Судебная компьютерно-техническая экспертиза (КТЭ) — это комплексное исследование цифровых устройств, систем и данных для установления фактов, имеющих значение для дела. В современном мире цифровые следы становятся ключевыми доказательствами в уголовных, гражданских и административных процессах. Качество заключения напрямую зависит от корректности поставленных перед экспертом вопросов.

Основные принципы формулировки вопросов для КТЭ:

• Техническая сущность. Вопросы должны касаться состояния оборудования, наличия данных, следов пользовательской активности, метаданных, сетевых действий и программной среды.
• Конкретность и адресность. Обязательно указывать модель, серийный номер устройства, точные названия файлов, директорий, учетных записей, временные периоды, ссылки на материалы дела.
• Однозначность. Формулировка должна исключать субъективные трактовки. Эксперт работает с объективными данными: файлами, логами, метаданными, записями в реестре.
• Последовательность. Логика исследования: от установления состояния оборудования и наличия информации к анализу действий пользователя, сетевой активности и потенциальных нарушений.

Категории вопросов для судебной компьютерно-технической экспертизы (с примерами)

1. Общие вопросы о состоянии и характеристиках оборудования

• Каково фактическое техническое состояние представленного устройства (компьютер, сервер, мобильный телефон, планшет) [модель, серийный номер]?
• Какие компоненты были заменены, добавлены или удалены из исходной конфигурации устройства? Возможно ли установить даты таких изменений?
• Имеются ли на устройстве признаки физического или программного вмешательства (несанкционированное подключение устройств, наличие скрытых разделов, изменение BIOS/UEFI)?
• Какой объем данных хранится на внутренних и внешних носителях информации, представленных для исследования?

2. Вопросы о информации на носителях данных и файловой системе

• Какие файлы и директории находятся на исследуемых носителях информации [указать модель, серийный номер носителя, раздел]?
• Имеются ли признаки преднамеренного удаления, форматирования или очистки данных? Возможно ли восстановление удаленной информации?
• Каковы атрибуты (дата создания, последнего изменения, последнего доступа) для конкретных файлов [полный путь к файлу]? Соответствуют они указанным в материалах дела датам?
• Содержатся ли на носителях скрытые, зашифрованные или защищенные паролем файлы/разделы? Возможно ли получить доступ к их содержимому?
• Можно ли установить последовательность операций с файлами (копирование, перемещение, редактирование) для заданного временного периода?

3. Вопросы об установленном программном обеспечении и его использовании

• Какое программное обеспечение (ПО) установлено на устройстве, включая скрытые или удаленные, но оставившие следы в системе?
• Когда было установлено (активировано, удалено) конкретное ПО [название, версия]?
• Имеются ли признаки использования нелицензионного, специализированного (для взлома, шифрования, анонимизации) или вредоносного ПО?
• Использовались ли средства, позволяющие скрыть действия пользователя (VPN, TOR, анонимайзеры, программы для очистки следов)?
• Какие учетные записи пользователей (локальные, доменные) активны в системе и каковы их права?

4. Вопросы о действиях пользователя в системе

• Какие действия совершал пользователь [имя учетной записи] в операционной системе в период с [дата начала] по [дата окончания] (запуск программ, открытие файлов, посещение сайтов)?
• Сохранились ли временные файлы, кэш браузеров, история поиска, журналы событий (логи), документирующие деятельность пользователя?
• Можно ли установить, с каких учетных записей и когда осуществлялся вход в систему, включая удаленный доступ (RDP, SSH, VNC)?
• Имеются ли данные о попытках несанкционированного доступа к системе или учетным записям (подбор паролей, использование уязвимостей)?

5. Вопросы о сетевой активности и интернет-действиях

• Какие сетевые соединения устанавливались устройством в заданный период (IP-адреса, порты, домены)?
• Какие ресурсы (сайты, сервисы) посещались с данного устройства через веб-браузеры или другие клиенты?
• Сохранились ли данные о переписке (электронная почта, мессенджеры, социальные сети) на устройстве или доступ к таким данным через сохраненные учетные записи?
• Можно ли установить факт отправки или получения конкретных файлов [имя файла] через сетевые каналы?
• Имеются ли следы использования облачных сервисов (Google Drive, Yandex Disk, Dropbox) и какие операции (загрузка, скачивание, удаление) выполнялись?

6. Вопросы о вредоносной активности и кибербезопасности

• Присутствуют ли на устройстве признаки наличия вредоносного программного обеспечения (вирусы, трояны, шпионские модули, руткиты)?
• Если вредоносное ПО обнаружено, каков его механизм действия, целевые функции (кража данных, шифрование, скрытый доступ) и потенциальный источник распространения?
• Имеются ли в системе следы целевой кибератаки (эксплойты, логи атак, измененные системные файлы)?
• Какое влияние оказало вредоносное ПО или атака на работоспособность системы, целостность и конфиденциальность данных?

7. Вопросы о мобильных устройствах и специализированных системах

• Какие данные (контакты, SMS/MMS, история звонков, фотографии, заметки) содержатся в памяти мобильного устройства [модель, IMEI], включая данные из приложений?
• Можно ли восстановить удаленную информацию с мобильного устройства (с учетом резервных копий)?
• Использовалось ли устройство для доступа к корпоративной или конфиденциальной информации (электронная почта, документы)?
• Имеются ли данные геолокации (GPS), позволяющие установить маршрут перемещения устройства в заданный период?
• Существуют ли признаки установки приложений для слежения или контроля над устройством?

