💻 1. Понятие компьютерно-технической экспертизы базы данных 1С

Компьютерно-техническая экспертиза базы данных 1С представляет собой специальное исследование информационной базы, файлов, серверных компонентов, журналов регистрации, резервных копий и иных цифровых объектов, связанных с эксплуатацией программных продуктов семейства «1С:Предприятие». Цель такого исследования заключается в установлении фактического состояния базы данных, последовательности действий пользователей, признаков изменения или удаления информации, технических причин возникновения ошибок, а также возможности восстановления значимых сведений.

• Информационная база 1С нередко содержит практически полную цифровую модель хозяйственной деятельности организации. В ней отражаются документы реализации и поступления, банковские операции, кассовые документы, расчёты с контрагентами, сведения о заработной плате, складские остатки, производственные операции, налоговые регистры и бухгалтерская отчётность. Поэтому изменение данных в 1С способно непосредственно повлиять на финансовые показатели, размер задолженности, налоговые обязательства и содержание доказательств по судебному делу.
• При проведении экспертизы исследуется не только информация, отображаемая пользователю через интерфейс программы. Эксперт анализирует внутреннюю структуру базы, служебные таблицы, журналы событий, технологические файлы, параметры конфигурации, сведения о пользователях и правах доступа, метаданные файлов, резервные копии и следы взаимодействия с внешними системами.
• В зависимости от архитектуры информационная база может храниться в файловом режиме либо функционировать в клиент-серверном варианте. В файловом режиме основным объектом часто является файл 1Cv8.1CD. В клиент-серверной среде данные могут размещаться в СУБД Microsoft SQL Server, PostgreSQL или иной поддерживаемой системе управления базами данных. Методика исследования в этих случаях различается, поскольку способы хранения, журналирования и резервного копирования имеют существенные технические особенности.
• Компьютерно-техническая экспертиза не подменяет бухгалтерское или финансово-экономическое исследование. Компьютерный эксперт устанавливает, какие цифровые данные содержались в системе, когда и каким способом они изменялись, какими учётными записями могли быть выполнены действия, имеются ли признаки повреждения или вмешательства. Экономический смысл документов и правильность бухгалтерских расчётов при необходимости исследуются специалистом соответствующей экономической специальности.
• Экспертиза базы 1С может проводиться в рамках гражданского, арбитражного, административного или уголовного судопроизводства. Она востребована при корпоративных конфликтах, увольнении материально ответственных работников, спорах с бывшими бухгалтерами и системными администраторами, расследовании хищений, банкротстве, налоговых проверках и разбирательствах, связанных с уничтожением либо искажением электронных документов.
• Специалисты Союза «Федерация судебных экспертов» проводят судебные и внесудебные компьютерно-технические исследования информационных баз 1С, устанавливают техническое состояние базы, исследуют журналы регистрации, восстанавливают удалённые сведения и определяют признаки несанкционированного изменения цифровой информации.

⚖️ 2. Значение экспертизы базы 1С в судебном разбирательстве

В судебном споре стороны нередко представляют распечатки из программы 1С, оборотно-сальдовые ведомости, карточки счетов, акты сверки и электронные выгрузки. Однако распечатанный документ показывает только результат формирования отчёта на определённый момент времени. Он не позволяет самостоятельно установить, существовали ли соответствующие сведения в базе ранее, изменялись ли они после возникновения спора и каким пользователем выполнялись операции.

• Компьютерно-техническая экспертиза позволяет исследовать первичный цифровой источник. Эксперт может определить версию технологической платформы, конфигурацию, дату последнего изменения базы, перечень зарегистрированных пользователей, параметры доступа, наличие расширений и внешних обработок, а также технические особенности ведения информационной системы.
• Особое значение имеет установление хронологии действий. Например, документ может иметь дату хозяйственной операции за январь, но быть фактически создан в марте. В другом случае ранее проведённый документ может быть перепроведён, изменён или помечен на удаление после начала проверки. Дата документа и время его технической записи в систему не всегда совпадают, поэтому эксперт должен разграничивать эти характеристики.
• Исследование журнала регистрации позволяет получить сведения о входах пользователей, открытии сеансов, изменении объектов, выполнении административных операций и возникновении ошибок. Однако объём доступной информации зависит от настроек журналирования, периода хранения и действий администраторов. Если журнал очищался или велся в сокращённом режиме, эксперт обязан указать это как ограничение исследования.
• В арбитражных спорах экспертиза может подтвердить либо опровергнуть утверждение о том, что документы были внесены задним числом. При расследовании хищения исследование помогает установить, кто изменял сведения о товарных остатках, кассовых операциях или взаиморасчётах. В корпоративном конфликте анализ базы позволяет определить, удалялась ли информация перед передачей управления новому руководителю.
• Экспертное заключение приобретает доказательственное значение только при соблюдении требований к изъятию, копированию, хранению и исследованию цифровых объектов. Если база продолжала использоваться после возникновения спора, её содержимое могло изменяться автоматически в ходе обычной работы. Поэтому важно зафиксировать состояние носителя и базы на конкретную дату.
• Эксперт не решает вопрос о виновности пользователя и не устанавливает противоправность действий. Он отвечает на технические вопросы: какие изменения обнаружены, когда они могли быть выполнены, какой учётной записи соответствуют записи журнала, имеются ли следы удаления, возможно ли восстановление информации и согласуются ли представленные выгрузки с исследуемой базой.

