Тактика осмотра электронных устройств и цифровых носителей информации

Осмотр электронного устройства или цифрового носителя требует сохранить и материальный объект, и состояние содержащихся на нем данных. Сначала фиксируют исходное состояние, затем выбирают способ дальнейшего исследования так, чтобы не вызвать случайное изменение или утрату информации и сохранить проверяемость результатов.2, 3

Универсального правила немедленно включать или выключать устройство нет. Такое действие само может изменить данные, поэтому техническое вмешательство выбирают с учетом состояния устройства и риска утраты информации. Если электронный носитель изымается в ходе следственного действия, ст. 164.1 УПК РФ требует участия специалиста. Для дел, указанных в ч. 4.1 ст. 164 УПК РФ, закон дополнительно ограничивает изъятие носителей и устанавливает специальные исключения.1

Что важно запомнить
  • До вмешательства фиксируют внешний вид, подключение, экран, состояние питания и видимые процессы. Выключенное устройство не включают только ради просмотра, а работающее не выключают автоматически без оценки риска изменения данных.2, 3
  • Электронные носители при изъятии в ходе следственного действия изымаются с участием специалиста. Для дел, указанных в ч. 4.1 ст. 164 УПК РФ, действуют дополнительные ограничения на изъятие.1
  • Копирование информации и примененные технические средства отражают в протоколе. В предусмотренном ст. 164.1 случае копирование по ходатайству владельца или обладателя информации выполняет участвующий специалист в присутствии понятых.1
  • Происхождение и целостность цифровых копий документируют. Хеш-значения являются одним из способов подтверждения неизменности данных.2, 3

Почему цифровой объект требует особой тактики

Электронное устройство одновременно является материальным предметом и носителем изменяемой информации. Запуск программы, подключение к сети, выключение или обычный просмотр файлов способны изменить служебные данные. Поэтому каждое технически значимое действие должно быть объяснимым и документированным.2, 3

Первичная фиксация и решение о вмешательстве

До технического вмешательства фиксируют место обнаружения, внешний вид, маркировку, подключенные кабели и периферийные устройства. У работающего устройства фиксируют состояние экрана и доступные признаки работы. Выключенное устройство не запускают только ради быстрого просмотра. Для работающего устройства также нет универсального требования немедленно отключить питание. Решение зависит от риска потери временных данных, удаленного доступа и автоматического изменения информации.2, 3

Изъятие и участие специалиста

Статья 164.1 УПК РФ прямо устанавливает, что электронные носители информации при изъятии в ходе следственных действий изымаются с участием специалиста. Для уголовных дел, указанных в ч. 4.1 ст. 164 УПК РФ, действует дополнительное ограничение на изъятие носителей. Закон перечисляет случаи, когда такое изъятие допускается.1

Копирование и сохранение целостности

Если информация копируется, в протоколе указывают примененные технические средства, порядок их использования, исходный носитель и полученный результат. По ходатайству законного владельца носителя или обладателя информации копирование в предусмотренном ст. 164.1 порядке выполняет участвующий специалист в присутствии понятых, кроме установленного законом исключения.1

Для дальнейшего исследования предпочтительна проверяемая копия, когда это технически и процессуально возможно. Документируют источник данных, способ создания копии и контроль ее неизменности. Хеш-значения помогают подтверждать целостность цифровых файлов и образов.2, 3

Исследование и оценка результата

При просмотре цифрового содержания отделяют обнаружение от интерпретации. Файл, запись журнала или метаданные сначала фиксируют, затем устанавливают их происхождение, время и связь с действиями пользователя. Наличие файла на устройстве само по себе не доказывает, что его создал, открыл или разместил конкретный человек. После завершения первоначальных действий устройство и носители маркируют и упаковывают так, чтобы сохранить их идентификацию и исключить незаметную подмену.

Пример простыми словами

При осмотре рабочего места обнаружен включенный ноутбук. Следователь не начинает открывать файлы и не выключает устройство автоматически. Сначала фиксируются экран, подключенные устройства и состояние питания. Специалист оценивает риски изменения данных и выбирает допустимый способ их сохранения. Дальнейшее исследование проводится с документированием каждого технически значимого действия и проверкой целостности полученной копии.

Частые ошибки
  • Включать выключенное устройство только для просмотра содержимого.
  • Автоматически выключать работающее устройство без оценки возможной утраты данных.
  • Просматривать файлы непосредственно на оригинале без фиксации выполняемых действий.
  • Считать наличие файла доказательством действий конкретного пользователя без проверки происхождения и контекста.
  • Не фиксировать технические средства, способ копирования и контроль целостности полученных данных.

Другие вопросы

Источники

  1. 1 Уголовно-процессуальный кодекс Российской Федерации от 18.12.2001 № 174-ФЗ (ред. от 26.07.2026). Ст. 164, 164.1, 166, 176–177
  2. 2 National Institute of Standards and Technology. Guide to Integrating Forensic Techniques into Incident Response NIST SP 800-86. 2006. Разделы об обращении с цифровыми данными, сборе и сохранении цифровой информации
  3. 3 National Institute of Standards and Technology. Digital Evidence Preservation: Considerations for Evidence Handlers NISTIR 8387. 2022. Разделы о сохранении цифровых доказательств, документировании состояния и контроле целостности