5.6. Организация технико-криминалистической экспертизы компьютерных систем

Экспертизы разного рода компьютерных систем могут потре­боваться как в гражданском (в случае споров об ответственности между заказчиком и подрядчиком, о наступлении страхового случая, невиновном причинении вреда), так и в уголовном процессе (иссле­дование техники, принадлежавшей правонарушителям, либо потер­певшим, для установления истины по делу).

В то же время перед юристами и экспертами по информацион­ной безопасности стоят многие проблемы, затрудняющие производ­ство таких экспертных исследований и использование их результа­тов в гражданском и уголовном процессе.

Очевидно, что проводимая в рамках уголовного процесса экс­пертиза компьютерной техники может предоставить в распоряжение следователя и суда весомые доказательства вины (или невиновно­сти) подсудимого. Это касается не только преступлений в сфере ком­пьютерной информации, но и большей части преступлений эконо­мической направленности и некоторых общеуголовных (например, незаконного распространение порнографических материалов или предметов, мошенничества, подделки документов и т.п.). Как извест­но, любая организованная деятельность, в том числе преступная, не может обходиться без учёта, а в современных условиях большинство видов учёта успешно автоматизировано посредством компьютерной техники. Характерным примером использования результатов тех­нико-криминалистической экспертизы явилось дело НК «ЮКОС», когда владельцу компании М.Б. Ходорковскому были предъявлены обвинения на основании данных, полученных именно в результате экспертизы изъятых в НК компьютеров. Однако технико-кримина­листическая экспертиза компьютерной техники, в отличие от многих других экспертиз, до сих пор не поставлена «на поток». По сотням менее громких дел технико-криминалистическую экспертизу ком­пьютерных систем проводить некому и некогда.

В целом при назначении технико-криминалистической экспер­тизы компьютерных систем следователям приходится решать следу­ющие наиболее существенные проблемы:

• Отсутствие в штате экспертных подразделений правоохра­нительных органов и Министерства юстиции достаточно

квалифицированных специалистов в области компьютерной информации.

• Недостаточная подготовка в области компьютерной техни­ки, не позволяющая правильно сформулировать вопросы для эксперта (особенно по общеуголовным составам). По­становка перед экспертами вопросов, выходящих за рамки их компетенции.

• Трудности в интерпретации результатов экспертизы.

Рассмотрим эти проблемы более подробно. В настоящее вре­мя экспертиза по уголовным делам производится либо экспертно­криминалистическими подразделениями органов внутренних дел и ФСБ, либо лабораториями судебной экспертизы Министерства юстиции. Ведомственные эксперты МВД и ФСБ, за очень редким ис­ключением, разбираются в компьютерных системах на уровне «про­двинутого пользователя», то есть в принципе не имеют возможности проводить сложные экспертизы. В лучшем случае такие эксперты не могут преодолеть парольную защиту в Windows №Г или просят «снять пароль» с jpg-файла (работникам НИП «Информзащита» неоднократно приходилось консультировать таких специалистов). В худшем же случае результаты их экспертизы либо неполны, либо вследствие ошибок теряют доказательственное значение. Автору из­вестно несколько особо тяжёлых случаев, когда недостаточно ква­лифицированные эксперты полностью уничтожали существенную информацию на изъятой компьютерной технике.

В экспертных лабораториях Министерства юстиции осущест­вляются вполне качественные экспертизы компьютерных систем, однако и здесь соответствующих специалистов явно недостаточно. Поэтому технико-криминалистические экспертизы компьютерных систем проводятся далеко не во всех регионах РФ и занимают зна­чительное время.

Вследствие недостаточной подготовки следователи и судьи за­частую при назначении экспертизы компьютерных систем непра­вильно ставят перед экспертом вопросы. Наиболее типичны здесь три вида ошибок:

• Постановка излишне общих вопросов, не имеющих значе­ния для рассматриваемого дела. Классический пример из практики автора: «Восстановить и распечатать все стёр­тые файлы». Интересно, все многочисленные копии файла win386.swp тоже печатать?

• Постановка вопросов, явно выходящих за рамки професси­ональной компетенции эксперта или неразрешимых в прин­ципе.

• Постановка вопросов, которые должны решаться не экспер­том, а исключительно следствием и судом. К таковым от­носятся вопросы о нарушении законодательства в той или иной сфере, а также о целях и мотивах каких-либо действий. Характерный пример: «Являются ли программы на изъятом компьютере контрафактными?»

