Tietotekniikan rikostekninen tutkimus · Tuomioistuimet
IT-rikostutkinta tuomioistuimille – todistekysymys on keskiössä
Tuomioistuin ei tarvitse mahdollisimman pitkää teknistä raporttia eikä luetteloa käytetyistä ohjelmista. Se tarvitsee luotettavan vastauksen esitettyyn todistuskysymykseen.
Juuri tähän kohdistamme tutkimuksemme. Ensinnäkin selvitetään, mihin kysymyksiin on tarkoitus löytää tekninen vastaus. Sen jälkeen määritämme, mitkä tietolähteet sopivat tähän tarkoitukseen, mitkä tutkimusvaiheet ovat tarpeen ja mitkä vaihtoehtoiset selitykset on otettava huomioon. Vasta sitten aloitetaan varsinainen analysointi.
Tuloksena voi olla positiivinen todiste, poissulkeminen tai perusteltu arvio, jonka mukaan „asiaa ei voida varmuudella todeta käytettävissä olevien tietojen perusteella“. Kaikki kolme tulosta voivat olla asiallisesti oikeita. Ratkaisevaa on, että tuomioistuin pystyy ymmärtämään, miten lausunto on muodostettu ja mitkä ovat sen rajat.
Itse todistuskysymys
Miten oikeudellisesta todistekysymyksestä tulee teknisesti luotettava tutkimus?
Jaamme oikeudellisen kysymyksen teknisesti todennettavissa oleviin osakysymyksiin. Jos esimerkiksi on selvitettävä, onko tiedostoa muokattu tiettynä päivänä, yksittäinen aikaleima ei riitä. Tarkasteltavia seikkoja ovat muun muassa tiedostojärjestelmän metatiedot, sovellusten jäljet, varmuuskopiot, lokitiedostot ja tarvittaessa synkronointiprosessit.
Tutkimus on tässä yhteydessä sidottu tuomioistuimen antamaan toimeksiantoon. Riita-asioissa tuomioistuin määrittää ZPO:n 404a §:n 3 momentin mukaisesti, mitkä tosiseikat ovat asiantuntijatutkimuksen perustana. Emme korvaa tätä ohjeistusta omilla oletuksillamme.
Missä todistusraja kulkee
Asiantuntija ei saa omavaltaisesti tulkita epäselvää todistuskysymystä uudelleen toiseksi kysymykseksi. Jos toimeksiannon sisällöstä tai laajuudesta on epäselvyyttä, ZPO:n 407a §:n 4 momentti edellyttää, että tuomioistuin selvittää asian.
Miksi LanCologne?
Oikeudellisissa toimeksiannoissa meille ei ole ratkaisevaa, mikä analysointiohjelma näyttää osuman ensimmäisenä. Ratkaisevaa on, voidaanko todistekysymykseen vastata asiantuntemuksen perusteella ja kestääkö tämä vastaus riippumattoman tarkastelun.
Työskentelemme tuloksesta riippumatta, dokumentoimme ratkaisevien havaintojen alkuperän ja tarkastelemme vaihtoehtoisia teknisiä selityksiä. Varsinainen arviointi suoritetaan periaatteessa rikosteknisellä kopiolla tai todistusvoimaisesti tallennetulla aineistolla. Alkuperäisiä aineistoja ei tutkita suoraan ilman välttämätöntä syytä. Jos reaaliaikaiset toimenpiteet ovat teknisesti välttämättömiä, niiden seurauksena mahdollisesti syntyvät muutokset dokumentoidaan nimenomaisesti.
Ratkaisevat tulokset tarkistetaan kysymyksestä riippuen joko toisella asialle sopivalla menetelmällä tai suoraan perustana olevien raakatietojen perusteella. Tähän käytettävät työkalut riippuvat todistusaineistosta ja kysymyksestä. Ratkaisevia tekijöitä ovat menetelmän sopivuus, ammatillinen tunnustaminen ja jäljitettävyys – ei tuotemerkki.
