سلسلة حيازة الأدلة وقبولها قانونيًا

تُعد سلسلة حيازة الدليل توثيقًا زمنيًا يتتبع جمع الدليل ونقله وتخزينه وتحليله منذ لحظة اكتشافه حتى تقديمه في المحكمة أو أرشفته. وهي تجيب عن الأسئلة التالية: من جمع الدليل، ومتى، ومن أين، وكيف تم التعامل معه، ومن تمكن من الوصول إليه، وأين تم تخزينه. وتثبت سلسلة الحيازة غير المنقطعة أن الدليل لم يُعبث به أو يُعدّل بعد جمعه، وهو أمر أساسي لقبوله قانونيًا.

يتطلب كل دليل نموذج سلسلة حيازة خاصًا به، يُستكمل عند كل عملية نقل. وتشمل الحقول المطلوبة: معرّف الدليل الفريد، ووصف عنصر الدليل، ورقم القضية، وتاريخ ووقت الجمع، واسم جامع الدليل وبيانات الاتصال به، والموقع الذي جُمع منه الدليل، وقيم التجزئة التشفيرية، وتوقيع كل شخص يستلم الدليل أو ينقله، وموقع التخزين الآمن. وتؤدي الثغرات أو التناقضات في النموذج إلى إضعاف القضية قانونيًا.

يمنع التعامل السليم تلوث الأدلة. وتشمل أفضل الممارسات: ارتداء قفازات مضادة للكهرباء الساكنة عند التعامل مع الأجهزة المادية (فقد يؤدي التفريغ الساكن إلى إتلاف المكونات الإلكترونية والبيانات)، واستخدام أكياس مضادة للكهرباء الساكنة لتخزين الوسائط الإلكترونية، ووضع الأدلة في عبوات تكشف العبث (أكياس أدلة تُغلق بشريط الأدلة ويُوقّع عبر موضع الإغلاق)، وتخزينها في موقع آمن خاضع للتحكم في الوصول مع سجل للوصول، وعدم فتح عبوة الأدلة مطلقًا من دون حضور شاهد.

لكي تُقبل الأدلة الرقمية في الإجراءات القانونية، يجب أن تستوفي عدة معايير. يجب أن تكون الأدلة أصلية — أي يمكن إثبات أنها ما يُفترض أن تكون عليه (من خلال التحقق من التجزئة). ويجب أن تكون موثوقة — جُمعت باستخدام أدوات معتمدة وإجراءات موثقة. ويجب أن تكون كاملة — إذ يُحفظ سياقها الكامل، لا أجزاء مختارة منها فقط. ويجب أن تكون قابلة للتصديق — أي معروضة بطريقة تستطيع المحكمة فهمها. كما يجب أن تكون سلسلة الحيازة غير منقطعة — مع توثيق كل حائز للدليل من لحظة جمعه حتى تقديمه إلى المحكمة.

عندما تنطوي الحوادث على نشاط إجرامي، قد تطلب جهات إنفاذ القانون (مكتب التحقيقات الفيدرالي FBI، والخدمة السرية، ووحدات مكافحة الجرائم الإلكترونية المحلية) الأدلة. قبل نقل الأدلة، استشيروا المستشار القانوني لضمان الامتثال لأوامر الاستدعاء وأوامر حفظ الأدلة. قد تطلب جهات إنفاذ القانون من المؤسسات حفظ الأدلة في موضعها بدلاً من إزالتها — حتى إذا أدى ذلك إلى تأخير الاستعادة. إن فهم إجراءات أمر الحفظ القانوني وإنشاء علاقات مسبقة مع جهات الاتصال في أجهزة إنفاذ القانون يسرّع هذا التنسيق أثناء وقوع حادث نشط.

أمر الحفظ القانوني (أمر حفظ الأدلة للتقاضي) هو إشعار يعلّق الإتلاف أو الكتابة فوق السجلات ذات الصلة بالتقاضي المتوقع أو الجاري وفق الإجراءات المعتادة. عندما تتلقى المؤسسة إخطاراً بالتقاضي الناشئ عن اختراق، أو تتوقعه، يجب عليها تنفيذ أمر حفظ قانوني فوراً — مع حفظ جميع الأدلة التي قد تكون ذات صلة، بما في ذلك رسائل البريد الإلكتروني، والسجلات، والصور الجنائية، وتكوينات الأنظمة. وقد يؤدي عدم تنفيذ أمر الحفظ القانوني وما يليه من إتلاف للأدلة إلى عقوبات إتلاف الأدلة — إذ قد توعز المحاكم إلى هيئات المحلفين باستخلاص استنتاجات سلبية.

يجب أن تستوفي الأدلة الرقمية قواعد الإثبات. يتطلب التحقق من الأصالة إثبات أن الدليل هو فعلاً ما يدعي مقدّمه أنه عليه — ويُستخدم التحقق من التجزئة وتوثيق سلسلة حيازة الأدلة لهذا الغرض. وقد تواجه السجلات المُنشأة حاسوبياً (السجلات والتقارير الآلية) اعتراضات تتعلق بالإشاعات، لكنها غالباً ما تكون مقبولة باعتبارها سجلات أعمال بموجب الاستثناءات من قواعد الإشاعات. ويدلي الشهود الخبراء (المحللون الجنائيون) بشهاداتهم حول كيفية جمع الأدلة وتحليلها، ويجب أن تصمد منهجيتهم أمام الاستجواب المضاد وفق معايير Daubert في المحاكم الأمريكية.

يجب تخزين الأدلة بأمان طوال مدة الإجراءات القانونية — وقد تمتد هذه المدة لسنوات بعد الحادث الأولي. وتتطلب الأدلة المادية: تخزيناً مقفلاً ومضبوط المناخ مع سجلات وصول، وأختاماً كاشفة للعبث تُستبدل مع توثيق ذلك في كل مرة يتم فيها الوصول إلى الأدلة، وحماية من المخاطر البيئية (الرطوبة والحرارة والمجالات المغناطيسية). وينبغي تخزين الأدلة الرقمية (صور الأقراص وملفات PCAP) على وسائط تُكتب مرة واحدة، مع التحقق دورياً من المجاميع الاختبارية لاكتشاف تدهور التخزين.

في الملاحقات الجنائية أو الدعاوى المدنية، قد يُستدعى المحللون الجنائيون كشهود خبراء لشرح أساليبهم ونتائجهم للقاضي أو هيئة المحلفين. ويجب أن يكون الشهود الخبراء مؤهلين — بإثبات تعليمهم وتدريبهم وخبرتهم في التحليل الجنائي الرقمي. كما يجب أن تكون منهجيتهم صحيحة علمياً ومطبقة بصورة متسقة. ويجب أن تكون التقارير الجنائية موضوعية وقابلة لإعادة الإنتاج ومكتوبة بلغة يفهمها صانعو القرار غير المتخصصين تقنياً. وسيطعن محامي الدفاع أثناء الاستجواب المضاد في المنهجية وصلاحية الأدوات وسلسلة حيازة الأدلة.

تختلف معايير الإثبات بين التحقيقات الداخلية للشركات والملاحقات الجنائية. تعمل التحقيقات الداخلية بموجب قانون العمل وسياسة الشركة — ويتمثل المعيار في مدى كفاية الأدلة لدعم إجراء من إجراءات الموارد البشرية. أما التحقيقات الجنائية فتتطلب معايير الإثبات الأعلى اللازمة للملاحقة القضائية بما يتجاوز الشك المعقول. وقد تكون الأدلة التي يجمعها محققون خاصون (من دون صلاحيات إنفاذ القانون) مقبولة في المحكمة، لكن يجب جمعها بصورة قانونية — فعموماً لا يتوقع الموظفون الخصوصية في أنظمة الشركة التي أُبلغوا بأنها خاضعة للمراقبة.

غالباً ما تتجاوز التحقيقات الرقمية الحدود الدولية لأن المهاجمين يمررون حركة المرور عبر خوادم في بلدان متعددة. وينشأ عن ذلك عدد من التعقيدات: إذ يتطلب الحصول على الأدلة من خوادم أجنبية معاهدات المساعدة القانونية المتبادلة (MLATs) بين البلدان، وقد يُمنع مزودو الخدمات السحابية قانونياً من الإفصاح عن البيانات دون أوامر من محاكم محلية، كما تقيّد اللائحة العامة لحماية البيانات GDPR نقل البيانات الشخصية خارج الاتحاد الأوروبي. وينبغي للمؤسسات التعاون مع مستشار قانوني ذي خبرة في القانون الدولي للجرائم الإلكترونية عندما تنطوي الحوادث على نشاط عابر للحدود.

اختبروا فهمكم لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

تعلمتم في هذا الدرس أن: توثيق سلسلة حيازة الأدلة يتتبع كل حائز وكل عملية نقل منذ الجمع وحتى عرض الدليل أمام المحكمة، وأن أوامر الحفظ القانوني يجب تنفيذها فوراً عند توقع التقاضي لمنع عقوبات إتلاف الأدلة، وأن الأدلة الرقمية يجب أن تكون أصلية وموثوقة وكاملة، وأن تُتحقق صحتها باستخدام التجزئات التشفيرية حتى تكون مقبولة قانونياً. بعد ذلك سنستكشف الآثار الجنائية في Windows، بما في ذلك السجل وسجلات الأحداث وملفات Prefetch.