Kryminalistyka informatyczna · Sądy
Czy można sprawdzić, czy dokument został wyeksportowany z innego pliku?
Pliki PDF, obrazy i inne formaty końcowe powstają często w wyniku eksportu z dokumentu źródłowego. Dla rozstrzygnięcia kwestii dowodowej decydujące znaczenie może mieć związek między dokumentem źródłowym a eksportem.
Dla sądu nie ma znaczenia, ile programów jest wykorzystywanych. Decydujące znaczenie ma to, jakie fakty techniczne można wiarygodnie ustalić na podstawie dostępnej bazy danych, w jaki sposób dochodzi się do tych ustaleń oraz jakie są granice ich interpretacji.
Konkretna kwestia dowodowa
Porównujemy treści, osadzone metadane, cechy strukturalne, odniesienia czasowe, ślady eksportu oraz istniejące pliki źródłowe.
Dlaczego kontekst techniczny ma kluczowe znaczenie
Ślady cyfrowe nie powstają w izolacji. System operacyjny, aplikacja, usługa w chmurze, sieć i kontekst użytkownika mogą w różny sposób generować ten sam widoczny wynik. Dlatego pojedynczy znacznik czasu, wpis w dzienniku lub wartość w bazie danych nie są traktowane jako ostateczny wniosek bez sprawdzenia logiki ich powstania. W razie potrzeby koreluje się ze sobą kilka niezależnych od siebie śladów.
Gdzie leży granica możliwości wypowiedzi
Podobna treść nie świadczy o jednoznacznym pochodzeniu. Bez konkretnych wspólnych cech można stwierdzić jedynie zgodność, a niekoniecznie bezpośredni związek eksportowy.
Jak LanCologne podchodzi do zadania dowodowego
W przypadku LanCologne sądowa informatyka śledcza rozpoczyna się od ustalenia przedmiotu dowodu, a nie od wyboru konkretnego programu analitycznego. Najpierw określa się, który fakt techniczny należy wyjaśnić, które źródła danych mają w tym zakresie znaczenie oraz które alternatywne wyjaśnienia należy poważnie rozważyć.
Dane wyjściowe i materiały dowodowe są dokumentowane. O ile jest to technicznie możliwe, analiza przeprowadzana jest na zweryfikowanych kopiach zapasowych z zakresu kryminalistyki lub odpowiednich kopiach roboczych. Automatycznie wygenerowane dopasowania nie są przyjmowane bez weryfikacji w przypadku kwestii mających znaczenie dla podjęcia decyzji. Decydujące znaczenie mają pochodzenie, logika powstania oraz kontekst danego artefaktu. W razie potrzeby kluczowe ustalenia są weryfikowane na podstawie danych źródłowych lub przy użyciu drugiej, odpowiedniej pod względem merytorycznym metody.
W ekspertyzie należy oddzielić ustalenia faktyczne, interpretację merytoryczną i wnioski. Równie ważne są granice stwierdzeń: co jest potwierdzone technicznie? Co jest jedynie poparte dowodami? Jakie istnieją wyniki sprzeczne? Jakie alternatywne wyjaśnienia pozostają możliwe? Czego nie da się ustalić na podstawie dostępnych danych?
Główna część została sformułowana w sposób zrozumiały dla sędziów i innych uczestników postępowania, którzy nie posiadają specjalistycznej wiedzy z zakresu informatyki śledczej. Zachowana została możliwość weryfikacji technicznej. Źródła danych, informacje dotyczące integralności, artefakty oraz etapy badania, które są niezbędne do przeprowadzenia niezależnej weryfikacji, zostały w sposób przejrzysty udokumentowane w części technicznej.
Od zlecenia do wiarygodnego wniosku
Wynik, wynik przeciwny i brak wykrycia
Ekspertyza sądowa musi pozostawać otwarta co do wyniku. Jeśli dane potwierdzają hipotezę, wyjaśnia się, w jaki sposób. Jeśli wiarygodne ślady zaprzeczają hipotezie, należy je również przedstawić. Jeśli baza danych jest niewystarczająca, należy wyraźnie zaznaczyć brak dowodów. Nie można konstruować pozornie pewnych wniosków na podstawie luk w danych.
Zrozumiałe dla sądu – możliwe do zweryfikowania przez biegłego kontrwyborczego
Istota zagadnienia jest wyjaśniona przystępnym językiem. Terminy techniczne są używane tylko tam, gdzie jest to konieczne, a następnie wyjaśniane. Jednocześnie kluczowe podstawy techniczne są udokumentowane w taki sposób, aby niezależny ekspert ds. informatyki śledczej mógł prześledzić proces wnioskowania na podstawie tej samej bazy danych i w razie potrzeby go odtworzyć.
Klasyfikacja metodologiczna
W zakresie kryminalistyki informatycznej nie istnieje ustawowy wykaz obowiązkowych programów analitycznych. Z merytorycznego punktu widzenia istotne znaczenie mają: kontrolowana baza danych, integralność, udokumentowane etapy badania, zrozumiałe wnioski oraz możliwość niezależnej weryfikacji.
Moduł DER.2.2 „Środki zapobiegawcze w zakresie informatyki śledczej“ w ramach systemu podstawowej ochrony BSI zawiera przydatne wytyczne dotyczące przygotowania do przyszłych badań informatyki śledczej oraz zabezpieczania dowodów w przypadku incydentów związanych z bezpieczeństwem informatycznym. Nie stanowi on jednak w żadnym wypadku zbioru przepisów dotyczących badań kryminalistycznych w sprawach karnych; przedmiotem tego modułu nie jest również sama analiza kryminalistyczna. Nie jest on zatem przedstawiany jako standard kryminalistyczny w postępowaniu karnym.
LanCologne jako niezależny ekspert ds. IT
Gdy sąd musi zlecić wyjaśnienie konkretnej kwestii dowodowej o charakterze cyfrowym z technicznego punktu widzenia, analizujemy dostępną bazę danych w sposób niezależny i bez z góry przyjętych założeń. Celem nie jest uzyskanie jak największej liczby wyników technicznych, lecz sformułowanie uzasadnionej merytorycznie odpowiedzi: zrozumiałej dla sądu, przejrzystej pod względem toku rozumowania i możliwej do zweryfikowania pod względem technicznym.
Ramy prawne
W odniesieniu do dowodu z opinii biegłego w postępowaniu cywilnym zastosowanie mają w szczególności §§ 402 i nast. ZPO. Zgodnie z § 404a ZPO sąd kieruje pracą biegłego i może określić rodzaj oraz zakres jego działalności. W przypadku spornych okoliczności faktycznych sąd określa, które fakty mają stanowić podstawę ekspertyzy. § 407a ZPO zobowiązuje biegłego między innymi do niezwłocznego zbadania, czy zlecenie mieści się w zakresie jego specjalizacji; wątpliwości dotyczące treści i zakresu zlecenia powinny zostać wyjaśnione przez sąd. Pisemna ekspertyza oraz ewentualne wyjaśnienia lub uzupełnienia są uregulowane w § 411 ZPO. Ostateczna ocena ekspertyzy wraz z całością wyników postępowania dowodowego pozostaje w gestii sądu (§ 286 ZPO).
W przypadku ekspertyz w postępowaniu karnym do biegłych mają zastosowanie §§ 72 i nast. kodeksu postępowania karnego (StPO); § 78 StPO dotyczy kierowania przez sędziego działalnością biegłego. To, które przepisy mają zastosowanie w konkretnym postępowaniu, zależy od rodzaju postępowania i zlecenia. Ekspertyza informatyczno-kryminalistyczna nie zastępuje oceny prawnej.
Najczęściej zadawane pytania
LanCologne – informatyka śledcza dla sądów
Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.
W związku z tym tematem