Судові експертизи у сфері інформаційних технологій: деякі проблеми підготовки та проведення

Abstract

Статтю присвячено проблемам підготовки та проведення судових експертиз у сфері інформаційних технологій. Зокрема, розглядаються такі види експертних досліджень, як дослідження комп’ютерної техніки і програмних продуктів, а також телекомунікаційних систем та засобів. Кримінальний кодекс України містить Розділ XVI, яким передбачено відповідальність за кримінальні правопорушення у сфері інформаційних технологій. Криміналістична методика розслідування вказаних кримінальних правопорушень передбачає призначення та проведення зазначених видів судових експертиз як дефакто обов’язкових. Також зазначені судові експертизи призначаються і при розслідуванні інших кримінальних правопорушень, під час вчинення яких використовувалися як знаряддя або засоби комп’ютери, мобільні телефони (смартфони), флеш-накопичувачі інформації (шпигунство, вбивство, ухилення від сплати податків, зборів (обов’язкових платежів), фінансування тероризму, масові заворушення тощо).Зазначені експертизи проводяться у випадках, коли необхідно встановити фактичні дані та вчинені за допомогою електронних технічних засобів певні дії, що мають значення для кримінального провадження. Окрім можливостей вказаних експертиз, паралельно в роботі висвітлюються і деякі проблеми, пов’язані з підготовкою та проведенням експертних досліджень. Так, зазначається, що для того, щоб створити на своєму комп’ютері образ або копію досліджуваного жорсткого диска, експерт повинен мати у своєму розпорядженні носій інформації щонайменше такої самої ємності. А якщо на експертизу направлено декілька персональних комп’ютерів або серверів з дисковими масивами за технологію RAID, то вартість змін-них носіїв інформації для копіювання даних може стати на заваді успішного проведення експерти-зи. Визначається, що особливістю експертизи є те, що у разі дослідження програмних об’єктів та неможливості роботи з їх копіями майже завжди відбуваються зміни у файлових системах та реєстрах технічних пристроїв (наприклад, під час його включення). Така ситуація вимагає отримання експертом дозволу на застосування так званих руйнівних (частково руйнівних) методів. Також у роботі розглядаються особливості підготовки матеріалів для експертного дослідження.

The article is devoted to the problems of preparing and conducting forensic examinations in the field of information technology. In particular, the author examines such types of expert studies as the study of computer hardware and software products and telecommunication systems and facilities. The Criminal Code of Ukraine contains Chapter XVI, which provides for liability for criminal offences in the field of information technology. The forensic methodology for investigating these criminal offences provides for the appointment and conduct of these types of forensic examinations as de facto mandatory. These types of forensic examinations are also appointed in the investigation of other criminal offences in which computers, mobile phones (smartphones), flash drives were used as tools or means (espionage, murder, tax evasion, duties (mandatory payments), terrorist financing, mass riots, etc.)These examinations are carried out in cases where it is necessary to establish factual data and certain actions committed with the help of electronic technical means that are relevant to criminal proceedings. In addition to the possibilities of these examinations, the article also highlights some problems related to the preparation and conduct of expert studies. For example, it is noted that in order to create an image or copy of the investigated hard drive on his computer, the expert must have a storage medium of at least the same capacity. And if several personal computers or servers with RAID-based disc arrays are sent for examination, the cost of replaceable storage media for copying data may hinder the successful conduct of the examination. It is determined that the peculiarity of the examination is that in the case of the study of software objects and the impossibility of working with their copies, changes almost always occur in file systems and registers of technical devices (for example, when they are switched on). This situation requires the expert to obtain permission to use so-called destructive (partially destructive) methods. The paper also discusses the peculiarities of preparing materials for expert research.