На начальном этапе расследования решаются такие задачи, как оценка обстоятельств преступления, выявление жертв и свидетелей, поиск и регистрация доказательств преступления. Эти задачи решаются в ходе первоначальных экстренных и следственных действий, входящих в цикл расследования уголовных дел киберразведки.
Успех первоначального этапа расследования всегда основан на скорости, непрерывности и правильной последовательности непосредственных следственных действий по сбору фактической информации о преступлении и преступнике, и фактически зависит от элементов гражданского криминологического подхода, таких как программа расследования, связанная с типичным сценарием расследования. Это означает, что.
В нашей работе описаны типичные следственные ситуации, возникающие в ходе расследований против конкретных преступных групп, и приведен простой алгоритм поведения следователей.
В криминологической литературе понятие и содержание следственной ситуации является дискуссионным и впервые было введено А. 1967, Н. Колесниченко. Это «особый случай уголовного расследования, характеризующийся наличием особых доказательств и информации, и в котором сбор и контроль доказательств является особой задачей».
И.Ф. Герасимов определяет следственную ситуацию как «совокупность материальных, информационных и иных элементов, характеризующих расследование, оценка которых определяет основное направление расследования, выбор решений и способа действий».
По мнению Р.С. Белкина, «следственная ситуация - это совокупность условий, в которых происходит расследование, то есть обстановка, в которой протекает процесс расследования».
По мнению А.Г. Филиппова, «элементами условий расследования являются
1. доказательства, собранные по делу
2. другая информация, имеющая отношение к расследованию
3. информация об источниках, из которых получена эта информация.
Вместе эти три элемента образуют полное описание расследуемых событий, что позволяет следователю дать правильную оценку делу и определить дальнейшие действия, которые необходимо предпринять.
А. По мнению С. Князькова, содержание следственной ситуации можно разделить на две подсистемы. Первая подсистема определяет следующие элементы содержания следственной ситуации
Информация о характеристиках различных объектов, имеющих отношение к расследуемому инциденту.
Информация о сторонах, участвующих в расследовании.
- Информация об источниках информации, отличных от перечисленных выше.
Во второй подсистеме тестовая ситуация описывается в терминах истинности (характеризации) и оптимизации.
Информация, полученная в ходе интервью.
Информация, полученная путем измерения.
Анонимные данные или слухи.
Информация, полученная в результате проведения исследователем интервью.
До сих пор ситуации интервью классифицировались по различным категориям, в основном на основе характеристик одного элемента ситуации. В зависимости от степени определенности различают типичные и специфические ситуации интервью. Типичная ситуация интервью - это ситуация, в которой могут быть выбраны типичные методы интервью, и может быть на любом этапе расследования. Типичная следственная ситуация - это наиболее вероятная и наиболее показательная следственная ситуация в данной ситуации, которая основана на общих криминологических характеристиках, таких как конкретный вид (группа) преступлений, и характеристиках следственной ситуации.
Типичные следственные ситуации можно разделить на две категории: публичные и частные. Типичная государственная следственная ситуация содержит полную и достоверную информацию о сути дела и участвующих в нем лицах и характерна для следственного процесса. Типичная ситуация специального расследования характеризуется и другими частными аспектами расследования, такими как проведение расследования и возражения, заявленные в суде. Особые следственные ситуации отражают уникальность и специфику конкретного момента расследования.
Личность преступников, их мотивы, способ совершения преступления и размер ущерба обсуждаются с глазу на глаз.
Первоначальный этап расследования зависит от характера обстоятельств расследования в начале уголовного дела.
Контекст расследования - это вся физическая информация, доступная следователю на данном этапе расследования, включая не только доказательства, но и информацию вне рамок производства. Контекст расследования включает (1) доказательства, собранные по делу; (2) другую информацию, имеющую отношение к расследованию; и (3) источник информации. Эта фактическая информация дает полное и объективное описание событий, происходивших на момент расследования, и позволяет следователю сделать соответствующую оценку и принять решение о следующих дальнейших действиях
Расследовательские ситуации могут быть классифицированы по разным причинам. Мы считаем, что особенно выгодно классифицировать следующие ситуации: типичные и особые ситуации, ситуации, возникающие в ходе расследования и при проведении отдельных следственных действий, а также состязательные и несостязательные ситуации.
Нормальные обстоятельства - это обстоятельства, характерные для конкретного вида или категории преступления, и определяются количеством и объемом информации на этапе расследования.
В зависимости от обстоятельств, на этапе понимания проводится ряд мероприятий, включая немедленные следственные действия, такие как посещение места преступления. Цель заключается не только в установлении криминалистического описания преступления, но и в регистрации и изъятии доказательств преступления, а также в определении количества свидетелей, которых необходимо опросить.
В ходе поиска реестра до возбуждения уголовного дела необходимо собрать следующие документы
- Заявление или отчет, свидетельствующий о совершении или подготовке компьютерного преступления.
- Заявление, сделанное законным лицом, подтверждающее наличие признаков преступления.
- Заявление от заявителя или любого другого лица, которому известно о компьютерном преступлении.
- Операционные политики для компьютеров, компьютерных систем или компьютерных сетей, руководства по эксплуатации компьютерного оборудования, журналы регистрации ошибок, доказательства несанкционированного доступа в организацию и другие документы, связанные с совершением, результатом или предметом компьютерного преступления.
- Документы, подтверждающие распределение вредоносных программ через поставщиков, такие как накладные, кассовые чеки, инвентаризационные записи, отчеты о грузах и наличности.
- Документы, касающиеся соответствующих фактов, от органов, участвующих в следственных действиях. Тестовые записи СМИ, содержащие вредоносные программы, оперативное наблюдение, перехват и запись электронной почты, оперативные проверки и другие оперативно-розыскные мероприятия, связанные с этими фактами, телефонные переговоры и другие виды связи (беспроводные, пейджеры и модемы); сообщения о данных, перехваченных по другим каналам связи; показания свидетелей о противоправной деятельности.
- Руководитель исполнительного органа УВР принимает решение о рассекречивании полученной информации.
- По поручению руководителя следственного органа результаты расследования направляются в следственный орган, следователю или прокурору.
Конструкция первоначального этапа расследования зависит от типичных обстоятельств расследования в начале уголовного дела.
В. По мнению В. В. Крылова, «типичные обстоятельства расследования на первоначальном этапе расследования несанкционированного использования компьютерных данных следующие.
1. когда владелец компьютерной системы обнаруживает, что целостность и конфиденциальность данных в системе нарушены, он находит преступника и уведомляет правоохранительные органы.
2. владелец информационной системы добровольно обнаружил нарушение целостности/конфиденциальности данных в системе и не нашел виновного и не сообщил об этом в правоохранительные органы.
3. информация о нарушении целостности/конфиденциальности данных в информационной системе, которая доведена до сведения нарушителя или непосредственно до сведения следственного органа (например, в ходе профессионального расследования другого дела).
На ранних стадиях расследования киберпреступлений часто возникают следующие ситуации
В случаях, когда есть подозреваемые, важно собрать доказательства на самых ранних этапах расследования и подтвердить процедурно с владельцем информационной системы.
a) Целостность/конфиденциальность данных в системе была нарушена.
b) Размер ущерба, причиненного нарушением целостности/конфиденциальности данных.
c) Причинно-следственная связь между действиями, составляющими нарушение, и его последствиями, подробно описывающая, как была нарушена целостность/конфиденциальность данных в системе и характер действий, совершенных нарушителем.
d) поведение нарушителя в связи с нарушением и его последствиями.
В таких случаях принимаются следующие меры
- Арест подозреваемого
- Допрос подозреваемого
- Обыск рабочего места (места работы) подозреваемого, места жительства или любого другого места, где могут быть найдены предметы, имеющие отношение к расследованию
- Обыск места, где произошел инцидент
- Поиск изъятых носителей информации.
- Свидетели допроса.
- Назначение судебно-медицинского эксперта.
- Судебно-медицинская экспертиза.
Если преступник задержан на месте преступления или вскоре после его совершения, обычно проводятся следующие предварительные следственные действия
a) Физический осмотр задержанного.
б) Допрос арестованного.
(c) Обыск по месту жительства арестованного.
Типичные следственные действия на этом этапе включают осмотр и документирование компьютеров, компьютерных сетей и устройств хранения данных, а также опрос свидетелей и лиц, ответственных за эксплуатацию информационных систем (включая соответствующих лиц, представляющих владельцев систем).
Важной частью операции является документирование состояния компьютерной системы на момент вторжения злоумышленника или его программного обеспечения и изъятие (желательно с участием экспертов) документов, отражающих результаты вторжения, в том числе компьютерного оборудования.
Одновременно должны быть приняты меры по установлению места работы подозреваемого, то есть места, где подозреваемый проник в информационную систему и где следы его действий (подготовки и исполнения) были зафиксированы в виде записей на компьютерах и традиционных носителях. Место работы подозреваемого включает его рабочее место и дом, а также места, где установлено аналогичное оборудование (например, студенческие компьютерные центры).
Если виновный не подозревается, первой задачей расследования является сбор доказательств для подтверждения дела с помощью владельца компьютерной системы.
a) Целостность/конфиденциальность данных в системе была нарушена.
b) Размер ущерба, причиненного нарушением целостности/конфиденциальности данных.
c) причинно-следственная связь между действиями, составляющими нарушение, и их последствиями, подробно описывая способ, которым была нарушена целостность/конфиденциальность данных в системе, и характер действий, совершенных нарушившей стороной.
Эта ситуация характеризуется следующим.
- Интервью с заинтересованным лицом
- Признание собственника или правообладателя потерпевшим
- Исследование местности
- Разрешение агентства на проведение следственных мероприятий для установления виновных и фактов, связанных с инцидентом
- Заслушивание свидетелей.
- Проанализируйте ситуацию и выскажите версию каждого происшествия.
- Закажите экспертную оценку.
- Установите личности преступников и возьмите их под стражу.
Кроме того, дайте стандартную, конкретную версию каждой ситуации, подлежащей доказыванию, исходя из тех обстоятельств, которые еще не доказаны. Затем обстоятельства, подлежащие доказыванию, сопоставляются с уже доказанными, определяются цели расследования и средства их достижения. Другими словами, целью следственного процесса и других мероприятий является установление неизвестных обстоятельств преступления. Затем разрабатывается план расследования для изучения дела в целом, а также отдельных инцидентов и обстоятельств.
Указанные выше обычные следственные обстоятельства и действия следователя считаются необходимыми для установления обстоятельств, подлежащих доказыванию, т.е. для установления причинной связи между несанкционированным доступом и наступившими последствиями, количественной оценки ущерба, обнаружения и задержания нарушителя, определения механизма преступления и установления личности нарушителя.