Tietotekninen rikostekninen tutkimus · Tutkintaviranomaiset
Miten poistettuja tiedostoja arvioidaan rikostutkinnassa?
Poistetut tiedot voivat antaa viitteitä aiemmasta sisällöstä, mutta tietojen poistaminen ja tahallinen jälkien hävittäminen eivät ole sama asia.
Miksi tämä kysymys on tärkeä tutkintaviranomaisille
Digitaalisten tutkimusten on tuotettava luotettavia tosiseikkoja, mutta niissä ei saa tulkita teknisiä viitteitä liikaa. Siksi tutkintatyössä ei ole tärkeää pelkästään se, onko todiste-esine olemassa, vaan myös se, mitä se tosiasiassa todistaa, mitä vastahypoteeseja on olemassa ja mitkä laajemmat johtopäätökset eivät ole sallittuja.
Tekninen tutkimuslähestymistapa
Tarkastamme tiedostojärjestelmän, roskakorin, lokitiedostojen, varmuuskopioiden ja sovellusten jäljet sekä erotamme toisistaan poistotapahtumat, rekonstruoinnit ja mahdolliset käyttäjäyhteydet.
Missä todistusraja kulkee
Tiedoston puuttumista tai poistamista ei saa automaattisesti tulkita tahallisuudeksi tai todisteiden tuhoamiseksi.
Miksi LanCologne?
LanCologne ei noudata tutkintatoimeksiannoissa periaatetta, jonka mukaan ennalta määriteltyä epäilyhypoteesia pyritään vahvistamaan teknisin keinoin. Lähtökohtana on konkreettinen tutkintakysymys. Tätä varten tutkitaan yhtä lailla sekä syyllisyyttä tukevia että syyttömyyttä tukevia teknisiä mahdollisuuksia.
Luovutetut todistusaineistot tai tietokannat dokumentoidaan yksiselitteisesti. Siltä osin kuin se on teknisesti mahdollista, arviointi suoritetaan todennetuista varmuuskopioista tai sopivista työkopioista. Automaattisesti tuotettuja osumia ei hyväksytä tarkistamatta, jos ne liittyvät päätöksenteon kannalta olennaisiin kysymyksiin. Artefaktin alkuperä, muodostumislogiikka ja konteksti tarkistetaan; tarvittaessa suoritetaan riippumaton vastatarkastus perustana olevien tietojen perusteella tai toisella asiantuntemuksen kannalta sopivalla menetelmällä.
Rikostutkintaviranomaiselle on ratkaisevaa, ettei teknisestä viitteestä tehdä vahvempaa johtopäätöstä kuin mitä tiedot tosiasiallisesti tukevat. Siksi teemme eron laitteeseen, tiliin, käyttäjään ja henkilöön liittyvien tietojen välillä sekä mahdollisuuden, tosiasiallisen käytön ja todistettavan teon välillä.
Yhtä tärkeää on myös negatiivinen tulos. Jos tutkimusoletusta ei voida vahvistaa käytettävissä olevien tietojen perusteella tai jos on olemassa teknisesti uskottavia vaihtoehtoisia selityksiä, tämä dokumentoidaan nimenomaisesti. Tämä vastaa tuloksesta riippumatonta asiantuntijatyöskentelyä ja tukee velvollisuutta ottaa huomioon sekä syyllisyyttä tukevat että syyttömyyttä tukevat seikat.
Tutkintamääräyksestä luotettavaan todistukseen
Syyllisyyttä tukevat ja syyllisyyttä lieventävät löydökset
Asiantuntijatutkimuksen on oltava tulokseltaan avoin. Jos tiedot tukevat tutkinnan olettamusta, selitetään, mistä syystä. Jos luotettavat jäljet ovat ristiriidassa sen kanssa tai jos vaihtoehtoinen tekninen selitys on edelleen olemassa, myös tämä dokumentoidaan. Jos saatavilla olevat tiedot eivät riitä varmuuden antamiseen, todetaan, ettei asiaa ole voitu todistaa.
Ymmärrettävissä syyttäjälle, poliisille, puolustukselle ja tuomioistuimelle
Tärkeimmät havainnot muotoillaan ymmärrettävällä kielellä. Samalla tutkimuksen kannalta merkitykselliset tekniset perustelut dokumentoidaan siten, että toinen pätevä tietotekniikan rikostekninen asiantuntija voi ymmärtää keskeiset johtopäätökset saman aineiston perusteella. Näin tutkimus säilyy läpinäkyvänä myös myöhempiä vastatarkastuksia tai oikeudellista todisteiden keruuta varten.
LanCologne ulkoisena IT-rikostutkinnan asiantuntijana
Kun tutkintaviranomainen tarvitsee riippumattoman ja teknisesti luotettavan selvityksen erityisestä digitaalisesta kysymyksestä, LanCologne tukee sitä läpinäkyvällä ja tuloksiltaan avoimella tutkimuksella. Tavoitteena ei ole mahdollisimman suuri määrä osumia, vaan luotettava asiantuntijavastaus konkreettiseen tutkintakysymykseen.
Oikeudellinen kehys
Tutkinnan johtaminen ja oikeudellinen arviointi kuuluvat toimivaltaisille rikosoikeudellisille viranomaisille. Rikosprosessilain (StPO) 160 §:n mukaan syyttäjävirasto selvittää tosiseikat ja sen on otettava huomioon sekä syyllisyyttä tukevat että syyllisyyttä lieventävät seikat. Rikosprosessilain 161 § säätelee syyttäjänviranomaisen yleistä tutkintavaltuutta sekä mahdollisuutta antaa viranomaisten ja poliisivirkamiesten suorittaa tutkintaa. Poliisin tehtävät tutkintamenettelyssä on säädetty rikosprosessilain 163 §:ssä.
Asiantuntijoihin sovelletaan periaatteessa rikosprosessilain (StPO) 72 §:ää ja sitä seuraavia pykäliä. Rikosprosessilain 161a §:n 1 momentti velvoittaa asiantuntijat saapumaan syyttäjänvirastoon kutsusta ja antamaan lausuntonsa; seitsemännen osaston asiantuntijoita koskevia säännöksiä sovelletaan vastaavasti, ellei toisin määrätä. Rikosprosessilain (StPO) 82 § koskee lausunnon antamisen muotoa esitutkinnassa.
Todistusaineistona mahdollisesti merkityksellisten esineiden turvaaminen ja takavarikointi perustuvat erityisesti rikosprosessilain (StPO) 94 ja 98 §:ään. Rikosprosessilain 110 §:n 3 momentti säätelee sähköisten tallennusvälineiden tarkastamisesta ja mahdollistaa siinä mainituin edellytyksin myös tutkintaan liittyvien tietojen turvaamisen. Päätös tällaisten toimenpiteiden sallittavuudesta, laajuudesta ja määräämisestä kuuluu toimivaltaisille viranomaisille, ei LanCologne:lle.
JVEG-lain 1 §:n 3 momentin mukaan poliisin tai muiden rikostutkintaviranomaisten toimeksianto tai etukäteen saatu syyttäjänviraston hyväksyntä vastaa palkkio-oikeudellisessa mielessä syyttäjänviraston toimeksiantoa.
Usein kysyttyjä kysymyksiä
LanCologne – Tietotekninen rikostekninen tutkimus rikostutkintaviranomaisille
Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.