摘 要：本文從電子證據(jù)的取證和特點、電子證據(jù)的取證方法和電子證據(jù)的取正程序三方面入手，對電子證據(jù)進行了簡單的梳理，電子證據(jù)獨特的證據(jù)特點和設備的依賴性、高科技性都促使了電子證據(jù)科學的發(fā)展，同時，也對現(xiàn)存的電子數(shù)據(jù)相關規(guī)定提出了新的挑戰(zhàn)。

關鍵詞：電子數(shù)據(jù)；技術手段；程序

信息技術的發(fā)展，帶動了網(wǎng)絡和數(shù)碼產業(yè)的迅速進步。電子產品在現(xiàn)實生活中的應用也越來越廣泛，多種電子存儲介質隨之成為人們生活、工作不可或缺的重要工具。生活模式的改變帶動了證據(jù)形式的變化，電子證據(jù)隨之成了司法實務工作中新興的證據(jù)形式，社會中得到了大力認可。違法犯罪活動和人們生活的交叉性，決定了違法犯罪活動無法避免的和電子信息、電子設備聯(lián)系在一起，大量的涉案數(shù)據(jù)存儲在電子證據(jù)中。作為計算機網(wǎng)絡技術和法律相結合的新證據(jù)類型，法院訴訟涉及到電子物證的實例越來越多，電子證據(jù)的取證規(guī)則、取證方式都不同于傳統(tǒng)證據(jù)，需要使用特定的技術方法進行獲取和分析，因此在電子證據(jù)的取證過程規(guī)范取證流程迫在眉睫。

一、電子證據(jù)的取證和特點

中華人民共和國最高人民檢察院《人民檢察院電子證據(jù)鑒定規(guī)程規(guī)則》中對電子證據(jù)的定義是，由電子信息技術應用而出現(xiàn)的各種能夠證明案件真實情況的材料及其派生物。電子證據(jù)取證不僅需要提取保存在計算機硬件上的數(shù)據(jù)，還需要從計算機網(wǎng)絡上提取相關數(shù)據(jù)，已經(jīng)計算機和網(wǎng)絡中刪除、加密或破壞的文件的提取和恢復，這些問題使得電子證據(jù)和傳統(tǒng)的物證提取有很大的差異。

電子證據(jù)的檢驗對象是各種電子設備中存儲或傳輸?shù)臄?shù)據(jù)信息。常見的電子證據(jù)案件材料，包括計算機和手機等有存儲功能的電子設備，例如：桌式和筆記本式電腦、計算機服務器、手機、平板電腦、移動硬盤、光盤、u盤等介質。電子證據(jù)的取證原則和傳統(tǒng)的物證檢驗都要遵循相同的規(guī)則，保證證據(jù)的真實性、合法性和關聯(lián)性，由此要采用被業(yè)界認可的科學技術方法，通過合乎技術規(guī)則和法律規(guī)定的、行業(yè)標準的操作規(guī)定來獲取真實的檢驗結果。電子證據(jù)的表現(xiàn)形式多樣，多媒體技術的出現(xiàn)更使電子證據(jù)綜合了文本、圖形、圖像、動畫、音頻及視頻等多種媒體信息，這種以多媒體形式存在的計算機證據(jù)幾乎涵蓋了所有傳統(tǒng)證據(jù)類型。

電子證據(jù)取證還需要面對很多獨特的問題。首先，磁介質的脆弱性導致了電子數(shù)據(jù)容易被修改，不留痕跡。其次，電子證據(jù)的不可見性，數(shù)據(jù)必須借助其他輸出設備才能看到結果。其次，電子證據(jù)對高科技的依賴性，數(shù)據(jù)的產生、保存、傳輸、提取都要借助專業(yè)技術和設備。其次，電子證據(jù)的人機交互性，數(shù)據(jù)從的形成到提取，每一個的環(huán)節(jié)都要有不同的計算機操作人員的參與，這些因素可能影響計算機系統(tǒng)的運轉。最后，電子證據(jù)是由計算機和電信技術引起的，其它技術的不斷發(fā)展，導致電子證據(jù)的取證步驟和程序必須不斷完善適應科學技術和社會交往的進步。

二、電子證據(jù)的取證方法

電子證據(jù)取證方法和傳統(tǒng)證據(jù)的取證方法不同。首先，電子證據(jù)的提取方法是對電子數(shù)據(jù)的復制和運行，收到送檢的電子設備后，首先要按照科學的處理規(guī)則進行對物證的保全工作。然后要將檢材數(shù)據(jù)進行復制，這里所說的復制并非僅僅對文件，而是對整個存儲空間進行鏡像復制。并且在進行復制的整個過程中，都不得對檢材內容進行絲毫更改，也就是不得用檢材內容的系統(tǒng)進行啟動或者對文件進行更改，而應該用另一套獨立的檢測系統(tǒng)對檢材進行備份。檢驗過程針對復制件進行，因此不會改變，當事人如果對檢驗結果提出異議，可再次進行數(shù)據(jù)提取，仍然會得出同樣的數(shù)據(jù)。

