Поиск без границ: Продвинутые техники OSINT для работы и расследований

Упражнение второе. Подберите источник под каждую фразу

Возьмите четыре утверждения: «организация существует», «организация участвовала в закупке», «контракт заключён», «товар принят заказчиком». Для каждого назовите источник, который непосредственно относится к проверяемому факту, и источник, который поможет найти или уточнить сведения, но не должен быть единственным основанием вывода.

Затем укажите, чего выбранный источник не подтверждает. Например, реестр юридических лиц поможет сверить организацию, но не подтвердит исполнение контракта. Публикация заказчика может содержать сведения о приёмке, однако нужно проверить, к какому контракту и периоду она относится. Такое уточнение защищает от слишком широких выводов.

Частая ошибка — выбирать источник по удобству, а не по предмету утверждения. Другая — считать официальный статус источника достаточным основанием для любого вывода. У официального документа тоже есть границы: он подтверждает то, что в нём зафиксировано, а не все предположения, которые можно с этим связать.

Порядок поиска и журнал

План становится рабочим, когда задаёт последовательность действий. Сначала проверяют рамки: точно ли сформулирован вопрос, определён ли период, допустимы ли выбранные источники, не собираются ли лишние сведения. Затем проводят первичную проверку: выясняют, существует ли объект поиска, совпадают ли его основные реквизиты и есть ли очевидный официальный источник. После этого изучают первичные документы по критическим утверждениям и сверяют их с независимыми или дополняющими источниками. В конце ищут только те пробелы, которые ещё способны изменить вывод.

Такая последовательность не даёт слишком рано погрузиться в детали, пока не ясно, относится ли найденная организация или публикация к нужному объекту. Она помогает и избежать обратной ошибки: начинать сложный поиск, хотя основной факт уже подтверждён доступным первичным документом. Углубляться стоит из-за конкретной неизвестной, а не просто по привычке открывать новые вкладки.

Предусмотрите в плане и переходы между этапами. Если первичная проверка не находит нужный объект, не нужно бесконечно менять написание названия. Проверьте разумные варианты идентификаторов, период и охват источника, зафиксируйте результат, а затем решите, меняет ли он ответ. Если объект найден, но документ не подтверждает исполнение, следующий шаг — поиск сведений о приёмке, а не расширение общего поиска по организации.

Журнал запросов и решений делает работу воспроизводимой. Он показывает, что именно проверяли, когда, зачем и к какому решению пришли. Одного списка ссылок недостаточно: через неделю страница может обновиться, а другой исследователь не поймёт, какие параметры применялись и почему результат сочли значимым.

Для каждой существенной проверки записывайте дату и время, источник или сервис, точный запрос с идентификаторами и фильтрами, цель поиска, результат — в том числе отсутствие результата, — ссылку или реквизиты документа, ограничения источника, принятое решение и следующий шаг. Если зафиксировали вывод, укажите, на чём он основан. Для найденного документа сохраните название, дату, автора или орган, реквизиты и место публикации. Для изменяемых страниц оставьте достаточно сведений, чтобы позднее можно было понять, какую версию вы изучали. При этом соблюдайте правила хранения материалов и не обходите ограничения доступа.

Запись «проверено в интернете, ничего нет» невозможно воспроизвести. Запись «в ЕИС проверены карточки по идентификатору заказчика и названию поставщика за указанный период; совпадающий контракт не найден; возможные варианты наименования проверены; охват и ограничения источника отмечены» куда полезнее. Она не превращает отсутствие результата в доказанный факт, но показывает границы проверки.

Не менее важен журнал решений. В нём отмечают, почему выбрали конкретный источник, исключили один из вариантов поиска, признали найденную информацию не относящейся к вопросу или остановили работу. Такие записи помогают не повторять одни и те же действия и отличать новое свидетельство от очередного пересказа уже известного.

Журнал тоже подчиняется принципу минимизации. Не копируйте туда персональные сведения «на всякий случай», если они не нужны для задачи. Не размещайте рабочие материалы в общедоступных местах и не открывайте к ним доступ всей команде без необходимости. Если для использования найденных данных требуется отдельное разрешение или они выходят за согласованные рамки, план должен предписывать остановиться и уточнить полномочия, а не искать обходной путь.

Даже в небольшой команде полезно распределить несколько функций. Заказчик или ответственный за задачу уточняет, какое решение должен поддержать результат и какие ограничения действуют. Ведущий исследования утверждает план, следит за границами и при необходимости меняет приоритеты. Аналитик проводит поиск и ведёт записи. Проверяющий независимо оценивает ключевые выводы и соответствие источников утверждениям.

В небольшой группе один человек может совмещать эти функции, но существенные выводы лучше проверять ещё раз — желательно другим участником. Тот, кто нашёл документ, часто замечает подтверждающие детали, но может упустить ограничение, очевидное для стороннего читателя.

