3. Задачи экспертного исследования компьютерных данных

•   установление свойств и вида представления информации в компьютерной системе при ее непосредственном исследовании;

•   определение фактического состояния информации, выяснение наличия или отсутствия в ней отклонений от типового состояния объектов КТЭ (например, имеются ли вредоносные включения, нарушение целостности информации и пр.);

•   установление первоначального состояния информации на носителе данных;

•   определение условий изменения свойств исследуемой информации (например, выяснение условий внесения изменений в содержимое файла, запись на пластиковой карте, данные ППЗУ и т.

•   определение механизма и обстоятельств события (дела), установление отдельных этапов (стадий, фрагментов) события по имеющейся информации на носителе данных или ее копиям (например, подготовка нескольких копий делового письма и его рассылка факсимильной программой в разные адреса);

•   определение времени (периода), хронологической последовательности воздействия на информацию (например, установление стадий подготовки изображений денежных знаков, оттисков печатей и т. п.);

•   выявление следов возможных участников события по признакам, характеризующим определенные профессиональные и пользовательские навыки, умения, привычки, установление условий, при которых была создана (модифицирована, удалена, скопирована) информация;

•   установление причинной связи между имевшими место манипуляциями с компьютерной информацией и наступившими последствиями (например, связи между удалением информации и нарушением работоспособности компьютерной системы);

•   диагностирование возможных последствий по совершенному действию и возможности его совершения.

К задачам программно-компьютерной экспертизы можно отнести также индивидуальное отождествление содержания файла с данными в копии исследуемого файла либо в представленном документе (в том числе в бумажной копии в комплексе с технико-криминалистическим исследованием документов). Групповая принадлежность может устанавливаться при поиске общего источника происхождения информации на носителях данных компьютерной системы, а также при определении класса, вида и типа программного обеспечения, при помощи которого были порождены (созданы) исследуемые данные.