Оригиналы носителей компьютерной информации оборудования, на которые была совершена кибератака или на которых произошел любой другой инцидент информационной безопасности, должны быть сохранены в неизменном виде с того момента, как была обнаружена проблема. Эти носители информации станут вещественными доказательствами при уголовном деле.
Почему нужно сделать две точные копии носителей компьютерной информации? После создания точных копий носителей информации самое время вступать в действие спасателям всех мастей и анализаторам.
Одну копию целесообразно отправить в экспертную организацию для проведения компьютерного исследования, а вторую использовать для получения необходимой критической информации — бухгалтерских документов, баз данных, исходных кодов и другой ценной информации, позволяющей предприятию нормально функционировать.
4.5.3. Проведение исследований и компьютерно-технических экспертиз
Для эффективности расследований преступлений в сфере компьютерной информации и судебного рассмотрения дел, связанных с информационными технологиями, требуется проведение исследований и экспертиз.
Для начала нужно еще раз пояснить, какова разница между видами информационных и технических исследований, применяемых при инцидентах информационной безопасности и преступлениях.
Служебная проверка
Первый вид — это служебная проверка, проводимая силами сотрудников отдельно взятого предприятия, на котором произошел инцидент. Результаты данного расследования могут (и должны) в дальнейшем быть приобщены к материалу проверки по обращению в правоохранительные органы, если инцидент содержит признаки состава преступления.
Внутреннее расследование силами предприятия проводить гораздо проще, если в организации заранее были внедрены инструкции и регламенты, направленные на защиту информации, включающие необходимые организационные мероприятия и ответственность каждого сотрудника.
Компьютерное исследование
Второй вид включает в себя такие работы, как компьютерные исследования и расследования инцидентов информационной безопасности, проводимые специалистами сторонней независимой организации.
Результатом этого вида работ является заключение специалиста (специалистов). Данное заключение, при условии соблюдения требований, предъявляемых Федеральным законом № 73-Ф3 «О государственной судебно-экспертной деятельности в Российской Федерации», также может использоваться при обращении в правоохранительные органы и являть собой основания и достаточность данных, указывающих на признаки преступления, как того требует Уголовно-процессуальный кодекс и методические рекомендации Генеральной прокуратуры, которые мы уже вспоминали на протяжении книги.