Современный судебный эксперт всё чаще сталкивается с цифровыми доказательствами: трафиком мессенджеров (WhatsApp, Telegram), образами жёстких дисков, логами серверов и «облачными» сервисами. Очень важно понимать, что вся эта информация подвержена рискам утечки, подмены или уничтожения. Поэтому информационная безопасность судебного эксперта превращается из «доброй практики» в неотъемлемое условие допустимости доказательств.
Основные угрозы для цифровых доказательств
Внешние угрозы
- Кибератаки — попытки удалённого доступа к рабочей станции эксперта;
- Социальная инженерия — получение доступа через обман персонала;
- Физическое похищение носителей — кража внешних дисков, телефонов или ноутбуков.
Внутренние риски
- Ошибочное форматирование или удаление образа диска;
- Использование экспертом личных аккаунтов WhatsApp или Google Drive для передачи материалов дела;
- Отсутствие журнала аудита доступа к хранилищу доказательств.
Модель защищённой инфраструктуры эксперта
Физическая безопасность
• Сейф 1-го класса для картридеров, флеш-накопителей и телефонов;
• RFID-шкаф для SSD/HDD, исключает несанкционированный доступ;
• Видеонаблюдение 24/7 с хранением записи не менее 180 суток.
Сетевая изоляция
| Зона | Оборудование | Назначение |
|---|---|---|
| Air-Gap | Анализатор Belkasoft X | Вскрытие образов без сети |
| DMZ | Рабочая станция для WhatsApp Business API | Обработка легальных запросов оператора |
| Корпоративная сеть | Backup-сервер с шифрованием AES-256 | Резервирование отчётов |
Криптографические меры
Шифрование хранилища
Используйте BitLocker + аппаратный модуль TPM 2.0. Ключи хранятся на отдельном HSM-токене, к которому имеет доступ только уполномоченный эксперт и его заместитель.
Передача данных
- Образы дисков передаются через защищённый канал SFTP с сертификатами TLS 1.3;
- WhatsApp-переписка экспортируется в формате PDF/A и подписывается электронной подписью эксперта;
- Все файлы снабжаются контрольными суммами SHA-256 и заносятся в реестр.
Процедура обращения с мобильными устройствами
Шаг 1. Фиксация состояния:
- Включить авиа-режим (исключить удалённую блокировку);
- Сфотографировать экран блокировки;
- Извлечь SIM-карту и карту памяти, упаковать в антистатический конверт.
Шаг 2. Создание цифрового двойника:
- Использовать UFED Premium или Cellebrite UFED Touch2;
- Хеш-сумма образа записывается в журнал КЭД-1 (форма 7-ЦЭД).
Работа с WhatsApp как источником доказательств
Что можно извлечь
| Тип данных | Где хранятся | Метод извлечения |
|---|---|---|
| Текстовые сообщения | msgstore.db.crypt14 | Расшифровка ключом /data/data/com.whatsapp/files/key |
| Медиа | /sdcard/WhatsApp/Media/ | Логический образ + парсинг |
| Локации | Таблица message_location | SQL-запросы с координатами |
Сохранение цепочки доказательств
Каждый этап разбора WhatsApp сопровождается:
- Фото/видео процесса извлечения;
- Скринкастами экрана ПО Cellebrite;
- Актом осмотра, подписанным двумя экспертами и понятыми.
Аудит и контроль
Внутренний аудит
Каждый квартал проводится проверка:
- Количества неудачных попыток входа в систему;
- Корректности журналов доступа к хранилищу;
- Актуальности антивирусных сигнатур (ESET Endpoint Security).
Внешний аудит
Раз в два года приглашается независимая ИТ-фирма для pentest и ISO/IEC 27001-сертификации процессов экспертной лаборатории.
Практический чек-лист для эксперта
✅ Пароль длиной ≥ + TOTP-генератор;
✅ VPN перед отправкой любого файла в облако;
✅ Сертификат ключа WhatsApp (backup_key) хранится только на флешке с аппаратным шифрованием;
✅ Логи экспорта WhatsApp-мессенджера сразу подписываются ЭЦП;
✅ Контейнер VeraCrypt для временных рабочих данных.
Информационная безопасность судебного эксперта — это не только технические меры, но и дисциплинированная процедура. Применяя описанные принципы (изоляция, шифрование, аудит и строгий протокол работы с WhatsApp-данными), эксперт снижает риски недопустимости доказательств и повышает доверие сторон процесса. Главное — помнить: нарушение хотя бы одного звена цепочки может поставить под сомнение весь результат цифровой экспертизы.