Направление адресовано лицам, ведущим производство по делу: следователю, суду, адвокату, нотариусу. От внепроцессуальных исследований оно отличается не методом, а порядком назначения, требованиями к эксперту и формой документа.
Экспертиза проводится по постановлению или определению о её назначении либо по обращению лица, участвующего в деле. Эксперт предупреждается об ответственности за дачу заведомо ложного заключения, отвечает на поставленные перед ним вопросы в пределах своей компетенции и не вправе выходить за их пределы по собственной инициативе.
Предметом исследования выступают компьютерные средства, программное обеспечение, данные и следы действий, а также обстоятельства, устанавливаемые на их основе. Вопросы правовой квалификации в компетенцию эксперта не входят.
Для получения предварительного расчёта объёма работ, сроков и стоимости предлагаем заполнить анкету. Ответ направляется в течение нескольких рабочих дней.
Кто обращается
|
Органы следствия и суд
|
Адвокаты и представители сторон
|
Нотариусы
|
|
Экспертиза назначается постановлением или определением. Вопросы формулируются назначившим лицом; при их неполноте или технической некорректности эксперт вправе указать на это и предложить уточнение. |
Исследование проводится по обращению участника процесса для получения заключения специалиста либо для подготовки ходатайства о назначении экспертизы с обоснованными вопросами. |
Обеспечение доказательств, в том числе фиксация содержания информации в сети и состояния программно-технических средств до возникновения спора. |
Вопросы, выносимые на исследование
Перечень приводится как типовой; фактические вопросы определяются лицом, назначившим экспертизу.
- состав, назначение и функциональные возможности представленного программного обеспечения
- наличие и содержание данных на представленных носителях, включая удалённые и повреждённые данные, при технической возможности их восстановления
- обстоятельства совершения действий в информационной системе: время, учётные записи, последовательность операций, признаки изменения записей
- наличие признаков несанкционированного доступа, изменения или уничтожения информации и их следы
- соответствие программного обеспечения представленной документации, техническому заданию либо объявленным характеристикам
- принадлежность программного кода, наличие признаков заимствования и степень совпадения сравниваемых объектов
- трудоёмкость создания программного обеспечения и размер затрат, необходимых для его создания или замещения
- работоспособность программно-технических средств и наличие обстоятельств, препятствующих их использованию по назначению
- соответствие фактически выполненных работ условиям договора и представленной отчётной документации
Вопрос о трудоёмкости и затратах на создание программного обеспечения выделен особо: он возникает в делах о расходовании средств, о причинении ущерба и о неисполнении обязательств, а его разрешение требует одновременно технической компетенции и владения расчётными методами. Соответствующая методика применяется и вне процессуального порядка: Затраты и эффективность ИТ →.
Расследование обстоятельств инцидента
Обращение по поводу инцидента — несанкционированного доступа, утраты или искажения данных, хищения средств с использованием информационных систем — рассматривается в рамках настоящего направления, поскольку такие обстоятельства, как правило, впоследствии становятся предметом производства по делу.
Первоочередное значение имеет сохранность следов. Действия персонала организации, направленные на скорейшее восстановление работоспособности, зачастую уничтожают сведения, необходимые для установления обстоятельств: переустановка систем, очистка журналов, повторное использование носителей. При обнаружении инцидента целесообразно обеспечить сохранность носителей и журналов до определения порядка дальнейших действий.
Исследование охватывает создание побитовых копий носителей с фиксацией контрольных сумм, восстановление хронологии событий по журналам систем, средств защиты и сетевого оборудования, выявление точки первоначального проникновения и последовательности действий, установление объёма затронутых данных.
Порядок работы с объектами исследования
|
1
|
Приём объектов
Объекты принимаются с составлением акта, содержащего описание, признаки индивидуализации и состояние упаковки. Нарушение целостности упаковки фиксируется до начала исследования. |
|
2
|
Создание копий
Исследование проводится на побитовых копиях носителей. Контрольные суммы оригинала и копии фиксируются и приводятся в заключении, что позволяет подтвердить неизменность исходного объекта. |
|
3
|
Исследование
Применяемые методы, использованные программные и аппаратные средства, а также последовательность действий описываются в заключении в объёме, достаточном для их воспроизведения другим специалистом. |
|
4
|
Заключение
Заключение содержит сведения об эксперте и его квалификации, основание производства экспертизы, перечень поставленных вопросов, описание объектов, содержание и результаты исследования, выводы по каждому вопросу. Выводы формулируются в категорической либо вероятной форме; при невозможности ответа указывается причина. |
|
5
|
Возврат объектов и разъяснение
Объекты возвращаются с составлением акта. По вызову эксперт участвует в разъяснении данного им заключения. |
Требования к эксперту и ограничения
Экспертиза выполняется лицом, обладающим соответствующей квалификацией негосударственного судебного эксперта. Сведения об образовании, специальности и стаже приводятся в заключении и подлежат проверке.
Эксперт не вправе давать заключение по вопросам, выходящим за пределы его специальных знаний, а также по вопросам правового характера, включая вопросы о наличии состава правонарушения и о виновности лиц.
При наличии обстоятельств, исключающих участие эксперта в производстве по делу, в том числе при служебной или иной зависимости от участников процесса, от производства экспертизы следует отказаться. Такие обстоятельства проверяются до принятия материалов.
Сроки
Срок производства экспертизы определяется объёмом представленных объектов и составом вопросов. Исследование одного носителя обычно занимает от двух до четырёх недель, комплексные исследования с большим числом объектов — до нескольких месяцев. Срок согласовывается при принятии материалов.
Типовые вопросы
Требуется ли передавать оригиналы носителей
Как правило, да: исследование проводится на копиях, однако создание копии требует доступа к оригиналу. Порядок приёма, хранения и возврата объектов оформляется актами. В отдельных случаях достаточно копий, созданных с соблюдением установленного порядка.
Возможно ли обращение до возбуждения производства по делу
Да. В таком случае подготавливается заключение специалиста либо исследование в порядке обеспечения доказательств. Форма документа определяется целью его использования.
Что делать при обнаружении инцидента до обращения
Обеспечить сохранность носителей и журналов, ограничить доступ к затронутым системам, воздержаться от переустановки систем и очистки журналов. Восстановление работоспособности целесообразно проводить на резервном оборудовании, сохранив исходное состояние.
Может ли эксперт отказаться от дачи заключения
Да, если поставленные вопросы выходят за пределы специальных знаний, если представленных объектов недостаточно для ответа и восполнить их невозможно, а также при наличии обстоятельств, исключающих участие в производстве по делу. Отказ оформляется мотивированным сообщением.
Участвует ли эксперт в судебном заседании
Да, по вызову суда — для разъяснения данного заключения и ответов на вопросы участников процесса.