Kryminalistyka informatyczna · Sądy

Biegły czy świadek-biegły – czym należy się kierować w przypadku okoliczności o charakterze cyfrowym?

Biegły w dziedzinie informatyki ma za zadanie wyciągać wnioski fachowe na podstawie podanych lub zbadanych faktów, opierając się na swojej wiedzy specjalistycznej. § 414 ZPO dotyczy natomiast osób posiadających specjalistyczną wiedzę, które osobiście były świadkami przeszłych faktów lub stanów i których obserwacja wymagała szczególnej wiedzy specjalistycznej. Nie wolno mylić tych ról.

Wysyłaj zapytanie bez zobowiązań

Co właściwie musi wyjaśnić rzeczoznawca?

Nie liczy się ilość znalezionych artefaktów. Decydujące znaczenie ma to, czy istotne ślady cyfrowe potwierdzają fakt określony w przedmiocie dowodowym, zaprzeczają mu, czy też nie pozwalają na sformułowanie wiarygodnego wniosku. W tym celu ustalenia rozpatruje się w kontekście technicznym, a hipotezy przeciwne są wyraźnie brane pod uwagę.

Gdzie leży granica możliwości wypowiedzi

To sąd decyduje, czy w konkretnym postępowaniu dana osoba powinna być traktowana jako biegły, czy jako świadek-biegły. Dokumentacja techniczna powinna jasno wskazywać, czy zeznanie opiera się na własnych wcześniejszych spostrzeżeniach, czy też na późniejszym badaniu kryminalistycznym.

Jak LanCologne podchodzi do zadania dowodowego

W przypadku zleceń sądowych naszą pracę rozpoczynamy od ustalenia kwestii dowodowej, a nie od programu analitycznego. Określamy, który fakt techniczny należy wyjaśnić, które źródła danych mają w tym zakresie znaczenie oraz jakie alternatywne wyjaśnienia należy zbadać.

Baza danych jest jednoznacznie udokumentowana i, o ile jest to technicznie możliwe, badana na podstawie zweryfikowanych kopii zapasowych o charakterze kryminalistycznym lub kopii roboczych. W przypadku kwestii mających znaczenie dla podjęcia decyzji zautomatyzowane wyniki nie są przyjmowane bez weryfikacji. Decydujące znaczenie mają pochodzenie, logika powstania oraz kontekst danego artefaktu. W razie potrzeby wyniki są weryfikowane na podstawie danych surowych lub przy użyciu niezależnej, drugiej metody odpowiedniej z punktu widzenia merytorycznego.

W ekspertyzie rozróżniamy ustalenia faktyczne, ocenę techniczną i wnioski. Równie jasno określamy granice naszych stwierdzeń: co zostało udowodnione, co jest jedynie poparte dowodami, co pozostaje nierozstrzygnięte, a czego nie da się ustalić na podstawie dostępnych danych?

Główna część została sformułowana w sposób zrozumiały dla sędziów i innych osób niebędących ekspertami kryminalistycznymi. Możliwość weryfikacji technicznej zapewnia oddzielna część techniczna. Znajdują się w niej dokumentowane źródła danych, wartości integralności, artefakty i etapy badania, które są niezbędne do przeprowadzenia niezależnej weryfikacji.

Nasze podejście do pracy

1Należy dokonać fachowego rozróżnienia między zleceniem sądowym a kwestią dowodową.
2Należy sprawdzić dziedzinę specjalizacji, termin oraz ewentualne wątpliwości co do bezstronności.
3Należy jednoznacznie udokumentować środki dowodowe i dane wyjściowe.
4Zapewnić integralność i w miarę możliwości unikać zmian.
5Na podstawie zagadnienia dowodowego sformułować hipotezy badawcze i hipotezy przeciwne.
6Przeprowadzać ukierunkowaną analizę odpowiednich źródeł danych.
7Należy poddać fachowej weryfikacji kluczowe wyniki badań oraz sprawdzić alternatywne wyjaśnienia.
8Należy udokumentować nieścisłości, brakujące dane oraz ograniczenia techniczne.
9Należy jednoznacznie odpowiedzieć na pytanie dowodowe, nie wykraczając poza znaczenie danych.
10Należy określić podstawy techniczne niezbędne do przeprowadzenia niezależnej weryfikacji.

Klasyfikacja metodologiczna

W zakresie informatyki śledczej nie istnieje ustawowy wykaz obowiązkowych produktów oprogramowania. Moduł DER.2.2 programu „Grundschutz” BSI zawiera przydatne wytyczne dotyczące działań zapobiegawczych, zabezpieczania dowodów oraz prezentacji wyników dostosowanej do potrzeb odbiorców w przypadku incydentów związanych z bezpieczeństwem informatycznym. Wyraźnie zaznacza się w nim jednak, że sama analiza kryminalistyczna nie jest przedmiotem tego modułu i że nie odnosi się on do badań kryminalistycznych w sprawach karnych. Nie przedstawiamy go zatem jako standardu w postępowaniu karnym.

Ramy prawne

§ 414 kodeksu postępowania cywilnego (ZPO); w odniesieniu do biegłych – §§ 402 i nast. kodeksu postępowania cywilnego (ZPO).

Ostateczna ocena dowodów należy do kompetencji sądu. Nasza działalność biegłoznawcza ogranicza się do udzielenia fachowej odpowiedzi na techniczne pytanie dowodowe w ramach powierzonego nam zlecenia.

Najczęściej zadawane pytania

Biegły czy świadek-biegły – czym należy się kierować w przypadku okoliczności o charakterze cyfrowym?+
Ekspert ds. IT powinien, opierając się na swojej wiedzy fachowej, wyciągać wnioski merytoryczne na podstawie podanych lub zbadanych faktów.
Jak w praktyce przebiega takie badanie techniczne?+
W przypadku zleceń sądowych naszą pracę rozpoczynamy od ustalenia kwestii dowodowej, a nie od programu analitycznego. Określamy, który fakt techniczny należy wyjaśnić, które źródła danych mają w tym zakresie znaczenie oraz jakie alternatywne wyjaśnienia należy zbadać.
Czy wynik badania daje sądowi jednoznaczną podstawę do wydania orzeczenia?+
To sąd decyduje, czy w konkretnym postępowaniu daną osobę należy traktować jako biegłego, czy jako świadka-biegłego.
Czy istnieje ku temu podstawa prawna?+
§ 414 kodeksu postępowania cywilnego (ZPO); w odniesieniu do biegłych – §§ 402 i nast. ZPO. Ostateczna ocena dowodów pozostaje w gestii sądu. Nasza działalność biegłowa ogranicza się do udzielenia fachowej odpowiedzi na techniczne pytanie dowodowe w ramach powierzonego nam zlecenia.

LanCologne – informatyka śledcza dla sądów

Potrzebują Państwo niezależnej ekspertyzy informatyczno-kryminalistycznej dotyczącej konkretnej kwestii dowodowej w postępowaniu sądowym? LanCologne analizuje dostępne ślady cyfrowe bez z góry przyjętych wniosków i w przejrzysty sposób dokumentuje kluczowe ustalenia, ustalenia przeciwne oraz ograniczenia techniczne.

Skontaktuj się z nami już teraz