🗄️ 3. Информационная база 1С как объект экспертного исследования

Информационная база 1С является совокупностью данных, метаданных и служебной информации, обеспечивающих работу прикладного решения. Она включает не только введённые пользователями документы и справочники, но и структуру конфигурации, регистры, настройки, права доступа, итоги, последовательности, фоновые задания и другие технологические элементы.

• В файловом варианте информационная база обычно представлена единым файлом 1Cv8.1CD, расположенным на локальном диске, сетевом ресурсе, внешнем накопителе либо в каталоге синхронизации. Несмотря на внешнюю целостность такого файла, внутри него содержится сложная структура таблиц и страниц данных. Неправильное копирование работающей базы может привести к получению логически несогласованного экземпляра.
• В клиент-серверном варианте база функционирует при участии сервера 1С и отдельной СУБД. В этом случае объектами исследования становятся резервные копии СУБД, файлы журналов транзакций, технологический журнал сервера 1С, настройки кластера, списки информационных баз, конфигурационные файлы и сведения операционной системы.
• Эксперт должен точно определить, какая копия базы является исследуемой. В организации могут одновременно существовать рабочая база, тестовая база, архивная копия, копия для сдачи отчётности и база, восстановленная из резервной копии. Их содержимое может существенно различаться.
• Наименование каталога или базы не подтверждает её назначение. Папка с названием «Рабочая» может фактически содержать архивную копию, а база с названием «Бухгалтерия» — быть тестовым экземпляром. Поэтому эксперт сопоставляет идентификаторы базы, структуру данных, период последних операций, сведения о пользователях и иные признаки.
• Важным свойством объекта является его изменяемость. Даже открытие базы определёнными инструментами, запуск регламентных заданий, тестирование и исправление либо обновление конфигурации могут изменить служебные данные. По этой причине исследование должно проводиться преимущественно на рабочей копии, созданной после фиксации контрольных значений исходного объекта.
• Если информационная база повреждена, эксперт оценивает характер повреждения и возможность извлечения данных. Повреждение может быть вызвано аварийным отключением питания, отказом диска, сетевым сбоем, ошибкой СУБД, действиями вредоносного программного обеспечения или некорректным вмешательством пользователя.

🎯 4. Основные цели компьютерно-технического исследования 1С

Одной из основных целей экспертизы является установление фактического состава и состояния информационной базы. Эксперт определяет тип базы, версию платформы, наименование и редакцию конфигурации, режим поддержки, наличие изменений типовой конфигурации и подключённых расширений.

Вторая цель заключается в выявлении признаков изменения учётных данных. Исследуется, создавались ли, редактировались, перепроводились, отменялись или удалялись документы, изменялись ли справочники, регистры и настройки, а также какие технические следы сохранились после соответствующих действий.

Отдельной задачей является установление времени событий. Эксперт сопоставляет даты документов, время изменения файлов, записи журнала регистрации, данные СУБД, системные журналы и резервные копии. При этом учитывается возможность изменения системного времени компьютера и различие часовых поясов.

Экспертиза может быть направлена на определение пользователя или учётной записи, связанной с конкретными действиями. Однако запись имени пользователя в журнале не всегда позволяет однозначно установить физическое лицо. Одной учётной записью могли пользоваться несколько работников, пароль мог быть передан третьему лицу, а подключение могло выполняться через удалённый рабочий стол.

Важной целью является восстановление удалённых либо недоступных данных. Эксперт может исследовать резервные копии, теневые копии, временные каталоги, выгрузки, файловую систему носителя, журналы транзакций и другие источники, в которых могли сохраниться прежние версии информации.

Также устанавливаются причины невозможности запуска базы, появления ошибок, расхождения данных между копиями и нарушения целостности. Эксперт разграничивает логические ошибки прикладного учёта, повреждение структуры базы и проблемы программно-аппаратной среды.

В некоторых случаях исследуется соответствие представленной электронной базы бумажным документам или ранее сформированным отчётам. Эксперт может установить, формируются ли из исследуемой базы документы с указанными реквизитами, имеются ли в ней соответствующие объекты и совпадают ли контрольные показатели.

📁 5. Какие материалы необходимо предоставить эксперту

Основным объектом является сама информационная база 1С. В файловом варианте предоставляется файл 1Cv8.1CD либо полный каталог базы. В клиент-серверном варианте необходима корректная резервная копия СУБД, позволяющая восстановить базу в исследовательской среде.

Желательно передавать не одну копию, а все доступные версии базы: текущую, архивные экземпляры, резервные копии за значимые даты и копии, находившиеся на рабочих компьютерах сотрудников. Сравнение нескольких состояний часто позволяет установить, какие объекты появились, исчезли или изменились.

Эксперту необходимы журналы регистрации 1С. Они могут храниться в отдельном каталоге файловой системы либо в другой форме в зависимости от версии и архитектуры системы. При изъятии важно сохранить всю структуру каталога, а не отдельные выбранные файлы.

При клиент-серверной работе предоставляются технологические журналы, журналы СУБД, сведения о кластере серверов, резервные копии конфигурации, настройки пользователей и доступные журналы операционной системы.

Полезными объектами являются файлы выгрузки в формате DT, архивы резервного копирования, файлы внешних обработок, расширения конфигурации, электронные таблицы и иные данные, импортировавшиеся в программу. Они позволяют проверить возможный источник массовых изменений.

Если спор связан с действиями конкретного работника, необходимо исследовать его рабочий компьютер, профиль пользователя, почтовую переписку, внешние накопители и сведения удалённого доступа. Иногда база не содержит достаточных данных для идентификации лица, но дополнительные цифровые следы позволяют восстановить общую картину.

