В практике судебных споров, связанных с цифровыми доказательствами, компьютерно-техническая экспертиза (КТЭ) занимает особое место. Именно она чаще всего становится тем самым «решающим доказательством», на которое стороны возлагают главные надежды. Однако, как показывает судебная статистика, значительная часть заключений КТЭ либо не принимается судами, либо не даёт ожидаемого эффекта, и причина этого далеко не всегда связана с компетентностью эксперта.

Ключевая проблема лежит на этапе, предшествующем исследованию, — в формулировке вопросов, выносимых на разрешение эксперта. Именно этот этап, к сожалению, нередко воспринимается юристами как второстепенная формальность. Между тем, качество заключения и его доказательственная ценность напрямую зависят от того, насколько точно, корректно и полно адвокат или следователь сформулирует задание для специалиста.

Настоящая статья призвана обратить внимание профессионального сообщества на типичные ошибки при постановке вопросов и предложить практически обоснованные рекомендации по их недопущению.

Разграничение компетенций: эксперт — не правоприменитель

Первое и наиболее существенное требование, которое должно соблюдаться при любой формулировке, — это чёткое понимание границ экспертной компетенции. В соответствии с Федеральным законом № 73-ФЗ «О государственной судебно-экспертной деятельности», эксперт не вправе разрешать вопросы правового характера. Он оперирует техническими категориями: фактами, параметрами, последовательностями событий, зафиксированными в цифровых следах.

Так, некорректным является вопрос: «Имеются ли в действиях сотрудника признаки хищения денежных средств?» Такой запрос содержит юридическую оценку, которая относится к исключительной прерогативе суда. Эксперт может лишь констатировать, был ли осуществлён перевод денежных средств с конкретного устройства в конкретное время, но не квалифицировать это действие как противоправное.

Надлежащей альтернативой будет вопрос: «Зафиксированы ли в системном журнале рабочей станции № Х операции по переводу денежных средств на счёт Y в период с Z по W; если да, то каковы их временные метки и идентификаторы сессий?»

Таким образом, формулировка должна быть фактологической, однозначно интерпретируемой и не содержать субъективных оценочных суждений.

Типичные ошибки при постановке вопросов

Анализ судебных дел и экспертной практики позволяет выделить несколько устойчивых шаблонов некорректных вопросов, которые систематически ведут к снижению доказательственной силы заключения.

Подмена технического вопроса правовым или оценочным

К данной категории относятся вопросы, содержащие термины «мошенничество», «незаконный доступ», «противоправное изменение» и т.п. Эксперт, отвечая на них, вынужден либо давать ответ, выходящий за рамки его специальных знаний, либо давать уклончивый ответ, который не может быть проверен и положен в основу решения суда.

- Некорректно: «Был ли осуществлён несанкционированный доступ к базе данных?»
-Корректно: «Имеются ли в журнале аудита базы данных записи о входах в систему под учётными записями, не соответствующими реестру сотрудников, в период с … по …?»

Нарушение принципа конкретности (перегруженные вопросы)

Нередко в одном вопросе смешиваются несколько самостоятельных исследовательских задач: установление времени, идентификация устройства, определение способа действия, анализ программного обеспечения. Подобная практика противоречит как методическим требованиям, так и процессуальной логике, поскольку затрудняет проверку и оценку каждого из полученных выводов.

- Некорректно: «Установить, кто, когда и каким программным обеспечением произвёл удаление файлов и изменение системных настроек?»
- Корректно: «Установить дату и время удаления файлов с указанием их имён и путей. Установить, имеются ли на данном носителе следы использования программ для безвозвратного уничтожения данных (указать перечень).»

Формулировка, провоцирующая формальный, но бесполезный ответ

Например, вопрос о наличии файла с определённым именем может быть удовлетворён простым фактом его существования, в то время как юридически значимым является не само наличие, а история его изменений. Такие вопросы нередко дают эксперту возможность выбрать наиболее простой путь ответа, который не приближает суд к установлению истины.

Практические рекомендации по формулировке эффективных вопросов

Для того чтобы заключение КТЭ стало действительно рабочим инструментом, юристу целесообразно придерживаться следующих принципов.

Принцип дробления. Сложная задача должна быть разбита на несколько последовательных, логически связанных подвопросов. Это позволяет эксперту поэтапно проводить исследование и давать чёткие, проверяемые ответы по каждому элементу.

Принцип технической конкретики. Вопрос должен содержать точные идентификаторы: серийные номера устройств, MAC-адреса, IP-адреса, пути к файлам, временные интервалы, версии операционных систем и программного обеспечения. Все параметры, которые можно конкретизировать, должны быть конкретизированы.

Принцип доказательственной обеспеченности. Вопросы должны быть сформулированы таким образом, чтобы экспертные выводы могли быть верифицированы посредством контрольных сумм (хэшей), логов и других объективных меток. Это повышает устойчивость заключения к последующей критике со стороны процессуального оппонента.

Проиллюстрируем сказанное конкретными примерами.

Пример А. Дело о фальсификации электронного документа

- Некорректно: «Подтверждает ли файл «договор.pdf» факт заключения сделки между сторонами?»
- Корректно: «Установить дату и время создания файла «договор.pdf», дату и время его последнего изменения, а также дату и время последнего открытия. Имеются ли в метаданных файла признаки изменения системного времени компьютера, на котором он был создан?»

Пример Б. Инцидент в корпоративной сети

- Некорректно: «Установить лицо, которое отправляло письма с угрозами от имени директора».
- Корректно: «Установить MAC-адрес сетевого адаптера, с которого производилась аутентификация в почтовом сервисе в указанный период; установить, была ли синхронизация системного времени на данном устройстве с корпоративным сервером времени (NTP) в этот же период».

Последствия некорректной постановки вопросов

Пренебрежение изложенными правилами влечёт за собой целый ряд негативных процессуальных последствий, которые можно систематизировать следующим образом.

Во-первых, суд может признать заключение эксперта недопустимым доказательством, если установит, что эксперт вышел за пределы своей компетенции или дал ответ на вопрос, не имеющий технического содержания (ст. 8 ФЗ-73, ст. 57 УПК РФ, ст. 55 ГПК РФ).

Во-вторых, даже при формальном принятии заключения его доказательственная ценность оказывается минимальной: ответы носят предположительный, расплывчатый характер либо не охватывают всех обстоятельств, подлежащих доказыванию. В результате сторона, инициировавшая экспертизу, не получает необходимой аргументации для поддержки своей позиции.

В-третьих, некачественная формулировка вопросов открывает широкие возможности для процессуального оппонента. Оппонент с высокой вероятностью инициирует рецензию или повторную экспертизу, ссылаясь на то, что первоначальное исследование не дало ответов на юридически значимые аспекты. При этом расходы на проведение экспертизы, не достигшей своей цели, ложатся на инициатора и не подлежат возмещению.

В-четвертых, повторное обращение к эксперту или назначение повторной экспертизы влечёт дополнительную процессуальную волокиту и увеличивает судебные издержки, что критично как для государственных органов, так и для частных клиентов.

Вместо заключения: алгоритм действий для юриста

Обобщая изложенное, можно предложить следующий практический алгоритм подготовки вопросов для компьютерно-технической экспертизы.

1. Провести предварительную консультацию со специалистом в области компьютерной техники (не экспертом, а именно техническим консультантом) для определения перечня фактических обстоятельств, которые могут быть установлены по цифровым следам.
2. Сформулировать вопросы в максимально узком, конкретном виде, избегая оценочных и правовых терминов. Каждый вопрос должен касаться одного проверяемого параметра.
3. Разбить общую задачу на последовательные этапы, каждый из которых имеет самостоятельное доказательственное значение.
4. Включить в вопросы требования о фиксации контрольных сумм (хэшей), временных меток и иных идентифицирующих параметров, чтобы обеспечить проверяемость результатов.
5. Пересмотреть окончательный текст вопросов с точки зрения технической исполнимости: понятен ли он специалисту, не содержит ли неопределённостей, возможно ли дать на него однозначный ответ, не выходя за рамки специальных знаний.

Итоговый вывод очевиден: качество судебной компьютерно-технической экспертизы определяется не только уровнем эксперта, но в не меньшей степени — уровнем подготовки поставленных перед ним задач. Юрист, владеющий искусством точной формулировки, превращает экспертизу в надёжный процессуальный ресурс. Напротив, небрежность на этом этапе делает даже самого квалифицированного эксперта заложником, а его заключение — бесполезным для суда документом.

В вопросах, адресованных эксперту, нет места приблизительности. Каждое слово должно быть проверяемым, каждый термин — однозначным. Только тогда цифровая экспертиза будет служить правосудию, а не порождать дополнительные споры о её допустимости и достоверности.