Одним из основных компонентов частной теории СКЭ является порядок проведения экспертизы компьютерного оборудования и систем экспертами. В связи с этим данный раздел посвящен общим методам криминалистической СКЭ и их рассмотрению в структуре современной компьютерной криминалистики. Создание и дальнейшее развитие вышеуказанной системы экспертных методик с помощью новых методик основано на возможности решения проблем в новой области судопроизводства, области информационных технологий, расширения круга фактической информации, представляемой следствию и судам, изучения новых тем компьютерных технологий и систем, сокращения времени работы эксперта,... материалов и труда; сокращение количества нерешенных вопросов СКЭ; повышение научного уровня и объема задания эксперта. Как упоминалось ранее, СКЭ в общем случае - это комплексное исследование основных вспомогательных компонентов (аппаратных, программных, IT) любой компьютерной системы с целью решения диагностической или идентификационной задачи. Поэтому целесообразно рассмотреть экспертную методологию. В данном разделе будут рассмотрены только конкретные методы и приемы экспертного консультирования.
Известно также, что основой деятельности является методология, используемая для ее осуществления. Кроме того, знание использованной методики позволяет ответить на вопросы о качестве действий и выводов эксперта.
Методология практической деятельности эксперта СКЭ, как и других видов судебных экспертов, формируется на основе характера и особенностей объекта деятельности, соответствующих научных методов, опыта решения конкретных практических задач, в том числе правил и методов алгоритмов, разработанных самим экспертом.
Говоря непосредственно о методах производства СКЭ, важно отметить, что в СКЭ используются как общие методы (основные методы формальной логики, общенаучные методы), так и специфические методы (общие экспертные методы, специфические экспертные методы). Будет дан обзор этих методов, а затем описание характеристик каждого метода.
Анализ - это процесс разложения целого объекта на его части (аспекты, свойства, характеристики, отношения) и их детальное изучение. Существует два вида анализа: физический и ментальный. Первый разделяет физическое, а второй - ментальное. Характерной особенностью СКЭ является то, что он часто разбивает объект на его ментальные части. Например, механизм несанкционированного доступа к компьютерным данным делится на несколько этапов: определение доступности данных, определение наличия и условий программного обеспечения, необходимого для доступа и получения доступа к данным, определение наличия авторизации, необходимой для доступа к данным, определение факта несанкционированного доступа и т.д. Разложение.
Синтез - это процесс объединения ранее разделенных частей объекта (страниц, атрибутов, характеристик и отношений) для создания связного целого. Например, ответ на вопрос о характеристиках вычислительного устройства, представленного для тестирования в СКЭ, требует анализа каждой части устройства, а затем общих выводов о том, может ли маршрутизатор получить доступ к глобальной сети.
Дедукция - это информационный вывод, основанный на принципе «от свойств объектов более высокого уровня к свойствам объектов более низкого уровня». Например, когда эксперт изучает такую проблему, как незаконное использование компьютерных данных, его просят определить, может ли конкретный компьютер использоваться для доступа к глобальной сети Интернет. Эксперту известно, что для доступа к глобальной сети необходимы определенные предметы (программное обеспечение, сетевые адаптеры и т.д.); СКЭ проверил наличие этих предметов на представленном компьютере. Логика эксперта заключалась в том, что для доступа во Всемирную паутину необходимы определенные предметы (предположение 1), что исследуемый компьютер содержит определенные предметы (предположение 2), и поэтому с данного компьютера можно получить доступ во Всемирную паутину (вывод).
Сходство - параллели между предметом выводятся на основании того, что он похож на другой предмет, изученный ранее. Этот метод используется для поиска одного предмета, который не был исследован ранее. В ходе СКЭ в программном продукте Team Viewer были обнаружены признаки вредоносного поведения. Чтобы объяснить незаконность продукта, эксперты применили алгоритм утверждения, который они ранее использовали для обнаружения другого вредоносного продукта.
