главная :: экономика :: право :: сертификация :: учебники :: поиск
Криминалистика (Ищенко Е.П.)

Расследование случаев неправомерного доступа к компьютерной информации

Информация и информационные правоотношения стали новым предметом преступного посягательства. К преступлениям этой категории УК РФ относит: неправомерный доступ к компьютерной информации (ст. 272); создание, использование и распространение вредоносных программ для ЭВМ (ст. 273); нарушение правил эксплуатации ЭВМ, их системы или сети (ст. 274).

Общий объект указанных преступлений – общественные отношения по обеспечению информационной безопасности, а непосредственными объектами преступного посягательства являются: базы и банки данных, отдельные файлы конкретных компьютерных систем и сетей, а также компьютерные технологии и программные средства, включая те, которые обеспечивают защиту компьютерной информации от неправомерного доступа.

Под информацией понимают сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Документированная информация – это зафиксированные на материальном носителе сведения с реквизитами, позволяющими их идентифицировать. Компьютерная информация является документированной, но хранящейся в ЭВМ или управляющей ею в соответствии с программой и (или) предписаниями пользователя.

К машинным носителям компьютерной информации относят устройства памяти ЭВМ, ее периферийные устройства, компьютерные средства связи, сетевые устройства и сети электросвязи.

Статья 272 УК РФ устанавливает ответственность, если неправомерный доступ к компьютерной информации привел к таким негативным последствиям, как уничтожение, блокирование, модификация, копирование информации либо нарушение работы ЭВМ, их системы или сети.

Уничтожение информации – это такое изменение ее состояния, которое лишает ее первоначального качества, вследствие чего она перестает отвечать своему прямому назначению. Под блокированием понимается временная или постоянная невозможность доступа к информации со стороны законного пользователя, а под модификацией – ее видоизменение с появлением новых, нежелательных свойств. Копирование – это воспроизведение точного или относительно точного аналога оригинала; а нарушение работы ЭВМ, их системы или сети – замедление, зацикливание, прекращение действия программы, нарушение порядка выполнения команд, отказ в выдаче информации, отключение элементов компьютерной системы, другие нештатные ситуации.

При этом системой считается взаимосвязанная совокупность ЭВМ с их единым организационно-техническим обеспечением, а сетью – объединение действующих на определенной территории систем ЭВМ.

При расследовании неправомерного доступа к компьютерной информации следственные задачи решаются в такой очередности:

1) устанавливается: а) факт неправомерного доступа к информации в компьютерной системе или сети, б) место несанкционированного проникновения в эту систему или сеть и в) время совершения преступления;

2) определяется: а) способ несанкционированного доступа и степень надежности средств защиты компьютерной информации, б) лица, совершившие неправомерный доступ, их виновность и мотивы преступления, в) вредные последствия содеянного.

Факт неправомерного доступа к информации

Факт неправомерного доступа к информации первыми, как правило, обнаруживают пользователи компьютерной системы или сети. Такие факты иногда устанавливаются в ходе оперативно-розыскной деятельности органов внутренних дел, ФСБ, ФСНП. Их можно выявить и в ходе прокурорских проверок, ревизий, судебных экспертиз, следственных действий по уголовным делам.

Признаками несанкционированного доступа или подготовки к нему могут служить: а) появление в компьютере искаженных данных; 6) необновление в течение длительного времени кодов, паролей и других защитных средств компьютерной системы; в) увеличение числа сбоев в работе ЭВМ; г) участившиеся жалобы пользователей компьютерной системы или сети.

Таким фактам могут предшествовать или сопутствовать: 1) осуществление без необходимости сверхурочных работ; 2) немотивированные отказы отдельных сотрудников, обслуживающих компьютерную систему или сеть, от отпуска; 3) приобретение работником для личного пользования дорогостоящего компьютера; 4) чистые дискеты или диски, принесенные на работу сотрудниками компьютерной системы под предлогом копирования программ для компьютерных игр; 5) участившиеся случаи перезаписи отдельных данных без серьезных на то причин; 6) подозрительный интерес некоторых работников к содержанию чужих принтерных распечаток; 7) повторный ввод в компьютер одной и той же информации.

Необходимо выделить также признаки неправомерного доступа, выражающиеся в отступлениях от установленного порядка обработки документов. Имеются в виду: а) нарушения принятых правил оформления документов и изготовления машинограмм; б) лишние документы, подготовленные для обработки на ЭВМ; в) несоответствие информации, содержащейся в первичных документах, данным машинограмм; г) преднамеренные утрата или уничтожение первичных документов и машинных носителей информации, внесение искажений в данные их регистрации. Следует, однако, помнить, что перечисленные признаки могут быть результатом не только злоупотреблений, но и других причин, например случайных ошибок и сбоев компьютерной техники.

Место несанкционированного доступа

Место несанкционированного доступа в компьютерную систему или сеть удается установить с немалыми трудностями, ибо таких мест может быть несколько. На практике чаще обнаруживается место неправомерного доступа к компьютерной информации с целью хищения денежных средств, но и для этого приходится выявлять все места работы компьютеров, имеющих единую телекоммуникационную связь.

Гораздо проще это место устанавливается в случае несанкционированного доступа к единичному компьютеру. Но и тут нужно учитывать, что информация на машинных носителях может храниться в других помещениях, которые тоже подлежат установлению.

Значительно труднее определить место непосредственного применения технических средств удаленного несанкционированного доступа, которые, естественно, не входят в данную компьютерную систему или сеть. К его установлению необходимо привлекать соответствующих специалистов. Подлежат выяснению и места хранения информации на машинных носителях, добытой преступником в результате неправомерного доступа к компьютерной системе или сети.

Время несанкционированного доступа

Время несанкционированного доступа устанавливается с помощью программ общесистемного назначения, которые в работающем компьютере обычно фиксируют текущее время. Это позволяет по соответствующей команде вывести на экран дисплея сведения о точном времени выполнения той или иной операции. Если данная программа работает, то при несанкционированном входе в систему или сеть время работы на компьютере любого пользователя и производства конкретной операции автоматически фиксируются в оперативной памяти. Тогда время несанкционированного доступа можно определить в ходе следственного осмотра компьютера, его распечаток или дискет, производимого с помощью специалиста, чтобы информация, находящаяся в оперативной памяти ЭВМ или на дискете, не была случайно стерта.

Время несанкционированного доступа устанавливается и путем допроса свидетелей из числа сотрудников данной компьютерной системы. Выясняется, когда конкретно каждый из них работал на ЭВМ, если это не было зафиксировано в автоматическом режиме.

Способы преступной деятельности

Способы преступной деятельности в среде компьютерной информации могут быть разделены на две большие группы. Первая группа преступных действий осуществляется без использования компьютерных устройств в качестве инструмента для проникновения извне в информационные системы или воздействия на них. Это могут быть: а) хищение машинных носителей информации в виде блоков и элементов ЭВМ: б) использование визуальных, оптических и акустических средств наблюдения за ЭВМ; в) считывание и расшифровка различных электромагнитных излучений компьютера и обеспечивающих систем; г) фотографирование информации в процессе ее обработки; д) изготовление бумажных дубликатов входных и выходных документов, копирование распечаток; е) использование визуальных, оптических и акустических средств наблюдения за лицами, имеющими отношение к необходимой злоумышленнику информации, подслушивание их разговоров; ж) осмотр и изучение не полностью утилизированных отходов деятельности вычислительных центров; з) вступление в прямой контакт с лицами, имеющими отношение к необходимой злоумышленнику информации и получение от них под разными предлогами нужных сведений и др.

Для таких действий, как правило, характерны достаточно локальная следовая картина, определяющаяся тем, что место совершения преступных действий и дислокация объекта преступного посягательства расположены вблизи друг от друга или совпадают, и традиционны приемы по их исследованию.

Вторая группа преступных действий осуществляется с использованием компьютерных и коммуникационных устройств в качестве инструмента для проникновения в информационные системы или воздействия на них.

Так, несанкционированный доступ реализуется с помощью различных способов: подбором пароля, использованием чужого имени, отысканием и применением пробелов в программе, а также других мер преодоления защиты компьютерной информации. Конкретный способ несанкционированного доступа можно установить путем допроса свидетелей из числа лиц, обслуживающих компьютерную систему, и ее разработчиков. У них необходимо выяснить, как преступник мог проникнуть в защищенную систему, например, узнать идентификационный номер законного пользователя, код, пароль для доступа, получить сведения о других средствах защиты системы или сети ЭВМ.

Способ несанкционированного доступа надежнее установить путем производства судебной информационно-технической экспертизы. Перед экспертом ставится вопрос: «Каким способом был осуществлен несанкционированный доступ в данную компьютерную систему?» Для этого эксперту нужно представить всю проектную документацию на взломанную компьютерную систему, а также данные о ее сертификации. При производстве такой экспертизы не обойтись без использования компьютерного оборудования той же системы, которую взломал преступник, либо специальных технических и программных средств.

В ряде случаев целесообразно производство следственного эксперимента для проверки возможности преодоления средств защиты компьютерной системы одним из предполагаемых способов. Одновременно может быть проверена возможность появления на экране дисплея закрытой информации или ее распечатки вследствие ошибочных, неумышленных действий оператора либо из-за случайного технического сбоя в электронном оборудовании.

Выясняя надежность средств зашиты компьютерной информации, прежде всего следует установить, предусмотрены ли в данной системе или сети ЭВМ меры защиты от несанкционированного доступа, в том числе к определенным файлам. Это выясняется в ходе допросов разработчиков и пользователей системы, а также при изучении проектной документации и инструкций по эксплуатации системы. Изучая инструкции, нужно обращать особое внимание на разделы о мерах защиты информации, порядке допуска пользователей к конкретным данным, разграничении их полномочий, организации контроля за доступом. Важно разобраться в аппаратных, программных, криптографических, организационных и других методах защиты информации, поскольку для обеспечения высокой степени надежности компьютерных систем, обрабатывающих документированную информацию с ограниченным доступом, используется комплекс мер по обеспечению их безопасности от несанкционированного доступа.

Так, законодательством предусмотрена обязательная сертификация средств защиты систем и сетей ЭВМ, а также обязательное лицензирование всех видов деятельности в области проектирования и производства названных средств. Поэтому в ходе расследования необходимо выяснить: 1) есть ли лицензия на производство средств защиты информации от несанкционированного доступа, задействованных в данной компьютерной системе, и 2) соответствуют ли их параметры выданному сертификату. Ответить на последний вопрос может информационно-техническая экспертиза, с помощью которой выясняется: соответствуют ли средства защиты информации от несанкционированного доступа, использованные в данной компьютерной системе, выданному сертификату? Правда, ответственность за выявленные отклонения, позволившие несанкционированный доступ к компьютерной информации, ложится на пользователя системы, а не на разработчика средств ее защиты.

При установлении лиц, совершивших несанкционированный доступ к закрытой компьютерной информации

При установлении лиц, совершивших несанкционированный доступ к закрытой компьютерной информации, следует учитывать, что он является технологически весьма сложным. Осуществить его могут только специалисты, имеющие достаточно высокую квалификацию. Поэтому поиск подозреваемых лучше начинать с технического персонала пострадавших компьютерных систем или сетей. Это в первую очередь их разработчики, а также руководители, операторы, программисты, инженеры связи, специалисты по защите информации и т.д.

Следственная практика свидетельствует, что, чем технически сложнее способ проникновения в компьютерную систему или сеть, тем легче установить подозреваемого, ибо круг специалистов, обладающих соответствующими способностями, весьма ограничен.

Доказыванию причастности конкретного субъекта к несанкционированному доступу к компьютерной информации способствуют различные следы, обнаруживаемые при следственном осмотре ЭВМ и ее компонентов. Это, например, следы пальцев, записи на внешней упаковке дискет и др. Для их исследования назначаются криминалистические экспертизы – дактилоскопическая, почерковедческая и др.

Для установления лиц, обязанных обеспечивать надлежащий режим доступа к компьютерной системе или сети, следует прежде всего ознакомиться с должностными инструкциями, определяющими полномочия лиц, ответственных за защиту конфиденциальной информации. Их необходимо допросить для выяснения, кто запускал нештатную программу и фиксировалось ли это каким-либо способом. Нужно также выяснить, кто увлекается программированием, учится или учился на курсах программистов.

У субъектов, заподозренных в неправомерном доступе к компьютерной информации, производится обыск в целях обнаружения: ЭВМ различных конфигураций, принтеров, средств телекоммуникационной связи с компьютерными сетями, записных книжек, в том числе электронных, с уличающими записями, дискет и дисков с информацией, могущей иметь значения для дела, особенно если это коды, пароли, идентификационные номера пользователей данной компьютерной системы, а также сведения о них. При обыске нужно изымать литературу и методические материалы по компьютерной технике и профаммированию. К производству обыска и осмотру изъятых предметов рекомендуется привлекать специалиста по компьютерной технике.

Установить виновность и мотивы лиц, осуществивших несанкционированный доступ к компьютерной информации, можно лишь по результатам всего расследования. Решающими здесь будут показания свидетелей, подозреваемых, обвиняемых, потерпевших, заключения судебных экспертиз, главным образом информационно-технологических и информационно-технических, а также результаты обысков. В ходе расследования выясняется: 1) с какой целью совершен несанкционированный доступ к компьютерной информации; 2) знал ли правонарушитель о системе ее защиты; 3) желал ли преодолеть эту систему и какими мотивами при этом руководствовался.

Вредные последствия неправомерного доступа к компьютерной системе или сети

Вредные последствия неправомерного доступа к компьютерной системе или сети могут заключаться в хищении денежных средств или материальных ценностей, завладении компьютерными программами, а также информацией путем изъятия машинных носителей либо копирования. Это может быть также незаконное изменение, уничтожение, блокирование информации, выведение из строя компьютерного оборудования, внедрение в компьютерную систему компьютерного вируса, заведомо ложных данных и др.

Хищения денежных средств чаще всего совершаются в банковских электронных системах путем несанкционированного доступа к их информационным ресурсам, внесения в последние изменений и дополнений. Такие посягательства обычно обнаруживают сами работники банков, устанавливаются они и при проведении оперативно-розыскных мероприятий. Сумму хищения определяет судебно-бухгалтерская экспертиза.

Факты неправомерного завладения компьютерными программами вследствие несанкционированного доступа к той или иной системе и их незаконного использования выявляют, как правило, потерпевшие. Максимальный вред причиняет незаконное получение информации из различных компьютерных систем, ее копирование и размножение с целью продажи для получения материальной выгоды либо использования в других преступных целях (например, для сбора компрометирующих данных на кандидатов на выборные должности различных представительных и исполнительных органов государственной власти).

Похищенные программы и базы данных могут быть обнаружены в ходе обысков у обвиняемых, а также при оперативно-розыскных мероприятиях. Если незаконно полученная информация – конфиденциальна или имеет категорию государственной тайны, то вред, причиненный ее разглашением, устанавливается представителями Гостехкомиссии РФ.

Факты незаконного изменения, уничтожения, блокирования информации, выведения из строя компьютерного оборудования, закачки в информационную систему заведомо ложных сведений устанавливаются прежде всего самими пользователями компьютерной системы или сети. Надо помнить, что не все эти негативные последствия наступают в результате умышленных действий. Их причиной могут стать случайные сбои в работе компьютерного оборудования, происходящие довольно часто.

При определении размера вреда, причиненного несанкционированным доступом, учитываются не только прямые затраты на ликвидацию негативных последствий, но и упущенная выгода. Такие последствия устанавливаются в ходе следственного осмотра компьютерного оборудования и носителей информации с анализом баз и банков данных, допросов технического персонала, владельцев информационных ресурсов. Вид и размер ущерба обычно определяются посредством комплексной экспертизы, проводимой с участием специалистов в области информатизации, средств вычислительной техники и связи, экономики, финансовой деятельности и товароведения.

На заключительном этапе расследования формируется целостное представление об обстоятельствах, которые облегчили несанкционированный доступ к компьютерной информации. Здесь важно последовательное изучение различных документов, особенно относящихся к защите информации. Весьма значимы материалы ведомственного (служебного) расследования.

К этим обстоятельствам относятся: 1) неэффективность методов защиты компьютерной информации от несанкционированного доступа; 2) совмещение функций разработки и эксплуатации программного обеспечения в рамках одного структурного подразделения; 3) неприменение в технологическом процессе всех имеющихся средств и процедур регистрации операций, действий программ и обслуживающего персонала; 4) нарушение сроков изменения паролей пользователей, а также сроков хранения копий программ и компьютерной информации.



Аленников А.Г. Криминалистика | Ищенко Е.П. Криминалистика | Приводнова Е.В. Криминалистика | Россинская Е.Р. Криминалистика | Яблоков Н.П. Криминалистика