Tietotekniikan rikostekninen tutkimus · Tuomioistuimet
Voidaanko selvittää, onko tiedosto todella avattu?
Tiedoston olemassaolon ja sen todellisen avaamisen välillä on merkittävä ero.
Tuomioistuimelle ei ole merkitystä sillä, kuinka monta analysointiohjelmaa on käytetty. Ratkaisevaa on, mikä konkreettinen tekninen tosiasia voidaan luotettavasti todeta käytettävissä olevien tietojen perusteella, miten tämä toteamus on syntynyt ja mitkä ovat sen rajat.
Konkreettinen todistuskysymys
Tarkastelemme sovellus- ja käyttöjärjestelmäkohtaisia käyttöjälkiä, viimeksi käytettyjä asiakirjoja, esikatselumekanismeja, tiedostojärjestelmän käyttöjä ja muita vastaavia jälkiä.
Miksi yksi digitaalinen jälki riittää harvoin
Digitaaliset artefaktit syntyvät järjestelmissä, joilla on omat tallennus-, synkronointi- ja lokitusmekanisminsa. Yksittäistä aikaleimaa, lokimerkintää tai tietokanta-arvoa ei siksi pidetä lopullisena todisteena ilman kontekstia. Siltä osin kuin todistuskysymys sitä edellyttää, useita toisistaan riippumattomia jälkiä korreloidaan keskenään ja teknisesti uskottavia vastahypoteeseja tarkastellaan.
Missä todistusraja kulkee
Jotkut artefaktit syntyvät jo esikatselun, indeksoinnin tai automaattisen käsittelyn yhteydessä. Siksi teknistä pääsyä ei saa ilman tarkastusta rinnastaa tietoiseen tutustumiseen.
Miten LanCologne käsittelee todistuskysymystä
LanCologne:n mukaan oikeudellinen tietotekninen rikostekninen tutkimus alkaa todistekysymyksestä, ei tietystä analyysiohjelmasta. Ensinnäkin selvitetään, mitkä tekniset tosiseikat on tarkoitus todeta, mitkä tietolähteet ovat tässä yhteydessä ylipäätään merkityksellisiä ja mitkä vastahypoteesit on otettava huomioon.
Todistusaineisto ja lähtötiedot dokumentoidaan yksiselitteisesti. Siltä osin kuin se on teknisesti mahdollista, analysointi suoritetaan todennetuilla rikosteknologisilla varmuuskopioilla tai sopivilla työkopioilla. Päätöksenteon kannalta merkityksellisiä osumia ei oteta huomioon pelkästään sen vuoksi, että ohjelmisto ne näyttää. Artefaktin alkuperä, muodostumislogiikka ja konteksti tarkastetaan; keskeiset havainnot tarkistetaan tarvittaessa perustana olevien tietojen tai toisen asiantuntijatasoisen menetelmän avulla.
Asiantuntijalausunnossa tosiseikat, tekninen tulkinta ja johtopäätös erotetaan toisistaan. Myös väitteiden rajat kuvataan yhtä selkeästi: mitä voidaan todistaa? Mitä vain tuetaan? Mitä vastakkaisia havaintoja on? Mitä jää avoimeksi? Todistamattomuutta ei tulkita uudelleen näennäisesti varmaksi väitteeksi.
Pääosa laaditaan siten, että tuomari, jolla ei ole erityisosaamista tietoteknisestä rikosteknologiasta, voi ymmärtää johtopäätösten perustelut. Tekninen todennettavuus säilyy. Tarkastuksen kannalta merkitykselliset tietolähteet, eheystiedot, artefaktit ja tutkimusvaiheet dokumentoidaan siten, että riippumaton tietotekniikan rikostekninen asiantuntija voi ymmärtää keskeiset havainnot mahdollisen vastalausunnon yhteydessä.
Oikeudellisesta toimeksiannosta luotettavaan todistukseen
Positiiviset tulokset, negatiiviset tulokset ja ei-todetut tulokset
Asiantuntevan tuloksen on oltava avoin. Jos tiedot vahvistavat tutkittavan hypoteesin, selitetään, mihin se perustuu. Jos luotettavat todisteet ovat ristiriidassa tämän hypoteesin kanssa, myös ne esitetään. Jos aineisto ei riitä varman päätelmän tekemiseen, tilannetta kuvataan todisteiden puutteeksi tai avoimeksi tekniseksi kysymykseksi. Juuri tämä erottelu estää sen, että tietojen puutteesta syntyisi näennäisesti varma väite.
