Расследование преступлений в сфере компьютерной информации. Факт неправомерного доступа к информации

Хорошо известно, что одними мерами предупреждения не всегда удается предотвратить преступное посягательство. В связи с этим возникает необходимость заниматься не только вопросами защиты средств компьютерной техники, но и решать вопросы расследования компьютерных преступлений. В 1998 г. в Экспертно-криминалистическом центре МВД был проведен классификационный анализ лиц, замешанных в применении компьютеров для совершения противоправных деяний.

Обобщенный портрет отечественного злонамеренного хакера, созданный на основе уголовного преследования такого рода личностей, выглядит примерно так: это мужчина в возрасте от 15 до 45 лет, либо имеющий многолетний опыт работы на компьютере, либо почти не обладающий таким опытом; в прошлом к уголовной ответственности не привлекался; является яркой, мыслящей личностью, способной принимать ответственные решения; хороший, добросовестный работник, по характеру нетерпимый к насмешкам и к потере своего социального статуса в рамках группы окружающих его людей; любит уединенную работу; приходит на службу первым и уходит последним; часто задерживается на работе после окончания рабочего дня и очень редко использует отпуска и отгулы.

По сведениям того же Экспертно-криминалистического центра МВД, принципиальная схема организации взлома защитных механизмов информационных системы достаточно однотипна.

Профессиональные компьютерные взломщики обычно работают только после тщательной предварительной подготовки. Они снимают квартиру на подставное лицо, подкупают сотрудников организации, знакомых с деталями электронных платежей и паролями, и работников телефонной станции, чтобы обезопаситься на случай поступления запроса от служб безопасности. Нанимают охрану из бывших сотрудников МВД. Чаще всего взлом компьютерной сети осуществляется рано утром, когда дежурный службы безопасности теряет свою бдительность, а вызов помощи затруднен. Ниже представлена общая схема расследования неправомерного доступа к компьютерной информации. В ходе расследования основные следственные задачи целесообразно решать в такой последовательности:

1. Установление факта неправомерного доступа к информации в компьютерной системе или сети.
2. Установление места несанкционированного проникновения в компьютерную систему или сеть.
3. Установление времени совершения преступления.
4. Установление надежности средств защиты компьютерной информации.
5. Установление способа несанкционированного доступа.
6. Установление лиц, совершивших неправомерный доступ, их виновности и мотивов преступления.
7. Установление вредных последствий преступления.
8. Выявление обстоятельств, способствовавших преступлению.

На признаки несанкционированного доступа или подготовки к нему могут указывать следующие обстоятельства: появление в компьютере фальшивых данных; не обновление в течение длительного времени в автоматизированной информационной системе кодов, паролей и других защитных средств; частые сбои в процессе работы компьютеров; участившиеся жалобы клиентов компьютерной системы или сети; осуществление сверхурочных работ без видимых на то причин; немотивированные отказы некоторых сотрудников, обслуживающих компьютерные системы или сети, от отпусков; неожиданное приобретение сотрудником домашнего дорогостоящего компьютера; чистые дискеты либо диски, принесенные на работу сотрудниками компьютерной системы под сомнительным предлогом перезаписи программ для компьютерных игр; участившиеся случаи перезаписи отдельных данных без серьезных на то причин; чрезмерный интерес отдельных сотрудников к содержанию чужих распечаток (листингов), выходящих из принтеров. Определить место и время непосредственного применения технических средств удаленного несанкционированного доступа (не входящих в данную компьютерную систему или сеть) на практике бывает достаточно трудно.

Для установления этих данных необходимо привлекать специалистов. Способ несанкционированного доступа может быть установлен путем производства информационно-технической судебной экспертизы, перед экспертом следует поставить вопрос:

"Каким способом мог быть совершен несанкционированный доступ в данную компьютерную систему?". Целесообразно представить эксперту всю проектную документацию на исследуемую систему (если таковая имеется), а также имеющиеся данные о ее сертификации. Несанкционированный доступ к закрытой компьютерной системе или сети является технологически весьма сложным действием. Совершить такую акцию могут только специалисты, имеющие достаточно высокую квалификацию.

Поэтому поиск подозреваемых следует начинать с технического персонала пострадавших компьютерных систем или сетей (разработчиков соответствующих систем, их руководителей, операторов, программистов, инженеров связи, специалистов по защите информации и других). Следственная практика показывает, что чем сложнее в техническом отношении способ проникновения в компьютерную систему или сеть, тем легче выделить подозреваемого, поскольку круг специалистов, обладающих соответствующими способностями, обычно весьма ограничен.

При расследовании преступления, предусматривающего создание, использование и распространение вредоносных программ для ЭВМ представляется наиболее целесообразной следующая последовательность решения основных задач:

1) Установление факта и способа создания вредоносной программы для ЭВМ.
2) Установление факта использования и распространения вредоносной программы.
3) Установление лиц, виновных в создании, использовании и распространении вредоносных программ для ЭВМ.
4) Установление вреда, причиненного данным преступлением.
5) Установление обстоятельств, способствовавших совершению расследуемого преступления.

При расследовании нарушения правил эксплуатации ЭВМ, системы ЭВМ или их сети, необходимо прежде всего доказать факт нарушения определенных правил, повлекший уничтожение, блокирование или модификацию охраняемой законом компьютерной информации и причинивший существенный вред.

Кроме того, необходимо установить и доказать:

1) место и время (период времени) нарушения правил эксплуатации ЭВМ;
2) характер компьютерной информации, подвергшейся уничтожению, блокированию или модификации вследствие нарушения правил эксплуатации компьютерной системы или сети;
3) способ и механизм нарушения правил;
4) характер и размер ущерба, причиненного преступлением;
5) факт нарушения правил определенны лицом;
6) виновность лица, допустившего преступное нарушение правил эксплуатации ЭBM;
7) обстоятельства, способствовавшие совершению расследуемого преступления. Помимо этого, следователю необходимо знать, что существует много особенностей, которые должны учитываться при производстве отдельных следственных действий.

Приведу некоторые из них. Если следователь располагает информацией, что на объекте обыска находятся средства компьютерной техники, расшифровка данных, с которых может дать доказательства по делу, он должен заранее подготовиться к их изъятию. Необходимо обеспечить участие в ходе обыска специалиста по компьютерной технике. По прибытии на место обыска следует сразу же принять меры к обеспечению сохранности ЭВМ и имеющихся на них данных и ценной информации. Для этого необходимо:

1) не разрешать, кому бы то ни было из лиц, работающих на объекте обыска или находящихся здесь по другим причинам (персоналу), прикасаться к ЭВМ с любой целью;
2) не разрешать, кому бы то ни было из персонала выключать электроснабжение объекта;
3) в случае если на момент начала обыска электроснабжение объекта выключено, то до его восстановления следует отключить от электросети всю компьютерную технику, находящуюся на объекте;
4) самому не производить никаких манипуляций со средствами компьютерной техники, если результат этих манипуляций заранее неизвестен.

После принятия указанных выше неотложных мер можно приступать к непосредственному обыску помещения и изъятию средств компьютерной техники.

При этом следует принять во внимание следующие неблагоприятные факторы: - возможные попытки со стороны персонала повредить ЭВМ с целью уничтожения информации и ценных данных; - возможное наличие на компьютерах специальных средств защиты от несанкционированного доступа, которые, не получив в установленное время специальный код, автоматически уничтожат всю информацию; - возможное наличие на ЭВМ иных средств защиты от несанкционированного доступа; - постоянное совершенствование компьютерной техники, следствием чего может быть наличие на объекте программно-технических средств, незнакомых следователю.

