Informatyka śledcza - Kto? Co? Gdzie? Kiedy? Jak?

Informatyka śledcza (ang. Computer Forensics) to proces dostarczania elektronicznych środków dowodowych, czyli zespół działań i czynności, które polegają na zabezpieczeniu, przeszukiwaniu i wykrywaniu dowodów nadużyć i przestępstw dokonanych z użyciem komputera lub innych urządzeń elektronicznych. Dzięki informatyce śledczej można odtworzyć kolejność zdarzeń użytkownika urządzenia elektronicznego w czasie (Kto? Co? Gdzie? Kiedy? Jak?), na podstawie informacji niedostępnych dla użytkowników i administratorów systemu. Ważne jest aby procedura ta była przeprowadzona w odpowiedni sposób, zgodny z wymogami prawa.

Co można udowodnić?

Dzięki informatyce śledczej można udowodnić szereg przestępstw: defraudację środków finansowych, łamanie prawa pracy, kradzież danych, celowe niszczenie danych, szpiegostwo przemysłowe, łamanie praw autorskich, ujawnienie tajemnicy handlowej, kradzież i użycie danych osobowych, sprawy kryminalne (handel narkotykami, terroryzm, morderstwa, samobójstwa, zorganizowana przestępczość, pedofilia).

Opis procesu informatyki śledczej

Na cykl czynności związanych z informatyką śledczą składają się:

• zebranie danych z dostępnych nośników;
• przygotowanie kopii, na której pracują specjaliści (oryginalny nośnik zostaje zabezpieczony)
• odfiltrowanie nieistotnych danych (pliki należące do systemu operacyjnego oraz typowych programów czy powtarzające się pliki);
• analiza zebranych dowodów pod kątem prowadzonej sprawy;
• przedstawienie raportu;
• udostępnianie i prezentacja danych oraz opiniowanie w sprawie sądowej.

Graficzny przebieg procesu informatyki śledczej

Zgromadzenie dowodów polega m.in. na zabezpieczeniu nośników danych i stworzeniu dwóch obrazów każdego nośnika. Jeden z wykonanych obrazów nośnika używany jest do analizy danych pod kątem poszukiwania określonych z góry kryteriów, drugi obraz nośnika zostaje zabezpieczony. W przypadku wystąpienia poszukiwanych danych stanowi on materiał dowodowy.

Każdy z etapów pracy musi być udokumentowany tak, aby przedstawiony materiał nie utracił wartości dowodowej. Jednym ze sposobów zachowania wartości dowodowej materiałów jest oznaczenie ich unikalną sumą kontrolną gwarantującą identyczność materiału źródłowego i kopii.

Raport stanowi podsumowanie i zestawienie znalezionych materiałów dowodowych. Odnalezione w ten sposób elektroniczne dowody przestępczości mogą być wykorzystane jako materiały dowodowe w sądzie.