ЦЕНТР НЕЗАВИСИМОЙ ЭКСПЕРТИЗЫ

Компьютерно-техническая экспертиза

Исследование компьютерной техники, программного обеспечения, цифровых носителей и электронных данных для установления технических обстоятельств и разрешения судебных и досудебных с

Когда нужна экспертиза

необходимо исследовать компьютер, ноутбук, сервер или цифровой носитель;
требуется обнаружить и исследовать электронные файлы и другие цифровые данные;
необходимо определить наличие ранее удалённой информации и возможность её восстановления;
возник спор о техническом состоянии или характеристиках компьютерной техники;
необходимо исследовать причины сбоев или некорректной работы компьютерной системы;
возник спор о качестве разработанного программного обеспечения;
необходимо проверить соответствие программы техническому заданию или условиям договора;
требуется установить факт наличия, установки или использования определённого программного обеспечения;
необходимо исследовать историю работы с файлами, устройствами или программами;
требуется технически обоснованное заключение для судебного или досудебного спора.

Объекты исследования

Объектами компьютерно-технической экспертизы могут быть аппаратные средства, программное обеспечение и содержащаяся на цифровых носителях информация.

персональные компьютеры и системные блоки;
ноутбуки и рабочие станции;
серверы и серверные системы;
жёсткие диски HDD и SSD;
USB-накопители и карты памяти;
внешние накопители;
мобильные устройства — в пределах поставленной экспертной задачи;
сетевое оборудование и отдельные элементы компьютерных систем;
операционные системы;
прикладное и специализированное программное обеспечение;
базы данных;
электронные документы и файлы;
архивы, журналы событий и системные данные;
графические, текстовые, аудио- и видеоматериалы как цифровые объекты;
исходные коды и результаты разработки программного обеспечения.

Вопросы эксперту

Каковы технические характеристики и конфигурация исследуемого компьютерного устройства?
Находится ли исследуемое устройство в работоспособном состоянии?
Имеются ли аппаратные или программные неисправности?
Какое программное обеспечение установлено на исследуемом устройстве?
Имеются ли на носителе файлы или данные, соответствующие заданным критериям?
Имеются ли признаки удаления интересующих файлов или иной цифровой информации?
Возможно ли обнаружение или восстановление удалённых данных?
Когда были созданы, изменены или удалены исследуемые файлы согласно доступным техническим данным?
Имеются ли сведения об использовании конкретной программы или файла?
Имеются ли признаки подключения определённых внешних устройств?
Соответствуют ли технические характеристики оборудования спецификации или условиям договора?
Соответствует ли исследуемое программное обеспечение техническому заданию?
Какие функции программного обеспечения реализованы и какие не соответствуют поставленным требованиям?
Могли ли выявленные программные или аппаратные обстоятельства привести к возникшему сбою?

Точный перечень вопросов рекомендуется согласовать до начала исследования, поскольку возможности компьютерно-технической экспертизы напрямую зависят от вида устройства, состояния носителя и характера требуемых данных.

Документы и материалы

Для проведения исследования желательно предоставить сам объект и имеющиеся материалы, относящиеся к поставленной задаче.

компьютер, ноутбук, сервер или иной исследуемый объект;
оригинальный цифровой носитель — при необходимости исследования данных;
техническую документацию на оборудование;
договоры поставки или разработки;
спецификации оборудования;
техническое задание на разработку программного обеспечения;
акты выполненных работ;
исходные файлы и версии программного продукта — при наличии;
журналы событий, отчёты и системные логи;
резервные копии;
электронную переписку и иные материалы, относящиеся к спору;
описание обстоятельств возникновения неисправности или утраты данных;
ранее выполненные экспертные заключения — при наличии;
материалы судебного дела.

До передачи цифрового носителя желательно избегать действий, способных изменить или перезаписать содержащиеся на нём данные. Необходимый комплект объектов и материалов определяется специалистом после ознакомления с поставленной задачей.

