Введение: методологическая специфика программно-технического исследования

Программно-техническая экспертиза занимает особое место в системе судебных экспертиз, поскольку объектами её исследования выступают не материальные предметы в классическом понимании, а сложные информационные объекты — программное обеспечение, данные, алгоритмы и цифровые следы, существующие в виртуальной среде. 🌐 В отличие от традиционных криминалистических экспертиз, где объект исследования материален и доступен для непосредственного наблюдения, программно-техническая экспертиза оперирует с объектами, которые требуют специальных методов извлечения, интерпретации и верификации. 🧩 Именно поэтому корректная постановка вопросы программно-технической экспертизы приобретает критическое значение — от точности формулировок зависит не только возможность получения ответа, но и его доказательственная ценность.

В настоящей статье мы предлагаем систематизированный методический конструктор для формулирования вопросов, выносимых на программно-техническую экспертизу. Структурирование вопросного блока основано на классификации объектов исследования: аппаратное обеспечение, программное обеспечение, данные и информационные потоки, а также сетевые взаимодействия. 📊 Каждая категория вопросов имеет свою логику, свои методические ограничения и свои критерии допустимости. Кроме того, мы рассмотрим типичные ошибки, процессуальные ловушки и приведем практические кейсы, иллюстрирующие последствия некорректной постановки вопросов.

Глава 1. Классификация объектов исследования и соответствующих вопросов

1.1. Аппаратный уровень: вопросы о компьютерных средствах

Первая и наиболее очевидная группа вопросы программно-технической экспертизы касается аппаратного обеспечения — компьютеров, их комплектующих, периферийных устройств и носителей информации. Как отмечается в методической литературе, исследование аппаратных средств позволяет установить не только технические характеристики объекта, но и факты его модификации, износа или несанкционированного вмешательства.

Типовые вопросы данной категории включают:

• Относится ли представленный объект к компьютерным средствам? Является ли он компьютерной системой либо её компонентой (аппаратной, программной, информационной)?
• Каковы тип (марка, модель), конфигурация и общие технические характеристики представленной компьютерной системы?
• Находится ли компьютерная система в рабочем состоянии? Имеются ли какие-либо неисправности в её работе?
• Имеются ли признаки нарушения правил эксплуатации компьютерной системы?
• Не внесены ли в конструкцию компьютера изменения (например, не установлены ли дополнительные встроенные устройства: жесткие диски, устройства для расширения оперативной памяти)?
• Соответствует ли внутреннее устройство компьютера и периферийных устройств прилагаемой технической документации?
• Каковы причины неисправности компьютера и периферийных устройств?

Важной методологической особенностью является то, что при постановке вопросы программно-технической экспертизы в части аппаратных средств необходимо учитывать возможность непреднамеренного повреждения объекта при исследовании. В определении суда должно быть указано, разрешена ли эксперту разборка объекта, поскольку без такого разрешения эксперт не вправе существенно изменять свойства объекта исследования.  🔧

1.2. Программный уровень: вопросы о программном обеспечении

Наиболее обширная и сложная группа вопросов связана с исследованием программного обеспечения — системных и прикладных программ, утилит, средств разработки и вспомогательных инструментов.  В литературе подчеркивается, что объектами программно-компьютерной экспертизы выступают системное программное обеспечение (операционные системы), вспомогательные программы, средства разработки и отладки, служебная системная информация, а также прикладное программное обеспечение общего и специального назначения.

Типовые вопросы о программном обеспечении включают:

• Какова общая характеристика представленного программного обеспечения, из каких компонент (программных средств) оно состоит?
• Какую классификацию имеют конкретные программные средства (системные или прикладные)? Обладают ли они признаками контрафактности?
• Каковы наименование, тип, версия, вид представления (явный, скрытый, удаленный) программного средства?
• Каковы реквизиты разработчика и владельца данного программного средства?
• Какое общее функциональное предназначение имеет программное средство?
• Какие требования предъявляет данное программное средство к аппаратным средствам компьютерной системы?
• Какова совместимость конкретного программного средства с программным и аппаратным обеспечением компьютерной системы?
• Имеются ли в программном средстве отклонения от нормальных параметров типовых программных продуктов (например, свойства инфицирования, недокументированные функции)?
• Имеет ли программное средство защитные возможности от несанкционированного доступа и копирования? Каким образом они организованы?
• Каков общий алгоритм данного программного средства?
• Какие программные инструментальные средства (языки программирования, компиляторы, стандартные библиотеки) использовались при разработке данного программного средства?
• Подвергался ли алгоритм программного средства модификации по сравнению с исходным состоянием? В чем это нашло отражение?
• Имеются ли в программном средстве враждебные функции, которые влекут уничтожение, блокирование, модификацию либо копирование информации, нарушение работы компьютерной системы?
• Каковы последствия дальнейшей эксплуатации определенного программного средства?

