Tietotekniikan rikostekninen tutkimus · Tuomioistuimet
Miten on arvioitava digitaalista todistusaineistoa, jota on käytetty edelleen ennen rikosteknistä tallennusta?
Tietokoneet ja älypuhelimet muuttavat tietosisältöään jo tavanomaisen käytön, järjestelmäprosessien ja synkronoinnin seurauksena. Jos laitetta on käytetty edelleen kyseisen tapahtuman jälkeen, tämä on otettava huomioon todisteiden arvioinnissa.
Tuomioistuimelle ei ole merkitystä sillä, kuinka monta analysointiohjelmaa on käytetty. Ratkaisevaa on, mikä konkreettinen tekninen tosiasia voidaan luotettavasti todeta käytettävissä olevien tietojen perusteella, miten tämä toteamus on syntynyt ja mitkä ovat sen rajat.
Konkreettinen todistuskysymys
Yritämme määrittää jälkikäytön ajanjakson ja luonteen sekä selvittää, mitkä asiaankuuluvat artefaktit ovat saattaneet muuttua, korvautua tai syntyä uudelleen tämän seurauksena.
Miksi yksi digitaalinen jälki riittää harvoin
Digitaaliset artefaktit syntyvät järjestelmissä, joilla on omat tallennus-, synkronointi- ja lokitusmekanisminsa. Yksittäistä aikaleimaa, lokimerkintää tai tietokanta-arvoa ei siksi pidetä lopullisena todisteena ilman kontekstia. Siltä osin kuin todistuskysymys sitä edellyttää, useita toisistaan riippumattomia jälkiä korreloidaan keskenään ja teknisesti uskottavia vastahypoteeseja tarkastellaan.
Missä todistusraja kulkee
Myöhempi käyttö ei tee laitteesta automaattisesti arvotonta. Se voi kuitenkin rajoittaa tiettyjä johtopäätöksiä, ja se on otettava arvioinnissa huomioon avoimesti.
Miten LanCologne käsittelee todistuskysymystä
LanCologne-menetelmässä tutkimus alkaa oikeudellisesta todistekysymyksestä eikä tietystä analyysiohjelmasta. Ensinnäkin selvitetään, mikä tekninen tosiasia on tarkoitus todeta, mitkä tietolähteet ovat tässä yhteydessä merkityksellisiä ja mitkä vastahypoteesit on otettava huomioon.
Todistusaineisto ja lähtötiedot dokumentoidaan yksiselitteisesti. Siltä osin kuin se on teknisesti mahdollista, analysointi suoritetaan todennetuilla rikosteknillisillä varmuuskopioilla tai sopivilla työkopioilla. Päätöksenteon kannalta merkityksellisiä osumia ei hyväksytä pelkästään sen vuoksi, että ohjelmisto ne näyttää. Tarkastamme artefaktin alkuperän, muodostumislogiikan ja kontekstin sekä tarkistamme tarvittaessa keskeiset havainnot perustana olevien tietojen tai toisen asiantuntijatasoisen menetelmän avulla.
Asiantuntijalausunnossa tosiseikat, tekninen tulkinta ja johtopäätös erotetaan toisistaan. Myös väitteiden rajat kuvataan yhtä selkeästi: mitä voidaan todistaa? Mitä vain tuetaan? Mitä vastakkaisia havaintoja on? Mitä jää avoimeksi? Todistamattomuutta ei tulkita uudelleen näennäisesti varmaksi väitteeksi.
Pääosa laaditaan siten, että tuomari, jolla ei ole erityisosaamista tietoteknisestä rikostutkinnasta, voi ymmärtää johtopäätösten perustelut. Tekninen todennettavuus säilyy. Tarkastuksen kannalta merkitykselliset tietolähteet, eheystiedot, artefaktit ja tutkimusvaiheet dokumentoidaan siten, että riippumaton tietotekniikan rikostekninen asiantuntija voi jäljittää keskeiset havainnot mahdollista vastalausuntoa varten.