Эксперту также предоставляются распечатки спорных документов, скриншоты, акты, отчёты, служебные записки, договоры на сопровождение, инструкции по резервному копированию и сведения о распределении прав доступа.

В постановлении или определении о назначении экспертизы следует точно указать исследуемый период, перечень объектов и обстоятельства спора. Формулировка «исследовать базу 1С» без конкретизации существенно затрудняет работу и может привести к чрезмерно общему заключению.

🔐 6. Правильное изъятие и фиксация информационной базы

Достоверность исследования во многом зависит от порядка получения цифрового объекта. Простое копирование файла базы на флеш-накопитель без документирования не позволяет исключить изменение данных до, во время или после копирования.

Перед изъятием желательно зафиксировать место хранения базы, путь к каталогу, имя сервера, сетевые подключения, состояние запущенных процессов и список активных пользователей. В клиент-серверной системе необходимо учитывать наличие незавершённых транзакций и работающих фоновых заданий.

Копирование файловой базы рекомендуется выполнять после завершения пользовательских сеансов и остановки операций записи. Если файл копируется во время активной работы, полученная копия может содержать несогласованные данные или не отражать завершённые транзакции.

Для клиент-серверной базы предпочтительно использовать штатные средства резервного копирования СУБД. Простое копирование файлов базы данных при работающем сервере без соблюдения требований СУБД может сделать копию непригодной для восстановления.

После получения объекта рассчитываются контрольные хеш-значения. Они позволяют подтвердить, что исследуемая копия соответствует зафиксированному исходному файлу. При каждом последующем копировании эксперт может проверить неизменность объекта.

В протоколе или акте следует указать дату, время, используемые устройства, программные средства, последовательность действий и лиц, присутствовавших при изъятии. Для серверной инфраструктуры полезно сохранить скриншоты административных консолей и сведения о конфигурации системы.

Исходный носитель по возможности не используется для непосредственного исследования. Эксперт создаёт копию, проверяет её контрольное значение и выполняет действия в изолированной среде. Это снижает риск изменения оригинала и обеспечивает воспроизводимость исследования.

Если база была передана без надлежащей фиксации, эксперт не обязан автоматически признавать её недостоверной. Однако в заключении должны быть отражены обстоятельства предоставления и невозможность исключить изменения, внесённые до поступления объекта на экспертизу.

🧩 7. Исследование конфигурации и структуры базы 1С

Конфигурация определяет прикладную логику информационной базы. Она содержит описание справочников, документов, регистров, отчётов, обработок, ролей, интерфейсов и программных модулей. Поэтому исследование конфигурации необходимо для понимания того, каким образом создаются, изменяются и отображаются данные.

Эксперт устанавливает, является ли конфигурация типовой или доработанной. В типовой конфигурации разработчиком предусмотрена стандартная логика, но даже она может быть изменена снятием с поддержки, подключением расширений или использованием внешних обработок.

Доработки могут влиять на порядок записи документов, проведение операций, формирование отчётов и ведение журналов. Например, программный код может автоматически изменять реквизиты, создавать дополнительные движения, скрывать отдельные элементы интерфейса или выполнять обмен с внешней системой.

Исследуется версия конфигурации и история обновлений. Изменение поведения программы иногда связано не с действиями пользователя, а с переходом на новую редакцию, обновлением релиза или исправлением ошибки разработчиком.

Особое внимание уделяется расширениям конфигурации. Они могут изменять стандартные формы и алгоритмы без непосредственного изменения основной конфигурации. Наличие расширения необходимо учитывать при воспроизведении спорной операции.

Эксперт анализирует роли и права доступа. Устанавливается, какие пользователи могли создавать, редактировать, удалять и проводить документы, использовать административные функции, запускать внешние обработки и изменять настройки.

При необходимости исследуются программные модули. Компьютерный эксперт может установить наличие алгоритмов массового изменения данных, прямых запросов, отключения проверок или иных технически значимых механизмов.

Однако оценка качества разработки и соответствия конфигурации хозяйственным требованиям не всегда входит в предмет судебной компьютерно-технической экспертизы. Вопросы должны быть связаны с конкретными обстоятельствами дела и проверяемыми техническими фактами.

🕒 8. Определение времени создания и изменения документов

Один из наиболее частых вопросов касается внесения документов задним числом. В системе 1С документ обычно имеет пользовательский реквизит «Дата», который определяет его положение в учётном периоде. Но эта дата может быть установлена вручную и не всегда отражает фактический момент создания объекта.

Для установления реального времени эксперт исследует дополнительные источники: журнал регистрации, внутренние версии объектов при наличии соответствующих механизмов, данные СУБД, резервные копии, метаданные файлов и связанные системные журналы.

Если документ датирован январём, но впервые появляется только в резервной копии за март, это может указывать на его создание после даты, указанной в самом документе. Однако вывод должен учитывать полноту и происхождение сравниваемых копий.

Перепроведение документа также способно изменить учётные итоги без изменения его основной даты. Пользователь может открыть ранее созданный документ, скорректировать сумму, номенклатуру или счёт учёта и провести его повторно.

Журнал регистрации может содержать событие изменения объекта с указанием времени и пользователя. Но детализация события зависит от настроек. Иногда журнал фиксирует факт изменения, но не сохраняет предыдущие значения реквизитов.

В клиент-серверной среде дополнительные сведения могут содержаться в журналах транзакций СУБД. Возможность их использования зависит от режима журналирования, наличия резервных копий и сохранности соответствующих файлов.

