Kryminalistyka informatyczna · Sądy
Informatyka śledcza dla sądów – w centrum uwagi znajduje się kwestia dowodowa
Sąd nie potrzebuje jak najdłuższego raportu technicznego ani wykazu wykorzystanych programów. Potrzebuje rzetelnej odpowiedzi na postawione pytanie dowodowe.
Właśnie na tym skupiamy nasze badania. Najpierw ustalamy, na jakie pytania techniczne należy odpowiedzieć. Następnie określamy, które źródła danych są do tego odpowiednie, jakie etapy badania są konieczne oraz jakie alternatywne wyjaśnienia należy uwzględnić. Dopiero wtedy rozpoczyna się właściwa analiza.
Wynikiem może być potwierdzenie, wykluczenie lub uzasadnione stwierdzenie, że „na podstawie dostępnych danych nie można tego jednoznacznie ustalić“. Wszystkie trzy wyniki mogą być merytorycznie poprawne. Decydujące znaczenie ma to, by sąd mógł zrozumieć, w jaki sposób doszło do sformułowania danego stwierdzenia i jakie są jego granice.
Rzeczywista kwestia dowodowa
W jaki sposób kwestia dowodowa rozpatrywana przez sąd przekształca się w badanie o solidnych podstawach technicznych?
Rozkładamy kwestię sądową na podkwestie, które można zweryfikować technicznie. Jeśli na przykład należy ustalić, czy plik został zmodyfikowany w określonym dniu, pojedynczy znacznik czasu nie wystarczy. Należy sprawdzić między innymi metadane systemu plików, ślady działania aplikacji, kopie zapasowe, logi oraz, w razie potrzeby, procesy synchronizacji.
Badanie pozostaje przy tym związane z zleceniem sądowym. W przypadku spornych okoliczności faktycznych sąd określa, zgodnie z § 404a ust. 3 ZPO, które fakty mają stanowić podstawę ekspertyzy. Nie zastępujemy tych wytycznych własnymi założeniami.
Gdzie leży granica możliwości wypowiedzi
Biegły nie może samodzielnie przekształcić niejasnej kwestii dowodowej w inną kwestię. W przypadku wątpliwości co do treści lub zakresu zlecenia § 407a ust. 4 ZPO wymaga wyjaśnienia tej kwestii przez sąd.
Dlaczego LanCologne?
W przypadku zleceń sądowych nie ma dla nas znaczenia, który program analityczny jako pierwszy wskaże wynik pozytywny. Decydujące znaczenie ma to, czy na pytanie dowodowe można udzielić merytorycznej odpowiedzi oraz czy odpowiedź ta wytrzyma niezależną weryfikację.
Pracujemy bez z góry przyjętych wniosków, dokumentujemy źródło kluczowych ustaleń i weryfikujemy alternatywne wyjaśnienia techniczne. Właściwa analiza odbywa się zasadniczo na kopii kryminalistycznej lub zbiorze danych zarejestrowanym w sposób zabezpieczający dowody. Oryginałów nie bada się bezpośrednio bez konieczności. W przypadkach, gdy działania na żywo są technicznie niezbędne, ewentualne zmiany wynikające z nich są wyraźnie dokumentowane.
W zależności od stawianego pytania kluczowe wyniki są weryfikowane za pomocą drugiej, odpowiedniej pod względem merytorycznym metody lub bezpośrednio na podstawie surowych danych źródłowych. Wybór narzędzi do tego celu zależy od rodzaju dowodów i stawianego pytania. Decydujące znaczenie mają przydatność, uznanie w środowisku fachowym oraz powtarzalność metody – a nie nazwa produktu.
W naszej ekspertyzie rozróżniamy ustalenia faktyczne, ocenę techniczną oraz pozostałą niepewność. Brak dowodów jest uzasadniony równie starannie, jak dowody potwierdzające.
Tak pracujemy w przypadku zleceń sądowych
Nasza metoda pracy – od zlecenia sądowego do odpowiedzi
W pierwszej kolejności sprawdzamy, czy dana kwestia wchodzi w zakres naszej specjalizacji, na jakich faktach opiera się sąd oraz czy treść lub zakres zlecenia są jednoznaczne. W razie wątpliwości zwracamy się do sądu o wyjaśnienie. Jest to zgodne z § 404a i § 407a ZPO.
Ewentualne przyczyny, które mogłyby budzić wątpliwości co do bezstronności, są sprawdzane przed rozpoczęciem postępowania merytorycznego i w razie potrzeby ujawniane sądowi.
Urządzenia, nośniki danych, kopie zapasowe i udostępnione pliki są identyfikowane i dokumentowane. Stan, w jakim przeprowadzono badanie, zostaje odnotowany.
O ile jest to technicznie możliwe, tworzona jest kopia kryminalistyczna lub obraz kryminalistyczny. Wartości skrótu i inne testy integralności służą jednoznacznemu przyporządkowaniu. Oryginał jest zachowywany do celów późniejszych kontroli.
Określamy, jakie ślady potwierdzałyby rzekome zdarzenie, jakie są możliwe wyniki sprzeczne oraz jakie alternatywne wyjaśnienia techniczne należy zbadać.
Analizie poddawane są wyłącznie te artefakty, które mają wartość merytoryczną dla rozstrzygnięcia sprawy. Automatyczne trafienia nie są przyjmowane bez weryfikacji.
Ustalenia mające znaczenie dla podjęcia decyzji są – w razie potrzeby – weryfikowane przy użyciu drugiej uznanej metody, z innego punktu widzenia technicznego lub bezpośrednio na podstawie danych surowych.
Wyraźnie sprawdzamy, jakich wniosków nie wolno wyciągać na podstawie tych danych. Wskazujemy na brakujące dane, ewentualne usunięcia, ograniczenia techniczne, niekompletne wyciągi lub sprzeczne ślady.
Ostateczna odpowiedź wynika z udokumentowanych wyników badań. Nie jest ona sformułowana w sposób bardziej stanowczy, niż pozwalają na to dane.
Główna część tekstu jest zrozumiała również dla osób niebędących ekspertami w dziedzinie informatyki śledczej. Załącznik techniczny zawiera informacje potrzebne niezależnemu ekspertowi w dziedzinie informatyki śledczej do przeprowadzenia fachowej weryfikacji lub sporządzenia kontr ekspertyzy.
Ramy prawne
ZPO §§ 403, 404a, 407a, 411, 412; dodatkowo § 286 ZPO dotyczący sądowej oceny dowodów. W sprawach karnych w odniesieniu do biegłych zastosowanie mają §§ 72 i nast. StPO.
Biegły dostarcza merytoryczną podstawę faktyczną. Ocena prawna oraz ostateczna ocena dowodów pozostają w gestii sądu.
Najczęściej zadawane pytania
LanCologne – informatyka śledcza dla sądów
Potrzebują Państwo niezależnej ekspertyzy technicznej w sprawie dowodowej przed sądem? LanCologne bada ślady cyfrowe w sposób obiektywny, przejrzysty i powtarzalny. Dokumentujemy zarówno wyniki pozytywne, jak i brak dowodów oraz ograniczenia techniczne w taki sposób, aby wnioski były zrozumiałe dla sądu i możliwe do weryfikacji merytorycznej przez niezależnego eksperta w dziedzinie informatyki śledczej.
W związku z tym tematem