IT-forenzika · preiskovalni organi

Kako se enako preiskujejo obremenilne in razbremenilne digitalne sledi?

V predhodnem postopku se IT-forenzična analiza ne sme omejiti zgolj na tehnično potrditev že obstoječe hipoteze o sumu.

Nezavezujoča poizvedba

Zakaj je to vprašanje pomembno za preiskovalne organe

Digitalne preiskave morajo prinašati zanesljiva dejstva, vendar ne smejo preveč razlagati tehničnih indicev. Za preiskovalno delo zato ni pomembno le, ali artefakt obstaja, ampak tudi, kaj dejansko dokazuje, katere nasprotne hipoteze obstajajo in katere nadaljnje zaključke v tem primeru ni dovoljeno sprejeti.

Tehnični pristop k preiskavi

Na podlagi preiskovalne domneve oblikujemo ustrezne preizkusne hipoteze in nasprotne hipoteze. Obremenilne in razbremenilne ugotovitve se dokumentirajo po istem strokovnem merilu.

Kje je meja izjavljanja

Pristop, odprt glede izida, lahko privede do tega, da se preiskovalna hipoteza potrdi, omeji ali pa se ugotovi, da ni tehnično utemeljena. Prav ta odprtost je strokovno nujna.

Zakaj LanCologne?

LanCologne pri preiskovalnih nalogih ne deluje po načelu tehnične potrditve vnaprej postavljene hipoteze o sumu. Izhodišče je konkretno preiskovalno vprašanje. V ta namen se enako preverjajo tako obremenilne kot razbremenilne tehnične možnosti.

Predloženi dokazi ali podatkovni nizi se nedvoumno dokumentirajo. Če je to tehnično mogoče, se analiza izvaja na preverjenih varnostnih kopijah oziroma ustreznih delovnih kopijah. Samodejno ustvarjeni zadetki se pri vprašanjih, pomembnih za odločitev, ne prevzamejo brez preverjanja. Preverijo se izvor, logika nastanka in kontekst artefakta; po potrebi se opravi neodvisna ponovna preveritev na podlagi izhodiščnih podatkov ali z drugo strokovno ustrezno metodo.

Za organ kazenskega preiskovanja je ključno, da se na podlagi tehničnega indicev ne izpelje močnejša trditev, kot jo dejansko podpirajo podatki. Zato razlikujemo med povezavo z napravo, povezavo z računom, povezavo z uporabnikom in pripisovanjem osebi, pa tudi med možnostjo, dejansko uporabo in dokazljivim dejanjem.

Enako pomemben je tudi negativen izid. Če se preiskovalna domneva na podlagi razpoložljivih podatkov ne more potrditi ali če obstajajo tehnično verjetne alternativne razlage, se to izrecno dokumentira. To ustreza nepristranskemu strokovnemu pristopu in podpira obveznost upoštevanja tako obremenilnih kot razbremenilnih okoliščin.

Od preiskovalnega naloga do zanesljive izjave

Ugotovitve, ki kažejo na krivdo, in ugotovitve, ki kažejo na nedolžnost

Strokovna preiskava mora ostati odprta glede izida. Če podatki podpirajo preiskovalno domnevo, se pojasni, na kakšen način. Če ji nasprotujejo zanesljivi dokazi ali če obstaja alternativna tehnična razlaga, se tudi to dokumentira. Če podatkov ni dovolj za zanesljivo ugotovitev, se to označi kot »ne dokazano«.

Razumljivo za tožilstvo, policijo, obrambo in sodišče

Glavna ugotovitev je formulirana v razumljivem jeziku. Hkrati so tehnične podlage, pomembne za preiskavo, dokumentirane tako, da lahko drug usposobljen IT-forenzik na podlagi iste baze podatkov razume ključne ugotovitve. S tem preiskava ostane pregledna tudi za poznejše ponovne preglede ali sodno pridobivanje dokazov.

LanCologne kot zunanji strokovnjak za informacijsko forenziko

Če mora preiskovalni organ neodvisno in tehnično utemeljeno pojasniti posebno digitalno vprašanje, mu LanCologne pomaga z razumljivo preiskavo, ki ne predpostavlja vnaprejšnjega izida. Cilj ni čim večje število zadetkov, temveč zanesljiv strokovni odgovor na konkretno preiskovalno vprašanje.

Vodenje preiskave in pravna ocena ostajata v pristojnosti ustreznih organov kazenskega pregona. V skladu s § 160 Zakona o kazenskem postopku (StPO) tožilstvo preiskuje dejansko stanje in mora ugotoviti tako obremenilne kot razbremenilne okoliščine. 161. člen Zakona o kazenskem postopku ureja njena splošna pooblastila za preiskovanje ter možnost, da preiskave opravijo organi in uradniki policijske službe. Naloge policije v preiskovalnem postopku so urejene v 163. členu Zakona o kazenskem postopku.

Za izvedence na splošno veljajo §§ 72 in naslednji ZK. § 161a(1) ZK izvedence obvezuje, da se na poziv zglasijo pred državnim tožilstvom in podajo svoje izvedensko mnenje; določbe sedmega oddelka, ki se nanašajo na izvedence, se uporabljajo ustrezno, če ni določeno drugače. 82. člen Zakona o kazenskem postopku (StPO) ureja obliko priprave izvedenskega mnenja v predhodnem postopku.

Zavarovanje in zaseg predmetov, ki bi lahko imeli dokazno vrednost, se urejata zlasti v skladu s členoma 94 in 98 Zakona o kazenskem postopku (StPO). Člen 110(3) StPO ureja pregled elektronskih nosilcev podatkov in pod tam navedenimi pogoji omogoča tudi zavarovanje podatkov, ki so pomembni za preiskavo. Odločitev o dopustnosti, obsegu in odredbi takšnih ukrepov je v pristojnosti pristojnih državnih organov, ne pa podjetja LanCologne.

V skladu s § 1(3) JVEG se vključitev s strani policije ali drugih organov kazenskega pregona po naročilu ali s predhodnim soglasjem tožilstva v smislu pravice do nadomestila obravnava enako kot vključitev s strani tožilstva.

Pogosta vprašanja

LanCologne – IT-forenzika za organe kazenskega preiskovanja

Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.

Stopite v stik zdaj