Эксперт должен учитывать системное время компьютера или сервера. Если оно было настроено неправильно либо изменялось, отображаемое время событий может не соответствовать фактическому времени. Для проверки сопоставляются независимые источники: журналы домена, сетевого оборудования, удалённого доступа и электронной почты.

Вывод о внесении данных задним числом формулируется только при наличии достаточной совокупности признаков. Само несовпадение даты документа с датой файла базы не является достаточным, поскольку файл изменяется при любой записи в информационную базу.

👤 9. Установление пользователей и анализ прав доступа

В информационной базе могут быть зарегистрированы отдельные пользователи с собственными именами, паролями и ролями. Эксперт устанавливает перечень учётных записей, их состояние, назначенные роли и доступные полномочия.

Журнал регистрации позволяет связать часть действий с конкретной учётной записью 1С. В нём могут содержаться сведения об успешной или неуспешной аутентификации, начале и завершении сеанса, изменении объектов и административных операциях.

Однако учётная запись не тождественна физическому лицу. Если пароль был известен нескольким сотрудникам или использовалась общая запись «Бухгалтер», технически достоверно установить конкретного исполнителя только по базе может быть невозможно.

Для уточнения исследуются имя компьютера, адрес подключения, параметры сеанса, журналы Windows, сведения доменной авторизации и программы удалённого доступа. Совокупность данных иногда позволяет связать сеанс с определённым рабочим местом.

Административные учётные записи требуют особого внимания. Пользователь с полными правами может изменять настройки, создавать новых пользователей, очищать журнал регистрации, запускать обработки и выполнять действия, недоступные обычному сотруднику.

Эксперт анализирует соответствие фактических полномочий должностным обязанностям. При этом он не делает правового вывода о законности предоставления доступа, а лишь устанавливает технический объём доступных функций.

Если учетная запись была удалена, её следы могут сохраняться в журналах, резервных копиях и связанных объектах. Сопоставление нескольких версий базы помогает установить время появления или исчезновения пользователя.

В заключении необходимо разграничивать установленный факт использования учётной записи и предположение о физическом лице. Категоричный вывод возможен только при наличии дополнительных идентифицирующих данных.

📝 10. Исследование журнала регистрации 1С

Журнал регистрации является одним из ключевых источников технической информации. Он предназначен для фиксации событий, происходящих в информационной базе: запусков и завершений сеансов, операций с объектами, ошибок, изменений конфигурации и административных действий.

Состав регистрируемых событий определяется настройками. В одной организации журнал может содержать подробные записи об изменении документов, в другой — только критические ошибки и события входа. Поэтому отсутствие записи не всегда означает отсутствие самого действия.

Эксперт устанавливает период, охватываемый журналом, его целостность и наличие разрывов. Резкое начало журнала с определённой даты может быть связано с вводом базы в эксплуатацию, переносом системы, очисткой старых данных или заменой каталога.

В записях анализируются дата и время, пользователь, приложение, компьютер, событие, статус транзакции и представление объекта. Эти сведения позволяют сформировать хронологию работы с интересующими документами.

Особое значение имеют события изменения, удаления, проведения и отмены проведения. Если настройки позволяли их фиксировать, эксперт может установить, какая учётная запись выполняла действие и когда оно произошло.

Исследуется возможность очистки или настройки журнала пользователем с административными правами. Сам факт отсутствия старых записей не доказывает намеренного уничтожения, поскольку журнал мог автоматически сокращаться в соответствии с политикой хранения.

При большом объёме данных эксперт выполняет фильтрацию по пользователям, периодам, видам событий и объектам. Используемые критерии отбора должны быть описаны в заключении, чтобы результаты можно было проверить.

Журнал регистрации не рассматривается изолированно. Его сведения сопоставляются с содержимым базы, резервными копиями, системными журналами и организационными документами.

🗑️ 11. Выявление и восстановление удалённых данных

Удаление данных в 1С может происходить в несколько этапов. Пользователь сначала помечает объект на удаление, после чего выполняется специальная операция удаления помеченных объектов. До окончательного удаления документ может сохраняться в базе и быть доступным для исследования.

Пометка на удаление не всегда означает, что объект фактически исчез из информационной базы. Эксперт проверяет его состояние, связи с другими объектами и возможность просмотра стандартными или специальными средствами.

После физического удаления восстановление зависит от архитектуры базы и последующих операций. Освобождённое пространство может быть перезаписано новыми данными, а структура базы — реорганизована.

Важнейшим источником становятся резервные копии. Если объект присутствовал в более раннем экземпляре базы, можно установить его содержание и сравнить с текущим состоянием. При наличии нескольких копий определяется промежуток времени, в котором произошло удаление.

В файловой системе могут сохраняться временные копии, теневые копии Windows, архивы, выгрузки DT и экземпляры базы на компьютерах пользователей. Эксперт исследует носители на предмет таких файлов.

В клиент-серверной среде могут использоваться резервные копии СУБД и журналы транзакций. Возможность точного восстановления зависит от настроек резервирования и сохранности цепочки журналов.

Эксперт должен избегать необоснованного обещания полного восстановления. Даже при наличии технических следов часть содержимого может быть утрачена или восстановлена только фрагментарно.

В заключении указывается, какие сведения восстановлены непосредственно, какие получены из резервной копии, а какие реконструированы путём сопоставления связанных данных. Предположительные результаты должны быть отделены от достоверно установленных фактов.

🔄 12. Сравнение нескольких копий информационной базы

Сравнительное исследование является одним из наиболее эффективных способов выявления изменений. Эксперту предоставляются базы, созданные или сохранённые в разные даты, после чего анализируется их структура и содержимое.

Сначала устанавливается происхождение каждой копии. Наименование файла и дата в свойствах операционной системы не всегда достоверны, поскольку файл мог быть перемещён, скопирован или переименован.

Эксперт сравнивает версии платформы и конфигурации, состав пользователей, документы, справочники, регистры и контрольные показатели. Различия классифицируются по времени и характеру.

Если документ присутствует в ранней копии, но отсутствует в поздней, исследуется возможность его удаления. Если документ появляется только в поздней копии с датой более раннего периода, это может указывать на последующее внесение.

Сравнение оборотов, остатков и количества объектов позволяет выявить массовые изменения. Например, изменение большого числа документов за короткий промежуток может быть связано с обработкой, обменом или перепроведением.

При сравнении необходимо учитывать штатные процессы. Обновление конфигурации, закрытие месяца, регламентные задания и пересчёт итогов могут изменить значительный объём служебных данных без прямого вмешательства в первичные документы.

Результаты удобно представлять в таблицах: идентификатор объекта, его реквизиты в каждой копии, дата появления, дата исчезновения и связанные события журнала.

Компьютерный эксперт устанавливает технические различия. Оценка того, повлияли ли они на размер задолженности или бухгалтерскую отчётность, может потребовать комплексного исследования с участием эксперта-экономиста.

🔧 13. Определение причин повреждения базы 1С

Повреждение базы может проявляться невозможностью запуска, аварийным завершением работы, ошибками чтения таблиц, нарушением итогов, исчезновением документов или некорректным формированием отчётов.

Эксперт устанавливает, относится ли проблема к самой информационной базе, конфигурации, платформе, СУБД, операционной системе или аппаратному обеспечению. Одинаковое сообщение об ошибке может иметь разные причины.

В файловом варианте риск повреждения повышается при работе через нестабильное сетевое соединение, аварийном отключении питания, одновременном доступе при ошибках файловой системы и недостатке свободного места.

В клиент-серверной системе исследуются журналы СУБД и сервера 1С. Причиной могут быть сбои дисковой подсистемы, некорректное завершение транзакции, нехватка ресурсов, ошибки администрирования или повреждение резервной копии.

Проверяется состояние носителя. Наличие дефектных секторов, ошибок файловой системы и признаков аппаратного отказа может объяснять повреждение файла базы. При этом эксперт должен установить не только наличие неисправности, но и её возможную связь с исследуемыми последствиями.

Отдельно анализируются действия пользователей. Запуск нештатных обработок, прямое редактирование таблиц СУБД, принудительное завершение процессов и некорректное восстановление из копии способны нарушить целостность данных.

Штатные процедуры тестирования и исправления могут устранить часть ошибок, но одновременно изменить структуру базы. Поэтому перед их запуском создаётся копия исходного состояния, а все действия документируются.

Вывод может быть категоричным, вероятностным либо указывать на несколько технически возможных причин. Категоричность зависит от сохранности журналов и достаточности материалов.

🌐 14. Исследование обменов, синхронизаций и внешних обработок

Современная база 1С часто взаимодействует с интернет-банком, сайтом, системой электронного документооборота, складским оборудованием, CRM, маркетплейсами и другими информационными системами.

Часть данных может создаваться не вручную, а автоматически в результате обмена. Поэтому при обнаружении массовых изменений необходимо определить источник: действия пользователя, регламентное задание, внешняя обработка или синхронизация.

Эксперт исследует планы обмена, настройки подключений, фоновые задания, журналы обмена, файлы загрузки и программные модули. Устанавливаются периоды запуска и перечень объектов, которые могли изменяться.

Внешняя обработка может выполнять массовое создание, изменение, проведение или удаление документов. Если такая обработка сохранилась, анализируется её программная логика и соответствие обнаруженным изменениям.

При обмене между несколькими базами один и тот же документ может существовать в различных вариантах. Конфликт синхронизации способен привести к перезаписи реквизитов или повторному созданию объекта.

Эксперт проверяет идентификаторы объектов и правила сопоставления. Простое совпадение номера и даты не всегда означает, что речь идёт об одном и том же объекте.

Если спор связан с импортом банковских операций, исследуются исходные файлы, дата загрузки, правила распознавания и действия пользователя после импорта. Ошибка может возникнуть как во внешнем файле, так и при обработке данных внутри 1С.

В заключении указывается технический механизм появления информации. Правовая ответственность за использование конкретной обработки или организацию обмена определяется судом.

🔍 15. Выявление признаков несанкционированного вмешательства

Несанкционированным с технической точки зрения может рассматриваться использование чужой учётной записи, обход установленных ограничений, применение административных инструментов, прямое изменение таблиц или запуск неразрешённой обработки.

Эксперт ищет совокупность следов: необычные входы, подключения с нетипичных компьютеров, изменения прав, создание новых пользователей, отключение журналирования, массовые операции и использование внешних файлов.

Особое внимание уделяется времени событий. Действия ночью, в выходной день или после увольнения сотрудника могут иметь значение, но сами по себе не доказывают несанкционированный характер.

Проверяются журналы удалённого доступа. Пользователь мог подключиться к рабочему компьютеру через RDP, VPN или специализированную программу, после чего работать в 1С под сохранённой учётной записью.

При прямом вмешательстве в СУБД изменения могут не отражаться в обычном журнале регистрации 1С. Тогда анализируются журналы СУБД, учетные записи администраторов и история выполнения запросов, если она сохранялась.

В файловой базе исследуются копии файла, следы запуска специальных утилит, временные файлы и действия с каталогом. Изменение контрольного значения подтверждает изменение файла, но не раскрывает его содержание.

Эксперт должен учитывать законные административные работы: обновление, восстановление, перенос, исправление и техническое обслуживание. Они также могут создавать необычные записи.

Вывод обычно формулируется как наличие или отсутствие технических признаков конкретных действий. Юридическое понятие несанкционированного доступа и виновность лица находятся вне компетенции компьютерного эксперта.

📊 16. Комплексное исследование 1С с бухгалтерской экспертизой

Во многих делах одного компьютерно-технического исследования недостаточно. Технический эксперт может установить, что документ изменён, но не всегда оценивает влияние изменения на бухгалтерский баланс, налоговую базу или задолженность.

При комплексной экспертизе компьютерный эксперт восстанавливает цифровые факты, а эксперт-экономист анализирует их финансовое содержание. Такое разделение обеспечивает соблюдение границ специальных знаний.

Например, компьютерный эксперт устанавливает, что документы реализации были перепроведены определённой учётной записью в конкретный период. Бухгалтерский эксперт определяет, как это повлияло на выручку, дебиторскую задолженность и налоги.

При исследовании складских операций технический специалист выявляет удалённые документы и версии базы. Экономист рассчитывает фактическое изменение товарных остатков и сумму недостачи.

Важно согласовать исходные данные. Экономические расчёты должны выполняться по той версии информации, происхождение и состояние которой установлены компьютерным исследованием.

Комплексная экспертиза особенно эффективна при корпоративных конфликтах, банкротстве, налоговых спорах и расследовании хищений, где цифровые изменения непосредственно связаны с финансовыми последствиями.

Вопросы формулируются раздельно. Компьютерному эксперту задаются вопросы о времени, способе и пользователях изменений. Экономическому — о сумме, структуре и влиянии операций.

Итоговое заключение может содержать совместные выводы, если они требуют интеграции знаний. При этом каждый эксперт несёт ответственность в пределах своей компетенции.

❓ 17. Вопросы, разрешаемые экспертизой базы данных 1С

Перед экспертом может быть поставлен вопрос: является ли предоставленный файл информационной базой 1С, доступен ли он для исследования и каковы его основные технические характеристики?

Можно установить, какая конфигурация и версия платформы использовались, является ли конфигурация типовой или изменённой, имеются ли расширения и внешние обработки.

Эксперт может определить, содержатся ли в базе конкретные документы, справочники, регистры или иные объекты с указанными реквизитами.

Возможен вопрос о наличии технических признаков создания, изменения, перепроведения, пометки на удаление или удаления определённых объектов.

Эксперт устанавливает, какие записи журнала регистрации относятся к спорным документам и каким учётным записям соответствуют действия.

Можно исследовать, имеются ли различия между двумя или несколькими копиями базы и в чём они выражаются.

Разрешается вопрос о возможности восстановления удалённых данных, а также о том, какие сведения удалось восстановить.

Эксперт может определить техническую причину невозможности запуска базы или повреждения отдельных данных при достаточности материалов.

Допустим вопрос о наличии признаков массового изменения информации с использованием обработки, обмена или административных средств.

Не следует ставить вопрос: «Кто виновен в удалении базы?» Корректнее спросить, какой учётной записью выполнены действия, с какого компьютера осуществлялось подключение и какие технические следы сохранились.

Нельзя поручать компьютерному эксперту определение размера ущерба, правильности бухгалтерского учёта или законности операций, если он не обладает соответствующей дополнительной экспертной специальностью.

⚠️ 18. Типичные ошибки при назначении экспертизы

Первая ошибка — передача только выгрузок отчётов вместо самой информационной базы. Отчёт не содержит всех технических данных и не позволяет исследовать историю изменений.

Вторая ошибка — копирование работающей файловой базы без завершения сеансов. Полученный файл может оказаться повреждённым или логически несогласованным.

Третья ошибка — отсутствие контрольных хеш-значений и описания происхождения объекта. В результате невозможно подтвердить неизменность базы после изъятия.

Четвёртая ошибка — предоставление одной базы при наличии нескольких копий. Без резервных экземпляров может быть невозможно установить время появления или удаления документов.

Пятая ошибка — непредоставление журнала регистрации. Если он хранился отдельно, копирование только файла 1Cv8.1CD не обеспечивает полного исследования.

Шестая ошибка — продолжение активной работы в спорной базе после возникновения конфликта. Новые записи могут изменить служебные данные и затруднить реконструкцию прежнего состояния.

Седьмая ошибка — постановка правовых вопросов. Эксперт не определяет виновность, умысел, незаконность доступа или подложность документа в юридическом смысле.

Восьмая ошибка — отождествление учётной записи с конкретным сотрудником без исследования рабочих мест и журналов авторизации.

Девятая ошибка — запуск тестирования и исправления до экспертного копирования. Процедура может изменить исследуемый объект и удалить часть технических следов.

Десятая ошибка — отсутствие точного периода и перечня спорных объектов. При базе, содержащей миллионы записей, общий вопрос делает исследование чрезмерно объёмным и менее результативным.

