Kryminalistyka informatyczna · Sądy

W jakim stopniu metadane, które można zmieniać ręcznie, mają wartość dowodową?

Wiele pól metadanych można edytować za pomocą standardowego oprogramowania. Ich wartość dowodowa zależy zatem w znacznym stopniu od tego, czy są one zgodne z niezależnymi śladami.

Wysyłaj zapytanie bez zobowiązań

Dla sądu nie ma znaczenia, ile programów jest wykorzystywanych. Decydujące znaczenie ma to, jakie fakty techniczne można wiarygodnie ustalić na podstawie dostępnej bazy danych, w jaki sposób dochodzi się do tych ustaleń oraz jakie są granice ich interpretacji.

Konkretna kwestia dowodowa

Sprawdzamy metadane wewnętrzne i zewnętrzne pod kątem zgodności z informacjami dotyczącymi systemu plików, aplikacji, Server oraz wersji.

Dlaczego kontekst techniczny ma kluczowe znaczenie

Ślady cyfrowe nie powstają w izolacji. System operacyjny, aplikacja, usługa w chmurze, sieć i kontekst użytkownika mogą w różny sposób generować ten sam widoczny wynik. Dlatego pojedynczy znacznik czasu, wpis w dzienniku lub wartość w bazie danych nie są traktowane jako ostateczny wniosek bez sprawdzenia logiki ich powstania. W razie potrzeby koreluje się ze sobą kilka niezależnych od siebie śladów.

Gdzie leży granica możliwości wypowiedzi

Pojedynczego pola metadanych nie traktuje się jako niezmiennej prawdy. Odchylenia mogą wynikać z manipulacji, migracji, konwersji lub zwykłych procesów oprogramowania.

Jak LanCologne podchodzi do zadania dowodowego

W przypadku LanCologne sądowa informatyka śledcza rozpoczyna się od ustalenia przedmiotu dowodu, a nie od wyboru konkretnego programu analitycznego. Najpierw określa się, który fakt techniczny należy wyjaśnić, które źródła danych mają w tym zakresie znaczenie oraz które alternatywne wyjaśnienia należy poważnie rozważyć.

Dane wyjściowe i materiały dowodowe są dokumentowane. O ile jest to technicznie możliwe, analiza przeprowadzana jest na zweryfikowanych kopiach zapasowych z zakresu kryminalistyki lub odpowiednich kopiach roboczych. Automatycznie wygenerowane dopasowania nie są przyjmowane bez weryfikacji w przypadku kwestii mających znaczenie dla podjęcia decyzji. Decydujące znaczenie mają pochodzenie, logika powstania oraz kontekst danego artefaktu. W razie potrzeby kluczowe ustalenia są weryfikowane na podstawie danych źródłowych lub przy użyciu drugiej, odpowiedniej pod względem merytorycznym metody.

W ekspertyzie należy oddzielić ustalenia faktyczne, interpretację merytoryczną i wnioski. Równie ważne są granice stwierdzeń: co jest potwierdzone technicznie? Co jest jedynie poparte dowodami? Jakie istnieją wyniki sprzeczne? Jakie alternatywne wyjaśnienia pozostają możliwe? Czego nie da się ustalić na podstawie dostępnych danych?

Główna część została sformułowana w sposób zrozumiały dla sędziów i innych uczestników postępowania, którzy nie posiadają specjalistycznej wiedzy z zakresu informatyki śledczej. Zachowana została możliwość weryfikacji technicznej. Źródła danych, informacje dotyczące integralności, artefakty oraz etapy badania, które są niezbędne do przeprowadzenia niezależnej weryfikacji, zostały w sposób przejrzysty udokumentowane w części technicznej.

