Допустимость заключения эксперта – соответствие заключения эксперта требованиям норм уголовно-процессуального права.
Говоря о допустимости, следователь должен принимать во внимание тот факт, что заключение эксперта по результатам проведения компьютерной экспертизы оценивается сквозь призму схемы оценки заключения любой судебной экспертизы7. В данном случае речь идет о необходимости соблюдения уголовно-процессуальных норм, обозначенных нами в рамках рассмотрения вопроса об основах оценки заключения эксперта. Здесь следует остановиться на необходимости соблюдения установленного порядка назначения и проведения экспертизы, в том числе процедуры постановки вопросов эксперту; возможности отвода эксперта; правильности получения объектов для экспертного исследования и правильности оформления заключения эксперта; наличия и характеристики упаковки и т. д.
Однако когда речь идет о компьютерной экспертизе, следует обратить внимание на отдельные специфические моменты.
1. Сведения об экспертном учреждении, а также фамилия, имя и отчество эксперта, его образование, специальность, стаж работы, ученая степень и (или) ученое звание, занимаемая должность.
Здесь следователь должен учитывать ряд особенностей:
а) как правило, компьютерная экспертиза проводится экспертно-криминалистическими подразделениями органов внутренних дел. Однако в силу ряда причин она может проводиться экспертными учреждениями Минюста России (например, вследствие загруженности экспертов ОВД; недостаточности имеющихся специальных программных средств и т. д.)8.
Кроме того, в практике встречаются случаи поручения производства компьютерной экспертизы негосударственному экспертному учреждению или частному лицу, обладающему специальными знаниями.
Пример. 25.11.2002 на территории г. Кемерово Д.А.С., работая системным администратором в ООО «КЦ Снежный барс» и имея прямой доступ к ресурсам сервера данной организации, находясь по месту проживания, действуя умышленно, с целью использования созданной им для ЭВМ программы «скрипт sbbl.vbs», заведомо приводящей к уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, путем дописывания набора команд, составляющих программу «скрипт sbbl.vbs», внес изменения в компьютерные программы, расположенные на сервере ООО «КЦ Снежный барс». По данному факту было возбуждено уголовное дело, в рамках которого следователь назначил судебную компьютерно-техническую экспертизу. В качестве эксперта было приглашено лицо, не работающее в каком-либо учреждении, но обладающее всеми необходимыми для этого характеристиками.
б) в отдельных заключениях эксперта при описании компетентности эксперта встречалось указание на то, что эксперт «имеет высшее образование и экспертную специальность по компьютерным экспертизам». Формально положения ст. 204 УПК РФ учтены, однако следователь должен иметь возможность наглядно представить компетентность эксперта. В этой связи, особенно когда речь идет о лицах, не являющихся государственными судебными экспертами, в заключении должны быть отражены сведения об учебном заведении, которое было окончено экспертом и точное наименование специальности, являющейся базовой для проведения компьютерной экспертизы.
Отсутствие конкретизации может явиться основанием для производства проверочных мероприятий следователем (например, допроса эксперта). Верным ориентиром в установлении достаточной компетентности эксперта будет являться его образование и/или опыт работы по таким направлениям, как: электроника, электротехника, информационные системы и процессы, радиотехника и связь, вычислительная техника, программирование, автоматизация и т. п.
2. Характеристика объектов, представленных для производства компьютерной экспертизы:
а) во вводной части заключения эксперта дается краткое описание объектов, поступивших на экспертизу, фиксируются их индивидуальные признаки (если позволяет упаковочный материал) и характеристика упаковки (в том числе ее состояние).
Пример. На экспертизу представлен системный блок персонального компьютера PC GAMER со встроенной сетевой картой «LINK/ACT». Объект поступил упакованным в полиэтиленовый пакет синего цвета, опечатанный…
Особенность, присущая компьютерной экспертизе, состоит в количестве сведений, присутствующих на электронном носителе информации и отражаемых в начале заключения эксперта (в зависимости от вида носителя, его модели).
Например, на корпусе флеш-карты, как правило, имеются сведения о типе, модели и емкости носителя («SD Apacer 512 mb»). Кроме того, необходимо зафиксировать положение переключателя защиты от записи (запись разрешена, запись запрещена). Корпус жесткого диска может содержать сведения о типе (стационарный или переносной) модели диска. Здесь же отражается серийный номер диска (организация может выставить на нем учетный номер). Также указывается интерфейс (например, интерфейс USB), наличие интерфейсного кабеля и т. д.;
б) в исследовательской части заключения эксперта дается детальное описание объектов, поступивших на экспертизу (корпуса носителя, самого носителя после вскрытия корпуса), их иллюстрации.
Описание системного блока делается подробно. В начале характеризуются панели корпуса (передняя: привод компакт-дисков, разъемы USB и др.; задняя: кнопка включения питания, разъемы для устройств и проч.; верхняя: наклейки с надписями и т. д.). Затем фиксируются основные комплектующие системного блока после удаления боковой панели (блок питания, системная плата и т. д.). При этом более подробно описывается электронный носитель, подлежащий исследованию.
3. Характеристика средств, использованных в процессе проведения компьютерной экспертизы, а также демонстрация примененной методики.
Следующая особенность, присущая компьютерной экспертизе, состоит в том, что эксперт применяет как стандартные для любой экспертизы средства фиксации объектов (например, цифровая фотокамера «Panasonic» и принтер «HP LaserJet 1320»), так и специальные средства (например, стендовая ПЭВМ, оснащенная устройствами для подключения соответствующих электронных носителей и необходимым системным и специализированным программным обеспечением).
Пример. Для исследования системного блока, представленного на исследование, использовалась стендовая ПЭВМ следующей конфигурации: M/B-ASUS M2N32-SLI DELUX/nVidia MCP55PXE…, оснащенная устройством для подключения накопителей на жестких магнитных дисках, необходимым системным и специализированным программным обеспечением. Системная дата и время стендовой ПЭВМ соответствует реальному времени часового пояса GMT+06:00.
Когда речь заходит о методах производства компьютерной экспертизы, следует сделать оговорку. Суть ее в том, что эксперт, в ходе проведения указанной экспертизы задействует как общие методы (анализ, синтез и т. д.), так и специальные методы (метод анализа структуры, методы исследования аппаратных средств и т. д.)9.
Методов, разработанных специально для проведения компьютерной экспертизы, на данный момент нет. Деятельность эксперта фактически сводится к адаптации имеющихся методов к каждому конкретному случаю.
Реализация методов компьютерной экспертизы осуществляется через применение конкретных методик. Опрос экспертов показал, что с формальной точки зрения (для соблюдения процессуального законодательства) в заключении эксперта в качестве методики эксперты указывают учебно-методическую литературу.
Пример. Исследование проводилось в соответствии со следующими методическими материалами: 1) методические рекомендации «Общие положения по назначению и производству компьютерно-технической экспертизы» (кол. авт. М.: ЭКЦ МВД России, 2001); 2) учебное пособие «Методы и средства решения задач компьютерно-технической экспертизы» (под ред. А.И. Усова. М.: ЭКЦ МВД России, 2002); 3) учебное пособие «Судебно-экспертное исследование компьютерных средств и систем: основы методического обеспечения» (под ред. Е.Р. Россинской. М., 2003); 4) учебно-методическое пособие «Практические основы компьютерно-технической экспертизы» (кол. авт. М., 2007).
4. Наличие оговорки о применении процедуры обеспечения сохранности информации (при обнаружении электронного носителя внутри корпуса системного блока).
С целью обеспечения сохранности информации и гарантии от внесения изменений в их содержимое, электронные носители подключаются к стендовой ПЭВМ в режиме защиты от записи.
Информация с исследуемого накопителя клонируется на жесткий диск стендовой ПЭВМ при помощи специальной программы. Затем производится восстановление удаленных данных при помощи специальных программ на жесткий диск стендовой ПЭВМ и отключение исследуемого электронного носителя. Дальнейшее исследование информации проводится на жестком диске стендового компьютера10.