IT-forenzika · Sodišča

Kakšno vrednost imajo osnutki, datoteke za samodejno shranjevanje in začasni dokumenti?

Vmesni rezultati lahko prikazujejo prejšnje vsebine dokumenta in so pomembni za zgodovino njegovega nastanka.

Nezavezujoča poizvedba

Za sodišče ni odločilno, koliko programov se uporablja. Odločilno je, katero tehnično dejstvo je mogoče zanesljivo ugotoviti na podlagi obstoječe baze podatkov, kako pride do te ugotovitve in kakšne so omejitve pri njeni interpretaciji.

Konkretno vprašanje glede dokazov

Preučujemo datoteke osnutkov, samodejne varnostne kopije, začasne kopije, podatke o različicah ter njihovo povezavo s končnim dokumentom.

Zakaj je tehnični kontekst odločilnega pomena

Digitalne sledi ne nastajajo izolirano. Operacijski sistem, aplikacija, storitev v oblaku, omrežje in uporabniški kontekst lahko na različne načine ustvarijo isti vidni izsledek. Zato se posamezen časovni žig, vnos v dnevnik ali vrednost v bazi podatkov ne upošteva kot dokončna ugotovitev brez preverjanja logike njegovega nastanka. Po potrebi se med seboj poveže več medsebojno neodvisnih sledi.

Kje je meja izjavljanja

Samodejno shranjen vmesni rezultat ne dokazuje, da je bil namerno shranjen, poslan ali prikazan drugi osebi.

Kako LanCologne obravnava dokazno vprašanje

Pri LanCologne se sodna informacijska forenzika začne z vprašanjem dokazovanja in ne z določenim programom za analizo. Najprej se določi, katero tehnično dejstvo je treba pojasniti, kateri viri podatkov so za to relevantni in katere alternativne razlage je treba resno preučiti.

Izhodni podatki in dokazno gradivo se dokumentirajo. Če je to tehnično mogoče, se analiza izvaja na preverjenih forenzičnih varnostnih kopijah ali ustreznih delovnih kopijah. Samodejno ustvarjeni zadetki se pri vprašanjih, pomembnih za odločitev, ne prevzamejo brez preverjanja. Odločilni so izvor, logika nastanka in kontekst posameznega artefakta. Ključne ugotovitve se po potrebi preverijo na podlagi izhodiščnih podatkov ali z drugo strokovno ustrezno metodo.

V strokovnem mnenju se ločujejo ugotovitve dejanskega stanja, strokovna interpretacija in zaključki. Enako pomembna je tudi meja izjav: Kaj je tehnično dokazano? Kaj je le podprto z dokazi? Katere nasprotne ugotovitve obstajajo? Katera alternativna razlaga ostaja možna? Česa na podlagi razpoložljivih podatkov ni mogoče ugotoviti?

Glavni del je napisan na način, ki je razumljiv za sodnike in druge udeležence v postopku, ki nimajo posebnega znanja s področja računalniške forenzike. Tehnična preverljivost ostaja ohranjena. Podatkovni viri, informacije o celovitosti, artefakti in koraki preiskave, ki so bistveni za neodvisno preverjanje, so jasno dokumentirani v tehničnem delu.

Od naročila do zanesljive izjave

Ugotovitev, nasprotna ugotovitev in neugotovitev

Sodno mnenje mora ostati odprto glede izida. Če podatki podpirajo neko hipotezo, se pojasni, na kakšen način. Če zanesljivi dokazi nasprotujejo hipotezi, se tudi ti predstavijo. Če podatkovna podlaga ni zadostna, se izrecno navede, da ni bilo mogoče dokazati preostalega. Iz vrzeli v podatkih se ne oblikuje nobena navidezno zanesljiva trditev.

Razumljivo za sodišče – preverljivo za nasprotnega izvedenca

Strokovno jedro je pojasnjeno v razumljivem jeziku. Tehnični izrazi se uporabljajo le tam, kjer so potrebni, nato pa so tudi pojasnjeni. Hkrati so ključni tehnični temelji dokumentirani tako, da lahko neodvisni IT-forenzik na podlagi iste baze podatkov razume potek razmišljanja in ga po potrebi tudi ponovi.

Metodološka uvrstitev

Za sodno informacijsko forenziko ne obstaja zakonski seznam predpisanih programov za analizo. Strokovno gledano so bistveni: nadzorovana baza podatkov, celovitost, dokumentirani koraki preiskave, razumljive zaključke in možnost neodvisne preveritve.

Modul DER.2.2 osnovne zaščite BSI „Priprava na IT-forenziko“ vsebuje koristna osnovna načela za pripravo na poznejše IT-forenzične preiskave in za zavarovanje dokazov ob incidentih IT-varnosti. Vendar pa izrecno ne predstavlja pravilnika za IT-forenzične preiskave v primeru kaznivih dejanj; tudi sama forenzična analiza ni predmet tega modula. Zato se ne predstavlja kot standard forenzike v kazenskem postopku.

LanCologne kot neodvisni IT-strokovnjak

Če mora sodišče tehnično pojasniti konkretno vprašanje v zvezi z digitalnimi dokazi, neodvisno in brez vnaprejšnjih predpostavk preučimo obstoječo bazo podatkov. Cilj ni čim večje število tehničnih zadetkov, temveč strokovno utemeljen odgovor: razumljiv za sodišče, pregleden v svojem izpeljanju in tehnično preverljiv.

Za izvedensko dokazovanje v civilnih postopkih so odločilni zlasti §§ 402 in naslednji ZPO. V skladu s § 404a ZPO sodišče usmerja delo izvedenca in lahko določi vrsto ter obseg njegovega dela. V primeru spornih dejstev sodišče določi, katera dejstva naj bodo podlaga za izvedensko mnenje. Člen 407a ZPO med drugim obvezuje izvedenca, da nemudoma preveri, ali naročilo spada v njegovo strokovno področje; morebitne dvome glede vsebine in obsega naročila mora razjasniti sodišče. Pisno izvedensko mnenje ter morebitna pojasnila ali dopolnitve so urejeni v § 411 ZPO. Končna ocena izvedenskega mnenja skupaj z vsemi rezultati dokaznega postopka ostaja v pristojnosti sodišča (§ 286 ZPO).

Pri kazensko-procesnih izvedenskih mnenjih za izvedence veljajo §§ 72 in naslednji ZKP; § 78 ZKP se nanaša na sodniško vodenje dela izvedenca. Kateri predpisi so v konkretnem postopku relevantni, je odvisno od vrste postopka in naročila. IT-forenzično mnenje ne nadomešča pravne ocene.

Pogosta vprašanja

LanCologne – IT-forenzika za sodišča

Imate vprašanje v zvezi z digitalnim področjem? LanCologne vam nudi podporo z objektivno in nepristransko forenzično preiskavo na področju IT.

Stopite v stik zdaj