Экспертиза компьютерной информации (информационная экспертиза)

Для чего проводится информационная экспертиза

Информационно-компьютерная экспертиза данных является одним из направлений судебных компьютерно-технических исследований.

Цель информационно-компьютерной экспертизы состоит в поиске, обнаружении и анализе информации, подготовленной пользователем или созданной программами. исследование цифровых данных, хранящихся в памяти компьютерной техники. Предметом данного направления экспертиз являются цифровые данные – информация, содержащаяся в компьютерной системе.

В процессе осуществления этой экспертизы специалист ставит перед собой цели поиска, сбора, исследования и экспертной оценки обнаруженной информации, которая была сохранена при работе операционной системы или пользователем, а так же порождена действиями программного обеспечения в том числе и вредоносного или предназначенного для сопровождения рабочих процессов в исследуемой компьютерной системе

Анализ информации позволяет выявить следы работы программ и приложений, определить транзакции, совершенные посредством информационных сетей, а также отследить деятельность и намерения пользователя компьютера или мобильного телефона на основании сохраненных (или даже удаленных) им файлов в персональном компьютере, мобильном телефоне (смартфоне) или планшете.

При проведении информационно-компьютерной экспертизы перед экспертами ставятся следующие задачи:

• Определение специфических характеристик физического размещения информации на определенном накопительном устройстве.
• Определение характеристик логического размещения сведений на носителе.
• Выбор эффективного способа восстановления информации с носителя с учетом способа записи данных на нем.
• Определение метода организации доступа к сведениям, которые хранятся на носителе, а также их параметрам.
• Выявление в техническом устройстве или ПО следов копирования или умышленного проникновения (НСД – несанкционированного доступа).
• Установление содержания информации, которая дополнительно защищена.
• Определение назначения (характеристик) данных.
• Выявление несоответствий фактического состояния данных.
• Выявление наличия в системе данных, которые нужны для решения определенных задач пользователя.
• Установление совпадений сведений, хранящихся в системе, и представленных на аудит в документальном виде и т.д.

В рамках проведения информационно-компьютерной экспертизы эксперт проводит обязательные исследование, в котором может решить следующие задачи:

1. Как отформатирован носитель информации?
2. В каком виде записаны данные на носитель информации?
3. Какие сведения содержатся на предоставленном на исследование носителе?
4. Какие свойства, характеристики и параметры имеют данные на носителе информации?
5. Какого вида (явный, скрытый, удаленный, архив) информацию содержит носитель?
6. К какому типу относятся выявленные данные — текстовые, графические, база данных, электронная таблица, мультимедиа и др.?
7. Свободен или ограничен доступ к данным на носителе информации?
8. Каковы характеристики выявленных средств защиты данных? Возможно ли их преодолеть?
9. Имеются ли признаки преодоления защиты либо попыток несанкционированного доступа на носителе информации?
10. Каково содержание защищенных данных?
11. Каково фактическое состояние выявленных данных и соответствует ли оно типовому состоянию на соответствующих носителях данных?
12. Какие данные о пользователе компьютерной системы имеются на носителях информации?
13. Каково первоначальное состояние данных на носителе?
14. Каким способом и при каких обстоятельствах произведены действия или операции по изменению данных на носителе информации?
15. Какая причинная связь имеется между действиями с данными и имевшим место событием (например, нарушением в работе компьютерной системы, в том числе сбои в программном и аппаратном обеспечении)?

Примерный порядок работ

Процедура производства информационно-компьютерной экспертизы состоит из следующих этапов:

1. Консультации с заказчиком (уточнение обстоятельств дела, согласование стоимости и сроков производства работ, передача объектов исследования);
2. Первичный осмотр объектов исследования экспертом;
3. Производство исследования в соответствии с выбранной методикой;
4. Формирование выводов по результатам исследования;
5. Оформление заключения эксперта, формирование ответов на поставленные вопросы;
6. Передача заключения эксперта заказчику;
7. Возврат объектов исследования.

Что требуется

Для осуществления информационно-компьютерной экспертизы требуется доступ к носителю информации (НЖМД, флеш-накопитель, мобильный телефон и т.д.).

Важно!

В ходе экспертизы исследованию подвергаются файлы с расширениями текстовых форматов (*.txt, *.doc, *.docx), графических форматов (*.bmp, *.jpg, *.tif, *.cdr), форматов баз данных (*.dbf, *.mdb), электронных таблиц (*.xlsx,*.xls, *.cal) и др., в том числе файлы реестра операционной системы Windows, файлы журналов операционных систем Windows или Linux. Также производится анализ и систематизация собранных данных. Для оценки содержания обнаруженной информации и ее квалификации как относящейся к определенной группе могут быть привлечены соответствующие специалисты – лингвисты, культурологи, психологи и так далее.

Что получает заказчик

По результатам проведения информационно-компьютерной экспертизы заказчик получает заключение эксперта, содержащее:

1. Вопросы, поставленные перед экспертом;
2. Сведения об эксперте;
3. Ссылки на нормативно-правовые акты, в соответствии с которыми производилось исследование;
4. Перечень использованных экспертом литературных источников;
5. Описание инструментария эксперта;
6. Описание методики исследования;
7. Описание произведенного исследования;
8. Выводы по результатам исследования.

В разделе выводов представлены ответы на поставленные перед экспертом вопросов. Заключение эксперта оформляется в соответствии с требованиями действующего законодательства Российской Федерации.

Cроки

Средний срок производства информационно-компьютерной экспертизы составляет 5-10 рабочих дней.

RTM Group – преимущества для Вас

• Профиль деятельности RTM Group – проведение экспертиз по направлению ИТ и кибербезопасности.
• Работа проводится экспертами, обладающими большим опытом проведения оценок соответствия по ГОСТ Р 57580 и другим стандартам.
• RTM Group – экспертная компания, не является интегратором и не предоставляет аутсорсинговых услуг – поэтому наши аудиты и проверки не сводятся к «продаже» дополнительных услуг.
• Мы полностью независимая компания, не аффилированная ни с одним брендом или вендором.
• Обладаем следующими лицензиями:

• • лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации;
  • лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации;
  • лицензия ФСБ России на работу со средствами криптозащиты.