Informatyka śledcza

Informatyka śledcza (ang. computer forensics) – obszar informatyki powiązany z naukami o bezpieczeństwie i naukami prawnymi, którego celem jest dostarczanie cyfrowych środków dowodowych. Często w sprawach popełnionych przestępstw lub nadużyć, ale także w celu odtworzenia stanu pierwotnego przy ustalaniu motywów działania sprawcy lub ofiary. Jej zadaniami są: zbieranie, odzyskiwanie, analiza i prezentacja (w formie specjalistycznego raportu) cyfrowych danych, znajdujących się na różnego rodzaju nośnikach (dyski twarde komputerów, dyskietki, płyty CD, pamięci przenośne, serwery, telefony komórkowe itp.), oraz w systemach i serwisach zdalnego gromadzenia, przechowywania i przetwarzania danych, takich jak serwisy społecznościowe, przestrzeń dyskowa w chmurze czy wyszukiwarki internetowe^[1]. Efektem działań informatyków śledczych są cyfrowe materiały dowodowe, przygotowane zgodnie z duchem dochodzeniowo-śledczym (ang. forensically sound)^[2].

Do najczęstszych przypadków zastosowania informatyki śledczej należą:

1. w sferze biznesowej – kradzież danych przez zwalnianych lub nielojalnych pracowników oraz sabotaż (usuwanie lub kradzież danych firm lub instytucji publicznych mające na celu m.in. osłabienie ich pozycji konkurencyjnej lub pozyskanie know-how),
2. w sferze prywatnej – ustalanie motywów ucieczek nieletnich, zaginięć osób, a także niewyjaśnionych zgonów.

Dowód elektroniczny (ang. digital evidence) jest dopuszczalny zarówno w procesie cywilnym, jak i karnym. Jest to typ dowodu naukowego, spełniającego wymagania amerykańskiego standardu Dauberta, zgodnie z którym metoda lub teoria naukowa, aby stać się dowodem, musi:

1. sama w sobie być sprawdzalna i zostać już poddana kontroli;
2. być opisana i oceniona w literaturze fachowej;
3. mieć znany lub przewidywany poziom błędów uzyskiwanych przy jej stosowaniu;
4. uzyskać powszechną akceptację (ang. general acceptance) specjalistów w danej dziedzinie.

Wymóg powszechnej akceptacji jest ważnym czynnikiem decydującym o dopuszczeniu konkretnego dowodu, jednak nie stanowi warunku koniecznego. Polskie prawo również – co do zasady – przyjmuje, że dowody elektroniczne mogą być wykorzystane w postępowaniu przed sądem. Dowód elektroniczny musi być pozyskany, potwierdzony (poddany procesowi uwierzytelniania), zabezpieczony i zanalizowany w sposób, który uniemożliwi obronie podniesienie zarzutu manipulacji dowodem czy fałszerstwa.

Przestępstwa komputerowe definiuje Konwencja Rady Europy o cyberprzestępczości (ETS 185), sporządzona w Budapeszcie 23 listopada 2001 roku i ratyfikowana przez Polskę w 2015 roku, gdzie wskazuje się następujące ich grupy^[3]:

1. Przestępstwa przeciw poufności (ang. confidentiality), integralności (ang. integrity) i dostępności (ang. availability) danych (tzw. przestępstwa CIA). Obejmują one między innymi: nielegalny dostęp do systemów przez hacking, podsłuch czy oszukiwanie uprawnionych użytkowników („phishing”), szpiegostwo komputerowe (włączając trojany i inne techniki), sabotaż i wymuszenia komputerowe (wirusy, ataki DDoS, spam).
2. Powiązane z komputerami (sieciami) przestępstwa tradycyjne, zaczynając od oszustw (od klasycznych, czyli manipulacji fakturami czy kontami firmowymi, do manipulacji on-line – oszukańczych aukcji czy nielegalnego używania kart kredytowych), poprzez komputerowe podróbki, aż do ataków na ludzkie życie np. przez manipulowanie systemami szpitalnymi czy systemami kontroli ruchu powietrznego.
3. Przestępstwa dotyczące zawartości (treści). Ta kategoria obejmuje na przykład dziecięcą pornografię, dostarczanie instrukcji przestępczych, a także samo oferowanie popełniania przestępstw. Obejmuje także molestowanie i mobbing poprzez sieć, rozpowszechnianie fałszywych informacji (np. czarny PR, schematy „pump and dump”) oraz internetowy hazard.
4. Przestępstwa powiązane z naruszeniem prawa autorskiego i praw pokrewnych, takie jak nieautoryzowane kopiowanie i rozpowszechnianie programów komputerowych. Do tej kategorii zalicza się także nieautoryzowane użycie baz danych.