Примеры экспертных задач

поиск удалённых документов на жёстком диске компьютера;
исследование истории создания и изменения файлов;
определение наличия конкретного программного обеспечения на компьютере;
проверка соответствия поставленного компьютера договорной спецификации;
исследование причины программного сбоя информационной системы;
анализ системных журналов и цифровых следов работы пользователя;
исследование цифрового носителя после случайного удаления информации;
проверка соответствия разработанного программного обеспечения техническому заданию;
определение фактически реализованных функций программного продукта;
компьютерно-техническая экспертиза при судебном споре о разработке или поставке IT-системы.

Что входит в услугу

изучение поставленных вопросов и представленных материалов;
идентификация компьютерного устройства и его технических характеристик;
исследование аппаратной конфигурации;
анализ программного обеспечения и его состояния;
поиск и исследование цифровых данных;
исследование структуры файловой системы и доступной служебной информации;
поиск сведений об удалённых файлах при наличии технической возможности;
анализ системных журналов, метаданных и иных цифровых следов;
исследование причин сбоев и технических неисправностей — в пределах экспертной задачи;
анализ соответствия программного продукта техническому заданию;
фиксация результатов исследования;
подготовка экспертного заключения с ответами на поставленные вопросы.

Как проходит исследование

Постановка экспертной задачи. Специалист изучает обстоятельства дела, определяет объекты исследования и уточняет перечень вопросов.
Фиксация и подготовка объектов. Фиксируются характеристики представленной техники, носителей и доступной цифровой информации.
Исследование аппаратной и программной среды. Анализируется конфигурация оборудования, программное обеспечение, файловая система и другие технически значимые характеристики.
Исследование цифровых данных. Выполняется поиск, анализ и систематизация информации, относящейся к поставленным вопросам.
Анализ результатов. Полученные данные сопоставляются между собой, с документацией и обстоятельствами исследуемой ситуации.
Подготовка заключения. Результаты исследования описываются, формулируются технически обоснованные выводы и ответы на поставленные вопросы.

Результат исследования

По результатам компьютерно-технической экспертизы заказчик получает экспертное заключение с описанием объектов, методов исследования, установленных цифровых данных и технических выводов.

В заключении могут быть отражены:

характеристики и конфигурация компьютерной техники;
сведения об установленном программном обеспечении;
результаты исследования файловой системы;
обнаруженные электронные документы и иные цифровые данные;
сведения об удалённых объектах — при возможности их выявления;
метаданные и технические сведения о файлах;
результаты анализа системных журналов;
выявленные программные и аппаратные особенности;
результаты анализа программного продукта и его соответствия техническому заданию;
ответы на поставленные перед экспертом вопросы.

Нормативные основания

Методическая и нормативная база определяется видом цифрового объекта, характером исследуемой информации и поставленными перед экспертом вопросами.

Приказ Минюста России от 20.04.2023 № 72 — в системе судебно-экспертных учреждений Минюста России компьютерно-техническая экспертиза включает специальность «Исследование информационных компьютерных средств».
ГОСТ Р ИСО/МЭК 27037-2014 «Информационная технология. Методы и средства обеспечения безопасности. Руководства по идентификации, сбору, получению и хранению свидетельств, представленных в цифровой форме» — применительно к работе с цифровыми данными.
ГОСТ Р ИСО/МЭК 30121-2017 «Информационные технологии. Концепция управления рисками, связанными с проведением судебной экспертизы свидетельств, представленных в цифровой форме».
техническая документация изготовителя исследуемого оборудования;
документация на операционные системы и программное обеспечение;
техническое задание, спецификации и документация проекта — при исследовании программного обеспечения;
специальные экспертные методики, соответствующие виду исследуемого объекта и поставленным вопросам.

Конкретный перечень используемых методов и документов определяется экспертом для каждого исследования индивидуально.

Особенности услуги

Исследуем аппаратные, программные и информационные объекты.
Работаем с компьютерами, серверами и цифровыми носителями.
Исследуем удалённые и существующие цифровые данные при наличии технической возможности.
Проводим экспертизу программного обеспечения и его соответствия техническому заданию.
Работаем с материалами сложных договорных и IT-споров.
Проводим исследования для судебного и досудебного использования.

Частые вопросы

Можно ли восстановить удалённые файлы?

Возможность обнаружения или восстановления удалённых данных зависит от типа носителя, состояния файловой системы, времени после удаления и последующей эксплуатации устройства. Она определяется после исследования носителя.