🧪 19. Практические примеры компьютерно-технической экспертизы базы 1С

🔹 Кейс 1. Установление внесения документов реализации задним числом

После смены главного бухгалтера руководство организации обнаружило значительное увеличение дебиторской задолженности за предыдущий год. В базе 1С находились документы реализации, датированные декабрём, однако контрагенты отрицали получение товаров. Возникло предположение, что документы были внесены значительно позднее для искусственного изменения финансовых показателей.

На экспертизу предоставили текущую файловую базу, две резервные копии, журнал регистрации, рабочий компьютер бывшего бухгалтера и распечатки спорных документов. Эксперт сначала создал побитовые копии носителей, рассчитал контрольные значения и развернул базы в изолированной среде.

Были установлены версии платформы и конфигурации, идентификаторы информационных баз и периоды последних операций. Сравнение показало, что в резервной копии, созданной в январе, спорные документы отсутствовали. В копии за март они уже содержались, хотя имели даты декабря предыдущего года.

В журнале регистрации обнаружены события создания и проведения соответствующих документов в феврале. Действия выполнялись под учётной записью бывшего главного бухгалтера. Дополнительно были выявлены входы с рабочего компьютера этого сотрудника.

Эксперт исследовал конфигурацию и установил, что пользователь с соответствующей ролью имел право изменять дату документа и проводить операции за закрытый период после снятия запрета редактирования.

На рабочем компьютере сохранился файл электронной таблицы со списком контрагентов, сумм и дат, совпадавших с реквизитами позднее созданных документов. Метаданные файла указывали на его редактирование незадолго до массового ввода данных.

В результате эксперт пришёл к выводу, что спорные документы отсутствовали в базе на дату ранней резервной копии и были созданы позднее под конкретной учётной записью. Указанная в документах хозяйственная дата не соответствовала времени их технического создания.

Вопрос о достоверности хозяйственных операций и размере финансовых последствий был передан эксперту-экономисту. Компьютерно-техническое заключение обеспечило цифровую основу для последующего расчёта и судебной оценки.

🔹 Кейс 2. Исследование удаления складских документов перед увольнением сотрудника

После увольнения заведующего складом организация выявила расхождение между фактическими остатками и данными учётной системы. В базе отсутствовали некоторые документы списания и перемещения, которые ранее фигурировали в распечатках внутреннего контроля.

Эксперту предоставили клиент-серверную базу, резервные копии СУБД, журналы регистрации, сведения доменной авторизации и образ рабочего ноутбука бывшего сотрудника.

На первом этапе была восстановлена база из резервной копии, созданной за неделю до увольнения. В ней обнаружены документы перемещения товаров между складами, отсутствовавшие в текущем экземпляре.

Сравнение идентификаторов показало, что речь шла именно об удалённых объектах, а не о документах с совпадающими номерами. В журнале регистрации содержались события пометки на удаление и последующего удаления объектов.

Действия выполнялись под учётной записью администратора 1С. Формально эта запись принадлежала системному администратору, однако анализ журналов удалённого рабочего стола показал подключение с ноутбука заведующего складом к компьютеру администратора в соответствующее время.

На ноутбуке обнаружились сохранённые параметры подключения и переписка, в которой обсуждалась возможность «очистить старые перемещения». Эксперт не давал правовую оценку переписке, но использовал цифровые данные для сопоставления времени событий.

Было установлено, что удаление происходило не одновременно, а в течение нескольких сеансов. После удаления выполнялась регламентная операция, в результате которой объекты окончательно исчезли из текущей базы.

Эксперт восстановил реквизиты документов из резервной копии: номенклатуру, количество, склады отправления и получения, даты и ответственных лиц. Результаты были переданы бухгалтерскому эксперту для расчёта влияния на остатки.

Вывод подтвердил факт наличия документов в более раннем состоянии базы, их последующую пометку и окончательное удаление под административной учётной записью, а также связь соответствующих сеансов с определённым рабочим устройством.

🔹 Кейс 3. Определение причины повреждения файловой базы

Небольшая торговая организация хранила файловую базу 1С на сетевом диске. После аварийного отключения электроэнергии база перестала запускаться, а часть пользователей утверждала, что незадолго до сбоя системный администратор выполнял обновление.

На исследование поступили файл базы, образ сетевого накопителя, журналы операционной системы, источник бесперебойного питания и резервные копии.

Эксперт зафиксировал контрольные значения и выполнил исследование копии. Анализ показал нарушение внутренней структуры нескольких страниц данных. Файл имел признаки незавершённой операции записи.

В журналах сервера были обнаружены сообщения о внезапной потере питания. В тот же период сетевой накопитель зарегистрировал ошибки файловой системы и повторные попытки записи.

Исследование установочных журналов не подтвердило обновление платформы или конфигурации в спорное время. Последнее обновление было завершено несколькими днями ранее.

На диске выявили нестабильные сектора в области размещения файла базы. При этом более ранняя резервная копия восстанавливалась и запускалась без ошибок.

Эксперт выполнил извлечение доступных данных из повреждённой копии и сравнил их с резервной. Часть документов, созданных после последнего резервного копирования, удалось восстановить, но некоторые фрагменты оказались перезаписаны.

В заключении было указано, что наиболее вероятной причиной повреждения являлось аварийное прерывание записи при одновременных ошибках дисковой подсистемы. Технических признаков того, что повреждение возникло вследствие обновления, не обнаружено.

Организации также были даны рекомендации по раздельному хранению резервных копий, использованию корректного завершения сеансов и переходу на более устойчивую клиент-серверную архитектуру.

🔹 Кейс 4. Массовое изменение банковских документов внешней обработкой

В ходе налогового спора организация заявила, что часть назначений платежей и счетов учёта была изменена не бухгалтером, а автоматически после загрузки обновлённой банковской обработки.

На экспертизу поступили две копии базы, файл внешней обработки, журнал регистрации, файлы обмена с банком и переписка с обслуживающей IT-компанией.

Эксперт установил, что между двумя копиями изменились реквизиты нескольких сотен банковских документов. Изменения были выполнены в течение короткого периода.

Журнал регистрации показывал массовую запись объектов под служебной учётной записью. В это время пользовательский интерфейс обычного бухгалтера не использовался, но было запущено фоновое задание.

Анализ внешней обработки выявил алгоритм, который при совпадении определённых ключевых слов автоматически заменял статью движения денежных средств и счёт расчётов. В одной из версий обработки условие было сформулировано слишком широко.

Эксперт воспроизвёл работу обработки на тестовой копии. Полученные изменения совпали с обнаруженными в спорной базе по перечню документов и значениям реквизитов.

Переписка подтверждала передачу новой версии обработки в день массового изменения. Однако эксперт не оценивал договорную ответственность разработчика.

Было установлено, что изменения технически могли возникнуть в результате запуска конкретной обработки и не требовали ручного редактирования каждого документа.

Экономический эксперт впоследствии определил, какие отчёты и показатели были затронуты. Компьютерно-техническая часть позволила установить механизм изменения и исключить версию о последовательном ручном вводе.

🔹 Кейс 5. Корпоративный конфликт и сравнение копий базы

После смены собственника компании прежнее руководство передало новую базу 1С, заявив, что она полностью соответствует рабочей системе. Новый собственник обнаружил отсутствие части договоров, документов реализации и сведений о взаиморасчётах.

Эксперту предоставили переданную базу, копию с резервного сервера, образ ноутбука бывшего директора, архивы облачного хранилища и журналы доступа.

Исследование показало, что переданная база была создана путём копирования более раннего экземпляра. В ней отсутствовали операции за последние четыре месяца, хотя дата файла была свежей.

В свойствах информационной базы и последовательности документов обнаружились признаки того, что рабочие операции завершались значительно раньше заявленной даты. При этом база с резервного сервера содержала полный период.

На ноутбуке бывшего директора нашли архив с отдельной копией базы. В ней часть документов была помечена на удаление, а справочник контрагентов содержал изменённые наименования.

Журналы облачного хранилища показали загрузку архивов непосредственно перед передачей базы новому руководству. Сравнение контрольных значений подтвердило, что переданный файл соответствовал одному из этих архивов.

Эксперт сформировал перечень отсутствующих документов и установил, что они сохранялись в полной серверной копии. Также были выявлены различия в пользователях, настройках обмена и правах доступа.

Техническое исследование позволило сделать вывод, что переданная база не являлась актуальным полным экземпляром рабочей информационной системы на дату передачи.

Дальнейшая бухгалтерская экспертиза определила финансовое значение отсутствующих документов. Суд оценивал действия бывшего руководства с учётом обоих заключений и других доказательств.

🏁 20. Экспертное заключение и его доказательственное значение

По результатам исследования составляется письменное экспертное заключение. В нём указываются основания проведения экспертизы, сведения об эксперте, поставленные вопросы, перечень объектов и материалы дела.

В исследовательской части подробно описывается способ получения и копирования базы, контрольные хеш-значения, используемое программное обеспечение, версия платформы и конфигурации, а также последовательность выполненных действий.

Эксперт указывает, в каком состоянии поступил объект, запускается ли база, имеются ли повреждения, какие журналы доступны и за какой период они содержат информацию.

При исследовании нескольких копий описываются критерии их сопоставления. Для каждого значимого объекта могут приводиться идентификатор, реквизиты, наличие в копиях и связанные события журнала.

Если анализировались действия пользователей, указываются имена учётных записей, параметры сеансов, компьютеры и временные интервалы. Одновременно оговаривается, позволяет ли совокупность данных идентифицировать физическое лицо.

При восстановлении удалённой информации описывается источник каждого результата: текущая база, резервная копия, журнал транзакций, файловая система или иной цифровой объект.

Все ограничения должны быть отражены отдельно. К ним относятся отсутствие журнала регистрации, неполные резервные копии, продолжение работы в базе, неизвестное происхождение файла и невозможность проверить системное время.

Выводы формулируются конкретно. Вместо общей фразы «база была изменена» указывается, какие объекты изменились, когда обнаружены соответствующие события, под какой учётной записью они выполнялись и какими цифровыми данными подтверждаются.

Экспертное заключение может использоваться при доказывании факта изменения или удаления документов, установлении технической хронологии, проверке достоверности переданной базы, расследовании инцидента и восстановлении цифровой информации.

Компьютерно-техническая экспертиза базы 1С особенно эффективна при своевременном изъятии объектов. Чем дольше система продолжает работать после спорного события, тем выше вероятность перезаписи журналов, изменения служебных данных и утраты резервных копий.

Специалисты Союза «Федерация судебных экспертов» проводят комплексные компьютерно-технические исследования информационных баз 1С, анализируют файловые и клиент-серверные системы, исследуют журналы регистрации, устанавливают хронологию действий пользователей, выявляют признаки изменения и удаления данных, сравнивают резервные копии и восстанавливают доступную цифровую информацию.

Полную контактную информацию, телефон и адрес офиса, а также дополнительные сведения по вопросам проведения компьютерно-технической экспертизы базы данных 1С можно найти на официальном сайте 🔴 https://krimexpert.ru