Распределение ролей не означает, что всем нужно видеть все материалы. Ответственному за задачу может быть достаточно итогового вывода и его обоснования, без доступа к каждому промежуточному файлу. Материалы предоставляют тем, кому они нужны для работы. Если в исследовании участвуют пользователь, администратор и аналитик, каждый должен понимать, какие данные ему требуются, где они хранятся и кто отвечает за их передачу. Это не бюрократия, а способ избежать случайного распространения рабочих материалов.

Упражнение третье. Проведите одну проверку по журналу

Выберите одно утверждение из карты и заполните запись до начала поиска. Укажите цель запроса, источник, точные параметры и ожидаемый результат. После проверки добавьте фактический результат и его ограничение: что найденное подтверждает, а чего не позволяет утверждать. В завершение примите решение — продолжить поиск, остановиться или уточнить задачу.

Для передачи результата пригодятся короткие формулировки, которые удерживают границы вывода: «Доступные документы подтверждают заключение контракта, но не позволяют установить факт приёмки». «В указанном источнике по заданным реквизитам запись не обнаружена; это не исключает наличия сведений в других источниках». «Чтобы сделать вывод об исполнении, требуется отдельное подтверждение, которого в проверенных материалах нет». Такие формулировки не маскируют неопределённость и показывают, какой пробел остался.

Одна из частых ошибок — вести журнал только для найденных материалов, не записывая неудачные запросы и исключённые версии. Тогда поиск нельзя воспроизвести, а команда рискует повторять уже пройденные шаги. Другая ошибка — сохранять множество файлов, не связывая их с конкретными утверждениями. У каждого рабочего материала должно быть назначение: к какому пункту карты он относится и как может повлиять на ответ.

Когда информации достаточно

Критерий достаточности зависит от того, насколько широк вывод. Для узкого факта иногда хватает одного надёжного первичного документа, если он прямо фиксирует нужное событие и существенных противоречий нет. Для спорного или значимого утверждения может понадобиться независимое подтверждение. Универсального правила «всегда нужны два источника» не существует: два пересказа одного сообщения не дают независимой проверки, а одного документа, фиксирующего юридически значимое действие, может быть достаточно именно для подтверждения этого действия.

Перед завершением проверьте четыре вещи: относится ли источник к утверждению; касаются ли данные нужного лица, события и периода; выявлены ли существенные противоречия и разрешены ли они или отражены в выводе; не шире ли формулировка, чем подтверждающие её доказательства. Если документ подтверждает заключение контракта, итог должен говорить о заключении, а не об успешном исполнении или качестве поставки.

Остановиться можно не только в конце всего исследования, но и по отдельному пункту карты. Проверку прекращают, когда критерий выполнен, когда следующий шаг уже не способен изменить вывод или когда поиск выходит за допустимые рамки. Если публикации разных лет расходятся в реквизитах, может понадобиться дополнительная проверка. Если выяснилось, что расхождение не относится к задаче и не меняет итог, достаточно описать его как ограничение. А если нужных сведений нет в открытых источниках, нельзя компенсировать это сомнительным сбором данных.

Условный пример показывает, почему досрочная остановка не означает поверхностной работы. Если вопрос звучал «заключался ли контракт на оборудование?», а официальный документ однозначно подтверждает стороны, предмет и дату, критическое утверждение закрыто. Если дальнейший поиск по публикациям и пересказам не способен изменить этот вывод, работу можно завершить. В итоговой записке следует точно указать, что факт заключения контракта подтверждён, а вопрос о поставке и её качестве не проверялся.

Если же задача требует установить исполнение, записи о контракте недостаточно. Допустим, доступные документы подтверждают его заключение, но не приёмку. Тогда вывод ограничен: контракт заключён, но факт приёмки по проверенным открытым материалам не установлен. Продолжать поиск можно только по релевантным источникам и в пределах согласованной цели. Если доказательств не хватает, а дальнейшая проверка потребует несоразмерных усилий или затронет сведения, не нужные для задачи, работу останавливают и обращаются к заказчику за решением. Неизвестность не нужно заполнять догадкой.

Короткая проверка перед стартом

Перед каждым новым этапом перечитайте карту, а не только последние заметки. Достаточно ли чётко сформулировано утверждение, чтобы его можно было подтвердить или опровергнуть? Понятно ли, какая неизвестная мешает ответить? Выбран ли источник именно под неё? Записаны ли параметры поиска и границы интерпретации? Назначен ли ответственный? Определено ли, какой результат завершит проверку? Если на какой-то вопрос нет ясного ответа, сначала уточните план.

Рабочий план экономит время не потому, что заранее предсказывает все находки. Он помогает менять маршрут, не теряя логики: новая информация может повысить приоритет одного пробела, снять другой или показать, что исходный вывод нужно сузить. Каждое изменение стоит зафиксировать: что поменялось, почему и какие действия теперь нужны. Так исследование остаётся последовательным, даже если заранее неизвестно, куда оно приведёт.

Когда карта готова, следующий практический шаг — превратить её пункты в запросы, которые дают управляемый и проверяемый результат. От формулировки запроса зависит, какие сведения удастся найти, что останется незамеченным и насколько легко будет повторить проверку. В следующей главе мы разберём поисковый запрос как рабочий инструмент, а не случайную фразу в строке поиска.

Поисковый запрос как рабочий инструмент

План уже очертил границы поиска: сформулировано утверждение, которое нужно проверить, определены признаки подтверждения и условие остановки. Теперь каждый запрос должен проверять один из этих признаков, а не просто пополнять список ссылок. Иначе исследование быстро превращается в просмотр копий одного и того же сообщения.

В этой главе приёмы отрабатываются на отдельном учебном примере с ООО «Меридиан-Снаб». Он не продолжает сквозной кейс о «Вектор-Регионе» и «Ресурс-Поставке»: к нему мы вернёмся в главе 6.

Проверяемое утверждение из справки: «ООО „Меридиан-Снаб“ поставляло оборудование учреждению в 2022 году». Название условное; конкретные ИНН, адреса и результаты поиска не приводятся. Задача не в том, чтобы доказать заранее выбранную версию, а в том, чтобы выяснить, относится ли найденный материал к нужному юридическому лицу, подтверждает ли он именно поставку и к какому периоду относится.

Первый поиск по названию выдаёт десятки страниц: справочные карточки, короткие заметки, копии пресс-релиза и страницы с похожим названием. Поисковая система показывает их как отдельные результаты, но для исследователя это ещё не десятки независимых подтверждений. Начинать нужно не с подсчёта ссылок, а с вопроса, который поможет точнее настроить поиск.

От фразы из справки к проверяемому следу

В утверждении скрыты как минимум четыре пункта: речь должна идти именно о юридическом лице, указанном в справке; событием должна быть поставка, а не участие в закупке или подписание договора; контрагентом должно быть нужное учреждение; событие должно относиться к 2022 году, а не просто упоминаться в новости, опубликованной тогда.

Если пытаться найти всё сразу, запрос получится длинным и хрупким: одно неточное слово может отсечь полезные документы. Надёжнее разделить утверждение на признаки и проверять их по очереди. Один запрос — один вопрос: встречается ли точное название; есть ли связь с нужным учреждением; найден ли документ о поставке; какая дата указана в самом документе.

Это не формальность. Сведения об участии в закупке не подтверждают исполнение договора. Дата в заголовке новости может обозначать день публикации, а не поставки. Поисковая строка помогает найти материал, но его значение определяется содержанием.

Первая итерация: точное название — ещё не точная идентичность

Для начала достаточно простого запроса:

«ООО „Меридиан-Снаб“»

Кавычки предлагают поисковой системе искать точное сочетание, но разные сервисы и даже разные запросы обрабатываются по-разному. Система может учитывать морфологию, менять порядок слов или показывать страницы, где совпала лишь часть строки. Поэтому кавычки помогают сузить поиск, но не гарантируют точности выдачи.

В учебном примере поиск приводит к карточкам организации и нескольким страницам с одной и той же новостью. Следующий запрос — без организационно-правовой формы:

«Меридиан-Снаб»

Затем проверяется написание с пробелом вместо дефиса:

«Меридиан Снаб»

Заранее составьте ограниченный список обоснованных вариантов: полное и сокращённое название, написание в кавычках и без них, варианты с дефисом и пробелом. Если в доступном документе встречается буква «ё», можно проверить и вариант с «е». Старое название организации имеет смысл искать, только если есть основания предполагать переименование: например, оно указано в найденном документе или относится к периоду проверки.

Каждый вариант проверяйте отдельным запросом. Если одновременно изменить написание, добавить адрес и исключить несколько слов, будет непонятно, почему изменилась выдача. Не превращайте подбор вариантов в генератор случайных сочетаний: каждый запрос должен проверять возможную особенность записи.

На этом этапе в журнале поисковых итераций можно отметить: «В выдаче повторяются справочные карточки и один текст; независимый документ о поставке не найден». Такая запись не позволяет спутать число результатов с числом подтверждений.

Сильный идентификатор меняет качество поиска

Название не всегда уникально. Похожие названия могут принадлежать разным организациям, а справочные страницы — неточно объединять сведения. Поэтому следующий запрос лучше строить не вокруг общего имени или бренда, а вокруг идентификатора из исходных материалов: