Компьютерно-техническая экспертиза

Что такое компьютерно-техническая экспертиза?

В современном бизнесе компрометирующая переписка, доказательства мошенничества, следы хищения интеллектуальной собственности и финансовые махинации всё чаще существуют не в бумажных папках, а в виде цифровых данных. Файлы на сервере, письма в корпоративной почте, история браузера, базы данных — всё это может стать решающим доказательством в споре. Но цифровые следы легко уничтожить, подделать или неверно интерпретировать. Чтобы суд или собственник получили достоверную картину, требуется компьютерно-техническая экспертиза — комплексное исследование аппаратных, программных и информационных объектов, проводимое по строгим научным методикам.
В отличие от стандартного аудита ИТ-систем, эта экспертиза обладает процессуальным статусом, а её заключение способно перевесить гору косвенных улик. Рассказываем, что это такое, кто её заказывает, какие виды существуют и какова стоимость в Москве.

Под компьютерно-технической экспертизой понимается род судебной и внесудебной инженерно-технической экспертизы, направленной на исследование цифровых устройств, программного обеспечения, данных и сетевых взаимодействий с целью установления фактов, имеющих значение для дела. Её предмет — любые электронно-цифровые следы, оставленные в результате работы вычислительной техники.
Основное отличие от простой диагностики: эксперт не просто констатирует неисправность или факт удаления файла, но и восстанавливает хронологию событий, устанавливает авторство действий, выявляет признаки несанкционированного доступа и фальсификации данных. И всё это — с соблюдением процедур, обеспечивающих допустимость заключения в суде.

Виды судебной компьютерно-технической экспертизы (и внесудебной) классифицируются по объекту и решаемым задачам:

Аппаратная экспертиза.
Исследование физического состояния компьютерной техники, серверов, мобильных устройств, носителей информации. Устанавливается факт неисправности, её причина, наличие несанкционированных модификаций или закладных устройств.

Программная экспертиза.
Анализ программного обеспечения: его работоспособности, функциональности, соответствия техническому заданию, наличия уязвимостей, вредоносного кода или недекларированных возможностей. Сюда же входит экспертиза лицензионной чистоты ПО.

Сетевая экспертиза.
Изучение трафика, сетевых взаимодействий, определение IP-адресов, выявление атак, взломов и фактов несанкционированного проникновения в корпоративные системы.

Комплексная экспертиза.
Сочетает несколько направлений, когда требуется полная картина происшествия.

Кто и в каких ситуациях заказывает экспертизу?

Потребность в назначении компьютерно-технической экспертизы возникает в самых разных сферах:

• Суды (арбитражные и общей юрисдикции).
  При спорах о принадлежности доменов, авторских правах на ПО, незаконном использовании баз данных, а также при исследовании цифровых доказательств мошенничества, неосновательного обогащения или нарушения контрактных обязательств.
• Следственные органы.
  При расследовании экономических и должностных преступлений, киберпреступлений, утечек персональных данных.
• Адвокаты и корпоративные юристы.
  Для подготовки досудебной позиции или для инициирования судебной компьютерно-технической экспертизы по ходатайству стороны.
• Собственники и топ-менеджмент.
  При подозрении на нелояльность ключевых сотрудников, утечку коммерческой тайны, кражу клиентской базы или промышленный шпионаж.
• Конкурсные управляющие.
  При поиске активов должника (криптокошельков, цифровых финансовых инструментов) и анализе цепочек вывода средств через электронные платежи.
• Оценщики бизнеса (наша ключевая специализация).
  Для комплексной оценки IT-инфраструктуры компании, проверки реального состояния программных активов, а также для выявления скрытых цифровых активов, которые не отражены в балансе, но существенно влияют на стоимость.

Методология: от опечатывания системного блока до отчета в суде

Проведение компьютерно-технической экспертизы включает несколько ключевых этапов, нарушение любого из которых способно привести к тому, что суд не примет доказательство:

• Осмотр и фиксация.
  Прибыв на место (офис, серверная), эксперт описывает и фотографирует всё оборудование, фиксирует состояние индикаторов, кабельных соединений, пломб. Это необходимо, чтобы исключить версию о подмене устройства после изъятия.
• Изъятие и клонирование.
  Носители информации (жёсткие диски, SSD, флэш-накопители) изымаются с соблюдением целостности. В лаборатории с них снимается побитовая копия (образ), и все дальнейшие манипуляции производятся исключительно с копией. Оригинал хранится в опечатанном виде — это залог того, что данные не были изменены экспертом.
• Анализ данных.
  Специалисты используют программно-аппаратные комплексы для:
  o Восстановления удалённых и скрытых файлов, очищенных журналов операционной системы.
  o Декодирования зашифрованных или повреждённых данных.
  o Анализа временных меток для восстановления хронологии действий пользователя.
  o Поиска ключевых слов в массивах писем, документов, сообщений мессенджеров.
• Формулирование выводов.
  Эксперт отвечает на поставленные судом или заказчиком вопросы. Типичные компьютерно-техническая экспертиза вопросы эксперту включают:
  o Имеются ли на носителе файлы, соответствующие определённым критериям?
  o Когда и кем они были созданы/изменены/удалены?
  o Содержит ли программа признаки вредоносного ПО или функцию несанкционированного доступа?
  o Происходило ли копирование информации на внешние носители в определённый период?
  o Каково техническое состояние оборудования и пригодно ли оно для решения заявленных задач?
• Составление заключения.
  Итоговый документ содержит все исходные данные, описание методики и категоричные или вероятностные выводы. В случае судебной экспертизы эксперт предупреждается об уголовной ответственности за дачу заведомо ложного заключения.

Почему за компьютерно-технической экспертизой идут к нам

1. Синтез с оценкой бизнеса. Мы — не просто лаборатория. Как оценщики активов, мы понимаем, что IT-инфраструктура, базы данных и программные продукты могут составлять до 80% стоимости современной компании. Поэтому наша экспертиза изначально нацелена на выявление экономически значимых фактов: восстановление клиентской базы, которую пытались уничтожить; подтверждение факта кражи кода; поиск скрытых цифровых активов.
2. Процессуальная чистота. Наши эксперты знают все требования УПК, ГПК и АПК к сбору доказательств. Мы обеспечиваем цепочку хранения вещественных доказательств, что критично для суда.
3. Междисциплинарность. В сложных случаях мы объединяем компьютерно-техническую экспертизу с финансово-экономической, лингвистической или оценочной. Например, при подозрении на вывод активов через фиктивные электронные платежи мы одновременно и восстановим цифровые следы, и дадим экономический анализ операции.