При постановке вопросы программно-технической экспертизы о программном обеспечении важно учитывать, что ответы на многие из них требуют не только технического анализа, но и интерпретации функционального назначения программы, что иногда выходит за рамки чисто инструментального исследования. 🧠

1.3. Информационный уровень: вопросы о данных и файловых системах

Третья группа вопросов касается содержательной стороны исследования — данных, файлов, баз данных и их атрибутов. Эта категория наиболее востребована в судебной практике, поскольку именно цифровая информация часто является ключевым доказательством. 📁

Типовые вопросы о данных включают:

• Каково содержание информации, хранящейся на внутренних и внешних магнитных носителях, в том числе какие программные продукты там находятся?
• Каковы атрибуты (дата создания, последнего изменения, последнего доступа) для конкретных файлов? Соответствуют ли они указанным в материалах дела датам?
• Имеются ли признаки преднамеренного удаления, форматирования или очистки данных? Возможно ли восстановление удаленной информации?
• Содержатся ли на носителях скрытые, зашифрованные или защищенные паролем файлы/разделы? Возможно ли получить доступ к их содержимому?
• Можно ли установить последовательность операций с файлами (копирование, перемещение, редактирование) для заданного временного периода?
• Имеются ли на носителе данных информация, аутентичная по содержанию представленным образцам? Вид ее представления (явный, скрытый, удаленный, архивный)?
• К какому формату относятся выявленные данные (текстовые документы, графические файлы, базы данных) и с помощью каких программных средств они могут обрабатываться?
• Каким образом организована база данных? В каком формате записана информация и какие СУБД могут ее обрабатывать?

Постановка вопросы программно-технической экспертизы в части данных требует максимальной конкретизации: следует указывать точные имена файлов, директории, временные периоды, ключевые слова, подлежащие поиску.  Без такой конкретики эксперт вынужден проводить исследование «вслепую», что существенно снижает достоверность результатов. 📌

1.4. Сетевой уровень: вопросы о взаимодействии и доступе

Четвертая группа вопросов связана с сетевыми взаимодействиями, удаленным доступом и использованием интернет-ресурсов. Это направление становится все более востребованным в связи с ростом преступлений в сфере информационных технологий. 🌍

Типовые вопросы о сетевой активности включают:

• Какие сетевые соединения устанавливались устройством в заданный период (IP-адреса, порты, домены)?
• Какие ресурсы (сайты, сервисы) посещались с представленного устройства?
• Имеются ли признаки функционирования данного компьютерного средства в составе локальной вычислительной сети?
• Имеются ли признаки работы представленного компьютерного средства в сети Интернет? Каково содержание установок удаленного доступа и протоколов соединений?
• Имеются ли на устройстве средства, позволяющие скрыть действия пользователя (VPN, TOR, анонимайзеры)?
• Велась ли переписка с представленного устройства в информационно-телекоммуникационной сети с иными лицами, если да, то с кем именно (электронные данные), когда, посредством каких сетей? Если эта переписка была удалена, то возможно ли ее восстановить?

При формулировании вопросы программно-технической экспертизы сетевого характера необходимо учитывать, что многие ответы требуют доступа к внешним ресурсам (например, к провайдерским логам или к данным серверов), что выходит за пределы компетенции эксперта и требует отдельного судебного запроса.  🖥️

Глава 2. Принципы формулирования вопросов: методические рекомендации

2.1. Принцип конкретности и адресности

Первый и главный принцип формулирования вопросы программно-технической экспертизы — максимальная конкретность. Каждый вопрос должен содержать указание на конкретный объект (устройство, файл, программу, временной период), идентифицируемый уникальным образом (модель, серийный номер, путь к файлу, дата). Без такой конкретики ответ эксперта неизбежно становится расплывчатым и теряет доказательственную ценность.

