Информационно-компьютерная экспертиза

Информационно-компьютерная экспертиза — род компьютерно-технической экспертизы, объектом которой является информация в цифровом виде: электронные документы и переписка, записи информационных систем, журналы, базы данных, изображения, содержимое облачных хранилищ. Эксперт устанавливает, какая информация существует, когда и каким образом она создана, изменялась ли, кем и через какие средства обрабатывалась и передавалась.

Большинство современных споров содержат электронные доказательства. Договор согласован в мессенджере, претензия направлена по электронной почте, приказ издан в системе документооборота, данные о поставке хранятся в учетной системе, а в споре о строительстве фигурирует цифровая модель здания. Когда одна сторона ссылается на такую информацию, а другая заявляет о подделке, суду нужен вывод эксперта. Предмет информационно компьютерной экспертизы — именно этот вывод.

АНО «СЗЭПЦ» проводит экспертизы с 1990 года и относится к первым негосударственным экспертным организациям на территории Российской Федерации. АНО «СЗЭПЦ» — некоммерческое судебное экспертное учреждение, зарегистрировано Министерством юстиции Российской Федерации под учетным номером 7814053482. Заключения АНО принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах. Ниже описано, что входит в предмет информационно компьютерной экспертизы, какие задачи она решает, как исследуются информационные системы и их документация, чем судебная экспертиза отличается от государственной экспертизы информационных систем и цифровых информационных моделей, как подготовить вопросы и информационное письмо для суда.

Место в классификации компьютерно-технических экспертиз

Компьютерно-техническая экспертиза традиционно делится на четыре вида по объекту: аппаратно-компьютерную, программно-компьютерную, информационно-компьютерную и компьютерно-сетевую. Аппаратная исследует устройства, программная — программы, сетевая — взаимодействия в сети. Информационно-компьютерная исследует данные, то есть то, ради чего существуют устройства, программы и сети.

Компьютерно информационная экспертиза, информационная судебная экспертиза, экспертиза цифровых доказательств — разные названия одного направления. В определении суда может стоять любое из них, и это не влияет на допустимость заключения, если предмет и вопросы понятны. В системе государственных учреждений Министерства юстиции Российской Федерации компьютерно-техническая экспертиза закреплена приказом Минюста России от 20 апреля 2023 года № 72 за специальностью «Исследование информационных компьютерных средств», и информационная составляющая входит в нее полностью.

На практике виды пересекаются. Чтобы исследовать переписку в телефоне, нужно работать с устройством и операционной системой. Чтобы установить, изменялась ли запись в учетной системе, нужно понимать программу. Поэтому эксперт информационно компьютерной экспертизы владеет методами смежных видов, а деление на виды определяет главный ракурс исследования, а не набор разрешенных действий.

Предмет информационно компьютерной экспертизы

Предмет информационно компьютерной экспертизы составляют фактические данные о цифровой информации, которые устанавливаются на основе специальных знаний. Типовые обстоятельства:

наличие на носителе, в учетной записи, в информационной системе информации с заданными признаками — текста, изображения, реквизитов;

содержание этой информации, в том числе восстановленной после удаления;

время создания, изменения, открытия, передачи, удаления;

способ создания и изменения — программа, устройство, учетная запись;

связь информации с другими объектами: письмо и вложение, сообщение и файл, запись в системе и выгруженный отчет;

соответствие копии оригиналу, распечатки — электронному документу, снимка экрана — данным приложения;

действия пользователей в информационной системе и их последовательность.

Правовая оценка остается за судом. Эксперт не решает, заключен ли договор перепиской, является ли сообщение признанием долга, нарушен ли режим коммерческой тайны. Он устанавливает, что именно, когда и кем было создано и передано, а суд делает выводы о правовых последствиях.

Задачи, которые решают информационные экспертизы

Информационные экспертизы решают задачи трех типов. Идентификационные отвечают, тот ли это объект: то ли письмо получено, тот ли файл передан, та ли версия документа подписана. Диагностические устанавливают свойства и историю: изменялась ли информация, когда создана, была ли удалена. Реконструкционные восстанавливают картину событий: последовательность действий пользователя, маршрут документа, хронологию обмена сообщениями.

Электронная переписка

Переписка по электронной почте и в мессенджерах — самый частый объект. Суды принимают ее как доказательство, если ее достоверность не оспорена или подтверждена. Эксперт исследует переписку в источнике: в почтовом ящике со служебными заголовками писем, в базе данных мессенджера на устройстве, в резервной копии. Устанавливает, существует ли сообщение, совпадает ли его текст с представленным в суд, с какой учетной записи и когда отправлено, редактировалось ли, удалялось ли.

Снимок экрана переписки дает только вероятные выводы. Он показывает изображение, но не содержит служебных сведений, по которым проверяется подлинность, и может быть изготовлен в графическом редакторе за несколько минут. Для категорического нужен источник: устройство, учетная запись, резервная копия, выгрузка с сервера. Исследование переписки в телефоне требует методов работы с мобильными устройствами, они описаны в разделе о компьютерно-технической экспертизе телефона на странице компьютерно-технической экспертизы.

Электронные документы

Договоры, акты, приказы, протоколы в электронном виде исследуются по служебным сведениям файлов, структуре форматов, электронным подписям, данным систем документооборота. Эксперт устанавливает дату создания и изменения, наличие редакций, первичность экземпляра. Подробная методика для отдельных файлов и баз данных приведена на странице об экспертизе обстоятельств создания и использования файлов и баз данных, а для систем на платформе «1С» — на странице экспертизы 1С.

Информация в информационных системах

Записи в системах документооборота, управления взаимоотношениями с клиентами, складского учета, банковских и платежных системах, личных кабинетах. Эксперт исследует данные системы, ее журналы и настройки прав, чтобы установить, кто, когда и какие действия выполнял. Экспертизы информационных систем подробнее описаны ниже.

