Содержание

Введение

Глава 1. Общие положения о преступлениях в сфере высоких информационных технологии
1.1. История развития преступлений в сфере высоких информационных технологии
1.2. Уголовно правовая характеристика преступлений в сфере высоких информационных технологии

Глава 2. Методика расследования преступлений в сфере высоких информационных технологии
2.1. Криминалистическая характеристика преступлений в сфере высоких информационных технологии
2.2. Типичные следственные ситуации и меры по их разрешению.

Глава 3. Тактика отдельных следственных действий
3.1. Особенности производства осмотра, обысков и выемок
3.3. Особенности производства экспертизы

Глава 4 КРИМИНАЛИСТИЧЕСКИЕ СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ

Заключение

Список использованной литературы

Введение

Процесс построения суверенного, демократического, светского, правового и социального государства в нашей республике, согласно Конституции 1995 года, неразрывно связан с идеей повышения эффективности мер борьбы с явлениями, препятствующими этому процессу, один из которых - преступность. Переход к рыночной экономике обострил кризисные проявления практически во всех сферах общественной жизни, обусловил рост преступности, ее качественные негативные изменения. 
Массовая информатизация сегодняшнего общества, призванная облегчить существование в ней людей, получила широкое распространение и в Казахстане. Вопросам использования достижений науки и техники в области информации уделяет внимание Президент РК Н.А.Назарбаев. В своем Послании народу, он отмечает, что одним из условий успешного развития нашего государства является «процесс глобализации и научно-технического прогресса, особенно в развитии новых информационных и телекоммуникационных технологий, представляет уникальные возможности для нашей большой, но малонаселенной страны. Однако ничто не гарантирует, что мы будем идти в ногу с этими процессами. Следовательно, крайне важно понимать эти технологии, добиваться их полной интеграции в наше общество, поддерживать научно-технические кадры». 
Вместе с тем, интеграция информационных технологий имеет место и в преступной среде, подрывая информационную безопасность государства. В законе Республики Казахстан «О национальной безопасности» от 26 июня 1998 года обеспечение информационной безопасности признано необходимой мерой по обеспечению национальной безопасности Казахстана. Борьба с преступлениями в информационной области стала составной частью политики государства, что явилось причиной внесения изменений и дополнений в ряд действующих законодательных актов, расширяя таким образом нормативно-правовую базу для расследования этих преступлений. Президент Республики Казахстан Н.А.Назарбаев, определяя основные направления внутренней и внешней политики на 2004 год, указывает, что руководством страны принимаются последовательные меры по укреплению национальной безопасности и внутриполитической стабильности в Казахстане. Так, принятие Закона Республики Казахстан «Об информатизации» в мае 2003 года восполнило пробелы, существенно влиявшие на проблемы процесса информатизации в современном казахстанском обществе. 
Однако следует отметить, что, обладая широким спектром знаний в сфере информационных технологий, преступники имеют низкие шансы в своем изобличении, так как в этой области сотрудники правоохранительных органов подготовлены недостаточно. Именно недостаточная разработка проблем расследования данного вида преступления, их актуальность явилось основанием для выбора данной темы дипломной работы и необходимость новых научных исследований и детальной разработки вопросов использования новых средств и способов доказывания преступлений, связанных с применением высоких информационных технологий. 
В настоящей дипломной работе рассматриваются вопросы усиления доказательственной базы, связанные с использованием криминалистических и иных судебных экспертиз при расследовании преступлений, где применялись устройства сбора, обработки и хранения информации, которые в настоящее время приобретают актуальность и значимость, представляя интерес как с научной, так и с практической точки зрения.
Работа состоит из 4 глав, введения, заключения и списка использованной литературы.  

Глава 1. Общие положения о преступлениях в сфере высоких информационных технологии

1.1. История развития преступлений в сфере высоких информационных технологии

Информатизация современного общества привела к формированию новых видов преступлений, при совершении которых используются вычислительные системы, новейшие средства телекоммуникации и связи, средства негласного получения информации и т.п. За последние 10-15 лет резко увеличилось количество преступлений с использованием вычислительной техники или иной электронной аппаратуры, хищения наличных и безналичных денежных средств. Для совершения преступлений все чаще используются устройства, в основе которых лежат высокоточные технологии их изготовления и функционирования, иными словами, это преступления, в которых используются высокие технологии.
Первое преступление в СССР было совершено в 1979 году в Вильнюсе. Ущерб государству тогда составил 80 тысяч рублей - на эти деньги можно было приобрести 8 автомобилей "Волга". В 1997 году в сфере высоких технологий на территории России было зафиксировано уже 300 преступлений, а в 2000 году - более 1300. На Украине в 2002 году было возбуждено 31 уголовное дело, из которых 29 на настоящий момент окончены производством. С начала 2003 года на Украине возбуждено уже 10 уголовных дел рассматриваемой категории. В Казахстане до 2002 года было зарегистрировано всего 17 сходных преступлений. 
Жертвами преступников становятся учреждения, предприятия и организации, использующие автоматизированные компьютерные системы для обработки бухгалтерских документов, проведения платежей и других операций. Чаще всего мишенями преступников становятся банки. Особая актуальность вопросов защищенности технических средств приема, передачи и накопления информации от несанкционированного доступа была отмечена и отечественным законодателем, в частности законом РК №233-1 "О национальной безопасности" от 26 июня 1998 года введением понятия "информационная безопасность". 
Остается актуальной проблема борьбы с организованной преступностью, которая, прибегая к услугам высококвалифицированных специалистов, стала все чаще использовать различные технические средства - от обычных персональных компьютеров и традиционных средств связи до сложных вычислительных систем и глобальных информационных сетей, в том числе и Интернет. Сфера применения компьютерных технологий в преступных целях весьма обширна. Например, по данным ОКУ ГУВД г.Алматы, практически каждый второй поддельный денежный знак изготавливается с использованием компьютерной обработки и распечатки на цветном принтере. Объясняется это, прежде всего общедоступностью такого рода информационных технологий и простотой их эксплуатации. 
Компьютерно-информационные технологии функционируют относительно давно, и их развитие происходит огромными темпами, что связано с большой заинтересованностью ими широких слоев населения. Преступления, связанные с использованием компьютерной техники, - это лишь специализированная часть преступной деятельности в информационной сфере. К данной категории относятся и преступления, при совершении которых осуществляется неправомерный доступ к охраняемой законом компьютерной информации. 
Огромен и вред от такого рода преступлений. По оценкам специалистов, в среднем экономический ущерб только от одного такого преступления в США составляет 450 тыс. долларов. Ежегодные же потери оцениваются: в США - 100 млрд. долларов; в Великобритании - 4,45 млрд. долларов; в странах Западной Европы - 30 млрд. долларов.. Эти потери подчеркивают важность и серьезность убытков, связанных с компьютерами. 
Кроме того, следует отметить, что подобные преступления все чаще совершаются сотрудниками фирмы, банка или другого учреждения, которым в конечном итоге и наноситься ущерб. В США компьютерные преступления, совершенные служащими, составляют 70-80 процентов ежегодного ущерба, связанного с компьютерами. В Казахстане то же существует такая тенденция. Например, в 2000 году в Лондоне были арестованы О. Зезов и И. Яримак, граждане Казахстана, по обвинению в неавторизированном компьютерном проникновении, заговоре, нанесении вреда коммерции путем вымогательства и попытке нанесения вреда путем вымогательства с использованием корпоративной информации компании Bloomberg LP. Сумма шантажа составляла 200 тысяч долларов. Оба казахстанца были арестованы в аэропорту в момент передачи денег. Примечательно, что оба они работали в компании, производящей базы данных для Bloomberg LP, и воспользовались полученной в ходе этого информацией для достижения своих преступных целей. Суд над ними состоялся лишь летом 2002 года, исходя из сложности доказывания такого преступления. В США, где проходило судебное разбирательство, максимальный срок наказания по совокупности за эти преступления составляет 28 лет. 
По свидетельству специалистов, наиболее привлекательным сектором экономики практически любой страны является ее кредитно-финансовая система. Наиболее распространенным в этой области являются компьютерные преступления, совершаемые путем несанкционированного доступа к банковским базам данных посредством телекоммуникационных сетей. В России, например, только за 1998 год было выявлено 15 подобных преступлений, в ходе расследования которых были установлены факты незаконного перевода 6,3 млрд. рублей. Вообще, в 1998 году в России было возбуждено 39 уголовных дел в области злоупотребления компьютерной информацией, тогда как в 1997 году – всего лишь 9 уголовных дел. В целом, в Российской Федерации в настоящий момент завершено производством около 100 уголовных дел, предусмотренных главой 28 Уголовного кодекса РФ. В Казахстане таковых дел единицы.
Однако компьютерная техника и средства коммуникаций на территории Республики Казахстан используются в большей степени не как объекты посягательства (для сравнения, неправомерный доступ к компьютерной информации, хищение машинного времени, а также денежных средств посредством электронной транзакции - вот далеко не полный перечень преступлений, с которыми вынуждены бороться правоохранительные органы США, Канады, стран Европы и т.д.), а в большей степени как средства преступной деятельности. Причина - высокая латентность данного вида преступлений и слабо развитые, а иногда даже отсутствующие компьютерно-информационные сети. За рубежом, например, активно борются с проблемой латентности. Так, по данным Института компьютерной безопасности США (Computer Security Institute, CSI) из Сан-Франциско, число компаний, сообщавших о компьютерных преступлениях в отношении той или иной их формы, выросло с 1998 по 2001 год почти вдвое - с 17 до 32%.
Еще одна из причин роста таких преступлений в Казахстане – это разрыв в уровнях развития информационного общества по сравнению с Западом, порождающий иногда абсурдные ситуации, нестыковки моральных, правовых стандартов и норм. Создаются условия для соблазна, искушения воспользоваться более удобной и дешевой формой обеспечения информацией. Взять, например, проблему сохранения интеллектуальной собственности. Лицензионные программы стоят очень дорого для массового потребителя и нет моральных преград пользоваться «взломанными» программами, которые во много раз дешевле. 
Как показывает практика, что буквально единицы уголовных дел, возбужденных на территории стран бывшего Советского Союза, по сравнению с западными странами, связаны с незаконным доступом к охраняемой законом компьютерной информации, тогда как в большем количестве дел электронная информация фигурирует в качестве доказательств. Как отмечает В.Б. Крылов, правоохранительным органам становится известно не более 5-10% совершенных компьютерных преступлений. Это связано с тем, что хищение информации долгое время может оставаться незамеченным, поскольку зачастую данные просто копируются. Жертвы компьютерной преступности (большинство из них частные предприниматели) проявляют нежелание контактировать с правоохранительными органами, опасаясь распространения среди вкладчиков и акционеров мнения о собственной халатности и ненадежной работе своей фирмы, что может инициировать отток финансов и последующее банкротство. Например, в Англии преступникам было выплачено 400 миллионов фунтов стерлингов в качестве отступного за обещание не поднимать шума. Преступники осуществили электронное проникновение в ряд банков, брокерских контор и инвестиционных компаний Лондона и Нью-Йорка, установив там программы – вирусы, активизирующиеся по желанию преступников. Банки предпочли удовлетворить требования вымогателей, поскольку огласка случаев электронного взлома могла бы поколебать уверенность клиентов в безопасности банковских систем. 
Если же в России одним из первых наиболее крупных компьютерных преступлений считается уголовное дело о хищении 125,5 тыс. долл. США и подготовке к хищению еще свыше 500 тыс. долл. во Внешэкономбанке СССР в 1991 году, то в Казахстане первое наиболее крупное преступление с использованием компьютерных технологий имело место в 1994 году (хотя такие преступления были зафиксированы и ранее - дело на "Автовазе", хищения в Вильнюсе в 80-е годы). Тогда это было первое уголовное дело против бывшего оператора Алатауского филиала КРАМС - банка г. Алматы Э.Р.Ордабаева, который путем использования ключевой шифровальной дискеты осуществил две фиктивные бухгалтерские проводки на сумму 6 млн. 795 тыс. тенге на счет малого предприятия "Анжелика".
Одним из новых направлений для преступной деятельности в информационной сфере является использование глобальных коммуникационных информационных систем с удаленным доступом к совместно используемым ресурсам сетей, таких как Интернет (International Network – международная система связи). В настоящее время Интернет, использующий в большинстве случаев телефонные линии, представляет собой глобальную систему обмена информационными потоками, объединяющую около 30 000 мелких локальных сетей и более 30 миллионов пользователей, число которых постоянно растет. Вполне закономерно, что подобная информационная сеть, объединившая огромное число людей с возможностью подключения к ней любого человека, стала не только предметом преступного посягательства, но и очень эффективным средством совершения преступлений.
Используя Интернет в качестве среды для противоправной деятельности, преступники очень часто делают акцент на возможности, которые им дает сеть, обмена информацией, в том числе и криминального характера. 
Другая черта сети Интернет, которая привлекает преступников, - возможность осуществлять в глобальных масштабах информационно-психологическое воздействие на людей. Преступное сообщество весьма заинтересовано в распространении своих доктрин и учений, в формировании общественного мнения, благоприятного для укрепления позиций представителей преступного мира, и в дискредитации правоохранительных органов. 
Особо следует отметить опыт зарубежных стран для борьбы с такими преступлениями. В США в "компьютерной столице" страны - Сан-Хосе в штате Калифорния Федеральное бюро расследований объединило службы, занимающиеся расследованием компьютерных преступлений, в единую бригаду, что существенно повысило не только уровень раскрытия преступлений, но и сделало возможным практически мгновенную реакцию ФБР не только на заявления о данных преступлениях, но и на самостоятельное их выявление.  

1.2. Уголовно правовая характеристика преступлений в сфере высоких информационных технологии

Понятие «компьютерных» или же «информационных» преступлений базируется исключительно на действующем уголовном законодательстве в этой области. Действительно, в России, например, глава 28 Уголовного кодекса РФ «Преступления в сфере компьютерной информации» предусматривает три состава преступлений - ст.272-274, в Республике Казахстан – один состав преступлений – ст.227 Уголовного кодекса РК. Название соответствующей главы в Уголовном кодексе РФ некоторые российские ученые связывают с тем, что в формулировании соответствующих составов преступлений законодателем акцент был сделан на защиту именно самой компьютерной информации, хотя и признают, что название главы является в известной мере условным. Вместе с тем в ходе проведенного нами анализа действующего в Казахстане уголовного законодательства было установлено, что при совершении ряда других преступлений могут использоваться информационные технологии, и как показывают приведенные выше примеры различных тенденций развития подобных преступлений, используются они преступниками довольно эффективно. Рассмотрим некоторые действия преступников, использующих информационные технологии, и соответствующие им составы преступлений, предусмотренных в законодательстве РК:
1. Распространение через каналы сети Интернет и местных локальных сетей:
- заведомо ложных сведений, порочащих честь и достоинство лица или подрывающих его репутацию – ст. 129 УК РК «Клевета»;
- информации, связанной с унижением чести и достоинства лица, выраженной в неприличной форме - ст. 130 УК РК «Оскорбление»;
- сведений о частной жизни лиц, составляющих их личную или семейную тайну – ст. 142 УК РК «Нарушение неприкосновенности частной жизни», тайну переписки, телефонных переговоров, почтовых, телеграфных или других сообщений – ст. 143 УК РК «Незаконное нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений»;
- информации, призывающей к развязыванию агрессивной войны – ст. 157 УК РК «Пропаганда и публичные призывы к развязыванию агрессивной войны», к насильственному изменению государственного строя – ст. 170 УК РК «Призывы к насильственному свержению или изменению конституционного строя либо насильственному нарушению единства территории Республики Казахстан», составляющей государственную тайну – ст. 172 УК РК «Разглашение государственной тайны» и т.п.; 
- информации порнографического характера – ст. 273 УК РК «Незаконное распространение порнографических материалов и предметов». 
2. Мошенничество в сфере использования азартных игр (казино, лотереи и тотализаторы), организации финансовых пирамид, фиктивных брачных контор и фирм по оказанию несуществующих услуг – ст.177 УК РК «Мошенничество».
3. Получение вознаграждения за неразглашение сведений, полученных в ходе несанкционированного доступа к информации, составляющей коммерческую или банковскую тайну, – ст.181 УК РК «Вымогательство», ст. 200 УК РК «Незаконное получение и разглашение сведений, составляющих коммерческую или банковскую тайну».
4. Незаконное копирование и продажа программных продуктов, находящихся на серверах компаний, которые являются владельцами этих программ, с присвоением их авторства другим лицом либо компанией – ст. 184 УК РК «Нарушение прав интеллектуальной собственности», а также использование преступником логотипа или наименования товара другой фирмы – ст.199 УК РК «Незаконное использование товарного знака».
5. Изготовление с использованием средств компьютерной техники поддельных денежных знаков и документов – ст. 206 УК РК «Изготовление или сбыт поддельных денег или ценных бумаг», ст. 207 «Изготовление или сбыт поддельных платежных карточек и иных платежных и расчетных документов», ст.208 УК РК «Подделка и использование марок акцизного сбора» и т.п.
Таким образом, уголовная ответственность за использование информационных технологий для совершения преступлений охватывает довольно большой перечень общественных отношений, гораздо обширнее, на наш взгляд, чем отношения в области компьютерной информации, но менее обширный, чем информационные отношения. 
Очевидно, что частная методика расследования подобных преступлений не будет являться основной, предпочтение будет отдано специальным методикам расследования, построенным не по видам преступлений, а по другим основаниям. Анализ вышеизложенного позволяет указать в качестве оснований для выделения частной специальной методики расследования преступлений в рассматриваемой области преступную сферу использования информации в электронном виде. Кроме того, к основаниям могут быть отнесены и отдельные элементы криминалистической характеристики подобных преступлений, такие как объект посягательства, орудия и средства совершения этих преступлений, в качестве которых выступают устройства сбора, хранения и обработки информации, а также способы их совершения. Наряду с этим в качестве основания для выделения частной специальной методики выступает и характер специальных знаний, используемых при расследовании подобных преступлений, которые, как справедливо отмечает отечественный ученый А.А.Исаев, используются при квалификации преступлений при установлении элементов состава преступлений. Так, путем привлечения специальных научных знаний в ходе расследования таких преступлений возможно установление предмета преступления, который в обобщенном виде для всей рассматриваемого вида преступлений представляет собой информацию в электронном виде и созданные на основе ее предметы реального мира или же совершенные в соответствии с ней какие-либо преступные деяния. 
С закреплением в Уголовном кодексе Республики Казахстан в ст.227 состава преступления, предусматривающего ответственность за такого рода деяния, правоохранительные органы получили реальное средство борьбы с лицами, использующими компьютерную технику в преступных целях.
Информатизация в настоящее время привела к появлению на территории Казахстана новых негативных проявлений, в том числе и преступлений в этой области. Законодатель не мог обойти этот факт. Так, в Уголовном кодексе Республики Казахстан, вступившем в силу с 1 января 1998 года, определены подходы к решению проблемы преступлений, связанных исключительно с компьютерной техникой и ее компонентами. Уголовный кодекс включает следующие составы преступлений, связанных с несанкционированным использованием ВИТ и объединенных в статью «Неправомерный доступ к компьютерной информации, создание, использование и распространение вредоносных программ для ВИТ» (ст. 227 глава 7 УК РК):
- неправомерный доступ к компьютерной информации;
- создание вредоносных программ для ВИТ, а равно использование либо распространение таких программ.
Как отмечает отечественный ученый Т.Б.Сеитов, «опасность, которую представляет компьютерная преступность, сегодня воспринята многими странами как объективно существующая реальность, о чем свидетельствует как наличие в законодательстве этих стран соответствующих норм, так и масштабность проводимых исследований». В подтверждение этого он приводит формулировку правовых норм, изложенных в Модельном уголовном кодексе стран СНГ, носящих рекомендательный характер для законодательств этих стран, в частности, содержащиеся в разделе 12 «Преступления против информационной безопасности». Согласно этому документу, имеют место статьи о следующих преступлениях:
- несанкционированный доступ к компьютерной информации;
- модификация компьютерной информации;
- компьютерный саботаж;
- неправомерное завладение компьютерной информацией;
- изготовление или сбыт специальных средств для получения неправомерного доступа к компьютерной системе или сети;
- разработка, использование или распространение вредоносных программ;
- нарушение правил эксплуатации компьютерной системы или сети.
Т.Б.Сеитов отмечает, что «при подготовке УК РК казахстанский законодатель из предложенных рекомендаций выбрал лишь два состава преступлений». Позиция казахстанского законодателя не достаточна четкая, так как не отражает в своем качественном составе сопутствующие преступлению действия преступника, которые, как показывает международный опыт, признаны общественно опасными. Например, в уголовном законодательстве России наряду с аналогичными Казахстану составами преступлений присутствует еще один – нарушение правил эксплуатации ВИТ, системы ВИТ или их сети. Обусловлено, в первую очередь, это тем, что правоохранительные органы Российской Федерации в своей работе довольно часто сталкиваются с подобными противоправными деяниями в этой области.
Объектом данного преступления следует считать общественные отношения, связанные с охраной безопасности информации и систем их обработки с использованием ВИТ.
Объективная сторона преступления выражается:
а) в неправомерном доступе к охраняемой законом компьютерной информации;
б) в нарушении правил эксплуатации ВИТ, системы ВИТ или их сети лицами, имеющими доступ к ВИТ, к система ВИТ или их сети (ч. 1 ст. 227 УК);
в) в создании программ для ВИТ, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ВИТ, системы ВИТ или их сети (ч. 3 ст. 227 УК);
г) внесение изменений в существующие программы, приводящее к одному из перечисленных в ч. 3 ст. 227 УК последствий;
д) использование таких программ, повлекших те же последствия (ч. 3 ст. 227 УК);
е) распространение таких программ, повлекших указанные выше последствия (ч. 3 ст. 227 УК).
Под информацией понимаются сведения о лицах, предметах, фактах, событиях, явлениях и процессах, содержащиеся в информационных системах (банках данных). Компьютерной информацией следует считать информацию, зафиксированную на машинном носителе или передаваемую по телекоммуникационным каналам и доступную к восприятию ВИТ. К компьютерной информации относится информация, содержащаяся на машинном носителе (в накопителях информации на гибких или жестких магнитных дисках, кассетных магнитных лентах), в электронно-вычислительной машине (ВИТ), системе ВИТ или их сети. Эта информация может храниться или передаваться с помощью указанных устройств.
В систему ВИТ включаются дополнительные устройства, обеспечивающие ввод или передачу информации: модем (устройство для подключения компьютера в телефонную сеть), принтер (печатающее устройство), плоттер (устройство для вывода чертежей на бумагу), сканер (устройство ввода текстов в компьютер).
Сеть ВИТ - это соединение нескольких компьютеров или систем ВИТ друг с другом при помощи специальных кабелей или использования телефонной сети. В результате такого объединения обеспечивается обмен информацией, совместное использование периферийных устройств и запуск общих программ через базовый компьютер.
Способы достижения неправомерного доступа к охраняемой законом компьютерной информации могут быть различными: соединение с тем или иным компьютером, подключенным к телефонной сети (внедрение в чужую информационную систему путем угадывания кода), использование чужого имени (пароля), выявление слабых мест в защите автоматизированных систем (взлом системы защиты) и др.
Действия лица, похитившего компьютерное оборудование с целью неправомерного доступа к содержащейся там информации, следует квалифицировать по совокупности преступлений как хищение чужого имущества и неправомерный доступ к компьютерной информации. Таким же образом квалифицируются действия лица, совершившего неправомерный допуск к компьютерной информации с целью похищения чужого имущества. Например, виновный расшифровал код электронной системы бухгалтерии организации и дал команду ВИТ перевести денежные средства на свой текущий счет.
Под программой для ВИТ следует понимать объективную форму представления совокупности данных и команд, которые предназначены для функционирования электронной вычислительной техники с целью получения определенного результата.
Программа, в которой находится вирус, называется вредоносной. Такая программа, получив управление, может сама размножаться, порождать новые вирусы для выполнения различных нежелательных действий на компьютере (например испортить, стереть файлы, засорять оперативную память компьютера, создавать помехи в работе ВИТ и т. п.). Создание вредоносной программы представляет собой комплекс операций, состоящий из подготовки исходных данных, предназначенных для управления процессами уничтожения, блокирования, модификации или копирования информации, а также нарушения работы ВИТ, системы ВИТ и их сетей.
Внесение изменений в существующие программы - это модификация программы с целью сделать эту программу вредоносной.
Использование вредоносных программ означает умышленное их воспроизведение, установку (введение в память компьютера) в процессе технического обслуживания ВИТ.
Распространение вредоносных программ означает их передачу другим пользователям электронно-вычислительной техники путем продажи, проката, передачи в обмен и т. п. К понятию распространения можно отнести и такие действия, когда лицо сознательно представляет доступ другим пользователям к воспроизведенной вредоносной программе или работает на чужом компьютере с использованием дискеты с записью, содержащей вредоносную программу. Распространение вируса может быть осуществлено посредством копирования вредоносной программы с диска на диск, а также через модем или компьютерную сеть, через электронную почту.
Состав преступления, предусмотренного ч. 1 анализируемой статьи УК, является формальным. При неправильном доступе к охраняемой законом компьютерной информации преступление считается оконченным с момента наступления хотя бы одного из следующих последствий: уничтожения, блокирования, модификации либо копирования информации, нарушения работы ВИТ, системы ВИТ или их сети. Необходимым признаком рассматриваемого преступления является причинная связь между деянием виновного и наступившим последствием, которую необходимо устанавливать в каждом случае привлечения к уголовной ответственности по рассматриваемой статье УК. Для этого требуется проведение технической экспертизы.
Под уничтожением понимается полное либо частичное удаление (стирание, порча) информации с машинных носителей. Блокирование - это закрытие информации, что делает ее недоступной для использования правомочным пользователем.
Модификация заключается в несанкционированной переработке первоначальной информации, ее изменении. Например, удаление и добавление записей, содержащихся в файлах, создание файлов, перевод программы ВИТ или базы данных с одного языка на другой и т. п.
Копирование - это перенос информации с одного машинного носителя на другой, если это осуществляется помимо воли собственника или владельца такой информации. Например, запись с диска в память ВИТ. Нарушение работы ВИТ, системы ВИТ или их сети предполагает сбой в работе вычислительной техники при сохранении ее физической целостности. Например, полный или частичный вывод компьютера, компьютерной системы или их сети из строя.
При нарушении правил эксплуатации ВИТ, системы ВИТ или их сети лицами, имеющими доступ к ВИТ, к системе ВИТ или их сети для признания преступления оконченным не требуется наступление каких-либо последствий (ч. 1 ст. 227 УК).
Состав преступления, предусмотренный ч. 3 рассматриваемой статьи УК, является формальным.
Для признания преступления оконченным достаточно установления факта создания указанных программ для ВИТ или внесения изменений в существующие программы, а также использования или распространения вредоносных программ или машинных носителей с такими программами независимо от наступления последствий. Такое построение состава связано с характером перечисленных в диспозиции, содержащейся в ч. 3 ст. 227 УК, деяний. Создание вредоносных программ, внесение изменений в существующие программы с целью сделать их вредоносными, а также их использование или распространение представляют реальную опасность уничтожения, блокирования, модификации либо копирования информации или нарушения работы электронно-вычислительной техники.
С субъективной стороны преступление, предусмотренное ч. 3, характеризуется прямым или косвенным умыслом. Виновный сознает, что совершает неправомерный доступ к компьютерной информации, предвидит возможность и неизбежность уничтожения, блокирования, модификации или копирования информации, нарушения работы ВИТ, системы ВИТ или их сети и желает наступления таких последствий (при прямом умысле) или не желает наступления перечисленных выше последствий, однако сознательно допускает возможность их на- ступления либо относится к их наступлению безразлично (при косвенном умысле).
Мотивы и цель совершения данного преступления могут быть самыми разнообразными (месть, злоба, хулиганство, корысть, с целью устранения конкуренции и т. п.) и на ответственность и квалификацию преступления не влияют.
Субъектом анализируемого состава преступления может быть физическое вменяемое лицо, достигшее 16-летнего возраста.
Часть 2 ст. 227 УК применяется, если неправомерный доступ к компьютерной информации был совершен:
а)  группой лиц по предварительному сговору или организованной группой лиц;
б) лицом с использованием своего служебного положения;
Использование лицом своего служебного положения предполагает доступ к охраняемой законом компьютерной информации благодаря занимаемому лицом служебному положению. К таким лицам можно отнести тех, кто по роду своей деятельности имеет право эксплуатировать электронно-вычислительную технику и знакомиться с хранящейся в ней информацией, а также тех, кому подчиняются лица, непосредственно работающие на ВИТ.
К лицам, имеющим доступ к ВИТ, системе ВИТ или их сети можно отнести пользователей информации, которые непосредственно работают на электронно-вычислительной технике. К ним относятся операторы, программисты, абоненты, техники, обслуживающие ВИТ или их сеть.
Часть 4 ст. 227 УК применяется в случаях, если создание программы для ВИТ или внесение изменений в существующие программы, а также использование или распространение вредоносных программ или машинных носителей с такими программами повлекли по неосторожности тяжкие последствия. К тяжким последствиям можно отнести причинение смерти или тяжкого вреда здоровью человека, крупного материального ущерба, наступление таких последствий, как банкротство, авария, катастрофа, дезорганизация работы предприятия, организации и т.п. Специфика ч. 4 ст. 227 УК заключается в наличии в этом составе преступления двойной формы вины: к созданию, использованию или распространению вредоносной программы для ВИТ лицо относится умышленно, а к наступлению тяжких последствий своего деяния относится неосторожно, т.е. предвидит возможности наступления таких последствий, но без достаточных к тому оснований легкомысленно рассчитывает на предотвращение тяжких последствий или не предвидит возможности наступления тяжких последствий своего деяния, хотя при должной внимательности и предусмотрительности должно было и могло предвидеть эти последствия. Если лицо будет относиться умышленно как к своему деянию, так и к его последствиям, то его следует привлечь к ответственности по совокупности преступлений: по ст. 227 и по статье Уголовного кодекса, предусматривающей ответственность за умышленное причинение вреда. Например, если была повреждена электронно-вычислительная техника, что повлекло значительные затраты на ремонт, применяется дополнительно ст. 187 УК.
В результате анализа приведенных позиций и точек зрения можно определить данный вид преступлений как преступления в сфере высоких информационных технологий, под которыми понимается совершение противоправных деяний в области информационных отношений, осуществляемых посредством высокоточного оборудования и устройств, использующих технологию оперирования информацией.

Глава 2. Методика расследования преступлений в сфере высоких информационных технологии

2.1. Криминалистическая характеристика преступлений в сфере высоких информационных технологии

Отличительным признаком преступлений в сфере компьютерной информации является особый предмет посягательства - компьютерная информация.  Под компьютерной информацией законодателем  понимаются сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления, находящиеся на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети. Иными словами, это сведения, циркулирующие в вычислительной среде, зафиксированные на физическом носителе в форме, доступной восприятию ЭВМ, или передающиеся по каналам электросвязи посредством электромагнитных сигналов из одной ЭВМ в другую,  из ЭВМ на периферийное устройство, либо на управляющий датчик оборудования. При этом, в соответствии со ст. 2 Закона "Об информации, информатизации и защиты информации", выделяются два основных вида (категории) компьютерной информации: общего пользования и конфиденциальная. К конфиденциальной относится та компьютерная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации. Это сведения, отнесенные к различным видам тайн ( государственная, служебная, коммерческая, банковская, следственная, медицинская, адвокатская, семейная и др.); передаваемые путем переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений; являющиеся объектом авторских и смежных прав; имеющие статус персональных данных (сведения о фактах, событиях и обстоятельствах частной жизни гражданина,  позволяющие идентифицировать его личность). Конфиденциальная компьютерная информация всегда будет чужой для лица, не имеющего к ней доступа на законных основаниях, либо получившего его в нарушении установленных порядка и правил.
Компьютерная информация как предмет преступления всегда будет опосредована через физический (машинный) носитель информации, вне которого она не может существовать. Под машинными носителями информации следует понимать всякие технические устройства, предназначенные,
 либо приспособленные для фиксации, хранения, обработки, преобразования, анализа, накопления и передачи компьютерной информации. Наиболее распространены следующие машинные носители информации: гибкие (дискеты) и жесткие (винчестеры) магнитные диски, стриммеры (или Zip), магнитные ленты (в кассетах и бобинах), оптические и магнитооптические диски (CD – компакт-диски), пластиковые карты (расчетно - кассовые, пропускные и иные), интегральная микросхема (в виде микропроцессора, постоянной или оперативной памяти средства вычислительной техники), листинг (распечатка компьютерной информации на бумаге).
Типичными орудиями подготовки, совершения и сокрытия преступлений в сфере компьютерной информации являются:
1. Средства электронно-вычислительной техники:
- различные виды ЭВМ, под которыми понимается комплекс технических средств, предназначенных для автоматической обработки информации в процессе решения вычислительных и информационных задач;
- периферийные устройства - устройства, обеспечивающие передачу данных и команд между процессором и пользователем относительно определенного центрального процессора (комплекс внешних устройств ЭВМ, не находящихся под непосредственным управлением центрального процессора);
- некоторые аппаратные средства (соединительные провода, шины, шлейфы, разъемы, «шнурки», устройства электропитания, аппаратные устройства защиты компьютерной информации от несанкционированного доступа и т.д.);
- устройства приема и передачи компьютерной информации (модем и другие средства телекоммуникации);
- вредоносная программа для ЭВМ.
2. Разработанные, приспособленные и запрограммированные специальные технические средства негласного получения информации.
3. Разнообразные магнитные материалы и специальные технические устройства, генерирующие направленное электромагнитное излучение.
4. Электромонтажный инструмент и материалы.
5. Контрольно-измерительные приборы и устройства.
6. Средства систем электросвязи.
Наиболее широко применяемым универсальным орудием совершения преступления в сфере компьютерной информации является персональная ЭВМ (ПЭВМ) или персональный компьютер (ПК) с соответствующим программным обеспечением. 
При использовании компьютерной информации в качестве орудия совершения другого преступления, она сама становится предметом общественно опасного деяния.
При выявлении и расследовании преступлений в сфере компьютерной информации, совершаемых с использованием новых телекоммуникационных технологий, особую сложность у сотрудников правоохранительных органов вызывает вопрос установления конкретного места совершения преступления. В данном случае место совершения общественно опасного деяния, как правило, не совпадает с местом реального наступления общественно опасных последствий. Таких мест может быть несколько. Они могут быть удалены друг от друга на значительные расстояния, находиться в различных учреждениях, на участках местности, в том числе в различных странах и континентах. Последнее возможно по причине неограниченного радиуса действия и мобильности современных средств связи, неотъемлемой частью которых является компьютерная информация. Поэтому, местом совершения преступления рассматриваемой категории целесообразнее всего считать тот участок местности или территорию того учреждения, организации, государства, где были совершены общественно опасные деяния независимо от места наступления преступных последствий.
На жаргонном языке компьютерных преступников называют «хэкерами», «крэкерами» и «фрикерами». Данные лица, как правило, обладают специальными познаниями и практическими навыками в области компьютерных технологий и, как минимум, являются пользователями ЭВМ.
Как правило, в случае совершения преступления в сфере компьютерной информации в отношении юридического лица, преступником или сообщником (пособником) является сотрудник данного учреждения, организации. Это – операторы ЭВМ, периферийных устройств и средств связи; программисты; инженеры-системотехники; инженеры-электроники; администраторы баз данных; должностные и иные лица, имеющие доступ к ЭВМ, системе ЭВМ или их сети.
Ведя речь о личности преступников, важно подчеркнуть, что этому типу людей присущи высокий уровень интеллектуального развития, нестандартность мышления, профессионализм, фанатичное отношение к новым компьютерным технологиям, изобретательность, богатая фантазия и скрытность. Преступник из числа сотрудников организации, как правило, является образцовым служащим, имеющим соответствующее образование. Указанные лица. Нередко – это руководители различного ранга, обладающие распорядительными функциями, но непосредственно не отвечающие за конкретные участки работы с компьютерной информацией и ЭВМ.
Чаще всего преступления в сфере компьютерной информации совершаются устойчивыми преступными группами, для которых характерны мобильность, высокая техническая оснащенность, четкое распределение ролей, ярко выраженная корыстная мотивация, хорошо продуманная система сокрытия следов преступных деяний.
Наибольшую опасность и сложность для выявления и раскрытия представляют преступные группы, имеющие в своем составе высококвалифицированных специалистов, обладающих специальными познаниями в области негласного получения и защиты компьютерной информации. Большая часть преступлений, совершенных указанными субъектами, остаются латентными.
Мотивы и цели совершения преступления в сфере компьютерной информации различны. В рейтинговом порядке их можно расположить следующим образом: корысть, месть, личные неприязненные отношения с сослуживцами и руководством по месту работы, стремление скрыть другое преступление, хулиганские побуждения и озорство, исследовательские цели, демонстрация личных интеллектуальных способностей или превосходства.
Практически невозможно привести исчерпывающий перечень способов совершения преступления в сфере компьютерной информации, так как их содержание могут составлять самые разнообразные действия, в зависимости от изобретательности, преступной «квалификации» и интеллектуальности преступника. Однако, несмотря на многообразие способов совершения преступления рассматриваемого вида их можно сгруппировать следующим образом:
1) использование либо распространение вредоносных программ для ЭВМ или машинных носителей с такими программами;
2) перехват компьютерной информации;
3) несанкционированный доступ к компьютерной информации;
4) манипуляции данными и управляющими командами;
5) комплексные методы.
Наиболее часто используются следующие способы подготовки, совершения и сокрытия преступления в сфере компьютерной информации: хищение (изъятие) носителей компьютерной информации (ЭВМ, дискет, пластиковых карточек и т.д.); создание вредоносных программ для ЭВМ; распространение вредоносных программ; распространение машинных носителей, содержащих вредоносные программы для ЭВМ; внесение изменений в существующие программы; копирование охраняемой законом компьютерной информации; дезактивация либо обход защиты компьютерной информации и средства электронно-вычислительной техники от несанкционированного доступа (подбор пароля, кода доступа и др.); перехват компьютерной информации из канала электросвязи; неправомерный доступ к средствам электронно-вычислительной техники; блокирование, модификация, копирование, уничтожение, повреждение компьютерной информации с использованием специально приспособленных, разработанных, запрограммированных технических средств негласного получения информации.
При выявлении и расследовании преступлений в сфере компьютерной информации подлежат установлению: факт совершения преступления
(не является ли событие следствием непреодолимых факторов); непосредственная причина нарушения безопасности компьютерной информации и орудий ее обработки; предмет преступного посягательства; категория компьютерной информации (общего пользования или конфиденциальная); место и время совершения преступления; способ совершения преступления; совершено ли преступление дистанционно извне помещения (по каналам электросвязи, локальной вычислительной сети); режим работы с компьютерной информацией и орудиями ее обработки; с помощью каких конкретно средств вычислительной техники совершено преступление (тип, вид, модификация, функциональное назначение, техническое состояние и другие признаки); конкретный терминал или участок сети (абонентский номер, код, шифр, рабочая частота), режим их работы и ответственное лицо; имела ли место утечка конфиденциальной информации; размер материального ущерба, из чего он складывается; с какими служебными действиями, с какими операциями технологического процесса  связано преступление, кто из должностных лиц или работников несет ответственность и имеет непосредственное отношение к ним в силу технологии производства, должностных инструкций (обязанностей) или командно-административного управления; личность подозреваемого и основные ее характеристики (обладает ли специальными познаниями, какими и в каком объеме); не совершено ли преступление группой лиц, каковы роль и характер каждого участника преступления; мотив преступления; кто является потерпевшим (физическое или юридическое лицо); кому было известно о намерениях преступников, кто участвовал в сокрытии преступления и его следов; причины и условия, способствовавшие совершению и сокрытию преступления, что усугубило их проявление - не обусловлено ли это нарушениями нормативных актов, положений, инструкций, правил, организации работы другими лицами, кем именно и по каким причинам.
Одна из важнейших задач на первоначальном этапе расследования преступлений - изучение такого элемента его криминалистической характеристики, как механизм следообразования, характерный для определенного вида или группы преступных посягательств. Немаловажную роль в образовании следов играют способы совершения преступлений в сфере ВИТ, количество которых постоянно увеличивается в связи с неуклонным развитием высоких информационных технологий и использования их в преступных целях. 
Под способом совершения преступления принято считать детерминированный целым рядом субъективных и объективных факторов комплекс действий субъекта (субъектов) по подготовке, совершению и сокрытию преступного деяния. Однако не обязательно, чтобы способ включал в себя все названные элементы. Существуют преступления, где преступник по ряду причин не осуществляет никаких действий по их сокрытию или не может их осуществить (например, в силу болезненного состояния преступника и т.д.). Но такие факты встречаются довольно редко. В большинстве случаев при совершении преступлений, требующих от преступника интеллектуального подхода, он (преступник) старается скрыть преступление путем уничтожения оставленных следов, а кроме того, и принятия мер, чтобы таких следов не оставлять, путем фальсификации обстановки происшествия или самих следов и т.д. Цель этих действий – с одной стороны, воспрепятствовать своевременному обнаружению преступления, с другой - помешать установлению личности преступника.
Принято считать, что способ совершения преступления является центральным звеном криминалистической характеристики. Все другие ее элементы, так или иначе, связаны со способом, хотя имеют и самостоятельное значение. В настоящее время бесспорно установлено существование корреляционной зависимости в связях между способом и личностью преступника, между местом, временем совершения преступления и личностью правонарушителя, и, что достаточно очевидно, между механизмом следообразования и другими структурными элементами криминалистической характеристики.
Н.И. Шумилов разделяет способы совершения преступлений, которые он называет «информационные», т.е. в них объектом посягательства выступает информация, в том числе и находящаяся на машинных носителях, на три большие группы: 
- незаконное изъятие носителей информации;
- несанкционированное получение информации;
- неправомерное манипулирование информацией. 
Позиция Н.И.Шумилова, является, на наш взгляд. наиболее общей, однако в данной классификации есть некоторые особенности. Так, например, незаконное изъятие носителей информации в широком смысле может пониматься как хищение компонентов техники, в которой содержится информация, иными словами данное преступление должно квалифицироваться как обыкновенная кража. Вместе с тем некоторые ученые, в частности Ю.И.Ляпунов, считают о том, что предметом рассматриваемых преступлений является компьютерная информация или информационные ресурсы, содержащиеся на машинных носителях в системе ВИТ или их сети. И поэтому действия лица, прибегнувшего к хищению компьютера, подлежат квалификации по правилам совокупности преступлений – преступления против собственности и преступления в сфере компьютерной информации - лишь в том случае, если имеет место цель получения неправомерного доступа к охраняемой законом информации. 
Таким образом, необходимым условием такой квалификации является наличие определенного умысла, заключающегося в неправомерном доступе. Указанное относится к российскому законодательству. В казахстанском уголовном законодательстве необходимо соблюдение еще и дополнительных условий. Так, состав ст.227 Уголовного кодекса РК «Неправомерный доступ к компьютерной информации, создание, использование и распространение вредоносных программ для ВИТ», являясь материальным, предусматривает кроме наличия умысла, направленного на неправомерный доступ, наступление последствий в виде уничтожения, блокирования, модификации или копирования такой информации. Однако законодатель указывает, что такие действия могут наступить и в ходе заблуждения лица, в силу его незнания основ работы с устройствами подобного типа. Кроме того, С.М.Рахметовым в «Комментарии к Уголовному кодексу РК» копирование определяется как перенос информации с одного машинного носителя на другой. На наш взгляд, такая позиция является не совсем верной, так как перенос предполагает уничтожение информации на первичном носителе и возникновение ее на другом, а копирование по существу является дублированием, созданием нескольких копий информации, без ее удаления на носителе. Кроме того, копирование не всегда может предполагать наличие другого, именно машинного носителя. Например, узнав коды доступа к системе на одном компьютере, преступник может перейти к другому и осуществить доступ к системе через него. Таким образом, возникает промежуточное звено копирования – человеческий мозг. А если этот человек передаст информацию третьему лицу, то процесс копирования увеличится и возникнет много копий такой информации как в памяти компьютера, так и в памяти людей.
Согласно позиции В.Б.Вехова, способы совершения рассматриваемых видов преступлений делятся в зависимости от их вида: во-первых, когда компьютерная техника выступает в роли объекта посягательства; во-вторых, когда она же выступает в роли орудия и средства совершения преступления. Подразумевая в первом случае то, что объектом преступного посягательства является информация, находящаяся в компьютере, и что несанкционированный доступ и манипулирование ею возможно с использованием средств компьютерной техники, указанный автор не отрицает того, что такие же действия могут быть совершены и без нее (например, физическое уничтожение жесткого диска компьютера с находящейся на нем информацией). И наоборот, говоря о том, что орудием преступления является компьютерная техника, В.Б.Вехов подразумевает использование ее не только для получения несанкционированного доступа, прослушивания и перехвата сообщений и т.п., но и для хранения преступной информации (например, баз данных номеров украденных автомобилей). 
Таким образом, мы видим, что нет четкой градации отнесения того или иного способа совершения исследуемых видов преступлений к какой-либо группе способов ввиду взаимной интеграции содержания понятий. В связи с этим мы предлагаем из существующих оснований классификации видов преступлений описанных нами ранее выделить еще одно - когда к информации, находящейся на машинных носителях, возможен неправомерный доступ, а также манипулирование ею в преступных целях только при использовании аппаратных и программных средств компьютерной и иной техники, иными словами смешанную группу способов т.е. мы объединяем частные виды первых двух групп способов совершения преступлений данного вида в новую, дополнительную или третью группу.
Таким образом, способы совершения преступлений в сфере высоких информационных технологий, мы объединяем в три группы:
а) способы, в которых объектом посягательства становится информация, находящаяся на машинных носителях – компьютерах, телефонах, пейджерах, электронных записных книжках и т.д.;
б) способы, в которых компьютерная техника, средства коммуникации и т.д. выступают в роли орудий и средств совершения преступления, а кроме того, и способов их сокрытия;
в) способы, при совершении которых применяются высокотехнологичные устройства и их использование направлено на получение незаконного доступа к информации, ее модификацию или блокирование, а также оперирование ею в преступных целях.
Указанные группы объединяют достаточно большое количество способов совершения преступлений в сфере ВИТ. Но каждый конкретный способ может быть отнесен к той или иной группе по классификационным основаниям, под которыми подразумеваются методы совершения определенных действий. 
Рассмотрим виды способов совершения данного вида преступления в зависимости от группы, исходя из этих особенностей, мы более детализировано рассмотрели вопрос о способах совершения преступлений в сфере ВИТ, т.е. о методах совершения различных действий в криминальных целях. 
Метод блокирования - осуществление преступником таких действий, в ходе которых физически блокируется или уничтожается информация, находящаяся на машинных носителях. 
Классификационными основаниями следующей группы способов совершения преступлений в сфере ВИТ, в которых компьютерная техника и ее комплектующие используются в преступных целях, причем объектом этих деяний не является информация, находящаяся на машинных носителях будут являться следующие методы:
- метод использования радиолокационных и иных устройств для прослушивания различного рода помещений и т.п., в целях получения акустической информации или доступа к таковой. 
Например, в середине 1996 года в Нидерландах разразился политический скандал, связанный с обвинениями в прослушивании в центральном банке. Вся деятельность персонала контролировалась без уведомления или получения разрешения соответствующих государственных органов;
- метод использования специальных устройств, запрещенных для функционирования на территории РК, ограничивающих доступ к охраняемому объекту (сигнализация и т.д.), или же наоборот, нарушающих тайну личной жизни граждан или же коммерческую или банковскую тайну различных фирм и учреждений, а использование несертифицированных радиотехнических средств, например, применяемые в Казахстане автоматические определители телефонного номера, запрещены к эксплуатации в ряде стран Европы (Франция, Италия и т.д.) как нарушающие тайну телефонных переговоров. 
- метод распространения через средства телекоммуникаций сведений, противоречащих интересам национальной безопасности, порнографической и иной запрещенной законом информационной продукции. Например, в Канаде полиции удалось раскрыть самую крупную в истории страны банду, занимавшуюся детской порнографией. Все началось с ареста 22-летнего жителя далекого городка на севере провинции Онтарио. Затем полиция совместно с ФБР проверила связи молодого человека, арестовав 16 членов Интернет-клуба "Orchid Club", проживавших в Соединенных Штатах, Австралии и Финляндии. Правоохранительными органами было конфисковано 20 тысяч компьютерных файлов, содержащих порнографические фотографии и видеоклипы, изображающие противозаконные сексуальные действия с вовлечением несовершеннолетних или их изображений;
- метод использования компонентов компьютерной техники для изготовления поддельных бланков, подписей, оттисков печатей и штампов, а также денежных знаков различных стран, в том числе и Казахстана. 
Например 22 ноября 1996 года P.Garnett и его жена, 54 и 52 года, депонировали поддельный чек на сумму, эквивалентную 16.6 миллиона долларов, якобы выданный Британским центральным банком. Чек оказался отлично изготовленной с помощью компьютера и цветного принтера подделкой. Преступников арестовали и приговорили к трем с половиной годам заключения в британских тюрьмах; 
- метод использования компьютерной и иной техники для хранения информации о преступлениях, учета средств, полученных нелегальным путем, информации о личной жизни отдельных людей, информации, составляющей государственную и иную тайну и т.д. 
Приведенный выше перечень методов не претендует на полноту, так как в связи с развитием технической мысли происходит постоянное совершенствование и появление новых видов устройств, и вопрос об их использовании в преступных целях – дело времени. Однако рассмотренные нами методы на современном этапе развития являются наиболее распространенными и довольно широко применяются в международной преступной практике.
Как показывает практика, наиболее распространенной является третья группа способов - способы совершения преступлений в сфере ВИТ, в которых объектом, орудием и средствами выступает информация, находящаяся на машинных носителях и других технических устройствах, прямо или косвенно предназначенных для ее хранения, иными словами, используется программное обеспечение данной техники независимо от ее уровня, качественного и количественного (объемного) критерия. Одним из классификационных оснований для отнесения конкретного способа к данной группе будет являться метод несанкционированного доступа.
Анализ практики показывает, что в большинстве случаев программное обеспечение любой системы, функционирующей в устройствах компьютерного типа, состоит из трех основных компонентов: операционной системы (ОС), сетевого программного обеспечения (СПО) и системы управления базами данных (СУБД). В зависимости от этого Б.Анин выделяет три основных вида метода несанкционированного доступа (НСД):
- на уровне операционной системы;
- на уровне сетевого программного обеспечения;
- на уровне систем управления базами данных. 
Вместе с тем, метод НСД является не единственным классификационным основанием для отнесения способа совершения преступлений к рассматриваемой группе. Существуют и другие методы, которые не менее распространены при совершении подобных преступлений. 
Так, еще одним классификационным основанием является метод уничтожения, видоизменения или же полного устранения авторства программ, защищенных международным авторским правом. Таким образом, лицензионный продукт, предоставляемый создателями пользователю на основании лицензии и за определенную плату, становится доступен к эксплуатации очень широкому кругу других пользователей. 
Проведенный нами опрос специалистов компьютерных фирм показал, что причиной этого является прежде всего то, что решив воспользоваться какой-либо программой, человек не изучает лицензионный договор фирмы-производителя, и не задумывается о том, на кого будет зарегистрирована данная программа, так как для него важны лишь возможности решения задач, для которых собственно она и была создана. 
Например, дело «Соединенные Штаты Америки против Дмитрия Склярова», где российскому программисту Д.Склярова поставили в вину создание программ для нелицензионного распространения и копирования ряда программных продуктов компании «Adobe». 
Состав таких преступлений и в российском, и казахстанском законодательстве – материальный, однако США посчитали, что для Д.Склярова достаточно только создание таких программ, и необязательно их им использование. В мировой практике это был первый прецедент, где правоохранительные органы столкнулись с еще одним способом совершения таких преступлений. 
Другим классификационным основанием будет являться метод, создания и распространения вредоносных программ – вирусов. Вирус – это программа, специально внедренная в систему в целях затруднения ее (системы) функционирования, выхода из строя или же утраты определенной информации. Как и в предшествующем методе, здесь происходит создание или распространение программ, однако цели у этих действий различны: в первом случае они совершаются для внесения изменений в авторскую программу, а во втором – внесение изменений в систему в целом, что может повлечь последствия, перечисленные выше. 
Здесь имеются в виду сведения о локализации следов, их признаки, виды, сохранность и другие данные, позволяющие более эффективно вести поиск и работать с ними. Процессы обнаружения, фиксации, изъятия и исследования следов являются необходимым компонентом предварительного расследования, на котором при дальнейшем исследовании формируются различные криминалистические версии по поводу совершенного преступления. Существующая в криминалистике традиционная классификация следов совершения тех или иных преступлений, предлагаемая рядом зарубежных и отечественных ученых (Г.Л.Грановский, А.Я.Гинзбург, Г.И.Поврезнюк, А.В.Калинин), практически не охватывает те ее виды, которые возникли при появлении новых видов преступлений.
Общим для всех способов совершения преступлений в сфере ВИТ будет являться единый механизм следообразования. Под механизмом следообразования в данном случае понимается специфическая конкретная форма протекания процесса, конечная фаза которого представляет собой образование следа. 
Но в отличие от традиционно рассматриваемого в криминалистике физического следообразующего воздействия – механического или теплового - здесь будет иметь место другой механизм следообразования, а именно физико-химическое воздействие сопряженное с механическим. Например, механическое движение нажатия пальцем руки на какую-либо клавишу клавиатуры персонального компьютера вызовет изменение напряжение и силы тока в электрической цепи, что может повлечь изменение магнитного поля носителя информации (при сохранении или копировании информации), или передачу этого электрического импульса по каналам коммуникаций к другому компьютеру (при обмене информацией), или же может быть вновь преобразовано в механическое движение головки принтера (при распечатывании информации). Несколько похожая ситуация в отношении механизма следообразования характерна для технического исследования документов, изготовленных на печатной машинке, проводимого в рамках криминалистической экспертизы. 
Таким образом, для подобного следообразующего воздействия характерны следующие виды следов:
- программы и текстовые файлы и(или) их части, не входящие в стандартный состав системы, функционирующей в данном устройстве ранее, до совершения преступления;
- наборы команд, отдельных знаков, символов и т.д., содержащихся в программах системы, текстовых и иных документах, которые были намерено внесены преступником в систему для изменения ее свойств, возможностей, содержания и т.п.;
- записи в учетных файлах системы, так называемые log-файлы, в которых содержится информация о пользователях (не только о преступниках), когда–либо использовавших данное устройство, регистрирующих особенности работы пользователя в системе, время его работы и т.д., причем количество регистрируемых служебных параметров зависит как от функционирующей в данном устройстве системы, так и от политики безопасности, проводимой на нем.
Данные следы не являются традиционными и не могут быть отнесены ни к одной существующей в криминалистике группе следов. 
Лица, совершающие компьютерные преступления, могут быть объединены в три большие группы:
•	лица, не связанные трудовыми отношениями с организацией жертвой, но имеющие некоторые связи с нею; 
•	сотрудники организации, занимающие ответственные посты; 
•	сотрудники пользователи ЭВМ, злоупотребляющие своим положением 
Западные специалисты подразделяют представляющий опасность персонал на категории в соответствии со сферами деятельности
1.	Операционные преступления - совершаются операторами ЭВМ, периферийных устройств ввода информации в ЭВМ и обслуживающими линии телекоммуникации. 
2.	Преступления, основанные на использовании программного обеспечения, обычно совершаются лицами в чьем ведении находятся библиотеки программ; системными программистами; прикладными программистами; хорошо подготовленными пользователями 
3.	Для аппаратурной части компьютерных систем опасность совершения преступлений представляют: инженеры системщики, инженеры по терминальным устройствам, инженеры-связисты, инженеры-электронщики. 
4.	Определенную угрозу совершения компьютерных преступлений представляют и сотрудники, занимающиеся организационной работой: управлением компьютерной сетью, руководством операторами; управлением базами данных; руководством работой по программному обеспечению. 
5.	Определенную угрозу могут представлять также разного рода клерки, работники службы безопасности, работники, контролирующие функционирование ЭВМ. 
Особую опасность могут представлять специалисты в случае вхождения ими в сговор с руководителями подразделений и служб самой коммерческой структуры или связанных с ней систем, а также с организованными преступными группами, поскольку в этих случаях причиняемый ущерб от совершенных преступлений и тяжесть последствий значительно увеличиваются.
Например, около 90% злоупотреблений в финансовой сфере, связанных с нарушениями в области информационной безопасности, происходит при прямом или косвенном участии действующих или бывших работников банков. При этом на преступный путь часто становятся самые квалифицированные, обладающие максимальными правами в автоматизированных системах категории банковских служащих - системные администраторы и другие сотрудники служб автоматизации банков.

2.2. Типичные следственные ситуации и меры по их разрешению.

