IT forenzika · Soudy

Lze rozlišit, zda byla digitální data vytvořena automaticky, nebo zásahm uživatele?

Mnoho digitálních stop vzniká bez vědomého zásahu uživatele: synchronizace, služby na pozadí, náhledy, indexace, zálohy nebo naplánované procesy. Toto rozlišení je pro soudní závěry klíčové.

Nezávazná poptávka

Pro soud není rozhodující, kolik analytických programů bylo použito. Rozhodující je, jakou konkrétní technickou skutečnost lze na základě dostupných údajů spolehlivě zjistit, jak k tomuto zjištění dochází a kde jsou jeho meze.

Konkrétní otázka týkající se důkazů

Prověřujeme technickou logiku vzniku artefaktu, související uživatelské aktivity, stopy procesů a aplikací i časový kontext.

Proč jedna digitální stopa málokdy stačí

Digitální artefakty vznikají v systémech s vlastními mechanismy ukládání, synchronizace a protokolování. Jednotlivé časové razítko, záznam v protokolu nebo hodnota v databázi se proto bez kontextu nepoužívají k vyvození konečného závěru. Pokud to otázka důkazu vyžaduje, provádí se korelace několika navzájem nezávislých stop a prověřují se technicky plausibilní protihypotézy.

Kde leží hranice výpovědi

Přítomnost artefaktu nesmí být automaticky interpretována jako vědomý čin osoby, pokud je systém schopen tento stav vyvolat sám.

Jak LanCologne řeší důkazní otázku

V případě LanCologne začíná šetření otázkou soudního dokazování, a nikoli konkrétním analytickým postupem. Nejprve se vyjasní, jaká technická skutečnost má být zjištěna, které zdroje dat jsou pro tento účel relevantní a jaké protichůdné hypotézy je třeba zohlednit.

Důkazní materiály a výchozí data jsou jednoznačně zdokumentovány. Pokud je to technicky možné, provádí se vyhodnocení na ověřených forenzních zálohách nebo vhodných pracovních kopiích. Shody relevantní pro rozhodnutí nejsou přijímány pouze proto, že je zobrazuje software. Ověřujeme původ, logiku vzniku a kontext artefaktu a v případě potřeby kontrolujeme klíčové nálezy na základě podkladových dat nebo pomocí druhé odborně vhodné metody.

V posudku jsou od sebe odděleny zjištěné skutečnosti, technický výklad a závěr. Stejně jasně jsou popsány i hranice tvrzení: Co lze prokázat? Co je pouze podloženo? Jaké existují protichůdné nálezy? Co zůstává otevřené? Neprokázání není přetvářeno na zdánlivě jisté tvrzení.

Hlavní část je sepsána tak, aby soudce bez speciálních znalostí v oblasti IT forenziky mohl pochopit postup odvození. Technická ověřitelnost zůstává zachována. Zdrojové údaje relevantní pro ověření, informace o integritě, artefakty a kroky vyšetřování jsou zdokumentovány tak, aby nezávislý IT forenzní expert mohl pochopit klíčová zjištění pro případné vypracování protiznaleckého posudku.

Od soudního příkazu k spolehlivému svědectví

Pozitivní nálezy, negativní nálezy a nedetekování

Závěr odborného posudku musí být otevřený. Pokud data potvrzují zkoumanou hypotézu, vysvětlí se, na čem je založena. Pokud této hypotéze odporují spolehlivé důkazy, jsou uvedeny také. Pokud datová základna nestačí k jednoznačnému závěru, označuje se to jako „neprokázáno“ nebo jako „otevřená technická otázka“. Právě toto rozlišení zabraňuje tomu, aby z mezery v datech vzniklo zdánlivě jisté tvrzení.

Srozumitelné pro soud – technicky ověřitelné pro protistranu

Odborné jádro je vysvětleno srozumitelným jazykem. Odborné termíny se používají pouze tam, kde je to nezbytné, a následně jsou vysvětleny. Zároveň jsou zachovány klíčové technické základy: zkoumané zdroje dat, relevantní artefakty, informace o integritě, časové souvislosti a metodické kroky. IT forenzní expert, který není seznámen s daným postupem, by měl být schopen ověřit odvození, aniž by se hlavní text pro soud stal pouhým souhrnem technických surových dat.

Metodické zařazení

Pro soudní IT forenziku neexistuje žádný zákonný seznam předepsaných analytických programů. Z odborného hlediska jsou rozhodující kontrolovaná datová základna, integrita, zdokumentované kroky vyšetřování, srozumitelné závěry a možnost nezávislé kontroly.

Modul základní ochrany BSI DER.2.2 „Příprava na IT forenziku“ obsahuje užitečné základní principy pro přípravu na pozdější forenzní vyšetřování a pro zajištění stop v případě incidentů v oblasti IT bezpečnosti. Nejedná se však o forenzní standard v rámci trestního řízení; samotná forenzní analýza není předmětem tohoto modulu. Toto vymezení je výslovně dodržováno.

LanCologne jako nezávislý IT znalec

Pokud soud potřebuje technicky objasnit konkrétní otázku týkající se digitálních důkazů, prozkoumáme dostupnou datovou základnu nezávisle a bez předpojatosti. Cílem není shromáždit co nejvíce technických výsledků, ale poskytnout odborně podloženou odpověď: srozumitelnou pro soud, transparentní ve svém odvození a technicky ověřitelnou.

Pro znalecké dokazování v občanskoprávních řízeních jsou relevantní zejména §§ 402 a násl. ZPO. § 403 ZPO se týká vymezení předmětu znaleckého posudku. Podle § 404a ZPO řídí soud činnost znalce a může stanovit způsob a rozsah jeho činnosti. § 407a ZPO obsahuje povinnosti znalce, mimo jiné povinnost prověřit vlastní obor a vyjasnit pochybnosti ohledně obsahu a rozsahu zadání. § 411 ZPO upravuje písemný znalecký posudek, jakož i jeho vysvětlení a doplnění. Posouzení znaleckého posudku spolu s ostatními důkazními výsledky zůstává úkolem soudu (§ 286 ZPO).

V případě znaleckých posudků v trestním řízení se na znalce vztahují § 72 a následující trestního řádu. To, které předpisy jsou v konkrétním řízení relevantní, závisí na zadání a druhu řízení. IT-forenzní posudek nenahrazuje ani právní posouzení, ani soudní hodnocení důkazů.

Často kladené otázky

LanCologne – IT forenzika pro soudy

Máte dotaz týkající se digitální oblasti? Společnost LanCologne vám pomůže s objektivním a nestranným IT forenzním vyšetřováním.

Kontaktujte nás hned teď