Мониторинг - это целенаправленное и систематическое наблюдение за окружающими нас объектами и явлениями; процесс подготовки включает в себя как косвенное (через программное обеспечение), так и неинтенциональное (последствия действий объектов) наблюдение. С мониторингом тесно связано повествование, которое можно считать заключительным этапом мониторинга. Нарратив - процесс записи и передачи информации, полученной в ходе мониторинга, с помощью набора символов (естественного или неестественного языка). Все высокопрофессиональные исследования включают повествование. Повествование позволяет исследователю оценить качество СКЭ в будущем.
Эксперимент - неестественный набор данных, используемый для оценки характерных показателей изучаемого явления или процесса. Эксперименты часто проводятся в контексте компьютерных преступлений. В киберпреступности эксперименты могут использоваться для определения вероятности, последовательности, механизма, причины или других обстоятельств события, связанного с использованием компьютерных данных. Например, предположим, эксперт получает CD-ROM, содержащий программные продукты. Когда эти программы запускаются на станции на досуге, эксперт может сделать вывод, что эти программы могут быть использованы для получения несанкционированного доступа или для взлома других компьютеров.
Сопоставление - это процесс определения сходств и различий между объектами и явлениями реального мира. Исследователь сравнивает файл с эталонным объектом и делает вывод, что файл является частью поддельного производственного механизма.
Измерение - процесс определения численного значения величины с помощью эталонной единицы; в случае СКЭ - измерение различных параметров, таких как скорость вращения жесткого диска (об/мин) или скорость передачи данных (кбит/с) по каналу связи.
Кратко описав общие методы, используемые при проведении экспертизы, мы можем теперь перейти к судебно-экспертным методам, традиционно используемым в криминалистике и СКЭ.
Методы криминалистической экспертизы изображений используются для исследования таких криминалистических объектов, как отпечатки пальцев человека, инструменты, приборы, документы, фотографии, видео и т.д. В СКЭ исследование изображений является неотъемлемой частью поиска, поскольку основным методом представления исследуемых компьютерных данных является их отображение на экране компьютерной системы.
Методы морфологического контроля используются для изучения внешней структуры и топологии компонентов объекта, таких как блоки компьютерной системы, печатные платы или отдельные микросхемы, как они выглядят в процессе их изготовления, использования и взаимодействия с объектом.
Для понимания взаимосвязей между данными можно использовать методы структурного анализа. Они представляют собой взаимосвязанное расположение нескольких элементов данных как единого целого, например, в виде файла базы данных. Эти методы не характерны для понимания систем файлов и каталогов.
Способы понимания отдельных столкновений продуктов, поставляемых производителем, могут быть использованы для определения столкновений продуктов в уголовных делах. Говорят, что когда свойства дизайна программы определены, если он приемлем, разрабатывается алгоритм для определения выходных, промежуточных и конечных результатов программы.
Особое внимание следует уделить научным гражданским методам, которые могут быть применены для производства несложной промышленной продукции. Электроника, электротехника, радиотехника, телекоммуникации и связь, информационные системы и процессы, информационные технологии и т.д. (Обратите внимание, что навыки в следующих областях будут применяться в учебной программе СКЭ (эксперты в этих областях первоначально должны будут участвовать в оценке СКЭ)). Для определения СКЭ потребуется детально разработать отдельную методику.
На современном этапе развития СКЭ рекомендуется рассматривать систему методов в соответствии с основными категориями инспектируемых объектов, т.е. методы аппаратной инспекции, методы программной инспекции и методы инспекции данных.
Специфика научного метода отражается в его технических характеристиках. Давайте рассмотрим несколько примеров, чтобы понять эти методы. Другими словами, аппаратные методы исследования включают проектирование и изучение цифровых устройств и микропроцессоров (например, логико-алгебраические методы). Методы исследования программных средств включают изучение программных алгоритмов. Методы исследования компьютеров и баз данных сосредоточены на методах доступа и хранения данных и методах анализа вычислительных алгоритмов.
Мы рассматриваем вышеперечисленные методы как некоторые из инструментов, которые эксперты могут использовать в своих исследованиях. То же исследование компьютерных инструментов основано на некоторых алгоритмах, рецептах или программах, роль которых выполняет методология эксперта.
При проведении отдельных компьютерно-технических экспертиз для уточнения согласованности терминологии и экспертного мышления используется энциклопедическая литература (например, пособие «Руководство по компьютерно-криминалистической терминологии» под редакцией О. Тушкановой, изданное ЭКЦ МВД России и др.)
Однако до сих пор не создано единой методики компьютерной криминалистики. Положения вышеупомянутых методических материалов были разработаны для рассматриваемой СКЭ.
В настоящее время наиболее востребованными компьютерными данными являются носители информации, такие как ленточные накопители, CD, DVD, дискеты, флеш-накопители, карты памяти и т.д. Это процесс поиска данных
Этот поиск обычно выполняется в следующем порядке
- Изучите упаковку предмета, сфотографируйте его и сделайте снимки.
- Осмотрите, сфотографируйте и запечатлейте внешний вид объекта.
- Если используется системный блок или ноутбук, отсоедините носитель от компьютера и проверьте настройки даты и времени на материнской плате с помощью базовой системы ввода/вывода (BIOS). Затем сравните эти настройки с текущим временем (атрибутами текущего времени являются: часовой пояс, переход на летнее или зимнее время).
- Предлагаемые переключатели шасси машины, перегородки и т.д. устанавливаются в режим только для чтения (если это возможно), интерфейс шасси машины выбирается и устанавливается в режим только для чтения, если это необходимо, и данные, подлежащие проверке, подготавливаются для копирования сектор за сектором на дополнительное шасси машины.
- Дополнительный носитель представляет собой комбинацию аппаратного и программного обеспечения, а также структуру данных, которую он содержит (количество разделов, их имена, размеры, порядковые номера разделов (случайные), нераспределенное пространство и его размер, имена системных файлов для каждого раздела, размер выделенного пространства для каждого раздела. (в байтах или мегабайтах), значение хэш-функции носителя (случайное)).
- Данные копируются сектор за сектором с одного машинного носителя на другой. Копии секторов используются для дальнейшего анализа.
- Удаленные данные будут восстановлены.
- При необходимости скопированные и восстановленные данные будут проверены с помощью антивирусного программного обеспечения.
Выполняет поиск данных, созданных приложением.
- Объем поиска определяется аппаратными и программными системами по той информации, которая может быть найдена и отображена без дополнительного редактирования. В зависимости от задачи, он также может осуществлять поиск зашифрованных областей носителя для определения возможностей дешифровки, поиск файлов хранилища или архива для определения доступа к содержащимся в них данным, поиск файлов, защищенных паролем, поиск файлов, содержимое которых ограничено операционной системой, или поиск программного обеспечения на носителе. Он также может идентифицировать программное обеспечение на носителе и определить формат обработки программного обеспечения. Это можно сделать путем объединения аппаратного и программного обеспечения (в этом случае можно использовать технологию виртуальных машин) или путем использования копии основной машины для пробного запуска. Если возможно, найденные данные должны быть преобразованы в формат, пригодный для поиска, и добавлены в область поиска. В зависимости от задачи или функции инструмента, уменьшите область поиска, чтобы включить файлы восстановления, свободное пространство, загрузочные записи и другие файлы в дополнение к тем, которые находятся на носителе машины.
- Сузить область отображения, чтобы можно было выполнять поиск по различным категориям, включая ключевые слова, расширения, атрибуты файлов и метаданные. В зависимости от задачи к созданию критериев поиска могут быть привлечены эксперты из других областей. Если критерии поиска не могут быть определены, область просмотра и область поиска считаются одинаковыми.
- Извлечение данных может включать использование программного обеспечения или программных пакетов, установленных в аппаратном обеспечении, или программного обеспечения, установленного в компьютерном оборудовании. В этом процессе могут участвовать как эксперты из других дисциплин (соэксперты), так и исследователи, выдвигающие экспертов.
- Результаты поиска показаны на рисунке. Полученные данные можно нанести на карту, распечатать или записать на CD-ROM или DVD-ROM.
Сбор информации о поведении пользователей
- Указывает, какие операционные системы установлены на компьютере.
- Определить, существует ли на данном носителе программное обеспечение, способное выполнить операцию, запрашиваемую пользователем. Оценка проводится профессионально с использованием личных знаний и опыта, на основе руководств, учебников, литературы и экспериментов, проведенных экспертами.
- Если такое ПО найдено, определяется последовательность функций и специфические характеристики ПО во время выполнения тестируемого задания (процесс трассировки). След - это результат создания, модификации или удаления данных на платформе машины, который отражается в атрибутах и метаданных системных файлов, временных файлов, специальных файлов и файлов данных В экспериментах по экспертной оценке, которые сравнивают состояние двух или более файловых систем, различные файловые системы В экспериментах по экспертной оценке, сравнивающих состояние двух или более файловых систем, можно определить порядок и точность данных трассировки, например, путем отслеживания программных ссылок на элементы. Аналогичную информацию можно получить из документации к программному обеспечению, высказываний людей, участвовавших в деле, учебников и учебных пособий.
- Описание и изучение расположения и содержания данных слежения на компьютерных носителях. При необходимости сравните найденные данные друг с другом, чтобы проверить временную последовательность и согласованность.
- Запишите результаты поиска.
На практике лишь немногие из оставшихся задач выполняются экспертами с использованием традиционных методов и приемов, применяемых в современных судебно-медицинских и криминалистических экспертизах.
Выводы эксперта должны состоять из отдельных структурных разделов.
Преамбула: название экспертного учреждения, ФИО эксперта, область специализации, навыки эксперта, должность эксперта, причины обращения к эксперту, краткое описание дела, информация о полученном материале, вопросы к эксперту.
Раздел исследования: тип объекта и данных, метод сравнения, результаты сравнения объектов, сходства и различия, оценка результатов сравнения.
Завершение: результаты о представленных проблемах и причинах, по которым эти проблемы не удалось решить. Результаты могут быть реальными (классифицированными) - положительными или отрицательными, возможными (гипотетическими) - положительными или отрицательными. Если получены возможные результаты или неразрешимые результаты, эксперт должен подробно объяснить причины.
Давайте рассмотрим описанные выше шаги по внедрению RSE. В исследовательском разделе эксперт рассматривает.
1. характеристики исследуемого электронного устройства (подробное описание корпуса, открытие корпуса после самого ПК), его изображение.
2. подробное описание системы/агрегата. Сначала были описаны панели корпуса (передняя: разъемы для CD-приводов, USB и т.д.; задняя: кнопки питания, гнезда для устройств и т.д.; верхняя: наклейки с текстом и т.д.). После снятия боковых панелей устанавливаются основные компоненты системного блока (блок питания, материнская плата и т.д.). Это позволит получить более подробное описание электронного оборудования, подлежащего проверке.
2. средства, используемые в СКЭ. В этом разделе специалист объясняет использованные методы.
3. процедуры хранения данных. Это также является особенностью СКЭ.
4. процесс и результаты опроса.
СКЭ характеризуется применением одних и тех же программных продуктов (например, общая организация электронных носителей с использованием стандартных функций операционной системы) и методов (например, методы обзора дизайна носителей, методы обзора данных) для понимания пунктов один и два.
Результаты отражают выводы, сделанные на основе введения (изложение темы) и раздела исследования.
Эксперты завершили документирование результатов самооценки, описанной выше. Каждое резюме соответствует заданным вопросам. Заключения должны быть подписаны экспертом. Следующие действия следователя зависят от характера выводов, скажем, от того, являются ли следующие действия необходимыми или четко указывают на обстоятельства дела.
