Kryminalistyka informatyczna · Sądy

Jaką wartość dowodową mają kopie zapasowe, migawki i archiwalne kopie zapasowe?

Historyczne kopie zapasowe mogą ujawnić wcześniejsze stany, które nie są już dostępne w obecnym systemie. W celu ustalenia faktów należy wyjaśnić, kiedy powstała kopia zapasowa, co obejmuje oraz czy zawarty w niej stan można wiarygodnie przypisać do określonego okresu.

Wysyłaj zapytanie bez zobowiązań

Co właściwie musi wyjaśnić rzeczoznawca?

Nie liczy się ilość znalezionych artefaktów. Decydujące znaczenie ma to, czy istotne ślady cyfrowe potwierdzają fakt określony w przedmiocie dowodowym, zaprzeczają mu, czy też nie pozwalają na sformułowanie wiarygodnego wniosku. W tym celu ustalenia rozpatruje się w kontekście technicznym, a hipotezy przeciwne są wyraźnie brane pod uwagę.

Gdzie leży granica możliwości wypowiedzi

Kopia zapasowa nie jest bezpośrednim odzwierciedleniem każdej operacji w czasie rzeczywistym. Na jej miarodajność wpływają częstotliwość tworzenia kopii zapasowych, wykluczenia oraz późniejsze przywracanie danych.

Jak LanCologne podchodzi do zadania dowodowego

W przypadku zleceń sądowych naszą pracę rozpoczynamy od ustalenia kwestii dowodowej, a nie od programu analitycznego. Określamy, który fakt techniczny należy wyjaśnić, które źródła danych mają w tym zakresie znaczenie oraz jakie alternatywne wyjaśnienia należy zbadać.

Baza danych jest jednoznacznie udokumentowana i, o ile jest to technicznie możliwe, badana na podstawie zweryfikowanych kopii zapasowych o charakterze kryminalistycznym lub kopii roboczych. W przypadku kwestii mających znaczenie dla podjęcia decyzji zautomatyzowane wyniki nie są przyjmowane bez weryfikacji. Decydujące znaczenie mają pochodzenie, logika powstania oraz kontekst danego artefaktu. W razie potrzeby wyniki są weryfikowane na podstawie danych surowych lub przy użyciu niezależnej, drugiej metody odpowiedniej z punktu widzenia merytorycznego.

W ekspertyzie rozróżniamy ustalenia faktyczne, ocenę techniczną i wnioski. Równie jasno określamy granice naszych stwierdzeń: co zostało udowodnione, co jest jedynie poparte dowodami, co pozostaje nierozstrzygnięte, a czego nie da się ustalić na podstawie dostępnych danych?

Główna część została sformułowana w sposób zrozumiały dla sędziów i innych osób niebędących ekspertami kryminalistycznymi. Możliwość weryfikacji technicznej zapewnia oddzielna część techniczna. Znajdują się w niej dokumentowane źródła danych, wartości integralności, artefakty i etapy badania, które są niezbędne do przeprowadzenia niezależnej weryfikacji.

Nasze podejście do pracy

1Należy dokonać fachowego rozróżnienia między zleceniem sądowym a kwestią dowodową.
2Należy sprawdzić dziedzinę specjalizacji, termin oraz ewentualne wątpliwości co do bezstronności.
3Należy jednoznacznie udokumentować środki dowodowe i dane wyjściowe.
4Zapewnić integralność i w miarę możliwości unikać zmian.
5Na podstawie zagadnienia dowodowego sformułować hipotezy badawcze i hipotezy przeciwne.
6Przeprowadzać ukierunkowaną analizę odpowiednich źródeł danych.
7Należy poddać fachowej weryfikacji kluczowe wyniki badań oraz sprawdzić alternatywne wyjaśnienia.
8Należy udokumentować nieścisłości, brakujące dane oraz ograniczenia techniczne.
9Należy jednoznacznie odpowiedzieć na pytanie dowodowe, nie wykraczając poza znaczenie danych.
10Należy określić podstawy techniczne niezbędne do przeprowadzenia niezależnej weryfikacji.

Klasyfikacja metodologiczna

W zakresie informatyki śledczej nie istnieje ustawowy wykaz obowiązkowych produktów oprogramowania. Moduł DER.2.2 programu „Grundschutz” BSI zawiera przydatne wytyczne dotyczące działań zapobiegawczych, zabezpieczania dowodów oraz prezentacji wyników dostosowanej do potrzeb odbiorców w przypadku incydentów związanych z bezpieczeństwem informatycznym. Wyraźnie zaznacza się w nim jednak, że sama analiza kryminalistyczna nie jest przedmiotem tego modułu i że nie odnosi się on do badań kryminalistycznych w sprawach karnych. Nie przedstawiamy go zatem jako standardu w postępowaniu karnym.

Ramy prawne

ZPO §§ 403, 404a, 407a, 411; § 286 ZPO.

Ostateczna ocena dowodów należy do kompetencji sądu. Nasza działalność biegłoznawcza ogranicza się do udzielenia fachowej odpowiedzi na techniczne pytanie dowodowe w ramach powierzonego nam zlecenia.

Najczęściej zadawane pytania

Jaką wartość dowodową mają kopie zapasowe, migawki i archiwalne kopie zapasowe?+
Zarchiwizowane kopie zapasowe mogą ujawnić wcześniejsze stany, które nie są już dostępne w obecnym systemie.
Jak w praktyce przebiega takie badanie techniczne?+
W przypadku zleceń sądowych naszą pracę rozpoczynamy od ustalenia kwestii dowodowej, a nie od programu analitycznego. Określamy, który fakt techniczny należy wyjaśnić, które źródła danych mają w tym zakresie znaczenie oraz jakie alternatywne wyjaśnienia należy zbadać.
Czy wynik badania daje sądowi jednoznaczną podstawę do wydania orzeczenia?+
Kopia zapasowa nie jest bezpośrednim odzwierciedleniem każdej operacji w czasie rzeczywistym. Na jej miarodajność wpływają częstotliwość tworzenia kopii zapasowych, wykluczenia oraz późniejsze przywracanie danych.
Czy istnieje ku temu podstawa prawna?+
ZPO §§ 403, 404a, 407a, 411; § 286 ZPO. Ostateczna ocena dowodów pozostaje w gestii sądu. Nasza działalność ekspercką ogranicza się do udzielenia fachowej odpowiedzi na techniczne pytanie dowodowe w ramach zlecenia.

LanCologne – informatyka śledcza dla sądów

Potrzebują Państwo niezależnej ekspertyzy informatyczno-kryminalistycznej dotyczącej konkretnej kwestii dowodowej w postępowaniu sądowym? LanCologne analizuje dostępne ślady cyfrowe bez z góry przyjętych wniosków i w przejrzysty sposób dokumentuje kluczowe ustalenia, ustalenia przeciwne oraz ograniczenia techniczne.

Skontaktuj się z nami już teraz