Можно ли определить, когда был создан или изменён файл?

В ряде случаев это возможно на основании доступных метаданных, сведений файловой системы, журналов и других цифровых данных. Достоверность и полнота таких сведений оцениваются в ходе исследования.

Можно ли определить, кто работал за компьютером?

Эксперт может исследовать цифровые следы работы с системой: учётные записи, журналы, файлы и иные данные. Однако технические сведения сами по себе не всегда позволяют достоверно идентифицировать конкретного человека.

Можно ли проверить компьютер на наличие конкретной программы?

Да. Может исследоваться наличие установленного программного обеспечения, его файлов, компонентов и иных технических признаков использования.

Можно ли исследовать программное обеспечение по спору с разработчиком?

Да. В рамках программно-компьютерного исследования могут анализироваться реализованные функции, структура программного продукта и его соответствие техническому заданию.

Можно ли исследовать телефон?

В зависимости от типа устройства и поставленных вопросов мобильное устройство также может являться объектом компьютерно-технического исследования.

Нужно ли выключать компьютер перед экспертизой?

Универсального правила нет: неправильные действия могут привести к изменению или утрате цифровых данных. Поэтому порядок изъятия, отключения и передачи устройства желательно заранее согласовать со специалистом.

Можно ли исследовать только копию жёсткого диска?

В ряде экспертных задач возможно исследование корректно созданного цифрового образа носителя. Возможность использования копии определяется характером вопросов и способом её получения.

Подходит ли заключение для суда?

Компьютерно-техническая экспертиза может проводиться в судебном и внесудебном порядке. Объём исследования определяется поставленными вопросами и процессуальными обстоятельствами конкретного дела.

Дополнительная информация

Независимая компьютерно-техническая экспертиза

Компьютерно-техническая экспертиза проводится для исследования компьютерной техники, программного обеспечения и цифровой информации, когда для разрешения спора или установления обстоятельств требуются специальные знания в области информационных технологий.

Предметом исследования могут быть технические характеристики устройства, его работоспособность, установленное программное обеспечение, электронные файлы, системные журналы, базы данных и другие сведения, содержащиеся на цифровых носителях.

Компьютерно-техническая экспертиза относится к инженерно-техническим экспертным исследованиям и может применяться при гражданских, арбитражных и иных судебных и досудебных спорах.

Исследование компьютерной техники и цифровых носителей

Аппаратно-компьютерное исследование позволяет установить конфигурацию и характеристики компьютерной техники, определить состояние отдельных компонентов и исследовать технические обстоятельства её функционирования.

Объектами могут выступать системные блоки, ноутбуки, серверы, накопители и иные компьютерные устройства.

Такое исследование востребовано, например, при споре о соответствии поставленного оборудования условиям договора, его работоспособности или причинах технического сбоя.

Исследование цифровых данных

Значительная часть компьютерно-технических экспертиз связана непосредственно с информацией, содержащейся на цифровых носителях.

В зависимости от задачи могут исследоваться файлы, каталоги, базы данных, журналы событий, метаданные и другие сведения, отражающие работу компьютерной системы.

При наличии технической возможности проводится поиск ранее удалённой информации и исследуются цифровые следы, имеющие отношение к обстоятельствам дела.

Экспертиза программного обеспечения

Отдельным направлением компьютерно-технической экспертизы является исследование программного обеспечения.

Такая экспертиза востребована при спорах между заказчиком и разработчиком программного продукта, когда необходимо установить фактически реализованные функции и сопоставить результат разработки с техническим заданием, спецификацией или другими условиями договора.

Могут исследоваться системное и прикладное программное обеспечение, отдельные программные модули, базы данных и другие компоненты информационной системы.

Восстановление и исследование удалённой информации

В рамках компьютерно-технической экспертизы может исследоваться наличие ранее удалённых файлов и возможность получения содержащейся в них информации.

Результат зависит от типа накопителя, особенностей файловой системы, последующего использования устройства и того, была ли соответствующая область памяти перезаписана.

Поэтому возможность восстановления информации определяется только после исследования конкретного носителя.