Подготовительные действия следователя по прибытии на место происшествия

По прибытии на место происшествия следователь должен вы­полнить ряд мероприятий организационного характера. Прежде всего, необходимо блокировать доступ персонала ко всем ком­пьютерам сети и серверу, чтобы никто не смог изменить или по­вредить информацию во время осмотра.

Чтобы исключить случайное или преднамеренное уничтоже­ние компьютерной информации со стороны присутствующих в подлежащих осмотру помещениях, нужно предпринять соответ­ствующие меры:

потребовать от персонала отойти от аппаратных средств ком­пьютерной техники (СКТ) — компьютеров, периферийного обо­рудования, физических носителей машинной информации и не прикасаться к ним;

удалить всех посторонних, по возможности разместив их в помещении, исключающем использование любых средств связи;

выставить охрану у СКТ и электрических распределительных щитов, пультов;

при наличии локальной компьютерной сети, связывающей компьютеры, отсоединить удаленный доступ к системе извне» (например, отключить шнур модема от телефонного кабеля), бло­кировать выход сервера во внешнюю (глобальную) сеть, чтобы никто не смог изменить или повредить информацию во время осмотра;

установить, не запущена ли на ЭВМ программа уничтожения информации;

если, несмотря на предпринятые меры, такая программа все же запущена, предпринять действия по ее приостановлению (в этих целях компьютер может быть отключен от питания).

Некоторые авторы⁹ предлагают изымать у персонала органи­зации, в которой производится осмотр, пейджеры, электронные записные книжки, ноутбуки, индивидуальные устройства отклю­чения сигнализации автомобиля и т.п. Подобные рекомендации представляются нам жсьщ сомнительными. С самого начала ра­боты следователь должен стремиться к созданию обстановки де­лового сотрудничества с работниками этой организации, а выше­названные действия могут привести к конфронтации и отрица­тельно сказаться на результатах осмотра. Кроме того, нормы УПК РФ, регламентирующие производство осмотра помещений, не содержат указания на возможность совершения принудитель­ных действий.

И все же на личных электронных записных книжках, ноутбу­ках, карманных компьютерах и т.п. может содержаться полезная для осмотра информация: пароли доступа, адреса Интернета, до­кументы, взятые для домашней или мобильной работы (к мо­бильной относится вид работы с компьютером вне постоянного помещения, например, с ноутбуком на совещании, в командиров­ке, в дороге и т.п.). Поэтому можно предложить владельцам лич­ных СКТ добровольно сдать их на время осмотра, разъяснив, для чего это нужно, и предупредив, что изъятое будет возвращено владельцам по окончании следственного действия. В случае отка­за от предоставления таких средств следует взять письменное объяснение у владельцев, мотивирующее отказ, или расписку о том, что они предупреждены о запрете пользования этими сред­ствами во время осмотра.

Осмотр места происшествия неизбежно потребует от постра­давшей стороны времени и ресурсов в его поддержку. Если в ду­хе сотрудничества с правоохранительными органами организация поможет следственной группе произвести копирование данных, сделать резервные копии файлов протоколов аудита, выделит опытных специалистов, то осмотр не прервет ее работу надолго, не потребует вывода всех компьютеров, позволит ограничиться извлечением резервных или побитных копий.

Проконсультировавшись со специалистом, можно предпри­нять шаги к уменьшению неудобств, создаваемых нормальной работе предприятия на период осмотра, например разрешить пе­реключиться на резервную компьютерную систему. В бескон­фликтной ситуации, характеризующейся совпадением интересов следователя и лиц, находящихся на объекте, подлежащем осмот­ру, достаточно попросить персонал приостановить текущую ра­боту с компьютерной техникой, не использовать мобильную связь и перейти в другое помещение, где с ними смогут побесе­довать оперативные работники милиции.

После этого, перед тем как приступить к непосредственному осмотру, нужно выполнить следующее:

1. Привлечь к осмотру компьютера или группы компьютеров, расположенных в одном или смежных помещениях, связанных в локальную сеть сетевого или системного администратора органи­зации (системного программиста, системного инженера), отве­чающего за осматриваемые компьютеры или знающего особен­ности их эксплуатации

Осмотр без системного администратора может оказаться не­полноценным, поскольку ответственный за эксплуатацию со­трудник знает параметры, назначение и схему размещения ос­матриваемых технических средств по помещениям, их систему охраны и защиты, особенности запуска, пароль входа в компью­терную систему. Нужно установить, соединены ли компьютеры в локальную сеть, каковы схема их соединения и основные правила се безопасного использования¹⁰. У лица, отвечающего за эксплуа­тацию компьютерных систем, в присутствии привлеченного спе­циалиста нужно выяснить тип используемой сетевой операцион- _% ной системы и перечень прикладного программного обеспечения, используемого для работы сети и на рабочих местах; факт нали­чия и место хранения резервных копий серверных дисков, баз данных¹¹.

⁹ См.: Куиширенко СП, Панфилова Е.И. Уголовно-процессуальные способы изъ­ятия компьютерной информации по делам об экономических преступлениях. СПб., 1998. С. 23, 30; Саятевскш М.В., Щербаковский М.Г., Губанов В.А. Осмотр компьютерных средств на месте происшествия. Харьков, 1999. С. 7.

См.: Салтевский М.В., Щербаковский М.Г., Губанов В.А. Указ. соч. С. 5-6. ¹¹ См.: Российская Е.Р., УсовА.И. Судебная компьютерно-техническая эксперти­за. М., 2001. С. 108; Вещественные доказательства: Информационные технологии процес­суального доказывания / Под ред. В.Я. Колдина. М., 2002. С. 643; Российская Е.Р. Крими­налистика: Курс лекций. М., 2003. С. 406.

2. В присутствии специалистов порознь опросить очевидцев,
лиц, обнаруживших признаки преступления, и иных лиц, распо­
лагающих сведениями, которые должны быть приняты во внима­
ние при осмотре. Показания опрашиваемых целесообразно фик­
сировать с помощью звукозаписи. В частности, у администратора
системы необходимо вгаяснить: какие операционные системы
установлены на сервере и пользовательских компьютерах; какие
системы защиты и шифрования разрешены к применению поль­
зователями на рабочих местах; где хранятся файлы, к которым
можно получать доступ с рабочих мест, где и как создаются ре­
зервные копии¹²; как зарегистрированы идентификаторы (имена и
пароли пользователей), кто, кроме администратора сети, имеет
наиболее полные права доступа в систему.

У администратора сети или конкретного сотрудника (операто­ра ЭВМ) выясняют, какие признаки, по его мнению, свидетельст­вуют о совершении преступления, когда и при каких обстоятель­ствах они обнаружены, какие действия предпринимались по уст­ранению вредных последствий до прибытия следователя и другие подробности обнаружения происшествия.

3. Окончательно определить круг участников осмотра, пригла­сить понятых, если это не было сделано ранее; проконтролиро­вать соответствие понятых требованиям ст. 60 УПК РФ; разъяс­нить участникам осмотра их права, обязанности и ответствен­ность, а также порядок производства данного следственного дей­ствия, уведомить их о том, какие именно и кем будут применять­ся технические средства.

4. Если в процессе осмотра планируется использование специ­альной техники и программ для работы с компьютерной инфор­мацией, то перед применением они должны быть протестированы в присутствии понятых на предмет отсутствия в ней вредоносных программно-аппаратных средств и закладок¹³. Понятые извеща­ются о назначении и лицензионности программного обеспечения, которое будет применяться во время осмотра.

¹² См.: Вещественные доказательства: Информационные технологии процессуаль­
ного доказывания... М, 2002. С. 644; Российская ЕР. Криминалистика: Курс лекций. М,
2003. С. 402.

¹³ См.: Криминалистическая методика расследования отдельных видов преступле­
ний / Под ред. А.П. Резвана, М.В. Субботиной. М., 2002. Ч. 2. С. 100.

I лава 3. Производство осмотра места происшествия

Дата добавления: 2015-09-03