Последующие следственные действия

Осмотры, обыски и выемки дают богатый материал для планирования и организации дальнейшего расследования. Его дополняют показания заявителей о совершенном преступлении. Если заявление поступило от лиц, которым причинен материальный, моральный или иной вред действиями преступников, они признаются потерпевшими по делу. В ходе их допроса выясняется обстановка в организации, способы защиты компьютерной информации и доступа к ЭВМ и локальной сети организации, обстоятельства выявления преступления, последствия преступного посягательства, оценка причиненного вреда.

Если преступник не установлен, целесообразно в ходе допросов сотрудников потерпевшей организации попытаться выяснить некоторые криминалистические признаки, позволяющие получить сведения о правонарушителе. Например, как часто менялись коды и пароли доступа к информации, на ком лежала ответственность за их смену, имелись ли факты осуществления сотрудниками сверхурочных работ без необходимости, немотивированных отказов от отпусков, чрезмерного интереса сотрудников к работе других отделов, к документам или работе компьютеров, появления посторонних носителей информации, кто из посторонних лиц проявлял интерес к оборудованию, программному обеспечению и компьютерной информации.

Такая работа позволяет определить свидетельскую базу, т. е. лиц, которые причастны к работе вычислительных систем и сетей. Начинать допросы следует с очевидцев совершенного преступления, т. е. тех, кто непосредственно может свидетельствовать о неправомерном доступе к информации, создании, об использовании или о распространении вредоносных программ или нарушении правил эксплуатации компьютерного оборудования либо о тех последствиях, которые возникли в результате этих действий. В качестве свидетелей по обстоятельствам преступления допрашиваются сотрудники потерпевшей организации: операторы, администраторы сети, работники бухгалтерии и финансового отдела, руководители отделов, где обрабатывается информация, подвергшаяся нападению, инженеры-программисты, разработавшие программное обеспечение и осуществляющие его отладку и обслуживание, специалисты, занимающиеся эксплуатацией и ремонтом компьютерной техники; системные программисты; инженеры по средствам связи и телекоммуникационному оборудованию; специалисты, обеспечивающие информационную безопасность, работники охраны и службы безопасности и др.

Целью допросов свидетелей является получение показаний об обстоятельствах, предшествовавших совершению преступления, для установления круга подозреваемых лиц, об обстоятельствах обнаружения факта преступления и наступивших негативных последствиях. Уточняется наличие и функционирование информационной защиты, ее недостатки, причины и условия, которые могли способствовать совершению противоправных действий.

Если преступник установлен, проводятся его задержание, личный обыск, допрос в качестве подозреваемого, обыск по месту жительства и работы, другие следственные действия.

При подготовке к допросу подозреваемого и обвиняемого целесообразно использовать помощь специалиста, поскольку совершение таких преступлений возможно только лицами, имеющими специальную подготовку, соответствующие знания, навыки, оборудование. Знания следователя не всегда могут соответствовать необходимому уровню, поэтому он должен восполнять пробелы за счет привлечения специалиста. Лучше всего получить предварительную консультацию, а затем пригласить специалиста для участия непосредственно в допросе.

В ходе допроса подозреваемого и обвиняемого выясняются следующие вопросы:

• — какое образование имеет подозреваемый или обвиняемый, имеет ли навыки обращения с компьютером, где, когда и при каких обстоятельствах он освоил работу с компьютерной техникой и конкретным программным обеспечением;
• — каково место его учебы или работы, должность, работает ли он на компьютере по месту работы, имеет ли правомерный доступ к компьютерной технике и к каким видам программного обеспечения;
• — какие операции с компьютерной информацией выполняет на рабочем месте;
• — имеет ли правомерный доступ к Интернету или иной сети, работает ли в них;
• — закреплены ли за ним по месту работы идентификационные коды и пароли для работы в компьютерной сети, кто их устанавливает, как часто они меняются;
• — если не работает, то какие операции выполняет на своем персональном компьютере либо персональных компьютерах других лиц из своего ближайшего окружения, где и у кого приобрел программы для своей ЭВМ.

На эти вопросы подозреваемые обычно отвечают охотно и даже немного бравируют, стараясь показать свое превосходство над следователем в области знания компьютерного оборудования. Если подозреваемый или обвиняемый пожелает далее отвечать на вопросы, следует выяснить у него обстоятельства совершенного преступления:

• — как и кому пришла идея совершения преступления;
• — как осуществлялась подготовка, выбирался объект атаки;
• — каковы мотивы и цель совершения преступления;
• — как осуществлен неправомерный доступ к информации, создана вредоносная программа, использовалась ли или распространялась ли она, знает ли создателя вредоносной программы;
• — знает ли о наступивших вредных последствиях и др.

Несколько отличается тактика допроса подозреваемого в нарушении правил эксплуатации ЭВМ, системы ЭВМ или их сети. В данном случае подозреваемыми могут быть только лица, имеющие правомерный доступ к компьютерному оборудованию и сети, компьютерной информации. Чаще всего это операторы, программисты, техники-наладчики, сотрудники подразделений, где компьютеризированы функции. При допросе этих лиц следует выяснять:

• — когда назначен на должность, какое получил образование, какими навыками обладает;
• — был ли ознакомлен с установленными режимом работы и правилами эксплуатации; в каком документе такое ознакомление отражено, проводился ли официальный инструктаж, кем и как часто, в каких документах фиксировался;
• — каковы место и время факта нарушения правил эксплуатации, в какой период времени подобным образом эксплуатировалось оборудование;
• — в чем конкретно выразилось нарушение правил эксплуатации, каковы технические аспекты способа и механизма нарушения правил: совершены действия, не предусмотренные инструкциями, или не выполнены предписанные действия, нарушены технологии соответствующих операций;
• — каковы последствия допущенных нарушений: возникновение нештатной ситуации с компьютером и его устройствами, повлекшее уничтожение, модификацию или копирование информации; выведение из строя компьютерной системы, вызвавшее блокирование информации и нарушение работы организации, учреждения, предприятия, систем управления и связи; вывод из строя оборудования организации, управляемого компьютерными программами; иное;
• — место наступления вредных последствий.

В отношении субъектов преступления устанавливаются:

• — персональные данные;
• — занимаемая должность;
• — функциональные обязанности, связанные с ответственностью за информационную безопасность и надежность работы компьютерного оборудования, за обеспечение выполнения правил эксплуатации данной компьютерной системы или сети;
• — нормативные акты, устанавливающие функциональные обязанности субъекта: инструкции и правила по эксплуатации, приказы, распоряжения руководителей, трудовой договор или контракт, дополнительные соглашения и пр.;
• — образование и специальность;
• — стаж работы по специальности и на данной должности;
• — уровень профессиональной квалификации;
• — данные, характеризующие лицо по месту работы.

Все это устанавливается посредством допросов свидетелей, самого подозреваемого, истребования соответствующих документов из кадрового органа, осмотра эксплуатационных документов на данную компьютерную систему, осмотра компьютера, оборудования к нему, машинных носителей информации, распечаток.

Особое значение при расследовании преступлений данного вида имеет компьютерно-техническая экспертиза. В ходе се исследуются электронные, электрические и механические схемы, блоки, приборы и устройства, составляющие материальную часть компьютерной системы; программное обеспечение (чаще всего — бухгалтерские, складские, кадровые программы); осуществляется поиск, обнаружение, анализ, идентификация и интерпретация информации, содержащейся в компьютере, и т. д.

Перед экспертами могут быть поставлены следующие основные вопросы.

По аппаратным средствам.

• 1. Является ли представленный объект компьютером?
• 2. Компьютер какой модели представлен на исследование? Каковы технические характеристики его системного блока и периферийных устройств? Соответствуют ли они представленной технической документации?
• 3. Вносились ли в конструкцию какие-либо изменения? Как могут эти изменения охарактеризовать пользователя (например, адаптация к специфическому пользователю, использование в конкретных целях и т. п.)?
• 4. Каковы технические характеристики представленной локальной вычислительной сети? Соответствуют ли ее конфигурация и технические характеристики представленной технической документации?
• 5. Каковы технические характеристики представленных объектов (электронной записной книжки, контрольнокассовой машины, сотового телефона и т. п.)? Соответствуют ли они представленной технической документации? Имеются ли неисправности? Каковы их причины?

По программному обеспечению.

• 6. Какая операционная система использована в компьютере?
• 7. Каково содержание информации, хранящейся на внутренних и внешних магнитных носителях? Какие программные продукты там находятся? Каково их назначение? Когда производилась их инсталляция?
• 8. Являются ли данные программные продукты лицензионными?
• 9. Какие изменения вносились в программу? Как они видоизменили программу? Вносились ли изменения, направленные на преодоление защиты информации?
• 10. Использовались ли ограничения доступа к информации? Какие именно? Каково содержание скрытой информации? Предпринимались ли попытки неправомерного доступа к информации?
• 11. Есть ли в компьютере скрытые или удаленные файлы? Возможно ли восстановление удаленных файлов? Каково содержание восстановленных файлов?
• 12. Каков механизм утечки информации из локальной вычислительной сети?
• 13. Не вызваны ли сбои в работе компьютера действием вредоносной программы?
• 14. Можно ли установить автора программы? Нс написана ли программа определенным лицом?

По носителям информации.

• 15. Каков тип представленного магнитного носителя? Каковы его технические характеристики?
• 16. Какая информация записана на носителе? Имеется ли скрытая информация? Каково ее содержание?
• 17. Имеются ли механические повреждения? Возможно ли восстановление информации? Каково се содержание?
• 18. Возможно ли изменение информации на носителе?

По информации.

• 19. Имеется ли на представленных носителях информация? Каково ее функциональное назначение? Каково содержание информации, хранящейся на внутренних и внешних магнитных носителях?
• 20. Имеется ли на представленных носителях информация, соответствующая данному образцу?
• 21. Возможно ли восстановление стертых файлов? Каково содержание восстановленных файлов?
• 22. Представить информацию, содержащуюся на таких-то носителях, в доступной для прочтения человеком форме.
• 23. Каким образом организована база данных? Какая информация содержится в базе данных? Когда она обновлялась последний раз? Имеется ли в ней запись конкретного содержания? Возможно ли внести в базу данных новую информацию? Каким образом?
• 24. Когда производилась последняя корректировка файла?
• 25. Возможно ли внести изменения в информацию на представленном носителе?

По документам.

• 26. Является ли представленный документ распечаткой информации, содержащейся на магнитных носителях?
• 27. Какие аппаратные средства и какое программное обеспечение использованы для изготовления представленного документа?
• 28. Каков способ изготовления представленного документа?
• 29. Был ли изготовлен данный документ на представленной компьютерной технике?