Глава П. Средства и приемы работы с доказательствами

памяти и даже к частичному стиранию информационных ресурсов на данном компьютере)¹.

- принять меры к установлению пароля доступа в защищенных
программах;

- при необходимости консультаций у персонала предприятия -
получать их у разных сотрудников данного отдела путем их опроса
порознь. Это позволит получить максимально правдивую информа­
цию и избежать преднамеренного вредительства;

— при нахождении ЭВМ в локальной вычислительной сети необ­
ходимо иметь бригаду специалистов для быстрого реагирования на
движение информации по сети;

- наряду с осмотром компьютера обеспечить осмотр документов
о пользовании им, обращая особое внимание на рабочие записи опе­
раторов ЭВМ, так как часто именно в этих записях неопытных
пользователей можно обнаружить коды, пароли и другую очень
ценную для следствия информацию.

При осмотре должен присутствовать кто-либо из сотрудников предприятия, способный дать пояснения по установленному на ЭВМ программному обеспечению.

Если на начальной стадии осмотра не удалось установить паро­ли и коды используемых программ, то компьютер подлежит опеча­тыванию и выемке, с тем чтобы в последующем в стационарных условиях с привлечением специалистов-программистов выявить су­ществующие пароли и коды доступа, осуществить надлежащий ос­мотр компьютера и содержащихся в нем файлов. В таких случаях достаточно изъять только системный блок, в который входят про­цессор и накопители на магнитных дисках. Остальную часть ком­пьютера - монитор, клавиатуру, принтер - следует опечатать;

4. Если непосредственный доступ к информации на компьюте­ре возможен и все нежелательные ситуации исключены, при осмот­ре и работе следователь и специалист обязаны объяснять понятым все совершаемые ими действия. При осмотре должны быть уста­новлены:

- конфигурация компьютера с точным описанием всех устройств;

- номера моделей и серийные номера каждого из устройств;

— инвентарные номера, присваиваемые бухгалтерией при поста­
новке оборудования на баланс предприятия;

- прочая информация с фабричных ярлыков.

¹ О корректных способах выключения компьютеров при их изъятии см. под­робнее: Российская Е.Р., Усов А.И. Судебная компьютерно-техническая экспер­тиза. - М., 2001. С. 399-411; Зубаха В.С., Усов А.И., Саенко Г.В., Волков ГЛ., и др. Общие положения.по назначению и производству компьютерно-техничес­кой экспертизы: Методические рекомендации. - М.: ГУ ЭКЦ МВД России, 2000. С. 16-21.

§ 10. Работа с объектами компьютерных средств

В ходе осмотра компьютера необходимо полностью откопировать содержимое жесткого диска с помощью специальных сертифициро­ванных программ. Кроме того, необходимо сделать распечатки ин­формации о содержании всего жесткого диска либо всю информа­цию об этом переписать от руки. Все листы с такой информацией должны быть подписаны специалистом, который проводил запись информации, следователем, понятыми и представителем организа­ции (пользователем), где производится осмотр, и прилагаться к про­токолу следственного действия.

Информацию из оперативной памяти компьютера (ОЗУ), необхо­димо изымать путем копирования соответствующей машинной инфор­мации на физический носитель с использованием только стандартных паспортизированных программных средств. В таких случаях они снаб­жаются соответствующим документальным приложением.

В протоколе осмотра места происшествия необходимо зафикси­ровать следующее:

— программу, исполняемую (или исполненную) компьютером на момент проведения (или до проведения) следственного действия. Для этого следует детально изучить и описать существующее на экране монитора компьютера изображение, все функционирующие при этом периферийные устройства и результат их деятельности (Многие сер­висные программные средства позволяют определить и просмотреть наименование всех ранее вызывавшихся программ и исполненную в последнюю очередь. Например, с использованием NORTON COMMANDER, последняя исполнявшаяся программа определяется по положению курсора (выделенной световой полосой).);

- результат действия обнаруженной программы;

- манипуляции со средствами компьютерной техники (включая нажатия на клавиши клавиатуры), произведенные в процессе проведения следственного действия, и их результат (например, при копировании программ и файлов, определении их атрибутов, даты, времени создания и записи, а также при включении и выключении аппаратуры, отсоединении ее частей);

5. Изъятие средств компьютерной техники производится только в выключенном состоянии. При этом должны быть выполнены и отражены в протоколе следующие действия:

- установлено включенное состояние оборудования и зафиксирован порядок его отключения;

- описано точное местонахождение изымаемых предметов и их
расположение относительно друг друга и окружающих предметов
(с приложением необходимых схем и планов);

- описан порядок соединения между собой всех устройств с указанием особенностей соединения (цвет, количество, размеры, характерные индивидуальные признаки соединительных проводов, кабелей, шлейфов, разъемов, штеккеров и их спецификация);

ГЛАВА II. СРЕДСТВА И ПРИЕМЫ РАБОТЫ С ДОКАЗАТЕЛЬСТВАМИ

—определены отсутствие либо наличие компьютерной сети, ис­
пользуемый канал (каналы) связи и телекоммуникаций (в последнем
случае устанавливаются тип связи, используемая аппаратура, або­
нентский номер, позывной, либо рабочая частота);

—произведено разъединение (с соблюдением всех необходимых
мер предосторожности) аппаратных частей (устройств) с одновремен­
ным опломбированием их технических входов и выходов;

- определен вид упаковки и транспортировки изъятых предметов.

Поскольку магнитные носители подвержены различным видам электромагнитных воздействий, необходимо после снятия с них копий обеспечивать особые условия их хранения. Эти условия дол­жны предполагать исключение влияния электромагнитных полей, рентгеновских и других видов излучений. Для этого они помещаются в специальные контейнеры. Хранить магнитные носители следует при комнатной температуре (от 15-20°С) и влажности воздуха от 50-70%. Недопустимо подвергать носители прямому воздействию солнечного света, делать на них надписи (допускается только мяг­ким карандашом или фломастером). Гибкие магнитные диски раз­мером 5,25 необходимо хранить только в защитном конверте. Кате­горически запрещается касаться магнитной поверхности диска.

---

Дата добавления: 2015-07-11