Вопрос 27 Обыск

Перед обыском желательно получить оперативную ориентировку по следующим вопросам:

• количество СВТ;

• наличие устройств бесперебойного питания;

• сведения об используемых телекоммуникационных средствах;

• профессиональный уровень обслуживания СВТ в организации или уровень владельца;

• есть ли на СВТ средства защиты информации от НСД;

• наличие электронного ключа;

• защищенность от доступа устройств чтения смарт-карт.

Необходимо подготовить аппаратуру для считывания, хранения изымаемой информации. Обыск начинать лучше в момент максимального рабочего режима и срочно принимать меры по обеспечению сохранности СВТ и данных.

На обзорной стадии обыска в помещении запрещается прикасаться к включенным СВТ, Не разрешается выключать электроснабжение. Учитывается изображение на экране монитора. При сообщение об удалении программы компьютер выключается.

В протокол заносится название всех работающих программ. При наличии сетевого соединения с другим СВТ устанавливается его сетевой адрес. Изымаются документы регистрации включения системы и подключения к ней, журнал оператора, иные записи, составляют план-эскиз помещения. Возможно изъятие официальных планов или схем, подробно описывается порядок соединения всех устройств, наличие или отсутствие канала связи. Устанавливается тип связи, аппаратура, абонентский номер. Отмечается серийный номер СВТ и его индивидуальные признаки.

Рекомендуется исследовать и приобщать к делу носители. Иногда надо искать тайники с носителями, с помощью специалистов вскрывать корпуса. Если дело возбуждено «О разработке программ в преступных целях», изымается текст программы. Описывается «готовая продукция», фиксируется наличие разрешения фирмы или автора на выпуск программы. Определяется перечень установленных на СВТ программ и востребуются документы, подтверждающие. Установленной считается программа, извлеченная из архива и инсталлированная в рабочий каталог. После этого начинается поиск информации.

Вопрос об изъятии решается специалистом. Проводят экспресс-анализ информации. При невозможности или нецелесообразности изъятия СВТ следует распечатать или скопировать информацию или жесткий диск. При поиске информации необходимо учитывать наличие списков последних вызываемых документов. Обязательно проверяются временные каталоги. Проверяется дополнительная информация, прикрепляемая при сохранении файлов. Проверяются файлы «Корзины».

Не изымаемые СВТ опечатываются, все данные о состоянии СВТ и носителей фиксируются в протоколе.

Следственные версии.

Выделяют три типичные следственные ситуации:

• собственник собственными силами выявил нарушения в системе, обнаружил виновное лицо и заявил об этом в правоохранительные органы.

• собственник самостоятельно выявил нарушения, но не смог найти виновника и заявил об этом в правоохранительные органы.

• данные о нарушениях и виновном лице стали общеизвестны или непосредственно обнаружены органом дознания, например, при проведении оперативно-розыскных мероприятий по другому делу.

При наличии заподозренного виновника первоначально собирают и процессуально фиксируют доказательства:

• нарушение целостности, конфиденциальности информации;

• размер ущерба;

• причинные связи между действиями, образующими способ нарушения, и наступившими последствиями путем детализации способа нарушения и характера, совершенных виновником действий;

• отношение виновного к совершенным действиям и наступившим последствиям.

При отсутствии заподозренного виновника все аналогично за исключением последнего пункта. Принимаются меры: разыскивается место входа в данную информационную систему и способ входа, пути следования, через которые вошел злоумышленник или проникла его программа, до рабочего места злоумышленника. При выдвижении версии надо учитывать, что обычно они совершаются группой из двух или более человек как правило минимум один из которых является квалифицированным или компетентным сотрудником организации. Учитываются возможные способы совершения действий. Преступления обычно происходят в рабочее время и внешне не отличаются от обычной работы.

Учитывая конкретные обстоятельства могут быть выдвинуты и проверены следующие версии:

• преступление совершено сотрудником либо лицом, имеющим свободный доступ к средствам компьютерной техники;

• преступление совершенно сторонним лицом, входящим в круг родственников, друзей, знакомых сотрудника организации;

• преступление совершено группой лиц по предварительному сговору или организованной группой с участием сотрудника организации или лица, имеющего свободный доступ к средствам компьютерной техники и в совершенстве владеющего навыками работы с ней;

• преступление совершено лицом или группой лиц, не связанных с деятельностью учреждения и не имеющих представления о ценностях компьютерной информации.

В зависимости от конкретной ситуации данный перечень может быть расширен.