В целях недопущения вредных последствий перечисленных факторов следователь может придерживаться следующих рекомендаций:

1. Перед выключением питания по возможности корректно закрыть все используемые программы, а в сомнительных случаях просто отключить компьютер (в некоторых случаях некорректное отключение компьютера - путем перезагрузки или выключения питания без предварительного выхода из программы и записи информации на постоянный носитель - приводит к потере информации в оперативной памяти и даже к стиранию информационных ресурсов на данном компьютере).
2. При наличии средств защиты, ЭВМ от несанкционированного доступа принять меры к установлению ключей доступа (паролей, алгоритмов и т.д.).
3. Корректно выключить питание всех ЭВМ, находящихся на объекте (в помещении).
4. Не пытаться на месте просматривать информацию, содержащуюся в компьютерах.
5. В затруднительных случаях не обращаться за консультацией (помощью) к персоналу, а вызывать специалиста, не заинтересованного в исходе дела.
6. Следует изъять все ЭВМ, обнаруженные на объекте.
7. При обыске не подносить ближе, чем на 1 м к компьютерной технике металлоискатели и другие источники магнитного поля, в т. ч. сильные осветительные приборы и некоторую спецаппаратуру.
8. Поскольку многие, особенно неквалифицированные, пользователи записывают процедуру входа-выхода, работы с компьютерной системой, а также пароли доступа на отдельных бумажных листках, следует изъять также все записи, относящиеся к работе с ЭВМ.
9. Так как многие коммерческие и государственные структуры прибегают к услугам нештатных и временно работающих специалистов по обслуживанию средств компьютерной техники, следует записать паспортные данные у всех лиц, находящихся на объекте, независимо от их объяснений цели пребывания на объекте.

При изъятии средств компьютерной техники необходимо обеспечить строгое соблюдение требований действующего уголовно-процессуального законодательства.

Для этого необходимо акцентировать внимание понятых на всех производимых действиях и их результатах, давая им при необходимости пояснения, поскольку многим участникам следственного действия могут быть непонятны производимые манипуляции. Кроме того, следует опечатывать ЭВМ так, чтобы исключить возможность работы с ними, разукомплектовки и физического повреждения основных рабочих компонентов в отсутствие владельца или эксперта.

При опечатывании компьютерных устройств следует наложить один лист бумаги на разъем электропитания, расположенный на задней панели, второй - на переднюю панель вверху с захлестом на верхнюю панель и закрепить их края густым клеем. На листах бумаги должны быть подписи следователя, понятых и представителя персонала.

При изъятии магнитного носителя машинной информации нужно помнить, что они должны перемещаться в пространстве и храниться только в специальных опломбированных и экранированных контейнерах или в стандартных дискетных или иных алюминиевых футлярах заводского изготовления, исключающих разрушающее воздействие различных электромагнитных и магнитных полей и "наводок”, направленных излучений. В случае, когда необходимо сослаться непосредственно на определенный физический носитель, следует указать в протоколе его серийный (заводской) номер, тип, название (если есть) или провести его точное описание (размеры, цвет, класс, надписи, физические повреждения).

При отсутствии четких внешних признаков физический носитель запечатывается в отдельную коробку (ящик, конверт) о чем обязательно делается отметка в протоколе проведения следственного действия. В случае невозможности изъятия и приобщения к делу в качестве вещественного доказательства средства компьютерной техники (например, если компьютер является сервером или рабочей станцией компьютерной сети) в обязательном порядке после его осмотра необходимо блокировать не только соответствующее помещение, но и отключать источники энергопитания аппаратуры или, в крайнем случае, создать условия лишь для приема информации с одновременным опломбированием всех необходимых узлов, деталей, частей и механизмов компьютерной системы.

Если же возникла необходимость изъятия информации из оперативной памяти компьютера (непосредственно из оперативного запоминающего устройства - ОЗУ), то сделать это возможно только путем копирования соответствующей машинной информации на физический носитель с использованием стандартных паспортизированных программных средств с соответствующим документальным приложением и в порядке, установленном следующими нормативными документами; Государственный стандарт (ГОСТ) № 6104-84 от 01.07.87 "УСД". Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники. Основные положения и Постановление Госстандарта № 2781 от 24.09.86 "Методические указания по внедрению и применению ГОСТ 6104-84”.

Только с использованием указанных нормативных документов машинная информация будет относиться к разряду "документированной информации”, как требует того закон.

К сожалению, пятилетняя практика работы автора в органах прокуратуры показывает, что вышеуказанные рекомендации в большинстве случаев следователями не применяются в практической деятельности по расследованию преступлений. В результате неправильного изъятия средств компьютерной техники добытая информация зачастую не может являться доказательством в судебном процессе.

Однако хочется привести и пример грамотных действий группы следователей прокуратуры Курганской области в которой принимал непосредственное участие и автор данной работы. В 1996 г. прокуратурой Курганской области было возбуждено уголовное дело в отношении ряда должностных лиц ГИБДД УВД Курганской области по факту неоднократного получения взяток за изготовление поддельных документов на автомобили и внесении заведомо ложной информации в компьютерную базу данных.

Материалами дела было установлено, что в конце января 1996 года по предложению работника ГИБДД УВД Курганской области В., Ю., работая инженером подотдела ГИБДД и, являясь должностным лицом, на своем рабочем месте, используя компьютер и лазерный принтер, изготовил заведомо поддельную таможенную декларацию на автомобиль "Вольво-360", за что получил от В. в качестве взятки 500 тысяч рублей. Также, в начале февраля 1996 года Ю. по предложению В. на своем рабочем месте, используя компьютер и лазерный принтер, заполнил бланк свидетельства о регистрации автомобиля "Вольво-445", внеся в него заведомо ложные сведения о регистрации указанного автомобиля в РЭО ГИБДД УВД г. Кургана В то же время Ю., используя свое служебное положение, внес в компьютерную базу данных РЭО ГИБДД УВД г. Кургана заведомо ложные сведения о регистрации автомобиля "Вольво-445" на имя Д. За это Ю. получил от В. в качестве взятки 500 тысяч рублей. Своими действиями Ю. совершил преступление, предусмотренное ст. 173 ч. 2 УК РСФСР, т.е. - получение взятки должностным лицом неоднократно за выполнение действий в интересах дающего взятку с использованием своего служебного положения. Кроме того, Ю., изготовив в январе - марте 1996 г. по предложению В. на своем рабочем месте с использованием компьютера и лазерного принтера заведомо поддельную таможенную декларацию на автомобиль "Вольво-360", два бланка доверенностей нотариуса Люберецкой государственной нотариальной конторы Московской области С., и внеся заведомо ложные сведения о регистрации автомобиля "Вольво-445" в бланк свидетельства о регистрации и в компьютерную базу данных РЭО ГИБДД УВД г. Кургана, совершил преступление, предусмотренное ст.175 УК РСФСР - должностной подлог.

При проведении первоначальных следственных действий был произведен обыск в рабочем помещении РЭО ГИБДД, при котором в соответствии с требованиями закона изъяты используемые в работе средства вычислительной техники. После доставления этих компьютеров в помещение областной прокуратуры вся база данных в присутствии понятых была переписана на съемные носители информации. В дальнейшем при производстве сверки с другими базами данных, имеющимися в ИЦ УВД области, архивными документами, данными таможенной службы были выявлены множественные несоответствия.