Результаты экспертизы могут быть как дискурсивными, так и диагностическими, в зависимости от их оглавления. Дискурсивные результаты включают те, которые указывают на идентичность предметов, представленных в СКЭ. Результаты диагностики отражают решение двух задач: 1) отнесение объекта к категории, группе или виду; 2) организация объекта, включая механизмы событий и явлений; 3) определение идентичности объекта.
Эксперты могут использовать условные или абсолютные результаты. При вынесении условных результатов эксперт должен учитывать взаимозависимость между исследователем и почвой. Например, в ответ на вопрос о дате создания файла технический специалист может выдать результат типа «Если системная настройка даты не была изменена, то дата создания этого конкретного файла - 10 сентября 2018 года» (предполагается, что эта дата связана с тем, что системная настройка даты была изменена). Если техник приходит к условному результату, следователь должен предпринять следующий шаг для определения данных (в этом случае рекомендуется опросить пользователя компьютера, чтобы выяснить, не изменял ли он или кто-либо другой настройки системной даты).
В зависимости от количества альтернатив, выводы техника могут быть неясными или неоднозначными (альтернативы). Если эксперт приходит к общему результату, он переносит все оценочное суждение. Например, эксперт может сделать вывод, что конкретный принтер подключен к компьютеру для сканирования. Многозначные рассуждения приемлемы, когда эксперт считает, что существует несколько решений. Все альтернативы не включают другие альтернативы. Скажем, эксперт может заключить, что принтер, подключенный к компьютеру для сканирования, является одним из трех: Kyocera, HP или Canon.
В целом, не существует специальных техник, методов или подходов для проведения экспертной оценки в контексте СКЭ. При проведении СКЭ специалисты-практики обязаны использовать существующие методические рекомендации и руководства для решения конкретных ситуаций, представленных авторами экспертной оценки. или в целях адаптации. Также принят ряд мер по внедрению надлежащего СКЭ. Экзаменаторы обязаны учитывать эти обстоятельства при оценке этих навыков.
3.3 Оценка судебных компьютерно-технических экспертиз следователем и судом.
Судебная экспертиза в уголовных делах имеет исключительное значение, когда следователи и суды сталкиваются со специализированными вопросами, такими как электронные данные, программное обеспечение, компьютерное оборудование и специализированные сетевые технологии. Компьютерные криминалистические исследования позволяют следователям предоставить информацию, отражающую механику преступления, а также определить параметры компьютерного оборудования, его связь с раскрытием и другие существенные обстоятельства. и другие существенные обстоятельства.
В ходе расследования уголовного дела следователь и суд должны оценить, в том числе, заключения экспертов, которые являются результатом компьютерной судебной экспертизы. Необходимо оценить относимость, допустимость и достоверность доказательств, и, в целом, все собранные доказательства должны быть достаточными для разрешения уголовного дела. В настоящем руководстве подчеркиваются основы и излагаются действия следователя и суда в ходе расследования и оценки. Расследование компьютерного оборудования проводится в рамках расследования компьютерных преступлений.
При оценке выводов специалистов следователи и суды должны учитывать законодательные положения, разрешающие им проводить определенные оценки, и публиковать критерии для назначения и подготовки следователей по компьютерным преступлениям. Таким образом, дискриминация разрешена в следующих областях.
1) Уголовно-процессуальный кодекс Российской Федерации (статьи 5, 42, 47, 49, 57, 61, 62, 69, 70, 74, 75, 80, 85, 86, 88, 119, 195-201, 204, 207).
2) Закон Российской Федерации от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации».
3) Приказ МВД РФ от 29 июня 2005 года № 511 «Об организации производства судебных экспертиз органов внутренних дел Российской Федерации в экспертно-криминалистических подразделениях органов внутренних дел Российской Федерации».
4) Приказ Министерства юстиции Российской Федерации от 20 декабря 2002 года № 347 «Об инструкции по судебно-экспертной деятельности Министерства юстиции Российской Федерации».
При оценке работы эксперта следователь и суд должны учитывать, что исследование эксперта прошло три основных этапа. А именно: этап подготовки, этап индивидуального исследования объекта экспертизы, этап сравнения объекта экспертизы, этап обобщения и оценки результатов и этап развития результатов. Таким образом, завершение диссертации также можно разделить на вводную часть, исследовательскую часть и результаты диссертации.
Статья 88 (1) ГПК РФ гласит, что «все доказательства оцениваются с точки зрения относимости, допустимости и достоверности, а совокупность всех собранных доказательств должна быть достаточной для разрешения уголовного дела». Оценка независимых доказательств, являющихся дополнительным экспертным источником, приводит к решению вопросов, связанных с определенностью дополнения эксперта, фактическими доказательствами и их значимостью для установления первичных фактов.
Анализ научной литературы может помочь выявить наиболее распространенные факторы при оценке мнений экспертов.
a) процедур назначения и проведения экспертных исследований.
b) личности эксперта
c) материала, представленного для экспертного заключения.
d) полноты и научной обоснованности заключения эксперта
e) выводов, сделанных экспертом; f) оценка обоснованности выводов эксперта
f) обоснованности подготовки самого заключения
g) любых ошибок, допущенных экспертом
(h) значимости доказательств, содержащихся в заключении эксперта, и их места в остальной совокупности доказательств, т.е. вместе с другими доказательствами.
В уголовном процессе, как и при использовании других экспертных методов, основными критериями, позволяющими использовать метод СКЭ, являются законность, обоснованность, достоверность результатов, безопасность, эффективность, экономичность и этичность.
Что касается законности, следует отметить, что в законе не перечислены методы, используемые в судебной экспертизе в целом. Однако некоторые положения могут ссылаться на определенные виды экспертиз, которые должны быть приняты во внимание. Например, использование методов исследования, связанных с сильной болью или хирургическими процедурами, которые могут негативно повлиять на здоровье человека, запрещено в контексте судебно-медицинской экспертизы живых лиц, и закон Российской Федерации запрещает использование таких методов и медицинских практик (статья 35 Закона Российской Федерации «О государственной судебно-медицинской экспертизе»).
Закон о СКТЭ позволяет соблюдать положения статьи 10 вышеупомянутого закона, которая гласит, что доказательства и документы могут быть повреждены или использованы в ходе расследования с разрешения органа или лица, назначенного для проведения судебной экспертизы, но только в объеме, необходимом для расследования и подготовки выводов.
Что касается обоснованности, следует отметить, что судебный эксперт должен обосновать каждый вывод по формуле «вопрос-исследование (как аргумент)-вывод».
надежность полученных результатов, но следует отметить, что этот стандарт фактически определяется двумя факторами. Во-первых, характеристики аппаратного и программного обеспечения, используемого в курсе СКТЭ (информацию можно получить, изучив документацию, сопровождающую эти инструменты, но также можно позаимствовать из Интернета); и, во-вторых, используемый подход формальной логики.
Что касается безопасности, следует помнить, что, учитывая специфику директив по ИКТ, речь идет не о личной безопасности специалистов или других лиц, а о применении методов, которые не повреждают и не уничтожают хранящиеся в электронном виде данные, программное или аппаратное обеспечение, являющееся объектом исследования. В данном случае стоит отметить, что обработка компьютерных данных и программного обеспечения, несомненно, приведет к изменениям (например, регистрация деятельности).
Что касается эффективности, важно отметить, что при выполнении СКТЭ эксперт должен стремиться решить задачу за оптимальное время и наиболее продуктивным способом.
Этические соображения: помните, что в процессе СКТЭ эксперты иногда могут иметь доступ к личной информации. Например, при расследовании данных после несанкционированного доступа к компьютерным данным. В таких случаях, с точки зрения этических норм, недопустимо показывать частные фотографии другим людям.
Основанием для оценки выводов экспертов по результатам судебно-экспертных исследований средств вычислительной техники является:.Федеральный закон от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации». Информация», Приказ МВД РФ от 29 июня 2005 г. № 511 «Специалистам органов внутренних дел Российской Федерации - организационные вопросы уголовного розыска» и Приказ Минюста РФ от 20 декабря 2005 г. № 511.
Для оценки выводов эксперта документы исследуются на предмет соответствия требованиям относимости, допустимости и достоверности, а также достаточности их в качестве доказательств, собранных для раскрытия уголовного дела. Системы, которые оценивают следователи и суды, типичны для судебной экспертизы. Однако формулировка этого требования имеет некоторые особенности.
При проведении компьютерной экспертизы необходимо обращать внимание на ошибки. При анализе научной литературы могут возникнуть следующие ошибки
1. Ошибки на этапе подготовки
На подготовительном этапе компьютерной экспертизы часто встречаются следующие процедурные ошибки.
В 2003 году в учебном классификаторе ОКСО ОК009 появилась общероссийская специализация «Компьютерная специализация». Как упоминалось ранее, специалист должен иметь высшую профессиональную квалификацию в области информатики и смежных областях.
«Специалисты» часто называют сертификаты на свое имя, которые показывают их квалификацию в области информационных технологий или то, что они работают в этой области. Эти сертификаты должны быть действительны на момент проведения судебной экспертизы.
Однако многие судебные эксперты не имеют необходимого опыта. Этот недостаток опыта отражается не только в анализе расследования, но и в предоставлении экспертного заключения.
Еще одна распространенная ошибка при получении судебной экспертизы - предположение, что организация или эксперт не имеют соответствующих полномочий. Данная ошибка может быть обнаружена на этапе проверки заключения эксперта только в том случае, если лицо, проверяющее заключение, имеет доступ к юридическим документам организации, заключение которой проверяется.
Например, «В экспертном заключении 2010 года указано, что эксперт не знаком с содержанием статьи 62 Конвенции УК РФ. Согласно этому положению, эксперт должен отказаться от участия в рассматриваемом деле, если имеются основания для отказа в соответствии с главой 9 Уголовно-процессуального кодекса РФ. Кроме того, с середины августа 2007 года интересы правообладателя в области авторских и смежных прав на программные продукты представляет компания «А», к которой принадлежит эксперт, а в апреле 2009 года между правообладателем и компанией «А» было подписано соглашение о сотрудничестве. По данным официального сайта правообладателя, в качестве законных представителей выступали несколько сотрудников компании «А», включая эксперта. В данном случае эксперт не мог представлять интересы производителя программного обеспечения, поскольку он формально полагался на заинтересованные стороны.
Следующей важной ошибкой было получение образцов для сравнительного анализа. В большинстве случаев, когда запрашивается компьютерная судебная экспертиза, лицензиат не имеет подходящего образца для сравнительного анализа и не знает, где его можно получить. Однако стороны могут предоставить образцы для сравнительного анализа. Иногда эксперты получают собственные образцы для сравнительного анализа, но такая практика противоречит процессуальному законодательству. Например, «В заключении не указано, каким образом эксперт получил эталонные экземпляры работ, использованных в качестве справочных материалов.
Эксперт может взять образцы для сравнительных испытаний, сделав соответствующие записи (статья 202 УПК). Закон прямо запрещает экспертам получать образцы для исследования по собственной инициативе (статья 16 Закона о деятельности государственных судебных экспертов, статья 57 Уголовно-процессуального кодекса).
Часто при даче показаний экспертом, без согласия организатора расследования, допрашиваемого или других лиц, эксперт не высказывает своего мнения, изменяет вопрос, проводит расследование или делает окончательный вывод на основании фактов, которые он считает не имеющими отношения к событиям, анализируемым в ходе расследования. Вопросы, поднятые в решении или постановлении и поставленные с разрешения эксперта, включаются в выводы без изменения формулировки.