Oikeudellisesta toimeksiannosta luotettavaan todistukseen
Positiiviset tulokset, negatiiviset tulokset ja ei-todetut tulokset
Asiantuntevan tuloksen on oltava avoin. Jos tiedot vahvistavat tutkittavan hypoteesin, selitetään, mihin se perustuu. Jos luotettavat todisteet ovat ristiriidassa tämän hypoteesin kanssa, myös ne esitetään. Jos aineisto ei riitä varman päätelmän tekemiseen, tilannetta kuvataan todisteiden puutteeksi tai avoimeksi tekniseksi kysymykseksi. Juuri tämä erottelu estää sen, että tietojen puutteesta syntyisi näennäisesti varma väite.
Tuomioistuimen kannalta ymmärrettävä – vastatarkastajan kannalta teknisesti todennettavissa
Asiantuntijasisältö selitetään ymmärrettävällä kielellä. Ammattitermejä käytetään vain silloin, kun se on välttämätöntä, ja ne määritellään sen jälkeen. Samalla säilytetään keskeiset tekniset perusteet: tutkitut tietolähteet, merkitykselliset artefaktit, eheystiedot, aikaviittaukset ja menetelmälliset vaiheet. Menettelyyn perehtymättömän IT-rikostutkijan on voitava tarkistaa johtopäätösten perustelut ilman, että pääteksti muuttuu tuomioistuimen kannalta pelkäksi teknisen raakadatan kokoelmaksi.
Menetelmällinen luokittelu
Oikeudellisessa tietoteknisessä rikosteknologiassa ei ole lakisääteistä luetteloa pakollisista analyysiohjelmista. Ammattimielessä ratkaisevia tekijöitä ovat hallittu tietokanta, tietojen eheys, dokumentoidut tutkimusvaiheet, jäljiteltävät johtopäätökset sekä mahdollisuus riippumattomaan tarkastukseen.
BSI:n perussuojausmoduuli DER.2.2 „IT-rikostutkinnan ennaltaehkäisy“ sisältää hyödyllisiä perusajatuksia myöhempien rikostutkintojen valmistelusta ja todisteiden turvaamisesta IT-turvallisuuspoikkeamien yhteydessä. Se ei kuitenkaan ole rikosoikeudellinen rikostekninen standardi; varsinainen rikostekninen analyysi ei kuulu tämän moduulin piiriin. Tätä rajausta noudatetaan nimenomaisesti.
LanCologne riippumattomana IT-asiantuntijana
Jos tuomioistuimen on selvitettävä konkreettinen digitaalinen todistekysymys teknisesti, tutkimme olemassa olevaa tietokantaa riippumattomasti ja ilman ennakkokäsityksiä. Tavoitteena ei ole kerätä mahdollisimman laajaa valikoimaa teknisiä osumia, vaan antaa asiantuntemukseen perustuva vastaus: tuomioistuimelle ymmärrettävä, johtopäätöksiltään läpinäkyvä ja teknisesti todennettavissa oleva.
Oikeudellinen kehys
Siviilioikeudenkäynneissä asiantuntijatodisteisiin sovelletaan erityisesti ZPO:n 402 §:ää ja sitä seuraavia pykäliä. ZPO:n 403 § koskee arvioitavien seikkojen määrittelyä. ZPO:n 404a §:n mukaan tuomioistuin ohjaa asiantuntijan toimintaa ja voi määrittää tämän toiminnan luonteen ja laajuuden. ZPO:n 407a § sisältää asiantuntijan velvollisuudet, muun muassa oman erikoisalan tarkastamisen sekä toimeksiannon sisällöstä ja laajuudesta syntyneiden epäselvyyksien selvittämisen. ZPO:n 411 § säätelee kirjallista asiantuntijalausuntoa sekä sen selittämistä ja täydentämistä. Asiantuntijalausunnon arviointi yhdessä muiden todisteiden kanssa on edelleen tuomioistuimen tehtävä (ZPO:n 286 §).
Rikosoikeudenkäynneissä laadittavien asiantuntijalausuntojen osalta asiantuntijoihin sovelletaan rikosprosessilain (StPO) 72 §:ää ja sitä seuraavia pykäliä. Se, mitkä säännökset ovat merkityksellisiä kussakin yksittäisessä menettelyssä, riippuu toimeksiannosta ja menettelyn luonteesta. Tietotekninen rikostekninen arviointi ei korvaa oikeudellista arviointia eikä tuomioistuimen todisteiden arviointia.
Usein kysyttyjä kysymyksiä
LanCologne – Tietotekninen rikostekninen tutkimus tuomioistuimille
Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.
Tähän aiheeseen liittyen