Удаленная и скрытая информация

Файлы, удаленные с носителя, записи, удаленные из базы, сообщения, удаленные из мессенджера, часто можно восстановить полностью или частично. Эксперт ищет их в свободном пространстве носителя, журналах, резервных копиях, кэше приложений. Скрытая информация — содержимое зашифрованных контейнеров, скрытых разделов, файлов с измененным расширением — выявляется по сигнатурам и структуре. Доступ к зашифрованным данным возможен только при наличии ключа или пароля, который предоставляет владелец или истребует суд.

Изображения и мультимедиа

Фотографии, сканы, снимки экрана, видеозаписи исследуются как файлы: служебные сведения о камере и дате, признаки повторного сохранения, следы редактирования. Если нужен вывод о монтаже видеозаписи или о подлинности голоса, назначается видеотехническая или фоноскопическая экспертиза, а информационно-компьютерная устанавливает происхождение и историю файла.

Информационная судебная экспертиза и досудебное исследование

Информационная судебная экспертиза назначается судом, эксперт предупреждается об уголовной ответственности, объекты поступают от суда. Досудебное исследование проводится по договору, его результат — заключение специалиста. Методика одинакова, различается процессуальный статус.

Для цифровой информации досудебное исследование особенно ценно: оно фиксирует данные, пока они не изменены. Журналы перезаписываются, аккаунты удаляются, переписка стирается. Специалист снимает копии, вычисляет контрольные значения, описывает объекты. Информационная судебная экспертиза, назначенная через полгода, будет опираться на эту копию, а оппонент не сможет утверждать, что данные менялись.

Суд принимает заключение специалиста как письменное доказательство. Если оппонент его оспаривает, заключение обосновывает ходатайство о судебной экспертизе и подсказывает вопросы.

Экспертизы информационных систем

Информационная система по статье 2 Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации» — совокупность информации в базах данных и обеспечивающих ее обработку информационных технологий и технических средств. Экспертизы информационных систем в судебных спорах решают два круга вопросов: о данных внутри системы и о самой системе как результате работ.

Первый круг — данные. Кто создал документ в системе документооборота, кто согласовал, когда изменил маршрут. Какие операции выполнены в платежной системе с учетной записи клиента. Кто выгрузил клиентскую базу из системы управления взаимоотношениями. Эксперт исследует таблицы данных, журналы аудита, настройки прав и сопоставляет их с показаниями сторон.

Второй круг — система. Соответствует ли созданная или внедренная система договору и техническому заданию, работает ли она, полна ли документация. Методика таких исследований описана на странице об экспертизе соответствия работ по разработке и сопровождению программного обеспечения техническому заданию. Экспертизы информационных систем, созданных для государственных заказчиков, имеют дополнительные особенности, о которых ниже.

Журналы аудита и права доступа

Главный источник сведений о действиях пользователей — журналы аудита системы. Их полнота зависит от настроек: одни системы фиксируют каждое открытие записи, другие — только изменения, третьи — лишь вход и выход. Эксперт устанавливает, какие события система записывала в спорный период, не отключался ли аудит, не удалялись ли записи журнала. Параллельно восстанавливаются права доступа на спорную дату: мог ли пользователь выполнить действие, которое ему приписывают.

Экспертиза документации информационных систем

Документация — обязательная часть результата при создании автоматизированной системы. Состав документов определяет ГОСТ 34.201-2020, требования к их содержанию — ГОСТ Р 59795-2021, порядок составления технического задания — ГОСТ 34.602-2020. Экспертиза документации информационных систем устанавливает, передан ли предусмотренный комплект документов, соответствует ли их содержание стандартам и договору, описывает ли документация систему в том виде, в каком она фактически создана.

Экспертиза документации информационных систем нужна в трех ситуациях. Заказчик отказывается принимать систему из-за неполной документации, и нужно установить, насколько она существенна для эксплуатации. Новый подрядчик не может сопровождать систему, утверждая, что документация не соответствует коду. Контролирующий орган или аудитор выявил несоответствие документации требованиям, и организация спорит с разработчиком об ответственности. Во всех случаях экспертиза документации информационных систем сравнивает документы и с нормативными требованиями, и с фактическим состоянием системы.

Экспертиза государственных информационных систем

Государственные информационные системы создаются по статье 14 закона № 149-ФЗ в порядке, который устанавливают требования Правительства Российской Федерации к созданию, развитию, вводу в эксплуатацию, эксплуатации и выводу из эксплуатации таких систем, утвержденные постановлением от 6 июля 2015 года № 676. Перед вводом в эксплуатацию система проходит аттестацию по требованиям защиты информации по правилам, утвержденным приказом ФСТЭК России от 11 февраля 2013 года № 17. Эти процедуры проводят уполномоченные органы и аккредитованные организации, и судебной экспертизой они не являются.

Экспертиза государственных информационных систем в судебном смысле нужна, когда возникает спор по государственному контракту на создание или развитие системы, при отказе в приемке, при инциденте с утратой или искажением данных, при споре о том, какие действия выполнял пользователь системы. Эксперт исследует систему, ее данные и документацию и устанавливает факты. Решение о вводе системы в эксплуатацию, аттестат соответствия требованиям защиты информации, согласование в порядке координации мероприятий по информатизации — компетенция государственных органов, а не экспертной организации.

Экспертиза государственных информационных систем в АНО «СЗЭПЦ» — это судебное или досудебное исследование в споре.

Экспертиза информационных проектов

Экспертиза информационных проектов — термин, которым обозначают оценку проектов создания информационных систем и цифровой трансформации на стадии планирования: обоснованность архитектуры, сроков, бюджета, соответствие требованиям. Для государственных проектов такую оценку проводят органы, координирующие мероприятия по информатизации. Для коммерческих — консалтинговые компании и сами заказчики.

Судебная экспертиза информационных проектов возникает, когда проект сорван и стороны спорят о причинах: была ли проектная документация реализуемой, соответствовали ли ей работы, какие изменения требований вносились и как они повлияли на сроки. Эксперт устанавливает технические факты по документации, переписке и результату, а экономическую оценку последствий дает экономист.

Экспертиза информационной модели объекта капитального строительства

В строительстве термин «информационная модель» имеет особое значение. Статья 57.5 Градостроительного кодекса Российской Федерации определяет информационную модель объекта капитального строительства как совокупность взаимосвязанных сведений, документов и материалов об объекте, формируемых в электронном виде на этапах жизненного цикла. Правила формирования и ведения такой модели утверждены постановлением Правительства Российской Федерации от 15 сентября 2020 года № 1431. Для объектов, строящихся за счет бюджетных средств, формирование модели обязательно с 2022 года по постановлению Правительства от 5 марта 2021 года № 331.

Когда ищут экспертизу информационной модели, обычно имеют в виду государственную или негосударственную экспертизу проектной документации, которая с недавних пор принимает документацию вместе с цифровой информационной моделью. Это административная процедура по статье 49 Градостроительного кодекса. Ее проводят органы государственной экспертизы и аккредитованные организации, а требования к формату модели публикует Министерство строительства и жилищно-коммунального хозяйства Российской Федерации в виде схем и классификаторов.

Требования экспертизы к информационной модели

Требования экспертизы к информационной модели в этом административном смысле касаются формата файлов, состава сведений, классификации элементов, соответствия модели разделам проектной документации. Их выполнение проверяет орган экспертизы при приеме документации. Требования экспертизы к информационной модели нужно уточнять у органа, в который подается документация.

Экспертиза информационной модели в судебном споре

Судебная экспертиза информационной модели объекта возникает в других ситуациях. Проектная организация по договору должна была разработать модель определенного уровня проработки, а заказчик считает, что модель не соответствует заданию. Модель передана, но в ней отсутствуют сведения, необходимые для прохождения государственной экспертизы, и заказчик получил отказ. Модель изменялась после согласования, и стороны спорят, какая версия была утверждена. Подрядчик строил по модели, а в модели были ошибки, повлекшие дефекты.

Экспертиза цифровых информационных моделей в таком споре сочетает два направления. Информационно-компьютерная часть устанавливает, какие версии модели существуют, когда и кем они создавались и изменялись, какие сведения содержатся в файлах, соответствуют ли форматы и состав сведений требованиям задания. Строительно-техническая часть оценивает, правильны ли проектные решения, отраженные в модели, и связаны ли ошибки модели с дефектами построенного объекта. Экспертиза информационной модели объекта в споре обычно назначается как комплексная.

Экспертиза цифровых информационных моделей опирается на историю изменений в среде общих данных, где стороны совместно ведут модель. Такая среда фиксирует версии файлов, авторов изменений, статусы согласования. Если она велась, эксперт восстанавливает хронологию модели так же, как историю изменений кода. Экспертиза информационной модели по файлам без среды общих данных дает менее полную картину, и это указывается в выводах.

Экспертиза информационной безопасности в спорах

Экспертиза информационной безопасности в судебном смысле отвечает на вопросы о конкретных событиях: был ли несанкционированный доступ к системе, каким способом, какие данные скомпрометированы, выполнялись ли требования договора или технического задания к защите информации. Оценка защищенности на будущее, аудит и рекомендации по защите описаны на странице об экспертизе и аудите информационной безопасности.

В информационно-компьютерной части экспертиза информационной безопасности исследует данные: какие записи изменены или выгружены, какие журналы свидетельствуют о доступе, что сохранилось в резервных копиях. Выводы используются в спорах о возмещении убытков от утечки, о надлежащем исполнении договора с подрядчиком по защите, в спорах о разглашении коммерческой тайны.

Экспертиза информационной безопасности не заменяет аттестацию информационной системы и сертификацию средств защиты, которые проводятся в системах Федеральной службы по техническому и экспортному контролю и Федеральной службы безопасности Российской Федерации.

Экспертиза информационных технологий

Экспертиза информационных технологий — широкое понятие, которым обозначают любые исследования в области информационных технологий. В судебной практике под ним понимают компьютерно-техническую экспертизу во всех ее видах. Когда в определении стоит «экспертиза информационных технологий», эксперт уточняет предмет по вопросам: если они касаются данных, это информационно-компьютерная экспертиза, если программ — программно-компьютерная, если сетевых событий — компьютерно-сетевая.

Экспертиза информационных технологий по договорам на оказание услуг в этой сфере включает проверку того, оказаны ли услуги: администрирование серверов, резервное копирование, поддержка пользователей, облачное размещение. Эксперт сопоставляет обязательства договора с фактическими данными систем мониторинга, журналами и отчетами исполнителя.

Информационные технологии в судебной экспертизе

Информационные технологии в судебной экспертизе применяются и как объект исследования, и как инструмент. Эксперт любого профиля работает с цифровыми фотографиями, измерительными приборами с цифровой памятью, программами расчета и моделирования. Для информационно-компьютерной экспертизы инструменты — основа методики: средства создания посекторных копий, блокираторы записи, программы анализа файловых систем и баз данных мобильных приложений, средства восстановления удаленных данных, программы сравнения документов.

Информационные технологии в судебной экспертизе подчиняются общему правилу проверяемости. Заключение должно назвать использованные программные средства с версиями, описать способ получения данных и контрольные значения, чтобы другой специалист мог повторить исследование и прийти к тому же результату. Инструменты должны использоваться на законном основании, иначе оппонент получит довод против заключения.

Отдельный вопрос — достоверность результатов автоматических инструментов. Программа восстановления данных может показать фрагмент файла с неверной датой, программа анализа мессенджера — неправильно сопоставить сообщение с контактом. Эксперт обязан проверять результаты инструментов вручную на выборке и указывать ограничения примененных средств. Информационные технологии в судебной экспертизе облегчают работу, но не заменяют понимания того, как устроены данные.

Информационное письмо экспертиза: с чего начинается назначение

Информационное письмо экспертной организации — документ, который прилагается к ходатайству о назначении экспертизы. В нем организация сообщает суду, что готова провести экспертизу, называет кандидатуры экспертов, их образование и стаж, срок и стоимость. Без информационного письма суд чаще назначает организацию, предложенную оппонентом.

Информационное письмо экспертиза цифровой информации делает особенно важным: в нем стоит указать, какие объекты нужны эксперту, в каком виде и кто должен их предоставить. Если в письме сказано, что для исследования переписки нужен телефон и код его разблокировки, суд включит эту обязанность в определение. АНО «СЗЭПЦ» готовит информационное письмо после бесплатного предварительного анализа материалов и прикладывает копии документов о квалификации экспертов.

Информационное письмо экспертиза не заменяет: это лишь заявление о готовности. Окончательные вопросы, объекты и эксперта определяет суд.

Компьютерно информационная экспертиза в трудовых спорах

Трудовые споры все чаще решаются по электронным следам. Работодатель утверждает, что работник ознакомлен с приказом в системе документооборота, что он получил уведомление о сокращении по корпоративной почте, что он отсутствовал на рабочем месте, потому что не входил в рабочую систему. Работник утверждает обратное. Компьютерно информационная экспертиза устанавливает, какие сведения об этих событиях зафиксированы в системах, когда и под какой учетной записью.

Отдельная группа споров — дисциплинарные взыскания и увольнения за разглашение коммерческой тайны. Работодатель должен доказать, что работник имел доступ к сведениям, что сведения были отнесены к коммерческой тайне в установленном порядке и что работник их передал. Компьютерно информационная экспертиза отвечает на технические части этих вопросов: какие файлы открывались и копировались, отправлялись ли на внешнюю почту или в облако, подключались ли внешние носители. Режим коммерческой тайны и законность увольнения оценивает суд.

Работнику экспертиза тоже бывает нужна: подтвердить сверхурочную работу по журналам входа в систему и времени отправки писем, доказать, что задания поступали в нерабочее время, установить, что документ, на котором основан приказ, изготовлен после его даты.

Электронные доказательства: как суды их оценивают

Суды оценивают электронные доказательства по общим правилам: относимость, допустимость, достоверность, достаточность. Относимость и допустимость решаются юридически, достоверность нередко требует экспертизы. Практика складывается так, что распечатка переписки принимается, если оппонент не оспаривает ее содержание или если она подтверждается другими доказательствами: платежами, поведением сторон, показаниями. Если оппонент заявляет о подложности и суд не может проверить ее другими средствами, назначается экспертиза.

Важна и позиция стороны, которая ссылается на переписку. Если она отказывается предоставить устройство для исследования, суд вправе оценить это против нее. Если, наоборот, она предоставила источник, а оппонент уклоняется от предоставления своего устройства для сравнения, это также учитывается. Поэтому решение о назначении экспертизы — тактический вопрос, который стоит обсудить со специалистом до заседания.

Экспертиза цифровых информационных моделей: типовые вопросы в споре

Какие версии информационной модели переданы заказчику и когда? Соответствует ли состав сведений модели заданию на информационное моделирование и требованиям к ее передаче в орган экспертизы, указанным в договоре? Вносились ли изменения в модель после согласования, кем и когда? Соответствуют ли сведения модели разделам проектной документации? Экспертиза цифровых информационных моделей отвечает на эти вопросы по файлам модели и истории среды общих данных, а вопросы о правильности проектных решений ставятся строительно-техническому эксперту.

Когда экспертиза не нужна

Экспертиза требует времени и денег, и иногда без нее можно обойтись. Если оппонент признает переписку и спорит только о ее значении, суду достаточно распечатки: вопрос о смысле решается юридически или лингвистической экспертизой. Если электронный документ подтверждается независимыми доказательствами — платежом, квитанцией оператора документооборота, ответным письмом контрагента, — его подлинность обычно не требует отдельного исследования. Если нужно лишь быстро зафиксировать содержание страницы или переписки, пока его не удалили, достаточно нотариального осмотра или фиксации специалистом.

Предварительный анализ материалов как раз отвечает на вопрос, нужна ли экспертиза и какие ее вопросы действительно повлияют на исход дела. Честный ответ «экспертиза не нужна» экономит стороне месяцы процесса и расходы.

Разграничение со смежными экспертизами

Информационно-компьютерная экспертиза — общее направление, внутри которого на сайте выделены отдельные страницы по частым задачам. Их стоит различать, чтобы правильно назвать экспертизу в ходатайстве.

Экспертиза обстоятельств создания и использования файлов и баз данных сосредоточена на истории отдельных документов и записей: дата создания, изменения, первичность экземпляра, пдф, электронная подпись.

Экспертиза 1С учитывает механизмы платформы «1С:Предприятие»: журнал регистрации, проведение документов, сравнение конфигураций.

Компьютерно-техническая экспертиза телефона включает извлечение данных из мобильных устройств, работу с шифрованием и резервными копиями.

Экспертиза сайта исследует содержание интернет-ресурсов на дату, владельца домена, копирование сайтов.

Компьютерно-сетевая экспертиза исследует сетевые подключения, удаленный доступ, маршруты передачи данных.

Программно-компьютерная экспертиза исследует программы: функции, код, заимствования.

Если спор касается нескольких направлений, достаточно одной экспертизы с вопросами из разных разделов: эксперт по компьютерно-технической специальности разрешит их в одном заключении.

За пределами компьютерно-технической экспертизы остаются смысл текста (лингвистическая экспертиза), подлинность подписи на бумаге (почерковедческая), изготовление бумажного документа (техническая экспертиза документов), монтаж видеозаписи и идентификация голоса (видеотехническая и фоноскопическая), правильность учета (бухгалтерская). Нередко нужна комплексная экспертиза: например, информационно-компьютерная часть устанавливает, что сообщение отправлено с определенного номера, а лингвистическая — что оно содержит признание долга.

Где применяется заключение АНО «СЗЭПЦ»

АНО «СЗЭПЦ» проводит информационно-компьютерную экспертизу в гражданском, арбитражном и административном судопроизводстве, по делам об административных правонарушениях и во внесудебном порядке: для досудебного урегулирования, обоснования претензии, внутренней проверки и подготовки к процессу.

Исследование ведется на устройствах, учетных записях и данных информационных систем, переданных судом или владельцем, в пределах учетных записей и периодов, указанных в определении. Сведения о частной жизни, не относящиеся к вопросам, в заключение не включаются. Заключение описывает технические факты о существовании, содержании и истории информации, а правовую оценку переписки и документов дает суд.

Нормативная база

Процессуальная основа: Федеральный закон от 31 мая 2001 года № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации», требования которого по статье 41 распространяются на негосударственных экспертов; статьи 79–87 Гражданского процессуального кодекса Российской Федерации; статьи 82–87 Арбитражного процессуального кодекса Российской Федерации; статьи 77–83 Кодекса административного судопроизводства Российской Федерации; статья 26.4 Кодекса Российской Федерации об административных правонарушениях.

Электронные доказательства: часть 1 статьи 71 Гражданского процессуального кодекса и часть 3 статьи 75 Арбитражного процессуального кодекса относят документы в электронном виде к письменным доказательствам; постановление Пленума Верховного Суда Российской Федерации от 26 декабря 2017 года № 57 разъясняет порядок их представления и оценки. Для переписки значимы статьи 160 и 434 Гражданского кодекса Российской Федерации о форме сделки и обмене электронными сообщениями, статья 165.1 о юридически значимых сообщениях.

Информация и системы: Федеральный закон № 149-ФЗ (статьи 2 и 14), Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных», Федеральный закон от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи», Федеральный закон от 29 июля 2004 года № 98-ФЗ «О коммерческой тайне»; постановление Правительства Российской Федерации от 6 июля 2015 года № 676 о требованиях к порядку создания и эксплуатации государственных информационных систем; приказ ФСТЭК России от 11 февраля 2013 года № 17 о требованиях о защите информации в государственных информационных системах.

Информационная модель: статьи 49 и 57.5 Градостроительного кодекса Российской Федерации, постановления Правительства Российской Федерации от 15 сентября 2020 года № 1431 и от 5 марта 2021 года № 331.

Стандарты: ГОСТ Р ИСО/МЭК 27037-2014 об идентификации, сборе и сохранении цифровых свидетельств, ГОСТ Р ИСО/МЭК 30121-2017 об управлении рисками при их экспертизе, ГОСТ Р 34.11-2012 о функции хэширования, ГОСТ 34.201-2020 и ГОСТ Р 59795-2021 о документации автоматизированных систем, ГОСТ 34.602-2020 о техническом задании.

Назначение информационно компьютерной экспертизы

Назначение информационно компьютерной экспертизы начинается с ходатайства стороны. В нем указываются обстоятельства, для установления которых нужны специальные знания, вопросы, объекты, экспертная организация и кандидатура эксперта. К ходатайству прилагается информационное письмо организации.

Цифровые объекты требуют особого внимания в ходатайстве. Информация хранится в разных местах: на устройстве стороны, на сервере почтового сервиса, в облачном хранилище, в информационной системе работодателя, у оператора электронного документооборота. Эксперту нужен доступ к источнику, а не к распечатке. Поэтому сторона просит суд:

истребовать устройство или носитель у стороны, у которой он находится, и обязать ее сообщить код разблокировки или пароль;

истребовать у почтового сервиса, оператора связи, владельца информационной системы сведения, которые хранятся только у них;

обязать сторону не удалять и не изменять спорную информацию до окончания экспертизы;

указать в определении, какие учетные записи, почтовые ящики, периоды исследуются, чтобы эксперт не выходил за пределы, затрагивающие частную жизнь.

Последний пункт важен. Устройство и почтовый ящик содержат много сведений, не относящихся к делу. Эксперт исследует только то, что указано в определении, а сведения о частной жизни, ставшие ему известными, не раскрывает.

Вопросы эксперту

Вопросы должны касаться фактов, указывать объекты, учетные записи, периоды и не содержать правовой оценки. Ниже приведены формулировки, которые нужно адаптировать к делу.

Вопросы о переписке

Имеется ли в представленном почтовом ящике или в памяти устройства переписка между указанными адресатами за указанный период? Каково ее содержание?

Соответствует ли текст сообщений, представленных в материалы дела, данным, хранящимся в источнике?

Отправлялось ли сообщение с указанной учетной записи в указанное время? Имеются ли признаки изменения его текста или даты?

Удалялись ли сообщения из переписки? Возможно ли их восстановление?

Вопросы об электронных документах

Какова дата создания и изменения документа по данным его служебных сведений, системы документооборота и носителя?

Является ли представленный экземпляр первичным или копией? Вносились ли изменения после указанной даты?

Соответствует ли распечатка документа электронному оригиналу?

Вопросы об информационных системах

Какие действия выполнялись в системе под указанной учетной записью за указанный период?

Имелись ли у пользователя права на выполнение указанного действия на указанную дату?

Отключался ли аудит системы, удалялись ли записи журналов в спорный период?

Выгружались ли из системы данные указанного вида, когда и каким способом?

Вопросы о документации и информационной модели

Соответствует ли комплект документации системы перечню, предусмотренному договором и техническим заданием? Соответствует ли документация фактическому состоянию системы?

Какие версии информационной модели существуют, когда и под какими учетными записями они созданы и изменены? Соответствует ли состав сведений модели требованиям задания?

Вопросы об удаленной информации

Имеется ли на носителе удаленная информация с указанными признаками? Каково ее содержание и когда она удалена?

Если вопрос сформулирован как правовой, например «является ли переписка доказательством заключения договора», эксперт укажет, что он выходит за пределы специальных знаний.

Порядок проведения исследования

Эксперт принимает объекты, описывает упаковку и состояние, фиксирует вскрытие. Устройства, поступившие включенными, изолируются от сетей, чтобы исключить удаленную очистку.

С носителей снимаются посекторные копии через блокиратор записи, с мобильных устройств — логические или файловые копии в зависимости от модели и доступа. Для облачных источников и почтовых ящиков выгрузка выполняется штатными средствами сервиса в присутствии представителей сторон либо используется выгрузка, представленная по запросу суда. Для каждой копии вычисляются контрольные значения.

Исследование ведется на копиях. Эксперт извлекает данные приложений, служебные заголовки писем, журналы, метаданные файлов, восстанавливает удаленную информацию, сопоставляет временные отметки из независимых источников. Если исследуется информационная система, ее копия разворачивается в изолированной среде либо исследование проводится на рабочей системе в режиме только чтения под контролем сторон.

Результаты оформляются заключением с приложениями: выгрузками переписки, таблицами событий, перечнями восстановленных файлов, сравнительными таблицами документов. Приложения передаются и в электронном виде.

Категории дел

Информационно-компьютерная экспертиза назначается в спорах самых разных категорий.

Хозяйственные споры, где условия договора согласованы перепиской, а оппонент отрицает ее подлинность или содержание.

Взыскание долга по переписке с признанием задолженности или обещанием оплатить.

Корпоративные конфликты: протоколы, решения, приказы в электронном виде, изготовленные задним числом; выгрузка документации при уходе участника.

Трудовые споры: уведомления и приказы, направленные по электронной почте или через систему документооборота, доступ работника к служебным системам, разглашение коммерческой тайны.

Споры о защите деловой репутации, когда нужно установить факт распространения сведений в переписке или в корпоративной системе.

Споры по государственным контрактам на создание и развитие информационных систем.

Споры о создании цифровых информационных моделей объектов строительства.

Семейные и наследственные дела: переписка о разделе имущества, завещательные распоряжения, фотографии.

Споры о юридически значимых сообщениях: получено ли уведомление, отправленное по электронной почте или через личный кабинет.

Юридически значимые сообщения

По статье 165.1 Гражданского кодекса заявления, уведомления, извещения, с которыми закон или сделка связывает правовые последствия, влекут их с момента доставки сообщения адресату. Если договор допускает направление уведомлений по электронной почте или через личный кабинет, спор о доставке становится вопросом фактов: отправлено ли сообщение, на какой адрес, дошло ли до сервера получателя, было ли открыто.

Эксперт исследует служебные заголовки письма у отправителя и, если доступно, у получателя, журналы почтовых серверов, сведения о прочтении, журналы личного кабинета. Вывод о доставке в правовом смысле делает суд, но без технической картины ему не на что опереться.

Мессенджеры и облачные хранилища

Мессенджеры хранят переписку по-разному. Одни держат историю на серверах и синхронизируют ее между устройствами, другие хранят сообщения только на устройстве с шифрованием, третьи сохраняют резервные копии в облачном хранилище, связанном с учетной записью телефона. От этого зависит, где эксперт найдет исходные данные и сможет ли восстановить удаленное.

Функции редактирования и удаления сообщений у собеседника усложняют задачу. Редактирование, выполненное штатно, отражается в базе данных приложения и часто видно собеседнику. Удаление у обеих сторон уничтожает сообщение на устройствах, но в резервных копиях и в памяти устройства могут сохраниться фрагменты. Эксперт исследует оба устройства переписки, если они доступны: расхождение между ними само по себе информативно.

Облачные хранилища и совместные документы ведут собственную историю версий и журнал доступа. Кто открыл документ, кто внес правку, кому предоставлялся доступ по ссылке — эти сведения хранит сервис. Владелец учетной записи выгружает их сам, а в споре с третьим лицом их истребует суд.

Системы электронного документооборота

Системы документооборота фиксируют маршрут документа: создание, регистрацию, согласование, подписание, ознакомление. В трудовых и корпоративных спорах важно, когда работник или участник ознакомился с приказом или решением. Эксперт восстанавливает маршрут по журналу системы, устанавливает, не изменялся ли документ после согласования, и проверяет электронные подписи согласующих лиц.

Если документооборот ведется с контрагентами через оператора, у оператора остаются квитанции о передаче. Они независимы от систем сторон и позволяют проверить, какой документ и когда фактически получен.

Тайна переписки и персональные данные при экспертизе

Исследование переписки и устройств затрагивает конституционное право на тайну переписки и сведения о частной жизни. В гражданском процессе сторона вправе представить собственную переписку, а переписку другой стороны суд исследует с учетом этих прав. Эксперт работает только с объектами, переданными судом или владельцем, и только в пределах вопросов определения.

Персональные данные, ставшие известными эксперту, обрабатываются по Федеральному закону от 27 июля 2006 года № 152-ФЗ «О персональных данных» и не раскрываются за пределами заключения. В заключение включается только информация, необходимая для ответа на вопросы. Если переписка содержит сведения о третьих лицах, эксперт по возможности обезличивает их в приложениях.

Что передать для экспертизы

Для предварительного анализа достаточно описания спора и копий спорной информации: снимков экрана, распечаток, файлов. Для экспертизы понадобятся источники:

устройства и носители, на которых хранится информация, — телефоны, компьютеры, внешние накопители — в неизменном виде, с кодами разблокировки, если владелец их сообщает;

доступ к почтовым ящикам и учетным записям мессенджеров либо их выгрузки штатными средствами с сохранением служебных полей;

резервные копии устройств и облачных хранилищ;

доступ к информационной системе в режиме чтения или ее копия, сведения о пользователях и настройках аудита;

для документации — договор, техническое задание, переданный комплект документов, доступ к системе;

для информационной модели — файлы всех версий, доступ к среде общих данных, задание на моделирование;

сведения, истребованные судом у сервисов, операторов связи, операторов электронного документооборота.

Главное правило: до экспертизы не пересохранять, не пересылать себе и не открывать спорные файлы на исходном устройстве, не удалять переписку, не сбрасывать телефон, не переустанавливать систему.

Структура заключения

Заключение оформляется по статье 25 закона № 73-ФЗ и статье 86 процессуальных кодексов. Для информационно-компьютерной экспертизы особенно важны сведения, по которым выводы можно проверить: идентификация объектов с серийными номерами, способ получения копий и их контрольные значения, использованные программные средства с версиями, ограничения примененного способа извлечения, источники временных отметок, которые сопоставлялись. Каждый вывод дается по своему вопросу и ссылается на конкретное наблюдение.

