В области различных технических экспертиз особое место занимает компьютерно-техническая экспертиза, которая имеет свои задачи.

При этом такая экспертиза представляет собой судебную экспертизу различной компьютерной информации. В ее задачи входит:

• исследование компьютерной системы с целью установления вида и свойств имеющейся в ней информации;
• выявление нарушений целостности данной информации; определение первоначального состояния требуемой информации на компьютерном носителе данных;
• определение условий, при которых была изменена исследуемая информация; выявление возможных воздействий на исследуемую информацию (их хронологическая последовательность, характер и механизм).

Также компьютерно-техническая экспертиза может отождествить содержание различных компьютерных файлов с копиями этих файлов или с представленными по судебному делу документами. Можно с помощью подобной экспертизы определить групповую принадлежность во время поиска единого источника данной информации. Также при этом определяется, каким программным обеспечением была создана информация, его тип, вид и класс. Оперуполномоченные или следователи должны четко представлять, что может или не может компьютерно техническая экспертиза. Поэтому они должны обладать умениями грамотно формулировать важные для экспертизы вопросы.

Как известно, для правильной формулировки вопроса нужно владеть большей частью ответа. Также нужно владеть терминологией, т.е. знать значение специальных терминов. Поэтому для экспертов обязательны знания в области информационных технологий.

Как же компьютерно-техническая экспертиза осуществляет поиск нужной информации?! Прежде всего, исследуется компьютерный носитель данных на предмет документов различного типа, которые могут относиться к данному делу. Это могут быть текстовые или графические документы, а также любые другие. Они могут иметь скрытый или зашифрованный вид, а также вовсе могут быть удалены с физического носителя информации.

Не следует давать эксперту конкретный вид или содержание информации, которую необходимо найти. Эксперт на то и эксперт, чтобы самостоятельно уметь определить, какой документ может относиться к делу.

В любом случае в ходе проведения экспертизы придется просмотреть тысячи различных документов, из которых путем первичного отбора необходимо выяснить, что же именно нужно приобщить к заключению.

Поэтому любая компьютерно техническая экспертиза должна перед началом сопровождаться знакомством эксперта с подробностями уголовного дела. Компьютерно-технический эксперт занимается поиском всех следов цифрового характера, которые свидетельствуют о манипуляциях с нужной информацией. В любом случае можно обнаружить следы различных действий на компьютерном носителе.

Эксперт сможет установить, когда и каким образом был осуществлен доступ к тем или иным данным на исследуемом компьютере. Но компьютерно техническая экспертиза не может определить, кто же осуществлял этот доступ. Только в редких случаях эксперт сможет получить определенные данные о пользователе этого компьютера.

К действиям, после которых могут остаться определенные «следы» цифрового характера, относятся доступ к определенным компьютерным данным, их просмотр, удаление, изменение или ввод, а также другая обработка. К ним также относится удаленное управление этими данными. Во время анализа программного обеспечения компьютерно-техническая экспертиза может выявить, использовались ли различные вредоносные утилиты, технические средства для неправомерного или негласного доступа к информации. Также проводится анализ функциональности подобных утилит, принцип их действия, их вероятное происхождение или даже их создатель.

В некоторых случаях предполагает более глубокий анализ программного обеспечения. В этом случае проводится не просто функциональное исследование, а особенности происхождения, взаимодействия исследуемых программ с другими утилитами, создания.

Иногда такая компьютерно техническая экспертиза называется программно-технической.

Сложно найти такого эксперта, который бы владел знаниями в области программирования одновременно с ИТ-знаниями. Поэтому лучше всего и более эффективно проводить сразу две независимые друг от друга экспертизы.

В этом случае одна экспертиза даст результаты по изучению информации на компьютерных носителях данных, а другая сможет определить особенности изучаемого программного обеспечения. Во время проведения экспертизы можно установить время, а также последовательность всех действий, которые пользователь совершал на данном компьютере. Это становится возможным, т.к. компьютерно техническая экспертиза изучает внутренние часы компьютера, независящие от наличия электроэнергии, а также имеющиеся временные метки.

Эти возможности позволяют точно восстановить последовательность действий пользователя, даже если были переведены внутренние часы. Такой перевод компьютерных часов также оставляет следы, даже если он был произведен не один раз.

С помощью временного анализа произведенных на компьютере действий можно подтвердить или опровергнуть алиби подсудимого или свидетеля, а именно, доказать, действительно ли он работал на компьютере в определенное время. Также компьютерно-техническая экспертиза может определить квалификацию пользователя компьютера и даже особенности его интеллекта, психики, наклонности, эмоции, предпочтения и другие личностные характеристики.

Это возможно благодаря тому, что пользователь во время интенсивной работы за компьютером оставляет следы в виде личных документов, музыки, фотографий, настроек, подбора программного обеспечения, оформления и т.д. К такой экспертизе может также привлекаться психолог для выявления закономерностей и определения подобных особенностей.