Asiantuntijalausunnossamme erotetaan toisistaan tosiseikat, tekninen arviointi ja jäljellä oleva epävarmuus. Negatiivisen tuloksen perustelut esitetään yhtä huolellisesti kuin positiivisen tuloksenkin.
Näin toimimme tuomioistuimen antamien toimeksiantojen yhteydessä
Toimintatapamme – oikeuden määräyksestä vastaukseen
Tarkistamme ensin, kuuluuko kysymys asiantuntemusalueeseemme, mihin tosiseikkoihin tuomioistuin perustuu ja ovatko toimeksiannon sisältö tai laajuus yksiselitteiset. Jos asiassa on epäselvyyksiä, tuomioistuin pyytää selvennystä. Tämä on ZPO:n 404a §:n ja 407a §:n mukaista.
Mahdolliset syyt, jotka saattaisivat herättää epäilyjä puolueettomuudesta, tarkastellaan ennen asiallisen tutkinnan aloittamista ja ilmoitetaan tarvittaessa tuomioistuimelle.
Laitteet, tietovälineet, varmuuskopiot ja toimitetut tiedostot tunnistetaan ja dokumentoidaan. Tutkimuksen tilanne kirjataan ylös.
Siltä osin kuin se on teknisesti mahdollista, laaditaan rikostekninen kopio tai rikostekninen kuvantaminen. Hash-arvot ja muut eheystarkastukset auttavat tunnistamaan aineiston yksiselitteisesti. Alkuperäinen aineisto säilytetään myöhempiä tarkastuksia varten.
Määritämme, mitkä jäljet tukisivat väitettyä tapahtumaa, mitkä vastakkaiset havainnot ovat mahdollisia ja mitkä vaihtoehtoiset tekniset selitykset on tutkittava.
Tutkimuksen kohteena ovat ainoastaan ne todisteet, joilla on asiantuntijamielessä merkitystä todistuskysymyksen kannalta. Automaattisia osumia ei hyväksytä tarkistamatta.
Päätöksenteon kannalta merkittävät havainnot tarkistetaan – tarpeen mukaan – toisella tunnustetulla menetelmällä, toisesta teknisestä näkökulmasta tai suoraan raakatietojen perusteella.
Tarkastelemme nimenomaisesti, mitä päätelmiä tiedoista ei saa tehdä. Mainitsemme puuttuvat tiedot, mahdollisen tietojen poistamisen, tekniset rajoitukset, epätäydelliset poiminnat tai ristiriitaiset jäljet.
Lopullinen vastaus perustuu dokumentoituihin havaintoihin. Sitä ei muotoilla vahvemmin kuin mitä tiedot sallivat.
Pääteksti on ymmärrettävää myös niille, jotka eivät ole tietotekniikan rikostutkijoita. Tekninen liite sisältää tiedot, joita riippumaton tietotekniikan rikostutkija tarvitsee asiantuntijatarkastusta tai vastalausuntoa varten.
Oikeudellinen kehys
ZPO:n 403, 404a, 407a, 411 ja 412 §; lisäksi ZPO:n 286 §, joka koskee tuomioistuimen suorittamaa todisteiden arviointia. Rikosasioissa asiantuntijoihin sovelletaan StPO:n 72 §:ää ja sitä seuraavia pykäliä.
Asiantuntija toimittaa asiantuntijaperustan. Oikeudellinen arviointi ja lopullinen todisteiden arviointi ovat edelleen tuomioistuimen tehtävä.
Usein kysyttyjä kysymyksiä
LanCologne – Tietotekninen rikostekninen tutkimus tuomioistuimille
Tarvitsetteko riippumattoman teknisen tutkimuksen oikeudelliseen todistekysymykseen? LanCologne tutkii digitaalisia jälkiä objektiivisesti, läpinäkyvästi ja toistettavasti. Dokumentoimme sekä positiiviset löydökset että todisteiden puuttumisen ja tekniset rajoitukset siten, että johtopäätös on tuomioistuimen kannalta ymmärrettävä ja riippumattoman IT-rikostutkijan kannalta ammatillisesti todennettavissa.
Tähän aiheeseen liittyen