2. Специальные знания в сфере компьютерных технологий

При раскрытии и расследовании преступлений у органов расследования нередко возникает необходимость решения вопросов, требующих использования специальных знаний. Однако если привлечение специальных знаний, использующихся при проведении устоявшихся традиционных видов экспертиз, особых затруднений не представляет, то применение специальных знаний в сфере компьютерной техники и информации, в частности, при назначении и проведении экспертиз компьютерной техники и информации, вызывает определенные сложности.

Несмотря на справедливость ссылок на новизну данного рода экспертиз, неправильным будет все сложности, связанные с тем, что касается экспертных исследований компьютерной техники и информации, от разработки методик и подготовки специалистов до использования результатов экспертизы в суде, списывать только на незаконченность ее формирования. Необходимо учитывать и то, что исследуемый род судебных экспертных исследований отличается от других судебных экспертиз не только методологией и инструментарием, которые меняются со временем, но также и тем, что вследствие высокого темпа развития средств компьютерной техники и программного обеспечения, увеличивается количество возможных объектов ее исследования.

Тем не менее основные требования, соответствие которым является условием эффективного использования специальных знаний, назначения и проведения судебных экспертиз, применимы и в отношении исследуемой нами разновидности специальных знаний. К таковым относятся следующие, отмеченные В.Н. Маховым, положения использования специальных знаний сведущих лиц:

- задание следователя сведущему лицу не должно выходить за пределы специальных знаний последнего;

- сведущее лицо должно обладать специальными знаниями и навыками их применения, достаточными для полного и отвечающего современным достижениям науки и техники, самостоятельного выполнения задания следователя^[24].

Для того чтобы отвечать этим требованиям, необходимо правильное понимание специальных знаний в сфере компьютерной техники и компьютерной информации, их сущности и возможностей, которое является важным условием применения указанных знаний в соответствии с требованиями закона, во всех необходимых случаях, возникающих в течение производства по делу.

Как уже упоминалось выше, в отечественном законодательстве не указано, какие знания следует относить к специальным. В уголовно-процессуальном значении их можно охарактеризовать следующим образом – это выходящие за рамки общеобразовательной подготовки и простого житейского опыта систематизированные научные знания, умения и навыки в определенной области, приобретаемые в процессе профессиональной подготовки и деятельности, необходимые для выявления и закрепления в соответствующей процессуальной форме обстоятельств, имеющих значение для уголовного дела, применяемые специально подготовленными лицами.

В определении специальных знаний ключевым является то, что специальные знания выходят за рамки простого житейского опыта и могут приобретаться только в процессе профессиональной подготовки и деятельности. Это разграничение лежит в основе одного из первых определений, данных после принятия в УПК РСФСР 1960 г. А.А. Эйсманом. Специальные знания он определяет как «знания не общеизвестные, не общедоступные, не имеющие массового распространения; короче, это знания, которыми располагает ограниченный круг специалистов»^[25].

Существенным признаком специальных знаний В.Н. Махов считает приобретение знаний в процессе подготовки к определенной трудовой деятельности и их усвоение в ходе этой деятельности, т.е. “…это знания, присущие различным видам профессиональной деятельности, за исключением знаний, являющихся профессиональными для следователя и судьи, используемые при расследовании преступлений и рассмотрении уголовных дел в суде в целях содействия установлению истины по делу в случаях и порядке, определенных уголовно-процессуальным законодательством”^[26].

В соответствующей литературе немало внимания уделено вопросам разграничения специальных и общедоступных, широко распространенных знаний. Среди них следует отметить замечание Е.Р. Россинской: «Глобальная информатизация, которую сейчас переживают многие страны, в том числе и Россия, безусловно, сильно влияет на критерии, определяющие общедоступность, обыденность знаний. В самом деле, являются ли специальными или общеизвестными сведения, изложенные в предназначенных для широкого круга читателей энциклопедиях, справочниках, словарях, представленные в электронных средствах массовой информации, глобальной компьютерной сети Интернет?»^[27] Это может оказаться особенно справедливым в отношении специальных знаний в сфере компьютерных технологий. Литературу, посвященную основам и принципам программирования, сетевым технологиям, устройству средств компьютерной техники и другим вопросам компьютерных технологий, можно без труда найти в любом книжном магазине, не говоря уже о том, сколько информации по данной тематике выложено в сети Интернет.