Выяснилось, что обвиняемыми сотрудниками РЭО ГИБДД путем внесения заведомо ложной информации в компьютерную базу данных и выдачи поддельных техпаспортов, таможенных деклараций, были незаконно зарегистрированы десятки автомашин импортного производства без уплаты соответствующих таможенных пошлин и платежей. Данное уголовное дело в начале 1997 г. было рассмотрено Курганским областным судом с вынесением обвинительного приговора.

Все подсудимые были приговорены к длительным срокам лишения свободы. Однако большинство уголовных дел по компьютерным преступлениям в России остаются нераскрытыми. И дело здесь даже не в том, что наши сыщики плохо работают или, что российские компании экономят на защите своих компьютерных сетей. К сожалению, при высоком техническом оснащении и тщательной подготовке преступления, поймать компьютерного вора очень сложно.

Ведь компьютерные сигналы легко перебрасываются через спутник и могут поступать в тот же Центробанк хоть из Зимбабве, хоть с Берега Слоновой Кости. Похищенные деньги прокручиваются через несколько банков, и если их след все же обнаруживается, конечный получатель только пожимает плечами - мол, сам удивляюсь, откуда они взялись. На нынешний день возбуждено около 20 уголовных дел по "компьютерным преступлениям", - сказал в интервью газете "Труд” оперуполномоченный по особо важным делам Главного управления по экономическим преступлениям МВД РФ Игорь Никитенко.

Но я не уверен, что все они будут доведены до суда. Дела разваливаются, так как выявить личность конкретного преступника порой просто невозможно”. Вот лишь два примера: - Уголовное дело номер 113063. Неизвестные лица проникли в компьютерную сеть Центрального банка и ввели программу о переводе более 68 миллиардов рублей на другие счета. Произошло это в 1993 году. Преступники так и не найдены. - Уголовное дело номер 112288. В начале 1995 года злоумышленники через компьютерную сеть одного из московских банков фиктивно ввели на его счет 2 миллиарда рублей, попытавшись потом перевести эту сумму на другие счета.

Попытка преступления была предотвращена. Но уголовное дело в настоящий момент приостановлено "за неустановлением виновных лиц". Уверен, что при тотальной криминализации нашего общества "компьютерная преступность" не стала еще в России национальным бедствием лишь из-за не менее тотальной технической отсталости.

Приведу лишь один известный мне пример осуждения преступника по статьям 272 и 273 УК РФ. 19 декабря 1997 г. в Южно-Сахалинском городском суде завершилось слушание дела по обвинению Гоярчука Сергея в совершении противоправных действий, квалифицировавшихся по статье 30 "Подготовка к преступлению и покушение на преступление", статье 272. "Неправомерный доступ к компьютерной информации" и статье 273. "Создание, использование и распространение вредоносных программ для ЭВМ" УК РФ. Гоярчук С.А. являлся техническим специалистом двух организаций, заключивших договора на услуги электронной почты и сети "Интернет".

В связи с этим он имел доступ к нескольким компьютерам, как в помещениях организаций, так и у себя дома, т.к. одна из организаций передала ему один из компьютеров для ремонта кнопки питания. При заключении договоров и в дальнейшем Гоярчук С.А. проявлял большой интерес к особенностям работы электронной почты, возможностям доступа к ней через различные сети передачи данных и сценариям работы с почтой в каждом из случаев. В мае 1997 г. Гоярчук С.А., первоначально вручную, а в последствии используя скрипт к терминальной программе , пытался подобрать пароли к адресам пользователей электронной почты. Все попытки осуществлялись через номер общего пользования сети Х.25 <Спринт> в г. Южно-Сахалинске. В результате Гоярчуку удалось подобрать пароли к адресам некоторых абонентов.

Подбор проводился либо в выходные и праздничные дни, либо в ночное время. В ночь с 14 на 15 мая и в ночь с 15 на 16 мая техническим персоналом ТТС и ГТС Южно-Сахалинска были проведены мероприятия по определению телефонного номера, с которого работал правонарушитель. В ходе дальнейших оперативных проверок было выяснено, что это номер соседней квартиры, с хозяевами которой Гоярчук якобы договорился об использовании номера в ночное время.

Hаблюдения за действиями Гоярчука продолжались до момента, пока он не разослал от имени ТТС некоторым пользователям электронной почты письма с просьбой сообщить все свои реквизиты, в том числе и учетные имена сети <Интернет> с паролями. Письмо было разослано с электронного адреса, который был зарегистрирован на сервере CHAT.ru. Найти владельцев этого сервера в Москве, для того чтобы определить IP адреса, с которых выполнялось соединение, представителям ФСБ, которые вели следствие не удалось. 6 июня 1997 г. было проведено задержание Гоярчука С.А. у него на квартире, в ходе которого было изъято два компьютера и около 40 дискет.

В ходе исследования компьютеров на личном компьютере Гоярчука была найдена программа-скрипт SM_CRACK, электронные письма, адресованные одному из Южно - Сахалинских банков и коммерческой фирме, файл, содержащий текст письма, разосланного абонентам от имени ТТС. В ходе судебного разбирательства Гоярчук С.А. пытался обосновать свои действия тем, что не понимал сути происходящих процессов и плохо разбирался в том, как работают компьютерные программы, которые он запускал. Однако по показаниям директора фирмы, в которой Гоярчук С.А. в течении более чем года (!) бесплатно (!) проходил практику, он обучал продавцов и бухгалтеров фирмы работе с компьютерными программами. Заслушав обвиняемого и свидетелей, государственное обвинение по совокупности просило суд применить наказание в виде лишения свободы сроком на три года со штрафом в размере 200 минимальных окладов. Однако, учитывая юный возраст подсудимого, положительные характеристики с мест работы и отсутствие судимостей, просило считать срок заключения условным, установив испытательный срок 2 года.

Защита, указав на техническую сложность дела, отсутствие судебной практики подобного характера, личность подсудимого, а так же помощь (?), которую подсудимый оказал следствию в ходе расследования, просила не применять к подсудимому статьи 30 и 272 УК, и ограничить наказание штрафом в 200 минимальных окладов. Кроме этого, в качестве одного из аргументов защита приводила факт отсутствия каких-либо предупреждений по поводу противоправности действий подзащитного в договоре на оказание услуг. В результате суд пришел к решению признать Горчука С.А. виновным и применить меру наказания, предлагаемую обвинением.

Информация и информационные правоотношения стали новым предметом преступного посягательства. К преступлениям этой категории УК РФ относит: неправомерный доступ к компьютерной информации (ст. 272); создание, использование и распространение вредоносных программ для ЭВМ (ст. 273); нарушение правил эксплуатации ЭВМ, их системы или сети (ст. 274).

Общий объект указанных преступлений - общественные отношения по обеспечению информационной безопасности, а непосредственными объектами преступного посягательства являются: базы и банки данных, отдельные файлы конкретных компьютерных систем и сетей, а также компьютерные технологии и программные средства, включая те, которые обеспечивают защиту компьютерной информации от неправомерного доступа.

Под информацией понимают сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Документированная информация - это зафиксированные на материальном носителе сведения с реквизитами, позволяющими их идентифицировать. Компьютерная информация является документированной, но хранящейся в ЭВМ или управляющей ею в соответствии с программой и (или) предписаниями пользователя.

К машинным носителям компьютерной информации относят устройства памяти ЭВМ, ее периферийные устройства, компьютерные средства связи, сетевые устройства и сети электросвязи.

