สายโซ่การครอบครองหลักฐานและการรับฟังในศาล

ห่วงโซ่การครอบครองหลักฐานคือเอกสารตามลำดับเวลาที่ติดตามการเก็บรวบรวม การโอนย้าย การจัดเก็บ และการวิเคราะห์หลักฐาน ตั้งแต่ค้นพบหลักฐานจนถึงการนำเสนอต่อศาลหรือการเก็บถาวร เอกสารนี้ตอบคำถามว่าใครเป็นผู้เก็บหลักฐาน เก็บเมื่อใด จากที่ใด จัดการอย่างไร ใครเข้าถึงหลักฐาน และจัดเก็บไว้ที่ใด ห่วงโซ่การครอบครองหลักฐานที่ต่อเนื่องไม่ขาดตอนแสดงให้เห็นว่าหลักฐานไม่ได้ถูกแทรกแซงหรือแก้ไขหลังการเก็บรวบรวม ซึ่งเป็นสิ่งจำเป็นต่อการที่ศาลจะยอมรับหลักฐาน

หลักฐานทุกชิ้นต้องมีแบบฟอร์มห่วงโซ่การครอบครองหลักฐานของตนเอง และต้องกรอกข้อมูลทุกครั้งที่มีการโอนย้าย ช่องข้อมูลที่จำเป็นประกอบด้วย ตัวระบุหลักฐานที่ไม่ซ้ำกัน คำอธิบายรายการหลักฐาน หมายเลขคดี Date และ Time ที่เก็บรวบรวม Name และข้อมูลติดต่อของผู้เก็บรวบรวม สถานที่ที่เก็บหลักฐาน ค่าแฮชเข้ารหัส ลายเซ็นของทุกคนที่รับหรือโอนหลักฐาน และสถานที่จัดเก็บที่ปลอดภัย ช่องว่างหรือข้อมูลไม่สอดคล้องกันในแบบฟอร์มจะทำให้คดีทางกฎหมายอ่อนแอลง

การจัดการอย่างถูกต้องช่วยป้องกันการปนเปื้อนของหลักฐาน แนวปฏิบัติที่ดีที่สุดประกอบด้วย การสวมถุงมือป้องกันไฟฟ้าสถิตเมื่อจับฮาร์ดแวร์ทางกายภาพ (การคายประจุไฟฟ้าสถิตอาจทำลายชิ้นส่วนอิเล็กทรอนิกส์และข้อมูล) การใช้ถุงป้องกันไฟฟ้าสถิตสำหรับจัดเก็บสื่ออิเล็กทรอนิกส์ การใส่หลักฐานในบรรจุภัณฑ์ป้องกันการเปิดแก้ไข (ถุงหลักฐานที่ปิดผนึกด้วยเทปหลักฐานและลงลายมือชื่อพาดทับ Seal) การจัดเก็บในสถานที่ปลอดภัยที่ควบคุมการเข้าถึงพร้อมบันทึกการเข้าถึง และห้ามเปิดบรรจุภัณฑ์หลักฐานโดยไม่มีพยานอยู่ด้วย

เพื่อให้หลักฐานดิจิทัลได้รับการรับฟังในกระบวนการทางกฎหมาย หลักฐานต้องเป็นไปตามเกณฑ์หลายประการ หลักฐานต้องเป็นของแท้ — พิสูจน์ได้ว่าเป็นสิ่งที่อ้างว่าเป็น (ตรวจสอบด้วยค่าแฮช) ต้องเชื่อถือได้ — เก็บรวบรวมด้วยเครื่องมือที่ผ่านการตรวจสอบความถูกต้องโดยใช้ขั้นตอนที่จัดทำเป็นเอกสาร ต้องครบถ้วน — เก็บรักษาบริบททั้งหมดไว้ ไม่ใช่เพียงบางส่วนที่เลือกมา ต้องน่าเชื่อถือ — นำเสนอในรูปแบบที่ศาลเข้าใจได้ และห่วงโซ่การครอบครองหลักฐานต้องไม่ขาดตอน — บันทึกผู้ครอบครองทุกคนตั้งแต่การเก็บรวบรวมจนถึงศาล

เมื่อเหตุการณ์เกี่ยวข้องกับกิจกรรมทางอาญา หน่วยงานบังคับใช้กฎหมาย (FBI, หน่วยงาน Secret Service และหน่วยไซเบอร์ในท้องถิ่น) อาจขอหลักฐาน ก่อนส่งมอบหลักฐาน ควรปรึกษาที่ปรึกษากฎหมายเพื่อให้แน่ใจว่าปฏิบัติตามหมายเรียกและคำสั่งให้เก็บรักษาหลักฐานครบถ้วน หน่วยงานบังคับใช้กฎหมายอาจขอให้องค์กร เก็บรักษาหลักฐานไว้ ณ ตำแหน่งเดิม แทนการกำจัดหลักฐานนั้น แม้ว่าจะทำให้การกู้คืนล่าช้าก็ตาม การทำความเข้าใจกระบวนการระงับการทำลายหลักฐานทางกฎหมายและการสร้างความสัมพันธ์กับผู้ติดต่อในหน่วยงานบังคับใช้กฎหมายไว้ล่วงหน้า จะช่วยเร่งการประสานงานระหว่างเกิดเหตุการณ์

การระงับการทำลายหลักฐานทางกฎหมาย (การระงับการทำลายหลักฐานเพื่อการฟ้องร้อง) คือหนังสือแจ้งที่ระงับการทำลายหรือเขียนทับบันทึกตามปกติ ซึ่งเกี่ยวข้องกับการฟ้องร้องที่คาดว่าจะเกิดขึ้นหรือกำลังดำเนินอยู่ เมื่อองค์กรได้รับแจ้งหรือคาดว่าจะถูกฟ้องร้องอันเกิดจากการละเมิด องค์กรต้องดำเนินการระงับการทำลายหลักฐานทางกฎหมายทันที โดยเก็บรักษาหลักฐานทั้งหมดที่อาจเกี่ยวข้อง รวมถึงอีเมล บันทึก ภาพทางนิติวิทยาศาสตร์ และการกำหนดค่าระบบ การไม่ดำเนินการระงับการทำลายหลักฐานทางกฎหมายและการทำลายหลักฐานในภายหลัง อาจส่งผลให้เกิด บทลงโทษกรณีทำลายหรือเปลี่ยนแปลงหลักฐาน โดยศาลอาจแนะนำให้คณะลูกขุนอนุมานในทางลบได้

หลักฐานดิจิทัลต้องเป็นไปตามกฎว่าด้วยพยานหลักฐาน การพิสูจน์ความถูกต้อง จำเป็นต้องแสดงให้เห็นว่าหลักฐานเป็นสิ่งเดียวกับที่ผู้เสนอหลักฐานกล่าวอ้าง การตรวจสอบแฮชและเอกสารห่วงโซ่การครอบครองหลักฐานมีหน้าที่นี้ บันทึกที่สร้างโดยคอมพิวเตอร์ (บันทึก รายงานอัตโนมัติ) อาจถูก คัดค้านว่าเป็นคำบอกเล่า แต่โดยมากสามารถรับฟังเป็นบันทึกทางธุรกิจได้ภายใต้ข้อยกเว้นของกฎคำบอกเล่า พยานผู้เชี่ยวชาญ (นักวิเคราะห์นิติวิทยาศาสตร์) ให้การเกี่ยวกับวิธีการเก็บรวบรวมและวิเคราะห์หลักฐาน และวิธีการของพวกเขาต้องผ่านการซักค้านตามมาตรฐาน Daubert ในศาล US

ต้องจัดเก็บหลักฐานอย่างปลอดภัยตลอดระยะเวลาของกระบวนการทางกฎหมาย ซึ่งอาจยาวนานหลายปีหลังเหตุการณ์เริ่มต้น หลักฐานทางกายภาพต้องมี: สถานที่จัดเก็บที่ล็อกได้และควบคุมสภาพอากาศ พร้อมบันทึกการเข้าถึง ซีลแสดงการแกะที่ต้องเปลี่ยนพร้อมจัดทำเอกสารทุกครั้งที่มีการเข้าถึงหลักฐาน และการป้องกันอันตรายจากสภาพแวดล้อม (ความชื้น ความร้อน สนามแม่เหล็ก) ส่วนหลักฐานดิจิทัล (ภาพดิสก์ ไฟล์ PCAP) ควรจัดเก็บบนสื่อที่เขียนได้ครั้งเดียว และตรวจสอบผลรวมตรวจสอบเป็นระยะเพื่อตรวจหาการเสื่อมสภาพของสื่อจัดเก็บ

ในการดำเนินคดีอาญาหรือการฟ้องร้องทางแพ่ง นักวิเคราะห์นิติวิทยาศาสตร์อาจถูกเรียกเป็น พยานผู้เชี่ยวชาญ เพื่ออธิบายวิธีการและข้อค้นพบต่อผู้พิพากษาหรือคณะลูกขุน พยานผู้เชี่ยวชาญต้องมีคุณสมบัติเหมาะสม โดยแสดงให้เห็นถึงการศึกษา การฝึกอบรม และประสบการณ์ด้านนิติวิทยาศาสตร์ดิจิทัล วิธีการของพวกเขาต้องมีความถูกต้องทางวิทยาศาสตร์และนำไปใช้อย่างสม่ำเสมอ รายงานนิติวิทยาศาสตร์ต้องเป็นกลาง ทำซ้ำได้ และเขียนด้วยภาษาที่ผู้มีอำนาจตัดสินใจซึ่งไม่มีความรู้ด้านเทคนิคสามารถเข้าใจได้ ทนายฝ่ายจำเลยจะท้าทายวิธีการ ความถูกต้องของเครื่องมือ และห่วงโซ่การครอบครองหลักฐานในการซักค้าน

มาตรฐานด้านพยานหลักฐานแตกต่างกันระหว่างการสืบสวนภายในองค์กรกับการดำเนินคดีอาญา การสืบสวนภายในองค์กร ดำเนินการภายใต้กฎหมายการจ้างงานและนโยบายขององค์กร โดยมาตรฐานคือสิ่งที่เพียงพอสำหรับสนับสนุนการดำเนินการด้านทรัพยากรบุคคล การสืบสวนคดีอาญา ต้องใช้มาตรฐานด้านพยานหลักฐานที่สูงกว่า ซึ่งจำเป็นต่อการดำเนินคดีโดยต้องพิสูจน์จนปราศจากข้อสงสัยอันสมควร หลักฐานที่ผู้สืบสวนเอกชนเก็บรวบรวม (โดยไม่มีอำนาจของหน่วยงานบังคับใช้กฎหมาย) อาจรับฟังในศาลได้ แต่ต้องเก็บรวบรวมอย่างถูกกฎหมาย โดยทั่วไปพนักงานจะไม่มีความคาดหวังในความเป็นส่วนตัวบนระบบขององค์กรที่ได้รับแจ้งว่าจะมีการตรวจสอบ

การสืบสวนดิจิทัลมักข้ามพรมแดนระหว่างประเทศ เนื่องจากผู้โจมตีส่งการรับส่งข้อมูลผ่านเซิร์ฟเวอร์ในหลายประเทศ ซึ่งก่อให้เกิดความยุ่งยากหลายประการ: การขอหลักฐานจากเซิร์ฟเวอร์ต่างประเทศต้องอาศัย สนธิสัญญาความช่วยเหลือทางกฎหมายซึ่งกันและกัน (MLATs) ระหว่างประเทศ ผู้ให้บริการคลาวด์อาจถูกห้ามตามกฎหมายไม่ให้เปิดเผยข้อมูลหากไม่มีคำสั่งศาลในประเทศนั้น และ GDPR จำกัดการโอนข้อมูลส่วนบุคคลออกนอก EU องค์กรควรทำงานร่วมกับที่ปรึกษากฎหมายที่มีประสบการณ์ด้านกฎหมายไซเบอร์ระหว่างประเทศ เมื่อเหตุการณ์เกี่ยวข้องกับกิจกรรมข้ามพรมแดน

ทดสอบความเข้าใจแนวคิด CompTIA Security+ (SY0-701) จากบทเรียนนี้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า: เอกสารห่วงโซ่การครอบครองหลักฐานติดตามผู้ครอบครองและการโอนย้ายทุกครั้ง ตั้งแต่การเก็บรวบรวมจนถึงการนำเสนอต่อศาล ต้องดำเนินการระงับการทำลายหลักฐานทางกฎหมายทันทีเมื่อคาดว่าจะเกิดการฟ้องร้อง เพื่อป้องกันบทลงโทษกรณีทำลายหรือเปลี่ยนแปลงหลักฐาน และ หลักฐานดิจิทัลต้องเป็นของแท้ เชื่อถือได้ และครบถ้วน โดยตรวจสอบด้วยแฮชเข้ารหัสเพื่อให้ศาลรับฟังได้ตามกฎหมาย ถัดไป เราจะสำรวจร่องรอยทางนิติวิทยาศาสตร์ของ Windows ซึ่งรวมถึงรีจิสทรี บันทึกเหตุการณ์ และไฟล์ Prefetch