Проведение компьютерной экспертизы должно осуществляться (в идеале) специалистом широкого профиля, который имеет широкие познания не только в области компьютерного «железа», но и в других, смежных областях – способах передачи и хранения информации, способах шифрования данных и информации, способах сокрытия и использования определенных данных, способах получения доступа и т.д. Повторим – в идеале, это должен быть эксперт, обладающий обширными знаниями в области IT и web. Это обусловлено тем, что сегодня появляется все больше людей, знания которых выходят за пределы обывательских – это означает, что для составления правильного заключения по результатам проведения КТЭ/СКТЭ, необходимо иметь или такие же, или куда большие познания.

Как правило, экспертам задаются следующие вопросы:

1. Поиск информации – предусматривает поиск данных на ПК, которые относятся к предмету рассмотрения дела. При вопросах экспертам необходима конкретизация, что именно необходимо найти – медиафайлы, текстовые файлы, информация по почтовой переписке и т.д. Чем больше начальных данных вы предоставите эксперту, тем скорее он найдет искомый предмет.
2. Следы. Любой ПК оставляет за собой следы деятельности – это и логи, и кэш браузеров, и куки, и данные паролей/логинов, и IP-адреса, и MAC-адреса, и данные о языке/разрешении монитора/операционной системе, и данные о провайдере и т.д. Эксперт, при необходимости, может дать ответы на большее количество вопросов. Задавайте конкретные вопросы – например, не «У меня сняли деньги с карты через интернет-банкинг, это было сделано с этого ПК?», а «Есть ли следы (сочетания логинов/паролей, истории, антифрод-данных), свидетельствующие о входе с данного ПК в мой интернет-банкинг?».
3. Программы. Для того, чтобы найти вредоносное ПО (как в сети Интернет, так и на носителе), которое использовалось в противоправных целях, должна проводиться техническая экспертиза компьютерной техники и информационная экспертиза. Первая поможет найти ПО, а после изучить его под отладкой, исследовать структуру, а вторая – определить взаимосвязь между ПО и его использованием в Интернете.
4. Время и поведение пользователя. У каждого ПК есть своё время, с помощью которого можно отследить деятельность пользователя во временных рамках. То же касается и поведения пользователя – ПК и, в особенности, Интернет содержит все сведения о деятельности пользователя. В данном случае может применяться аппаратно компьютерная экспертиза и информационно-компьютерная экспертиза.

Напоследок отметим, что компьютерные эксперты не рассматривают вопросы о стоимости ПО, о правомерности действий, которые совершались с устройства, а также не занимаются переводами текстов и данных, которые были обнаружены при работе с объектом.