Статья 272 УК РФ устанавливает ответственность, если неправомерный доступ к компьютерной информации привел к таким негативным последствиям, как уничтожение, блокирование, модификация, копирование информации либо нарушение работы ЭВМ, их системы или сети.

Уничтожение информации - это такое изменение ее состояния, которое лишает ее первоначального качества, вследствие чего она перестает отвечать своему прямому назначению. Под блокированием понимается временная или постоянная невозможность доступа к информации со стороны законного пользователя, а под модификацией - ее видоизменение с появлением новых, нежелательных свойств. Копирование - это воспроизведение точного или относительно точного аналога оригинала; а нарушение работы ЭВМ, их системы или сети - замедление, зацикливание, прекращение действия программы, нарушение порядка выполнения команд, отказ в выдаче информации, отключение элементов компьютерной системы, другие нештатные ситуации.

При этом системой считается взаимосвязанная совокупность ЭВМ с их единым организационно-техническим обеспечением, а сетью - объединение действующих на определенной территории систем ЭВМ.

При расследовании неправомерного доступа к компьютерной информации следственные задачи решаются в такой очередности:

1) устанавливается: а) факт неправомерного доступа к информации в компьютерной системе или сети, б) место несанкционированного проникновения в эту систему или сеть и в) время совершения преступления;

2) определяется: а) способ несанкционированного доступа и степень надежности средств защиты компьютерной информации, б) лица, совершившие неправомерный доступ, их виновность и мотивы преступления, в) вредные последствия содеянного.

Факт неправомерного доступа к информации

Факт неправомерного доступа к информации первыми, как правило, обнаруживают пользователи компьютерной системы или сети. Такие факты иногда устанавливаются в ходе оперативно-розыскной деятельности органов внутренних дел, ФСБ , ФСНП. Их можно выявить и в ходе прокурорских проверок, ревизий , судебных экспертиз, следственных действий по уголовным делам.

Признаками несанкционированного доступа или подготовки к нему могут служить: а) появление в компьютере искаженных данных; 6) необновление в течение длительного времени кодов, паролей и других защитных средств компьютерной системы; в) увеличение числа сбоев в работе ЭВМ; г) участившиеся жалобы пользователей компьютерной системы или сети.

Таким фактам могут предшествовать или сопутствовать: 1) осуществление без необходимости сверхурочных работ; 2) немотивированные отказы отдельных сотрудников, обслуживающих компьютерную систему или сеть, от отпуска; 3) приобретение работником для личного пользования дорогостоящего компьютера; 4) чистые дискеты или диски, принесенные на работу сотрудниками компьютерной системы под предлогом копирования программ для компьютерных игр; 5) участившиеся случаи перезаписи отдельных данных без серьезных на то причин; 6) подозрительный интерес некоторых работников к содержанию чужих принтерных распечаток; 7) повторный ввод в компьютер одной и той же информации.

Необходимо выделить также признаки неправомерного доступа, выражающиеся в отступлениях от установленного порядка обработки документов. Имеются в виду: а) нарушения принятых правил оформления документов и изготовления машинограмм; б) лишние документы, подготовленные для обработки на ЭВМ; в) несоответствие информации, содержащейся в первичных документах, данным машинограмм; г) преднамеренные утрата или уничтожение первичных документов и машинных носителей информации, внесение искажений в данные их регистрации. Следует, однако, помнить, что перечисленные признаки могут быть результатом не только злоупотреблений, но и других причин, например случайных ошибок и сбоев компьютерной техники.

Место несанкционированного доступа

Место несанкционированного доступа в компьютерную систему или сеть удается установить с немалыми трудностями, ибо таких мест может быть несколько. На практике чаще обнаруживается место неправомерного доступа к компьютерной информации с целью хищения денежных средств , но и для этого приходится выявлять все места работы компьютеров, имеющих единую телекоммуникационную связь.

Гораздо проще это место устанавливается в случае несанкционированного доступа к единичному компьютеру. Но и тут нужно учитывать, что информация на машинных носителях может храниться в других помещениях, которые тоже подлежат установлению.

Значительно труднее определить место непосредственного применения технических средств удаленного несанкционированного доступа, которые, естественно, не входят в данную компьютерную систему или сеть. К его установлению необходимо привлекать соответствующих специалистов. Подлежат выяснению и места хранения информации на машинных носителях, добытой преступником в результате неправомерного доступа к компьютерной системе или сети.

Время несанкционированного доступа

Время несанкционированного доступа устанавливается с помощью программ общесистемного назначения, которые в работающем компьютере обычно фиксируют текущее время. Это позволяет по соответствующей команде вывести на экран дисплея сведения о точном времени выполнения той или иной операции. Если данная программа работает, то при несанкционированном входе в систему или сеть время работы на компьютере любого пользователя и производства конкретной операции автоматически фиксируются в оперативной памяти. Тогда время несанкционированного доступа можно определить в ходе следственного осмотра компьютера, его распечаток или дискет, производимого с помощью специалиста, чтобы информация, находящаяся в оперативной памяти ЭВМ или на дискете, не была случайно стерта.

Время несанкционированного доступа устанавливается и путем допроса свидетелей из числа сотрудников данной компьютерной системы. Выясняется, когда конкретно каждый из них работал на ЭВМ, если это не было зафиксировано в автоматическом режиме.

Способы преступной деятельности

Способы преступной деятельности в среде компьютерной информации могут быть разделены на две большие группы. Первая группа преступных действий осуществляется без использования компьютерных устройств в качестве инструмента для проникновения извне в информационные системы или воздействия на них. Это могут быть: а) хищение машинных носителей информации в виде блоков и элементов ЭВМ: б) использование визуальных, оптических и акустических средств наблюдения за ЭВМ; в) считывание и расшифровка различных электромагнитных излучений компьютера и обеспечивающих систем; г) фотографирование информации в процессе ее обработки; д) изготовление бумажных дубликатов входных и выходных документов, копирование распечаток; е) использование визуальных, оптических и акустических средств наблюдения за лицами, имеющими отношение к необходимой злоумышленнику информации, подслушивание их разговоров; ж) осмотр и изучение не полностью утилизированных отходов деятельности вычислительных центров; з) вступление в прямой контакт с лицами, имеющими отношение к необходимой злоумышленнику информации и получение от них под разными предлогами нужных сведений и др.

Для таких действий, как правило, характерны достаточно локальная следовая картина, определяющаяся тем, что место совершения преступных действий и дислокация объекта преступного посягательства расположены вблизи друг от друга или совпадают, и традиционны приемы по их исследованию.

Вторая группа преступных действий осуществляется с использованием компьютерных и коммуникационных устройств в качестве инструмента для проникновения в информационные системы или воздействия на них.

Так, несанкционированный доступ реализуется с помощью различных способов: подбором пароля, использованием чужого имени, отысканием и применением пробелов в программе, а также других мер преодоления защиты компьютерной информации. Конкретный способ несанкционированного доступа можно установить путем допроса свидетелей из числа лиц, обслуживающих компьютерную систему, и ее разработчиков. У них необходимо выяснить, как преступник мог проникнуть в защищенную систему, например, узнать идентификационный номер законного пользователя, код, пароль для доступа, получить сведения о других средствах защиты системы или сети ЭВМ.

Способ несанкционированного доступа надежнее установить путем производства судебной информационно-технической экспертизы. Перед экспертом ставится вопрос: «Каким способом был осуществлен несанкционированный доступ в данную компьютерную систему?» Для этого эксперту нужно представить всю проектную документацию на взломанную компьютерную систему, а также данные о ее сертификации. При производстве такой экспертизы не обойтись без использования компьютерного оборудования той же системы, которую взломал преступник, либо специальных технических и программных средств.

В ряде случаев целесообразно производство следственного эксперимента для проверки возможности преодоления средств защиты компьютерной системы одним из предполагаемых способов. Одновременно может быть проверена возможность появления на экране дисплея закрытой информации или ее распечатки вследствие ошибочных, неумышленных действий оператора либо из-за случайного технического сбоя в электронном оборудовании.

Выясняя надежность средств зашиты компьютерной информации, прежде всего следует установить, предусмотрены ли в данной системе или сети ЭВМ меры защиты от несанкционированного доступа, в том числе к определенным файлам. Это выясняется в ходе допросов разработчиков и пользователей системы, а также при изучении проектной документации и инструкций по эксплуатации системы. Изучая инструкции, нужно обращать особое внимание на разделы о мерах защиты информации, порядке допуска пользователей к конкретным данным, разграничении их полномочий, организации контроля за доступом. Важно разобраться в аппаратных, программных, криптографических, организационных и других методах защиты информации, поскольку для обеспечения высокой степени надежности компьютерных систем, обрабатывающих документированную информацию с ограниченным доступом, используется комплекс мер по обеспечению их безопасности от несанкционированного доступа.

Так, законодательством предусмотрена обязательная сертификация средств защиты систем и сетей ЭВМ, а также обязательное лицензирование всех видов деятельности в области проектирования и производства названных средств. Поэтому в ходе расследования необходимо выяснить: 1) есть ли лицензия на производство средств защиты информации от несанкционированного доступа, задействованных в данной компьютерной системе, и 2) соответствуют ли их параметры выданному сертификату. Ответить на последний вопрос может информационно-техническая экспертиза, с помощью которой выясняется: соответствуют ли средства защиты информации от несанкционированного доступа, использованные в данной компьютерной системе, выданному сертификату? Правда, ответственность за выявленные отклонения, позволившие несанкционированный доступ к компьютерной информации, ложится на пользователя системы, а не на разработчика средств ее защиты.

При установлении лиц, совершивших несанкционированный доступ к закрытой компьютерной информации

При установлении лиц, совершивших несанкционированный доступ к закрытой компьютерной информации, следует учитывать, что он является технологически весьма сложным. Осуществить его могут только специалисты, имеющие достаточно высокую квалификацию. Поэтому поиск подозреваемых лучше начинать с технического персонала пострадавших компьютерных систем или сетей. Это в первую очередь их разработчики, а также руководители, операторы, программисты, инженеры связи, специалисты по защите информации и т.д.

Следственная практика свидетельствует, что, чем технически сложнее способ проникновения в компьютерную систему или сеть, тем легче установить подозреваемого, ибо круг специалистов, обладающих соответствующими способностями, весьма ограничен.

Похищенные программы и базы данных могут быть обнаружены в ходе обысков у обвиняемых, а также при оперативно-розыскных мероприятиях. Если незаконно полученная информация - конфиденциальна или имеет категорию государственной тайны , то вред, причиненный ее разглашением, устанавливается представителями Гостехкомиссии РФ.

Факты незаконного изменения, уничтожения, блокирования информации, выведения из строя компьютерного оборудования, закачки в информационную систему заведомо ложных сведений устанавливаются прежде всего самими пользователями компьютерной системы или сети. Надо помнить, что не все эти негативные последствия наступают в результате умышленных действий. Их причиной могут стать случайные сбои в работе компьютерного оборудования, происходящие довольно часто.

При определении размера вреда, причиненного несанкционированным доступом, учитываются не только прямые затраты на ликвидацию негативных последствий, но и упущенная выгода. Такие последствия устанавливаются в ходе следственного осмотра компьютерного оборудования и носителей информации с анализом баз и банков данных, допросов технического персонала, владельцев информационных ресурсов. Вид и размер ущерба обычно определяются посредством комплексной экспертизы, проводимой с участием специалистов в области информатизации, средств вычислительной техники и связи, экономики , финансовой деятельности и товароведения.

На заключительном этапе расследования формируется целостное представление об обстоятельствах, которые облегчили несанкционированный доступ к компьютерной информации. Здесь важно последовательное изучение различных документов, особенно относящихся к защите информации. Весьма значимы материалы ведомственного (служебного) расследования.

К этим обстоятельствам относятся: 1) неэффективность методов защиты компьютерной информации от несанкционированного доступа; 2) совмещение функций разработки и эксплуатации программного обеспечения в рамках одного структурного подразделения; 3) неприменение в технологическом процессе всех имеющихся средств и процедур регистрации операций, действий программ и обслуживающего персонала; 4) нарушение сроков изменения паролей пользователей, а также сроков хранения копий программ и компьютерной информации.

Расследование создания, использования и распространения вредоносных программ для ЭВМ

К вредоносным программам для ЭВМ прежде всего относятся так называемые компьютерные вирусы, т.е. программы, могущие внедряться в другие программы, размножаться и при определенных условиях повреждать компьютерные системы, хранящуюся в них информацию и программное обеспечение. Свое название они получили потому, что многие их свойства аналогичны свойствам природных вирусов. Компьютерный вирус может самовоспроизводиться во всех системах определенного типа. Некоторые из них безопасны, однако большинство приносит существенный вред.

Имеются также иные вредоносные программы, используемые обычно для хищений денежных средств в компьютерных банковских системах и совершения других злоупотреблений в сфере компьютерной информации.

Непосредственный объект данного преступления - это общественные отношения по безопасному использованию ЭВМ, ее программного обеспечения и информационного содержания. Часть 1 ст. 273 УК РФ предусматривает совершение одного из следующих действий: а) создание программы или внесение в нее изменений, заведомо влекущих несанкционированное уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, их системы или сети; б) использование или распространение подобных программ либо машинных носителей с ними. Изменением программы является преобразование алгоритма, описанного в ней на специальном языке, а распространением - расширение сферы ее применения.

Часть 2 этой статьи предусматривает более опасное преступление - любое из вышеуказанных действий, повлекшее тяжкие последствия. Причем возможны две формы вины : умысел по отношению к действиям и неосторожность относительно общественно опасных последствий. Этим преступлениям свойственна высокая латентность, особенно трудно выявлять создателей вредоносных программ.

Основные задачи расследования решаются в такой последовательности: 1) установление факта и способа создания, использования и распространения вредоносной программы для ЭВМ; 2) установление лиц, виновных в названных деяниях, а также вреда, причиненного ими.

Установление факта и способа создания, использования и распространения вредоносной программы для ЭВМ

Установление факта и способа создания, использования и распространения вредоносной программы для ЭВМ. Такая программа обнаруживается, как правило, тогда, когда уже проявились вредные последствия ее действия. Однако она может быть выявлена и в процессе антивирусной проверки, производимой при начале работы на компьютере, особенно если предстоит использование чужих дискет или дисков.

Разработка вредоносных программ для ЭВМ обычно осуществляется одним из двух способов.

1. Вредоносная программа разрабатывается прямо на одном из рабочих мест компьютерной системы, что, как правило, маскируется под правомерную повседневную работу. В силу своих служебных обязанностей разработчик имеет доступ к системе и обрабатываемой в ней информации, в том числе нередко к кодам и паролям. Сокрытие преступного характера своих действий разработчик осуществляет путем удаления компрометирующих данных или их хранения на собственных дискетах.

2. Программа создается вне сферы обслуживания компьютерной системы, для воздействия на которую она ориентирована. Злоумышленнику необходимы сведения о функционирующей в системе информации, способах доступа к ней, методах ее защиты. Для получения этих сведений он устанавливает связи с кем-либо из пользователей системы либо внедряется в нее посредством взлома.

Иногда вредоносная программа создается путем внесения изменений в действующую программу. Например, на Волжском автозаводе оказалось умышленно расстроенной работа трех линий главного сборочного конвейера, управляемого компьютером. Произошло это по вине инженера-программиста Урозбаева, который из низменных побуждений пять месяцев назад ввел в одну из взаимодействующих программ управления накопителем механических узлов заведомо неправильную последовательность команд счета подвесок и подачи шасси на главный конвейер. Тем самым предприятию был причинен крупный материальный ущерб, а кроме того, из-за сверхнормативного простоя главного сборочного конвейера не было собрано около 500 автомобилей «Жигули».

На факт создания вредоносной программы могут косвенно указывать следующие обстоятельства: а) повышенная заинтересованность посторонних лиц алгоритмами функционирования программ, работой системы блокировки и защиты, входной и выходной информацией; б) внезапный интерес к программированию лиц, в круг обязанностей которых оно не входит. Эти обстоятельства выявятся как в ходе оперативно-розыскных мероприятий, так и при производстве следственных действий, в частности допросов пользователей компьютерной системы, в которой обнаружились признаки действия вредоносной программы.

О создании вредоносной программы свидетельствуют факты ее использования и распространения, особенно данные, позволяющие заподозрить конкретное лицо в такой противоправной деятельности. При этом необходимы своевременные и тщательно произведенные обыски в местах работы и жительства подозреваемого, а также там, откуда он мог наладить доступ к компьютерной системе. К обыску целесообразно привлечь специалиста-программиста, который поможет обнаружить все имеющее отношение к созданию вредоносной программы для ЭВМ.

Факты использования и распространения вредоносной программы

Факты использования и распространения вредоносной программы нередко обнаруживаются с помощью антивирусных программ. В ходе расследования такие факты можно установить при осмотре следующих документов: а) журналов учета рабочего времени , доступа к вычислительной технике, ее сбоев и ремонта, регистрации пользователей компьютерной системы или сети, проведения регламентных работ; б) лицензионных соглашений и договоров на пользование программными продуктами и их разработку; в) книг паролей; приказов и других документов, регламентирующих работу учреждения и использование компьютерной информации. Эти документы нередко ведутся в электронной форме, поэтому к ознакомлению с ними необходимо привлекать специалиста. При изучении журналов, книг, соглашений и другой документации следователь может выяснить законность использования того или иного программного обеспечения, систему организации работы учреждения и использования в нем информации, доступа к ней и компьютерной технике, круг лиц, имевших на это право .

Конкретное место нарушения правил эксплуатации ЭВМ можно установить при осмотре автоматизированных рабочих мест пользователей компьютерной системы или сети. Осмотру подлежат все подключенные к ним ЭВМ. Осмотр должен проводиться с участием специалиста, помогающего выяснить дислокацию компьютера, работа на котором привела к вредным последствиям из-за преступного нарушения правил его эксплуатации.

Необходимо различать место нарушения правил и место наступления вредных последствий. Они не всегда совпадают, особенно когда нарушаются правила эксплуатации компьютерных сетей, в которых персональные ЭВМ подчас расположены на значительных расстояниях друг от друга.

При расследовании нарушения правил эксплуатации компьютерной сети очень важно установить, где расположена станция, эксплуатация которой велась с грубыми отступлениями от требований информационной безопасности. В первую очередь следует определить места, где по схеме развертывания сети дислоцированы рабочие станции, имеющие собственные дисководы, так как именно на них имеются потенциальные возможности для преступных нарушений правил эксплуатации компьютерной сети. Это, например, возможность для нарушителя скопировать данные с файлового сервера на свою дискету или использовать дискеты с различными программами, в том числе с компьютерными вирусами.

Такие действия, ставящие под угрозу целостность информации, содержащейся в центральных файловых серверах, на бездисковых рабочих станциях исключены. Рекомендуется производить следственный осмотр учетных данных, в которых могут быть отражены сведения о расположении конкретной рабочей станции, использующей файловый сервер. Кроме того, необходимо допросить в качестве свидетелей администратора сети и специалистов, обслуживающих файловый сервер, в котором произошло уничтожение, блокирование или модификация компьютерной информации.

Подлежат выяснению следующие вопросы: 1) на какой рабочей станции могли быть нарушены правила эксплуатации компьютерной сети, где она расположена; 2) могли ли быть нарушены правила эксплуатации данной локальной вычислительной сети на конкретной рабочей станции.

Если правила нарушены непосредственно на файловом сервере, то места нарушения и наступления вредных последствий совпадают.

Место нарушения правил может установить и информационно-техническая экспертиза, если перед ней поставлен вопрос: на какой конкретно рабочей станции локальной вычислительной сети были нарушены правила ее эксплуатации, что повлекло наступление вредных последствий?

При определении времени нарушения правил эксплуатации ЭВМ необходимо установить и зафиксировать еще и время наступления вредных последствий. Нарушение правил и наступление таких последствий могут произойти одновременно. Так, при отключении электропитания вследствие нарушения установленных правил обеспечения информационной безопасности может быть мгновенно уничтожена введенная в ЭВМ очень важная информация, которую не успели записать на дискету. Это неизбежно происходит в случае отсутствия источников автономного электропитания, автоматически подключающихся при отключении основного.

Возможен и большой временной интервал между моментом нарушения правил и временем наступления вредных последствий. Например, в определенный момент времени злоумышленник в нарушение установленных правил вносит изменения в программу или базу данных, а значительно позже наступают вредные последствия.

Время нарушения правил обычно конкретизируется по учетным данным, которые фиксируются в процессе эксплуатации ЭВМ. К ним относятся сведения о результатах применения средств автоматического контроля компьютерной системы, регистрирующих ее пользователей и моменты подключения к ней абонентов, содержание журналов учета сбойных ситуаций, передачи смен операторами ЭВМ, распечатки выходной информации, где, как правило, фиксируется время ее обработки.

Указанные данные могут быть получены благодаря осмотру места происшествия , выемке и осмотру необходимых документов. Осмотр места происшествия и документов проводится с участием специалиста. Время нарушения правил можно установить также путем допросов свидетелей из числа лиц, участвующих в эксплуатации ЭВМ. Допрашиваемым целесообразно задать следующие вопросы: 1) каким образом в данной компьютерной системе фиксируются факты и время отклонения от установленных правил эксплуатации ЭВМ; 2) когда могло быть нарушено определенное правило эксплуатации ЭВМ, повлекшее вредные последствия.

При необходимости может быть назначена судебная информационно-техническая экспертиза, перед которой для установления времени преступного нарушения правил можно сформулировать следующие вопросы: 1) как технически осуществляется автоматическая фиксация времени обращения пользователей к данной компьютерной системе или сети и всех изменений, происходящих в их информационных массивах; 2) можно ли по представленным машинным носителям информации установить время нарушения определенных правил эксплуатации ЭВМ, если да, то когда нарушение произошло.

Время наступления вредных последствий устанавливается по материалам служебного расследования и результатам осмотра места происшествия, а также путем допроса свидетелей и производства судебных экспертиз.

При осмотре места происшествия могут быть обнаружены машинные носители информации, на которых ранее хранились важные, охраняемые законом данные. Последние вследствие нарушения правил эксплуатации ЭВМ оказались уничтоженными или существенно измененными либо заблокированными. На носителях может быть зафиксировано время наступления таких последствий, которое выясняется при следственном осмотре, с помощью специалиста.

