Вопрос 17. Осмотр места происшествия

1. Подготовка к осмотру

Следователь должен обязательно использовать помощь незаинтересованных специалистов в области ВТ, а также специалистов-криминалистов. Все участники следственно-оперативной группы должны знать и соблюдать общие правила обращения с ВТ и носителями.

2. Производство осмотра

Осмотр начинают с запрета доступа к СВТ всем лицам, работающим на объекте. Следует принять меры к выявлению и изъятию отпечатков пальцев на защелках дисководов, кнопках включения питания, на корпусе возле винтов крепления крышки, клавишах клавиатуры, мыши, разъемах портов и сетевых плат, также на кнопках принтеров. Нельзя исключать возможность доступа в помещение с СВТ и носителями путем взлома, подбора ключей, в том числе паролей к электронным замкам. При осмотре кабельных соединений убеждаются в их целостности и отсутствии следов подключения нештатной аппаратуры.

Устанавливают и фиксируют в протоколе осмотра расположение всех компьютеров в сети, конкретное назначение каждого компьютера, наличие сервера, место прокладки кабеля, устройств телекоммуникации, их подключение.

Выясняется наличие специальных средств защиты от НСД. Принимаются меры по установлению ключей и паролей. При непосредственном осмотре СВТ надо отразить их размещение в помещении, предназначение, название, серийный номер, комплектацию, наличие и тип подключенных периферийных устройств, наличие соединений с сетями, состояние (целое или со следами вскрытия).

При описи внешнего состояния обращают внимание на места подключения периферийных устройств, винты крепления крыш, поверхности под системным блоком, монитором и другими устройствами. При этом характер и отсутствие следов должны быть отмечены в протоколе. Также отмечают наличие и состояние всех пометок, пломб, спецзнаков и наклеек (инвентарных номеров, записей на память, контрольных маркеров продавцов), наличие загрязнений, механических повреждений и их локализация.

При осмотре рекомендуется независимо от того, включен компьютер или нет, описать в протоколе положения всех переключателей на всех блоках и установках. При наличии включенной техники в протоколе фиксируется состояние индикаторных ламп, а также информацию, высвечиваемую на индикаторах, табло и мониторе.

В протоколе фиксируется вид хранителя экрана. В дополнение к протоколу, кроме составления схем расположения, с помощью видео- или фотосъемки рекомендуется зафиксировать информацию на экране монитора, индикаторных панелях, положение переключателей и состояние индикаторных ламп, о чем делается запись в протоколе.

Перед выключением питания надо корректно завершить все выполняемые программы, сохранить промежуточную информацию с указанием в протоколе всех имен файлов, виды информации в них, их расположение. Далее компьютер выключается, при невозможности принимаются меры для исключения доступа к информации, по возможности с неё снимаются копии и принимаются меры для фиксации всех изменений, которые будут происходить впоследствии.

В ходе осмотра внутреннего устройства СВТ с помощью специалиста устанавливается наличие нештатной аппаратуры, следов противодействия аппаратной защите системы, отключение внутреннего источника питания. Особое внимание обращается на записи, относящиеся к работе СВТ.

Обыск

Перед обыском желательно получить оперативную ориентировку по следующим вопросам:

• количество СВТ;

• наличие устройств бесперебойного питания;

• сведения об используемых телекоммуникационных средствах;

• профессиональный уровень обслуживания СВТ в организации или уровень владельца;

• есть ли на СВТ средства защиты информации от НСД;

• наличие электронного ключа;

• защищенность от доступа устройств чтения смарт-карт.

Необходимо подготовить аппаратуру для считывания, хранения изымаемой информации. Обыск начинать лучше в момент максимального рабочего режима и срочно принимать меры по обеспечению сохранности СВТ и данных.

На обзорной стадии обыска в помещении запрещается прикасаться к включенным СВТ, Не разрешается выключать электроснабжение. Учитывается изображение на экране монитора. При сообщение об удалении программы компьютер выключается.

В протокол заносится название всех работающих программ. При наличии сетевого соединения с другим СВТ устанавливается его сетевой адрес. Изымаются документы регистрации включения системы и подключения к ней, журнал оператора, иные записи, составляют план-эскиз помещения. Возможно изъятие официальных планов или схем, подробно описывается порядок соединения всех устройств, наличие или отсутствие канала связи. Устанавливается тип связи, аппаратура, абонентский номер. Отмечается серийный номер СВТ и его индивидуальные признаки.

Рекомендуется исследовать и приобщать к делу носители. Иногда надо искать тайники с носителями, с помощью специалистов вскрывать корпуса. Если дело возбуждено «О разработке программ в преступных целях», изымается текст программы. Описывается «готовая продукция», фиксируется наличие разрешения фирмы или автора на выпуск программы. Определяется перечень установленных на СВТ программ и востребуются документы, подтверждающие. Установленной считается программа, извлеченная из архива и инсталлированная в рабочий каталог. После этого начинается поиск информации.

Вопрос об изъятии решается специалистом. Проводят экспресс-анализ информации. При невозможности или нецелесообразности изъятия СВТ следует распечатать или скопировать информацию или жесткий диск. При поиске информации необходимо учитывать наличие списков последних вызываемых документов. Обязательно проверяются временные каталоги. Проверяется дополнительная информация, прикрепляемая при сохранении файлов. Проверяются файлы «Корзины».

Не изымаемые СВТ опечатываются, все данные о состоянии СВТ и носителей фиксируются в протоколе.