Kryminalistyka informatyczna · Sądy

Czy można wiarygodnie odtworzyć kolejność kilku czynności cyfrowych?

Niektóre kwestie dowodowe zależą nie tylko od tego, czy dane zdarzenia miały miejsce, ale także od tego, w jakiej kolejności. Należy przy tym uwzględnić daty podane w różnych źródłach oraz logikę ich powstania.

Wysyłaj zapytanie bez zobowiązań

Dla sądu nie ma znaczenia, ile programów analitycznych zostało wykorzystanych. Decydujące znaczenie ma to, jaki konkretny fakt techniczny można wiarygodnie ustalić na podstawie dostępnych danych, w jaki sposób dochodzi się do tego ustalenia oraz jakie są jego granice.

Konkretna kwestia dowodowa

Porównujemy niezależne źródła zdarzeń, w przejrzysty sposób normalizujemy odniesienia czasowe i sprawdzamy zależności między działaniami. Celem nie jest stworzenie jak najobszerniejszej osi czasu, lecz udzielenie wiarygodnej odpowiedzi na konkretne pytanie dotyczące kolejności wydarzeń.

Dlaczego pojedynczy ślad cyfrowy rzadko wystarcza

Artefakty cyfrowe powstają w systemach wyposażonych we własne mechanizmy przechowywania, synchronizacji i rejestrowania. Dlatego też pojedynczy znacznik czasu, wpis w dzienniku lub wartość w bazie danych nie są traktowane jako ostateczny dowód bez uwzględnienia kontekstu. O ile wymaga tego kwestia dowodowa, koreluje się ze sobą kilka niezależnych od siebie śladów i weryfikuje się technicznie prawdopodobne hipotezy przeciwne.

Gdzie leży granica możliwości wypowiedzi

Blisko położone znaczniki czasu nie zawsze pozwalają na ustalenie kolejności z dokładnością do sekundy. Ograniczenia wynikają z rozdzielczości, opóźnień w zapisie, pamięci podręcznych i zegarów systemowych.

Jak LanCologne podchodzi do zadania dowodowego

W przypadku metody LanCologne analiza rozpoczyna się od sformułowania pytania dowodowego, a nie od konkretnego programu analitycznego. Najpierw ustala się, jaki fakt techniczny ma zostać ustalony, które źródła danych mają w tym zakresie znaczenie oraz jakie hipotezy przeciwne należy uwzględnić.

Materiały dowodowe i dane wyjściowe są jednoznacznie dokumentowane. O ile jest to technicznie możliwe, analiza przeprowadzana jest na zweryfikowanych kopiach zapasowych o charakterze kryminalistycznym lub odpowiednich kopiach roboczych. Trafienia mające znaczenie dla podjęcia decyzji nie są przyjmowane wyłącznie na tej podstawie, że zostały wskazane przez oprogramowanie. Sprawdzamy pochodzenie, logikę powstania i kontekst artefaktu, a w razie potrzeby weryfikujemy kluczowe ustalenia na podstawie danych źródłowych lub przy użyciu drugiej, odpowiedniej z technicznego punktu widzenia metody.

W ekspertyzie oddzielono od siebie ustalenia faktyczne, interpretację techniczną i wnioski. Równie jasno opisano granice stwierdzeń: co da się udowodnić? Co jest jedynie poparte dowodami? Jakie istnieją wyniki przeciwne? Co pozostaje otwarte? Brak dowodów nie jest przekształcany w pozornie pewne stwierdzenie.

Główna część jest sporządzona w taki sposób, aby sędzia nieposiadający specjalistycznej wiedzy z zakresu informatyki śledczej mógł zrozumieć tok rozumowania. Zachowana zostaje techniczna weryfikowalność. Źródła danych istotnych dla kontroli, informacje dotyczące integralności, artefakty oraz etapy badania są dokumentowane w taki sposób, aby niezależny ekspert z zakresu informatyki śledczej mógł prześledzić kluczowe ustalenia na potrzeby ewentualnej ekspertyzy kontrargumentacyjnej.