Примером такой ошибки может служить следующая ситуация: было вынесено постановление о назначении компьютерного эксперта. Предметом расследования стали CD, DVD, аудио- и видеозаписи. Эксперт задал вопрос: было ли поддельное программное обеспечение на представленных компакт-дисках? Не сообщив экзаменатору о сути вопроса, экзаменатор самостоятельно перефразировал вопрос следующим образом: имелись ли признаки подделки на продукции, находящейся на компьютерном оборудовании?
Изучая судебную практику, я не смог найти ни одной «интерполяции», в которой эксперт перефразировал бы вопрос, поставленный перед ним, в своих выводах.
(2) Ошибки при проведении экспертизы.
Большинство ошибок было обнаружено в ходе экспертной оценки.
В настоящее время методологические основы компьютерной криминалистики находятся в процессе накопления и систематизации экспертного опыта, основанного на современных научных достижениях в области информационных и компьютерных технологий.
При проведении компьютерной судебной экспертизы в заключениях должна содержаться информация об автоматизированном рабочем месте эксперта и установленном на нем программном обеспечении, чтобы обеспечить повторяемость результатов экспертизы (если назначена повторная экспертиза), а также ее достоверность. Таким образом, отсутствие этой информации приведет к логическим перебоям в процессе экспертизы и заставит эксперта сделать неправильные выводы.
Следующей распространенной ошибкой является неполнота проведенного исследования из-за исключения из поля зрения эксперта нескольких предметов, входящих в единый процесс познания. Эта ошибка возникает, когда исследование эксперта направлено не на отдельный объект, а на взаимосвязанные системы объекта, включая аппаратное и программное обеспечение, а также информационную поддержку.
Еще одна распространенная ошибка в процессе расследования - когда эксперт не проводит тщательную внешнюю проверку полученных предметов или откладывает этот этап расследования на более поздний срок. Этого делать не следует, так как проведение внешнего осмотра помогает эксперту определить состояние поставленного товара и выявить его дефекты и повреждения. Своевременная проверка позволяет определить алгоритм всего процесса проверки, а также используемые методики.
(3) Ошибки при подготовке заключения эксперта.
К таким ошибкам относится некорректное представление результатов, что не исключает возможности двойной интерпретации теми, кто оценивает результаты экспертных исследований.
Для проведения исследований эксперты используют разнообразное оборудование и программное обеспечение. Что касается использования аппаратного или программного обеспечения, то отсутствие в исследовательском разделе заключения информации об использовании этих инструментов и используемых алгоритмов не позволяет оценить достоверность исследования.
Компьютерные судебные экспертизы часто приводят к ошибкам из-за искажений или отсутствия описательного материала.
При внешнем аудите также считается ошибкой, что эксперт должен предоставить описание этикетки.
(4) Ошибки, связанные с результатами экспертизы и вещественными доказательствами, представленными абонентам экспертизы.
Эти ошибки носили более организационный характер, но оказали существенное влияние на проведение и общую жизнеспособность экспертизы.» Были допущены ошибки в предоставлении результатов экспертных заключений, которые могут представлять собой большой объем информации, не всегда систематизированной. Большинство этих ошибок возникало при проведении исследования данных, связанных с ИТ-экспертизой. Была проблема с экспертами, которые проводили это исследование».
Ошибки, подобные описанным выше, могут возникать при завершении работы экспертов из государственных и других профессиональных органов.
Чтобы избежать ошибок, следует придерживаться процедурных требований и «экспертной методологии» департамента. На мой взгляд, необходимо разработать общую методологию, основанную на разработке программного обеспечения. На мой взгляд, такая методология должна включать в себя все без исключения списки типовых следов для конкретной среды расследования. При особом соблюдении процессуальных требований и методических рекомендаций результаты компьютерной судебной экспертизы будут отвечать требованиям полноты, всесторонности и объективности расследования, а также этичности доказательств.