Как оценить готовое заключение

Сторона может проверить заключение по нескольким признакам. Исследован ли источник или только копия, представленная стороной. Указаны ли контрольные значения и способ извлечения. Сопоставлены ли несколько независимых источников времени. Проверены ли результаты автоматических инструментов вручную. Не вышел ли эксперт за пределы вопросов и не раскрыл ли лишние сведения о частной жизни. Нет ли правовых выводов. Отрицательный ответ по двум и более пунктам — основание для рецензии.

Сроки

Срок зависит от числа и типа объектов, объема данных, длины исследуемого периода и доступности источников. Исследование электронных документов и изображений занимает 3–5 дней, исследование переписки и рецензия на чужое заключение 3–8 дней, поиск и восстановление удаленной информации и исследование инцидента информационной безопасности 5–10 дней. Экспертиза документации информационных систем и исследование цифровой информационной модели требуют 5–15 дней, исследование действий пользователей в информационной системе 7–15 дней: журналы аудита за длительный период разбираются дольше всего. Если эксперт ждет устройства, коды доступа или сведения, истребованные судом у сервисов, срок продлевается на время их получения.

Повторная экспертиза и рецензия

Если заключение неполное, суд назначает дополнительную экспертизу, а при обоснованных сомнениях — повторную, поручая ее другому эксперту (статья 87 процессуальных кодексов). Для цифровой информации типичные основания сомнений: эксперт исследовал распечатку или снимок экрана вместо источника; не указал способ извлечения и его ограничения; сделал вывод о дате по одной временной отметке; принял результат автоматического инструмента без проверки; дал правовую оценку переписки. Эти дефекты показывает рецензия специалиста. Судебная коллегия по экономическим спорам Верховного Суда Российской Федерации в определении от 25 января 2018 года по делу № 305-ЭС17-11486 подтвердила, что рецензия — мотивированное возражение стороны, которое суд обязан рассмотреть.

Возражения оппонента

«Переписку можно изготовить в графическом редакторе». Это верно для снимков экрана. Поэтому эксперт исследует источник: базу данных мессенджера, почтовый сервер, резервную копию.

«Дата в сообщении зависит от настроек телефона». Эксперт сопоставляет время из нескольких источников: сервера, устройства собеседника, служебных полей, соседних сообщений.

«Учетной записью пользовался не я». Экспертиза устанавливает учетную запись, устройство и сетевые сведения. Кто физически работал, суд устанавливает по совокупности доказательств, и эксперт этого вывода не делает.

«Эксперт вторгся в частную жизнь». Эксперт исследует только объекты и периоды, указанные судом, и не раскрывает посторонние сведения.

Стоимость и сроки

Цена информационно-компьютерной экспертизы зависит от числа источников, объема данных, необходимости восстановления удаленной информации и количества вопросов. Сумма и срок называются после бесплатного предварительного анализа и указываются в информационном письме для суда.

Типичные ошибки

В суд представляются снимки экрана и распечатки, а телефон продан, сброшен или утерян.

Сторона пересылает себе спорные письма, чтобы распечатать, и служебные заголовки заменяются новыми.

Переписка удаляется после начала спора из опасения, что она навредит, и сам факт удаления становится доводом оппонента.

В ходатайстве не указано, какие учетные записи и периоды исследуются, и суд отказывает, ссылаясь на тайну переписки.

Не истребуются сведения у сервиса или оператора, которые хранятся только у них и удаляются по сроку.

Вопросы о смысле переписки ставятся компьютерно-техническому эксперту, а о дате отправки — лингвисту.

Информационная система продолжает работать без сохранения журналов, и через месяц следы спорных действий перезаписаны.

Распространенные заблуждения

Заблуждение первое: снимок экрана равен переписке. Снимок показывает, что было на экране, но не доказывает, что это было в приложении.

Заблуждение второе: удаленное сообщение исчезает бесследно. Во многих случаях его находят в резервных копиях, на устройстве собеседника, в памяти приложения.

Заблуждение третье: эксперт определит, кто писал сообщение. Он установит учетную запись и устройство. Автора устанавливает суд.

Заблуждение четвертое: экспертиза информационной модели в суде и в органе экспертизы — одно и то же. Административная экспертиза проектной документации проверяет модель для выдачи заключения, судебная устанавливает факты в споре.

Заблуждение пятое: переписку без согласия собеседника исследовать нельзя. Сторона вправе представить свою переписку, а исследование переписки другой стороны суд назначает с учетом тайны переписки и в пределах, необходимых для дела.

Заблуждение шестое: информационная экспертиза нужна только в сложных делах. Даже простой спор о долге по переписке выигрывается или проигрывается в зависимости от того, подтверждена ли ее подлинность.

Что делать, если оппонент представил переписку, которую вы считаете подложной

Шаг первый. Сохраните собственные экземпляры переписки: устройство, почтовый ящик, резервные копии. Ничего не удаляйте и не пересылайте.

Шаг второй. Получите предварительный анализ специалиста. Он определит, какие признаки подделки можно выявить и какие источники для этого нужны.

Шаг третий. Заявите суду о подложности доказательства по статье 186 Гражданского процессуального кодекса или о фальсификации по статье 161 Арбитражного процессуального кодекса.

Шаг четвертый. Ходатайствуйте об истребовании у оппонента устройства или доступа к учетной записи, а при необходимости — сведений у почтового сервиса или оператора.

Шаг пятый. Подайте ходатайство о назначении информационно компьютерной экспертизы с вопросами, указанием учетных записей и периодов, приложите информационное письмо экспертной организации.

Шаг шестой. Получив заключение, проверьте, исследован ли источник, указаны ли контрольные значения и ограничения способа извлечения. При дефектах подготовьте рецензию и ходатайство о повторной экспертизе.

Частые вопросы

Что устанавливает информационно-компьютерная экспертиза?

