Осмотр места происшествия

До выезда на место происшествия также необходимо:

- пригласить специалистов;

- пригласить понятых (нужно пригласить людей, сведущих в компьютерной технике);

- подготовить соответствующую компьютерную технику, которая будет использоваться для считывания и хранения изъятой информации;

- провести инструктаж членов СОГ;

- проконсультироваться со специалистами (когда до ОМП известно, какая компьютерная техника будет осматриваться).

Тактика осмотра должна избираться исходя из степени защищенности данных, функционального состояния компьютера и периферийных устройств на момент проведения следственного действия.

По прибытии на место происшествия необходимо:

- не разрешать кому бы то ни было из лиц, работающих в это время или находящихся здесь по другим причинам, прикасаться к компьютерному оборудованию;

- не разрешать никому выключать электроснабжение объекта;

- не производить самому, а присутствующим тем более, никаких манипуляций с компьютерной техникой, если результат этих манипуляций заранее не известен.

При несоблюдении вышеизложенного  возможны попытки уничтожения ценной информации лицами, заинтересованными  в сокрытии преступления, путем специальных средств защиты от несанкционированного доступа.

Поэтому крайне важно участие нужных специалистов в самом начале осмотра места происшествия. Профиль нужных специалистов (программиста, электронщика, связиста, техника-криминалиста и др.) определяется в зависимости от целей и задач осмотра с учетом первоначальных данных о характере преступления. Чаще всего может быть понадобиться помощь нескольких специалистов. Специалисты помогут воссоздать картину действий преступника и тем самым получить важные доказательства.

Объекты, подлежащие осмотру, можно условно подразделить на следующие  основные группы: служебное помещение; средства вычислительной техники; носители информации; документы.

Осмотр  служебного помещения необходим для общего обзора, определения границ осмотра места происшествия, количества и схемы расположения рабочих мест, уточнения порядка размещения оборудования и мест хранения машинных носителей информации. Это позволить в дальнейшем изучить возможность несанкционированного проникновения посторонних лиц в помещение, где находится ЭВМ, а также установить место создания, использования или распространения вредоносной программы для ЭВМ и место нарушения правил эксплуатации ЭВМ, системы ЭВМ или их сетей. В процессе осмотра необходимо отразить в протоколе месторасположения данного помещения в здании учреждения, наличие охранной сигнализации, состояние оконных и дверных проемов, запорных устройств, экранирующих средств защиты; микроклиматические условия эксплуатации ЭВМ на момент осмотра (температура, влажность воздуха). Необходимо произвести фото- и видеосъемку помещения с применением всех видов съемки. Целесообразно составить схему помещения с обозначением мест расположения оборудования⁴⁹.

Непосредственными объектами осмотра средств вычислительной техники могут быть: отдельные компьютеры, не являющиеся составной частью локальных или глобальных сетей; компьютеры, входящие в сеть; центральные компьютеры сетей (файл-сервер); сетевые линии связи; соединительные кабели; принтеры; модемы; сканеры и т.д.

При их осмотре в протоколе следует отразить:

- положение переключателей на блоках и устройствах вычислительной техники;

- состояние индикаторных ламп;

- содержание информации, высвечиваемой на мониторе, и световых сигналов на различных индикаторах и табло;

- сведения о фото- и видео съемке высвечиваемой на мониторе информации;

- состояние кабельных соединений (их целостность и отсутствие следов подключения нештатной аппаратуры);

- наличие и содержание всех пометок, специальных знаков, пломб и наклеек на корпусах и устройствах компьютерного оборудования;

- механические повреждения;

- следы нарушения аппаратной системы защиты информации и другие признаки воздействия на вычислительную технику.

Кроме этого необходимо отметить особенности  осмотра работающего и неработающего компьютера.

При осмотре работающего  компьютера с участием специалиста  следует:

- установить, какая программа выполняется, для чего осмотреть изображение на экране дисплея и детально описать его после фото- и видео съемки;

- по мере необходимости остановить исполнение программы и установить, какая информация получена после окончания ее работы;

- определить и восстановить наименование вызывавшейся последний раз программы;

- установить наличие в компьютере накопителей информации (винчестера, дисковода, стриммера, оптического диска), их тип (вид), количество;

- скопировать информацию (программы, файлы данных), имеющуюся в компьютере.

Если компьютер подключен  к локальной сети, то необходимо:

- установить количество подключенных к центральному компьютеру рабочих станций или компьютеров, вид связи сети, количество файл-серверов в сети;

- по возможности организовать параллельный осмотр включенных в локальную сеть рабочих станций и компьютеров. Если это невозможно, то надо остановить их и далее произвести осмотр в режиме неработающего компьютера.

При осмотре неработающего  компьютера с участием специалиста  необходимо:

- определить местонахождение компьютера и его периферийных устройств с обязательным указанием в протоколе наименования, номера, модели, формы, цвета каждого из них;

- установить порядок соединения между собой вышеуказанных устройств, количество соединительных разъемов, их спецификации, виды проводов и кабелей, их цвет и количество, выяснить, подключен ли данный компьютер в сеть, и если да, то в какую именно и каковы способ и средства его подключения;

- проверить красящую ленту матричного принтера, на которой могут быть обнаружены следы текста.

В процессе осмотра необходимо соблюдать элементарные правила обращения с вычислительной техникой, а именно: все включения и выключения компьютерного оборудования должны осуществляться только специалистами или под их руководством; не производить разъединения или соединения кабельных линий, прежде чем не будут выяснены их назначение, чтобы не допустить ущерба компьютерной системе; вскрытие и демонтаж компьютерного оборудования производить только с участием специалиста; не допускать попадания мелких частиц и порошков на рабочие части устройств ввода-вывода компьютеров; применение магнитных искателей, ультрафиолетовых осветителей, инфракрасных преобразователей и других подобных приборов для осмотра вычислительной техники должно быть согласовано со специалистами, чтобы избежать разрушения носителей информации и микросхем памяти ЭВМ⁵⁰.

Осмотр носителей  машинной информации производится с целью установления содержания компьютерной информации и обнаружения внешних следов, в том числе следов пальцев рук.

Осмотру подлежат: жесткие магнитные  диски (винчестеры), оптические диски, дискеты, магнитные ленты, оперативные  запоминающие устройства (ОЗУ), постоянно запоминающие устройства (ПЗУ), виртуальные диски, бумажные носители информации (листинги, журналы и иные документы, составляемые с помощью ЭВМ).

При осмотре необходимо указать  в протоколе:

- место обнаружения каждого носителя информации, температуру воздуха, при которой он хранился;

- характер его упаковки, надписи на упаковке, пометки, цвет материала, упаковки и наклейки, наличие штрихового кода и прочие особенности;

- тип и размер носителя информации;

- изготовитель, плотность записи и номер, состояние средств записи от стирания;

- особые приметы на машинных носителях (царапины, повреждения, гравировки и пр.);

- тип компьютера, для которого предназначен обнаруженный носитель.

Обращаться с магнитными носителями информации следует осторожно –  не прикасаться руками к рабочей поверхности дисков, не подвергать их электромагнитному воздействию, не сгибать диски, не хранить их без специальной упаковки, не допускать резких перепадов температуры при транспортировке и хранении.

Осмотр документов. Это может быть: журналы учета работы на компьютере, листинги, техническая, технологическая, кредитно-финансовая, бухгалтерская и прочая документация (инструкции, положения, правила, уставы, технорабочие проекты на автоматизированную информационную систему (АИС), договоры, контракты, соглашения и др.).

Особое внимание нужно обратить на: подчистки, исправления; дополнительные записи; отсутствие нумерации страниц; дополнительно вклеенные страницы, листки, бланки; письменные распоряжения на исполнение определенных работ по изменению программ для ЭВМ, вводу дополнительной информации, не предусмотренной технологическим процессом; соответствие ведущихся в системе форм регистрации информации правилам, установленным технической и технологической документацией.

При изъятии документа в протоколе необходимо указать: наименование документа; количество экземпляров; число страниц; место обнаружения.

В случае изъятия отдельных устройств  вычислительной техники рекомендуется  соблюдать следующие правила  упаковки и транспортировки:

- упаковать технику в специальную тару;

- дискеты, лазерные диски, магнитные ленты стриммеров и др. упаковать в бумажные конверты, пластмассовые футляры, полиэтиленовые пакетики, при их отсутствии – в плотную бумагу;

- магнитные носители информации поверх конвертов обернуть в бытовую алюминиевую фольгу для ослабления электромагнитного воздействия;

- технические устройства при отсутствии заводской тары упаковать в деревянные ящики с использованием внутренних перегородок;

- упаковки перевязать (края заклеить), опечатать оттисками печати, надписать (что, где и когда изъято) и снабдить подписями понятых и следователя;

- при транспортировке не допускать механического воздействия на аппаратуру;

- не допускать воздействия электромагнитных излучателей, а также влаги, влияния слишком высоких и низких температур.

Типичными ошибками при  ОМП по делам о преступлениях  в сфере компьютерной информации являются:

- несоблюдение правил обращения с компьютерами и носителями компьютерной информации;

- отсутствие чистых дискет для неотложного копирования необходимой информации;

- употребление в тексте протокола осмотра непонятных технических и профессиональных терминов без пояснения;

- необоснованное изъятие отдельных технических средств и компьютерного оборудования;

- использование вместо копий подлинных носителей информации для пробного включения компьютеров;

- нарушение правил упаковки и транспортировки компьютерной техники и машинных носителей информации.

 

Глава 14. НЕКОТОРЫЕ ХАРАКТЕРНЫЕ  ОШИБКИ, ДОПУСКАЕМЫЕ СОТРУДНИКАМИ ПРАВООХРАНИТЕЛЬНЫХ ОРГАНОВ ПРИ ОСМОТРЕ МЕСТА ПРОИСШЕСТВИЯ

 

В специальной литературе, учебных  и методических пособиях даются указания, как правильно осуществлять осмотр места происшествия, но незначительно  освещаются ошибки, допускаемые при  ОМП, и их последствия. В связи с этим автор, имея более чем двадцатилетний стаж экспертной работы, считает необходимым перечислить некоторые из этих упущений.

К числу наиболее часто встречающихся  в практике работников правоохранительных органов РД недостаткам относятся:

- несвоевременный выезд на место происшествия, что чревато невосполнимыми потерями;

- несвоевременная охрана места происшествия или отсутствие ее вообще, недостаточная охрана и защита самих следов в неблагоприятную погоду, приводит к уничтожению следов преступления и преступника, изменению положения и видоизменению объектов;

- выезд на место происшествия оперативной группы не в полном составе, без соответствующих специалистов и необходимых научно-технических средств (в результате некачественно произведенный осмотр);

- привлечение в качестве понятых близких родственников, знакомых преступника или лиц, совершивших преступление (в итоге понятые всячески препятствуют расследованию преступления);

- не проведенный инструктаж с членами следственно-оперативной группы (СОГ) до выезда на место происшествия или на месте происшествия перед началом рабочего этапа осмотра, приводит к уничтожению или видоизменению следов преступления и преступника;

- не всегда до начала осмотра следователи пытаются получить максимально полную информацию о происшедшем, а также выяснить какие изменения произошли на месте происшествия до их прибытия;

- пренебрежительное отношение к негативным обстоятельствам, обнаруженным при ОМП;

- низкая организаторская работа с членами следственно-оперативной группы;

- нарушение правил обращения с материальными следами на месте происшествия приводит к порче и утере существенных доказательств; нарушение правил упаковки следов и объектов приводит к волоките расследования, особенно, когда обвинение основано только на следах, обнаруженных и изъятых при осмотре места происшествия;

- отсутствие элемента разбора результатов ОМП на заключительном этапе;

- нарушения процессуальных норм оформления следов, изъятых при осмотре места происшествия (отсутствие на упаковке со следами пояснительных надписей, оттисков печати, подписей понятых и следователя). Отсутствие хотя бы одного из указанных реквизитов приводит к утере доказательственного значения обнаруженных следов;

- не всегда следователи уделяют должное внимание изъятию всех возможных сравнительных образцов материалов;

- осмотр места происшествия при недостаточном освещении, что не обеспечивает возможности эффективного поиска следов. Если осмотр места происшествия проводился при искусственном освещении, то с наступлением дня следует обследовать те же объекты еще раз;

- ограничение осмотра места происшествия наиболее ярко выраженными участками местности, а при отдельных преступлениях (например: убийство, взрыв и др.) – эпицентром;

- почти никогда следователи не требуют у специалистов на месте происшествия результатов предварительных исследований. Эти результаты с первых минут могут существенно помочь расследованию преступления;

- небрежное составление протокола осмотра места происшествия ведет к тому, что преступления остаются не раскрытыми;

- несвоевременное вынесение постановления о назначении экспертиз и доставка следов и объектов со следами на исследование. В результате чего следы портятся и теряют ценную информацию по розыску и изобличению преступника;