Указанные последствия часто обнаруживаются пользователями компьютерной системы или сети, а также администраторами базы данных. Поэтому при их допросах в качестве свидетелей следует уточнить, когда они впервые обнаружили отсутствие или существенное изменение сведений, находившихся в определенной базе данных.

Время наступления вредных последствий можно установить и в результате производства информационно-технической экспертизы, на разрешение которой ставятся следующие вопросы: 1) как технически осуществляется автоматическая фиксация времени уничтожения или изменения базы данных либо блокирования отдельных файлов; 2) можно ли по стертым или измененным вследствие нарушения правил эксплуатации ЭВМ базам данных установить время наступления вредных последствий и если да, то когда они наступили.

Способ нарушения правил эксплуатации ЭВМ может быть как активным, так и пассивным. Первый выражается в самовольном выполнении непредусмотренных операций при компьютерной обработке информации, а второй - в невыполнении предписанных действий.

Механизм нарушения

Механизм нарушения таких правил связан с технологией обработки информации на ЭВМ. Это, например, неправильное включение и выключение ЭВМ, использование посторонних дискет без предварительной проверки на наличие компьютерного вируса, невыполнение требования об обязательном копировании информации для ее сохранения на случай уничтожения оригинала.

Способ и механизм нарушения правил выясняется путем допросов свидетелей , подозреваемых и обвиняемых, проводимых с участием специалистов, проведения следственного эксперимента , производства судебной информационно-технической экспертизы. При ее назначении может быть поставлен вопрос: «Каков механизм нарушения правил эксплуатации ЭВМ?»

При допросах выясняется последовательность той или иной операции на ЭВМ, которая привела к нарушению правил. В ходе следственного эксперимента проверяется возможность наступления вредных последствий при нарушении определенных правил. Он проводится с использованием копий исследуемой информации и по возможности на той же ЭВМ, при работе на которой правила эксплуатации были нарушены.

Характер ущерба

Характер ущерба, причиненного преступным нарушением правил эксплуатации ЭВМ, может заключаться в уничтожении, блокировании или модификации охраняемой законом информации. Ущерб носит либо чисто экономический характер, либо вредит интересам государства вследствие утечки сведений, составляющих государственную тайну . Разглашение или утрата такой информации может создать серьезную угрозу внешней безопасности Российской Федерации, что влечет еще и уголовную ответственность по ст. 283 и 284 УК РФ. Степень секретности информации определяется в соответствии с Законом «О государственной тайне».

Размер ущерба устанавливается посредством информационно-экономической экспертизы, разрешающей вопрос: «Какова стоимость информации, уничтоженной (или измененной) вследствие нарушения правил эксплуатации ЭВМ?»

При установлении лица, допустившего преступное нарушение правил эксплуатации ЭВМ, следует иметь в виду, что виновным согласно ч. 1 ст. 274 УК может быть лицо, имеющее доступ к ЭВМ, их системе или сети. При этом необходимо различать субъектов, имеющих доступ к ЭВМ, и тех, кто имеет доступ к компьютерной информации, ибо не всякое лицо, допущенное к ЭВМ, имеет доступ к компьютерной информации. К ЭВМ, их системе или сети, как правило, имеют доступ определенные лица в силу выполняемой ими работы, связанной с применением средств компьютерной техники. Среди них и следует устанавливать нарушителей правил.

В отношении каждого из них устанавливается: а) фамилия, имя, отчество; б) занимаемая должность (относится к категории должностных лиц, ответственных за информационную безопасность и надежность работы компьютерного оборудования, либо к категории непосредственно отвечающих за обеспечение выполнения правил эксплуатации данной компьютерной системы или сети); в) образование, специальность, стаж работы по специальности и в данной должности, уровень профессиональной квалификации; г) конкретные обязанности по обеспечению информационной безопасности и нормативные акты , которыми они установлены (положение, приказ, распоряжение, контракт, договор , проектная документация на автоматизированную систему и пр.); д) причастность к разработке, внедрению в опытную и промышленную эксплуатацию данной компьютерной системы или сети; е) наличие и объем доступа к базам и банкам данных; ж) характеристика лица по месту работы; з) наличие домашнего компьютера и оборудования к нему.

Все это устанавливается посредством допросов свидетелей , подозреваемого и обвиняемого, осмотра и изучения эксплуатационных документов на данную компьютерную систему, осмотра компьютера, оборудования к нему, машинных носителей информации и распечаток.

Виновность лица

Виновность лица, совершившего преступное нарушение правил эксплуатации ЭВМ, устанавливается по результатам всех проведенных следственных действий. Соответствующие правила могут быть нарушены как умышленно, так и по неосторожности, в то время как относительно последствий вина может быть только неосторожной. При умышленном нарушении рассматриваемых правил и наличии умысла на наступление вредных последствий должна наступать ответственность за совокупность совершенных преступлений .

Обстоятельства, способствовавшие совершению данного преступления, выявляются путем изучения как общего состояния охраны информационной безопасности в определенной системе или сети, так и факторов, непосредственно обусловивших расследуемое событие. Многие обстоятельства, способствовавшие нарушению правил эксплуатации ЭВМ, устанавливаются по материалам служебного расследования.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Подобные документы

Правовое регулирование отношений в области компьютерной информации. Общая характеристика преступлений в сфере компьютерной информации. Расследование преступления. Фабула и предварительный план расследования.

курсовая работа , добавлен 24.10.2004

Виды преступлений в сфере компьютерной информации, их криминалистические особенности, суть конфиденциальности. Типичные орудия подготовки, совершения и сокрытия преступлений, организация расследования, назначение компьютерно-технической экспертизы.

реферат , добавлен 22.05.2010

Преступления в сфере компьютерной информации. Основные понятия и классификация компьютерных преступлений, методы их предупреждение. Методика раскрытия и расследования компьютерных преступлений. Статьи российского законодательства, примеры уголовных дел.

презентация , добавлен 26.05.2012

История компьютерной преступности. Общая характеристика преступлений в сфере компьютерной информации. Пробелы уголовно-правового регулирования неправомерного доступа к компьютерной информации. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

курсовая работа , добавлен 04.07.2010

Понятие компьютерной информации, развитие информационных отношений, последствия информатизации общества. Сущность и общая характеристика преступлений в сфере компьютерной информации. Способы защиты компьютерной информации от преступных посягательств.

реферат , добавлен 15.11.2011

Понятие и тенденции преступлений в сфере компьютерной информации. Объективная и субъективная сторона неправомерного доступа к компьютерной информации. Анализ состояния уголовно-правовой борьбы с данным видом преступлений, пути ее совершенствования.

дипломная работа , добавлен 09.01.2013

Криминалистическая характеристика преступлений в сфере предпринимательства. Анализ преступлений в сфере предпринимательской деятельности. Методика и тактика расследования преступлений в сфере предпринимательской деятельности (следственные ситуации).

курсовая работа , добавлен 25.06.2014

В ходе расследования основные следственные задачи целесообразно решать в такой последовательности:

1. Установление факта неправомерного доступа к информации в компьютерной системе или сети.
2. Установление места несанкционированного проникновения в компьютерную систему или сеть.
3. Установление времени совершения преступления.
4. Установление надежности средств защиты компьютерной информации.
5. Установление способа несанкционированного доступа.
6. Установление лиц, совершивших неправомерный доступ, их виновности и мотивов преступления.
7. Установление вредных последствий преступления.
8. Выявление обстоятельств, способствовавших преступлению.

