|
• при необходимости консультаций у персонала предприятия, получать их у различных сотрудников путем раздельного опроса. Такой метод позволит получить максимально правдивую информацию и избежать преднамеренной дезориентации; при нахождении обследуемого компьютера в локальной вычислительной сети необходимо прежде всего отключить физически или программным путем сетевые соединения; наряду с осмотром компьютера обеспечить осмотр документов о пользовании им, в которых следует обратить особое внимание на рабочие записи операторов ЭВМ, т.к. в них нередко удается обнаружить коды, пароли и другую ценную для следствия информацию. При осмотре должен присутствовать кто-либо из сотрудников предприятия, способный дать пояснения по установленному на ЭВМ программному обеспечению и информационным ресурсам. Если на начальной стадии осмотра не удалось установить пароли и коды используемых программ, то компьютер подлежит опечатыванию и изъятию, с тем, чтобы в последующем в стационарных условиях при производстве компьютерно-технической экспертизы, выявить существующие пароли и коды доступа, осуществить надлежащий осмотр компьютера и содержащихся на нем файлов. В таких случаях достаточно изъять только системный блок, в который входят процессор и накопители на магнитных дисках. Остальную часть компьютера монитор, клавиатуру, принтер, иное периферийное оборудование следует опечатать; 4) если следователь сочтет возможным производство осмотра компьютера по месту его нахождения и все риски минимизированы, при следователь и специалист должны четко объяснять понятым все совершаемые ими действия. При осмотре должны быть установлены: конфигурация компьютера с четким описанием всех устройств; номера моделей и серийные номера каждого из устройств; 102 |
тивной памяти и даже к частичному стиранию информационных ресурсов на данном компьютере)1; принять меры к установлению пароля доступа в защищенных информационных ресурсах; при необходимости получить консультации у персонала предприятия путем раздельного опроса. Такой метод позволит получить максимально правдивую информацию и избежать преднамеренной дезориентации; при нахождении обследуемого компьютера в локальной вычислительной сети необходимо, прежде всего, отключить физически или программным путем сетевые соединения; наряду с осмотром компьютера обеспечить осмотр документов о пользовании им, в которых следует обратить особое внимание на рабочие записи операторов ЭВМ, т.к. в них нередко удается обнаружить коды, пароли и другую ценную для следствия информацию. При осмотре должен присутствовать кто-либо из сотрудников предприятия, способный дать пояснения по установленному на ЭВМ программному обеспечению и информационным ресурсам. Если на начальной стадии осмотра не удалось установить пароли и коды используемых программ, то компьютер подлежит опечатыванию и изъятию, с тем, чтобы в последующем в стационарных условиях при производстве компьютерно-технической экспертизы выявить существующие пароли и коды доступа, осуществить надлежащий осмотр компьютера и содержащихся на нем файлов. В таких случаях достаточно изъять только системный блок, в который входят процессор и накопители на магнитных дисках. Остальную часть компьюте131 1 О корректных способах выключения компьютеров при их изъятии более подробно см.: Российская Е.Р., Усов А.И. Судебная компьютерно-техническая экспертиза. М., 2001. С. 399-411; Зубаха B.C., Усов А.И., Саенко Г.В., Волков Г.А., Белый С.Л., Семикаленова А.И. Общие положения по назначению и производству компьютерно-технической экспертизы: Методические рекомендации. М.: ГУ ЭКЦ МВД России, 2000. С. 16-21. pa монитор, клавиатуру, принтер, иное периферийное оборудование следует опечатать; 4) если следователь сочтет возможным производство осмотра компьютера по месту его нахождения и все риски при этом минимизированы, следователь и специалист должны четко объяснять понятым все совершаемые ими действия. При осмотре должны быть установлены: конфигурация компьютера с четким описанием всех устройств; номера моделей и серийные номера каждого из устройств; инвентарные номера, присваиваемые бухгалтерией при постановке оборудования на баланс предприятия; прочая информация с фабричных ярлыков. В ходе осмотра компьютера необходимо полностью откопировать содержимое жесткого диска с помощью специальных сертифицированных программ. Кроме того, необходимо сделать распечатки информации о содержании всего жесткого диска либо всю информацию об этом переписать от руки. Все листы с такой информацией должны быть подписаны специалистом, который проводил запись информации, следователем, понятыми и представителем организации (пользователем), где производится осмотр, и прилагаться к протоколу следственного действия. Информацию из оперативной памяти компьютера (ОЗУ) необходимо изымать путем копирования соответствующей машинной информации на физический носитель с использованием только стандартных паспортизированных программных средств. В таких случаях они снабжаются соответствующим документальным приложением. В протоколе осмотра места происшествия необходимо зафиксировать следующее: программу, исполняемую (или исполненную) компьютером на момент проведения (или до проведения) следственного действия. Для этого необходимо детально изучить и описать существующее на экране монитора компьюте132 |