Раскрывать преступления в сфере компьютерной информации, сложно, так как нередко преступники прибегают к различным уловкам, маскируют свои преступные деяния многочисленными объективными и субъективными причинами, которые действительно могут иметь место (например, сбой в работе ЭВМ и программного обеспечения, средств электросвязи, энергообеспечивающего оборудования; замыкания в электропроводке и т.п.).
Перечень неотложных следственных действий и оперативных мероприятий, очередность их проведения будут определяться конкретной следственной ситуацией, в которой начинается расследование. Следственная ситуация характеризуется прежде всего объемом и достоверностью исходной криминалистически значимой информации, имеющейся в распоряжении следователя и оперативного работника.
Поводами и основаниями для возбуждения уголовных дел о преступлениях в сфере компьютерной информации чаще всего служат: заявления граждан (конкретных потерпевших); сообщения руководителей предприятий, учреждений, организаций и должностных лиц (базирующиеся, как правило, на материалах контрольно-ревизионных проверок и сообщениях служб безопасности); сведения, полученные в результате проведения оперативно-розыскных мероприятий; статьи, заметки и письма, опубликованные в средствах массовой информации.
Обычно, возбуждению уголовного дела предшествует предварительная проверка материалов, поступивших в правоохранительные органы. В связи с этим, следователь может заблаговременно ознакомиться с собранными по делу материалами, совместно с оперативным сотрудником выбрать в тактическом отношении наиболее оптимальный момент для возбуждения дела, а также определить характер и последовательность первоначальных следственных действий, организационных и иных мероприятий. Как показывает практика, успех расследования преступления в сфере компьютерной информации обеспечивают быстрота и решительность действий следователя и оперативного сотрудника в самые первые часы производства по делу; организованное взаимодействие с различными подразделениями правоохранительных органов; наличие специалиста в области компьютерной обработки информации (возможно, пользователя ЭВМ).
В ходе предварительной проверки материалов при решении вопроса о возбуждении уголовного дела следователь должен прежде всего получить четкое и полное представление о предмете посягательства, характере деятельности и структуре объекта, где возможно было совершено преступление, изучить конкретные условия его деятельности, существующий там порядок учета и отчетности, систему товаро- и документооборота, коммуникативные и иные тактико-технические характеристики используемой компьютерной техники, организацию охраны конфиденциальной компьютерной информации. Необходимо также хорошо знать служебные обязанности лиц, имеющих прямые или косвенные отношения к орудиям обработки и компьютерной информации, которые стали предметом преступного посягательства.
К типичным признакам подготовки, совершения и сокрытия преступления в сфере компьютерной информации относятся: появление в ЭВМ, системе ЭВМ или их сети фальшивых данных; частые сбои в работе аппаратуры; жалобы клиентов на предоставление некачественного доступа к ЭВМ, системе ЭВМ, их сети или компьютерной информации; сверхурочная работа некоторых сотрудников на ЭВМ, в системе ЭВМ или их сети, нарушение установленного графика их эксплуатации; нерегламентированный доступ к ЭВМ, системе ЭВМ, их сети и к компьютерной информации отдельных субъектов; нарушение правил работы с компьютерной информацией и несанкционированные манипуляции с ней; чрезмерный интерес отдельных субъектов (клиентов, сотрудников) к содержанию чужих распечаток (листингов) и компьютерной информации определенной категории; случаи перезаписи отдельных данных и компьютерной информации без серьезных требуемых на то причин; применение на рабочем месте и вынос с работы личных машинных носителей информации под различными предлогами (записи игр и т.п.); исследование мусорных корзин (контейнеров) с технологическими отходами компьютерной обработки информации; случаи утечки конфиденциальной информации, либо обнаружение негласных специальных технических средств ее получения; нарушение установленных правил оформления документов при работе с ЭВМ, системой ЭВМ, их сетью или компьютерной информацией; создание копий определенной категории данных и компьютерной информации, не предусмотренных технологическим процессом; несоответствие данных, содержащихся в первичных документах, данным машинограмм; подозрительно частое обращение одного и того же пользователя к данным и компьютерной информации определенной категории.
Чтобы детально разобраться в особенностях деятельности потерпевшей стороны (физического или юридического лица), следователю и оперативному сотруднику необходимо ознакомиться с соответствующей справочной литературой, изучить ведомственные нормативные акты. Исключительно важное значение имеют консультации со специалистами. Для этих целей могут быть привлечены любые лица, обладающие необходимыми знаниями и опытом для дачи консультаций по делу. Как правило, это квалифицированные сотрудники различных организаций, осуществляющих свою деятельность в сфере информации, информатизации и защиты информации. Наиболее предпочтительны сотрудники: Государственной технической комиссии при Президенте Российской Федерации (Гостехкомиссии) и ее региональных структурных подразделений (Спеццентров), размещающихся на базе воинских формирований Министерства обороны; оперативно-технических подразделений правоохранительных органов, например Отделов «К» при Управлениях специальных технических мероприятий (УСТМ) МВД России; специалисты межрегиональных Центров защиты информации, функционирующих на базе гражданских высших учебных технических заведений.
Наиболее типичными следственными ситуациями, с которыми приходится сталкиваться при расследовании преступлений в сфере компьютерной информации, являются:
1. Информация о причинах возникновения общественно опасных деяний, способе их совершения и личности правонарушителя отсутствует.
2. Имеются сведения о причинах возникновения преступления, способе его совершения, но нет сведений о личности преступника.
3. Известны причины возникновения преступления, способы его совершения и сокрытия, личность преступника и другие обстоятельства.
В первых двух следственных ситуациях обычно планируют и осуществляют следующие первоначальные следственные действия, оперативно-розыскные и организационные мероприятия:
1) допрос заявителя или лиц, на которых указано в исходной информации как на возможных свидетелей;
2) решение вопроса о возможности задержания преступника с поличным и о необходимых в связи с этим мероприятиях;
3) вызов и инструктаж необходимых специалистов для участия в осмотре места происшествия;
4) осмотр места происшествия (с осмотром и изъятием машинных носителей и компьютерной информации, ПЭВМ, документов и т.п.);
5) проведение оперативно-розыскных мероприятий в целях установления причин совершения преступления, выявления лиц, виновных в его совершении, обнаружения следов и других вещественных доказательств.
6) выемку и последующий осмотр средств электронно - вычислительной техники, предметов, материалов и документов (в т.ч. находящихся в электронной форме на машинных носителях информации), характеризующих производственную операцию, в ходе которой по имеющимся данным совершены преступные действия;
7) допросы свидетелей (очевидцев);
8) допросы подозреваемых (свидетелей), ответственных за данный участок работы, конкретную производственную операцию и защиту конфиденциальной информации;
9) обыски на рабочих местах и по месту проживания подозреваемых;
10) назначение программно-технической, радиотехнической, технической, бухгалтерской и иных экспертиз.
Дальнейшие действия планируются с учетом дополнительной информации, полученной при производстве вышеуказанных действий.
При наличии третьей следственной ситуации необходимо произвести:
1) изучение поступивших материалов с позиций их полноты, соблюдения норм уголовно-процессуального законодательства и порядка их передачи в органы следствия. При необходимости - принять меры к получению недостающей процессуальной информации;
2) возбуждение уголовного дела;
3) вызов и инструктаж необходимых специалистов для участия в осмотре места происшествия;
4) осмотр места происшествия;
5) личные обыски задержанных, обыски на рабочих местах и по месту их проживания;
6) допрос подозреваемых;
7) выемку и осмотр вещественных и письменных доказательств;
8) изъятие и осмотр подлинных документов, удостоверяющих личность задержанных, а также документов, характеризующих те производственные операции, в процессе которых допущены нарушения и преступные действия (в т.ч. документов, находящихся в электронной форме на машинных носителях информации);
9) допрос лиц, названных в документах, переданных в следственные органы, как допустивших нарушения, ответственных за конкретный участок работы (компьютерную информацию, ЭВМ, систему ЭВМ, их сеть, денежные средства, материальные ценности, услуги и т.п.) по фактам установленных нарушений;
10) истребование, а при необходимости производство выемки нормативных актов и документов, характеризующих порядок и организацию работы в данном подразделении с конфиденциальной информацией, с бланками строгой отчетности, компьютерной информацией, ЭВМ, системой ЭВМ, их сетью и т.п.;
11) допрос свидетелей, причастных к соответствующим производственным операциям или подозреваемых в связях с лицами, совершившими преступные действия;
12) анализ полученной информации и решение вопроса о необходимости назначения судебных экспертиз, необходимости проведения ревизии или проверки (в т.ч.  повторной).
В очередность перечисленных следственных действий, оперативных и организационных мероприятий могут быть внесены коррективы в зависимости от изменения ситуации.
Доследственная проверка по данной категории преступлений проводится лишь в случаях, когда следователю (органу дознания) в момент поступления материалов о совершенном преступлении не хватает данных для принятия решения или не ясна квалификация совершенного деяния. Проверка сводится к уточнению:
- способа нарушения целостности (конфиденциальности) информации;
- порядка регламентации собственником работы информационной системы;
-  круга лиц, имеющих возможность взаимодействовать с информационной системой, в которой произошли нарушения целостности (конфиденциальности) информации, для определения свидетелей и выявления круга заподозренных;
- данных о причиненном собственнику информации ущербе.
Все эти сведения при их отсутствии в поступивших материалах должны быть истребованы у собственника информационной системы.
Важную роль в сборе данных о совершенном преступлении играют действия тех должностных лиц собственника информационной системы, которые осуществляют процедуры, обеспечивающие целостность (конфиденциальность) информации в системе.
Анализ отечественного и зарубежного опыта показывает, что можно выделить три типичные следственные ситуации.
1. Собственник информационной системы собственными силами выявил нарушения  целостности  (конфиденциальности)   информации  в  системе, обнаружил виновное лицо и заявил об этом в правоохранительные органы.
2. Собственник самостоятельно выявил указанные нарушения в системе, однако не смог обнаружить виновное лицо и заявил об этом в правоохранительные органы.
3. Данные о нарушениях целостности (конфиденциальности) информации в информационной системе и виновном лице стали известными или непосредственно обнаружены органом дознания (например, в ходе проведения оперативно-розыскных мероприятий по другому делу).
При наличии заподозренного лица первоначальная задача следствия заключается в сборе с помощью собственника информационной системы и процессуальной фиксации доказательств:
а) нарушения целостности или конфиденциальности информации в системе;
б) размера ущерба, причиненного нарушением целостности или конфиденциальности информации;
в) причинной связи между действиями, образующими способ нарушения, и наступившими последствиями путем детализации способа нарушения целостности или конфиденциальности информации в системе и характера совершенных виновным действий;
г) отношения заподозренного к совершенным действиям и наступившим последствиям.
Если преступник задержан на месте совершения преступления или сразу же после его совершения, в данной ситуации характерны следующие первоначальные следственные действия:
- личный обыск задержанного;
- допрос задержанного;
- обыск по месту жительства задержанного.
К типичным следственным действиям на данной стадии можно отнести также осмотр и фиксацию состояния ЭВМ, сетей ЭВМ и машинных носителей, допросы очевидцев, а также лиц, обеспечивающих работу информационной системы (в том числе должностных лиц, представляющих собственника системы). 
Важнейшим следственным действием является выемка с участием специалиста документов, в том числе на машинных носителях, фиксировавших состояния информационной системы в момент вторжения в нее злоумышленника или его программ и отражающих последствия вторжения. Одновременно следует принять меры к фиксации состояния рабочего места заподозренного, откуда он осуществил вторжение в информационную систему и где могут сохраняться следы его действий. Такие следы могут быть обнаружены по месту его службы, дома, а также в иных местах, где установлена соответствующая аппаратура (например, студенческие вычислительные центры).
При отсутствии заподозренного лица первоначальная задача заключается в сборе с помощью собственника информационной системы и процессуальной фиксации указанных выше доказательств. Следует принять меры к розыску виновного и поиску его рабочего места, откуда осуществлялось вторжение в информационную систему. Организуется поиск:
- места входа в данную информационную систему и способа входа в систему (с  помощью должностных лиц собственника информационной системы);
- путей следования, через которые вошел в «атакованную» систему преступник или проникли его программы.
Круг типичных общих версий сравнительно невелик: преступление действительно имело место при тех обстоятельствах, которые вытекают из первичных материалов; преступления не было, а заявитель добросовестно заблуждается; имеет место ложное заявление о преступлении. 
Появление новых видов преступлений требует от науки разработки дополнительного комплекса специальных научных методов и средств для борьбы с нею. Однако один человек не может обладать всем этим комплексом знаний. Именно поэтому у органов уголовного преследования в лице следователей, дознавателей, оперативных работников возникает потребность получения сведений, которые они не могут установить в ходе своей обычной деятельности по расследованию преступлений и которые они не могут получить в силу отсутствия у них специфичных знаний в конкретной области науки и техники. Таким образом, органы уголовного преследования вынуждены обращаться за получением необходимой информации к лицам, которые владеют необходимыми навыками ее получения в силу своих профессиональных навыков, т.е. прибегают к использованию специальных знаний. Под специальными знаниями в уголовном судопроизводстве понимаются необщеизвестные знания, приобретенные лицом в ходе профессионального обучения либо работы по определенной специальности, используемые для решения задач, стоящих перед правоохранительными органами и судом. Процессуальным же результатом использования этих специальных знаний является экспертиза, в основе производства которой лежат «специальные научные знания». Однако, несмотря на то, что судебная экспертиза является основной формой использования специальных знаний в уголовном процессе, следует отметить, что она отнюдь не единственная, существуют еще и другие - участие специалиста в производстве следственных (судебных) действий, производство ревизий, справочная деятельность сведущих лиц и т.д. Вместе с тем на заключение эксперта, которое он дает в ходе производства экспертизы, прямо указано в действующем законодательстве, согласно которому заключение эксперта является источником доказательств по уголовному делу. Именно поэтому судебная экспертиза имеет приоритет перед остальными формами использования специальных знаний. Развитие судебной экспертизы имеет свою историю и сложившиеся в ее процессе отдельные классы экспертиз, к которым относится и криминалистические экспертизы. 
Однако относительная новизна преступлений, совершенных в области ВИТ, обусловила возникновение новых, нетрадиционных для науки криминалистики видов экспертиз. Так, по мнению Е.Р.Россинской, вид экспертиз, в ходе которых исследуется компьютерная техника и ее компоненты, носит название компьютерно-технической экспертизы (КТЭ). Е.Р.Россинская выделяет два больших подвида данной экспертизы: техническая экспертиза компьютеров и их комплектующих и экспертиза программного обеспечения. Разделяя позицию Е.Р.Россинской, Т.В.Аверьянова предлагает дополнить экспертизу еще несколькими видами – инженерно-психологической и экспертизой функционирования компьютеров в составе сети. Аналогичной точки зрения придерживаются и научно–практические работники экспертно–криминалистических подразделений Министерства внутренних дел Российской Федерации. В частности, В.С.Зубаха и А.И.Усов предлагают следующую классификацию компьютерно-технических экспертиз:
а) судебная аппаратно–компьютерная экспертиза (АКЭ);
б) судебная программно-компьютерная экспертиза (ПКЭ);
с) судебная информационно–компьютерная экспертиза (данных) (ИКЭ);
д) судебная компьютерно–сетевая экспертиза (КСЭ).
Последний вид экспертизы, по их мнению, является дополнительным и приемлемым лишь в определенных случаях. Первые же три вида, как заявляют данные авторы, в практике расследования преступлений в сфере высоких технологий применяются комплексно и в большинстве случаев последовательно, т.е. сначала следователь назначает АКЭ, затем ПКЭ, а после этого ИКЭ. Кроме того, В.С.Зубаха и А.И.Усов отмечают, что АКЭ и ПКЭ в основном предназначены для решения диагностических и классификационных задач, включающих установление групповой принадлежности, отождествление конкретных аппаратных средств по выделенным признакам. Вместе с тем, отмечают указанные авторы, ИКЭ является ключевым видом компьютерно–технических экспертиз, так как «позволяет завершить целостное построение доказательственной базы путем окончательного разрешения большинства диагностических и информационных задач, связанных с компьютерной информацией». 
Следует особо остановиться на научных методах, используемых при решении этих задач в ходе производства экспертизы. Если для решения задач классификационного и диагностического уровня используются как общенаучные методы, в частности, метод сравнения, некоторые программно-технические методы, представляющие область знаний других наук, таких как информатики, вычислительной техники и т.п., то при решении идентификационного уровня задач используется сугубо криминалистический метод познания, а именно, криминалистическая идентификация. Метод криминалистической идентификации является одним из средств установления истины в уголовном судопроизводстве, и отличие ее от идентификации, используемой в других отраслях науки и техники заключается как в самой сущности отождествления, так и в форме, в которую она облекается. Если процесс идентификации в других отраслях науки, например биологии, сводится к установлению принадлежности объекта к определенному классу, роду, виду, подвиду, семейству (иными словами происходит решение задач классификационного уровня), то в криминалистике идентификация имеет целью и содержанием установление индивидуального тождества, идентификацию конкретно-определенного объекта с самим собой. 
Предложенный российскими авторами вид компьютерно-технических экспертиз, в ходе которых решаются задачи идентификационного уровня, отвечают этим признакам. Действительно, объекты идентификационных исследований – информация на машинных носителях, сами устройства и т.п. - имеют устойчивое внешнее строение, в процессе их эксплуатации происходит отображение некоторых устойчивых свойств этих объектов, механизм следообразования которых был нами рассмотрен ранее, например, признаки конкретного автора программы в тексте самой программы.. Кроме того, все эти обстоятельства исследуются только после назначения экспертизы в ходе ее производства. Таким образом, мы можем сделать вывод о том, что при необходимости идентификационных исследований в рамках производства компьютерно-технической экспертизы, относящейся по мнению ряда авторов к роду инженерно-технических экспертиз, необходимо привлечение специальных научных знаний в области криминалистики, в частности криминалистической идентификации. 
Вместе с тем ряд научно–практических работников, в частности В.Н.Семенов, в отличие от предложенного Е.Р.Росинской, Т.В.Аверьяновой, В.С.Зубахой и другими учеными термина «компьютерно–техническая экспертиза» говорит о качественно новом отдельном роде судебных экспертиз - судебно–кибернетической экспертизе, однако, не относя ее к какому либо классу. В основе возникновения нового рода экспертизы, по мнению В.Н.Семенова, лежит тот факт, что компьютерно-технической экспертизой решается лишь часть большого количества задач, так как экспертами исследуются не все виды объектов - их перечень исчерпывается программными средствами. Так, например, не исследуются устройства негласного сбора информации и средства защиты от несанкционированного доступа. Кроме того, отмечает В.Н.Семенов, все чаще возникает необходимость изучения достаточно сложных систем, требующих расширения компетенции экспертов и выход за пределы инженерно - технической экспертизы. Для исследования сложных информационных систем требуются не только программно - технические методы исследования, в том числе и методы системного анализа информации. Например, результат работы компьютера - это всегда действие кибернетической системы "пользователь - компьютер" или даже более сложной системы "авторы алгоритмов (разработчики) программ - кодировщики (программисты) - технический персонал, обеспечивающий работу компьютера - пользователь компьютера - компьютер", при анализе которой необходимо исследование не только самой системы, но и человека, как одного из ее элементов. Для этого требуется применение методов психологии и языкознания. Для исследования, например, информации на магнитных компьютерных носителях необходимы знания не только компьютерной техники, но и знания по криминалистике, лингвистике или социологии.
Данные особенности, связанные с исследованием информационных систем, назначением и производством соответствующих экспертиз в совокупности с другими обстоятельствами, по мнению В.Н.Семенова, детерминировали возникновение и развитие нового рода судебной экспертизы – кибернетической. Экспертиза названа судебно-кибернетической потому, что для объектов информационной природы базовой предметной областью, по мнению указанного автора, является кибернетика.
На наш взгляд, приведенные позиции сторонников как компьютерно–технической (Е.Р.Россинская, Т.Р.Аверьянова, В.С.Зубаха, А.И.Усов и др.) так и судебно–кибернетической (В.Н.Семенов, А.К.Педенчук, В.И.Вараксин и др.) экспертизы не совсем верны. Для сравнения рассмотрим точку зрения на вопрос экспертизы компьютерных и иных устройств и их систем отечественных ученых. 
Так, С.Ф.Бычкова говорит об исследовании средств компьютерной технологии, Г.И.Поврезнюк – о судебно-компьютерной экспертизе. Однако оба они относят данный вид к технологической экспертизе. Данная позиция нашла и нормативное закрепление. Согласно перечню видов экспертиз, производимых в ЦСЭ Министерства юстиции Республики Казахстан, утвержденному Приказом Министра юстиции Республики Казахстан №44 от 14 июня 1999 года, исследование компьютерных технологий отнесено к разряду технологических экспертиз.
Анализ данного вида экспертизы показывает, что объекты, представляемые на экспертизу, все уровни решения задач - классификационный, диагностический, ситуационный и идентификационный, используемые при исследовании методы, в своем подавляющем большинстве совпадают с соответствующими параметрами компьютерно-технической экспертизы. Вместе с тем отнесение экспертизы информационных устройств и их сетей к разряду технологических, на наш взгляд, также неверно, хотя термин «технология» имеет более широкий смысл, чем «техника», учитывая сам процесс изготовления и оперирования информацией при помощи соответствующих устройств, включая и использование ее в преступных целях. Кроме того, имеется и достаточно большой опыт производства технологических экспертиз. Экспертные исследования средств компьютерной технологии и программного обеспечения проводятся в ЦСЭ 1989 года. С 1990 по 2000 год в Центре судебных экспертиз Министерства Юстиции РК всего было проведено 43 экспертизы, в процессе которых исследовались компьютерная техника и ее компоненты, а также документы, изготовленные с их помощью. По данным ЦСЭ, объем экспертиз, проведенных экспертами Центра за неполные три года третьего тысячелетия уже значительно превышает указанную цифру. Это связано с тем, что элементы компьютерных технологий начинают более активно использоваться не только при совершении преступлений, предусмотренных ст.227 УК РК, но и традиционных их видов.
Что же касается судебно-кибернетической экспертизы, то при совпадении задач и методов исследования, ее предметом является более широкий диапазон общественных отношений, который, однако, на наш взгляд, не учитывается решаемыми данным видом экспертиз задачами. Действительно, согласно В.Н.Семенову, предметом судебно-кибернетической экспертизы являются фактические данные об информации и отношениях, связанные с ее оперированием в какой-либо кибернетической системе. На наш взгляд, под это определение подойдет предмет практически любой экспертизы. Например, предметом судебно-автотехнической экспертизы будут являться фактические данные об информации, связанной с событием ДТП, механизмом ДТП и т.д., происходящим в информационной системе «водитель - другой водитель». Поэтому выделение судебно-кибернетической экспертизы в отдельный вид, представляется нецелесообразным. 
Таким образом, согласно нормативным актам судебная экспертиза средств компьютерных технологий в настоящее время представляет собой такой вид экспертизы, в ходе которого подвергаются исследованию устройства оперирования информацией и сама информация в электронном виде на основе специальных научных знаний в области компьютерной инженерии для решения задач, возникающих в ходе расследования преступлений, по результатам которого дается письменное заключение. Выделяют два основных подвида такой экспертизы: техническая экспертиза устройств сбора, хранения и эксплуатации информации и экспертиза самой информации в электронном виде. Однако, позиция В.С.Зубахи и др. авторов, согласно которой экспертиза подразделяется на аппаратно-компьютерную, программно-компьютерную, информационно-компьютерную и компьютерно-сетевую, является наиболее приемлемой ввиду более детального подхода к разделению объектов и задач соответствующих подвидов экспертизы.
Говоря о характере специальных знаний, применяемых в ходе производства рассмотренных видов экспертиз, все указанные авторы отмечают, что целью производства таких экспертиз является получение криминалистически значимой информации. Кроме того, для решения задач всех уровней эксперты прибегают к использованию криминалистических знаний. Иными словами, задачи классификационного, диагностического, ситуационного и обязательно идентификационного уровня в рамках экспертного исследования средств компьютерных технологий и программного обеспечения могут быть решены только при наличии криминалистических знаний, например, знания методик производства автороведческих исследований. На основании этого можно говорить об отнесении экспертиз средств компьютерных технологий и программного обеспечения к классу криминалистических экспертиз. 
Таким образом, специальные научные знания, используемые для проведения экспертизы, составляют не только область точной науки и техники, но и область психологии, а кроме того, область традиционных криминалистических экспертиз – почерковедческой (в сфере изучения признаков письменной речи) и автороведческой, а также используют сходный с ними понятийный аппарат, например, степень выработанности клавиатурного почерка, темп деятельности и т.д. 
Таким образом, мы можем отметить, что в обоих приведенных случаях – идентификация автора программного продукта и идентификация пользователя ВИТ по его клавиатурному почерку - в структуре специальных знаний, которыми должен обладать осуществляющий эту экспертизу специалист, необходимы специфические криминалистические познания, в частности знание методик производства автороведческих исследований. Несколько похожая ситуация складывалась в процессе долгих споров об отнесении экспертизы материалов, веществ и изделий к разряду криминалистических, но приемлемо оно и в нашем случае. В настоящее время экспертиза материалов веществ и изделий признана и отнесена к криминалистическим видам экспертиз. В основе этого такие ученые, как А.Ф.Аубакиров, Э.П.Ким, видят формирование научных методик производства криминалистической идентификации различных объектов такой экспертизы, формирование на ее основе как соответствующего понятийного аппарата, так и возможности решения различных уровней задач – диагностических, классификационных, идентификационных и ситуационных, а также применяемых научных методов, и кроме того, комплексности подхода к использованию данных методов. В данном случае научные методы являются специфичными не только в своей области - технологии создания информации, но и криминалистическими, а кроме того, решаются как задачи идентификационного и классификационного уровня – идентификация автора программного продукта и пользователя ВИТ, но и в рамках данной экспертизы решаются задачи диагностического и ситуационного уровня, связанные с установлением условий изготовления программных продуктов и работы на компьютере в целом. 
Таким образом, можно отнести экспертное исследование средств компьютерных технологий и программных продуктов к классу криминалистических экспертиз. Следовательно, образуется следующее построение: класс – криминалистические экспертизы, род – экспертизы компьютерных технологий и программных продуктов, где обозначены следующие виды экспертизы – аппаратно-компьютерная, программно-компьютерная, информационно-компьютерная и компьютерно-сетевая экспертизы. 
Немаловажно отметить тот факт, что при решении всех уровней задач, особенно идентификационных, речь должна идти о комплексном использовании широкого спектра специальных знаний из различных областей науки и техники. 

Глава 3. Тактика отдельных следственных действий

3.1. Особенности производства осмотра, обысков и выемок

К следственным действиям, которые по делам о преступлениях в сфере компьютерной информации отличаются наибольшей спецификой, относятся: осмотр места происшествия; осмотр средства электронно-вычислительной техники (СВТ); осмотр машинного носителя и компьютерной; обыск и выемка; назначение судебных экспертиз. Указанные следственные действия проводятся в строгом соответствии с правилами, регламентированными действующим уголовно-процессуальным законодательством, но с учетом следующих основных особенностей: следственное действие должно быть заблаговременно подготовлено и детально спланировано; в каждом следственном действии должны принимать участие специалисты, четко представляющие свои задачи, права и обязанности; понятые должны обладать минимально необходимыми специальными познаниями в области обработки компьютерной информации (на уровне бытовых пользователей ПЭВМ); следователь и специалисты должны обладать специальными познаниями в части полной сохранности (неизменяемости) компьютерной информации, содержащейся на осматриваемом (изымаемом) средстве электронно-вычислительной техники; для осмотра, обыска и выемки компьютерной информации и ее носителей заранее должны быть подготовлены необходимые СВТ и материалы.
При осмотре места происшествия в состав следственно - оперативной группы (СОГ) в зависимости от конкретной следственной ситуации помимо следователя должны входить: специалист-криминалист, знающий особенности работы со следами по преступлениям данной категории; специалист по СВТ; сотрудник Гостехкомиссии России, Центра защиты информации (при наличии на месте происшествия конфиденциальной компьютерной информации, машинных носителей с ней, специальных средств защиты от несанкционированного доступа (НСД) и(или) специальных технических средств негласного получения (уничтожения) компьютерной информации); специалист по сетевым технологиям (в случае наличия периферийного оборудования удаленного доступа или локальной компьютерной сети); специалист по системам электросвязи (при использовании для дистанционной передачи данных каналов электросвязи); оперативные сотрудники (ОУР, ОБЭП, Отдела «К», ФСБ); участковый инспектор, обслуживающий данную территорию; инспектор отдела вневедомственной охраны (в случае, когда место происшествия или СВТ, находящееся на нем, одновременно является охраняемым объектом); специалист для проведения видеосъемки следственного действия.
При необходимости в состав СОГ могут быть включены незаинтересованные в деле специалисты, знающие специфику работы осматриваемого объекта  (инженеры-электрики, бухгалтеры со знанием СВТ, специалисты спутниковых систем связи, операторы компьютерных систем и сетей электросвязи, др. ).
Целью осмотра места происшествия является установление конкретного СВТ и компьютерной информации, выступающей в качестве предмета и(или) орудия совершения преступления и несущих в себе следы преступной деятельности. Поэтому при производстве следственного действия целесообразнее всего использовать тактический прием «от центра - к периферии», где в качестве «центра» (отправной точки осмотра места происшествия) будет выступать конкретное СВТ и(или) компьютерная информация, обладающая вышеуказанными свойствами. Детальное описание данных предметов, их соединений (физических и логических) должно сопровождаться видеосъемкой, фиксирующей последовательность действий следователя и специалистов, а также полученный при этом результат.
Если при проведении осмотра места происшествия используются СВТ и специальные поисковые технические устройства (материалы), об этом делается соответствующая отметка в протоколе следственного действия с указанием их индивидуальных признаков (тип, марка, название, заводской номер и т.п.). Помимо этого, в обязательном порядке делается отметка о том, что данные СВТ перед началом следственного действия в присутствии понятых были тестированы специалистом специальным программным средством (указываются его тип, вид, название  и др. реквизиты) на предмет отсутствия в них вредоносных программно-аппаратных средств и закладок.
Следователю необходимо знать, что к изменению или уничтожению компьютерной информации (следов преступника и преступления) может привести не только работа за пультом управления СВТ (клавиатурой), но и одноразовое включение-выключение СВТ или разрыв соединения между ними. Поэтому, если на момент проведения следственного действия какие-либо СВТ и иные электротехнические приборы и оборудование были включены или выключены, то они должны оставаться в таком положении до момента окончания осмотра их специалистом. По этой же причине подлежат обязательной охране все пункты отключения электропитания СВТ, находящиеся на месте происшествия.
Особенно тщательно должны быть описаны в протоколе следующие фактические данные: технические и конструктивные особенности местности, связанные с установкой и эксплуатацией СВТ, включая расположение и основные характеристики токонесущих коммуникаций; расположение СВТ относительно друг друга и оконечных устройств токонесущих коммуникаций, отсутствие или наличие соединений между ними (видимых и дистанционных); наличие или отсутствие соединений СВТ с оборудованием, в том числе находящемся вне территории осмотра (на это могут указывать кабели и провода, идущие от осматриваемого СВТ за границу места осмотра, либо к аппаратам внутренней связи (в этом случае граница осмотра места происшествия значительно расширяется); наличие, внешнее состояние, расположение и вид охраны СВТ и компьютерной информации от НСД, их основные технические характеристики; расположение СВТ относительно вентиляционных и иных отверстий в строительных конструкциях, дверных и оконных проемов, технических средств видеонаблюдения, а также относительно других рабочих мест; наличие в одном помещении со СВТ других электрических устройств и приборов (телефонных и иных аппаратов электросвязи, систем электрочасофикации, оргтехники - ксероксов, аудио-, видеомагнитофонов,  автоответчиков, электрических пишуших машинок, приборов электроосвещения, громкоговорителей, телевизоров, радиоприемников и т.п.).
Особенно тщательно должны быть осмотрены и описаны в протоколе вещественные доказательства: вредоносные программы для ЭВМ и машинные носители с ними; программы для ЭВМ, заведомо приводящие к несанкционированным пользователем действиям (влияющие на конечные результаты технологического процесса), а также их носители; обнаруженные специальные технические устройства негласного получения и уничтожения компьютерной информации; специфические следы преступника и преступления. Типичными следами являются: следы орудий взлома, повреждения, уничтожения и(или) модификации охранных и сигнальных устройств; показания регистрирующей аппаратуры (видеотехники, электронного журнала учета операций с компьютерной информацией, доступа к ней и др.); показания специальных мониторинговых (тестовых) программно-аппаратных средств; следы пальцев рук на СВТ, охранных и сигнальных устройствах, на их клавиатуре, соединительных и электропитающих проводах и разъемах,  на розетках и штепсильных вилках, тумблерах, кнопках и рубильниках, включающих СВТ и электрооборудование; остатки соединительных проводов и изоляционных материалов; капли припоя, канифоли или флюса; следы вдавливания, проплавления, прокола, надреза изоляции электронесущих и соединительных проводов, приклеивания к ним сторонних предметов и устройств. 
Осмотру подлежат различные документы и технические устройства, которыми преступники воспользовались для совершения преступления:  учетно-справочная документация по работе с СВТ и компьютерной информацией (технический паспорт или документ, его заменяющий); журнал оператора или протокол автоматической фиксации расчетно-кассовых и иных операций; журнал учета машинных носителей информации, машинных документов, заказов (заданий или запросов); журнал (карточки) учета выдачи машинных носителей информации (МНИ) и машинных документов; журнал (карточки) учета массивов (участков, зон), программ, записанных на МНИ; журнал учета уничтожения брака бумажных МНИ и машинных документов; акты на стирание конфиденциальной информации и уничтожение машинных носителей с ней; удостоверения личности; электронные ключи доступа. Их осмотр позволяет установить способ совершения преступления в сфере компьютерной информации, использованные для этого преступником материалы и средства, наличие у субъекта специальных навыков и познаний; выдвинуть версии о причинно-следственных связях.
Осмотр средства электронно-вычислительной техники в большинстве случаев является первоначальным следственным действием и проводится для обнаружения следов преступления; для решения вопросов о том, кем, с какой целью и при каких обстоятельствах было совершено преступление; выяснения обстановки происшедшего события; восстановления механизма совершения преступления. Проводить осмотр следует с участием специалиста.
Прежде всего нужно уяснить смысл и назначение СВТ; установить включено оно или нет; проверить его работоспособность и наличие в его памяти компьютерной информации; установить наличие или отсутствие сопряжения с каналом электросвязи и другими техническими устройствами. После этого необходимо перейти к поиску материальных следов, содержащихся на его корпусе, отдельных деталях и проводных соединениях, в его постоянной и оперативной памяти (в виде компьютерной информации).
При осмотре СВТ недопустимо использование: магнитосодержащих  материалов и инструментов; технических устройств, генерирующих и излучающих электромагнитные поля и наводки (магнитный порошок и кисточка, электромагнит, металлодетектор, мощные осветительные приборы, УФ и ИК излучатели и т.п.); кислотно-щелочных материалов и нагревательных приборов во избежание уничтожения (повреждения) СВТ и компьютерной информации, следов преступника и преступления. Вышеуказанными материалами и оборудованием можно пользоваться с особой осторожностью на расстоянии более одного метра от СВТ и их соединительных проводов.
Осмотр СВТ обычно приводит к необходимости их изъятия для последующего экспертного исследования и (или) приобщения к делу в качестве вещественного доказательства.
В протоколе осмотра СВТ фиксируют: его тип (назначение), марку (название), конфигурацию, цвет и заводской номер (или инвентарный, учетный номер изделия); тип (назначение), цвет и другие индивидуальные признаки соединительных и электропитающих проводов; состоянии на момент осмотра (выключено или включено); техническое состояние - внешний вид, целостность корпуса, комплектность (наличие и работоспособность необходимых блоков, узлов, деталей, и правильность их соединения между собой), наличие расходных материалов, тип используемого машинного носителя информации; тип источника электропитания, его тактико-технические характеристики и техническое состояние (рабочее напряжение, частота тока, рабочая нагрузка, наличие предохранителя, стабилизатора, сетевого фильтра, количество подключенного к нему электрооборудования, количество питающих электроразъемов-розеток и т.д.); наличие заземления ("зануления") СВТ и его техническое состояние; наличие и техническая возможность подключения к СВТ периферийного оборудования и(или) самого СВТ к такому оборудованию, либо к каналу электросвязи; имеющиеся повреждения, непредусмотренные стандартом конструктивные изменения в архитектуре строения СВТ, его отдельных деталей (частей, блоков), особенно те, которые могли возникнуть в результате преступления, а равно могли спровоцировать возникновение происшествия; следы преступной деятельности (следы орудий взлома корпуса СВТ, проникновения внутрь корпуса, пальцев рук, несанкционированного подключения к СВТ сторонних технических устройств и др.); расположение СВТ в пространстве, относительно периферийного оборудования и других электротехнических устройств; точный порядок соединения СВТ с другими техническими устройствами; категорию обрабатываемой информации (общего пользования или конфиденциальная); наличие или отсутствие индивидуальных средств защиты осматриваемого СВТ и обрабатываемой на нем информации от несанкционированного доступа и манипулирования. Если на момент осмотра СВТ находится в рабочем состоянии, необходимо детально описать расположение его рабочих механизмов и изображение на его видеоконтрольном устройстве (экране, мониторе, дисплее); все действия, производимые специалистом при осмотре СВТ (порядок нажатия на клавиши и запорные механизмы, порядок корректного приостановления работы и закрытия исполняемой операции или программы, выключения СВТ, отключения от источника электропитания, рассоединения (или соединения) СВТ, отсоединения проводов, результаты измерения технических параметров контрольно-измерительной или тестовой аппаратурой и т.п.).
Осмотр машинного носителя и компьютерной информации проводят по принципу «от общего к частному». Вначале описываются внешние индивидуальные признаки носителя: его размер, тип, вид, название, марка, заводской и индивидуальный номер, наличие наклейки и надписей на ней, наличие или отсутствие физических повреждений корпуса и следов на нем, положение элемента защиты от записи / стирания компьютерной информации. Затем переходят к осмотру компьютерной информации, содержащейся на МНИ. Перед началом ее осмотра необходимо указать в протоколе следственного действия: индивидуальные признаки используемого для осмотра средства электронно-вычислительной техники и основные реквизиты его программного обеспечения (тип, вид, марку, название, заводской или регистрационный номер, номер версии, юридический адрес и(или) автора программного продукта); юридические реквизиты программы, с помощью которой СВТ и его программное обеспечение в присутствии понятых было тестировано специалистом на предмет отсутствия вредоносных программно-аппаратных средств. После этого, на указанный предмет проверяется и осматриваемая компьютерная информация.
Анализируя содержащуюся на осматриваемом носителе компьютерную информацию, надо установить сведения, имеющие отношение к расследуемому событию. Для оптимизации процесса осмотра большого объема информации можно применять функции автоматизированного поиска по конкретному слову (реквизиту), входящие в состав стандартного программного обеспечения ЭВМ. Ход осмотра должен фиксироваться на фото- или видеопленку. При обнаружении следов преступления, необходимо сделать распечатку всей или части компьютерной информации и приложить ее к протоколу следственного действия.
В протоколе осмотра, помимо вышеуказанного, необходимо отразить: наличие, индивидуальные признаки защиты носителя от несанкционированного использования (голография, штрих код, эмбоссинг, флуоресцирование, перфорация, вплавление личной подписи и (или) фотографии владельца, их размеры, цвет, вид и т.п.); признаки материальной подделки МНИ и его защиты; внутреннюю спецификацию носителя - серийный номер и(или) метка тома, либо код, размер разметки (для дисков- по объему записи информации, для лент - по продолжительности записи); размер области носителя свободной от записи и занятой под информацию; количество и номера сбойных зон, секторов, участков, кластеров, цилиндров; количество записанных программ, файлов, каталогов (их структура, название, имя и(или) расширение, размер (объем), в том числе тот, который занимают их названия, дата и время создания (или последнего изменения), а также специальная метка или флаг (системный, архивный, скрытый, только для чтения или записи и т.д.); наличие скрытых или ранее стертых файлов (программ) и их реквизиты (название, размер, дата и время создания или уничтожения).
Готовясь к проведению обыска, следователь должен решить, что и где он будет искать. Для этого необходимо тщательно изучить обстоятельства дела и собрать ориентирующую информацию о предмете обыска, месте его проведения и личности обыскиваемого. По делам о преступлениях в сфере компьютерной информации предметом обыска могут быть не только разнообразные СВТ, машинные носители и содержащаяся на них компьютерная информация, но и документы, средства электросвязи, разработанные и приспособленные технические устройства, бытовые электротехнические устройства и оборудование, материалы и инструменты. 
В ходе обыска следует обращать внимание на литературу, методические материалы и рекламные проспекты по компьютерной технике, обработке, защите, передаче и негласному получению компьютерной информации, а также на аудио / видеокассеты, распечатки машинной информации и документы о соответствующем образовании. Особое внимание нужно уделять предметам, содержащим коды, пароли доступа, идентификационные номера, названия, адреса пользователей конкретных компьютерных систем, алгоритмы входа и работы в системе. Необходимо также переиллюстрировать записные (телефонные) книжки, справочники и каталоги, в том числе, электронные, находящиеся в памяти телефонных аппаратов, пейджеров и других компьютерных устройств.
Ценные доказательства могут быть обнаружены и при личных обысках подозреваемых (обвиняемых).
Предметом выемки в подавляющем большинстве случаев совершения преступления в сфере компьютерной информации являются персональные компьютеры, машинные носители информации (включая распечатки на бумаге и аудио-видеокассеты) и всевозможные документы, отражающие и регламентирующие различные операции, технологические процессы, связанные с обработкой, накоплением, созданием, передачей и защитой компьютерной информации, использования ЭВМ, системы ЭВМ и их сети. Последние находятся по месту работы (учебы) подозреваемого (обвиняемого), в рабочих кабинетах должностных лиц и других служебных (учебных) помещениях.
Помимо вышеуказанного, могут быть изъяты специальные технические средства для негласного получения и уничтожения информации, свободные образцы почерка, бланки документов, заготовки машинных носителей информации, исходные тексты компьютерных программ, черновики и иные образцы для сравнительного исследования.
Перед изъятием магнитных носителей информации они должны быть в обязательном порядке упакованы в алюминиевый материал (алюминиевую фольгу или специальный контейнер), предохраняющий МНИ и его содержимое от внешнего электромагнитного и магнитного воздействия.
Для осмотров, обысков и выемок, сопряженных с изъятием ЭВМ, машинных носителей и информации характерен ряд общих признаков, связанных со спецификой изымаемых технических средств. Так, необходимо учитывать меры безопасности, предпринимаемые преступниками с целью уничтожения вещественных доказательств. Ими может, например, использоваться специальное оборудование, в критических случаях создающее сильное магнитное поле, стирающее магнитные записи. Один из преступников создал в дверном проеме своей комнаты магнитное поле такой силы, что оно уничтожало магнитные носители информации при выносе их из его комнаты. Виновный имеет возможность включить в состав программного обеспечения своей машины программу, которая заставит компьютер требовать пароль периодически и, если через несколько секунд правильный пароль не введен, данные в компьютере автоматически уничтожатся. Владельцы компьютеров устанавливают иногда скрытые команды DOS, удаляющие или архивирующие с паролями важные данные, если некоторые -  не разрешать кому бы то ни было из персонала выключать электроснабжение объекта;
-  в случае, если на момент начала обыска электроснабжение объекта выключено, то до восстановления электроснабжения следует отключить от электросети все компьютеры и периферийные устройства, находящиеся на объекте;
- не производить никаких манипуляций с компьютерной техникой, если результат этих манипуляций заранее неизвестен;
- при наличии в помещении, где находятся компьютеры или магнитные носители информации, взрывчатых, легковоспламеняющихся, едких и токсических веществ и (или) материалов как можно скорее удалить их в другое помещение;
-  при невозможности удалить опасные материалы из помещения, где находятся компьютеры или магнитные носители информации, а также при непрекращающихся попытках персонала получить доступ к компьютерам, принять меры для удаления персонала в другое помещение.
Признаками работающего компьютера могут быть подключение его проводами к сети, шум работающих внутри него вентиляторов, мигание или горение индикаторов на передних панелях системного блока, наличие на экране изображения. Если компьютер работает, ситуация для следователя, проводящего следственное действие без помощи специалиста, существенно осложняется, однако и в этом случае не следует отказываться от изъятия необходимых данных. Для этого нужно осуществить следующие процедуры:
-  определить, какая программа выполняется (изучить изображение на экране дисплея и по возможности детально описать его. Иногда можно вывести изображение экрана на печать нажатием клавиши «PrintScrn». После остановки программы и выхода в операционную систему при нажатии функциональной клавиши «F3» иногда можно восстановить наименование вызывавшейся последний раз программы);
-  провести фотографирование или видеозапись изображения на экране дисплея;
-  остановить исполнение программы (Остановка исполнения многих программ осуществляется одновременным нажатием клавиш Ctrl-C, либо Ctrl-Break, либо Ctrl-Q. Часто для окончания работы с программами следует ввести с клавиатуры команды EXIT или QUIT, иногда достаточно нажать клавишу «Esc» или указать курсором на значок прекращения работы программы.), зафиксировать (отразить в протоколе) результаты своих действий и реакции на них компьютера;
-  определить наличие у компьютера внешних устройств-накопителей информации на жестких магнитных дисках и «виртуального» диска;
- определить наличие у компьютера внешних устройств удаленного доступа к системе и определить их состояние, после чего разъединить сетевые
кабели так, чтобы никто не мог модифицировать или уничтожить информацию в ходе обыска (например, отключить телефонный шнур).
-  скопировать программы и файлы данных, хранимые на возможно существующем «виртуальном» диске, на магнитный носитель. Копирование осуществляется стандартными средствами ЭВМ или командой DOS COPY;
- выключить подачу энергии в компьютер и далее действовать по схеме «компьютер не работает».
Если компьютер  не работает, следует:
-  установить и точно отразить в протоколе и на прилагаемой к нему схеме местонахождение компьютера и его периферийных устройств (печатающее устройство, дисководы, дисплей, клавиатура и т. п.);
- описать порядок соединения между собой этих устройств с указанием особенностей (цвет, количество соединительных разъемов, их спецификация) соединительных проводов и кабелей (перед разъединением любых кабелей полезно осуществить видеозапись или фотографирование мест соединения). Удачным решением является точная маркировка, например с помощью надписанных листочков с липкой поверхностью, каждого кабеля и устройства, а также портов, с которым кабель соединяется, перед разъединением;
-  с соблюдением всех возможных мер предосторожности разъединить устройства компьютера, предварительно обесточив его. Следует помнить, что матричные принтеры оставляют следы на красящей ленте, которая может быть восстановлена в ходе ее дальнейшего экспертного исследования;
- упаковать раздельно (с указанием в протоколе и на конверте места обнаружения) носители на дискетах, компактные диски и магнитные ленты (индивидуально или группами) и поместить их в оболочки, не несущие заряда статического электричества;
- упаковать каждое устройство и соединительные кабели, провода, имея в виду необходимость аккуратной транспортировки компьютерной техники;
-  защитить дисководы гибких дисков согласно рекомендациям изготовителя. Некоторые из них предлагают вставлять новую дискету или часть картона в щель дисковода.
"Особенной осторожности требует транспортировка винчестера (жесткого диска). Некоторые системы безопасной остановки («парковки») винчестера автоматически срабатывают каждый раз, когда машина выключается пользователем, но иногда для этого может требоваться специальная команда.
Поиск информации и программного обеспечения гораздо более сложен, поскольку всегда требует специальных познаний! Существуют фактически два вида поиска:
- поиск, где именно искомая информация находится в компьютере; 
- поиск, где еще разыскиваемая информация могла быть сохранена.
Как указывалось ранее, в компьютере информация может находиться непосредственно в запоминающем устройстве (ОЗУ) при выполнении программы, в запоминающих устройствах периферийных устройств и на внешних запоминающих устройствах. Наиболее эффективным и простым способом фиксации данных из ОЗУ является распечатка на бумагу информации, появляющейся на экране дисплея.
Если компьютер не работает, информация может находиться на машинных носителях, других компьютерах информационной системы, в «почтовых ящиках» электронной почты или сети ЭВМ.
Детальный осмотр файлов и структур их расположения (которые сами по себе могут иметь существенное доказательственное значение, отражая группировку информации) целесообразно осуществлять с участием специалистов в лабораторных условиях или на рабочем месте следователя. Предпочтительно изучать не подлинники изъятых машинных носителей, а их копии, изготовленные средствами данной OS.
Следует обращать внимание на поиск так называемых «скрытых» («невидимых» для некоторых программ просмотра, фильтрующих информацию) файлов и архивов, где может храниться важная информация. При обнаружении файлов с зашифрованной информацией или требующих для просмотра стандартными программами ввода паролей, следует направлять такие файлы на расшифровку и декодирование пароля соответствующим специалистам.
Периферийные устройства ввода-вывода также могут некоторое время сохранить фрагменты программного обеспечения и информации, однако для вывода этой информации необходимы специальные познания. Как и в случае с ОЗУ, данные, найденные на машинных носителях, целесообразно в ходе осмотра выводить на печатающие устройства и хранить на бумажных носителях в виде приложений к протоколу осмотра.
Изъятие данных в «почтовых ящиках» электронной почты может при необходимости осуществляться по правилам наложения ареста и выемки почто-во-телеграфной корреспонденции с предъявлением соответствующих требований к владельцу почтового узла, где находится конкретный «ящик».
Осмотр компьютеров и изъятие информации производятся в присутствии понятых, которые расписываются на распечатках информации, изготовленных в ходе осмотра.
В ходе осмотров по делам данной категории могут быть обнаружены и изъяты следующие документы, которые могут стать вещественными доказательствами по делу:
а) носящие следы совершенного преступления - телефонные счета, телефонные книги, которые доказывают факты контакта преступников между собой, в том числе и по компьютерным сетям, пароли и коды доступа в сети, дневники связи и пр.;
б) со следами действия аппаратуры (всегда следует искать в устройствах вывода (например, в принтерах) бумажные носители информации, которые могли остаться внутри их в результате сбоя в работе устройства);
в)  описывающие аппаратуру и программное обеспечение (пояснение к аппаратным средствам и программному обеспечению) или доказывающие нелегальность их приобретения (например ксерокопии описания программного обеспечения в случаях, когда таковые предоставляются изготовителем);
г) устанавливающие правила работы с ЭВМ - нормативные акты, регламентирующие правила работы с данной ЭВМ, системой, сетью, доказывающие, что преступник их знал и умышленно нарушал;
д) личные документы подозреваемого или обвиняемого. Специалисты и эксперты могут ответить на следующие вопросы, сформулированные следователем:
- какова конфигурация и состав компьютерных средств и можно ли с помощью этих средств осуществить действия, инкриминируемые обвиняемому;
- какие информационные ресурсы находятся в данной ЭВМ;
-  не являются ли обнаруженные файлы копиями информации, находившейся на конкретной ЭВМ;
-  не являются ли представленные файлы с программами зараженными вирусом и, если да, то каким именно;
- не являются ли представленные тексты на бумажном носителе записями исходного кода программы и каково назначение этой программы;
-  подвергалась ли данная компьютерная информация уничтожению, копированию, модификации;
- возможно ли восстановление стертых файлов;
- каково содержание восстановленных файлов;
- возможно ли восстановление дефектных магнитных носителей информации;
-  какие правила эксплуатации ЭВМ существуют в данной информационной системе и были ли нарушены эти правила;
- находится ли нарушение правил эксплуатации ЭВМ в причинной связи с уничтожением, копированием, модификацией данной компьютерной информации.
Программно-технической экспертизой решаются следующие задачи:
- распечатка всей или части информации, содержащейся на жестких дисках компьютеров (в необходимых случаях) и на внешних магнитных носителях, в том числе из нетекстовых документов (в форматах текстовых процессоров и электронных таблиц Windows, со связями DDE и OLE) и баз данных;
-  распечатка информации по определенным темам (найденной по ключевым словам);
-  восстановление стертых файлов и стертых записей в базах данных, уточнение времени стирания и внесения изменений;
- установление времени ввода в компьютер определенных файлов, записей в базы данных;
-  расшифровка закодированных файлов и другой информации, преодоление рубежей защиты, подбор паролей;
-  выяснение каналов утечки информации из ЛВС, глобальных сетей и распределенных баз данных;
- установление авторства, места подготовки и способа изготовления некоторых документов;
-  выяснение технического состояния и исправности компьютерной техники (наличие встроенных устройств и программных средств, адаптация компьютера под конкретного пользователя).
При проведении программно-технической экспертизы могут быть решены и некоторые вспомогательные задачи:
-  оценка стоимости компьютерной техники, периферийных устройств, магнитных носителей и программных продуктов, а также проверка контрактов на их поставку;
-  установление уровня профессиональной подготовки отдельных лиц в области программирования и работы с компьютерной техникой;
- перевод документов технического содержания (в отдельных случаях).
В связи с тем, что при осмотре ЭВМ и носителей информации производится изъятие различных документов, в ходе расследования может возникнуть необходимость в назначении криминалистической экспертизы для исследования документов. Дактилоскопическая экспертиза иногда позволяет выявить на документах, частях ЭВМ и машинных носителях следы пальцев рук причастных к делу лиц.
При фиксации показаний свидетелей, подозреваемых, обвиняемых по делам о преступлениях в области компьютерной информации следует избегать их «перегрузки» специальной терминологией и жаргонной лексикой. Целесообразно в протоколах фиксировать значения терминов, используемых допрашиваемым для описания известных ему фактов. При описании конфигураций систем или схем движения информации могут оказаться крайне полезными рукописные схемы, составляемые допрашиваемым и приобщаемые к протоколу допроса.
Решение проблем, связанных с расследованием преступлений в сфере высоких информационных технологий, сводится не только к поиску и использованию новых методов расследования подобных преступлений, в том числе и применение специальных знаний. Более значимый характер здесь приобретает комплекс правовых норм, регламентирующих процесс расследования подобных преступлений. 
Конституция Республики Казахстан в статье 20 устанавливает, что «каждый имеет право получать информацию любым, не запрещенным законом способом». Вместе с тем доступность информации, передаваемой, например, по каналам сети Интернет, ставит вопрос об информационной защищенности не только отдельных физических и юридических лиц, но и государства в целом. Национальные интересы Республики Казахстан в информационной области, обусловленные вхождением Казахстана в мировую систему связи и информации, детерминировали возникновение соответствующих нормативно-правовых актов, регулирующих общественные отношения в сфере информации. 
Рассмотрим информацию, содержащуюся в средствах компьютерной и иной информационной техники, которая положена в основу источников доказательств по данной категории дел. Так, при изъятии с жестокого диска компьютера какой-либо программы следователь прибегает к простому ее копированию, т.е. создает производное вещественное доказательство, например дискету с компьютерной программой. 
Вместе с тем есть определенные особенности, возникающие при копировании информации, т.е. моделировании производного доказательства:
а) согласно ГОСТу 6.10.4-84 "Придание юридической силы документа на машинном носителе и машинограмме, создаваемыми средствами вычислительной техники" и программа на жестком диске компьютера, и программа на дискете, которые будут зафиксированы в соответствии с положениями УПК РК так же, как этого требует ГОСТ, будут иметь одинаковую юридическую силу; 
б) практика свидетельствует, что работа в некоторых операционных системах, выполняемая при копировании информации, приводит к частичному изменению ее реквизитов. Например, в операционной системе MS-DOS v.6.22 и более ранних версиях при копировании дата создания копируемой программы изменяется на дату, когда было произведено копирование;
в) большинство программ при их установке на компьютер и первоначальном запуске проставляют учетные записи – прописываются – в реестре операционной системы, а если данные программы созданы для работы под какой-то определенной программной оболочкой, то и в этой оболочке. Например, записанные на компьютер некоторые лицензионные базы данных, созданные для функционирования в программной среде Microsoft Access, фиксируются в системном реестре операционной системы Windows 9x,2000,ХР а кроме того, и в списке баз данных данной оболочки;
г) на компьютерах, объединенных в локальную сеть, нередко устанавливаются программы, которые при их эксплуатации автоматически запрашивают информацию, содержащуюся в других компьютерах. Так, программа «Юрист», содержащая базу данных по законодательству РК, функционирующая в Национальном банке РК, при каждом ее запуске с компьютера, на котором она установлена, запрашивает информацию о нахождении электронного ключа, расположенного в центральном компьютере – сервере. Таким образом, происходит проверка лицензионного продукта. При отсутствии такого электронного ключа программа просто не запустится (наиболее характерный способ совершения преступления в данном случае будет заключаться во внесении изменений в программу для блокировки такого запроса, в целях эксплуатации этой программы на других компьютерах без лицензионного соглашения).
В основе следующего критерия – функционального предназначения информации, лежит учет момента создания подобной информации. Это необходимо в виду того, что в ходе работы с ней, а также и при совершении преступлений с ее участием возможна ее модификация. Выявить этот факт можно как с помощью изучения сопровождающей документации, опроса лица, ее создавшего, так и опроса лица, работавшего с нею с момента ее появления – установки на компьютере и т.д. В настоящее время выделяют следующие основные виды компьютерной информации:
Третий критерий - целевое предназначение информации - с нашей точки зрения, учитывает цель, которую преследовал создатель таковой информации. То есть, если информация призвана сохранить и довести какие-либо данные до сведения других лиц, кроме ее создателя, т.е. ее смысловая нагрузка направлена на других людей, то ее следует отнести к документам. Если же информация исключает направленность для сохранения и ознакомления с нею других людей, а ставит перед собой цель к понуждению либо отказу в осуществлении каких-либо действий со стороны других программ или устройств, т.е. направлена на другую информацию или устройства ее оперирования, то ее следует отнести к вещественным доказательствам. 
В процессе практической работы по собиранию доказательств при расследовании преступлений в сфере высоких информационных технологий не следует разграничивать электронную информацию на вещественные доказательства и документы по какому-либо одному из предложенных оснований, рекомендуется использовать их комплексно. В повседневной деятельности следователя часто ощущается нехватка времени и соответствующих знаний, что в результате сказывается не только при расследовании данного вида преступлений, но и ряда других. Поэтому учет содержания, функционального и целевого предназначения при определении информации, содержащейся на электронных носителях, как вещественного доказательства или же документа сможет в какой-то степени повысить эффективность и рациональность работы следователя. 
В действующем законодательстве РК имеется ссылка на возможность производства экспертизы на месте происшествия. И хотя закон РК «О судебной экспертизе» лишь предусматривает возможность участия эксперта в осмотре, в Уголовно-процессуальном кодексе в ч.3 ст.248 говорится, что «в остальных случаях лицо, назначившее экспертизу, должно обеспечить доставку эксперта к месту нахождения объектов исследования, беспрепятственный доступ к ним и условия, необходимые для проведения исследования». 
Анализ позиций ученых в отношении производства экспертизы на месте происшествия позволяет выделить для этого следующие основания: 
- если для решения вопросов, стоящих перед экспертизой, важно исследовать не только отдельные вещественные доказательства, но и обстановку места происшествия;
- если для ее успеха нужно исследовать взаимосвязь между следами на различных предметах, имеющихся на месте происшествия;
- если вещественные доказательства со следами преступления или преступника не могут быть доставлены с места происшествия в лабораторию из-за своих габаритов и свойств, вследствие которых возможно искажение или порча следов при транспортировке.