Определить место и время непосредственного применения технических средств удаленного несанкционированного доступа (не входящих в данную компьютерную систему или сеть) на практике бывает достаточно трудно. Для установления этих данных необходимо привлекать специалистов.

Способ несанкционированного доступа может быть установлен путем производства информационно-технической судебной экспертизы, перед экспертом следует поставить вопрос: «Каким способом мог быть совершен несанкционированный доступ в данную компьютерную систему?». Целесообразно представить эксперту всю проектную документацию на исследуемую систему (если таковая имеется), а также имеющиеся данные о ее сертификации.

Несанкционированный доступ к закрытой компьютерной системе или сети является технологически весьма сложным действием. Совершить такую акцию могут только специалисты, имеющие достаточно высокую квалификацию. Поэтому поиск подозреваемых следует начинать с технического персонала пострадавших компьютерных систем или сетей (разработчиков соответствующих систем, их руководителей, операторов, программистов, инженеров связи, специалистов по защите информации и других).

Следственная практика показывает, что чем сложнее в техническом отношении способ проникновения в компьютерную систему или сеть, тем легче выделить подозреваемого, поскольку круг специалистов, обладающих соответствующими способностями, обычно весьма ограничен.

1) Установление факта и способа создания вредоносной программы для ЭВМ.
2) Установление факта использования и распространения вредоносной программы.
3) Установление лиц, виновных в создании, использовании и распространении вредоносных программ для ЭВМ.
4) Установление вреда, причиненного данным преступлением.
5) Установление обстоятельств, способствовавших совершению расследуемого преступления.

1) место и время (период времени) нарушения правил эксплуатации ЭВМ;
2) характер компьютерной информации, подвергшейся уничтожению, блокированию или модификации вследствие нарушения правил эксплуатации компьютерной системы или сети;
3) способ и механизм нарушения правил;
4) характер и размер ущерба, причиненного преступлением;
5) факт нарушения правил определенны лицом;
6) виновность лица, допустившего преступное нарушение правил эксплуатации ЭBM;
7) обстоятельства, способствовавшие совершению расследуемого преступления.

Помимо этого, следователю необходимо знать, что существует много особенностей, которые должны учитываться при производстве отдельных следственных действий.

Приведу некоторые из них.

Если следователь располагает информацией, что на объекте обыска находятся средства компьютерной техники, расшифровка данных, с которых может дать доказательства по делу, он должен заранее подготовиться к их изъятию. Необходимо обеспечить участие в ходе обыска специалиста по компьютерной технике. По прибытии на место обыска следует сразу же принять меры к обеспечению сохранности ЭВМ и имеющихся на них данных и ценной информации.

Для этого необходимо:

1) не разрешать, кому бы то ни было из лиц, работающих на объекте обыска или находящихся здесь по другим причинам (персоналу), прикасаться к ЭВМ с любой целью;
2) не разрешать, кому бы то ни было из персонала выключать электроснабжение объекта;
3) в случае если на момент начала обыска электроснабжение объекта выключено, то до его восстановления следует отключить от электросети всю компьютерную технику, находящуюся на объекте;
4) самому не производить никаких манипуляций со средствами компьютерной техники, если результат этих манипуляций заранее неизвестен;

При этом следует принять во внимание следующие неблагоприятные факторы:

- возможные попытки со стороны персонала повредить ЭВМ с целью уничтожения информации и ценных данных;
- возможное наличие на компьютерах специальных средств защиты от несанкционированного доступа, которые, не получив в установленное время специальный код, автоматически уничтожат всю информацию;
- возможное наличие на ЭВМ иных средств защиты от несанкционированного доступа;
- постоянное совершенствование компьютерной техники, следствием чего может быть наличие на объекте программно-технических средств, незнакомых следователю.

1. Перед выключением питания по возможности корректно закрыть все используемые программы, а в сомнительных случаях просто отключить компьютер (в некоторых случаях некорректное отключение компьютера - путем перезагрузки или выключения питания без предварительного выхода из программы и записи информации на постоянный носитель - приводит к потере информации в оперативной памяти и даже к стиранию информационных ресурсов на данном компьютере).
2. При наличии средств защиты, ЭВМ от несанкционированного доступа принять меры к установлению ключей доступа (паролей, алгоритмов и т.д.).
3. Корректно выключить питание всех ЭВМ, находящихся на объекте (в помещении).
4. Не пытаться на месте просматривать информацию, содержащуюся в компьютерах.
5. В затруднительных случаях не обращаться за консультацией (помощью) к персоналу, а вызывать специалиста, не заинтересованного в исходе дела.
6. Следует изъять все ЭВМ, обнаруженные на объекте.
7. При обыске не подносить ближе, чем на 1 м к компьютерной технике металлоискатели и другие источники магнитного поля, в т. ч. сильные осветительные приборы и некоторую спецаппаратуру.
8. Поскольку многие, особенно неквалифицированные, пользователи записывают процедуру входа-выхода, работы с компьютерной системой, а также пароли доступа на отдельных бумажных листках, следует изъять также все записи, относящиеся к работе с ЭВМ.
9. Так как многие коммерческие и государственные структуры прибегают к услугам нештатных и временно работающих специалистов по обслуживанию средств компьютерной техники, следует записать паспортные данные у всех лиц, находящихся на объекте, независимо от их объяснений цели пребывания на объекте.

При изъятии средств компьютерной техники необходимо обеспечить строгое соблюдение требований действующего уголовно-процессуального законодательства. Для этого необходимо акцентировать внимание понятых на всех производимых действиях и их результатах, давая им при необходимости пояснения, поскольку многим участникам следственного действия могут быть непонятны производимые манипуляции. Кроме того, следует опечатывать ЭВМ так, чтобы исключить возможность работы с ними, разукомплектовки и физического повреждения основных рабочих компонентов в отсутствие владельца или эксперта. При опечатывании компьютерных устройств следует наложить один лист бумаги на разъем электропитания, расположенный на задней панели, второй - на переднюю панель вверху с захлестом на верхнюю панель и закрепить их края густым клеем. На листах бумаги должны быть подписи следователя, понятых и представителя персонала. При изъятии магнитного носителя машинной информации нужно помнить, что они должны перемещаться в пространстве и храниться только в специальных опломбированных и экранированных контейнерах или в стандартных дискетных или иных алюминиевых футлярах заводского изготовления, исключающих разрушающее воздействие различных электромагнитных и магнитных полей и «наводок», направленных излучений.

В случае, когда необходимо сослаться непосредственно на определенный физический носитель, следует указать в протоколе его серийный (заводской) номер, тип, название (если есть) или провести его точное описание (размеры, цвет, класс, надписи, физические повреждения). При отсутствии четких внешних признаков физический носитель запечатывается в отдельную коробку (ящик, конверт) о чем обязательно делается отметка в протоколе проведения следственного действия.

В случае невозможности изъятия и приобщения к делу в качестве вещественного доказательства средства компьютерной техники (например, если компьютер является сервером или рабочей станцией компьютерной сети) в обязательном порядке после его осмотра необходимо блокировать не только соответствующее помещение, но и отключать источники энергопитания аппаратуры или, в крайнем случае, создать условия лишь для приема информации с одновременным опломбированием всех необходимых узлов, деталей, частей и механизмов компьютерной системы.

Главная » Недвижимость » Расследование преступлений в сфере компьютерной информации. Факт неправомерного доступа к информации