其次，電子證據(jù)的保存方法的依賴性。一方面電子證據(jù)本身從司法鑒定的角度看，需要以科學技術的手段予以確認的電子證據(jù)的證據(jù)特征包括電子證據(jù)的真實性、完整性和合法性。另一方面電子證據(jù)具有虛擬性和易刪改性。電子證據(jù)所記載的內容必須借助一定的設備或軟件才能轉化為人們可以認知的信息。當電子證據(jù)由于生成、閱讀、存儲、刪改或傳輸造成哈希值變化，我們無法來證明其是合法的取證檢驗還是非法的證據(jù)破壞，從而使電子證據(jù)失去其完整性和真實性。這就要求電子證據(jù)檢驗部門需配備有電子證據(jù)勘察、收集、移交與鑒定的一整套專業(yè)設備來確保證據(jù)的效力。

最后，電子數(shù)據(jù)的數(shù)據(jù)分析。電子取證數(shù)據(jù)分析是指運用計算機技術和信息網(wǎng)絡技術，對提取到的電子數(shù)據(jù)進行分析，發(fā)現(xiàn)能夠體現(xiàn)案件事實相關的數(shù)據(jù)，以確定電子證據(jù)應該采納的內容和方向。電子取證數(shù)據(jù)分析是電子取證的核心和關鍵，所有的分析工作應該在克隆硬盤或備份文件上進行，以保證原始證據(jù)的可靠性和合法性。

常見的電子證據(jù)取證方法有：數(shù)據(jù)復制技術、數(shù)據(jù)恢復技術、數(shù)據(jù)挖掘技術、密碼破解技術。上述的取證方法，決定了電子數(shù)據(jù)的設備依賴性和易篡改性。因此，無論在任何情況下，調查者都應牢記。①不要改變原始記錄；②不要在作為證據(jù)的計算機上執(zhí)行無關的操作；③不要給犯罪者銷毀證據(jù)的機會；④詳細記錄所有的取證活動；⑤妥善保存得到的物證。

三、規(guī)范電子證據(jù)的取證程序

電子取證是一項極其細致的工作，電子證據(jù)可能由于操作者的失誤、硬件故障、突然斷電、感染病毒等各種因素而丟失，因此與傳統(tǒng)證據(jù)相比較，對電子證據(jù)的提取和審查就有更大的困難。因此，規(guī)范電子證據(jù)的取證程序勢在必行。

首先，對原始數(shù)據(jù)要進行冗余備份。提取的電子證據(jù)應該有兩個或兩個以上完整的拷貝。冗余備份既可以避免由于電子證據(jù)不穩(wěn)定性造成的備份數(shù)據(jù)丟失，還可以在數(shù)據(jù)分析過程中同時對拷貝文件進行調查和分析，以提高分析取證的工作效率。

其次，在備份復制過程中，以及對備份的硬盤或鏡像文件進行數(shù)據(jù)分析檢驗時，應當使用寫保護技術進行操作，并采取加密技術和數(shù)字簽名等技術，以確保提取到的電子證據(jù)的真實性、準確性和合法性。

其次，通過照相、錄像等形式將電子證據(jù)從提取之后到提交法庭作為審判依據(jù)的過程中產生的所有變化都進行記錄和說明。在移動涉案硬件之前，把需提取的設備在現(xiàn)場中的位置、外觀及連接狀態(tài)用照相、錄像等形式記錄下來，并采用錄像的方式記錄檢驗分析的全過程，尤其對改變封存狀態(tài)、分析過程的關鍵操作等重要步驟時應當進行多角度錄像，以提高證據(jù)的合法性。

最后，保障電子取證的工作環(huán)境安全可靠。存儲電子證據(jù)的介質必須遠離磁場、避免高溫、避免灰塵、避免潮濕的環(huán)境中科學存放，避免電子設備損壞，防止重要的線索和證據(jù)被破壞。還要注意阻止無線信號干擾，在對手機等無線通訊設備進行取證時，一定要在防屏蔽環(huán)境中進行，如手機屏蔽袋或者屏蔽室內，以免無線通訊時產生的數(shù)據(jù)污染待提取數(shù)據(jù)。

電子證據(jù)取證程序的規(guī)范，有助于電子數(shù)據(jù)的安全保存、二次復檢、提取風險，有助于電子數(shù)據(jù)客觀性、法律性的保證，有助于電子證據(jù)公信力的保證。長遠來講，電子數(shù)據(jù)取證程序的規(guī)范，有助于電子證據(jù)的學科發(fā)展，有助于適應數(shù)據(jù)時代的證據(jù)新形勢，有助于法庭科學的全面進步。

作者簡介：

張瀛，女，工作單位：安陽市公安局，學歷：本科，專業(yè)：電子證據(jù)，研究方向：電子證據(jù)。