3.2. Особенности производства экспертизы

Установление способа совершения преступления на первоначальном этапе расследования для следователей является наиболее важной стадией для формирования версий и дальнейшего принятия решений, однако, очень часто решить сразу вопрос о том, каким из способов, было совершено преступление, не представляется возможным, и именно поэтому, как отмечалось ранее, необходимо назначение экспертизы. 
Назначение экспертиз. При расследовании преступления в сфере компьютерной информации наиболее характерна компьютерно-техническая экспертиза. Ее проводят в целях: воспроизведения и распечатки всей или части компьютерной информации (по определенным темам, ключевым словам и т.п.), содержащейся на машинных носителях, в том числе находящейся в нетекстовой форме (в сложных форматах: в форме языков программирования, в форме электронных таблиц, баз данных и т.д.); восстановления компьютерной информации, ранее содержавшейся на машинных носителях, но впоследствии стертой (уничтоженной) или измененной (модифицированной) по различным причинам; установления даты и времени создания, изменения (модификации), уничтожения, либо копирования информации (документов, файлов, программ); расшифровки закодированной информации, подбора паролей и раскрытия системы защиты от НСД; исследования СВТ и компьютерной информации на предмет наличия программно-аппаратных модулей и модификаций, приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети; установления авторства, места (средства) подготовки и способа изготовления документов (файлов, программ), находящихся на МНИ; выяснения возможных каналов утечки информации из компьютерной сети, конкретных СВТ и помещений; установления возможных несанкционированных способов доступа к охраняемой законом компьютерной информации и ее носителям; выяснения технического состояния, исправности СВТ, оценки их износа, а также индивидуальных признаков адаптации СВТ под конкретного пользователя; установления уровня профессиональной подготовки отдельных лиц, проходящих по делу, в области программирования и в качестве пользователя конкретного СВТ; установления конкретных лиц, нарушивших правила эксплуатации ЭВМ, системы ЭВМ или их сети; установления причин и условий, способствующих совершению преступления в сфере компьютерной информации.
До вынесения постановления о назначении экспертизы рекомендуется проконсультироваться со специалистом по поводу ее целей, формулировки вопросов, характера предоставляемых материалов.
Может быть назначена идентификационная и неидентификационная компьютерно-техническая экспертиза.
По делам рассматриваемой категории из криминалистических экспертиз наиболее часто назначают дактилоскопическую, трасологическую, почерковедческую, фоноскопическую, автороведческую, радиотехническую и технико-криминалистического исследования документов.
По времени экспертиза может быть назначена как после осмотра места происшествия и изъятия следов преступлений, так и в целях собирания доказательственной базы после задержания преступника и обнаружения орудий и средств совершения преступления (отдельные моменты, связанные с особенностями времени и места производства экспертизы будут рассмотрены нами в следующем разделе). 
В качестве объектов на экспертизу могут быть представлены две большие их разновидности: во-первых, это различного рода технические устройства, предназначенные для работы с информацией в электронном виде (компьютеры и их комплектующие, телефонные аппараты и компоненты сети и т.п.), а во-вторых, сама информация в виде программных продуктов, текстовых и иных документов и т.п. Иногда на экспертизу могут быть представлены и традиционные объекты криминалистических исследований – бумажные распечатки документов и текстовых файлов (для технического исследования документов), отпечатки пальцев и ладоней рук, обнаруженных в ходе осмотра технических устройств (для дактилоскопических исследований) и т.д.
Однако прежде чем назначить экспертизу, необходимо в полном объеме выявить и зафиксировать для дальнейшего исследования все возможные следы совершения преступлений, провести с участием соответствующих специалистов ряд оперативно-следственных действий, без которых будет невозможно представить на экспертизу объекты для исследования. 
В самом общем виде любое следственное действие при расследовании таких преступлений должно проходить с участием специалистов технического профиля и специалистов-криминалистов. Данное обстоятельство необходимо ввиду того, что нередко технические специалисты не придают значения тем отклонениям в нормальном функционировании различных устройств, тогда как только специалисты-криминалисты, обладающие достаточной профессиональной подготовкой в данной области знаний, способны оценить информативную значимость тех или иных аномалий и указать на них следователю. Производство следственных действий только с участием специалистов-криминалистов является нецелесообразным ввиду того, что привлекаемые технические специалисты обладают большим практическим и теоретическим опытом в силу постоянной их работы в данной сфере. Поэтому при производстве следственных действий необходимо привлекать, как минимум, двух специалистов – специалиста-криминалиста и технического специалиста. Однако положение о возможности участия в следственном действии более одного специалиста в законе предусмотрено лишь при осмотре трупа человека, в следственных действиях с участием несовершеннолетнего, в остальных же случаях законодатель говорит о возможности участия «специалиста», а не «специалистов». На практике, например, в большинстве случаев в ходе следственного действия специалистом-криминалистом производится фото или видеосъемка. Таким образом, участие одного из специалистов уже предопределено, а участие второго – технического специалиста - законом не оговорено. Следовательно, следователю при определении состава участников следственного действия придется «пожертвовать» одним из специалистов, что может привести к уменьшению выявления и фиксации обстоятельств совершения подобных преступлений. Следователи нередко пренебрегают положениями закона, привлекая к участию в следственных действиях нескольких специалистов, что в соответствии с текущими положениями законодательства неприемлемо. Таким образом, можно констатировать факт необходимости внесения изменений в существующую законодательную базу. 
Существует и ряд особенностей производства отдельных следственных действий с участием указанных специалистов.
Наиболее информативным в плане обнаружения следов преступления являются осмотр места происшествия и осмотр вещественного доказательства, в качестве которых могут выступать устройства компьютерного типа и их комплектующие, средства коммуникации и т.д. Осмотр должен проводиться обязательно с участием специалистов. При осмотре места происшествия необходимо не только зафиксировать его обстановку, наличие и местонахождение как самих устройств относительно внешней обстановки места происшествия, так и местонахождение дополнительных устройств (автономных источников питания, сетевых маршрутизаторов и т.д.), а также их состояние – включены они или выключены, находятся в режиме ожидания, выполняется ли в данный момент какая-либо операция и т.п. Также необходимо установить, является ли данный компьютер изолированным от внешних устройств, находящихся за пределами осматриваемого помещения, или же нет, т.е. установить наличие локальной сети и выхода в другие сети с помощью модема, радиомодема, выделенных линий и других сетевых устройств. Ряд практических работников экспертных подразделений зарубежных стран предлагают в осмотр включить описание программ, находящихся на магнитных носителях в компьютере или в ином устройстве, в частности, для установления наличия там программного обеспечения, предназначенного для экстренного уничтожения информации, шифрования данных, а также используемых операционных систем и т.д. Эти действия могут повлечь нарушение целостности и структуры программного обеспечения в устройстве ввиду того, что специалист далеко не всегда сразу может предположить наступающие последствия после проведенных им действий, для этого необходимо детальное изучение программ в лабораторных условиях. А кроме того, данные, которые могут быть получены в ходе такого осмотра, не играют существенной роли для выдвижения криминалистических версий на данном этапе, хотя могут воссоздать картину происшедшего, но не в полном объеме. При дальнейшем расследовании эти и другие дополнительные данные могут быть получены в ходе экспертного исследования.
Отказываясь от каких-либо действий специалиста в отношении выяснения наличия и функционирования программного обеспечения в осматриваемом компьютере, можно констатировать тот факт, что при осмотре компьютерной техники необходимо, чтобы специалист установил какие программы находятся в оперативной памяти компьютера (если он включен). Действительно, при отключении компьютера от сетей электронапряжения происходит утрата информации, содержащейся в его оперативной памяти, а в ней нередко находятся единственные следы преступления. Поэтому необходимо установить внутреннюю структуру оперативной памяти при включенном компьютере. Такое возможно как средствами операционных систем, так и с использованием специальных программ, например Dr. Hardware, FixIt и т.п. Причем необходимо обязательное указание используемой специалистом программы в протоколе следственного действия. Аналогично проводится осмотр сотовых телефонов, пейджеров, миниАТС и т.д. Особенность осмотра в данном случае заключается в том, что перечисленные устройства в своем большинстве используют автономные источники питания – аккумуляторные батареи и т.д., срок действия которых варьируется от 2-3 суток до месяца, после этого необходимо заменить батарею или прибегнуть к подзарядке. Именно поэтому долгое хранение информации, находящейся в определенных моделях данных устройств, не представляется возможным, обусловливая необходимость зафиксировать ее на более длительный срок. Этого можно достичь при использовании в ходе осмотра фото- и видеозаписи, а также прямого указания содержания информации в протоколе следственного действия. Наиболее значимая информация, которая может быть безвозвратно утеряна при отключении питания и которая поэтому подлежит обязательной фиксации, хранится в записных книжках данных устройств, архивах входящих и исходящих звонков и текстовых и мультимедийных сообщений. Своевременная фиксация этих данных позволяет в дальнейшем создать доказательственную базу, способствовать выдвижению версий и т.д.
Другими следственными действиями, в ходе которых специалистом могут быть выявлены следы совершения преступлений, являются обыск и выемка. Приведенные выше рекомендации, касающиеся осмотра места происшествия, применимы и к указанным следственным действиям при соблюдении некоторых особенностей:
- при обыске изымаются не только технические устройства, которые предположительно могли быть использованы при совершении преступлений, но и предметы, находящиеся в непосредственной близости от них и имеющие на себе какую-либо текстовую информацию в виде записей. Это могут быть и пароли, используемые преступником для НСД в систему, номера счетов, куда были переведены деньги, полученные в ходе преступных действий, и т.д.;
- исследование внутренней структуры и содержания информации в компьютерах, сотовых телефонах, пейджерах, электронных записных книжках и т.д. не должно ограничиваться только осмотром их с участием специалиста. Выявить какие-либо особенности их функционирования, которые сыграли решающую роль при совершении преступления, в большинстве случаев возможно только при детальном их изучении, т.е. необходимо проведение экспертизы;
- изымаемые технические устройства должны быть зафиксированы на фото-, видеопленку со всех сторон в целях показания наличия и взаиморасположения их составных частей и затем опечатаны таким образом, чтобы при транспортировке и хранении в материалах дела не была нарушена структурная целостность объекта;
- иногда необходимо изымать и «традиционные» для преступлений следы, например, отпечатки пальцев могут свидетельствовать о работе с данным устройством определенного круга лиц и т.п.
Особое место в производстве следственных действий при расследовании подобных преступлений занимает следственный эксперимент. Данное следственное действие, на наш взгляд, не должно ограничиваться только тем, что преступник укажет, каким образом он совершил данное преступление, необходима также проверка возможности совершения данных действий специалистом. После того, как преступник продемонстрирует комплекс действий, которые он осуществлял при совершении преступления, целесообразно повторить их с помощью специалиста. На наш взгляд, это необходимо ввиду того, что нередко, преследуя корыстную цель, преступник укрывает способ совершения им преступления, намереваясь в дальнейшем повторить его, но уже с учетом допущенных «ошибок». Поэтому повторение специалистом действий, продемонстрированных преступником, которые он производил при совершении преступления, способствуют наиболее полному выявлению особенностей работы информационных устройств, повлекших возможность совершения преступления, ликвидация причин которых носит профилактический характер. 
Таким образом, с учетом особенностей производства отдельных следственных действий необходимость участия в следственных действиях двух специалистов – специалиста криминалиста и технического специалиста - очевидна. В связи с этим, необходимо внести в уголовно-процессуальное законодательство предложенные изменения, в соответствии с которыми в п.6 ст.222 УПК РК «Общие правила производства осмотра», в п.4 ст.232 УПК РК «Порядок производства обыска и выемки» изменить «специалиста» на «специалистов», а в п.2. ст.239 УПК РК - «Следственный эксперимент» изменить «специалист» на «специалисты».
Появление в действующем уголовно-процессуальном законодательстве нового следственного действия – ст.236 УПК РК «Перехват сообщений», указание на возможность при его производстве перехвата сообщений, передаваемых по техническим, в том числе и компьютерным, каналам связи явилось своевременной реакцией законодателя на рост преступлений в рассматриваемой области. И хотя в ст.236 и говорится о фиксации полученной информации «специалистом», а не «специалистами», данная позиция наиболее правильна, так как участие специалиста-криминалиста в данном следственном действии повлечет иррациональное увеличение численности участников данного действия, а кроме того, оно не отвечает целям и формам его производства. Действительно, в ходе этого следственного действия необходимы познания лишь в технической отрасли, тогда как специальные криминалистические знания, на наш взгляд, не нужны. Таким образом, участие в данном следственном действии двух и более специалистов, является нецелесообразным.
Приведенные выше рекомендации позволяют следователю отобразить в материалах дела лишь небольшую часть обстоятельств совершения преступлений данного вида. Исходя из принципов всесторонности, полноты и объективности расследования, необходимо назначить соответствующие экспертизы как один из наиболее приемлемых в данном случае способов уяснения обстоятельств совершения таких преступлений.
Приняв решение о необходимости производства экспертизы, следователь формулирует вопросы, на которые необходимо получить ответ в ходе исследования, и определяет государственный экспертный орган или отдельного эксперта, о чем выносит соответствующее постановление и вместе с объектами предоставляет в распоряжение эксперта. 
Личность эксперта, а именно его квалификация и компетентность в решении поставленных перед ним вопросов определяется наличием у него специального образования, определенной специализации и опыта работы по ней. А.Я.Палиашвили предъявляет следующие требования к квалификации эксперта: наличие высшего образования в области науки (техники), данные которой используются при решении специальных вопросов, получение экспертом определенной специальной подготовки, освоение им научных положений, общих принципов того или иного вида экспертизы, наличие достаточного опыта по производству определенного вида исследования. Большинство из этих требований отражено в законе, в частности, в ст.83 УПК РК указываются условия, при которых лицо может быть признано экспертом. Данным требованиям, вне сомнения, удовлетворяют сотрудники органов судебной экспертизы, целенаправленно занимающиеся ее производством по отдельным видам. Вместе с тем, в большинстве случаев правоохранительные органы вынуждены прибегать к назначению экспертизы частным лицам, занимающимся ее производством даже не на основании лицензии, а в разовом порядке, так как процесс лицензирования является длительным и не всегда отвечает задачам оперативности и быстроты расследования. В таких случаях в качестве эксперта могут выступать:
1) гражданин иностранного государства, привлекаемый в качестве эксперта в соответствии с требованиями ст.27 Закона Республики Казахстан «О судебной экспертизе»;
2) лицо, удовлетворяющее требованиям п.2,3 ст.10 Закона Республики Казахстан «О судебной экспертизе», обладающее специальными знаниями, не охваченными перечнем экспертных специальностей, утвержденных приказом Министра юстиции Республики Казахстан;
3) лицо, входящее в список, утвержденный совместным приказом Министра юстиции Республики Казахстан, Министра внутренних дел Республики Казахстан, Председателя КНБ Республики Казахстан от 3 августа 1998 года №266/87/42.
Применительно к специфике экспертизы средств компьютерных технологий, иностранные граждане могут привлекаться к производству экспертизы в тех случаях, когда возникает необходимость использования знаний о конкретном оборудовании, программном или аппаратном продукте. Эксплуатирующиеся на территории Казахстана устройства – компьютеры и их комплектующие, станции сотовых телефонных компаний и т.д. - в большинстве случаев имеют зарубежное происхождение, а технология создания, например, любого программного продукта является коммерческой тайной фирмы–производителя, на нее нередко получается патент, и она охраняется законом. Поэтому даже специалист, имеющий большой стаж работы с продуктами разработок различных фирм, будет знать о его (продукта) специфике всегда меньше, чем изготовитель. Однако, эти случаи очень редки и могут носить только единичный характер. Решение о привлечении в качестве эксперта гражданина иностранного государства, на наш взгляд, целесообразно проводить лишь тогда, когда возникшие вопросы невозможно решить силами имеющихся в распоряжении следователя и суда экспертов. В Казахстане на сегодняшний момент такие ситуации не возникали ввиду не только малого количества преступлений этого вида (количество которых в настоящее время постоянно увеличивается), но и удовлетворения потребностей следствия имеющимися возможностями экспертизы, а также штата квалифицированных специалистов, хотя и не являющихся сотрудниками органов судебной экспертизы, но привлекаемых для производства экспертизы. В некоторых случаях, судя по практике России, когда деяние наносит ущерб или может нанести таковой самой фирме–производителю, эти фирмы проявляют заинтересованность в результатах расследования. Кроме того, и это оговорено в законе, обеспечив необходимым банком данных программных продуктов и устройств экспертные подразделения, можно не только обойтись без привлечения экспертов иностранных государств, но и существенно повысить уровень знаний в решаемых вопросах своих экспертов. Существование такого банка данных не только дает возможность использовать его в качестве источника информации, нередко в связи с отсутствием справочной литературы, но и в некоторых случаях применять в качестве сравнительных образцов, как при диагностических, так и при идентификационных исследованиях.
В список, утвержденный совместным приказом МВД, КНБ и министерства юстиции, в большинстве своем вошли люди, занимающиеся производством экспертиз в системе данных органов длительное время и имеющие достаточно большой опыт. Однако, данный перечень, несмотря на ежегодное пополнение, не учитывает ряд специализаций судебных экспертиз, в том числе и экспертиз рассматриваемого нами вида. 
Что же касается лиц, привлекаемых для производства экспертиз в порядке ст.10 Закона Республики Казахстан «О судебной экспертизе», то у них, как и у иностранных граждан, отсутствует не только опыт производства таких исследований, но и знания в области методики производства подобных экспертиз. Именно поэтому на практике правоохранительные органы прибегают к назначению экспертизы нескольким экспертам, хотя бы один из которых является сотрудником органов судебной экспертизы. 
Следует отметить, что изымаемые «традиционные» следы преступления могут быть представлены на исследование соответствующих традиционных видов криминалистических экспертиз. Что же касается ставящихся на разрешение эксперта вопросов, то целесообразнее всего, получить предварительную консультацию по наиболее приемлемой их формулировке с точки зрения научных положений у соответствующего специалиста или эксперта, так как ввиду обилия объектов экспертизы и целей исследования в каждом конкретном случае вопросы должны носить индивидуальный, присущий именно данной следственной ситуации характер. 
Вместе с тем хотелось бы отметить, что не каждый следователь способен вести производство по такому делу. Причины здесь заключаются в следующем: необходимость обладания следователем специфическими знаниями в области информационных технологий и, что немаловажно, наличие практических навыков работы по расследованию подобных преступлений.

Глава 4. КРИМИНАЛИСТИЧЕСКИЕ СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ

Особенности профилактики преступлений в сфере ВИТ учитываются не только законодателем, но и органами исполнительной власти. Так, в Агентстве Республики Казахстан по защите государственных секретов постановлением правительства РК в 2000 году создан Центр технической защиты информации, призванный внедрять в деятельность государственных органов технические средства защиты информации, а также разрабатывать новые. Также при правительстве РК в настоящее время функционирует Государственная комиссия по защите информации, само название которой говорит о ее предназначении. Затронута и экономическая сфера деятельности исполнительных органов. Например, в системе Национального банка Республики Казахстан разработан целый пакет положений и инструкций, призванный обеспечить конфиденциальность и сохранность информации об электронных платежах между подразделениями Нацбанка и банками второго уровня. Не осталась в стороне и правоохранительная деятельность исполнительных органов. Так, в целях надлежащего обеспечения оперативно–розыскной деятельности правительством разработаны и утверждены меры по обеспечению специальных оперативно-розыскных мероприятий на сетях электросвязи Республики Казахстан.
Как показывает анализ практики, наиболее распространенным преступлением в области высоких информационных технологий является неправомерный доступ к охраняемой законом информации. Причем первоначальной задачей предварительного расследования является установление факта несанкционированного доступа или же попытки незаконного проникновения в информационную систему. И здесь, как утверждают ученые, проблема сводится не только к взыванию к правосознанию жертв преступной деятельности, которые, своевременно подав заявление о преступлении, обеспечат наиболее оперативную, и как показывает практика, наиболее эффективную реакцию правоохранительных органов на преступные проявления, но и реализации комплекса профилактических мер.
В ходе рассмотрения современного состояния рынка информационных технологий нами было установлено, что в настоящее время имеет место внедрение и использование достижений науки и техники в данной области для обеспечения раскрытия и расследования преступлений. Однако данный процесс является взаимным, т.е. создаются разработанные на основе криминалистических методик идентификации технические продукты, используемые в различных ситуациях, в частности для предупреждения и профилактики совершения преступлений в сфере ВИТ. Одним из таких основных и приоритетных направлений, судя по широкому распространению неправомерного доступа к информации в общей качественной структуре преступлений, является профилактика несанкционированного доступа как одного из видов, т.е. защита информации.
Процесс профилактики в виде реализации защиты информации, как показывает практика, целиком и полностью зависит от тех лиц, которые владеют ей по роду своей служебной деятельности. Теоретически доказано, что можно обойти систему защиты любой программы, "взломать" ее.
Существующее в науке криминалистике учение о совокупности индивидуальных признаков, позволяющих идентифицировать человека, и созданные на этой основе аппаратно-программные комплексы значительно повышают уровень безопасности данной информационной системы, причем в их основу положены биофизические, морфофункциональные и другие особенности строения человека. Внедрение в процессы изготовления и оперирования информацией таких комплексов носит прежде всего профилактический характер, так как основной их целью является организация таких условий, при которых невозможно осуществление неправомерного доступа к информации. Подобные аппаратно-программные комплексы, созданные на основе отдельных криминалистических методик идентификации человека, по нашему мнению, могут быть отнесены в раздел криминалистических средств защиты информации как одного из видов профилактики НСД.
Известно, чтобы получить доступ к системе, ее пользователь должен пройти два этапа. Первый – идентификация, при которой определяются те его характеристики, которых не имеют другие пользователи, второй – аутентификация, при которой происходит сверка определенного в ходе первого этапа пользователя с общим зарегистрированным списком пользователей, имеющих право доступа к системе. Но именно первый этап позволяет разработчикам систем защиты информации внедрить разработанные на основе криминалистических методик идентификации различных объектов аппаратно-программные комплексы.
Одной из наиболее простых и эффективных в реализации методик является проведение дактилоскопического исследования. В дактилоскопических устройствах защиты информации использованы высокие технологии идентификации личности, совмещенные с функциональностью и эргономичностью сканеров – устройств, с помощью которых происходит так называемое бескрасковое дактилоскопирование лица. Изображение, содержащее информацию о глубине и структуре рисунка, проходит процесс оцифровки, т.е. попадает в компьютер и сравнивается специально введенной программой с зарегистрированным ранее отпечатком. Доступ будет запрещен любому пользователю, чей отпечаток пальца не совпадет с зарегистрированным.
Более сложной в реализации является методика идентификации по структуре и взаиморасположению кровеносных сосудов руки, которая индивидуальна у каждого человека. Это продукты фирм «BK SYSTEMS Co. Ltd - ВК-300S», фирмы «Ethentica - Ethenticator MS3000» - сенсорная система проверки, включающая AuthenTec - аппарат, пропускающий через кончик пальца пользователя электрический ток очень малой мощности, создающий тем самым карту тканей из нескольких уровней, которая позволяет провести идентификацию даже в тех случаях, когда фаланги пальцев повреждены, и как отмечают разработчики, почти невозможно было бы установить при использовании обычного бескраскового дактилоскопирования - сканировании папиллярного узора. Особенностью данных устройств является то, что в процессе их работы происходит исследование внутренних органов человека - структуры кровеносных сосудов руки, их взаиморасположение, размеры и т.п., а не поверхности пальца, т.е. не отпечатка пальца с папиллярным узором. Таким образом, деформация поверхности, сухость, влажность или загрязненность рук никак не влияют на результаты идентификации. 
Другим направлением в профилактике несанкционированного доступа путем использования криминалистических методик идентификации является реализация на аппаратно-программном уровне фонографического метода идентификации. Цель данного метода - установление личности по спектральным характеристикам голоса. Идентификация личности по голосу основана на том факте, что каждый человек обладает индивидуальным, только ему присущим комплексом фонетических и лингвистических признаков. Эти признаки зависят от его анатомических, психофизиологических и других социальных характеристик. Фонетические признаки в первую очередь поддаются спектральным исследованиям. Исследования в этой области начались еще тридцать – сорок лет назад. Обследования 25 тысяч человек, проведенные еще в 60-е годы американской телефонной компанией с помощью спектроанализатора голоса, дали коэффициент вероятности правильного обнаружения, равный 0.97, что является очень надежным показателем. Пример реализации данных положений в настоящее время - продукт компании «Vertiel – VoiceCheck», позволяющий идентифицировать пользователя посредством сопоставления произнесенной им конкретной фразы с образцами, имеющимися в системе в наличии (например, даже через телефонную линию, т.е. при наличии голосового модема, идентификация возможна и в сети Интернет). 
Еще одним направлением использования положений криминалистической идентификации для профилактики несанкционированного доступа и обеспечения сохранности информации являются комплексы, основанные на портретной идентификации. Мы не будем останавливаться на тех экспертных методах, к которым относятся методы сопоставления, совмещения, наложения. Их можно считать традиционными (классическими). В связи с развитием вычислительной техники и вычислительной математики новый импульс совершенствования получили методы, позволяющие ввести в процесс исследования количественные характеристики. Так, в частности, было установлено, что если на сравниваемых изображениях запечатлено лицо в одном и том же положении, то идентификация личности может быть проведена на основании совокупности угловых измерений между наиболее представительными точками. Таких точек 14 на изображении лица в фас и 12 на изображении лица в профиль. 
Некоторые другие методы, например аналитический метод идентификации, вероятностно-статистический метод, анализируют расстояния между выделенными на лице антропометрическими точками, вычисляют случайные ошибки и вероятностные оценки. 
Однако следует отметить, что развитие методов с использованием количественных характеристик, основанных на выделении определенного количества антропометрических точек, зависит от успехов в нахождении и уточнении системы признаков на изображениях. 
Одной из наиболее успешных реализаций указанного метода идентификации в целях профилактики преступлений является комплексная система «One-on-one Facial Recognition». Система основана на распознавании уникальных черт человеческого лица и позволяет контролировать доступ не только в информационную систему, но и в здание или помещение, где она расположена. Иными словами, происходит профилактика несанкционированного доступа не только на техническом, но и на организационном уровне ее реализации. Данный комплекс, используя видео- и цифровые камеры, распознает лица и обеспечивает так называемый «ненавязчивый» контроль над пользователем информационной системы. При первоначальной установке - инсталляции комплекса - пользователь должен зарегистрировать свое лицо в базе данных. В результате этой процедуры система «One-on-One» создаст цифровую подпись, связанную с изображением конкретного лица. При дальнейшем использовании комплекса, система будет идентифицировать изображение лица пользователя с хранящимися в базе. Как утверждают ее создатели, наличие косметики не влияет на работу системы распознавания в силу учета возможных ошибок в процессе идентификации. Такой аппаратно-программный комплекс идентифицирует людей даже в тех случаях, когда они решили отказаться от использования очков. 
Еще одним направлением в нетрадиционной области использования габитоскопии является идентификация трехмерного изображения лица. Пример тому – Nvisage - разработка фирмы «Cambridge Neurodynamics». Уникальность продукта заключается в том, что он ориентирован на распознавание трехмерных объектов, в то время как в большинстве современных устройств используется только двухмерная техника. Двухмерные системы распознавания надежны при распознавании только в том случае, когда известен угол поворота головы и расстояния до глаз, рта, носа и т.д. Когда человек находится в движении, двухмерная система становится сильно зависимой от позы объекта распознавания. При использовании источников света для создания трехмерного изображения Nvisage может распознавать и более тонкие особенности лица.
Кроме того, создаются устройства, позволяющие идентифицировать человека по какому–либо одному признаку. Например, устройство EyeDentify’s ICAM 2001 использует камеру с сенсорами, которые с короткого расстояния (менее 3 см) измеряют свойства сетчатки глаза. Человеку достаточно взглянуть одним глазом в отверстие камеры ICAM 2001 и система принимает решение о праве доступа.
Наиболее сложным в реализации явился продукт, основанный на идентификации по почерку, в частности по подписи. Пример тому - eSign - программа для идентификации подписи, использующая специальную цифровую ручку и электронный блокнот для регистрации подписи. В процессе регистрации eSign запоминает не только само изображение подписи, но и динамику движения пера. eSign анализирует целый ряд параметров, включающих и общие признаки почерка конкретного лица:
- транскрипция подписи; 
- вектор направления; 
- данные о расположении цифрового пишущего прибора; 
- динамика движения руки; 
- ускорение; 
- скорость; 
- сила нажатия пишущего прибора; 
- различные временные факторы.
Вместе с тем можно отметить тот факт, что существенным недостатком такой методики производства идентификации подписи является отсутствие приспособления к постепенному изменению лицом выработанности почерка, которым выполняется подпись, в силу постоянного развития его письменно-двигательного навыка и приспособления к условиям выполнения такой подписи. 
Появляются и новые комплексы, основанные на псифизиологических особенностях работы за компьютером конкретного человека. Это, прежде всего, так называемая идентификация пользователя посредством его клавиатурного почерка - пакет ESL фирмы «Electronic Signature Lock». Он основаны на том, что работа на клавиатуре представляет собой последовательное нажатие и отпускание определенной совокупности клавиш. При заведении текстовой информации, как правило, осуществляется последовательное включение и выключение отдельных клавиш клавиатуры, что упрощает процесс фиксации и обработки временных параметров клавиатурного почерка. 
В частности, при отработке метода верификации пользователя по набору одной и той же для всех пользователей ключевой фразы в качестве временных параметров клавиатурного почерка используются время удержания каждой из клавиш и паузы между нажатиями соседних клавиш. Если же фирма «Electronic Signature Lock» утверждает, что вероятность неверной идентификации пользователя при знании им правильного пароля менее 10-6. Учитывая, что манера клавиатурного почерка изменяется со временем, зависит от состояния здоровья и т.д., фирма утверждает, что используемые статистические алгоритмы столь изощренны, что позволяют учитывать эти неизбежные вариации. Созданная на основе разработанной российскими авторами методики идентификации экспериментальная программа обладает более высоким коэффициентом точности, так как по сравнению с аналогичными разработками зарубежных авторов она призвана своей конечной целью идентифицировать пользователя, а не верифицировать (выбрать одного из существующего списка пользователей), как предлагают другие, что в целом значительно снижает криминалистическую значимость их продуктов. 
Это лишь часть из тех систем защиты информации, которые используют для идентификации личности биометрические характеристики конкретного человека в целях профилактики совершения им несанкционированного доступа. Указанные аппаратно-программные комплексы и системы в настоящее время имеются на рынке информационных товаров и услуг и доступны почти каждому человеку. Наличие такого рода комплексов, существенно повышает уровень защиты практически любой информационной системы и позволяет не только своевременно установить факт несанкционированного доступа, но и предотвратить его совершение, что является основной целью профилактики подобных преступлений. В ряде западных стран, например, некоторые банки пошли по оригинальному пути - используя подобные комплексы, компьютер разрешает доступ к информационной системе любому человеку (конечно, с ограниченным объемом прав пользования ею, хотя пользователь об этом не догадывается). Если в процессе идентификации пользователей произошли ошибки, т.е. в случаях, когда происходит попытка незаконного доступа, персонал банков уведомляет в данной ситуации правоохранительные органы, которые сразу же предпринимают попытку отслеживания пользователя, пытающегося проникнуть в систему, пока он еще находится в ней. 
Как показывает практика, ущерб от совершения рассматриваемых преступлений во много раз превышает стоимость технических и организационных мер по осуществлению профилактики преступлений в сфере ВИТ вместе взятых. В связи с этим отказ от принятия организационных мер по защите информации по мотиву высокой себестоимости, является нецелесообразным. 
Вместе с тем в науке уже выработан ряд организационных мер обеспечения защиты информации от несанкционированного доступа, преследующих профилактические цели: 
- ограничение размеров сети - чем обширнее сеть, тем труднее организовать защиту информации в ней;
- изоляция сети от внешнего мира – ограничение физического доступа к сети извне уменьшает вероятность несанкционированного подключения. Это может выражаться в ограничении доступа путем физической или технической охраны коммутаторов, наземных антенн и других объектов, входящих в состав информационной сети; 
- электронная цифровая подпись сообщений. На этом следует остановиться особо. В течение последнего времени происходит замена бумажной технологии обработки информации ее электронным аналогом, и, конечно, в будущем следует ожидать полного вытеснения бумажного документооборота электронным. Однако представление традиционных бумажных документов в виде электронных последовательностей, состоящих из нулей и единиц, обезличивает последние. Защитных атрибутов бумажных документов: подписей, печатей и штампов, водяных знаков, специальной фактуры бумажной поверхности и т.д., - у электронного представления документов нет. Но электронные документы необходимо защищать не менее тщательно, чем бумажные. Поэтому возникает задача разработки такого механизма электронной защиты, который бы смог заменить подпись и печать на бумажных документах. Т.е. необходимо разработать механизм цифровой подписи, которая представляет собой дополнительную информацию, приписываемую к защищаемым данным. Цифровая подпись зависит от содержания подписываемого документа и некоего секретного элемента (ключа), которым обладает только лицо, участвующее в защищенном обмене. Рассмотрим, в чем заключается этот механизм. Во-первых, цифровая подпись подтверждает, что подписывающее лицо не случайно подписало электронный документ. Во-вторых, цифровая подпись подтверждает, что только подписывающее лицо, и только оно, подписало электронный документ. В-третьих, цифровая подпись зависит только от содержания подписываемого документа и времени его подписания. В-четвертых, подписывающее лицо не имеет возможности впоследствии отказаться от факта подписи документах. Правовой основой использования электронно-цифровой подписи в документообороте на территории Казахстана является Закон РК «Об электронном документе и электронной цифровой подписи»;
- использование брандмауэров. Брандмауэр является вспомогательным средством защиты, применяемым только в том случае, если сеть нельзя изолировать от других сетей, поскольку брандмауэр довольно часто не способен отличить потенциально опасное сетевое сообщение от совершенно безвредного, в результате чего типичной будет ситуация, когда брандмауэр не только не защищает сеть от НСД, но и даже препятствует ее нормальному функционированию. 
Рассмотренные организационные меры профилактики несанкционированного доступа могут быть применимы не только к компьютерным системам, но и к корпоративным системам сотовой связи и внутренних АТС предприятий и учреждений. 
Суммируя вышеизложенное, можно констатировать тот факт, что интеграция положений различных видов криминалистической идентификации в область высоких информационных технологий обусловила возникновение новых технических способов и криминалистических средств для профилактики преступлений в сфере ВИТ, в частности защиты информации от неправомерного доступа. Возникли новые направления использования уже апробированных криминалистических методик производства идентификации, в том числе и для целей профилактики совершения подобных преступлений. НСД, являясь одним из распространенных видов таких преступлений, определил профилактику как наиболее приоритетное направление по предупреждению преступлений в сфере ВИТ, которое реализуется как в ходе технических, так и организационных мер по защите информации.

Заключение

В дипломной работе систематизированы и обобщены различные научные позиции, имеющие место в современной теории доказательств, по вопросам использования специальных знаний в уголовном процессе в форме участия специалиста в следственных действиях и производства экспертизы, с учетом особенностей расследования подобных преступлений.
В результате анализа приведенных позиций и точек зрения можно определить данный вид преступлений как преступления в сфере высоких информационных технологий, под которыми понимается совершение противоправных деяний в области информационных отношений, осуществляемых посредством высокоточного оборудования и устройств, использующих технологию оперирования информацией.
Запросы современного общества в информации, ее обмене, накапливании и обработке обусловили широкое внедрение во все сферы деятельности человека технических средств, специально предназначенных для этого, таких как компьютеры, сотовые телефоны, пейджеры и т.п. В целом, объективный процесс экспансии достижений техники в социально значимые среды сопровождался такими негативными последствиями, как применение высоко технологичных средств информатизации в преступных целях, вызвав определенные изменения в структуре и качественном составе преступности в Республике Казахстан. Статистические данные свидетельствуют, что в современных условиях наблюдается значительный рост количества преступлений, совершаемых с использованием средств компьютерной техники, систем связи и телекоммуникаций и т.д. При этом динамизм этого роста многократно опережает темпы процессов, связанных с позитивным восприятием названных технологий в преступных целях.
Деятельность по удовлетворению запросов правоохранительной практики осложняется серьезным недостатком литературы, освещающей весь спектр прикладных проблем. Этот дефицит предопределен отсутствием каких-либо целостных исследований научно-теоретического характера, дающих базовые знания о сущности достаточно новых видов преступлений, наносящих, как свидетельствует практика, вред экономике в масштабах целой страны.
Однако не всегда уровень подготовки соответствующих специалистов для правоохранительных органов соответствует уровню отдельных преступников. Поэтому все чаще правоохранительные органы прибегают к помощи других лиц или даже организаций. Так, в Великобритании существует компьютерная фирма «Вогон Интернэшенел», сотрудники которой занимаются поисками следов преступления – выявления и исследования компьютерных данных, которые преступники пытаются уничтожить в целях маскировки преступления и затруднения поиска преступников.
В УК РК предусмотрена уголовная ответственность за неправомерный доступ, создание, использование, распространение вредоносных программ, внесение изменений в существующие программы, нарушение правил эксплуатации ЭВМ. Неблагоприятными последствиями этих действий являются: уничтожение информации, блокирование информации, модификация информации, копирование информации, нарушение работы ЭВМ.
И так все преступления в области информационных правоотношений можно разделить на следующие группы.
1.  Противоправные действия с компьютерной информацией, включающие неправомерный доступ к ней с помощью компьютерной техники (в том числе уничтожение, блокирование, модификация либо копирование информации) и создание, использование и распространение вредоносных программ для ЭВМ.
2.  Противоправные действия с информационным оборудованием, включающие нарушения правил эксплуатации ЭВМ, системы ЭВМ или их сети, незаконные производство, сбыт или приобретение в целях сбыта специальных технических средств,  предназначенных для негласного получения информации, изготовление в целях сбыта или сбыт поддельных кредитных либо расчетных карт (в случаях, когда такие карты обеспечивают неправомерный доступ к информационному оборудованию).
3.  Противоправные действия в области телекоммуникаций, включающие действия по незаконному прослушиванию телефонных переговоров и иных сообщений (радиообмена, пейджинговых, радиомодемных) и перехват и регистрацию информации с иных, в том числе компьютерных, каналов связи, неправомерный контроль почтовых сообщений и отправлений.
Для преступлений в области компьютерной информации характерны три формы преступного поведения:
-  получение возможности знакомиться и осуществлять операции с чужой компьютерной информацией, находящейся на машинных носителях, т. е. направленные прежде всего на нарушение конфиденциальности информации;
-  изготовление и распространение вредоносных программ, как таких, которые приводят к нарушению целостности, так и направленных на нарушение конфиденциальности информации;
-  действия, связанные с нарушением порядка использования технических средств, повлекшие нарушение целостности и конфиденциальности информации.
Для преступлений, касающихся нарушении правил эксплуатации ЭВМ и манипуляций с вредоносными программами, характерно наличие у виновных специальных познаний в узкой предметной профессиональной области устройств ЭВМ и программного обеспечения.
Необходимо отметить, что совершение преступлений в сфере информатики чаще всего сочетается с совершением других преступлений, в том числе совершаемых организованными преступными группами. Чаще всего преступления в области компьютерной информации сочетаются с преступлениями против безопасности государства, в сфере экономики (фальшивомонетничество, преступления с использованием пластиковых карт, проникновение в банковские счета и т. д.), должностными, налоговыми и др.

Список использованной литературы

1.	Аверьянова и др. Криминалистика: Учебник для вузов / Под ред. Р.С.Белкина. - М.: НОРМА-ИНФРА-М, 1999. 
2.	Вехов В.Б., Рогозин В.Ю. Методика расследования преступлений в сфере компьютерной информации / Криминалистика: Учебник для среднего профессионального образования / Редкол.: Закатов А.А., Смагоринский Б.П. (отв. редакторы), Тарасов В.П., Копылов И.А., Резван А.П. – Волгоград: ВА МВД России, 2000. – С. 433 – 449.
3.	Аверьянова Т.В. Задачи компьютерно–технической экспертизы // Информатизация правоохранительных систем: Тезисы докладов междун. конф. 30 июня – 01 июля 1998 г. Ч.2.
4.	Анин Б. Защита компьютерной информации. – СПб.: BHV, 2000.
5.	Арсеньев В.Д. Вопросы общей теории судебных доказательств. – М.: Юридическая литература, 1964.
6.	Аубакиров А.Ф., Ким Э.П. Криминалистическая экспертиза материалов и веществ: Учебное пособие. – Алматы: ВШП «Эдилет», 2001.
7.	Белкин Р.С. Криминалистика: проблемы, тенденции, перспективы. От теории – к практике. – М.: Юрид. лит., 1988.
8.	Белкин Р.С. Собирание, исследование и оценка доказательств. – М.: Наука, 1966.
9.	Бородин С.В. Палиашвили А.Я. Вопросы теории и практики судебной экспертизы. – М.: Юридическая литература, 1963.
10.	Бычкова С.Ф. Теория и практика судебной экспертизы: Учебное пособие: В 4-х т. Т. 1. Организация, назначение и производство судебной экспертизы. – Алматы: Жетi Жаргы, 1999.
11.	Варфоломеева Т.В. Производные вещественные доказательства. – М.: Юридическая литература, 1980.
12.	Вехов В.Б. Компьютерные преступления: способы совершения и раскрытия / Под ред. акад. Б.П.Смагоринского — М.: Право и закон, 1996.
13.	Винберг А.И. Криминалистическая экспертиза в советском уголовном процессе. – М.: Госюриздат, 1956.
14.	Голубовский В.Ю. Проблемы сохранения вещественных доказательств при расследовании компьютерных преступлений // Компьютерная преступность: уголовно-правовые и криминологические аспекты // Государство и право. - М., 2000. - №9.
15.	ГОСТ 6.10.4-84 "Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники". Введен постановлением ГК СССР по стандартам от 09.10.1984. // Бюллетень норм. актов мин. и ведомств СССР. - М., 1987.
16.	Закон Республики Казахстан «О национальной безопасности» // Нормативные акты. – Алматы: Аян Эдет, 1998.
17.	Закон Республики Казахстан «О судебной экспертизе» // Юридическая газета. - 1997. -3 декабря, - №49.
18.	Зинченко И.А. Использование в уголовно – процессуальном доказывании фотоснимков, кинолент и видеограмм: Учебное пособие. – Ташкент: ТВШ МВД СССР, 1988.
19.	Зубаха В.С., Усов А.И. Видовая классификация компьютерно–технической экспертизы // Экспертная практика. - М.: ЭКЦ МВД РФ, 2000. - №48.
20.	Инструктивное письмо Госарбитража СССР от 29 июня 1979 г. №И-1-4 "Об использовании в качестве доказательств по арбитражным делам документов, подготовленных с помощью электронно-вычислительной техники" // Бюллетень норм. актов мин. и вед. СССР. – М.,1980.
21.	Исаев А.А. Применение специальных познаний для квалификации преступлений. – Алматы: Мектеп, 1997.
22.	Kabay M.E. The Information Security Year in Review. - National Computer Security Association (NCSA) News, 1997.
23.	Каратаев О.Г., Пащенко Е.Г. Криминалистическая информатика // Радиоэлектроника и связь. – М.: Знание, 1991.
24.	Карнеева Л.М. Доказательства и доказывание при производстве расследования: Лекция. - Горький: ГВШМ МВД СССР, 1997.
25.	Карпинский О. Защита информации, виртуальные частные сети (VPN). Технология ViPNet / По материалам компании Infotecs // Gazeta.Ru.- 2001.- 18 июня.
26.	Касаткин А.В. Тактика собирания и использования компьютерной информации при расследовании преступлений: Дис. на соиск. уч. ст. канд. юр. наук. – М.: Юр. институт, 1997.
27.	Катаев С.Л. Социальные аспекты компьютерной преступности // Центр иссл. пробл. комп. преступн. – Киев, 2002.
28.	Кипнис Н.М. Допустимость доказательств в уголовном судопроизводстве – М.: Юристъ, 1995
29.	Комментарий к Уголовному кодексу Республики Казахстан. – Алматы: Баспа, 1999.
30.	Корухов Ю.Г. Криминалистическая диагностика при расследовании преступлений: Научно-практическое пособие. – М.: НОРМА-ИНФРА-М, 1998.
31.	Криминалистика: Учебник для вузов / Под ред. И.Ф.Герасимова, Л.Я.Драпкина. – М.: Высш. шк., 1999.
32.	Крылов В.Б. Информационные компьютерные преступления. – М.: ИНФРА-М-НОРМА, 1997.
33.	Крылов В.В. Информация как элемент криминальной деятельности // Вестник Моск. ун-та. Сер. 11. Право. - М., 1998.-№4.
34.	Лукьянова И.Н. Использование документов и материалов, изготовленных посредством электронной связи, в качестве средств доказывания в арбитражном процессе РФ // Государство и право. - М., 2000.- №6.
35.	Ляпунов Ю., Максимов В. Ответственность за компьютерные преступления // Законность. – 1997. - №1.
36.	Матюшин Т.Б. Общие вопросы оценки доказательств в судопроизводстве: Учебное пособие. – Хабаровск, 1987.
37.	Мельников Ю. Электронная цифровая подпись: всегда ли она подлинная? - М.: «Банковские технологии». – 1995. - №5.
38.	Методические указания по внедрению и применению ГОСТ 6.10.4-84 “УСД. Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники. Основные положения” // Бюллетень нормативных актов министерств и ведомств СССР. –1987. - №7.
39.	Назарбаев Н.А. Казахстан - 2030: Процветание, безопасность и улучшение благосостояния всех казахстанцев: Послание Президента страны народу Казахстана // Казахстанская правда. – 1997, - 11 октября.
40.	Назмышев Р.А. Проблемы расследования неправомерного доступа к компьютерной информации: Учебное пособие. – Астана: Данекер, 2002.
41.	Основные направления внутренней и внешней политики на 2004 год: Послание Президента народу Казахстана // Казахстанская правда. – 2003, - 5 апреля.
42.	Поврезнюк Г.И. Судебная экспертиза (подготовка и назначение в уголовном и гражданском процессах). Изд. второе, переработ. и доп. – Алматы: Аян Эдет, 2001.
43.	Постановление Правительства Республики Казахстан от 20 декабря 1999 г. №1937 «О мерах по обеспечению проведения специальных оперативно – розыскных мероприятий на сетях электросвязи Республики Казахстан».
44.	Рахунов Р.Д. Теория и практика экспертизы в советском уголовном процессе.Изд. 2-е, переработ. и доп.. - М.: Госюриздат, 1953;
45.	Резничеко И.М. Оценка доказательств в советском гражданском процессе: Атореф. дис. канд. юрид. наук. - М.,1968.
46.	Россинская Е.Р. Судебная экспертиза в уголовном, гражданском и арбитражном процессе: Практическое пособие. – М.: Право и Закон, 1996.
47.	Сеитов Т.Б. Правовые аспекты компьютерной преступности в зарубежных странах и в Казахстане: Учебное пособие. – Алматы: Данекер, 1999.
48.	Ткачев А.В. Правовой статус компьютерных документов: Основные характеристики. – М.: Городец-издат, 2000.
49.	Строгович М.С. Курс советского уголовного процесса. Т. 2. – М.: Наука, 1970.
50.	Толеубекова Б.Х. Уголовно-процессуальное право Республики Казахстан. Часть общая: Учебник. – Алматы: Баспа, 1998.
51.	Уголовное право. Особенная часть: Учебник для вузов / Под ред. Н.И.Ветрова, Ю.И.Ляпунова. – М.: Новый юрист, 1998.
52.	Уголовно-процессуальный кодекс Республики Казахстан – общая характеристика (в сравнении с УПК КазССР): Практическое пособие. – Алматы: Баспа, 1998.
53.	Уголовный кодекс Российской Федерации. Официальный текст. – М.: ИНФРА-М-НОРМА, 1996.
54.	Уголовный процесс: Учебник для вузов / Под ред. А.С.Кобликова. – М.: НОРМА-ИНФРА-М, 1999.
55.	Шумилов Н.И. Криминалистические аспекты информационной безопасности: Дис. на соиск. уч. ст. канд. юрид. наук. – СПб.: Юр. инст., 1997.