Należy podkreślić, że dziedzina dostarczania elektronicznych środków dowodowych wybiega znacznie poza przestępstwa komputerowe i ma zastosowanie przy każdym przestępstwie czy nadużyciu, gdzie urządzenia elektroniczne miały zastosowanie jako nośnik danych. Zebrany materiał niekwalifikujący się dowodowo potrafi ponadto naprowadzić śledczych na właściwy tor postępowania lub wskazać, wobec sprzecznego materiału dowodowego, prawdopodobny przebieg zdarzeń.

1. Sprawdzenie poprawności zabezpieczenia materiału dowodowego – na przykład poprzez sprawdzenie plomb na obudowie komputera, jak i portów.
2. Utworzenie protokołu dostarczenia nośników danych oraz potwierdzenie zabezpieczonych dowodów najlepiej wartością funkcji skrótu. Sprawdzenie zgodności opisu ich marki, modelu, pojemności i numerów seryjnych. W razie nieprzestrzegania procedury przy zabezpieczaniu urządzenia dowód takowy traci na wiarygodności w postępowaniu sądowym.
3. Wykonanie kopii binarnej lub obrazu dysku z użyciem blokera zapisów. Bloker chroni zabezpieczany dysk przed zapisaniem na nim jakichkolwiek danych. Gdyby po dacie zabezpieczenia dysku twardego doszło do zapisania na nim jakichkolwiek danych (np. zmiany metadanych w systemie plików), spowoduje to utratę jego wartości dowodowej w postępowaniu sądowym. Należy pamiętać, że każde uruchomienie systemu operacyjnego na komputerze powoduje modyfikacje na jego dysku twardym.
4. Przeprowadzenie na kopii danych szczegółowej analizy zgodnie z zapytaniem zleceniodawcy, z zastosowaniem specjalistycznych urządzeń i programów uniemożliwiających modyfikację wykonanej kopii. Analiza danych musi zostać przeprowadzona rzetelnie i starannie, przy zachowaniu procedur informatyki śledczej oraz łańcucha dowodowego, który ma swój początek w momencie zabezpieczania urządzenia, a kończy się w chwili, gdy biegły obroni swoją opinię na rozprawie sądowej.
5. Opisanie z wysoką starannością całej procedury wykonania i analizy kopii danych z zabezpieczonego urządzenia.
6. Sporządzenie ekspertyzy wraz z pełnym opisem jej przebiegu i wyniku oraz z przedstawieniem raportów analizy nośników danych, ze wskazaniem ujawnionych informacji stanowiących materiał dowodowy. Oznaczenie dat utworzenia, modyfikacji i ostatniego dostępu do danych stanowiących materiał dowodowy, tam gdzie możliwe jest ich odczytanie. Należy wyszczególnić dane odzyskane po skasowaniu czy sformatowaniu dysku twardego.
7. Wystawienie opinii zgodnej z zapytaniem zlecającego, z przytoczeniem metody i sposobu przeprowadzenia analizy kopii nośnika danych.

• ustalanie zakresu analizy dowodów elektronicznych oraz przedmiotu poszukiwania,
• właściwe zabezpieczenie kopii danych,
• szczegółowa analiza śladów elektronicznych,
• sporządzenie raportu dotyczącego analizowanych danych.

Praca informatyków śledczych wykorzystywana jest najczęściej w przypadkach:

• defraudacji środków finansowych,
• łamania prawa pracy,
• kradzieży danych,
• szpiegostwa przemysłowego,
• łamania praw autorskich,
• ujawnienia tajemnicy handlowej,
• kradzieży i użycia danych osobowych,
• spraw kryminalnych (handel narkotykami, terroryzm, morderstwa, samobójstwa, przestępczość zorganizowana, pedofilia).

Przepisy istotne dla dowodów w postaci elektronicznej rozproszone są w kilku aktach prawnych. Kwestie dowodowe w postępowaniu cywilnym reguluje Kodeks postępowania cywilnego, w szczególności przepisy o przedmiocie dowodu, opinii biegłych oraz o dokumentach i innych środkach dowodowych (art. 227, 278, 305, 307–309)^[4]. W sprawach pracowniczych zastosowanie znajdują przepisy Kodeksu pracy o rozwiązaniu umowy o pracę bez wypowiedzenia z winy pracownika (art. 52) oraz o odpowiedzialności materialnej pracowników (art. 114–116, 119, 122)^[5], a także ustawa o zwalczaniu nieuczciwej konkurencji^[6].

Czyny wymierzone w bezpieczeństwo informacji penalizuje natomiast Kodeks karny: bezprawne uzyskanie dostępu do informacji lub systemu informatycznego (art. 267), niszczenie, uszkadzanie lub zmianę zapisu istotnej informacji (art. 268), niszczenie i zmianę danych informatycznych (art. 268a) oraz oszustwo komputerowe (art. 287)^[7].

• „Praktyczna analiza powłamaniowa. Aplikacja webowa w środowisku Linux” – książka poświęcona informatyce śledczej
• The International Association of Computer Investigative Specialists test