Od zlecenia do wiarygodnego wniosku

Wynik, wynik przeciwny i brak wykrycia

Ekspertyza sądowa musi pozostawać otwarta co do wyniku. Jeśli dane potwierdzają hipotezę, wyjaśnia się, w jaki sposób. Jeśli wiarygodne ślady zaprzeczają hipotezie, należy je również przedstawić. Jeśli baza danych jest niewystarczająca, należy wyraźnie zaznaczyć brak dowodów. Nie można konstruować pozornie pewnych wniosków na podstawie luk w danych.

Zrozumiałe dla sądu – możliwe do zweryfikowania przez biegłego kontrwyborczego

Istota zagadnienia jest wyjaśniona przystępnym językiem. Terminy techniczne są używane tylko tam, gdzie jest to konieczne, a następnie wyjaśniane. Jednocześnie kluczowe podstawy techniczne są udokumentowane w taki sposób, aby niezależny ekspert ds. informatyki śledczej mógł prześledzić proces wnioskowania na podstawie tej samej bazy danych i w razie potrzeby go odtworzyć.

Klasyfikacja metodologiczna

W zakresie kryminalistyki informatycznej nie istnieje ustawowy wykaz obowiązkowych programów analitycznych. Z merytorycznego punktu widzenia istotne znaczenie mają: kontrolowana baza danych, integralność, udokumentowane etapy badania, zrozumiałe wnioski oraz możliwość niezależnej weryfikacji.

Moduł DER.2.2 „Środki zapobiegawcze w zakresie informatyki śledczej“ w ramach systemu podstawowej ochrony BSI zawiera przydatne wytyczne dotyczące przygotowania do przyszłych badań informatyki śledczej oraz zabezpieczania dowodów w przypadku incydentów związanych z bezpieczeństwem informatycznym. Nie stanowi on jednak w żadnym wypadku zbioru przepisów dotyczących badań kryminalistycznych w sprawach karnych; przedmiotem tego modułu nie jest również sama analiza kryminalistyczna. Nie jest on zatem przedstawiany jako standard kryminalistyczny w postępowaniu karnym.

LanCologne jako niezależny ekspert ds. IT

Gdy sąd musi zlecić wyjaśnienie konkretnej kwestii dowodowej o charakterze cyfrowym z technicznego punktu widzenia, analizujemy dostępną bazę danych w sposób niezależny i bez z góry przyjętych założeń. Celem nie jest uzyskanie jak największej liczby wyników technicznych, lecz sformułowanie uzasadnionej merytorycznie odpowiedzi: zrozumiałej dla sądu, przejrzystej pod względem toku rozumowania i możliwej do zweryfikowania pod względem technicznym.

W odniesieniu do dowodu z opinii biegłego w postępowaniu cywilnym zastosowanie mają w szczególności §§ 402 i nast. ZPO. Zgodnie z § 404a ZPO sąd kieruje pracą biegłego i może określić rodzaj oraz zakres jego działalności. W przypadku spornych okoliczności faktycznych sąd określa, które fakty mają stanowić podstawę ekspertyzy. § 407a ZPO zobowiązuje biegłego między innymi do niezwłocznego zbadania, czy zlecenie mieści się w zakresie jego specjalizacji; wątpliwości dotyczące treści i zakresu zlecenia powinny zostać wyjaśnione przez sąd. Pisemna ekspertyza oraz ewentualne wyjaśnienia lub uzupełnienia są uregulowane w § 411 ZPO. Ostateczna ocena ekspertyzy wraz z całością wyników postępowania dowodowego pozostaje w gestii sądu (§ 286 ZPO).

W przypadku ekspertyz w postępowaniu karnym do biegłych mają zastosowanie §§ 72 i nast. kodeksu postępowania karnego (StPO); § 78 StPO dotyczy kierowania przez sędziego działalnością biegłego. To, które przepisy mają zastosowanie w konkretnym postępowaniu, zależy od rodzaju postępowania i zlecenia. Ekspertyza informatyczno-kryminalistyczna nie zastępuje oceny prawnej.

Najczęściej zadawane pytania

LanCologne – informatyka śledcza dla sądów

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz