2. Порушення кримінальної справи та початковий етап розслідування

Приводами до ПКС, як правило, є: 1) повідомлення посадових осіб організацій (1/3 випадків); 2) безпосереднє виявлення злочину правоохоронним органом; 3) заяви громадян.

До ПКС проводять ОМП; відібрання пояснень у осіб, які мають доступ до комп’ютерної мережі; витребування предметів і документів (носіїв інформації, журналів обліку роботи ЕОМ, програмного забезпечення), а також проводиться ОРД.

На початковому етапі розслідування виділяють такі типові слідчі ситуації.

Ситуація 1. Встановлений факт злочину, відома особа, яка його вчинила. Алгоритм дій слідчого: 1) затримання, особистий обшук і допит підозрюваного; 2) обшук за його місцем проживання та роботи; 3) огляд ЕОМ, мереж та машинних носіїв інформації; 4) виїмка документів та предметів на місці злочину; 5) допит потерпілого; 6) допит свідків; 7) призначення комп’ютерно-технічної експертизи.

Ситуація 2. Факт злочину встановлений, але злочинець не відомий. У такому випадку проводяться: 1) допит потерпілого; 2) допит свідків; 3) огляд ЕОМ, мереж та машинних носіїв; 4) виїмка документів та предметів на місці злочину; 5) призначення комп’ютерно-технічної експертизи; 6) ОРД.

3. Особливості тактики проведення окремих слідчих дій

Загальна специфіка поводження з комп’ютерними засобами. З такими засобами доводиться мати справу під час ОМП, обшуків та виїмок. Крім того, нерідко треба проводити огляд комп’ютерних засобів як речових доказів. При цьому слід користуватися такими рекомендаціями: 1) включення або вимкнення засобів, їх відключення від мережі треба робити тільки за участю спеціаліста; 2) не можна торкатися руками до робочої поверхні магнітних носіїв інформації, зберігати їх без упаковки, не допускати електромагнітного впливу на них; 3) не допускати впливу на техніку води, диму, пилу і т.п., різко їх не кидати, не зберігати при низькій (менше 0 градусів) або дуже високій (більше 50 градусів) температурі.

Обшук. При підготовці до обшуку, як і для огляду, треба взяти з собою магнітні носії, на які можна буде скопіювати інформацію (ідеальний варіант – переносний комп’ютер типу «Notebook»). Також треба врахувати необхідність транспортування вилучених засобів, що потребує забезпечення відповідного автотранспорту, а також упаковки.

При плануванні і проведенні обшуку треба враховувати як саме було використано комп’ютер в механізмі злочину.

Разом із відомими тактичними правилами треба пам’ятати таке: 1) на початку обшуку треба відразу відсторонити всіх осіб від комп’ютерів; 2) треба зафіксувати місцезнаходження об’єкта з усіма прилеглими об’єктами за правилами огляду, а також вказати в протоколі хто знаходився за комп’ютером, що саме видно на екрані монітора, які програми запущені; 3) встановити чи підключений комп’ютер до іншого обладнання поза приміщенням та до телефонної лінії; 4) вимкнення електромережі може застосовуватися, але обережно і в крайніх випадках, якщо є підстави вважати, що іншим шляхом попередити знищення слідів злочину не вдасться; 5) треба вилучати всю комп’ютерну техніку, носії інформації, документи зі слідами впливу на них комп’ютерної техніки, комп’ютерну літературу; 6) треба проводити оглядову, вузлову та детальну фотозйомку або відеозапис.

Допит підозрюваного. Доцільно залучати спеціаліста у відповідній галузі.

Ці особи часто користуються специфічною термінологією. Тому у протоколі доцільно вказувати розшифрування термінів більш доступними словами.

При описанні під час допиту механізму здійснення злочину доцільно пропонувати допитуваному робити рукописні схематичні зображення, які додавати до протоколу.

В якості свідків допитуються: 1) оператори ЕОМ; 2) програмісти; 3) співробітники, які відповідають за комп’ютерну безпеку, системні адміністратори; 4) працівники, які забезпечують технічний бік роботи комп’ютерів; 5) керівники установ, окремих відділів установи, де було вчинено злочин. У будь-якому випадку у свідків треба з’ясовувати: 1) хто мав інтерес до комп’ютерної інформації; 2) хто із сторонніх осіб мав доступ до неї; 3) кого підозрюють у вчиненні злочину; 4) які були збої в роботі комп’ютерної мережі; 5)  хто з працівників проявляв зайву цікавість до інформації.

Крім того, як свідки допитуються обізнані особи (фахівці) з відповідних спеціальних питань, а також близькі родичі та друзі обвинувачених.

Призначення експертизи комп’ютерної техніки та програмних продуктів. Вона включає два основних виду досліджень – технічного та програмного. Технічні питання відносяться до з’ясування конструктивних особливостей та стану комп’ютера, периферійних засобів, магнітних носіїв інформації, комп’ютерних мереж, а також причин збоїв у роботі.

При експертизі даних і програмного забезпечення можуть розв'язуватися такі діагностичні задачі: 1) який тип операційної системи, що використовується в комп'ютері? 2) які програмні продукти експлуатуються на даному комп'ютері? Чи є вони ліцензійними, або “піратськими копіями”, або власними оригінальними розробками? Коли проводилася інсталяція (установка) даних програм? 3) яким є призначення програмних продуктів? Для вирішення яких прикладних задач вони призначені? Чи відповідають результати виконання програм необхідним діям? 4) які програмні методи захисту інформації використовуються (паролі, ідентифікаційні коди, програми захисту і т. д.)? Чи не робилися спроби підбору паролів або інші спроби неправомірного доступу до комп'ютерної інформації? 5) Яка інформація міститься в прихованих файлах? Чи можливе відновлення раніше видалених файлів і який їх зміст? 6) В якому вигляді зберігається інформація про результати роботи антивірусних програм, програм перевірки контрольних сум файлів? Який зміст даної інформації? 7) Чи має місце наявність збоїв в роботі окремих програм? Які причини цих збоїв? 8) В якому стані знаходяться і що містять файли на магнітних носіях? Коли проводилося останнє коректування цих файлів?

При рішенні ідентифікаційних задач ставляться наступні питання.

1. Чи виконана окрема програма (або її частина) певною особою? 2. Чи відповідають що використовуються в програмах паролі і ідентифікаційні коди користувачем, що вводиться?

При експертизі мережного програмного забезпечення і даних ставляться наступні питання. 1) Яким чином здійснюється з'єднання комп'ютерів мережі? Чи є вихід на глобальні комп'ютерні мережі? 2) Які комп'ютери є серверами мережі? Яким чином здійснюється передача інформації на даному підприємстві, установі, організації, фірмі або компанії по вузлах комп'ютерної мережі? 3) Чи використовуються для обмеження доступу до інформації комп'ютерної мережі паролі, ідентифікаційні коди? В якому вигляді вони використовуються? 4) Чи є збої в роботі окремих програм, окремих комп'ютерів при функціонуванні їх у складі мережі? Які причини цих збоїв? 6. Яка інформація передається, обробляється і модифікується з використанням комп'ютерної мережі?