Учитывая вышесказанное относительно общедоступности практически любой информации, необходимо отметить, что носителем определенной информации в этой области может стать каждый желающий. Но даже наличие навыков опытного пользователя, не систематизированных знаний в программировании не может служить основанием для привлечения лица в качестве специалиста. Но именно таких лиц (обладающих определенными познаниями в области компьютерных технологий) желательно привлекать для участия в качестве понятых, чтобы цель происходящего и смысл отдельных действий специалиста при осмотре и исследовании компьютерной техники были понятны для них. Несмотря на сложность поиска, такое требование при выборе понятых иногда является необходимым, поскольку непонимание смысла происходящего понятым может привести к тому, что суд признает собранные доказательства недопустимыми.

Наличие подобных знаний у следователя также не может служить достаточным основанием для отказа от привлечения специалиста, так как то, что кажется простым и обыденным, на самом деле может оказаться сложным и требующим привлечения углубленных познаний.

Как отмечают зарубежные исследователи проблем расследования компьютерных преступлений, следователи должны уметь обращаться с компьютерами, не причиняя вреда материальным ценностям, средствам к существованию и правам свидетелей и подозреваемых пользователей при расследовании. Опыт уже показал, как легко нанести ущерб при расследовании компьютерного преступления и как важны, соответствующие навыки и знания для проведения эффективного расследования^[28].

В данном случае следует обратить внимание на следующие факты:

- подобные преступления обычно совершаются лицами, имеющими глубокие познания компьютерных технологий;

- для эффективного выявления и закрепления следов компьютерного преступления требуются соответствующие знания и навыки, не уступающие использованным преступником;

- при современном уровне и темпах развития компьютерной техники знания следователя в этой области по объективным причинам могут не соответствовать, приведенным требованиям.

Исходя из этого, можно сделать вывод, что собственные знания следователя в данной области в большинстве случаев окажутся недостаточными для самостоятельного исследования компьютерной техники. Кроме того, даже если следователь обладает необходимыми специальными знаниями, что обусловлено его предыдущей профессией, наличием соответствующего диплома и т.п., необходимо привлечение эксперта или специалиста для дачи заключения, так как подобная форма использования специальных знаний, без содействия сведущих лиц, использование специальных знаний следователем отечественным законодательством не предусмотрена.

Наличие у следователя необходимых сведений из области компьютерных технологий может быть применено при выдвижении версий, планировании и организации расследования преступлений, предусмотренных гл.

Основными условиями привлечения специалиста, кроме его незаинтересованности в исходе дела, является наличие у него соответствующих знаний. Поэтому, прежде чем допустить участие лица в качестве специалиста при расследовании компьютерного преступления, необходимо убедиться в отсутствии оснований для отвода (регламентированных УПК РФ ст. 70 в отношении эксперта, ст. 71 в отношении специалиста), а также проверить его компетентность в соответствующей сфере.

А.Н. Яковлев полагает, что лица, привлекаемые в качестве специалистов, должны отвечать следующим критериям: обладать необходимым объемом программно-технических знаний, необходимых для поиска, фиксации и изъятия «компьютерных» следов преступления; иметь надлежащие документы, подтверждающие квалификацию; проходить периодическую профессиональную переподготовку и повышение квалификации; состоять в штатах соответствующей федеральной службы и на постоянной основе участвовать в следственных действиях в качестве специалиста в области компьютерных технологий^[29].

С.А. Смирнова к лицу, производящему экспертизы в сфере компьютерных технологий, предъявляет следующие требования: «Эксперт должен не только успеть овладевать появляющимися информационными технологиями (уметь пользоваться ими), но, что намного сложнее, уметь их исследовать, анализировать, сопоставлять между собой, с предшествующими и конкурирующими технологиями, созданными иными производителями»^[30].

В работе, посвященной судебной компьютерно-технической экспертизе, Е.Р. Россинская и А.И. Усов пишут: «Специальные познания судебной компьютерно-технической экспертизы (СКТЭ) составляют электроника, электротехника, информационные системы и процессы, радиотехника, и связь, вычислительная техника (в том числе программирование) и автоматизация»^[31].

Усов замечает: «…анализ судебно-экспертной практики исследования компьютерных средств и систем показывает рост потребности привлечения специальных познаний из ряда научных областей, напрямую не входящих в область специальных познаний СКТЭ»^[32]. Одним из примеров может послужить проблема получения доступа к защищенной компьютерной информации. Широкое распространение информации, посвященной вопросам криптографии и стеганографии, а также обилие программных средств, обеспечивающих кодирование данных, приводит к тому, что зашифрованная или (и) защищенная паролем информация встречается, практически у любого пользователя. Необходимость дешифровки, представляет собой дополнительное препятствие при исследовании компьютерной информации, сложность в преодолении которого зависит от вида и силы примененного способа шифрования.

О наличии дифференцированного подхода к специальным знаниям в области компьютерных технологий с точки зрения их использования при расследовании преступлений свидетельствуют следующие рекомендации, согласно которым, для решения конкретных задач расследования должны привлекаться различные специалисты. При решении в ходе следственных действий задач, связанных с изъятием технических средств, может быть полезен специалист, знающий элементы и устройство вычислительной техники и систем управления, знакомый с вопросами функционирования автоматизированных систем управления. Для установления фактов проникновения извне в информационные системы специалист должен обладать познаниями в области программного обеспечения вычислительных систем и организации вычислительных процессов, а также обязан знать основы методов защиты информации и информационной безопасности. При исследовании систем ЭВМ и их сетей специалист должен иметь специализацию в области математического и программного обеспечения вычислительных комплексов, систем и сетей, ему также необходимы познания в области компьютерных сетей, узлов связи и средств коммуникаций, организации и распределения информационных потоков^[33].

На проблему определения квалификации и наличие необходимых навыков в соответствующей области техники требуемой для данного следственного действия указывает в своей работе и В.А. Мещеряков: «технический специалист, владеющий и хорошо знающий особенности построения и функционирования персональных компьютеров типа IBM PC с операционной системой Windows (а это в настоящее время наиболее распространенный тип вычислительной техники применяемой в автоматизированных информационных системах) мало компетентен в области эксплуатации компьютеров Macintosh фирмы Apple или компьютеров фирмы Sun с операционной системой клона UNIX. Еще большие проблемы могут возникнуть у специалиста в области программного обеспечения при осмотре средств связи и линий межмашинной связи»^[34].

В.Б. Вехов также считает, что в зависимости от назначения осматриваемых средств электронно-вычислительной техники (СВТ) к участию в следственном действии должны быть привлечены следующие специалисты:

- по обслуживанию и ремонту СВТ (для осмотра его аппаратной части и соединительной арматуры, например, для ЭВМ – инженер-системотехник);

- в области сетевых технологий (для осмотра СВТ, используемых в системах дистанционной передачи данных – сетях ЭВМ и электросвязи, периферийного оборудования удаленного доступа);

- по средствам соответствующего вида электросвязи (для осмотра оборудования электросвязи, используемого для передачи компьютерных данных и команд; терминала, являющегося аппаратом электросвязи; электронных документов, содержащихся в памяти аппарата электросвязи);

- оператор СВТ – ЭВМ, сотового радиотелефона, контрольно-кассового устройства, сервера сети ЭВМ и др. (для оказания помощи в его наружном осмотре, а также поиске, осмотре и изъятии машинограмм);

- технический специалист регистрационного отдела или иной сотрудник налоговой инспекции (для осмотра, изучения и изъятия электронных документов, содержащихся в фискальной памяти кассовой ЭВМ);

- инспектор спеццентра Гостехкомиссии России (для осмотра средств защиты терминала и содержащейся на нем компьютерной информации от несанкционированного доступа, утечки и съема, а также обнаруженных специальных технических средств для негласного получения (уничтожения, модификации, копирования, блокирования) информации);

- инженер-программист (для осмотра программного обеспечения, определения принципа его функционирования, установления следов преступной деятельности в среде машинной информации, оказания содействия в осмотре, изучении и изъятии электронных документов)^[35].