Например, вместо вопроса «Какая информация содержится в компьютере?» следует ставить: «Какие файлы, содержащие ключевые слова «договор» и «оплата», находятся на жестком диске с серийным номером [указать] в папке «Документы_2024»?». Такая формулировка позволяет эксперту целенаправленно искать информацию, а не «прочесывать» весь массив данных.

2.2. Принцип приоритета диагностики перед идентификацией

Второй важный принцип — иерархическое построение вопросов: сначала диагностические (установление состояния, свойств, наличия), затем идентификационные (установление автора, источника, принадлежности). Например, сначала вопрос о том, имеются ли на носителе следы удаления файлов, и только затем — вопрос о возможности восстановления конкретных удаленных файлов. Этот подход позволяет эксперту последовательно углубляться в исследование и, в случае невозможности ответить на идентификационный вопрос, все же предоставить суду полезную диагностическую информацию.

2.3. Принцип разделения компетенций

Третий принцип — строгое соблюдение границ экспертной компетенции. Эксперт-программист не может и не должен отвечать на вопросы, требующие правовой оценки (например, «является ли данное действие преступлением»), или на вопросы, выходящие за пределы его технической специальности (например, вопросы о содержании рукописных документов, о почерке, о химическом составе веществ).  Вопросы программно-технической экспертизы должны быть сформулированы в технической плоскости: факт наличия, факт изменения, факт доступа, а не квалификация действий.

2.4. Принцип обеспеченности доступа

Четвертый принцип — указание в определении суда на то, что эксперту обеспечен доступ к объектам исследования, а в случае необходимости — разрешение на разборку устройства и внесение изменений в его программную среду.  Без такого разрешения эксперт не может производить действия, которые могут повлиять на сохранность объекта (например, сброс пароля, извлечение накопителя).  В некоторых случаях требуется также согласие сторон на возможное непреднамеренное повреждение устройства при разборке.

Глава 3. Типичные процессуальные ошибки и их последствия

3.1. Постановка вопроса, требующего правовой оценки

Наиболее распространенная ошибка — включение в вопросы программно-технической экспертизы формулировок, содержащих правовую оценку. Например: «Является ли данное программное обеспечение контрафактным?», «Была ли совершена кража данных?». Эксперт может лишь установить наличие или отсутствие лицензионных реквизитов, отсутствие правоустанавливающих документов, факт копирования данных. Но квалификация этих действий как «контрафактности» или «кражи» — это исключительная компетенция суда. Постановка таких вопросов приводит к тому, что эксперт либо вынужден выходить за пределы своей компетенции, либо возвращает дело без исполнения, что влечет затягивание процесса.

3.2. Постановка вопроса без указания идентификаторов объекта

Вторая по частоте ошибка — отсутствие в вопросе конкретных идентификаторов объекта исследования. «Содержит ли компьютер информацию о сделках?» — это не вопрос, это приглашение эксперту исследовать всё подряд. Правильно: «Имеются ли на жестком диске с серийным номером [указать] файлы, содержащие слова «договор», «счет», «оплата», в период с 01.01.2024 по 01.06.2024?». Без такой конкретики эксперт не может дать однозначного ответа, а суд не может проверить полноту исследования.

3.3. Постановка вопроса о восстановлении данных без указания на техническую возможность

Вопрос «Возможно ли восстановление удаленных файлов?» без указания конкретного носителя, конкретной файловой системы и конкретного периода — это вопрос, на который нельзя дать однозначный ответ. Восстановление данных зависит от множества факторов: типа файловой системы (NTFS, FAT32, ext4), объема перезаписанной информации, наличия теневых копий.  Правильная формулировка: «Имеются ли на жестком диске с серийным номером [указать] следы удаленных файлов в формате [указать], и если да, то возможно ли их восстановление с использованием стандартных программных средств?».

Глава 4. Экспертные кейсы из судебной практики

Кейс №1: Идентификация следов удаления данных в деле о коммерческой тайне

В ходе расследования дела о разглашении коммерческой тайны был изъят системный блок сотрудника, который, по версии следствия, перед увольнением скопировал и удалил конфиденциальные файлы. 📁 Эксперту были поставлены вопросы программно-технической экспертизы: «Имеются ли на жестком диске с серийным номером [указать] следы удаленных файлов, содержащих ключевые слова «клиент», «контракт», «цена»? Если да, то возможно ли их восстановление и каково содержание восстановленных файлов?». Эксперт провел анализ файловой системы, выявил наличие удаленных записей в MFT (Master File Table), восстановил файлы с частичной потерей данных и установил, что удаленные файлы содержали информацию о клиентской базе и ценовой политике компании. Заключение эксперта стало основным доказательством в суде, и бывший сотрудник был привлечен к ответственности.

