При решении вопроса о возбуждении уголовного дела целесообразно истребовать:
— журнал учета сбоев в работе компьютерной сети, выхода отдельных компьютеров или технических устройств из строя; журнал учета рабочего времени;
— документы о проведенных в течение дня операциях; физические (материальные) носители информации; программное обеспечение ЭВМ (при невозможности изъять физические носители);
— файл администратора сети, в котором фиксируется вся работа сети (моменты включения и выключения, результаты тестирования, протоколы сбойных ситуаций);
— системный блок и выносные накопители информации; информация (в виде файлов) о попытках незаконного использования компьютера, несанкционированного подключения к сети;
— акты по результатам антивирусных проверок контрольные суммы файлов, которые хранятся в соответствующих программах; список лиц, которые имеют право доступа к той или иной компьютерной информации и список паролей, под которыми они идентифицированы в компьютере;
— технические средства распознания пользователей (магнитные карты, ключи блокировки и пр.) с целью предотвратить доступ пользователей к компьютерам в период проведения проверки; и др.
С учетом комплекса исходной информации, полученной при проведении проверочных действий, на первоначальном этапе расследования могут складываться следующие типичные следственные ситуации.
1. Установлен неправомерный доступ к компьютерной информации, есть следы, есть подозреваемый, который дает правдивые показания.
2. Установлен неправомерный доступ к компьютерной информации, имеются следы, прямо указывающие на конкретного подозреваемого, но он отрицает свою причастность к совершению преступления.
3. Установлен неправомерный доступ к компьютерной информации, известны лица, несущие по своему служебному положению за это ответственность, но характер их личной вины, а так же обстоятельства доступа не установлены.
4. Установлен факт неправомерного доступа к компьютерной информации, совершить который и воспользоваться его результатами могли только лица из определенного круга (по своему положению, профессиональным навыкам и знаниям) либо известны лица (фирмы, организации), заинтересованные в получении данной информации.
Последняя из приведенных следственных ситуаций, является наиболее сложной, так как отсутствуют сведения о виновном лице, следы преступления, не известен способ совершения и другие данные.
Для разрешения следственных ситуаций, складывающихся на первоначальном этапе расследования, производятся следующие следственные действия: допрос свидетелей, обыск помещений, допрос подозреваемого, проверки по оперативно-справочным, розыскным и криминалистическим учетам.
Рассмотрим специфические особенности тактики проведения первоначальных следственных действий при расследовании неправомерного доступа к компьютерной информации. Учитывая особенности тактики, отмечается, что при его подготовке необходимо:
— выяснить, какая вычислительная техника имеется в обыскиваемом помещении и ее количество;
— установить, используется ли в комплекте с вычислительной техникой устройства автономного или бесперебойного питания;
— пригласить специалиста по компьютерным системам; подготовить соответствующую компьютерную технику;
— изучить личность владельца компьютера, его профессиональные навыки по владению компьютерной техникой;
— определить меры, обеспечивающие конфиденциальность обыска;
— спрогнозировать характер возможно находящейся в компьютере информации; ее роль в быстром и результативном обыске, определить, какую компьютерную информацию необходимо изучить на месте, а какую изъять для дальнейшего исследования.
По прибытии к месту проведения обыска необходимо быстро и неожиданно войти в обыскиваемое помещение, после чего необходимо организовать охрану компьютеров. На обзорной стадии обыска необходимо:
— определить, соединены ли находящиеся в помещении компьютеры в локальную вычислительную сеть;
— установить, имеются ли соединения компьютера с оборудованием или вычислительной техникой внеобыскиваемого помещения;
— выяснить, подключен ли компьютер к телефонной или телетайпной линиям;
— определить, запущены ли программы на ЭВМ и какие именно;
— установить, не содержится ли на компьютере информация, которая может способствовать более плодотворному поиску.
На детальной стадии обыска нужно четко организовать поисковые мероприятия, направленные на поиск тайников, в которых могут находиться обычные документы и предметы. Таким тайником может служить и сам компьютер. На заключительной стадии рассматриваемого следственного действия составляется протокол и описи к нему, вычерчиваются планы и схемы обыскиваемых помещений, проводятся дополнительные фотосъемка и видеозапись.
На последующем этапе расследования неправомерного доступа к компьютерной информации, началом которого является привлечение лица в качестве обвиняемого, в зависимости от того, насколько обвиняемый признает свою вину, могут складываться следующие следственные ситуации:
1. Обвиняемый признает свою вину и дает развернутые правдивые показания.
2. Обвиняемый частично признает свою вину, но отрицает свое участие в основных эпизодах преступной деятельности.
