秦賓

（泰州市公安局，江蘇泰州225300）

試論涉網(wǎng)案件現(xiàn)場勘查與電子物證的提取鑒定

秦賓

（泰州市公安局，江蘇泰州225300）

隨著信息網(wǎng)絡的普遍運用，涉網(wǎng)犯罪也從最初的僅針對錢財物的犯罪，發(fā)展為針對政治、經(jīng)濟、軍事和知識產(chǎn)權(quán)等多領(lǐng)域的犯罪，而各類電子產(chǎn)品和網(wǎng)絡中提取的電子物證成為諸多涉網(wǎng)案件認定事實過程、完善證據(jù)鏈進而突破全案的關(guān)鍵，同樣在案件訴訟過程中，電子物證所起到的作用也日益突顯。文章對公安機關(guān)在涉網(wǎng)案件現(xiàn)場勘查中的相關(guān)重點、難點問題進行了初步的研究分析并就如何做好電子物證的固定、提取和鑒定提出了相應的對策思路。

現(xiàn)場勘查；電子物證；鑒定

近年來，中國隨著社會政治、經(jīng)濟和生活各個方面的高速發(fā)展，各類資源、人力和資金配置的不斷變化，整個社會人財物流動加劇，作為社會矛盾集中反映的刑事案件發(fā)案率居高不下，犯罪多元、智能和暴力化程度不斷加劇。而同時，隨著計算機信息網(wǎng)絡的普遍運用，涉網(wǎng)犯罪發(fā)展為針對政治、經(jīng)濟、軍事和知識產(chǎn)權(quán)等多領(lǐng)域的犯罪，網(wǎng)上斗爭形勢日趨嚴峻，尤其是各類移動智能設備深入到人民群眾生活的各個角落，違法犯罪過程中遺留的電子物證日益增多，公安機關(guān)在各類涉網(wǎng)案件的立案、偵查、取證的程序中，如何做好電子物證的固定、提取和鑒定工作就成為的重要環(huán)節(jié)。

電子物證的固定與提取就是在涉網(wǎng)犯罪現(xiàn)場，對各類存儲介質(zhì)中保存、恢復的數(shù)據(jù)進行科學的檢查和分析，這項技術(shù)經(jīng)過十余年的發(fā)展，已經(jīng)成為公安部門發(fā)現(xiàn)線索、獲取證據(jù)的重要技術(shù)手段之一，被廣泛地用來解決大量的涉網(wǎng)犯罪案件，包括網(wǎng)絡入侵、盜用知識產(chǎn)權(quán)、網(wǎng)絡詐騙、網(wǎng)絡洗錢、網(wǎng)絡色情、網(wǎng)絡賭博等刑事案件。筆者擬結(jié)合公安工作實際，對涉網(wǎng)案件現(xiàn)場勘查和電子物證的固定提取相關(guān)的重點難點問題，作出初步的研究分析并提出相應的解決方案和對策思路。

1　涉網(wǎng)案件現(xiàn)場勘查

1.1“電子物證”的概念和特點

所謂“電子物證”是指能在案件辦理過程中用以分析研究數(shù)據(jù)的、能夠證明案件相關(guān)事實的電子文件。主要是借助于電子技術(shù)或者電子設備而形成的，并且能夠作為證據(jù)使用，以電子數(shù)據(jù)形式存在的材料或其他派生物。電子物證已經(jīng)衍生出紛繁復雜的形式，除了通常所能看到的電子郵件、電子聊天記錄（QQ聊天記錄、微信聊天記錄）外，還包括網(wǎng)絡聊天室記錄（BBS聊天記錄）、電子數(shù)據(jù)交換、電子資金劃撥和電子簽章等各種形式。

電子物證在保存方式、傳播形式、感知性及安全性上與傳統(tǒng)物證都存在很大的不同，與其他證據(jù)相比，電子物證的特點有：一是電子物證形式多種多樣。電子物證不僅可以為單一媒體形式，更多地表現(xiàn)為文本、影像、圖片、聲音、程序等多種形式的復合媒體。網(wǎng)絡的發(fā)展與應用，產(chǎn)生了虛擬身份、BBS發(fā)帖、跟帖記錄等等網(wǎng)絡電子證據(jù)。二是電子物證極易遭受破壞。電子物證是保存在可擦寫的數(shù)據(jù)記錄介質(zhì)上的，如磁盤、U盤、可擦寫光盤等，在其存儲、傳輸和使用過程中，極易遭受到外來的破壞，產(chǎn)生它的人或其他接觸它的人都有可能隨時、隨地、隨意地對其進行編輯、修改，使其面目全非，甚至不留任何痕跡地予以刪除，使其消失［1］。三是電子物證的審查、認定難度大。電子物證無形無質(zhì)又脆弱，又極易被破壞或修改，以至于有時其所反映的事實并不是本質(zhì)的真實，而僅僅是表象的真實，如果沒有第三方證據(jù)來進行印證，極有可能出現(xiàn)誤斷。

1.2國內(nèi)電子取證相關(guān)標準

電子物證的固定、提取和鑒定工作是一項非常嚴密的系統(tǒng)工程，國家為此出臺了一系列相應的國家標準以利于取證鑒定工作，在電子物證的固定、提取和鑒定工作中，如果不能嚴格遵循國家標準，將有可能造成重要證據(jù)的流失和繆誤。目前國內(nèi)電子取證應遵循相關(guān)3個國家標準，分別：《電子物證數(shù)據(jù)恢復檢驗規(guī)程》（GB/T 29360-2012）、《電子物證文件一致性檢驗規(guī)程》（GB/T 29361-2012）、《電子物證數(shù)據(jù)搜索檢驗規(guī)程》（GB/T 29362-2012）［2］。另外司法部、公安部也先后制定了一系列相關(guān)標準，此外還有22個公共安全行業(yè)標準需要遵循。

1.3涉網(wǎng)案件現(xiàn)場勘查取證規(guī)范流程

《計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查規(guī)則》是現(xiàn)階段公安機關(guān)對現(xiàn)場電子證據(jù)取證的執(zhí)行依據(jù)，雖然從整體上對電子證據(jù)的取證流程進行了一系列規(guī)范，但不夠細致，目前亟需加快制定和推廣執(zhí)行更詳實的操作程序規(guī)則。總體來說，可以從現(xiàn)場保護、證物搜查、證據(jù)提取、證物固定、取證記錄這五個方面著手。一是現(xiàn)場保護，進入現(xiàn)場后就要為發(fā)現(xiàn)、提取電子證據(jù)做足準備，應立即切斷網(wǎng)絡、封鎖現(xiàn)場、停止運行涉案計算機及其外圍設備。同時保證電力通暢，防止斷電導致數(shù)據(jù)丟失、損毀，并防止取證人員無意識破壞證據(jù)的行為。二是證物搜查，檢查現(xiàn)場內(nèi)網(wǎng)絡設備互聯(lián)情況，確定網(wǎng)絡和電纜的聯(lián)接走向，查看有無無線網(wǎng)絡。注意發(fā)現(xiàn)計算機存儲設備以及互聯(lián)網(wǎng)中的電子數(shù)據(jù)。查找所有可能存儲電子信息的對象，如硬盤、U盤、光盤等介質(zhì)。如果現(xiàn)場有管理人員，應詢問案發(fā)前后的軟硬件、現(xiàn)場變動等情況。三是證據(jù)提取，收集現(xiàn)場易丟失的電子證據(jù)，不僅包括顯示器顯示信息、系統(tǒng)時間、程序運行數(shù)據(jù)，還需要收集賬號密碼、各種配套軟件、參數(shù)等信息。如果現(xiàn)場需要查看設備內(nèi)部數(shù)據(jù)情況，應通過“只讀”接口設備連接到其他設備進行檢查。四是證物固定，電子物證收集完成后方可將電源關(guān)閉，并對電子設備、網(wǎng)線、電纜等進行拍照、編號和記錄。提取到的電子證物應避免受到強磁、水火等自然因素的破壞，應當使用專業(yè)的封裝袋進行保存，標明收集證據(jù)的時間、收集人姓名以及設備型號等信息。五是取證記錄，現(xiàn)場應有專人記錄電子證據(jù)提取收集的全過程，記錄內(nèi)容包括案由、參加人姓名及職務、證據(jù)提取時間、地點、方法、工具、順序等具體過程、電子證據(jù)的類型及其固定保存的方法、提取中出現(xiàn)的問題和解決方式、證人情況等，權(quán)責到人，確保證據(jù)信息的準確性和可靠性，以保證電子證據(jù)的證明力。

2　電子物證的提取與鑒定

2.1現(xiàn)場電子物證提取方法和步驟

涉網(wǎng)案件現(xiàn)場勘查電子物證的取證方法主要分為兩種：一是簡單取證，即辦案現(xiàn)場不需要特定的電子物證專業(yè)技術(shù)人員就可以完成電子數(shù)據(jù)和證據(jù)的收集、固定、測試等的取證活動。對不涉及計算機使用或維護人員的犯罪案件，可以采取簡單取證程序收集和固定電子證據(jù)。二是復雜取證，即辦案現(xiàn)場需要有專業(yè)技術(shù)人員協(xié)助來開展電子證據(jù)的收集、固定、測試等的取證活動。

提取電子證據(jù)有以下步驟：一是現(xiàn)場檢查與現(xiàn)場訪問，首先由計算機專家檢查硬件設備，從而切斷可能存在的其他輸入、輸出設備，保證計算機儲存的電子信息在之后的取證過程中不被修改或損毀。與此同時，偵查人員應當主動詢問現(xiàn)場計算機使用或維護人員相關(guān)情況，如計算機設置密碼及密碼的組成、軟硬件使用情況、案件所涉及的資料存放位置等情況，對被詢問人員拒絕提供密碼的，可考慮解密。二是提取證據(jù)，按照前述方法打印和拷貝計算機文件，固定電子證據(jù)。三是電子證據(jù)內(nèi)容涉及相關(guān)專業(yè)知識的，應由相關(guān)專家對提取的資料進行現(xiàn)場驗證。四是制作檢查筆錄，除前述檢查筆錄的內(nèi)容外，對計算機解密、提出、固定和數(shù)據(jù)測試等過程也應當作出逐條詳細的記錄。五是對復雜取證過程中可能會遇到的問題，在檢查前應當有所預測，并制定相應的處置方案。

2.2現(xiàn)場電子物證鑒定的注意點

對于需要進一步對電子證據(jù)及載體進行檢驗和鑒定的，應對上述載體及證據(jù)材料進行封存，并依照相關(guān)手續(xù)進行鑒定。對于要求鑒定的電子數(shù)據(jù)，我們應當注意以下幾點：一是電子數(shù)據(jù)不得存在剪裁、拼湊、篡改、添加等偽造、變造情形。二是送檢的電子數(shù)據(jù)應當附有相關(guān)筆錄或者清單，并隨電子數(shù)據(jù)一并隨案移送。筆錄或者清單應當注明案由、參加檢查的人員姓名及職務、主要包括取證時間、取證地點及順序、取證對象、內(nèi)容以及收集的時間、地點、方法、取證的簡要過程、電子數(shù)據(jù)的規(guī)格、類別、文件格式、完整性校驗值等情況，并經(jīng)取證人員、電子數(shù)據(jù)持有人、見證人簽名。

2.3完善勘查工作思路

完善涉網(wǎng)案件現(xiàn)場電子物證勘查取證工作的解決思路：一是提高取證人員的能力素質(zhì)，加強專業(yè)化人力資源建設。對于現(xiàn)場勘查人員，必須要進行電子證據(jù)的相關(guān)培訓、定期考核和進行資質(zhì)認定，提高現(xiàn)場保護和完整收集電子證據(jù)的意識，掌握保護和安全提取電子證據(jù)的科學方法，逐漸提升取證能力，向?qū)I(yè)化靠攏。另外，公安機關(guān)也可以聘請一定數(shù)量的計算機專家組成電子證據(jù)專業(yè)小組，協(xié)助公安機關(guān)開展電子證據(jù)取證工作。

二是規(guī)范取證流程。目前普遍的現(xiàn)狀是偵查取證人員在收集電子證據(jù)時不細致，缺少專業(yè)設備，技術(shù)手段不規(guī)范，操作過程大意，例如使用從互聯(lián)網(wǎng)上下載的不知名軟件、對涉案的計算機等設備進行違規(guī)操作，修改注冊表等信息等，這些都有可能改變電子證據(jù)原有的狀態(tài)，導致證明力下降或者完全消失，影響案件檢驗鑒定的質(zhì)量。因此必須按照規(guī)范工作流程和注意點進行操作。

三是完善電子物證勘查取證的立法思路，加強立法工作。電子物證的立法思路應包含兩個方面，一是要健全電子物證立法，學習國外的先進經(jīng)驗，運用技術(shù)手段支持司法實踐。截至目前我國已制定一批詳實、具有操作性、級別更高的電子證據(jù)收集規(guī)范。但這方面，仍需學習借鑒國際上一些發(fā)達國家在電子證據(jù)立法方面的成熟經(jīng)驗，例如美國的《1999年統(tǒng)一證據(jù)規(guī)則》、加拿大的《統(tǒng)一電子證據(jù)法》、澳大利亞的《計算機和證據(jù)法》等［3］。二是電子物證立法應當兼顧與其他證據(jù)的協(xié)調(diào)性，保證電子物證的證明力和公信力。

［1］鐘曉東.論在線仲裁的證據(jù)規(guī)則［J］.仲裁研究，2008（2）：16-22.

［2］金波，黃道麗，夏榮.電子數(shù)據(jù)鑒定標準體系研究［J］.中國司法鑒定，2011（1）：49-52，61.

［3］劉品新.中國電子證據(jù)立法研究［M］.北京：中國人民大學出版社，2005.

（責任編輯楊荔晴）

On the Extraction and Identification of Electronic Physical Evidence and Onsite Investigation on the Internet Involved Case

QIN Bin
（Taizhou Public Security Bureau，Taizhou Jiangsu 225300，China）

With the extensive application of information network，internet involved crime developed from the crime exclusively targeted at money and property to the crime aiming at multiple sectors of politics，economy，military and intellectual property.Online conflict is becoming increasingly serious.Various electronic products and electronic physical evidences extracted from the internet become the key to ascertain the procedure of the fact，optimize the evidence chain and settle the overall case.Such is the same for the procedure of the case litigation procedure where the electronic physical evidences are playing greater role day by day.This paper studies how the public security institutions should fix，extract and identify electronic physical evidences and make preliminary research on key and difficult points in the onsite investigation of internet involved cases.Corresponding countermeasures are also proposed in this paper.

onsite investigation；electronic physical evidence；identification

D6925.113

B

1671-0142（2016）04-0041-03

秦賓（1976-），男，江蘇高郵人，工程師.