Tuomioistuimen kannalta ymmärrettävä – vastatarkastajan kannalta teknisesti todennettavissa
Asiantuntijasisältö selitetään ymmärrettävällä kielellä. Ammattitermejä käytetään vain silloin, kun se on välttämätöntä, ja ne määritellään sen jälkeen. Samalla säilytetään keskeiset tekniset perusteet: tutkitut tietolähteet, merkitykselliset artefaktit, eheystiedot, aikaviittaukset ja menetelmälliset vaiheet. Menettelyyn perehtymättömän IT-rikostutkijan on voitava tarkistaa johtopäätösten perustelut ilman, että pääteksti muuttuu tuomioistuimen kannalta pelkäksi teknisen raakadatan kokoelmaksi.
Menetelmällinen luokittelu
Oikeudellisessa tietoteknisessä rikosteknologiassa ei ole lakisääteistä luetteloa pakollisista analyysiohjelmista. Ammattimielessä ratkaisevia tekijöitä ovat hallittu tietokanta, tietojen eheys, dokumentoidut tutkimusvaiheet, jäljiteltävät johtopäätökset sekä mahdollisuus riippumattomaan tarkastukseen.
BSI:n perussuojausmoduuli DER.2.2 „IT-rikostutkinnan ennakkojärjestelyt“ sisältää hyödyllisiä perusperiaatteita myöhempien rikostutkintojen valmisteluun ja todisteiden turvaamiseen IT-turvallisuuspoikkeamien yhteydessä. Se ei kuitenkaan ole rikosoikeudellinen rikostekninen standardi; moduulissa täsmennetään nimenomaisesti, että varsinainen rikostekninen analyysi ei kuulu sen piiriin eikä se koske rikosten yhteydessä suoritettavia IT-rikosteknisiä tutkimuksia.
LanCologne riippumattomana IT-asiantuntijana
Jos tuomioistuimen on selvitettävä konkreettinen digitaalinen todistekysymys teknisesti, tutkimme olemassa olevaa tietokantaa riippumattomasti ja ilman ennakkokäsityksiä. Tavoitteena ei ole kerätä mahdollisimman laajaa valikoimaa teknisiä osumia, vaan antaa asiantuntemukseen perustuva vastaus: tuomioistuimelle ymmärrettävä, johtopäätöksiltään läpinäkyvä ja teknisesti todennettavissa oleva.
Oikeudellinen kehys
Siviilioikeudenkäynneissä asiantuntijatodisteisiin sovelletaan erityisesti ZPO:n 402 §:ää ja sitä seuraavia pykäliä. ZPO:n 403 §:n mukaan todisteiden esittäminen edellyttää arvioitavien seikkojen määrittelyä. ZPO:n 404a §:n mukaan tuomioistuin ohjaa asiantuntijan toimintaa; riita-asioissa se määrittelee ne tosiseikat, joihin asiantuntijalausunto perustuu. ZPO:n 407a § velvoittaa asiantuntijan muun muassa tarkastamaan, kuuluuko toimeksianto hänen erikoisalalleen, ilmoittamaan mahdolliset syyt, jotka voisivat oikeuttaa epäluottamusta hänen puolueettomuuttaan kohtaan, sekä pyytämään tuomioistuimelta viipymätöntä selvennystä, jos toimeksiannon sisällöstä tai laajuudesta on epäilyksiä. § 411 ZPO säätelee kirjallista asiantuntijalausuntoa sekä sen selittämistä tai täydentämistä. Asiantuntijalausunnon arviointi yhdessä muiden todisteiden kanssa on edelleen tuomioistuimen tehtävä (§ 286 ZPO).
Siltä osin kuin asiantuntijatutkimus suoritetaan rikosoikeudenkäynnissä, asiantuntijoihin sovelletaan rikosprosessilain (StPO) 72 §:ää ja sitä seuraavia pykäliä. Konkreettinen prosessioikeudellinen luokittelu riippuu kyseessä olevasta toimeksiannosta ja menettelystä. Tehtävämme on antaa asiantuntijalausunto teknisestä todistekysymyksestä; se ei korvaa oikeudellista arviointia eikä tuomioistuimen todisteiden arviointia.
Usein kysyttyjä kysymyksiä
LanCologne – Tietotekninen rikostekninen tutkimus tuomioistuimille
Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.
Tähän aiheeseen liittyen