"Форензика – компьютерная криминалистика. Часть 14"

Оригинал или копия?

Существует мнение, что на экспертизу следует представлять только оригинал носителя компьютерной информации – НЖМД, компакт-диск, флэш-накопитель и т.д. А исследовать его копию якобы неприемлемо. Это мнение не основано на законе. Ни в УПК, ни в законе «О государственной судебно-экспертной деятельности в Российской Федерации» такого требования не содержится. Более того, содержится запрет повреждать объект исследования без особого разрешения следователя.

Автор полагает (и многие исследователи с этим согласны), что исследовать в ходе КТЭ оригинал носителя вообще нежелательно. Чтобы гарантировать неизменность информации, а также оставить возможность проведения повторной или дополнительной экспертизы, надо оставить оригинал нетронутым. А все исследования проводить с его копией. Это не только надежнее, но и удобнее, поскольку копию можно сделать на таком носителе, который лучше приспособлен для имеющихся у эксперта инструментов, надежнее, быстрее.

Это относится не только к изготовлению копии носителя в ходе КТЭ, но и к копированию носителя вместо его изъятия при проведении обыска или выемки.

Например, во время обыска специалист может изъять диск сервера целиком, а может на месте скопировать все его содержимое (естественно, на низком уровне, на уровне контроллера) на свой диск. Допустимо ли это с процессуальной точки зрения? Разумно ли с технической точки зрения?

Есть следующие аргументы:

1. Некоторые методы исследования носителя непременно требуют оригинала. Другие с равным успехом работают с копией. Во время изъятия может ли специалист предположить, какие вопросы поставят перед экспертом и какие методы он станет применять? По мнению автора, может. Тем более что методы, требующие непременно оригинала, используются крайне редко.

2. Возможны ошибки при копировании диска. Их возникновение ставит под угрозу проведение экспертизы вообще. Но насколько вероятны такие ошибки? Верификация после копирования носителя разве не решит проблему? По мнению автора, решит. Кроме того, специалист должен использовать для копирования лишь проверенные средства и методы, которые не только не допускают ошибок, но и детектируют внешние ошибки.

3. Достаточна ли компетентность специалиста, участвующего в следственном действии, проводящего копирование диска? По мнению автора, найти такого специалиста несложно.

4. Поймут ли понятые суть происходящих действий? Изъятие и опечатывание оригинала диска им, безусловно, понятно. А снятие копии? Смогут ли они уверенно утверждать, что именно проделывал специалист? По мнению автора, им этого понимать и не обязательно. На то и предусмотрен специалист, чтобы проводить действия, требующие специальных знаний.

5. Может ли произойти при копировании диска утрата некоторой информации? Например, заводской номер диска, число секторов. По мнению автора, утраты не произойдет, если копировать на уровне контроллера диска, а внешние признаки оригинала записать в протокол.

6. Если применять снятие копии вместо изъятия оригинала носителя, это позволит не прерывать (или прервать ненадолго) рабочий процесс у владельца носителя. Остановить работу сервера на несколько дней ради проведения экспертизы – за что потерпевшему или непричастному провайдеру такое наказание?

7. В некоторых случаях копирование носителя страхует от потери данных вследствие недолговечности оригинального носителя. Например, в случае КПК. Лучше на месте снять копию памяти, чем до экспертизы поддерживать КПК в заряженном состоянии (не нарушая целостность печатей). Или в случае старого диска, склонного «сыпаться», то есть постоянно увеличивать количество дефектных блоков.