8. Вопросы о электронных документах, подписях и транзакциях

• Подписан ли электронный документ [имя файла] электронной подписью? Каков тип подписи (простая, усиленная, квалифицированная)?
• Действителен ли сертификат электронной подписи на момент подписания документа и не был ли он компрометирован?
• Сохранилась ли целостность электронного документа (не изменен ли он после подписания)? Проверьте соответствие хэш-сумм.
• Имеются ли на устройстве следы операций с криптовалютами, электронных платежей или финансовых транзакций?
• Можно ли установить авторство или источник создания электронного документа по метаданным или содержимому?

9. Вопросы о цифровых записях (аудио, видео, изображения)

• Является ли представленная цифровая запись (аудио, видео, фото) оригинальной или она подвергалась редактированию, монтажу, компоновке?
• Каковы атрибуты файла записи (дата и время создания в метаданных)? Соответствуют они заявленным?
• Возможно ли улучшить качество записи для идентификации лиц, объектов, разбора речи?
• Имеются ли в записи признаки искусственных вмешательств (склеек, пропусков, измененного аудио)?
• Можно ли установить устройство, создавшее запись (модель камеры/микрофона, программное обеспечение)?

10. Вопросы о соблюдении требований по защите информации

• Использовались ли на устройстве средства шифрования данных (шифрование дисков, файлов, каналов связи)? Какие алгоритмы и инструменты применялись?
• Соблюдались ли базовые требования безопасности (использование антивирусов, сложных паролей, ограничение прав пользователей)?
• Имеются ли признаки хранения или обработки персональных данных на устройстве? Каков был уровень их защиты?
• Насколько система аутентификации и авторизации на устройстве соответствовала политикам информационной безопасности (если такие политики регламентированы)?

Критические ошибки при формулировке вопросов

1. Вопросы правового характера (вне компетенции эксперта).

   • Недопустимо: «Содержит ли файл информацию, составляющую коммерческую тайну?» «Являются ли действия пользователя мошенническими?»
   • Допустимо: «Содержится ли на устройстве файл с названием [конкретное имя], который, согласно материалам дела, должен содержать конфиденциальную информацию?» «Имеются ли в системе следы отправки этого файла третьим лицам через интернет?»

2. Вопросы, предполагающие субъективное мнение или угадывание.

   • Недопустимо: «Пытался ли пользователь скрыть свои действия?» «Знал ли пользователь о вредоносной программе?»
   • Допустимо: «Имеются ли в системе следы использования программ для очистки истории браузера и временных файлов после посещения определенных сайтов?»

3. Расплывчатые, неконкретные формулировки.

   • Недопустимо: «Что пользователь делал на компьютере?»
   • Допустимо: «Какие действия совершал пользователь ИвановА в учетной записи Windows на компьютере XYZ в период с 10.04.2024 по十多 هزار 20.04.2024, фиксируемые журналами событий (Event Log) и историей браузера Google Chrome?»

4. Вопросы о будущем или гипотетических ситуациях.

   • Недопустимо: «Мог ли пользователь предположить, что файл будет удален?»
   • Эксперт исследует существующие цифровые следы прошлых событий.

Практические рекомендации для заказчика экспертизы

1. Предоставьте полный и законно полученный комплект: сами устройства, внешние носители, логины и пароли (по решению суда), скриншоты, контекст из материалов дела (что именно нужно найти или подтвердить).
2. Формулируйте вопросы, проверяя конкретные версии. Например: «Версия: пользователь скачал контракт с сервера и отправил его по почте. Вопросы: 1) Находится ли файл Контракт.docx на диске? 2) Имеются ли следы его отправки через почтовый клиент Outlook?»
3. Учитывайте технические ограничения. Эксперт не может «прочитать мысли» или восстановить данные, физически уничтоженные (например, после многократной перезаписи). Он может найти следы попыток удаления.
4. Четко определите временные рамки. Большинство вопросов должны содержать период: «за последний месяц», «в день инцидента», «до даты увольнения».

Судебная компьютерно-техническая экспертиза — это детальная «цифровая археология». Эксперт не просто просматривает файлы, он анализирует метаданные, журналы систем, остаточные данные в памяти, сетевые следы, чтобы воссоздать цифровую картину событий. Каждый корректно поставленный вопрос — это указание эксперту, где и что «копать». От точности этих указаний зависит, будут ли найдены неопровержимые цифровые доказательства, которые часто становятся ключевыми в современном судебном процессе.

Компьютерно-техническая экспертиза требует не только глубоких знаний IT, но и понимания юридических рамок и процедур. Эксперты СРО «Сумма мнений», имеющие специализацию в цифровой криминалистике и судебной IT, проводят исследования с применением профессионального инструментария (Forensic Toolkit, EnCase, специализированные средства для мобильных устройств). Мы помогаем сформулировать вопросы, которые превратят «цифровой шум» в четкие и весомые доказательства. Для консультации по назначению КТЭ обращайтесь в наш экспертный отдел.