Исходя из вышеизложенного, можно заключить, что определение специальных знаний в области компьютерных технологий, в некоторых случаях может быть дано в более ограниченном виде и охватывать лишь знания в очень узких рамках, если они имеют углубленный систематизированный характер, например, знания об устройстве и функционировании определенного вида компьютерной техники или определенных программных продуктов. Привлекая специалистов к участию в следственных действиях, назначая экспертизу, необходимо помнить о предметной специализации экспертов и специалистов.

Специализация эксперта – это процесс и результат приобретения лицом, имеющим определенное образование и специальную экспертную подготовку, навыков исследования объектов экспертизы определенного рода, вида и подвида (предметная специализация) или навыков применения методов исследования объектов этой экспертизы (методная специализация)^[36].

Специализация сведущих лиц в области компьютерных технологий определяется через наличие углубленных знаний и опыта работы с определенными операционными системами и программным обеспечением, компьютерными сетями и техническими устройствами.

Одним из основных объектов исследования при расследовании преступлений, связанных с использованием средств компьютерной техники, является компьютерная информация. Однако в отечественном законодательстве до настоящего времени отношение к компьютерной информации, как к доказательству не выражено. В специальной юридической литературе существует несколько близких определений понятия компьютерная информация, с небольшими вариациями.

Существенным объединяющим признаком, служит то, что большинство авторов при формулировании понятия компьютерной информации опираются на определение информации, данное в ст. 2 закона Российской Федерации от 20.02.95 г. № 24-ФЗ "Об информации, информатизации и защите информации": информация – сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления^[37].

Вторым основанием определения служит носитель или место расположения, хранения информации. Наиболее полным в этом вопросе, на наш взгляд, является мнение В.В. Крылова, который считает, что информация является компьютерной, если она хранится в компьютерной сети, системе, на компьютерных носителях либо передается сигналами, распространяемыми по проводам, оптическим волокнам или радиосигналам^[38].

Третьей составляющей определения служит пригодность информации с точки зрения процесса доказывания. В связи с этим из существующих на данный момент определений, представляется возможным вывести следующее криминалистически значимое: компьютерная информация – это разновидность информации, обрабатываемой компьютерной системой, передающейся через радиоэлектронные технические средства или зафиксированной на машинном носителе, и являющейся фактическими данными, на основании которых в определённом законом порядке устанавливаются обстоятельства, имеющие значение для правильного разрешения дела.

Из определения можно выделить две группы обстоятельств, которые имеют значение при исследовании компьютерных систем, компьютерных сетей и машинных носителей информации с целью получения доказательств, используемых в суде.

Первая группа связана с формой представления данного типа информации. Она основывается на том, что для компьютерной информации основополагающим понятием является файл. В.Б. Веховым дается следующее определение файла – поименованная область записей на машинном носителе информации, где в закодированном виде хранится строго определенная информация с реквизитами, позволяющими ее идентифицировать^[39].

Файл обладает рядом характерных свойств, пригодных для его идентификации с точки зрения криминалистики:

- местонахождение или размещение (тип носителя, директория);

- наименование (символьное название, позволяющее отличить файл от других);

- расширение (содержит не больше трех символов, как правило, определяет тип информации, содержащейся в файле);

- тип информации (графическая, текстовая, аудио-визуальная, программный код и др.);

- атрибуты (системный, архивный, скрытый, только для чтения);

- время создания, время изменения.

Другая группа связана с процессом доказывания. Согласно ст. 74 УПК РФ доказательствами по уголовному делу являются любые сведения, на основе которых суд, прокурор, следователь, дознаватель в порядке, определенном УПК РФ, устанавливает наличие или отсутствие обстоятельств, подлежащих доказыванию при производстве по уголовному делу, а также иных обстоятельств, имеющих значение для уголовного дела.

Основными критериями доказательств являются такие понятия, как относимость, допустимость, достоверность и достаточность. Рассмотрим некоторые из них применительно к компьютерной информации.

Относимость информации, содержащейся в файле, говорит о том, что она входит в тот круг доказательств, которые могут иметь значение для установления обстоятельств, входящих в предмет доказывания по конкретному делу. Подобные материалы будут относимы в случае, если файл содержит в себе информацию, имеющую значение для дела.

Допустимость доказательств состоит в том, что они были собраны в соответствии с требованиями закона – надлежащим субъектом, из надлежащих источников, в надлежащем порядке с использованием законных методов и приемов получения фактических данных.

При расследовании преступлений, предусмотренных гл. 28 УК РФ, наибольшее доказательственное значение приобретают информационные следы, представляющие собой любые изменения, которые отображают работу и определённые действия в системе ЭВМ, и связаны с событием преступления. Таковыми являются файлы и изменения в них, возникающие во время работы операционной системы, различных программ (в том числе и вредоносных), при выполнении операций с информацией и со средствами компьютерной техники (включение, выключение, подключение перефирийных устройств и др.). Также в системах ЭВМ остаются следы, отражающие факт удалённого доступа через компьютерные сети. К файлам этой категории относятся файлы, содержащие библиотеки, драйверы, файлы паролей log и ini и др.

При расследовании «традиционных» преступлений больший интерес имеет компьютерная информация, представленная в виде файлов, содержащих текстовую, графическую либо аудио-визуальную информацию относительно конкретного дела. Это могут быть сообщения, передаваемые по каналам электросвязи; сайты или их отдельные страницы, текстовые файлы, содержащие записи, расчеты, графики, таблицы; цифровые снимки; цифровые аудио- и видеозаписи; электронные записные и адресные книжки и т.п., которые содержат информацию о жертве или преступнике, их контактах, об отдельных элементах и связях преступления.

В литературе с понятием компьютерной информации тесно пересекается понятие электронного документа. Сравнивая определения, даваемые различными авторами, можно сделать вывод, что любой объект компьютерной информации может быть отнесен к электронному документу. Более того некоторые авторы предлагают относить к электронным документам машинные носители информации.

Следует согласиться с В.А. Мещеряковым, в том, что такое широкое толкование категории электронного документа недопустимо для криминалистики, поскольку не позволяет разграничить различные по криминалистическим свойствам, механизмам следообразо­вания и следовосприятия объекты, следовательно, правильно оценить их с точки зрения возможности использования в качестве доказательств в каждом конкретном случае. А также с целесообразностью введения новой категории, для обозначения объектов компьютерной информации, которые не могут быть отнесены к электронным документам. В качестве такой категории Мещеряков предлагает "электрон­но-цифровой объект", определяемый как помеченная систе­ма дискретных электронных сигналов, предназначенная для обозначения (по установленной системе кодирования) какой-либо информации и представленная в форме пригодной для ее автоматизированной обработки, хранения и передачи с использованием средств вычислительной техники (компью­теров)^[40].

Понятие электронного документа, введенное В.А. Мещеряковым, получило развитие в работе Л.Б. Красновой и, на наш взгляд, оно наиболее полно отражает криминалистическую сущность данного объекта:

Электронный документ – один или несколько взаимосвязанных по установленному правилу файлов, содержащих совокупность электронно-цифровых объектов:

- отражающих сведения о лицах, предметах, фактах, событиях, яв­лениях и процессах;

- отражающих реквизиты, позволяющие подтвердить ее подлинность и целостность;

- имеющих возможность представления в форме, пригодной для восприятия человеком^[41].

Понятие электронного документа закреплено ст. 3 федерального закона от ”Об электронной цифровой подписи”: электронный документ – документ, в котором информация представлена в электронно-цифровой форме^[42].

Однако, как уже было сказано ранее, несмотря на очевидность значимости компьютерной информации для расследования уголовного дела, существенным препятствием на пути её использования является неопределённость процессуального статуса информации, хранящейся на электронных носителях, так как она не может быть однозначно отнесена ни к одному из видов доказательств, определенных в ст. 74 УПК РФ. В качестве вещественного доказательства может выступать машинный носитель информации, но не сами электронные данные, содержащиеся на нём.

Возможность отнесения компьютерной информации к «иным документам» (ст. 84 УПК РФ) некоторыми авторами отрицается. Главными аргументами против выступают: сложность и неоднозначность фиксации на материальном носителе, а также, отсутствие идентифицирующих реквизитов^[43]. В связи с этим назначение и проведение судебной экспертизы является основным способом придания данному виду информации статуса доказательства.