Наличие и содержание цифровой информации, время и способ ее создания и изменения, факты удаления и восстановления, передачу между пользователями, действия в информационных системах.

Какие объекты исследуют информационные экспертизы?

Электронную переписку, документы, изображения, записи информационных систем и баз данных, журналы, содержимое облачных хранилищ, документацию информационных систем, цифровые информационные модели.

Можно ли доказать подлинность переписки в мессенджере?

Да, если исследуется источник: устройство, резервная копия или выгрузка с сервера. По снимку экрана вывод будет только вероятным.

Что такое информационное письмо экспертной организации?

Документ для суда о готовности провести экспертизу с кандидатурами экспертов, сроком, стоимостью и перечнем нужных объектов. Прилагается к ходатайству.

Можно ли восстановить удаленную переписку?

Часто да: из резервных копий, памяти устройства, устройства собеседника, сервера. Перспективы оцениваются при предварительном анализе.

Чем экспертиза информационной безопасности в споре отличается от аудита?

Экспертиза устанавливает факты конкретного инцидента или исполнения договора, аудит оценивает защищенность и дает рекомендации.

Сколько стоит информационно-компьютерная экспертиза?

Исследование электронных документов и изображений стоит от 30 000 ₽, восстановление удаленной информации от 45 000 ₽, исследование переписки и инцидента информационной безопасности от 50 000 ₽, исследование действий пользователей в системе и документации систем от 60 000 ₽. Точная сумма фиксируется в договоре после бесплатного предварительного анализа.

Сколько стоит исследование электронной переписки?

От 50 000 ₽, срок 3–8 дней. Цена зависит от числа учетных записей и устройств, объема переписки и необходимости восстанавливать удаленные сообщения.

Сколько стоит восстановление удаленной информации?

От 45 000 ₽, срок 5–10 дней. Перспективы восстановления оцениваются при бесплатном предварительном анализе и зависят от типа носителя и времени, прошедшего с удаления.

Сколько стоит исследование действий пользователей в информационной системе?

От 60 000 ₽, срок 7–15 дней. В работу входит анализ журналов аудита, восстановление прав доступа на спорную дату и сопоставление действий с данными системы.

Сколько стоит экспертиза документации информационных систем и цифровой информационной модели?

Экспертиза документации информационных систем стоит от 60 000 ₽, исследование цифровой информационной модели объекта в споре от 70 000 ₽, срок в обоих случаях 5–15 дней.

Сколько стоит рецензия на заключение информационно-компьютерной экспертизы?

От 50 000 ₽, срок 3–8 дней. Цена зависит от объема заключения и приложений и от того, нужно ли проверять копии объектов, с которыми работал эксперт.

Исследует ли эксперт всю информацию на телефоне?

Нет. Только в пределах вопросов, учетных записей и периодов, указанных в определении суда.

Основные термины

Информационно-компьютерная экспертиза: вид компьютерно-технической экспертизы, объектом которого является цифровая информация.

Источник информации: устройство, учетная запись, сервер или система, в которой информация хранится изначально.

Посекторная копия: точная копия носителя, включая служебные области с удаленными данными.

Логическое извлечение: получение данных мобильного устройства через интерфейсы операционной системы.

Контрольное значение: результат хэш-функции, подтверждающий идентичность копии и оригинала.

Служебные заголовки письма: сведения о маршруте, отправителе, дате и идентификаторе электронного письма.

Журнал аудита: запись действий пользователей в информационной системе.

Информационная система: совокупность информации в базах данных и обеспечивающих ее обработку технологий и технических средств.

Государственная информационная система: информационная система, созданная в целях реализации полномочий государственных органов.

Информационная модель объекта капитального строительства: совокупность взаимосвязанных сведений, документов и материалов об объекте в электронном виде.

Среда общих данных: система совместной работы над информационной моделью, хранящая версии и историю изменений.

Информационное письмо: документ экспертной организации для суда о готовности провести экспертизу.

Коротко о главном

Информационно-компьютерная экспертиза исследует цифровую информацию: переписку, документы, записи систем, журналы, изображения. Она устанавливает, что существует, когда и как создано, изменялось ли, удалялось ли и кем передавалось. Правовую оценку дает суд.

Выводы надежны, когда исследуется источник, а не распечатка, когда копии зафиксированы контрольными значениями и когда время подтверждено несколькими независимыми источниками. Поэтому источники нужно сохранить до экспертизы.

Экспертизы информационных систем, их документации и цифровых информационных моделей в суде — это исследование фактов в споре. Аттестация систем, сертификация средств защиты и экспертиза проектной документации по Градостроительному кодексу — самостоятельные административные процедуры.

Экспертиза начинается с ходатайства и информационного письма, где указаны объекты, учетные записи и периоды.

Об АНО «СЗЭПЦ»

АНО «Северо-Западный экспертно-правовой центр» проводит экспертизы с 1990 года и относится к первым негосударственным экспертным организациям России. Головной офис расположен в Санкт-Петербурге, представительства работают в Москве, Екатеринбурге, Новосибирске, Казани, Краснодаре, Нижнем Новгороде и Ростове-на-Дону. Заключения АНО «СЗЭПЦ» принимают арбитражные суды и суды общей юрисдикции более чем в сорока регионах.

По информационно-компьютерной экспертизе АНО «СЗЭПЦ» проводит судебные экспертизы по определениям судов, в том числе комплексные с лингвистической, строительно-технической и бухгалтерской экспертизой, готовит заключения специалиста до суда, рецензии на чужие заключения и информационные письма для суда. Штатный юридический отдел помогает сформулировать вопросы и подготовить ходатайство. Предварительный анализ материалов бесплатный.

Направьте описание задачи на info@szexp.ru или позвоните: +7 (812) 982-86-69 (Санкт-Петербург и Москва), +7 (905) 222-86-69 (регионы Российской Федерации) — АНО «СЗЭПЦ» проведет предварительный анализ и подготовит информационное письмо для суда.

Узнать стоимость экспертизы