимо от факта их подключения к локальной сети или сети Интернет) необходимо обратить внимание на такие моменты, как:

1) местонахождение компьютера и его периферийных устройств (печатающего устройства, дисплея, клавиатуры, дисководов и проч.), их характеристики;

2) факт и механизм соединения между собой вышеуказанных устройств;

3) факт и механизм подключения компьютера к локальной сети или сети Интернет;

4) характеристика переключателей на блоках и устройствах компьютерной техники и индикаторных ламп на корпусе устройства;

5) содержание информации, высвечиваемой на мониторе компьютера, и световых сигналов на различных его индикаторах;

6) состояние кабельных соединений (их целостность и отсутствие следов подключения нештатной аппаратуры);

7) наличие и содержание всех пометок, специальных знаков, пломб и наклеек на корпусах и устройствах компьютерной техники;

8) наличие и характеристика механических повреждений на компьютерной технике;

9) наличие и характеристика внутри компьютерной техники нештатной аппаратуры и различных устройств;

10) наличие и характеристика следов нарушения аппаратной системы защиты информации и другие признаки воздействия на вычислительную технику;

11) наличие и характеристика электронных носителей информации.

Кроме этого, если речь идет о работающем компьютере, то необходимо обратить внимание на факт выполнения в момент осмотра какой-либо программы (ее характеристику).

Говоря о фиксации результатов осмотра места происшествия, мы ведем речь о документальном отражении в установленной законом форме всего обнаруженного на месте происшествия, описании произведенных в ходе осмотра действий, запечатлении как общей картины обстановки происшествия, так и свойств, состояния и признаков отдельных элементов места происшествия.

Основным методом фиксации хода и результатов осмотра места происшествия является описание в протоколе, составляемом в соответствии с требованиями ст. 166, 167 и 180 УПК РФ, обстоятельств, выявленных при производстве данного следственного действия.

Во вводной части протокола осмотра места происшествия указываются: место составления протокола и дата производства осмотра; время начала и окончания осмотра с точностью до минуты; классный чин или звание, фамилия и инициалы лица, составляющего протокол; основание производства осмотра (сообщение о происшествии с указанием, от кого, когда оно и о чем получено); фамилия, имя и отчество каждого лица, участвовавшего в осмотре; место жительства понятых (при наличии); в соответствии с какими статьями (частями статей) УПК РФ производится осмотр; факт разъяснения прав, ответственности, а также порядка производства осмотра места происшествия участвующим в осмотре лицам; какие и кем именно будут применяться технические средства с указанием их индивидуальных признаков (тип, марка, название, маркировочный номер компьютера — при наличии); сведения о съемном электронном носителе информации — при наличии; сведения о программном обеспечении (тип, название, версия, производитель, разработчик, данные регистрации: пользователь, организация, номер продукта или его аналог); в каких условиях производится осмотр (погода, освещенность).

В описательной части протокола необходимо зафиксировать следующее:

1) расположение места происшествия; его границы, общая характеристика (адрес, назначение здания, число этажей и т. д.); описываются пути, ведущие к месту происшествия, входы и выходы;

2) месторасположение осматриваемого помещения в здании, наличие охранной сигнализации (указываются основные технические характеристики), состояние оконных или дверных проемов (повреждения), техническое состояние запорных устройств, экранирующих средств защиты⁴⁰; микроклиматические условия, существующие на момент осмотра (температура, влажность воздуха), расположение и основные характеристики токонесущих коммуникаций;

3) расположение компьютера и периферийного оборудования в осматриваемом помещении относительно друг друга и других электротехнических устройств, их положение на плане-схеме помещения;

4) тип (назначение), конфигурация⁴¹, название каждого конкретного блока, входящего в состав осматриваемого средства компьютерной техники, инвентарный номер, присвоенный бухгалтерией при постановке оборудования на баланс предприятия, а также цвет, форма, размер, серийный номер и иную информацию на заводском ярлыке; наличие и расположение специальных знаков, фирменных наклеек, этикеток со штрих-кодами, механических повреждений;

5) порядок и особенности соединения между собой всех устройств с указанием типа (назначения), цвета, количества, размеров и иных индивидуальных признаков соединительных и электропитающих проводов, кабелей, разъемов, что может дополняться фото- и видеосъемкой;

6) наличие или отсутствие линий связи для работы средства компьютерной техники в сети; телекоммуникационных линий; используемая в этих целях аппаратура, абонентский номер телефонной связи с провайдером⁴² сетевых услуг;

7) наличие и техническое состояние заземления средства компьютерной техники;

8) обнаруженные на средствах компьютерной техники следы или повреждения с указанием их локализации, размеров, каким способом они были сфотографированы, кем и с каких следов снимались копии, делались оттиски и т. д.;

9) не предусмотренные стандартом конструктивные изменения в архитектуре (составе) персонального компьютера, устройств (частей, блоков); подключенные к средствам компьютерной техники сторонние технические устройства;

10) наличие или отсутствие защиты персонального компьютера от несанкционированного доступа, тип средств (организационные, аппаратные, программные);

11) при осмотре группы компьютеров, соединенных в локальную сеть, следует указать количество серверов и подключенных к ним рабочих станций; расположение рабочих мест, способ соединения средств компьютерной техники друг с другом, расположение розеток подключения к сети;

12) факт включения или выключения средств компьютерной техники на момент осмотра; если компьютер включен, то на экране (дисплее) детально отображается изображение (окна каких программ и документов открыты, дата и текущее время и т. д.).

В случае необходимости после вскрытия корпуса системного блока в протоколе указывают месторасположение электронных плат на материнской плате, наличие внутри нештатной аппаратуры (например, «жучков», передающих информацию дистанционно; дополнительных устройств, несанкционированно установленных на компьютер организации без согласия администрации);

13) последовательность манипуляций, произведенных с устройствами в процессе осмотра средства компьютерной техники в целях поиска интересующей следствие информации, вплоть до перечисления нажимавшихся клавиш периферийных устройств, и полученные результаты;

14) подробное описание нестандартных проявлений в процессе загрузки операционной системы, реакции на ввод команд с клавиатуры и других этапов работы компьютера;

15) наименование, условия и порядок использования аппаратных и программных средств, применяемых специалистами для обнаружения, исследования и изъятия следов преступлений; отметка о том, что указанные средства перед их применением в присутствии понятых были тестированы на предмет отсутствия в них вредоносных программ и закладок; перечень персональных компьютеров, в которых применялись данные средства; полученные результаты;

16) описание обнаруженных электронных носителей — напоминаем, что подробная фиксация индивидуальных признаков электронных носителей информации может иметь место в рамках самостоятельного следственного действия — осмотра предметов и документов.

В заключительной части протокола осмотра места происшествия указываются:

1) факт производства фотосъемки, видео-, аудиозаписи, перечень объектов, в отношении которых выполнены соответствующие действия, с уточнением частей объектов, которые фотографировались;

2) последовательность выключения средств компьютерной техники, их отключения от электропитания и разъединения, если оно осуществлялось, особенности маркировки соединительных проводов и кабелей перед разъединением;

3) наименование предметов, которые были изъяты с места происшествия, способ их упаковки, содержание и место расположения пояснительных надписей на упаковке, характеристика печати (указывается полный текст оттиска печати), адресат направления и лицо, которому они переданы на хранение;

4) если в процессе осмотра было выполнено копирование информации, то указывают, какие файлы (их имена и типы) или программы каким образом были скопированы, откуда и куда (электронные носители информации, с которых и на которые скопирована информация, их упаковка), время начала и окончания копирования, количество копий и кому они вручены, марку (тип) использованного принтера (для распечаток компьютерной информации);

5) наличие и характеристика приложений к протоколу осмотра места происшествия (планы, схемы места происшествия, фототаблицы, распечатки компьютерной информации и т. д.); отражается, поступили ли заявления от участников осмотра, если да, то какие; факт ознакомления участников осмотра с протоколом, содержание поступивших замечаний на протокол либо указание на их отсутствие.

Протокол подписывается следователем и лицами, участвовавшими в осмотре места происшествия.

Помимо протокольного способа фиксации, применяются дополнительные способы отражения хода и результатов осмотра места происшествия. Например, используется видео- и фотосъемка. При этом сначала следует запечатлеть общий вид здания, помещения, где расположены средства компьютерной техники. Затем по правилам узловой фотосъемки зафиксировать отдельные компьютеры и подключенные к ним устройства. В случае вскрытия системного блока, используя детальную съемку, необходимо сфотографировать его отдельные узлы, особенно те, которые, согласно инструкции по эксплуатации, не должны устанавливаться на платах и в корпусе системного блока (эти данные можно получить, проконсультировавшись со специалистом). Одновременно осуществляется видеосъемка крупным планом всех действий следователя и специалистов по работе со средствами компьютерной техники. Происходящие события в процессе видеозаписи подробно проговариваются следователем или специалистом.

Целесообразно составление планов или схем осматриваемых помещений с обозначением на них мест:

1) расположения персональных компьютеров и периферийных устройств (порядка их соединения);

2) обнаружения электронных носителей информации;

3) следов, имеющих значение для дела.

В ходе осмотра места происшествия возникает необходимость изъятия объектов, имеющих значение для дела (объектов, содержащих электронные носители; электронных носителей; информации, присутствующей на электронных носителях).

Для изъятия объектов, содержащих электронные носители, необходимо:

1) завершить работу компьютерной системы. Если шла работа с документом (например, в программе текстового редактора) и он может иметь значение для расследования уголовного дела, то выход из программы осуществляется только после сохранения документа в отдельном файле с другим именем на жестком диске или на дискете, чтобы остался исходный, существовавший в начале работы вариант документа. Если правильное завершение работы операционной системы компьютера невозможно (программа или система зависла, перезагрузка не удается), надо согласовать со специалистом, не повредит ли аварийное завершение файловую систему компьютера при простом отключении компьютера от сети;

2) выключить электропитание компьютера (компьютерной системы), решение об этом принимается с участием специалиста по результатам осмотра. Так, обычно нежелательно выключать ЭВМ типа «мейнфрейм» или сервер, который поддерживает важные операции (например, обеспечение связи рабочих станций с базами данных на сервере). Если принимается решение выключить компьютер, необходимо предпринять шаги для сохранения (по возможности) данных из оперативной памяти перед выключением. В процессе изъятия мобильного телефона не рекомендуется его отключать, так как в будущем при его включении может запрашиваться код блокировки телефона;

3) промаркировать устройства компьютера перед тем, как их отсоединить и изъять; наклеить специальные липкие листы или ленты в местах подсоединения к кабелю с указанием даты и подписями следователя, специалиста, понятых и владельца (пользователя) данных аппаратных средств (рекомендуется помечать устройства, соединенные с одним центральным процессором, одним номером). При этом каждый незанятый порт надо маркировать как «свободный», что позволит в будущем ответить на вопрос, был ли данный порт действительно незанятым или просто утерян кабель;

4) отсоединить все кабели, предварительно зафиксировав их положение с помощью фото-, видеосъемки. Все кабели, которые соединяют изымаемые устройства компьютера, также маркируются с обоих концов и изымаются;

5) на длинной полосе бумаги следует поставить подписи следователя, специалиста, понятых, представителей персонала или администрации и номер компьютера. Такие полосы следует наложить на разъемы для подключения питания, а также на кнопки сетевого включения. Сверху необходимо наклеить в несколько оборотов липкую ленту (прозрачный скотч). Липкой лентой с подписями участников осмотра пломбируются все имеющиеся разъемы и кнопки с тем, чтобы исключить возможность включения компьютера и его устройств без нарушения пломбирования. При опечатывании компьютеров не следует пользоваться жидким клеем или другими веществами, которые могут испортить техническое средство. Такой же бумажной полосой следует опечатать крышку корпуса системного блока, чтобы исключить возможность доступа к внутренним элементам системного блока без нарушения ее целостности. Кроме указанного способа, в следственной практике используется другой способ опечатывания системного блока: он помещается в полиэтиленовый пакет и далее опечатывается уже сам пакет (доступа не будет ни к разъемам, ни к кнопкам, ни к корпусу). Данный способ упаковки рекомендуется экспертами;

6) опломбировать корпус аппаратного устройства так, чтобы исключить возможность его вскрытия;

7) разъединить устройства компьютера и упаковать его части раздельно, с указанием на упаковке съемных электронных носителей и места их обнаружения (разъединение рекомендуется начать с периферийных устройств);

8) производить упаковку и последующий вывоз (транспортировку) изъятого оборудования и электронных носителей с учетом рекомендаций изготовителя, указанных в инструкциях по эксплуатации, и мер