Один документ на рабочем компьютере, в почтовом вложении и резервной копии может иметь разное содержимое и даты. Информационно-компьютерная экспертиза исследует такие данные и сохранившиеся следы операций: какие файлы присутствовали, что менялось, как информация передавалась и какую последовательность событий можно восстановить. В этом направлении компьютерно-технического исследования главный объект — информация; устройство, программа и сеть помогают объяснить её происхождение и движение.
Исследование нужно при споре об изменении электронного документа, удалении рабочих файлов, передаче корпоративных данных, переписке или действиях в информационной системе. До полного внесудебного исследования можно согласовать предварительный прогноз после просмотра материалов: какие обстоятельства, вероятнее всего, удастся установить и где останется неопределённость. Такой разбор полезен и тогда, когда имеющиеся данные не подтверждают позицию заказчика.
Какие задачи решает информационно-компьютерная экспертиза
Эксперт сопоставляет содержимое файлов с техническими сведениями об их хранении и использовании. Фраза «файл изменили вчера» может означать правку текста, копирование на новый носитель, сохранение программой или восстановление из архива. Исследование разделяет эти события и проверяет, какие из них подтверждаются представленными источниками. Для конкретного объекта можно поставить задачи:
- Найти документы, сообщения, вложения или записи, соответствующие заданному периоду, содержимому и другим проверяемым признакам.
- Сравнить представленные версии и определить различия в содержании, структуре и служебных данных.
- Выявить сохранившиеся следы создания, изменения, удаления, открытия или передачи файлов и определить, что позволяют установить эти следы.
- Сопоставить события на компьютере, сервере и в приложении, восстановить их последовательность с учётом настроек часов и часовых поясов.
- Исследовать переписку и электронные документы вместе с доступными сведениями об отправке, получении, хранении и изменениях.
- Проверить технические признаки копирования информации, использования внешних носителей и работы под определённой учётной записью.
Например, в трудовом споре могут исследоваться подключение накопителя, наличие на нём рабочих документов и журналы операций. Отдельно проверяют, связаны ли эти следы между собой: одно подключение устройства ещё не подтверждает копирование конкретной папки. При споре о договоре сопоставляют электронные редакции, вложения писем и историю хранения, а не ограничиваются датой в свойствах файла.
Технические данные могут связать операцию с аккаунтом, устройством или сетевым адресом. Для вывода о том, кто лично действовал, нужны дополнительные сведения о доступе, совместном использовании компьютера, автоматических заданиях и возможном удалённом управлении. Вопросы о виновности, умысле, нарушении договора и ответственности разрешает суд или иной уполномоченный орган с учётом всех доказательств. Эксперт объясняет установленные технические обстоятельства и степень определённости ответа.
Как выбрать направление исследования
Информационно-компьютерная экспертиза входит в компьютерно-техническую экспертизу. Компьютерно-техническая экспертиза охватывает устройства, программы, сети и данные. Здесь рассматривается прежде всего информация и следы обращения с ней; для отдельных задач есть более узкие направления:
- Экспертиза обстоятельств создания файлов — когда нужно проверить происхождение конкретного файла, даты его версий и следы создания, изменения или использования.
- Экспертиза электронной подписи — когда требуется проверить подписанные данные, подпись, сертификат и доступные следы использования ключа. Успешная проверка подписи сама по себе не устанавливает личное участие владельца.
- Экспертиза смарт-контрактов и блокчейн-систем — для исследования кода, состояния распределённого реестра и транзакций. Адрес в блокчейне не равнозначен установленной личности его владельца.
Проверка соответствия программы техническому заданию и сравнение исходного кода требуют исследования программного обеспечения. Анализ сетевой атаки может потребовать специалиста по сетям. Защищённость и меры предотвращения новых инцидентов оценивают в рамках экспертизы и аудита информационной безопасности. Иногда обращение включает несколько задач; их объём и компетенции исполнителей определяют до начала работы.
Содержимое переписки исследуют в техническом отношении: какие сообщения доступны, как они связаны с устройством и аккаунтом, какие признаки изменений обнаружены. Значение высказываний, угрозы, оскорбления и направленность текста относятся к лингвистике. Сходство цифровых материалов можно описать технически, а вопросы о нарушении авторских прав и недобросовестной конкуренции требуют правовой оценки. Это помогает разграничить задачи и не приписывать компьютерному эксперту выводы другой специальности.
Какие материалы подготовить
Материалы выбирают по событию, которое нужно проверить. Для сравнения двух документов могут быть достаточны их электронные версии, а для анализа удаления потребуются носитель, его исследовательская копия или резервные копии вместе с журналами. Сначала сообщите, что сохранилось и как вы это получили. Не нужно самостоятельно открывать все файлы, восстанавливать данные или собирать пароли ради первого обращения.
Для согласования исследования обычно описывают объект, спорное событие и доступные источники. В комплект могут входить:
- Компьютер, ноутбук, телефон, внешний накопитель, серверный диск либо их копия с описанием способа получения и идентификаторов устройства.
- Электронные документы в исходных форматах, спорные редакции, вложения и архивы с сохранённой структурой папок.
- Журналы операционной системы, приложений, сервера, почты и средств защиты за относящийся к спору период.
- Выгрузки переписки, почтовые сообщения со служебными заголовками, вложения и сведения об аккаунтах и способе экспорта.
- Резервные копии, снимки состояния системы, история версий облачного хранилища, выгрузки базы данных и относящиеся к ней журналы.
- Документы о передаче и фиксации объектов, описание уже выполненных операций, настройки времени и известные изменения системы.
- Определение суда или постановление о назначении, поставленные вопросы и материалы дела, необходимые для их исследования.
Укажите период и часовой пояс, имена или идентификаторы нужных файлов, номера сообщений и обстоятельства получения копий. Если источник уже недоступен, опишите, когда это обнаружено и какие версии сохранились. При большом массиве данных согласуют критерии отбора: период, участников, папки, признаки документов. Проверка только заранее выбранных выгодных фрагментов может скрыть контекст; в заключении должны быть понятны границы просмотренного массива.
Для обсуждения достаточно описать задачу и перечислить объекты. Примеры можно приложить, не раскрывая конфиденциальные сведения. Не присылайте через обычную форму закрытые ключи электронной подписи, пароли, коды подтверждения или полную базу персональных данных. Способ передачи оригиналов, больших архивов и конфиденциальных материалов согласуют отдельно. При назначенной судебной экспертизе комплект поступает в установленном процессуальном порядке через назначивший орган.
Оригинал, копия и снимок экрана
Электронная копия может сохранить содержимое файла полностью, но не все сведения о том, как он использовался на исходном устройстве. Обычное копирование папки способно изменить часть дат и не переносит удалённые записи или системные журналы. Побитовый образ — копия доступного содержимого носителя по секторам — даёт другой объём информации, чем выгрузка нескольких документов. Выбор способа зависит от устройства, доступа и исследуемого вопроса.
Снимок экрана полезен для фиксации видимого состояния, но часто не позволяет проверить скрытые заголовки сообщения, вложения, историю редактирования и происхождение изображения. Если есть только скриншоты, эксперт сначала определяет, на какие вопросы они позволяют ответить. Отсутствующие технические данные нельзя заменить предположением о подлинности. При необходимости запрашивают исходные сообщения, устройство, экспорт или независимую копию того же материала.
Облако, удалённый сервер и работающая система
В облачном сервисе данные могут находиться одновременно у владельца аккаунта, в журнале организации и в инфраструктуре провайдера. Эксперт исследует законно предоставленные источники или получает данные при согласованном доступе. Наличие пароля не означает права получить любые сведения, а запрос эксперта не обязывает иностранного или российского провайдера раскрыть содержимое аккаунта. Получение недостающих материалов может требовать действий владельца либо обращения через уполномоченный орган.
При экспорте фиксируют аккаунт, способ и время выгрузки, выбранный период, формат и известные ограничения. Отдельно проверяют, попали ли в комплект вложения, удалённые сообщения и история версий: обычная выгрузка может их не содержать. Если сервер продолжает работать, чтение файлов, резервное копирование и запуск средств анализа способны изменять его состояние. Порядок фиксации согласуют с ответственными за систему; для судебного исследования — также в пределах поручения назначившего органа.
Как сохранить данные до исследования
При обнаружении удаления, утечки или подозрительной операции задача состоит в том, чтобы предотвратить дальнейший ущерб и сохранить доступные следы. Эти цели могут требовать разных действий. Универсальный совет немедленно выключить устройство опасен: исчезнут данные оперативной памяти, активных соединений и, в некоторых случаях, доступ к расшифрованному состоянию. Оставить скомпрометированную систему без контроля тоже нельзя. Решение принимают с учётом её состояния и риска для людей и работающих процессов.
До вмешательства специалиста зафиксируйте наблюдаемые обстоятельства и уже выполненные действия. При обращении сообщите:
- Что произошло, когда это обнаружили и какие устройства или аккаунты затронуты.
- Включено ли устройство, заблокирован ли экран, продолжается ли работа приложения или передача данных.
- Кто имеет доступ к системе и какие действия уже выполнены: перезагрузка, отключение сети, смена пароля, запуск антивируса или восстановление.
- Какие журналы, резервные копии и версии доступны и известно ли, когда они автоматически перезаписываются.
Не устанавливайте на исследуемый накопитель программы восстановления, не очищайте историю и не переустанавливайте систему. Это может перезаписать нужные данные. Снимки экрана и записи наблюдений помогают описать ситуацию, но дальнейшую работу с устройством лучше согласовать со специалистом. При продолжающемся инциденте меры ограничения доступа выполняют уполномоченные лица, ответственные за систему, фиксируя время и содержание изменений.
При передаче описывают устройство и комплект, состояние, маркировку и упаковку, даты и участников передачи. Для электронных копий сохраняют сведения об их получении и контрольные значения. Такой учёт помогает понять, что именно исследовано и что происходило с объектом до поступления эксперту. Процессуальное изъятие и обеспечение доказательств проводят лица, которым закон предоставляет соответствующие полномочия; договор с экспертной организацией этих полномочий не создаёт.
Как эксперт проверяет цифровые следы
Метод зависит от объекта и вопроса, а не от названия программы для восстановления. Исследование включает фиксацию полученного состояния, извлечение доступных данных, проверку их связей и объяснение результата. Если возможно, анализ проводят на рабочей копии, сохраняя исходный объект. Когда требуется работа с действующей системой или устройство не допускает обычного копирования, эксперт описывает изменения, связанные с получением данных, и пределы контроля.
Целостность и происхождение копий
Хеш — вычисляемое контрольное значение, которое используют для сравнения содержимого. Совпадение значений, вычисленных для того же объёма данных подходящим алгоритмом, позволяет контролировать неизменность копии между зафиксированными этапами. Для этого указывают алгоритм, объект расчёта и момент проверки. Хеш целого образа и хеш одного извлечённого файла относятся к разным объектам и напрямую не сравниваются.
Совпадение хешей не устанавливает, кто создал файл, правдив ли текст и что происходило до первой фиксации. Если эксперт получил уже подготовленную выгрузку, её происхождение проверяют по описанию получения, служебным данным и другим источникам. В заключении различают состояние принятого объекта и сведения о предшествовавших событиях. Отдельные результаты проверяют другим способом или на сопоставимом источнике, когда такой контроль доступен.
Метаданные, журналы и хронология
Метаданные — служебные сведения о файле, записи или сообщении. Они могут содержать имя автора, даты, версию программы и технические идентификаторы. Эти поля способны переноситься из шаблона, меняться пользователем или обновляться автоматически. Запись имени в документе не подтверждает личное авторство, а дата создания на новом носителе не обязательно совпадает с началом работы над текстом.
Для проверки хронологии сопоставляют файловую систему, внутренние данные документа, журналы приложения, почту и резервные копии. Учитывают часовой пояс, точность записи, настройки синхронизации и возможное расхождение часов. Если известен только порядок событий или интервал, так и формулируют вывод; точную секунду нельзя получить из источника, который её не фиксировал. Отдельно проверяют, как на даты повлияли копирование, восстановление или автоматическая обработка.
Журнал отражает события, записанные системой. Он может быть неполным: запись событий была отключена, старые записи автоматически заменялись новыми, произошёл сбой или записи были удалены. Поэтому отсутствие записи не всегда означает отсутствие операции. Если журналы противоречат друг другу, эксперт объясняет расхождения и проверяет возможные причины, а не выбирает источник, удобный одной стороне.
Переписка и электронные документы
У электронного письма исследуют содержимое, вложения и служебные заголовки, у переписки — записи приложения, экспорт и доступные сведения об аккаунте и устройстве. Адрес отправителя, отображаемое имя и время на экране имеют разное техническое происхождение. Сопоставление клиентских и серверных источников помогает проверить маршрут и последовательность событий, если такие материалы сохранены и предоставлены.
Пересылка письма или пересохранение документа создаёт новый объект и может изменить часть служебных данных. Поэтому при споре полезны исходные файлы, полученные и отправленные версии, связанные вложения и документы о фиксации. Признаки изменения рассматривают вместе с возможными обычными операциями программы. Визуальное сходство или различие двух экранов само по себе не объясняет, кто, когда и зачем изменил исходный материал.
Удалённые, скрытые и зашифрованные данные
После удаления могут сохраниться записи файловой системы, фрагменты содержимого, копии в резервном хранилище или на другом устройстве. Восстановление зависит от перезаписи, типа носителя, работы контроллера и шифрования. На твердотельном накопителе команда освобождения блоков и последующая очистка могут сделать прежнее содержимое недоступным. Давность удаления сама по себе не позволяет обещать восстановление.
Найденный фрагмент не всегда удаётся связать с полным файлом, первоначальной папкой и датой удаления. Его полноту и способ получения указывают отдельно. Скрытый атрибут, архив или шифрование тоже не доказывают намерение скрыть информацию: это могут быть обычные настройки. При устойчивом шифровании без доступного ключа расшифровка может оказаться невозможной. Для некоторых задач остаётся исследование внешних следов, резервных копий и истории операций.
Предварительный прогноз и выбор формата работы
При первом обращении выясняют, относится ли задача к компетенции эксперта, уточняют объект и состав материалов. Это организационный разбор. Содержательный прогноз требует первичного изучения достаточного объёма материалов: эксперт оценивает наиболее вероятный тип ответа, степень определённости, видимые ограничения и данные, которые способны изменить оценку. Глубину, формат результата и условия такого разбора согласуют заранее.
Прогноз может показать, что спорная правка технически подтверждается, что различия скорее объясняются обычным копированием или что сохранившихся данных недостаточно для определённого ответа. Неблагоприятная оценка помогает пересмотреть вопросы и не заказывать исследование ради ожидаемого вывода. После поступления новых объектов и полной проверки альтернатив оценка может измениться. В окончательном заключении отвечают на вопросы по результатам полного исследования согласованного комплекта.
Если судебная экспертиза уже назначена, назначенный эксперт не даёт одной стороне частный прогноз по переданному объекту и не принимает дополнительные материалы напрямую. Содержательное общение, уточнение задания и новые объекты проходят через суд или орган расследования. Информационное письмо для назначения описывает возможность исследования, кандидатуру, материалы, ориентировочные стоимость и срок; оно не подменяет изучение обстоятельств дела.
Формат выбирают по цели обращения. В работе с цифровыми данными доступны:
- Судебная экспертиза — исследование после процессуального назначения с ответами на поставленные вопросы и направлением заключения назначившему органу.
- Внесудебное исследование — работа по договору для проверки материалов, переговоров или последующего представления документа в установленном порядке.
- Рецензирование — методическая проверка готового заключения, исходных данных, применённых методов и связи выводов с исследованием.
- Консультация или справка — согласованный разбор вопроса, возможностей исследования и ограничений имеющихся материалов.
Когда проблема состоит в обоснованности уже выполненного исследования, полезна рецензия на заключение компьютерной экспертизы. Она может выявить непроверенное происхождение выгрузки, смешение разных временных меток или необоснованный переход от аккаунта к человеку. Несогласие с результатом само по себе не означает методической ошибки. Рецензия не отменяет исходное заключение; допрос эксперта, дополнительную или повторную экспертизу назначает уполномоченный орган при предусмотренных основаниях.
Примеры вопросов на экспертизу
При судебной экспертизе окончательный круг вопросов определяет суд, а в иной предусмотренной законом процедуре — орган или лицо, назначившие экспертизу. Эксперт отвечает в пределах специальных знаний и представленных материалов, не изменяет поставленные вопросы по собственной инициативе. При неясности задания, выходе за пределы компетенции или недостатке объектов он действует в порядке соответствующего процесса, в том числе обращается за необходимыми материалами и разъяснениями.
До назначения стороны могут использовать следующие формулировки как предложения. Для цифрового исследования обозначают носитель или источник, файл либо запись, период, часовой пояс и признаки, по которым ведётся поиск. Наличие данных, их изменения и операции под учётной записью лучше проверять отдельно. Примеры возможных вопросов:
- Какие файлы, соответствующие указанным признакам, обнаружены на представленном носителе и в переданных резервных копиях?
- Какие различия в содержании и служебных данных имеются между представленными редакциями электронного документа?
- Какие сведения о создании, изменении и использовании файла содержатся в представленных источниках и каковы ограничения их интерпретации?
- Имеются ли следы удаления указанных данных; какое содержимое и какие сведения об операциях сохранились?
- Какая последовательность событий устанавливается по представленным журналам за обозначенный период с учётом настроек времени?
- Какие технические идентификаторы связаны с операциями над указанными файлами или записями в исследуемых источниках?
- Какие следы подключения внешних носителей и передачи указанных данных обнаружены; позволяют ли они связать эти события между собой?
- Какие сообщения и вложения имеются в представленных источниках переписки и какие технические сведения об их отправке и получении доступны?
- Какие признаки изменения либо неполноты представленной выгрузки обнаружены и чем они могут объясняться?
- Согласуются ли сведения о спорном событии в файлах, журналах и резервных копиях; какие расхождения выявлены?
Ответы описывают данные и технические события. Даже установленная операция под аккаунтом сотрудника не равнозначна выводу о его личном участии, умысле или нарушении режима коммерческой тайны. Для этого оценивают и другие обстоятельства дела. Пригодность объекта для метода и достаточность данных для технического ответа определяет эксперт; допустимость доказательств и их достаточность для разрешения спора оценивает суд или иной уполномоченный орган.
Заключение, его проверка и использование
В заключении должны быть понятны объекты, поставленные вопросы, исходные данные, проведённые действия, применённые методы и основания каждого вывода. Для цифрового исследования существенны способ получения копий, идентификаторы, контрольные значения, версии использованных средств, значимые параметры операций, критерии поиска и преобразования данных. Иллюстрации и таблицы показывают результаты по поставленному вопросу, а не заменяют описание исследования.
Проверяемость означает, что другой специалист может понять ход анализа и сопоставить вывод с представленными материалами. Автоматический отчёт программы требует интерпретации: название поля или найденный фрагмент ещё не объясняют событие. Если доступ к исходной системе утрачен, журналы неполны или получена лишь выборка данных, эти ограничения отражают в выводах. Ответ может быть определённым, вероятностным либо указывать на невозможность решить конкретный вопрос по доступным материалам.
До назначения стоит запросить сведения о профильной подготовке и опыте предлагаемого эксперта, возможности работы с конкретными системами и отсутствии конфликта интересов. Сертификат организации сам по себе не подтверждает владение каждым методом цифрового исследования. Когда для ответа нужны знания разных специальностей, может потребоваться комплексная экспертиза. Несколько экспертов могут работать в составе комиссии; её состав и форма исследования зависят от задач и правил соответствующего процесса. Условия судебной работы определяет назначивший орган.
Общие требования к экспертному исследованию раскрыты в обзоре Федерального закона от 31.05.2001 № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации». Для гражданского дела порядок назначения, права эксперта и оценка заключения рассмотрены на странице норм ГПК РФ об экспертизе. В арбитражном, уголовном и ином производстве применяются правила соответствующего процесса. Технический метод не придаёт документу заранее установленной доказательственной силы.
Внесудебный документ можно использовать при переговорах или заявить ходатайство о его приобщении; решение о процессуальном статусе и оценке принимает суд. Заключение назначенного эксперта направляют назначившему органу. При сомнениях полезно указать конкретное расхождение, отсутствие материала или необъяснённый метод. Эксперт может быть вызван для пояснений в установленном порядке. Содержательная консультация помогает подготовиться, но не заменяет документ, оформленный по результатам исследования.
Стоимость, сроки и порядок обращения
Стоимость зависит от числа устройств и источников, объёма данных, периода, количества вопросов, необходимости выезда и сложности извлечения. Большой архив не всегда означает большой объём анализа: заранее согласованный поиск по проверяемым признакам может сузить работу. Напротив, один небольшой файл иногда требует сравнения нескольких систем и восстановления истории. Расчёт делают после проверки задачи и доступного комплекта.
Ориентир для судебной экспертизы — от 100 000 ₽, срок — от 10 рабочих дней; для внесудебного исследования — от 100 000 ₽ и от 10 рабочих дней. Рецензирование: от 80 000 ₽, 10 рабочих дней. Консультация и справка: от 20 000 ₽, 2–3 рабочих дня. Эти значения помогают выбрать формат; итоговые условия согласуют для конкретных вопросов и материалов. Возможность срочной работы зависит от состояния объектов и необходимого объёма проверки, а дистанционный формат — от того, достаточно ли безопасно переданных копий или требуется доступ к устройству.
Для начала опишите спорное событие, период, доступные устройства и файлы, а также цель: назначение судом, внесудебное исследование, прогноз или проверка готового заключения. Сообщите, продолжает ли система работать и есть ли риск автоматического удаления журналов. Контакт для организационного разбора — 8 (800) 333-24-09; также можно оставить заявку на этой странице. До назначения обсудим материалы и способ передачи. Если экспертиза уже назначена, взаимодействие ведётся через назначивший орган.
Отдельно согласуют круг допущенных к данным лиц, способ передачи, место исследования, условия хранения рабочих копий, возврат носителей и форму выдачи результата. Порядок зависит от договора, характера сведений и требований процесса. В материалах исследования сохраняют нужный контекст, а в первоначальном обращении передают только необходимые сведения. Оплата работы не определяет вывод эксперта: эксперт проверяет как подтверждающие, так и опровергающие данные в пределах задания.
Проведение экспертизы по уголовному делу
Судебная экспертиза по уголовному делу производится государственными судебными экспертами и иными экспертами из числа лиц, обладающих специальными знаниями.
Согласно постановлению Пленума Верховного Суда Российской Федерации от 21 декабря 2010 г. № 28 «О судебной экспертизе по уголовным делам», негосударственными судебно-экспертными учреждениями признаются некоммерческие организации, созданные на основании Гражданского кодекса Российской Федерации и Федерального закона «О некоммерческих организациях» и ведущие судебно-экспертную деятельность согласно своим уставам.
По сведениям организации, проведение судебных экспертиз предусмотрено её уставом (см. действующую редакцию в разделе «Документы организации»). Это само по себе не означает автоматического поручения любой экспертизы. Возможность поручить конкретное исследование определяет назначающий орган.
В случаях, перечисленных пунктом 5 постановления № 28, когда экспертизу по уголовному делу назначает суд, ему следует мотивировать в определении или постановлении поручение исследования учреждению либо конкретному лицу. Пункт 5 постановления № 28 связывает выбор негосударственного учреждения с невозможностью провести исследование в государственном учреждении, обслуживающем соответствующую территорию: например, из-за отсутствия нужного специалиста, материально-технической базы или специальных условий, либо с отводом компетентных государственных учреждений. Дополнительно учитываются квалификация эксперта, основания для отвода и действующий перечень экспертиз, выполняемых только государственными судебно-экспертными организациями.
