Методы и способы получения доказательственной информации с электронных носителей (стр. 3 )

3. Отдельные кластеры магнитного носителя информации (винчестера, дискеты), в которых записываются фрагменты исполняемых файлов (программ) и файлов конфигурации.

4. Файлы и каталоги (папки) хранения входящей электронной почты и прикрепленных исполняемых файлов, конфигурации почтовой программы.

5. Файлы конфигурации программ удаленного соединения компьютера с информационной сетью.

На компьютере преступника такими объектами будут:

1. Таблица размещения файлов (FAT, NTFS или другая, в зависимости от типа используемой операционной системы). На компьютере жертвы должны появиться файлы с программами, представляющими собой вторую (управляющую) часть вредоносной программы «троянский конь».

2. Системный реестр операционной системы Windows XP, Vista, W7.

3. Соответствующие разделы системного реестра должны включать указания на размещение и параметры установленных программных файлов.

4. Скопированные с компьютера-жертвы файлы данных и программы, а также так называемые «скриншоты» (графические изображения экрана монитора) с компьютера-жертвы.

5. Файлы и каталоги (папки) хранения входящей электронной почты и прикрепленных исполняемых файлов, конфигурации почтовой программы. Здесь могут быть обнаружены присланные с компьютера-жертвы значения паролей и логинов для входа в информационную сеть, копии украденной электронной корреспонденции и т. п.

6. Файлы конфигурации программ удаленного соединения компьютера с информационной сетью. В этих файлах могут быть обнаружены логины и пароли компьютера-жертвы, его адресная книга, используемые скрипты и т. п.

7. Отдельные кластеры магнитного носителя информации (винчестера, дискеты), в которых записываются фрагменты исполняемых файлов (программ) и файлов конфигурации.

В завершении отметим, что за последние 20 лет среди выявленных корыстных преступлений, характеризующихся повышенной общественной опасностью, широкое распространение получили посягательства, которые объединены одним общим криминалистическим признаком - предметом и (или) средством (орудием) их совершения стала компьютерная информация. С криминалистических позиций такие преступления условно стали называть компьютерными, исходя из терминологии, используемой зарубежной юридической практикой. Массовый характер приобрели неправомерный доступ к компьютерной информации; подделка кредитных либо расчетных карт и иных документов (в том числе валюты); причинение имущественного ущерба путем обмана или злоупотребления доверием в сфере телекоммуникаций и компьютерной информации; незаконные создание, распространение и использование экземпляров программ для ЭВМ, баз данных, аудиовизуальных и других произведений, а также чужих товарных знаков и знаков обслуживания, представленных в электронно-цифровой форме (так называемое «компьютерное пиратство»); незаконные изготовление и оборот порнографических материалов, в том числе содержащих изображения несовершеннолетних на машинных носителях, в памяти ЭВМ и других компьютерных устройств, компьютерных сетях и сетях сотовой связи; электронные хищения денежных средств в крупных и особо крупных размерах. Отмечается устойчивый рост фактов незаконного получения и разглашения сведений, составляющих коммерческую, налоговую или банковскую тайну, связанных с использованием компьютерных технологий; нарушения тайны телефонных переговоров, электронных почтовых и иных сообщений; вымогательств, совершенных с помощью сетевых распределенных атак на WEB-серверы коммерческих структур и органов государственной власти.

ТЕМА 2. СЛЕДСТВЕННЫЙ ОСМОТР

ЭЛЕКТРОННЫХ НОСИТЕЛЕЙ ИНФОРМАЦИИ

Контрольные вопросы

1. Какова криминалистическая классификация объективных форм существования компьютерной информации. Классификация программ для ЭВМ.

2. Понятие и механизм образования электронно-цифровых следов. Следы-отображения. Следы-предметы (части предметов).

3. Особенности осмотра места происшествия по делам о преступлениях в сфере компьютерной информации.

1. Криминалистическая классификация объективных форм существования компьютерной информации

Анализ понятия и содержания компьютерной информации, а также материалов оперативно-розыскной, следственной и судебной практики позволяют с криминалистических позиций классифицировать компьютерную информацию по ряду оснований.

По юридическому положению:

1. Недокументированная компьютерная информация - данные, управляющие команды и сигналы, образующиеся и (или) используемые в процессе обработки информации и не обладающие признаками документа, например, находящиеся в электронной цифровой форме индивидуальное имя пользователя в компьютерной сети Интернет - логин и соответствующий ему пароль, закрытый и открытый ключи электронной цифровой подписи, идентификаторы, автоматически передаваемые сотовым радиотелефоном при попадании в зону действия оператора связи.

2. Документированная компьютерная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством РФ случаях ее материальный носитель.

По категории доступности:

1. Общедоступная - компьютерная информация общего пользования (с неограниченным доступом).

2. Охраняемая законом - компьютерная информация, доступ к которой ограничивается в соответствии с действующим законодательством. Она всегда будет чужой для лица, не имеющего к ней доступа на законных основаниях либо получившего его в нарушение установленного ее обладателем порядка и правил защиты.

По форме представления:

1. Электромагнитный сигнал - средство переноса компьютерной информации в пространстве и во времени с помощью электромагнитных колебаний (волн). По своей сути сигнал - это условный знак для передачи какого-либо сообщения, распоряжения, команды и т. п.

2. Электронное сообщение - информация, переданная или полученная пользователем информационно-телекоммуникационной (компьютерной) сети.

3. Электронный документ - документ, в котором информация представлена в электронно-цифровой форме.

4. Файл - поименованная область записей на материальном носителе информации (МНИ), где в закодированном виде хранится строго определенная информация с реквизитами, позволяющими ее идентифицировать. Как в библиотеке, архиве или папке упорядочивают местоположение книги или документа, так и на машинном носителе упорядочивают файлы. Для этого каждому файлу присваивается имя, которое, во-первых, позволяет отличить его от множества других файлов и, во-вторых, дает некоторое представление о категории сведений, содержащихся в нем, или о лице, его создавшем. Однако это не обязательно: файлу может быть дано любое условное наименование, не связанное с его содержанием. К имени файла может быть добавлено так называемое «расширение», т. е. примечание, содержащее не более трех символов. Расширение отражает специфику формата файла и особенности его использования. По расширению можно установить название или вид программы для ЭВМ, с помощью которой файл был создан и может быть переведен в форму, воспринятую человеком.

При создании файла или изменении его содержания компьютерной системой либо программой для ЭВМ автоматически регистрируются дата и время, когда эти действия были совершены. Они берутся ЭВМ автоматически из внутрисистемных показаний встроенного календаря и таймера (часов) операционной системы, но могут быть изменены пользователем вручную.

Имя, расширение, дата и время являются атрибутами (реквизитами) файла, которые фиксируются в каталоге.

Каталог файлов (директория) - еще один идентификационный реквизит.

Он содержит информацию о группе файлов, хранимых совместно на одном машинном носителе. Директория имеет имя (название) и, в свою очередь, может быть зарегистрирована в другой директории (одна папка может быть вложена в другую). Так образуется иерархическая файловая система: на каждом машинном носителе всегда имеются корневой каталог - тот, в котором начинают регистрироваться обычные файлы (главная папка), и каталоги 1-го уровня (папки, вложенные в нее), в них могут регистрироваться файлы и каталоги 2-го уровня (папки, вложенные в папки 1-го уровня) и т. д.

5. Программа для ЭВМ - представленная в объективной форме совокупность данных и команд, предназначенных для функционирования электронных вычислительных машин и других компьютерных устройств в целях получения определенного результата. Под программой для ЭВМ подразумеваются также подготовительные материалы, полученные в ходе ее разработки, и порождаемые ею аудиовизуальные отображения (ст.1261 ГК РФ). Анализ содержания этого юридического определения позволяет сделать вывод о том, что компьютерная программа может существовать в двух материальных формах:

А) в виде обычного рукописного или машинописного документа на бумаге (пленке), который называется «исходный текст» («исходник») и представляет собой алгоритм обработки данных и подачи управляющих команд, описанный с помощью языков программирования;

Б) в виде документированной компьютерной информации - электронного документа, который называется «объектный код», это исходный текст, преобразованный в электронно-цифровую форму с помощью инструментальных программ (систем программирования). Таким образом, если программа находится в электронно-цифровой форме, то она одновременно является электронным документом, а также средством управления и других компьютерных устройств, в том числе их системы или сети. В последнем случае, по функциональному назначению компьютерные программы можно разделить на следующие виды:

Программы для ЭВМ, в свою очередь классифицируются на 4 группы:

1. Системная программа.

1.1. Базовая система ввода-вывода информации (Basic Input-Output System-BIOS) - специальная программа, записываемая на интегральную микросхему постоянного запоминающего устройства (ПЗУ), где интегральная микросхема (ИМС) - это микроэлектронное изделие окончательной или промежуточной формы, предназначенное для выполнения функции электронной схемы, элементы и связи которого нераздельно сформированы в объеме и (или) на поверхности материала, на основе которого изготовлено изделие.

BIOS обеспечивает автоматический запуск ЭВМ после включения электропитания и организует базовый процесс ввода-вывода информации на уровне бинарных кодов - машинных языков, преобразующих (кодирующих) всю информацию (сигналы, данные, команды) в логическую последовательность цифр «0» и «1». Именно поэтому в настоящее время в обиходе и законодательстве многих стран мира используются такие термины, как «электронная цифровая подпись (ЭЦП)», «цифровая бумага», «цифровая фотография», «цифровая видео - аудиозапись», «электронно-цифровая форма».

1.2. Системный загрузчик - программа, которая также находится в ПЗУ. Она автоматические включается после исполнения БИОС и производит тестирование всех технических устройств как в самой ЭВМ (интегральных микросхем: ОЗУ, центрального процессора, кэш-память и др.; винчестера, дисководов, громкоговорителя и др.), так и подключенных к ней (периферийных устройств). При положительном результате тестирования программам запускает на исполнение (загружает) с винчестера или иного машинного носителя операционную систему и передает ей управление ЭВМ. Эта программа также позволяет пользователю выборочно работать с несколькими операционными системами на одной ЭВМ.

1.3. Операционная система (ОС) - совокупность взаимосвязанных программ, выступающих в качестве интеллектуального посредника между аппаратными средствами, средствами электросвязи системы или сети ЭВМ и пользователем (человеком). Она состоит из следующих программных компонент (подпрограмм):

- командный процессор (интерпретатор команд) обеспечивает анализ и исполнением команд, подаваемых пользователем с пульта управления ЭВМ (клавиатуры), в том числе загружает программы в оперативную память (ОЗУ) и запускает их на исполнение;

- драйвер - программа, обеспечивающая автоматическое управление конкретным периферийным компьютерным устройством (каждому отдельно взятому периферийному устройству соответствует свой драйвер);

- файловая система - программа, обеспечивающая логическое размещение и хранение данных и команд на машинных носителях информации в виде логических дисков, папок (каталогов) и файлов.

1.4. Вспомогательная программа (утилита) расширяет возможности функционирования операционной системы по отдельным направлениям организации процесса автоматической обработки информации. С помощью этих программ пользователь получает набор дополнительных инструментов по контролю, мониторингу и управлению компонентами ОС, а также внутренними и внешними устройствами ЭВМ.

1.5. Программа-оболочка - сервисная программа, облегчающая работу пользователя с операционной системой. Например, на протяжении ряда лет самой популярной программой-оболочкой являлась «Norton Commander», которая была разработана американским программистом Питером Нортоном. В настоящее время в ОС WINDOWS используются ее аналоги - «Windows Commander», «Far», «Total Commander».

2. Прикладная программа - это программа, с которой непосредственно работает пользователь (человек) для решения вычислительных и информационных задач. Иногда по функциональному назначению они объединяются в пакеты прикладных программ - наборы специализированных программных инструментов, предназначенные для решения задач определенного конкретного вида. К ним относятся: текстовые процессоры (текстовые редакторы); настольные издательские системы; табличные процессоры (электронные таблицы); графические редакторы; автоматизированные рабочие места (АРМ); системы автоматизации проектирования (САПР); системы управления базами данных (СУБД); архиваторы; организаторы сетевого планирования и управления проектами; инструментальные средства отладки программ; игры; программы распознавания символов; электронные переводчики; программы обработки фото-, видео - и звукозаписи; имитационно-обучающие программы; экспертные системы; программы управления технологическими процессами, производствами, отдельными объектами и др.

3. Программа специального назначения.

3.1. Вредоносная программа - созданная или существующая программа со специально внесенными изменениями, заведомо приводящими к несанкционированному уничтожению, блокированию, модификации либо копированию компьютерной информации, нарушению работы ЭВМ, системы или их сети.

3.2. Антивирусная программа - программа, предназначенная для поиска, регистрации, блокирования и (или) уничтожения вредоносных программ либо программных объектов, содержащих исполняемых объектный код вредоносной программы или часть его.

3.3. Программа защиты от несанкционированного доступа (НСД) к охраняемой законом информации - программа, предназначенная для защиты других программ от их неправомерного использования, копирования и модификации, предотвращения неправомерного доступа к системе или сети ЭВМ, а также используемая в целях контроля эффективности принимаемых мер защиты информации.

3.4. Программа обеспечения борьбы с преступностью - компьютерная программа, специально созданная для обеспечения раскрытия, расследования и предупреждения преступлений, а также обучения сотрудников ОВД.

4. Инструментальная программа - программа, используемая для создания, тестирования, отладки и исследования всех возможных компьютерных программ. Инструментальные программы, в свою очередь, классифицируются на следующие подвиды:

4.1. Транслятор - программа, которая производит перевод исходного текста программы, написанного человеком на одном из языков программирования (C++, C#, Pascal, PHP, Java и др.), на машинный язык кодов-команд - в объектный код.

4.2. Компилятор (редактор связей) - программа, позволяющая работать с библиотекой стандартных подпрограмм, которая выполняет следующие операции: ввод-вывод данных и команд, их преобразование; математические функции над введенными данными; устанавливает логические связи обращения к операционной системе, для работы в которой пишется новая программа; корректирует возможные ошибки, возникающие во время исполнения программы, и выдает сообщения о них пользователю - программисту; осуществляет остановку исполнения (прерывание) программы по определенным командам; выполняет другие операции по настройке и отладке создаваемой программы. Компиляторы обеспечивают выбор конкретных подпрограмм из библиотеки, компонуют и логически присоединяют их к созданной с помощью транслятора новой программе (автоматически устанавливают необходимые логические связи). Без них вновь созданная программа не будет работать в конкретной операционной системе, программной среде, в ЭВМ или ином компьютерном устройстве. Компилятор в качестве входных данных использует набор объектных кодов исходной программы и библиотеку стандартных подпрограмм, из которых он создает набор кодов с программой, готовой к исполнению (работе), или ее загрузочный модуль.

4.3. Декомпилятор - программа, выполняющая функции, обратные компилятору. Она воспроизводит и преобразует объектный код в исходный текст (переводит текст и алгоритм работы программы с машинного кода на язык программирования).

4.4. Интерпретатор - программа, совмещающая в себе функции транслятора и компилятора. Пользователь вводит в нее с клавиатуры текст программы, написанной на определенном языке программирования, например, PHP, и сразу начинает ее использовать.

4.5. Исследовательская (тестовая) программа - программа, предназначенная для получения информации о входящих в состав ЭВМ, системы или сети ЭВМ компьютерных устройствах и их программном обеспечении (их состояние, технические характеристики, настройки, работоспособность, эффективность осуществления ими той или иной вычислительной операции и др.). Например, с помощью этих программ можно получить данные о файловой системе машинных носителей, их технических характеристиках, допустимый объем записи информации, объем реально записанной на них информации, разметки (характеристики форматирования), присвоенной метке тома, количестве сбойных кластеров (секторов), а также определить причину нарушения (сбоя) работы ЭВМ, системы или сети ЭВМ и конкретного компьютерного устройства, входящего в их состав. Эти программы широко используются как специалистами и экспертами в области программирования, в том числе судебными, для производства компьютерно-технических экспертиз, так и правонарушителями.

6. База данных - представленная в объективной форме совокупность самостоятельных материалов (статьи, расчеты, нормативные акты, судебные решения и иные подобные материалы), систематизированных таким образом, чтобы эти материалы могли быть найдены и обработаны с помощью ЭВМ (п.2 ст. 1260 ГК РФ). Как правило, для создания, организации и обработки компьютерной информации в форме базы данных используются специальные прикладные программы - системы управления базами данных (СУБД).

7. Электронная страница - документированная компьютерная информация, находящаяся в информационно-телекоммуникационной сети по определенному адресу, называемому «доменное имя». Иными словами, это электронный документ, который при обращении пользователя к определенной физической области компьютерной сети, обозначенной соответствующим доменным именем, автоматически формируется и отображается специально разработанной компьютерной программой. Эта программа состоит из организационно-упорядоченных и логически взаимосвязанных файлов, каждый из которых выполняет свою индивидуальную функцию. Электронные страницы могут содержать текстовую, графическую, звуковую, фотографическую информацию.

8. Сайт - организационно упорядоченные и логически взаимосвязанные электронные страницы, имеющие различные доменные имена.

Таким образом, уяснение основных терминов и изучение основных классификационных признаков компьютерных программ, позволит следователю, органу дознания более целенаправленно и тактически грамотно проводить следственные действия и оперативно-розыскные мероприятия, (допросы, опросы) лиц, совершивших компьютерные преступления.

2. Значение электронно-цифровых следов в раскрытии и расследовании компьютерных преступлений

«Сведения о следах, образующихся в связи с совершением преступлений,- писал еще в 1947 году , - занимают в криминалистике одно из наиболее значительных мест. В процессе развития криминалистики представление о следах все более и более расширяется благодаря появлению новых способов их изучения.

Несомненно, что дальнейшие открытия и изобретения позволят обнаруживать следы, пока недоступные современному криминалисту. С другой стороны, по мере улучшения методики и техники изучения следов уменьшается количество тех из них, которые до этого считались непригодными для каких-либо выводов»[9].

Как известно, с позиции теории отражения, подготовка, совершение и сокрытие любого преступления, в том числе компьютерного, как конкретного события, происходящего в материальном мире, всегда вызывают изменения в окружающей среде. Отражением преступных действий являются следы.

Следы и материальные носители являются объектом поиска, фиксации, изъятия, предварительного и судебно-экспертного исследования по уголовным делам, а также источником собираемой и используемой в уголовном судопроизводстве доказательственной информации.

Следы, образующиеся при использовании преступником в качестве средства совершения преступления компьютерной информации, в том числе для преступного воздействия на компьютерную информацию, которая является предметом преступного посягательства, есть важнейшая составная часть системы материально-фиксированных следов. Результаты их обнаружения и исследования играют решающую роль в выявлении, раскрытии, расследовании и предупреждении преступлений различных видов.

Как правильно отмечает в своих исследованиях , многие положения учения о следах (трасологии) и частной криминалистической теории о механизмах следообразования, показавшие свою значимость в течение длительного промежутка времени при расследовании общеуголовных преступлений, оказались малоэффективными при оперировании со специфическими следами, образующимися при совершении преступлений в сфере компьютерной информации[10].

В основе механизма следообразования при совершении компьютерного преступления всегда лежат электромагнитные взаимодействия. При этом между объектами следообразования отсутствует непосредственный механический контакт, поскольку изменение их внутренних свойств осуществляется с помощью электромагнитных сигналов и полей, имеющих конкретные материальные признаки: частоту, напряженность, направленность, время существования. Эти сигналы распространяются в окружающем пространстве, передаются по каналам электросвязи, фиксируются на магнитных и иных материальных носителях по определенным правилам, обусловленным той или иной электронно-цифровой системой кодирования сведений (сообщений, данных), которые в них содержатся. Так, поскольку файловая система представляет собой совокупность особых информационных единиц - файлов, специальных служебных таблиц (каталогов, таблицы разделов, загрузочных записей, таблиц размещения файлов) и кластеров, эти изменения могут касаться местоположения и содержимого файлов, формата и (или) характеристик файлов, создания или удаления файлов, изменения содержимого специальных служебных таблиц (каталогов, таблицы разделов, загрузочных записей, таблиц размещения файлов), а также состояния кластеров.

Вовлеченные в событие преступления объективные формы существования компьютерной информации лишены такой характеристики, как внешнее механическое строение. Подразделяясь на активные и пассивные (программы и данные соответственно), они взаимодействуют по алгоритмам, заложенным в активные объекты - компьютерные программы[11]. Алгоритм компьютерных программ, будучи полностью детерминированным, определяет характер и детали изменений, вносимых как в компьютерную информацию при воздействии на нее, так и в собственные данные программы. В этом смысле формат, содержание, иные особенности файла в каждый момент времени определяются суммой предыдущих воздействий программ на файл и являются своеобразным отображением особенностей алгоритмов этих программ.

Воздействие одной объективной формы существования компьютерной информации на другую может быть обнаружено по наблюдаемому различию между тремя известными их состояниями:

1) по признакам изменения их содержания, формата и других характеристик;

2) по изменению алгоритма работы программы;

3) по автоматически создаваемым компьютерной программой (негласно для пользователя) скрытым файлам, которые используются некоторыми программами и операционными системами для фиксации хода обработки компьютерной информации и ее восстановления на случай аварийного сбоя в работе компьютера или программного обеспечения.

Эти фиксируемые изменения и будут следами-отображениями, характеризующими результат взаимодействия. Поскольку состояние файла наблюдаемо, оценка полноты имеющегося следа-отображения практически малозначима. Благодаря детерминированности алгоритма, вызвавшего след-отображение, в большинстве случаев возможно однозначное определение причины возникновения следа-отображения и компьютерной программы, послужившей инструментом для создания наблюдаемых изменений.

Продолжая исследование и рассмотрение этого вопроса, необходимо отметить, что в криминалистическом учении о следах в зависимости от характера образования материальные следы подразделяют также на следы-предметы (части предметов). Под ними понимаются материальные объекты, возникновение, изменение которых связано с событием преступления. Они отражают материальные изменения, происходящие в обстановке места происшествия. К ним относятся орудия преступления, объекты преступного воздействия, части предметов, похищенные вещи и т. д.

Основываясь на результатах следственно-судебной практики, следами-предметами следует считать машинные носители информации, интегральные микросхемы и микроконтроллеры, ЭВМ, системы ЭВМ, сети ЭВМ. Помимо того, что в них содержится компьютерная информация, связанная с событием преступления, отдельные электронные модели этих предметов (за исключением машинных носителей) при работе излучают в окружающее пространство дополнительную криминалистически значимую компьютерную информацию, которая может быть дистанционно обнаружена и зафиксирована с помощью соответствующих радиоэлектронных или специальных технических средств. С позиций теории защиты информации это так называемые «побочные электромагнитные излучения и наводки», возникающие в результате обработки информации посредством электронных, оптикоэлектронных, электрических, электромеханических технических устройств: ЭВМ, монитора, принтера, сканера, дисковода и других. Эта информация может быть расшифрована (раскодирована) с помощью компьютерных программ, средствами электронно-вычислительной техники и представлена в том виде, который воспринимается человеком с целью использования в сфере уголовного судопроизводства.

Способы перехвата и расшифровки таких сигналов, распространяющихся по техническим каналам основных и вспомогательных средств, систем и сетей, давно известны как оперативно-техническим подразделениям субъектов ОРД, так и преступникам.

Лабораторные опыты показали, что наиболее мощные и достаточно легко расшифровывающиеся информативные сигналы исходят от работающих мониторов с электронно-лучевой трубкой, принтеров, сканеров, соединительных и электрических проводов, а также модемов. Так, например, монитор ЭВМ (ПК) излучает в окружающее пространство электромагнитные сигналы, которые могут быть перехвачены на расстоянии до 1000 метров. В этих целях используются обычные дипольная антенна и телевизор, имеющий частично доработанную электронную схему, либо специальное техническое средство, предназначенное (приспособленное, запрограммированное) для негласного получения информации с указанного канала связи.

Известный ученый-криминалист выделяет такие следы преступлений, как файлы, сигналы, машинные носители, ЭВМ и другие компьютерные устройства: системы ЭВМ; компьютерные сети и сети электросвязи; линии электросвязи; программы для ЭВМ, в том числе специализированные («хакерские»); постоянные и оперативные запоминающие устройства и изменения которые в них происходят; базы данных; изменения в файловой системе и операционной системе; электронные коды доступа в сеть ЭВМ.

Информационная сущность фиксации доказательств, находящихся в электронно-цифровой форме, будет заключатся в следующем:

1. Производится перекодировка доказательственной компьютерной информации, содержащейся на оригинальном материальном носителе, в форму, доступную для восприятия ее человеком, например, она отображается на экране (мониторе) компьютера или прослушивается как фонограмма.

2. Компьютерная информация изымается вместе с ее материальным носителем либо копируется на отличный от оригинала материальный носитель, когда его изъятие невозможно или нецелесообразно.

3. Обеспечивается сохранение доказательственной компьютерной информации для неоднократного ее использования в процессе доказывания.