По делу о неправомерном доступе к компьютерной информации в ходе осмотра места происшествия следователь осмотрел работающий компьютер, затем выключил его и продолжил изучение…

Рассмотрим подробно ситуацию и ответим на поставленные вопросы.

Анализ ситуации:

Следователь проводит осмотр компьютера, после чего выключает его и продолжает исследовать помещение. Обвиняемый утверждает, что действие следователя — уничтожение информации — не имелось в виду, а «стирание» информации произошло случайно или самостоятельно, без его признаваемого участия. Следователь поясняет, что он только просмотрел запущенные программы, корзину и структуру каталогов, никаких данных не удалял.

Понятные это ситуации вызвали сомнения в суде, поскольку понятые — лица с минимальными знаниями о работе компьютера — были удивлены действиями следователя и не поняли, что он делал.

1. В чем заключались тактические просчеты следователя при проведении осмотра компьютера, приведшие к сомнениям в суде?

Основные тактические просчеты:

• Проведение осмотра без должной фиксации действий: Следователь посмотрел запущенные программы, корзину и структуру каталогов, не зафиксировав свои шаги в протоколе, что создает впечатление, будто он мог удалять или изменять данные, даже если этого не делал сознательно.

• Выключение компьютера без создания образа диска: Отключение устройства — опасный момент, так как это может привести к потере данных, а также к возможным подозрениям, что были предприняты необоснованные действия по удалению информации.

• Отсутствие документации или выводов, подтверждающих, что никакого уничтожения информации не было: Следователь не предоставил доказательств, что он не удалял или не изменял файлы, что вызывает подозрения в неправомерных действиях.

• Недостаточная разъяснительная работа с понятыми и стороной защиты: Понимание понятыми и обвиняемым действий следователя было минимальным, что усугубило восприятие его действий как потенциальных неправомерных.

• Недостаточная подготовка к объяснению своих действий в суде, что породило подозрения, что следователь не придерживался стандартных процедур экспертизы, включающей создание копий или образов диска.

2. Какие действия должен произвести следователь для установления истины?

Для избежания сомнений и обеспечения законности:

• Создать полную клон или образ диска: Перед осмотром следователь должен изъять копию носителя или его образ (или сделать бит-фикс), чтобы показать, что изначально данные не будут повреждены, а все действия совершаются с копией.

• Доказать, что он не удалял и не модифицировал файлы: Первыми действиями — зафиксировать содержимое системы, провести проверку логов, журналов работы системы (если есть), и зафиксировать состояние файловой системы.

• Обеспечить участие понятых и сторонних свидетелей, объясняющих сложные действия: Если понятые мало понимают работу компьютера, следователь должен объяснить им свои действия простыми словами, чтобы исключить подозрения или неверное восприятие.

• Вести протокол с подробными записями: В протоколе должны фиксироваться все сделанные шаги, а также технологические операции по созданию образа диска и проверке данных.

• Провести экспертизу — назначить судебную компьютерную экспертизу: Для установления, что никаких данных не было уничтожено или повреждено, необходимо привлечь специалистов для проверки сделанных копий и образов.

• Объяснить действия в понятных условиях, показать документацию и схемы: Следователь должен ясно и подробно объяснить, что его действия не предполагают уничтожения данных, а направлены исключительно на сбор доказательств.

Заключение:
Тактические просчеты следователя — недостаточная фиксация и прозрачность процедур, что вызвало подозрения в неправомерных действиях. Для предотвращения подобных ситуаций следователь должен действовать прозрачно и документировать каждое действие, обязательно создавая образ диска и привлекая экспертов — это обеспечит доверие суда и законность проведения осмотра.