Кейс №2: Установление факта использования вредоносного ПО в деле о блокировке серверов

Крупная компания столкнулась с блокировкой своих серверов и требованием выкупа. Специалисты IT-отдела заподозрили использование программы-шифровальщика. На экспертизу были переданы зараженные серверы. Эксперту были поставлены вопросы программно-технической экспертизы: «Имеются ли на сервере с серийным номером [указать] программные средства с признаками вредоносности? Если да, то каковы их функции, каким образом они осуществляют шифрование данных, и каковы последствия их дальнейшей работы?». 🛡️ Эксперт выявил файлы с характерными признаками программы-шифровальщика, проанализировал их алгоритм и установил, что шифрование происходит с использованием асимметричного шифрования, а ключи дешифрования отсутствуют на сервере. Заключение позволило компании обосновать свои требования к страховой компании о возмещении убытков.

Кейс №3: Анализ сетевой активности в деле о неправомерном доступе

В уголовном деле о неправомерном доступе к компьютерной информации обвиняемый утверждал, что его аккаунт был взломан, и он не совершал действий, вменяемых ему в вину. Эксперту были поставлены вопросы программно-технической экспертизы: «Имеются ли на устройстве [модель, серийный номер] сведения об удаленных подключениях к системе (RDP, SSH) за период с 01.01.2024 по 01.03.2024? Имеются ли признаки использования программ для снятия паролей?». 🔍 Эксперт проанализировал системные логи и выявил, что в указанный период удаленных подключений не было, однако была зафиксирована активность программы для подбора паролей, установленной на устройстве обвиняемого. Эксперт пришел к выводу, что доступ к системе осуществлялся с использованием учетных данных обвиняемого, а не в результате взлома. Суд принял заключение, и обвиняемый был признан виновным.

Глава 5. Перспективные направления развития и методические вызовы

5.1. Исследование облачных сервисов и распределенных систем

С развитием облачных технологий и распределенных систем объекты вопросы программно-технической экспертизы все чаще выходят за пределы физических устройств. Данные могут храниться на серверах в разных юрисдикциях, доступ к ним может осуществляться через веб-интерфейсы, а следы взаимодействия могут быть распределены между множеством узлов. Это создает новые методические вызовы: эксперту необходимо не только анализировать локальные данные, но и взаимодействовать с облачными провайдерами, что требует дополнительных судебных запросов и часто выходит за пределы компетенции отдельного эксперта.  🧩

5.2. Внедрение искусственного интеллекта в экспертные процессы

Искусственный интеллект и машинное обучение начинают применяться для автоматического анализа больших массивов данных, поиска аномалий и выявления скрытых закономерностей. Однако использование ИИ в судебной экспертизе ставит новые вопросы о допустимости таких доказательств, о возможности проверки алгоритмов и о границах ответственности эксперта.  Вопросы программно-технической экспертизы будущего могут включать оценку корректности алгоритмов и достоверности результатов машинного анализа.

Заключение: системный подход как гарантия эффективности экспертизы

Проведенный анализ позволяет сформулировать системный подход к формированию вопросы программно-технической экспертизы, который должен включать четыре уровня: аппаратный, программный, информационный и сетевой. 🧠 Корректная постановка вопросов на каждом из этих уровней требует соблюдения принципов конкретности, иерархичности, приоритета диагностики над идентификацией и строгого соблюдения границ экспертной компетенции.

Ошибки в формулировании вопросов — будь то включение правовой оценки, отсутствие идентификаторов объекта или игнорирование технических ограничений — могут привести к неполноте заключения, его оспариванию в суде и, как следствие, к затягиванию процесса и необоснованным решениям. 📌 Поэтому разработка и использование систематизированных перечней вопросов для каждой категории дел является важной задачей, стоящей перед экспертным сообществом и правоприменителями. 📋

Только при условии методически обоснованной постановки вопросы программно-технической экспертизы экспертное заключение сможет стать надежным и убедительным доказательством в судебном процессе, способствующим установлению истины и защите прав участников судопроизводства. 💪

Для заказа профессиональной строительной экспертизы и других видов исследований обращайтесь на сайт: строительная экспертиза.