IT-forenzika · preiskovalni organi
Kako se neodvisno preverja veljavnost že obstoječih forenzičnih analiz?
Avtomatizirana poročila ali pretekle analize lahko predstavljajo pomembno podlago, vendar morajo biti v primeru ključnih spornih točk tehnično preverljiva.
Zakaj je to vprašanje pomembno za preiskovalne organe
Digitalne preiskave morajo prinašati zanesljiva dejstva, vendar ne smejo preveč razlagati tehničnih indicev. Za preiskovalno delo zato ni pomembno le, ali artefakt obstaja, ampak tudi, kaj dejansko dokazuje, katere nasprotne hipoteze obstajajo in katere nadaljnje zaključke v tem primeru ni dovoljeno sprejeti.
Tehnični pristop k preiskavi
Na podlagi izhodiščnih podatkov preverjamo izvor podatkov, uporabljene metode pridobivanja podatkov, ključne artefakte, interpretacije časovnih podatkov in zaključke.
Kje je meja izjavljanja
Razlika v prikazu programske opreme ni dokaz napake. Odločilno je, kaj dejansko vsebujejo osnovni podatki.
Zakaj LanCologne?
LanCologne pri preiskovalnih nalogih ne deluje po načelu tehnične potrditve vnaprej postavljene hipoteze o sumu. Izhodišče je konkretno preiskovalno vprašanje. V ta namen se enako preverjajo tako obremenilne kot razbremenilne tehnične možnosti.
Predloženi dokazi ali podatkovni nizi se nedvoumno dokumentirajo. Če je to tehnično mogoče, se analiza izvaja na preverjenih varnostnih kopijah oziroma ustreznih delovnih kopijah. Samodejno ustvarjeni zadetki se pri vprašanjih, pomembnih za odločitev, ne prevzamejo brez preverjanja. Preverijo se izvor, logika nastanka in kontekst artefakta; po potrebi se opravi neodvisna ponovna preveritev na podlagi izhodiščnih podatkov ali z drugo strokovno ustrezno metodo.
Za organ kazenskega preiskovanja je ključno, da se na podlagi tehničnega indicev ne izpelje močnejša trditev, kot jo dejansko podpirajo podatki. Zato razlikujemo med povezavo z napravo, povezavo z računom, povezavo z uporabnikom in pripisovanjem osebi, pa tudi med možnostjo, dejansko uporabo in dokazljivim dejanjem.
Enako pomemben je tudi negativen izid. Če se preiskovalna domneva na podlagi razpoložljivih podatkov ne more potrditi ali če obstajajo tehnično verjetne alternativne razlage, se to izrecno dokumentira. To ustreza nepristranskemu strokovnemu pristopu in podpira obveznost upoštevanja tako obremenilnih kot razbremenilnih okoliščin.
Od preiskovalnega naloga do zanesljive izjave
Ugotovitve, ki kažejo na krivdo, in ugotovitve, ki kažejo na nedolžnost
Strokovna preiskava mora ostati odprta glede izida. Če podatki podpirajo preiskovalno domnevo, se pojasni, na kakšen način. Če ji nasprotujejo zanesljivi dokazi ali če obstaja alternativna tehnična razlaga, se tudi to dokumentira. Če podatkov ni dovolj za zanesljivo ugotovitev, se to označi kot »ne dokazano«.
Razumljivo za tožilstvo, policijo, obrambo in sodišče
Glavna ugotovitev je formulirana v razumljivem jeziku. Hkrati so tehnične podlage, pomembne za preiskavo, dokumentirane tako, da lahko drug usposobljen IT-forenzik na podlagi iste baze podatkov razume ključne ugotovitve. S tem preiskava ostane pregledna tudi za poznejše ponovne preglede ali sodno pridobivanje dokazov.
LanCologne kot zunanji strokovnjak za informacijsko forenziko
Če mora preiskovalni organ neodvisno in tehnično utemeljeno pojasniti posebno digitalno vprašanje, mu LanCologne pomaga z razumljivo preiskavo, ki ne predpostavlja vnaprejšnjega izida. Cilj ni čim večje število zadetkov, temveč zanesljiv strokovni odgovor na konkretno preiskovalno vprašanje.
Pravni okvir
Vodenje preiskave in pravna ocena ostajata v pristojnosti ustreznih organov kazenskega pregona. V skladu s § 160 Zakona o kazenskem postopku (StPO) tožilstvo preiskuje dejansko stanje in mora ugotoviti tako obremenilne kot razbremenilne okoliščine. 161. člen Zakona o kazenskem postopku ureja njena splošna pooblastila za preiskovanje ter možnost, da preiskave opravijo organi in uradniki policijske službe. Naloge policije v preiskovalnem postopku so urejene v 163. členu Zakona o kazenskem postopku.
Za izvedence na splošno veljajo §§ 72 in naslednji ZK. § 161a(1) ZK izvedence obvezuje, da se na poziv zglasijo pred državnim tožilstvom in podajo svoje izvedensko mnenje; določbe sedmega oddelka, ki se nanašajo na izvedence, se uporabljajo ustrezno, če ni določeno drugače. 82. člen Zakona o kazenskem postopku (StPO) ureja obliko priprave izvedenskega mnenja v predhodnem postopku.
Zavarovanje in zaseg predmetov, ki bi lahko imeli dokazno vrednost, se urejata zlasti v skladu s členoma 94 in 98 Zakona o kazenskem postopku (StPO). Člen 110(3) StPO ureja pregled elektronskih nosilcev podatkov in pod tam navedenimi pogoji omogoča tudi zavarovanje podatkov, ki so pomembni za preiskavo. Odločitev o dopustnosti, obsegu in odredbi takšnih ukrepov je v pristojnosti pristojnih državnih organov, ne pa podjetja LanCologne.
V skladu s § 1(3) JVEG se vključitev s strani policije ali drugih organov kazenskega pregona po naročilu ali s predhodnim soglasjem tožilstva v smislu pravice do nadomestila obravnava enako kot vključitev s strani tožilstva.
Pogosta vprašanja
LanCologne – IT-forenzika za organe kazenskega preiskovanja
Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.