Поскольку ведомственные эксперты, как правило, некритически относятся к подобным вопросам, то их заключения оказываются либо неконкретными, малоинформативными для следствия, либо же оспа­риваются в суде адвокатом противной стороны. На практике, когда эксперт пишет в заключении, что на таком-то компьютере им обнару­жено контрафактное программное обеспечение, он по сути принимает на себя функции суда. Устанавливать наличие состава преступления может только суд. Тем не менее эксперт, не дожидаясь судебного при­говора, сам объявляет преступление доказанным. Разумеется, к тако­му заключению суд может отнестись критически.

В связи с недостаточным количеством экспертов производство технико-криминалистической экспертизы в учреждениях Миню­ста занимает продолжительное время. Сроки же предварительного следствия жёстко ограничены Уголовно-процессуальным кодексом. В соответствии со статьями 162 УПК РФ и 166 УПК КР, «предва­рительное следствие по уголовному делу должно быть закончено в срок, не превышающий двух месяцев со дня возбуждения уголов­ного дела». Срок предварительного следствия может быть продлён, но по обычным уголовным делам экономической направленности продление крайне редко оформляется на срок свыше одного месяца. В результате заключение экспертов, поступившее в последние дни перед окончанием срока следствия, просто подшивается в дело как одно из доказательств. Использовать предоставленную экспертом информацию для новых следственных действий у следователя не остаётся времени.

Следствием всего изложенного является малополезность ре­зультатов экспертизы для следователя. В большинстве случаев за­ключение эксперта просматривается «по диагонали», следователь убеждается, что на поставленные им вопросы дан положительный ответ. А в суде может выясниться, например, что экспертом обна­ружены признаки и других составов преступлений, которые были проигнорированы следователем.

Недофинансирование экспертных подразделений создаёт благо­приятные условия для ущемления прав как подследственных и об­виняемых, так и потерпевших. Не известно ни одного случая, когда обвиняемый воспользовался бы своим декларированным в пункте 11 части 4 статьи 47 УПК РФ, пункте 8 части 1 статьи 42 УПК КР правом «знакомиться с постановлением о назначении судебной экспертизы, ставить вопросы эксперту и знакомиться с заключени­ем эксперта». Претензии же потерпевших на реализацию их прав, предусмотренных пунктами 9 и 11 части 2 статьи 42 УПК РФ «уча­ствовать с разрешения следователя или дознавателя в следственных действиях, производимых по его ходатайству либо ходатайству его представителя» и «знакомиться с постановлением о назначении су­дебной экспертизы и заключением эксперта» вообще воспринима­ются следователями как остроумная шутка. Следователи понимают, что большинство экспертов государственных учреждений просто не готовы к жесткому и пристрастному контролю.

Очень неприятное положение складывается, если выводы таких экспертов поставлены под сомнение в суде. В таком случае суд может только назначить повторную экспертизу, как правило, в том же самом учреждении. При этом зачастую оказывается, что в ходе первой экс­пертизы исследуемые системы изменены до такой степени, что новый эксперт руководствуется в большей степени корпоративной солидар­ностью - никаких более объективных материалов всё равно не оста­лось. Многие юристы в такой ситуации настаивают на «независимой» экспертизе, приглашая собственных экспертов. Впрочем, независи­мость этих экспертов весьма сомнительна, ведь их услуги оплачены одной из сторон процесса! Легко предположить, что в заключениях этих экспертов будет преобладать явно выраженный «оправдательный уклон», в противовес «обвинительному уклону» экспертов, находя­щихся на государственной службе.

Ситуация конфликта двух «независимых» экспертов со стороны истца и ответчика ставит суд в затруднительное положение. По рос­сийскому законодательству судья не только не может в бесспорном порядке поручить кому-то производство экспертизы по гражданско­му делу, но и не имеет права предложить сторонам известного ему эксперта. В результате тяжущиеся стороны раз за разом приводят в суд оплаченных ими экспертов, объективность которых вызывает большие сомнения.

Напрашивается предложение обратиться при производстве экс­пертиз компьютерных систем к частным специалистам в более или менее авторитетной организации, специализирующейся на инфор­мационной безопасности. Как правило, такие организации дорожат своей репутацией, а работающие в них специалисты имеют доста­точно высокую квалификацию. Однако по-настоящему серьёзные частные эксперты весьма невыгодно отличаются от экспертов на го­сударственной службе, они требуют адекватной оплаты за свои экс­пертизы. Запросы специалистов, с точки зрения должностных лиц правоохранительных органов, непомерно высоки. Так, стоимость полного исследования информации, содержащейся только на одном персональном компьютере, в различных организациях составляет от 7500 до 25000 рублей. Эти суммы существенно превышают ас­сигнованные следственным и судебным органам средства. Поэтому при назначении технико-криминалистической экспертизы компью­терных систем по большинству уголовных дел следователи и судьи исходят преимущественно из финансовых соображений.

Представляется, что выходом из сложившейся ситуации могло бы стать отнесение полной стоимости экспертизы по уголовным делам на судебные издержки. В таком качестве эти расходы будут в большинстве случаев покрываться из средств осуждённого. Над частными экспертами не будет довлеть корпоративная солидарность с правоохранительными органами, и оспорить выданные ими за­ключения будет гораздо труднее. Прозрачная же система оплаты их услуг поможет избежать обвинений в сговоре со стороной защиты. Этот вариант, разумеется, также не идеален. Однако ничего лучшего (и притом реализуемого на практике) в настоящее время просто не усматривается.

Аналогичный механизм предусмотрен (хотя и практически не задействован) в гражданском судопроизводстве. Истец оплачивает экспертизу из собственных средств, а в случае удовлетворения иска эта сумма взыскивается с ответчика. Как и в случае с экспертизой по уголовным делам, профессиональная репутация эксперта будет служить лучшей защитой от возможных фальсификаций.

Теперь некоторые аспекты собственно проведения экспертизы. Допустим, что эксперт приступил к исследованию некоей компью­терной системы. При этом его деятельность регламентируется ста­тьями 57 УПК РФ и 63 УПК КР, где значится, что «эксперт - лицо, обладающее специальными знаниями и назначенное в порядке, уста­новленном настоящим Кодексом, для производства судебной экспер­тизы и дачи заключения».

Вызов эксперта, назначение и производство судебной экспер­тизы осуществляются в порядке, установленном статьями 195-207, 269, 282 и 283 УПК РФ, статьями 199-212, 282, 295-297 УПК КР.

Эксперт имеет право на следующее

• знакомиться с материалами уголовного дела, относящимися к предмету судебной экспертизы;

• ходатайствовать о предоставлении ему дополнительных мате­риалов, необходимых для дачи заключения, либо привлечении к производству судебной экспертизы других экспертов;

• участвовать с разрешения дознавателя, следователя, прокуро­ра и суда в процессуальных действиях и задавать вопросы, от­носящиеся к предмету судебной экспертизы;

• давать заключение в пределах своей компетенции, в том чис­ле по вопросам, даже не представленным в постановлении о назначении судебной экспертизы, но имеющим отношение к предмету экспертного исследования;

• приносить жалобы на действия (бездействие) и решения до­знавателя, следователя, прокурора и суда, ограничивающие его права;

• отказаться от дачи заключения по вопросам, выходящим за пределы специальных знаний, а также в случаях, если пред­ставленные ему материалы недостаточны для дачи заключе­ния.

Эксперт не вправе производить следующие действия:

• без ведома следователя и суда вести переговоры с участни­ками уголовного судопроизводства по вопросам, связанным с производством судебной экспертизы;

• самостоятельно собирать материалы для экспертного иссле­дования;

• проводить без разрешения дознавателя, следователя, суда ис­следования, могущие повлечь полное или частичное унич­тожение объектов либо изменение их внешнего вида или ос­новных свойств;

• давать заведомо ложное заключение;

• разглашать данные предварительного расследования, ставшие известными ему в связи с участием в уголовном деле в качестве эксперта, если он был об этом заранее предупрежден в поряд­ке, установленном статьей 161 УПК РФ, статьей 173 УПК КР.

За дачу заведомо ложного заключения эксперт несет ответ­ственность в соответствии со статьей 307 УПК РФ. За разглашение данных предварительного расследования эксперт несет ответствен­ность в соответствии со статьей 310 УК РФ, и 330 УК КР. Статьями 204 УПК РФ, ст. 209 УПК КР оговариваются основные требования к заключению эксперта.

В заключении эксперта указывается следующее:

• дата, время и место производства судебной экспертизы;

• основания производства судебной экспертизы;

• должностное лицо, назначившее судебную экспертизу;

• сведения об экспертном учреждении, а также фамилия, имя и отчество эксперта, его образование, специальность, стаж работы, ученая степень и (или) ученое звание, занимаемая должность;

• сведения о предупреждении эксперта об ответственности за дачу заведомо ложного заключения;

• вопросы, поставленные перед экспертом;

• объекты исследований и материалы, представленные для производства судебной экспертизы;

• данные о лицах, присутствовавших при производстве судеб­ной экспертизы;

• содержание и результаты исследований с указанием приме­ненных методик;

• выводы по поставленным перед экспертом вопросам и их обоснование.

Если при производстве судебной экспертизы эксперт установит обстоятельства, которые имеют значение для уголовного дела, но по поводу которых ему не были поставлены вопросы, то он вправе указать на них в своем заключении. Материалы, иллюстрирующие заключение эксперта (фотографии, схемы, графики и т.п.), прилага­ются к заключению и являются его составной частью.

Добротное заключение эксперта, имеющее перспективу призна­ния в суде, должно состоять из трёх частей - вводной, где в соответ­ствии с пунктами 1-8 части 1 статьи 204 УПК РФ, части 1 статьи 209 УПК КР излагаются все необходимые формальности; описательной, где в подробностях описывается весь процесс исследования, и резо­лютивной, где указываются основные выводы. При этом в заключе­нии желательно использовать вполне определённую терминологию. Например, на поставленные следователем вопросы эксперт может давать только три типа ответов: «категорически да», «категорически нет» и «предположительно». Не котируются в судах такие открове­ния экспертов, как «по моему скромному мнению», «всем извест­но, что...» и даже «на основании собранных данных я догадался...» Процитированного последним автора до сих пор вспоминают в од­ном из судов под ласковым псевдонимом «догадливый», что не по­мешало отклонить его заключение.

Следует помнить также, что в соответствии со статьями 282 УПК РФ и 296 УПК КР автор экспертного заключения может быть вызван для допроса в суд. По ходатайству сторон или по собствен­ной инициативе суд вправе вызвать для допроса эксперта, давшего заключение в ходе предварительного расследования, для разъясне­ния или дополнения данного им заключения.

После оглашения заключения эксперта ему могут быть заданы вопросы сторонами. При этом первой вопросы задает сторона, по инициативе которой была назначена экспертиза. При необходимости суд вправе предоставить эксперту время, необходимое для подготов­ки ответов на вопросы суда и сторон.

Специалисты полагают, что в суде в ходе общения с дилетанта­ми в компьютерной сфере достаточно применить необходимую пару терминов, и можно настоять на своём заключении. На самом же деле допрос эксперта - самостоятельное действие. В ходе допроса суд имеет возможность как проверить квалификацию эксперта, так и по­лучить дополнительную информацию, не вошедшую в заключение. Однако не готовые к такой ситуации частные эксперты зачастую ста­новятся «лёгкой добычей» адвокатов противной стороны. Опытному адвокату с большим стажем выступлений в суде обычно не состав­ляет труда запутать и подавить человека, никогда в суде не выступав­шего. Соответствующий набор неджентльменских, но тем не менее вполне законных приёмов, описан в специальной литературе.

Даже если эксперт отличается крепкими нервами и завидной са­мостоятельностью, его можно поймать на несложную провокацию. Так, в Петербурге перед судебным разбирательством по уголовному делу о преступлении в сфере экономики помощник адвоката вежли­во попросил эксперта зайти в такую-то комнату: «Вас туда вызыва­ют!». После этого адвокату осталось только зафиксировать со свиде­телями, как независимый эксперт перед процессом зашёл в комнату, отведённую в суде для представителей прокуратуры, после чего на суде эксперту был заявлен отвод по мотивам его личной заинтересо­ванности в исходе дела. Несмотря на бесспорный профессионализм эксперта в области информационной безопасности, его заключение лишилось доказательственного значения вследствие одного невер­ного шага! Адвокаты настолько привыкли к правовой безграмотно­сти негосударственных экспертов, что даже обижаются, когда экс­перт не «ведётся». В одном из московских судов после небольшой дискуссии с одним из автором настоящего издания адвокат искренне возмущался: «Вы меня перед клиентом опозорили! Кто вам позво­лил кодексы цитировать?!». Эту же фразу с разной степенью аффек­тации повторяли и другие проигравшие адвокаты...

В целом можно считать, что на современном этапе целесообраз­но организовать качественную экспертизу компьютерных систем как по уголовным, так и по гражданским делам, на базе негосударствен­ных учреждений, специализирующихся в области информационной безопасности. Разумеется такой подход предполагает усиленного внимания к правовой стороне вопроса, в частности обязательный процессуальный «ликбез» для работников этих организаций, непо­средственно задействованных в производстве экспертиз.

СЛОВАРЬ СОВРЕМЕННОЙ КОМПЬЮТЕРНОЙ ЛЕКСИКИ ¹