Od nakazu sądowego do wiarygodnego zeznania

Wyniki pozytywne, wyniki negatywne i brak wykrycia

Wynik ekspertyzy musi być otwarty na różne możliwości. Jeśli dane potwierdzają badaną hipotezę, wyjaśnia się, na czym się ona opiera. Jeśli wiarygodne dowody zaprzeczają tej hipotezie, należy je również przedstawić. Jeśli baza danych nie jest wystarczająca do podjęcia pewnej decyzji, określa się to jako brak dowodów lub otwartą kwestię techniczną. Właśnie takie rozróżnienie zapobiega sytuacji, w której luka w danych prowadzi do sformułowania pozornie pewnego stwierdzenia.

Zrozumiałe dla sądu – możliwe do zweryfikowania pod kątem technicznym przez biegłego kontrrewizora

Istota zagadnienia jest wyjaśniona przystępnym językiem. Terminy specjalistyczne są używane tylko tam, gdzie jest to konieczne, a następnie wyjaśniane. Jednocześnie zachowane zostają kluczowe podstawy techniczne: badane źródła danych, istotne artefakty, informacje o integralności, odniesienia czasowe oraz etapy metodologiczne. Specjalista ds. informatyki śledczej, który nie jest zaznajomiony z daną procedurą, powinien mieć możliwość zweryfikowania tok rozumowania, przy czym tekst główny nie staje się dla sądu zbiorem surowych danych technicznych.

Klasyfikacja metodologiczna

W zakresie sądowej informatyki kryminalistycznej nie istnieje ustawowy wykaz obowiązkowych programów analitycznych. Z fachowego punktu widzenia decydujące znaczenie mają: kontrolowana baza danych, integralność, udokumentowane etapy badania, zrozumiałe wnioski oraz możliwość przeprowadzenia niezależnej weryfikacji.

Moduł DER.2.2 „Środki zapobiegawcze w zakresie informatyki śledczej“ w ramach systemu podstawowej ochrony BSI zawiera przydatne wytyczne dotyczące przygotowania do przyszłych badań kryminalistycznych oraz zabezpieczania dowodów w przypadku incydentów związanych z bezpieczeństwem informatycznym. Nie stanowi on jednak standardu kryminalistycznego w ramach postępowania karnego; właściwa analiza kryminalistyczna nie jest przedmiotem niniejszego modułu. Wyraźnie uwzględnia się to rozróżnienie.

LanCologne jako niezależny ekspert ds. IT

Gdy sąd musi zlecić wyjaśnienie konkretnej kwestii dowodowej o charakterze cyfrowym z technicznego punktu widzenia, analizujemy dostępną bazę danych w sposób niezależny i bez z góry przyjętych założeń. Celem nie jest zebranie jak największej liczby wyników technicznych, lecz uzyskanie merytorycznie uzasadnionej odpowiedzi: zrozumiałej dla sądu, przejrzystej pod względem sposobu jej uzyskania oraz możliwej do zweryfikowania pod względem technicznym.

W odniesieniu do dowodu z opinii biegłego w postępowaniu cywilnym istotne znaczenie mają w szczególności §§ 402 i nast. ZPO. § 403 ZPO dotyczy określenia kwestii podlegających ocenie biegłego. Zgodnie z § 404a ZPO sąd kieruje działalnością biegłego i może określić rodzaj oraz zakres jego czynności. § 407a ZPO określa obowiązki biegłego, między innymi w zakresie sprawdzenia własnej specjalizacji oraz wyjaśnienia wątpliwości dotyczących treści i zakresu zlecenia. § 411 ZPO reguluje kwestię pisemnej opinii biegłego, a także jej wyjaśnienia i uzupełnienia. Ocena ekspertyzy wraz z pozostałymi wynikami postępowania dowodowego pozostaje w gestii sądu (§ 286 ZPO).

W przypadku ekspertyz w postępowaniu karnym do biegłych mają zastosowanie §§ 72 i nast. kodeksu postępowania karnego (StPO). To, które przepisy mają zastosowanie w konkretnym postępowaniu, zależy od zlecenia i rodzaju postępowania. Ekspertyza informatyczno-kryminalistyczna nie zastępuje ani oceny prawnej, ani sądowej oceny dowodów.

Najczęściej zadawane pytania

LanCologne – informatyka śledcza dla sądów

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz