Рецензия на заключение компьютерной экспертизы — это проверка готового заключения эксперта о телефоне, компьютере, носителе, переписке или сетевых данных. Рецензент читает заключение вместе с приложениями и выясняет, можно ли проследить путь от исходной копии к выводу, подходят ли программы и методы к исследованному объекту и не сказано ли в выводе больше, чем показывают найденные следы. Обычно её заказывают, когда сторона хочет оспорить вывод эксперта или понять, есть ли для этого основания. Само устройство при этом заново не исследуют: если нужно повторно извлечь данные или проверить версию событий, которую эксперт не рассматривал, это задача компьютерно-технической экспертизы.
Работа начинается с бесплатного организационного разбора: специалист смотрит, какие материалы есть, определяет профиль рецензента и называет ориентировочные срок и стоимость. Если после разбора неясно, нужна ли полная рецензия, можно заказать платную консультацию. Она покажет, какие выводы можно проверить по имеющимся материалам, где видны возможные дефекты и каких данных не хватает.
Что может установить рецензент и что решает суд
Предмет рецензии — само заключение и материалы, на которые оно опирается. Проверку ведут по требованиям статей 8 и 25 Федерального закона № 73-ФЗ к обоснованности исследования и содержанию заключения, а также по применимым методикам и документации использованных программ. Эти статьи действуют и для негосударственных экспертов. Сопоставив с такими требованиями заключение и приложения, рецензент может установить:
- какие устройства, копии и файлы фактически получил и исследовал эксперт и совпадают ли они с перечисленными в документе о назначении;
- описано ли, как обеспечивалась неизменность данных и чем подтверждена целостность копии;
- какими программами и в каких версиях пользовался эксперт, как он извлекал данные и проверил ли результаты автоматической обработки по исходным данным;
- правильно ли учтены часовые пояса и источники временных отметок;
- следует ли каждый ответ из исследовательской части или опирается на допущение, которое не проверялось;
- рассмотрены ли другие технические объяснения: удалённый доступ, работа с устройством нескольких человек, синхронизация с другим устройством, вредоносная программа;
- соответствует ли категоричность вывода сохранности и полноте источников.
На часть вопросов рецензент не отвечает, потому что они правовые. Допустимо ли заключение как доказательство, нарушил ли эксперт закон и каким будет исход дела, решает суд или орган, в производстве которого находится дело, а виновность и умысел в уголовном деле устанавливает только суд. Рецензент также не устанавливает, кто лично отправил сообщение или вошёл в систему. Учётная запись, номер телефона и IP-адрес — технические идентификаторы: они связывают событие с аккаунтом, номером или подключением, а не с конкретным человеком. Если в заключении такой идентификатор без оснований отождествлён с человеком, рецензент это покажет: обоснованность такого вывода — вопрос технический.
Когда рецензия нужна
Рецензия оправдана, когда спорный вывод зависит от технических деталей, которые суд и стороны не могут проверить сами. Чаще всего к ней обращаются в таких ситуациях:
- в уголовном деле заключение по телефону приводит переписку, фотографии или историю перемещений, и есть сомнения, что данные относятся к спорному периоду или к этому устройству;
- в трудовом или корпоративном споре эксперт пришёл к выводу, что сотрудник удалил или скопировал файлы, а вопрос о том, кто работал за компьютером, в заключении не обсуждался;
- в заключении о взломе или утечке способ доступа выведен из одного журнала или из отчёта антивирусной программы;
- заключение о неисправности компьютера или накопителя называет причину отказа, но не объясняет, как исключались другие причины;
- в деле два заключения с противоположными выводами по одним и тем же объектам, и нужно понять, чем объясняется расхождение;
- предстоит допрос эксперта, и нужны точные вопросы по конкретным страницам заключения.
Несогласие с выводом само по себе не делает заключение ошибочным. Рецензент ищет проверяемый недостаток и оценивает, как он влияет на ответ. Бывает, что по представленным материалам существенных дефектов нет, — тогда рецензия так и говорит.
Для заключений о базах данных и о сайтах есть отдельные страницы, где разобраны проверки, характерные для этих объектов: рецензия на заключение экспертизы баз данных и СУБД и рецензия на заключение экспертизы сайта.
Рецензия, пояснения эксперта и повторная экспертиза
Рецензию, пояснения эксперта и повторную экспертизу часто путают, хотя задачи у них разные. Рецензию заказывает сторона или её представитель, и это письменный анализ готового документа. Пояснения автора заключения получают, а дополнительную и повторную экспертизу назначают по правилам процессуального кодекса; решение о них принимает суд, следователь или другой уполномоченный орган. Процессуальные различия подробно разобраны на странице о рецензировании экспертных заключений. Для заключения компьютерной экспертизы выбор обычно зависит от того, каков недостаток:
- если неясны обозначения, путь к файлу, назначение таблицы или выбранный режим программы, может хватить пояснений эксперта на допросе или в иной форме, которую допускает процессуальный закон;
- если эксперт не исследовал часть объектов или не ответил на поставленный вопрос, обсуждают дополнительную экспертизу;
- если вывод нельзя проверить по описанию, целостность копии не подтверждена или выводы противоречат исследовательской части, сторона может ходатайствовать о повторной экспертизе.
Если же нужно установить новый факт — восстановить удалённые данные, проверить другую версию событий, исследовать облачную копию, — рецензии недостаточно: нужно новое исследование объекта. Его проводят как судебную экспертизу, когда её назначает суд или следователь, либо как внесудебное исследование по заказу стороны. Рецензия помогает обосновать ходатайство конкретными замечаниями, но не обязывает суд его удовлетворить.
Разбор и консультация до рецензии
На бесплатном организационном разборе специалист определяет профиль рецензента, проверяет, все ли файлы переданы, и называет ориентировочные срок и стоимость. Заключение по существу на этом этапе не анализируют и не берутся предсказать, есть ли в нём ошибки: по названию экспертизы или одной странице выводов этого не понять.
Консультация платная, специалист отвечает письменно. Ориентир — от 20 000 ₽, срок — 2–3 рабочих дня; точные условия согласуют до начала, когда виден объём заключения. Для неё нужны заключение с приложениями, документ о назначении экспертизы, если он есть, и ваши вопросы к заключению. Образы носителей и объёмные отчёты программ на консультации не исследуют — это работа рецензии. Специалист сообщает, какие возможные недостатки видны уже на этом этапе, какие выводы нельзя проверить без исходных копий и что может изменить его ответ. Итог бывает и неблагоприятным для вас: по представленным материалам существенных недостатков не видно, а найденные недочёты на ответы не влияют. Тогда полная рецензия по тем же материалам, скорее всего, мало что добавит, и вы узнаете об этом прежде, чем потратите на неё деньги.
Консультация не заменяет рецензию и не предсказывает решение суда. Она нужна, чтобы решить, стоит ли продолжать и в каком объёме.
Какие материалы нужны
Для бесплатного разбора хватит текста заключения и документа о назначении экспертизы. Передавайте только те материалы, которыми вы вправе распоряжаться, и при необходимости обезличьте копии. Полнота самой рецензии зависит от того, что ещё удастся получить: без приложений рецензент проверяет только логику документа, с исходными отчётами и копиями — ещё и то, совпадают ли выводы с данными. В полный комплект обычно входят:
- заключение целиком, со всеми страницами, подписями и приложениями, включая диски и файлы;
- определение суда или постановление о назначении экспертизы с вопросами;
- протоколы изъятия, осмотра и упаковки устройств, описание пломб и состояния устройства при изъятии;
- отчёты программ извлечения и анализа данных — по возможности в исходном электронном формате, а не только в распечатке;
- сведения о копиях: образы носителей, контрольные суммы с указанием алгоритма, протоколы копирования;
- материалы, с которыми эксперт сопоставлял данные: ответы операторов связи и провайдеров, журналы серверов, выписки;
- протокол допроса эксперта, его письменные пояснения и другие заключения по тем же объектам, если они есть.
Образы носителей и объёмные отчёты передают после того, как согласованы объём работы и способ передачи. Не присылайте пароли, ключи доступа и сами устройства: для рецензии они не нужны. Заключения о телефонах часто содержат чужую переписку и фотографии, поэтому такие материалы передают только в той части, которая нужна для проверки. Если по уголовному делу вы дали подписку о неразглашении данных предварительного расследования, сначала обсудите с защитником, что можно передавать.
Если части материалов нет, рецензия остаётся возможной, но её выводы сужаются: рецензент прямо пишет, какие положения проверены, а какие по представленному комплекту проверить нельзя. Материалы из дела сторона получает в порядке, установленном процессуальным законом: при ознакомлении с делом или по ходатайству.
Если устройство у вас, для рецензии оно не понадобится. Не сбрасывайте его, не отдавайте в ремонт и не удаляйте данные, выключенное не включайте: любое действие меняет состояние данных и может породить новый спор. Когда требуется заново исследовать сам аппарат, подойдёт экспертиза телефонов и планшетов.
Что проверяют в заключении компьютерно-технической экспертизы
Рецензент прежде всего проверяет те части заключения, где ошибка сильнее всего влияет на вывод. Каждое замечание он подтверждает фрагментом текста или приложения, а не общими соображениями о том, как «обычно» работает программа.
Объект и происхождение копии
Сначала сверяют, что исследовалось: модель, серийный номер или IMEI устройства, состав носителей, состояние упаковки и пломб при поступлении. Отдельно смотрят, изолировали ли телефон от сети после изъятия, включали ли и осматривали ли его до экспертизы, отличены ли следы осмотра от действий владельца и нет ли в данных других изменений позже даты изъятия.
Затем проверяют, как получена копия. Для накопителя компьютера обычно описывают способ защиты от записи, создание образа и контрольную сумму — криптографический хеш — с указанием алгоритма. Контрольная сумма подтверждает, что копия совпадает с оригиналом, только если понятно, для какого объекта и в какой момент её вычислили и с чем сверили. У телефона суммы оригинала, как правило, нет, и сумма копии подтверждает лишь, что копия не менялась после снятия. Повторный образ твердотельного накопителя может дать другую сумму и без вмешательства человека, но такое расхождение эксперт должен описать и объяснить. О том, что происходило с данными до копирования и кто их создал, контрольная сумма ничего не говорит. Если часть носителя не прочиталась, это должно быть указано и учтено в выводах.
У мобильных устройств полностью неизменная копия часто недостижима: чтобы извлечь данные, бывает нужно включить аппарат, установить на него служебное приложение или загрузить его в особом режиме. Само по себе это не ошибка — ошибкой будет не описать эти действия и не учесть их влияние на данные.
Программы и автоматические отчёты
Программы для извлечения и разбора данных выдают объёмные отчёты, но отчёт программы — ещё не вывод эксперта. В заключении должны быть указаны название и версия программы, способ извлечения данных (логическое, на уровне файловой системы или физическое) и параметры обработки. Программа может неверно разобрать базу мессенджера, пропустить удалённые записи или после обновления приложения перепутать отправителя и получателя. Поэтому записи, на которых держится вывод, эксперт сверяет с исходными файлами, направление сообщения определяет по служебным признакам в базе приложения, а собеседника — по идентификатору учётной записи, а не по имени из адресной книги. Рецензент смотрит, была ли такая сверка и все ли переписки за спорный период попали в исследование.
Время событий
Временные отметки — частая причина ошибочных выводов. Устройство, сервер и программа анализа могут показывать время в разных часовых поясах, а часы устройства бывают сбиты. При копировании отдельных файлов и распаковке архива часть отметок файловой системы может измениться — какие именно, зависит от программы, — а посекторный образ сохраняет их такими, какими они были при снятии. Время последнего доступа иногда обновляется даже при открытии файла. Рецензент проверяет, какой источник времени использован для каждого события, приведены ли отметки к одному поясу и не выведена ли последовательность действий из меток, которые могли измениться позже.
Удалённые и восстановленные данные
Слово «восстановлено» в заключении означает разное. Это может быть запись, найденная в базе приложения после удаления, файл с сохранившимися именем и датами или фрагмент без имени, извлечённый из свободного пространства носителя. Сведения о времени и происхождении у них разные, и вывод должен это учитывать.
На твердотельных накопителях удалённые данные часто стираются автоматически, а в телефонах с пофайловым шифрованием свободное пространство прочитать не удаётся. Отсутствие следов в таком случае не доказывает, что действия не было, а «не обнаружено» без описания того, где и как искали, мало что значит.
Атрибуция и другие объяснения
Вывод о том, что действие совершено с определённого устройства или из определённой учётной записи, требует проверить, не могло ли оно произойти иначе: через удалённый доступ, при работе за компьютером нескольких человек, при синхронизации с другим устройством, в результате автоматических действий программ или вредоносного кода. Для сетевых данных отдельно смотрят, на чём основана принадлежность IP-адреса и учтено ли, что под одним внешним адресом в интернет могут выходить многие абоненты, а различить их можно только по номеру порта, точному времени и журналу трансляции адресов у оператора; время в ответе оператора и в журнале сервера должно быть приведено к одному поясу. Журналы серверов и выгрузки из облачных сервисов проверяют отдельно: откуда они получены, за какой период, в каком часовом поясе записано время и полны ли они. Если другие объяснения не рассмотрены, рецензент указывает, какие данные позволили бы их проверить.
Отказ оборудования
Когда заключение называет причину неисправности, рецензент выясняет, на каких измерениях и наблюдениях она основана. Он проверяет, исключались ли износ, перегрев, скачок напряжения, попадание жидкости и прежний ремонт и не изменили ли разрушающие методы объект раньше, чем были зафиксированы признаки неисправности.
Как строится проверка
Рецензент составляет карту заключения: какой вопрос поставлен, какой объект ему соответствует, какие действия выполнил эксперт, какой промежуточный результат получен и как он стал ответом. Разрыв в этой цепочке на карте виден сразу, хотя при чтении объёмного документа подряд его легко пропустить.
Найденные недостатки рецензент делит на три группы: погрешности оформления, которые не влияют на ответы; пробелы, которые автор может восполнить пояснением; дефекты, способные изменить вывод. Для решения о том, нужна ли новая экспертиза, значение имеют прежде всего дефекты третьей группы.
Воспроизводимость в компьютерной экспертизе означает, что другой специалист на той же копии, опознанной по контрольной сумме, получит те же результаты. Если такая копия законно доступна, рецензент может повторить на ней описанные в заключении действия. Это уже собственная контрольная проверка. Её ведут на дубликате копии и по возможности теми же версиями программ, сверяя контрольную сумму до и после работы, а ключевые записи дополнительно сверяют вручную по исходным файлам; метод описывают в рецензии отдельно, а объём и стоимость согласуют заранее. Поиск новых фактов в объекте — отдельное исследование со своими вопросами и порядком, а по уголовному делу новые исследования вещественных доказательств проводят в форме экспертизы, поэтому там результат такой проверки самостоятельным доказательством обычно не становится и служит доводом для допроса эксперта или новой экспертизы. Если объект утрачен или недоступен, рецензент отмечает, что заключение в этой части проверить нельзя, но собственного вывода по отсутствующим данным не делает.
Примеры вопросов рецензенту
Рецензенту не ставят правовых вопросов (о допустимости заключения, виновности, законности действий эксперта) и вопросов об обстоятельствах дела. Его задача — проверить, на чём держатся выводы готового заключения, поэтому ниже приведены вопросы именно к рецензии, а не к новой экспертизе.
Вопросы к рецензенту касаются качества уже выполненного исследования. Формулирует их заказчик, а рецензент помогает их уточнить. Чтобы на вопрос можно было ответить, в нём называют заключение с номером и датой, раздел или ответ, к которому он относится, объект — устройство, образ, файл или запись — и, если это важно, период и часовой пояс. В каждом вопросе — одна задача. Примеры формулировок:
- Позволяет ли описание в заключении однозначно установить, какие устройства, носители и копии были исследованы?
- Описано ли, как получена копия каждого носителя и как проверена её целостность, включая алгоритм контрольной суммы и момент, когда сумма вычислена?
- Указаны ли программы, их версии и способ извлечения данных, использованные для ответа на указанный вопрос?
- Сверены ли записи, на которых основан ответ, с исходными файлами, или вывод опирается только на отчёт программы?
- Какие источники времени использованы для перечисленных событий и приведены ли отметки к одному часовому поясу?
- Что в заключении понимается под «восстановленным файлом» применительно к указанному объекту и какие сведения о его происхождении и времени приводит заключение?
- Рассмотрены ли технические объяснения событий, отличные от принятого экспертом, — удалённый доступ, синхронизация, автоматические действия программ — и с каким результатом?
- Следует ли ответ на указанный вопрос из результатов, изложенных в исследовательской части?
- Соответствует ли категоричность выводов полноте и сохранности исследованных данных?
- Какие из выявленных недостатков способны повлиять на конкретные ответы и в чём состоит это влияние?
Установить личность пользователя рецензент тоже не может. Зато можно спросить, на чём в проверяемом заключении основано отождествление учётной записи или устройства с человеком и достаточно ли для этого данных.
Если после рецензии сторона ходатайствует о дополнительной или повторной экспертизе, вопросы к ней ставят об объекте и обстоятельствах дела, а не о качестве прежнего заключения. Окончательный круг вопросов и их редакцию определяет суд, а в иной процедуре — назначивший экспертизу орган или должностное лицо. Эксперт отвечает в пределах своих специальных знаний и представленных материалов и не меняет поставленные вопросы по собственной инициативе. Если вопрос неясен, выходит за пределы его компетенции или материалов недостаточно, он поступает так, как предписывает процессуальный закон.
Что вы получите и как использовать рецензию
В рецензии перечислены полученные материалы, границы проверки, проверенные фрагменты заключения и применённые критерии. Каждое замечание привязано к странице и сопровождается оценкой его влияния на конкретный ответ. Если существенных недостатков нет или вывод невозможно проверить без объекта, это сказано прямо. К документу прилагают сведения о квалификации рецензента.
Название «рецензия» не определяет процессуальный статус документа. В гражданском деле её обычно представляют как письменное доказательство, в арбитражном — как иной документ. В уголовном деле защитник вправе привлечь специалиста, и его письменное суждение по вопросам сторон называется заключением специалиста. В уголовном деле рецензию, построенную как оценка заключения эксперта, суд может отклонить, поэтому замечания в ней полезнее формулировать как технические вопросы — для допроса эксперта или ходатайства о новой экспертизе. Суд рассматривает рецензию вместе с самим заключением и другими материалами, и заранее установленной силы нет ни у одного из них. Автора рецензии, в отличие от назначенного эксперта, не предупреждают об уголовной ответственности за заведомо ложное заключение, поэтому убедительность рецензии держится на том, насколько проверяемы её замечания. Обычно рецензию используют, чтобы:
- заявить ходатайство о вызове эксперта и подготовить к нему вопросы по страницам заключения;
- обосновать ходатайство о дополнительной или повторной экспертизе по правилам процессуального кодекса — например, ГПК РФ или УПК РФ;
- просить суд истребовать приложения и исходные копии, без которых вывод проверить нельзя;
- оценить перспективу спора до суда или в переговорах.
Рецензия остаётся у вас, и представлять ли её в дело, решаете вы. Если рецензента пригласят в заседание как специалиста, его участие согласуют отдельно. Какую процессуальную форму выбрать и когда заявлять ходатайство, решайте вместе с юристом: это зависит от стадии дела и вида процесса.
Кто готовит рецензию
Рецензию готовит специалист того же профиля, что и проверяемое исследование. Заключение о телефоне и переписке проверяет специалист по мобильным устройствам, о сетевой активности — по компьютерным сетям, о работе программы — по программному обеспечению. Если заключение затрагивает несколько областей, вопросы распределяют между специалистами. До начала работы можно запросить сведения об образовании, подготовке и опыте рецензента именно с такими объектами и методами.
Перед началом также проверяют, что рецензент не участвовал в подготовке проверяемого заключения и не связан с его автором. Стоимость работы согласуют до начала, и от выводов она не зависит. Каждое замечание опирается на текст и приложения, чтобы его могли проверить суд и другая сторона.
Если судебная экспертиза по этому делу поручена нашей организации или нашему эксперту, никаких работ для его участников — ни рецензии, ни консультаций — мы не выполняем и материалов от них не принимаем: вопросы и новые материалы передают через суд или орган, в производстве которого находится дело. Если же мы уже готовили для участника дела консультацию или рецензию, а затем нашу организацию предлагают суду или другому органу, назначающему экспертизу, мы письменно сообщаем ему, что такая работа была. Если экспертиза уже поручена нам, делаем это до начала исследования. Сама по себе консультация не означает заинтересованности: её вывод мог быть и не в пользу заказчика. Есть ли основания сомневаться в беспристрастности, решает суд или орган, назначающий экспертизу, а другая сторона вправе заявить отвод. Поэтому, если вы собираетесь предложить нашу организацию суду — например, для повторной экспертизы, — скажите об этом до консультации или рецензии.
Стоимость и срок
Трудоёмкость рецензии определяют объём заключения и приложений, число устройств и вопросов, доступность исходных отчётов и копий и необходимость повторить отдельные действия эксперта на рабочей копии; на стоимость влияет и срочность. Ориентир для рецензии — от 80 000 ₽, срок — 10 рабочих дней. Точный расчёт называют после организационного разбора комплекта.
Для сравнения, другие форматы: судебная экспертиза — от 100 000 ₽, срок от 10 рабочих дней; внесудебное исследование — от 100 000 ₽, срок от 10 рабочих дней; консультация и справка — от 20 000 ₽, срок 2–3 рабочих дня. Срочную работу к дате заседания обсуждают отдельно: она зависит от объёма материалов, а сокращать срок за счёт глубины проверки нельзя.