3. Обвиняемые признают свою вину, но не установлены все эпизоды преступной деятельности.
4. Обвиняемые (при совершении преступления группой лиц по предварительному сговору или организованной группой) отрицают свою причастность к преступлению, дают противоречивые показания.
5. Обвиняемый признает свою вину, но не называет соучастников преступления.
Выдвигая и проверяя следственные версии, следователь проводит комплекс последующих следственных действий, в число которых входит: допрос обвиняемого (обвиняемых), очные ставки, назначение экспертиз, предъявление для опознания, следственный эксперимент, проверка и уточнение показаний на месте и др.
На последующем этапе расследования неправомерного доступа к компьютерной информации назначаются и проводятся различные экспертизы, в том числе традиционные криминалистические, экспертизы веществ и материалов, экономические, инженерно-технические и другие экспертизы. Представляется, что можно выделить следующие виды компьютерно-технических экспертиз, необходимость назначения которых возникает при расследовании неправомерного доступа к компьютерной информации:
1) техническая экспертиза компьютеров и периферийных устройств. Она назначается и проводится в целях изучения технических особенностей компьютера, его периферийных устройств, технических параметров компьютерных сетей, а также причин возникновения сбоев в работе компьютерного оборудования;
2) техническая экспертиза оборудования защиты компьютерной информации. Проводится в целях изучения технических устройств защиты информации, используемых на данном предприятии, организации, учреждении или фирме;
3) экспертиза машинных данных и программного обеспечения ЭВМ. Осуществляется в целях изучения информации, хранящейся в компьютере и на магнитных носителях, в том числе изучение программных методов защиты компьютерной информации;
4) экспертиза программного обеспечения и данных, используемых в компьютерной сети. Проводится в целях изучения информации, которая обрабатывается с помощью компьютерных сетей, эксплуатируемых на данном предприятия, организации, учреждении, фирме или компании.
Предъявление для опознания компьютерной информации, обладающей рядом идентификационных признаков, таких, как ее содержание, вид, атрибуты, носители, имена и размер файлов, даты и время их создания, шрифт, кегль (высота букв), интерлиньяж (расстояние между строк), величину абзацных отступов) особый стиль выделения заголовков, размер полей, особенности нумерации страниц; назначение, выполняемые функции, интерфейс, графическое и музыкальное оформление и т.д. принципиально возможно, но имеет определенные тактические особенности.
В практике при расследовании анализируемого преступления проводятся следующие эксперименты:
— по проверке возможности проникновения в помещение (через двери, окно, с отключением и без отключения сигнализации);
— по проверке возможности подключения компьютерной техники и совершения непосредственного доступа к компьютерной информации;
— по проверке возможности проникновения в закрытые зоны (путем подбора паролей, идентификационных кодов и установлению периода времени на данный подбор);
— по проверке возможности подключения к компьютерной сети; по проверке возможности электромагнитного перехвата;
— по установлению периода времени, необходимогона подключение к компьютерной сети; по установлению периода времени, необходимого на отключение технических средств защиты информации;
— по установлению промежутка времени, необходимого для модификации, копирования компьютерной информации;
— по проверке возможности совершения определенных операций с компьютерной информацией в одиночку;
— по проверке возможности совершения определенных операций с помощью конкретной компьютерной техники за определенный промежуток времени и др.
Так же как иные следственные действия, производство следственного эксперимента при расследовании неправомерного доступа к компьютерной информации обладает рядом специфических особенностей.
1. Бахин В.П. Следственная тактика: проблемы изучения и совершенствования. — К., 1991.
2. Белкин Р.С. Курс криминалистики. 3 т. — М., “Юрист”, 1997.
3. Гаврилин Ю.В. Особенности криминалистической характеристики неправомерного доступа к компьютерной информации // Известия Тульского государственного университета. — Тула, 1999.
4. Криминалистика: Учебник / Под ред. В.А. Образцова. — М., “Юрист”, 1997.
5. Криминалистика: Учебник. / Под. ред. В.Ю. Шепитько. Х., Одиссей, 2001.
6. Расследование неправомерного доступа к компьютерной информации. Научно-практическое пособие. Под ред. Н.Г.Шурухнова. — М., 1999.
7. Реховский А.Ф. Теоретические учения о криминалистических версиях. — Владивосток, 1996.
8. Салтевский М.В. Криминалистика: Учебно-практическое пособие. Харьков, 1997.
9. Современное состояние законодательства в сфере компьютерной информации // Материалы «Круглого стола» 23-24 сентября 1998 г. — Москва—Тула, 1999.