Банк списал деньги по платёжному поручению, которое клиент, по его словам, не отправлял. Бывший подрядчик продолжал заходить на сервер после расторжения договора. Сотрудник перед увольнением выгрузил клиентскую базу, а в суде говорит, что ничего не передавал. Во всех трёх спорах ответ лежит не в самих файлах, а в том, как шли подключения: откуда, когда, через какой канал и под какой учётной записью.
Экспертиза использования сетевых технологий восстанавливает эти события по журналам серверов и сетевого оборудования, записям трафика, заголовкам писем, сведениям о сеансах удалённого доступа и VPN. Это часть компьютерно-сетевой экспертизы с более узкой задачей: не устройство сети в целом, а конкретные подключения и передачи данных в спорный период.
Когда нужна экспертиза использования сетевых технологий
Чаще всего она нужна, когда стороны по-разному описывают одно сетевое событие, а у каждой есть только часть следов: у банка — журнал его сервера, у клиента — компьютер и роутер, у хостинга — журнал доступа к сайту. Типичные ситуации:
- вход в интернет-банк или личный кабинет, который владелец отрицает, и спор о том, с какого устройства и через какое подключение отправлено распоряжение;
- удалённый доступ к серверу или рабочему компьютеру после того, как права подрядчика или сотрудника должны были прекратиться;
- передача файлов наружу — через почту, облачное хранилище, FTP или мессенджер — накануне увольнения или ухода к конкуренту;
- спор о письме: отправлялось ли оно, когда и с какого почтового сервера;
- атака на сайт или сервер — перебор паролей, сканирование, перегрузка запросами — и вопрос, что из этого действительно отражено в журналах и к чему привело;
- подписание документа электронной подписью через удалённое подключение к компьютеру, на котором хранился ключ;
- подключение посторонних устройств к сети организации или к домашнему Wi-Fi.
Если нужно понять, насколько сеть защищена сейчас и где в ней слабые места, это задача аудита информационной безопасности.
Что эксперт может установить
Эксперт отвечает на вопросы о том, что отражено в технических записях и как они согласуются друг с другом. По сохранившимся источникам обычно удаётся установить:
- какие подключения и сеансы зафиксированы за период: время начала и окончания, адреса и порты, протокол, объём переданных данных;
- под какой учётной записью, через какой сервис и с какого внешнего адреса выполнен вход, а если исследуется и устройство — с какого устройства;
- был ли удалённый доступ к компьютеру или серверу, каким средством, из какой сети и что в этом сеансе отражено;
- передавались ли данные и куда — на почтовый сервер, в облако, на внешний адрес — и в каком объёме;
- какой путь прошло письмо по заголовкам, на каких серверах и в какое время оно было принято, проходит ли проверку подпись отправляющего домена;
- какие сетевые настройки действовали на устройстве или роутере на дату события: правила межсетевого экрана (фаервола), перенаправление портов, VPN, DNS-серверы;
- есть ли в журналах признаки атаки, с какого времени они начались и какие запросы прошли успешно;
- согласуются ли между собой журналы разных участников и есть ли в них разрывы, повторы или признаки правки.
Журналы прокси, межсетевого экрана и сведения о потоках дают адрес, время и объём, но не содержимое, а совпадение объёма с размером файла — слабый признак: объём искажают сжатие и синхронизация. По контрольной сумме — цифровому отпечатку файла — передачу именно спорного файла устанавливают, только если сохранилась его копия: вложение письма на почтовом сервере, файл в облаке, запись системы защиты от утечек (DLP).
IP-адрес, учётная запись и человек — разные вещи
От экспертизы часто ждут, что по IP-адресу «вычислят», кто это сделал. Такого вывода сетевые данные не дают.
Внешний IP-адрес указывает на точку подключения, а не на человека. Домашний роутер выводит в интернет все устройства семьи под одним адресом. Мобильные операторы и многие провайдеры пропускают через один внешний адрес сотни абонентов одновременно. Различить их можно только по порту-источнику и точному времени соединения: порт должен сохраниться в журнале сервера, к которому шло подключение (многие серверы по умолчанию его не пишут), а оператор — хранить сведения о трансляции адресов за этот момент. Если пользователь подключается через VPN, прокси-сервер или сеть Tor, в журнале сайта виден адрес промежуточного сервера. Аппаратный MAC-адрес сетевой карты можно сменить настройкой, а современные телефоны по умолчанию подставляют для каждой Wi-Fi-сети случайный адрес.
Учётная запись тоже не равна человеку: паролем могли поделиться, сеанс мог остаться открытым на чужом компьютере, ключ подписи — храниться на общем сервере. Поэтому эксперт формулирует вывод о технической связи: «вход выполнен под учётной записью А через подключение, которому в это время был выдан адрес Б». Кто сидел за устройством, устанавливают суд или орган расследования по совокупности доказательств — показаний, видеозаписей, сведений о доступе в помещение.
Сведения о том, какому абоненту оператор связи выдал адрес в определённый момент, относятся к информации ограниченного доступа: сторона спора и нанятый ею специалист их не получат, суд или следователь истребует их у оператора. С собственными данными иначе: историю входов в свой кабинет владелец часто видит сам, а сведения о своих операциях и журналы своего хостинга вправе запросить у банка и провайдера. Был ли доступ неправомерным, а действие — нарушением договора или преступлением, — вопрос правовой оценки.
Следы в сети и следы на устройстве
Одно и то же событие оставляет следы в двух местах. Сетевые следы — это журналы сервера, роутера, межсетевого экрана, почтовой системы, провайдера хостинга. Следы на устройстве — история браузера, журналы входа Windows, настройки VPN-клиента, кэш почтовой программы. Сильный вывод получается, когда оба источника согласуются: сервер записал вход в 14:02 с адреса домашней сети, а на ноутбуке в то же время открыт сеанс браузера на том же сайте.
Бывает, что одного источника нет. Сервер чужой и журналы его владелец не отдаёт — тогда по ноутбуку восстанавливают, куда и когда с него подключались; так работает экспертиза обстоятельств использования компьютерных средств. Устройство утрачено — тогда вывод ограничивается подключением, без привязки к конкретному компьютеру. Копирование на флешку не сетевое событие, и саму операцию Windows по умолчанию не записывает: остаются сведения о подключённом носителе — модель, серийный номер — и следы обращения к файлам, по которым о копировании судят косвенно. Что было в файле и когда он создан, устанавливают по самому файлу средствами информационно-компьютерной экспертизы, а вскрывали ли ноутбук и меняли ли в нём накопитель — в аппаратно-компьютерной экспертизе.
В деле об утечке журналы почты и ноутбук сотрудника можно исследовать в одной компьютерно-технической экспертизе.
Какие источники исследуют и что в них остаётся
Ценность источника зависит от того, что он записывал и как долго хранил.
Журналы серверов, сайтов и сетевого оборудования
Веб-сервер записывает каждый запрос: время, адрес клиента, адрес страницы, код ответа, сведения о браузере. Почтовый сервер — приём и отправку писем. Межсетевой экран и роутер — разрешённые и заблокированные соединения, выдачу адресов устройствам локальной сети, подключения по VPN. Журналы входа операционных систем фиксируют вход по сети и через удалённый рабочий стол с указанием типа входа и адреса источника.
Ограничение у всех одно: что не записывалось, того нет. Бытовые роутеры часто держат журнал в памяти на несколько сотен строк. На сервере журналы обычно ротируются: старые файлы сжимают и через несколько дней или недель удаляют, а журналы Windows перезаписываются, когда заполняется отведённый им объём.
Записи трафика и сведения о потоках
Полная запись трафика содержит сами пакеты и позволяет восстановить, что передавалось. Но задним числом её не получить: трафик сохраняют, только если это было включено во время события. Чаще бывают сведения о потоках — кто с кем соединялся, сколько байт передано, — без содержимого. Если соединение было зашифровано, содержимое не видно и в полной записи; остаются адреса, время, объём, а иногда имя сервера, к которому шло подключение.
Заголовки электронных писем
Каждый почтовый сервер на пути письма добавляет строку с временем приёма и адресом, с которого письмо пришло. Доверять можно строкам, которые добавили серверы, не подконтрольные отправителю; строки ниже первого такого сервера отправитель мог сформировать сам. Подпись домена отправителя позволяет проверить, что подписанные поля заголовка и текст не менялись после отправки, если ключ ещё можно найти; ошибка проверки после пересылки подделки не означает. Многие веб-почтовые сервисы, например Gmail, не включают в заголовок адрес компьютера отправителя, поэтому по такому письму устанавливают сервер, но не подключение пользователя.
Удалённый доступ, VPN и прокси
Программы удалённого доступа оставляют журналы на компьютере, к которому подключались, а некоторые — ещё и у своего сервиса. VPN-сервер организации записывает, какая учётная запись когда подключалась и какой внутренний адрес получила. Здесь эксперт часто может ответить точнее, чем по внешнему IP-адресу: связь «учётная запись — сеанс — действие внутри сети» прослеживается по журналам самой организации.
Роутеры и Wi-Fi
Роутер помнит, каким устройствам выдавал адреса, под какими именами они представлялись и иногда когда подключались. Сопоставить такое устройство с конкретным телефоном можно, если сам телефон тоже исследуется и в нём сохранились сведения о той же сети.
Домены, DNS и хостинг
Когда спор касается сайта или почтового домена, исследуют записи DNS, сведения регистратора и хостинга, журналы панели управления. Данные администратора домена в открытом доступе обычно скрыты. Регистратор может раскрыть их по мотивированному запросу для предъявления иска, но не обязан; иначе их истребует суд. Если важно состояние страницы на определённую дату, его сначала нужно закрепить: фиксация содержимого интернет-страниц сохраняет страницу вместе с адресом, временем и техническими сведениями о её загрузке.
Время событий: часовые пояса и точность часов
Сервер может писать время по всемирному координированному времени (UTC), роутер — в часовом поясе, выставленном при настройке, банк — по московскому времени, а часы компьютера могут отставать на несколько минут, если не синхронизировались. Прежде чем строить хронологию, эксперт приводит все записи к одной шкале и проверяет расхождение часов по событиям, которые видны в двух источниках сразу. Без этого шага «вход за пять минут до платежа» может оказаться входом через час после него.
Как сохранить сетевые следы до исследования
Следы обычно стирает штатная работа систем: журналы перезаписываются по расписанию и при заполнении, роутеры перезагружаются, хостинг удаляет старые записи. Сохранять нужно сегодня, но так, чтобы не уничтожить то, что ещё есть.
Дома и в небольшом офисе
Здесь главные источники — роутер и сами устройства. Что сделать:
- Не перезагружайте роутер и не сбрасывайте настройки: у многих моделей журнал и список подключённых устройств хранятся только в оперативной памяти. Войдите в панель один раз, сохраните журнал и конфигурацию штатной выгрузкой или снимками экрана с видимыми датой и временем роутера и выйдите, ничего не меняя.
- Если через роутер, похоже, продолжается чужой доступ, отсоедините кабель провайдера, оставив роутер включённым.
- Если с вашего банковского аккаунта или с компьютера с ключом подписи прошли чужие операции, позвоните в банк и сразу направьте уведомление в форме, предусмотренной договором, не позднее дня, следующего за днём, когда банк сообщил об операции, — иначе можно потерять право на возврат денег. Выньте токен подписи, а если ключ хранится на диске компьютера, этим компьютером для банка не пользуйтесь; сообщите в удостоверяющий центр. Историю входов и активные сеансы в интернет-банке, почте или облаке сохраните снимками экрана с датой до того, как менять пароль: во многих сервисах смена пароля сама завершает чужие сеансы, и список пропадает. Пароль меняйте с устройства, которому доверяете.
- Не ищите следы на исходных устройствах сами: каждый вход и каждая установленная программа добавляют записи и вытесняют старые.
В организации с серверами
Источников больше, и потерять их проще. Порядок обычно такой:
- Если атака продолжается, сначала ограничьте ущерб: изолируйте поражённые машины от сети, не выключая питание: у физического компьютера выньте кабель и выключите Wi-Fi, у виртуальной машины отключите её сетевой адаптер, у облачного сервера закройте доступ правилами сети у провайдера; хранилище резервных копий тоже отключите от сети. Выключать ли машины, решает специалист по расследованию инцидентов кибербезопасности; если шифрование продолжается, выключение допустимо. Если позволяет обстановка, за несколько минут сохраните список активных сеансов и историю входов, затем с чистого устройства смените скомпрометированные пароли и ключи. Записывайте, что, когда и кто сделал. Копию поражённой системы снимают до восстановления, а резервную копию поверх неё не разворачивают.
- Если доступ к системе остался у бывшего подрядчика или администратора, с которым идёт спор, сначала получите собственный административный доступ; к хостингу и регистратору домена — через поставщика услуги как сторона договора, не входя в чужой аккаунт. В тот же день скопируйте журналы и резервные копии туда, куда у него нет доступа, не перемещая исходные. Сразу после этого проверьте, какие задания работают под его учётными записями, и переведите их на другие; затем заблокируйте его записи, не удаляя, отзовите ключи и смените общие пароли, выяснив, где они прописаны (обмены, резервное копирование, Wi-Fi), чтобы не остановить работу. Сообщайте ему об этом не раньше, чем доступ закрыт.
- Если сотрудник уволен, закройте ему вход, VPN, облачные учётные записи и синхронизацию почты на телефоне и смените общие пароли, которые он знал, сначала выяснив, где они прописаны. Учётную запись и ящик не удаляйте, лицензию почтового сервиса не снимайте: в Microsoft 365 ящик без лицензии удаляется через 30 дней. Не удаляйте объект его компьютера в домене и устройство в Entra ID: вместе с ними удаляется хранящаяся в каталоге копия ключа восстановления BitLocker. Ноутбук не переустанавливайте, не включайте и сами на нём ничего не ищите. Если сотрудник ещё работает, блокировку решает работодатель с юристом, а копии почты и журналов сохраняют в пределах его локальных актов о контроле служебной почты и устройств: от этого зависит, примет ли суд доказательство.
- Выгрузите журналы серверов, почты, межсетевого экрана и VPN за спорный период и до него на отдельный носитель в исходном формате. Затем увеличьте размер журналов или срок их хранения, проверив свободное место; режим «не перезаписывать» не включайте — он останавливает запись новых событий. Журналы транзакций баз данных не трогайте. Если администратор один, пусть это делает он, но при свидетеле и с записью действий.
- Если важны уже удалённые записи, образ диска сервера нужно снять как можно раньше: работающая система перезаписывает свободное место. Снимок виртуальной машины — не копия: с него сразу снимают полную копию диска на другое хранилище, а снимок удаляют, не оставляя на дни.
- Свои журналы из панели хостинга и облачного сервиса выгрузите сами и попросите поставщика сохранить записи за нужный период. Если он отказывает, после подачи иска можно просить суд обеспечить или истребовать доказательства, а в уголовном деле — обратиться к следователю.
- Контрольную сумму каждой копии считает тот, кто её снимает, — сразу, и вносит её в акт или передаёт другой стороне: неизменность копии сумма подтверждает только с момента, когда она зафиксирована вне копии. Запишите и время на часах каждого сервера, и часовой пояс.
Если установлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав людей, оператор уведомляет Роскомнадзор: в течение 24 часов с момента выявления — об инциденте, в течение 72 часов — о результатах внутреннего расследования.
Состояние страницы, переписки или настроек можно закрепить для суда до того, как его изменят: обратиться к нотариусу за обеспечением доказательств, в том числе после подачи иска, или пригласить специалиста.
Какие материалы нужны
Состав зависит от вопроса, но почти всегда пригодятся три вещи: исходные журналы, сведения о том, как они получены, и описание сети. Для исследования обычно передают:
- журналы серверов, сайтов, почты, VPN, межсетевого экрана и роутера в исходном формате, а не в виде таблицы, собранной вручную;
- исходные файлы писем или доступ к почтовому ящику, если спорят о переписке;
- компьютеры, телефоны, роутеры или их копии, если нужно сопоставить сетевые следы со следами на устройстве;
- схему сети, перечень оборудования и его настроек, сведения о том, кто администрировал систему;
- выгрузки из личного кабинета банка или хостинга, полученные вами самими, и ответы операторов связи, полученные по запросу суда или органа расследования;
- договоры и регламенты, если вопрос касается прав доступа и их прекращения.
Журналы и устройства часто содержат персональные данные, коммерческую тайну и личную переписку. Как хранятся копии и что с ними происходит после работы — возвращаются или удаляются, — согласуют заранее, а при внесудебном исследовании — в договоре.
Если части материалов нет, исследование всё равно возможно, но круг выводов сузится. Без журнала роутера можно опереться на журнал сервера; без ответа оператора — установить внешний адрес, но не абонента. Эксперт прямо указывает, на какой вопрос материалов хватило, а на какой нет, и может заявить ходатайство о предоставлении недостающего.
Предварительный прогноз
До заказа экспертизы работа идёт в два шага. Первый — бесплатный организационный разбор: вид исследования, явные пробелы в комплекте, ориентировочные срок и стоимость; по существу материалы на этом шаге не изучаются. Второй — платная консультация: специалист изучает журналы по существу, отвечает письменно и даёт предварительный прогноз — какой вывод наиболее вероятен, насколько он будет определённым и каких данных не хватает. Условия и стоимость консультации согласуют заранее.
Прогноз бывает неблагоприятным. Например, выясняется, что спорный вход шёл через тот же домашний роутер, что и обычные входы владельца, или что журнал сервера за нужные часы не сохранился. Узнать это до суда дешевле, чем после.
Если вы собираетесь предложить нас суду в качестве экспертного учреждения, скажите об этом до консультации. Для ходатайства достаточно информационного письма: возможность исследования, кандидатура эксперта, нужные материалы, ориентировочные срок и стоимость. Консультация по существу и прогноз для одной стороны могут дать другой стороне основание заявить эксперту отвод. После назначения судебной экспертизы эксперт с одной из сторон возможный вывод не обсуждает и материалов от неё напрямую не принимает: дополнительные журналы и доступ к оборудованию он запрашивает через суд или орган расследования.
Как проводится исследование
Работа начинается с инвентаризации: что передано, в каком виде, с какими контрольными суммами. Затем каждый источник разбирают отдельно и проверяют на целостность — нет ли скачков времени, пропущенных интервалов, строк, не совпадающих по формату с соседними, а где записи пронумерованы — разрывов в нумерации. Отсутствие таких признаков ещё не доказывает, что журнал не правили, поэтому записи сверяют с независимыми источниками. После этого их приводят к одной шкале времени и сводят в общую хронологию.
Дальше эксперт проверяет конкурирующие объяснения. Если по журналам вход выглядит чужим, он смотрит, не объясняется ли это сменой провайдера, работой через мобильную сеть или VPN самого владельца. Если выглядит обычным — не мог ли кто-то воспользоваться тем же роутером или открытым сеансом. Каждый шаг описывают так, чтобы другой специалист мог повторить его на тех же копиях.
Примеры вопросов на экспертизу
При судебной экспертизе окончательный круг вопросов определяет суд, на досудебной стадии уголовного дела — следователь или дознаватель, в иной процедуре — назначивший экспертизу орган. Эксперт отвечает в пределах специальных знаний и переданных материалов и не меняет поставленные вопросы по своей инициативе. Если вопрос неясен, выходит за пределы его компетенции или материалов недостаточно, он поступает так, как предусматривает процессуальный закон: просит предоставить материалы или сообщает о невозможности дать заключение по этому вопросу.
До назначения стороны могут предложить свои формулировки. В сетевом вопросе важно назвать источник (журнал какого сервера, файл какой выгрузки), учётную запись или адрес, точный период и часовой пояс, а каждую исследовательскую задачу ставить отдельно. Возможные формулировки:
- Какие подключения к серверу … зафиксированы в представленных журналах за период с … по … (с указанием часового пояса), с каких внешних адресов и под какими учётными записями они выполнены?
- Отражён ли в представленных материалах вход под учётной записью … в личный кабинет … в момент формирования распоряжения № … и через какое подключение он выполнен?
- Выполнялись ли сеансы удалённого доступа к компьютеру … в период …, каким программным средством, из какой сети и какие действия в ходе этих сеансов отражены в журналах компьютера?
- Передавались ли данные с компьютера … на внешние адреса или в облачные хранилища в период … и в каком объёме?
- Какой маршрут прохождения письма от … отражён в его заголовках, в какое время оно принято каждым сервером и проходит ли проверку подпись домена отправителя?
- Какие устройства подключались к роутеру … в период …, под какими именами и адресами и сохранились ли сведения о времени их подключения?
- Имеются ли в журналах сервера … за период … признаки перебора паролей, сканирования или перегрузки запросами, когда они начались и были ли среди этих запросов успешные входы?
- Согласуются ли между собой представленные журналы … и … по времени и составу событий и имеются ли в них разрывы, повторы или признаки изменения записей?
Отвечая на такие вопросы, эксперт устанавливает технические факты: какие записи есть, что они означают, как соотносятся между собой. Адрес, учётная запись или сеанс VPN связывают событие с точкой подключения и техническим средством, но не называют человека, который им пользовался. Кто виновен, был ли умысел, был ли доступ неправомерным, нарушил ли подрядчик договор и можно ли считать журнал допустимым доказательством, решает суд или иной уполномоченный орган.
Судебная экспертиза, заключение специалиста, рецензия и консультация
Судебную экспертизу назначает суд, а в уголовном деле на стадии расследования — следователь или дознаватель; они же определяют вопросы, эксперта и материалы. Стороны могут предложить вопросы и кандидатуру экспертной организации. Результат — заключение эксперта, которого предупреждают об ответственности за заведомо ложное заключение.
Внесудебное исследование заказывает сама сторона, например до подачи иска или при подготовке ответа на претензию, и проводит его специалист. В гражданском деле заключение специалиста представляют как письменное доказательство, в арбитражном — как иной документ; суд оценивает его вместе с другими доказательствами. В уголовном деле заключение специалиста — его суждение по вопросам, поставленным сторонами; если для ответа нужно исследовать объекты, назначают судебную экспертизу. В деле об административном правонарушении его можно представить как иной документ.
Если заключение по сетевым данным уже есть и вызывает сомнения, его можно проверить рецензией на заключение компьютерной экспертизы: рецензент разбирает, на каких источниках построены выводы, приведено ли время к одной шкале, не выдан ли адрес за человека.
Что делать с готовым заключением
Заключение специалиста сторона прикладывает к иску, отзыву или ходатайству о назначении экспертизы; если другая сторона его оспаривает, вопрос обычно решают назначением судебной экспертизы. По заключению судебной экспертизы можно ходатайствовать о вызове эксперта в заседание (в уголовном деле — о его допросе), о дополнительной экспертизе при неполноте и о повторной при сомнениях в обоснованности. Решение принимает суд, на стадии расследования — следователь.
От чего зависят стоимость и срок
Цену определяют объём данных и число источников, которые нужно свести. На стоимость и срок влияют:
- число вопросов, источников и устройств;
- объём журналов и длина спорного периода;
- формат данных: стандартные журналы или выгрузки, которые нужно сначала разобрать;
- необходимость исследовать устройства, а не только журналы;
- выезд для снятия данных с оборудования, которое нельзя отключить и передать.
Ориентир для судебной экспертизы — от 100 000 ₽, по сроку — от 10 рабочих дней. Внесудебное исследование — от 100 000 ₽, ориентир по сроку — от 10 рабочих дней. Рецензия на заключение — от 80 000 ₽, ориентир по сроку — 10 рабочих дней. Консультация — от 20 000 ₽, обычно — 2–3 рабочих дня. Точную стоимость и срок называют после того, как согласованы вопросы и понятен комплект материалов; если недостающие данные запрашивают через суд, календарный срок увеличивается.
Для первого обращения журналы присылать не нужно. Опишите, какое событие оспаривается, когда оно произошло и какие данные, по-вашему, о нём сохранились. Позвоните по номеру 8 (800) 333-24-09 или оставьте заявку: сначала разберёмся, подходит ли задача для сетевого исследования и что нужно сохранить в первую очередь.
Проведение экспертизы по уголовному делу
Судебная экспертиза по уголовному делу производится государственными судебными экспертами и иными экспертами из числа лиц, обладающих специальными знаниями.
Согласно постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам», негосударственными судебно-экспертными учреждениями признаются некоммерческие организации, созданные на основании Гражданского кодекса Российской Федерации и Федерального закона «О некоммерческих организациях» и ведущие судебно-экспертную деятельность согласно своим уставам.
По сведениям организации, проведение судебных экспертиз предусмотрено её уставом (см. действующую редакцию в разделе «Документы организации»). Это само по себе не означает автоматического поручения любой экспертизы. Возможность поручить конкретное исследование определяет назначающий орган.
В случаях, перечисленных пунктом 5 постановления № 28, когда экспертизу по уголовному делу назначает суд, ему следует мотивировать в определении или постановлении поручение исследования учреждению либо конкретному лицу. Пункт 5 постановления № 28 связывает выбор негосударственного учреждения с невозможностью провести исследование в государственном учреждении, обслуживающем соответствующую территорию: например, из-за отсутствия нужного специалиста, материально-технической базы или специальных условий, либо с отводом компетентных государственных учреждений. Дополнительно учитываются квалификация эксперта, основания для отвода и действующий перечень экспертиз, выполняемых только государственными судебно-экспертными организациями.
