[科普中国]-抽象司法程序模型

基本取证流程

早在1999年，美国人法默和韦尼玛在一次电子取证分析培训班上率先提出了如下的基本取证流程：第一步，保护现场安全并进行隔离；第二步，对现场进行记录；第三步，系统地查找证据；第四步，对证据进行提取和打包；第五步，建立证据保管链。这一流程又被称为基本过程模型。此后，事件响应过程模型、执法过程模型、抽象过程模型、综合数字取证模型、增强式数字取证模型、基于需求的计算机取证过程模型、多维计算机取证模型、可信计算取证模型以及网络实时取证模型陆续出炉。总的来看，这些模型是分别立足于不同的取证环境或技术的，所反映出来的取证流程也有所差异。其中最大的差异是，有的只适用于某一种或几种电子取证措施，如事件响应过程模型、网络实时取证模型等专门性取证模型，有的则适用于全部的电子取证措施，如基本过程模型、抽象过程模型等通用取证模型。

电子取证的模型本质上属于技术层面，无需强求一致；但电子取证的程序本质上属于法律制度层面，应当有所统一。否则，一个国家便难以对这种新式取证措施进行有效的法律规制。我国电子取证程序的构建应当既参考上述各种模型，又不能受缚于模型理论；应当既参考传统搜查、现场勘查、鉴定、保全、技术侦查或通缉等取证措施的程序，又关注电子取证措施的特殊性。

来源
我国的电子取证程序可以概括为四个环节：一是电子取证的准备阶段。这是基础性阶段，主要任务包括对电子取证的技术和设备的研发、取证人员的培训和选择、取证前的信息搜集、取证设备和器材的选择、取证计划的制定等。二是电子证据的收集保全阶段。这是初步的实施阶段，主要任务既包括对物理空间中电子证据的收集与保全，也包括对虚拟空间中电子证据的收集与保全，既包括对计算机主机与其他电子设备的临场取证，也包括网络下载等远程取证。三是电子证据的检验分析阶段。这是深入的实施阶段，它充分体现了电子取证不同于传统取证的特点。一般来说，传统取证多是“现场式”的，即主要活动都集中在证据所在地；而电子取证多是“实验室式”的，即主要实施活动都集中在证据分析实验室，调查人员在证据所在地开展的实施活动基本上是在为实验室分析做准备。为什么电子取证需要采取“实验室式”呢？其实道理很简单，因为计算机硬盘等虚拟空间是电子证据的大仓库，分析海量的电子证据必然要花费很长时间。若直接在犯罪嫌疑人的电脑上分析，既不能保证提取到有用的电子证据，又容易破坏原始证据造成难以弥补的损失。四是电子证据的提交阶段。这一阶段是对取证结果进行汇总提交，主要任务是根据检验分析结果制作电子证据鉴定书、勘验检查笔录及其他书面报告。如果发现电子取证过程中存在问题，还应当提出相应的改进建议或补救措施。1

上述四个环节相互之间是层层推进的关系，在特殊情况下也可以有条件地回溯。例如，调查人员在电子证据的检验分析阶段发现取证有遗漏或者偏差的，不排除重新启动电子证据的收集保全阶段。这样的做法不仅在技术上是必要和可行的，还体现了我国诉讼法所确定的取证原则。如果套用学界推崇的模型理论，上述四个环节所构成的电子取证程序不妨概括为“抽象司法程序模型”。1

具体取证规则准备阶段取证规则本部分提到的规则既包括技术规则也包含法律规则，技术规则经过法律确认会上升为法律规则，因此二者并不存在分明的界限。电子取证的展方向应当为由技术性规则发展为法律性规则，以便于审查起诉阶段和审判阶段对电子数据的审查判断。准备阶段首先要确定的就是取证主体的问题。 根据《电子证据检查规则》的规定，取证人员不得少于二人，且应当具备电子数据检查的专业技能。此外，现场勘验检查还应当由与案件无关的人作见证人，除了明确取证目的——意图获取的电子数据、 了解信息载体的详细情况以外，准备阶段还应根据取证对象选择具体的取证工具。2

收集保全阶段取证规则
此部分为电子取证的关键阶段，处理不当会导致电子数据的丢失或损坏.用传统方法难以保全的电子数据,应当实施镜像复制、数据隐藏技术等专业技术进行保全。采取任何一种保全措施都应当及时制作电子数据固定笔 录、清单.

检验分析阶段取证规则
取证分析指的 是对相关存储介质中数据的解析、查看，提取有关 的线索或证据。主要涉及数据恢复技术、数据解析技术和密码恢复技术。对电子数据的分析检验应当由专业技术人员运用专门的软件（如 Encase、FTK） 进行。

汇总提交阶段取证规则
由于司法人员缺乏足够的 电子数据专业知识，电子数据的鉴定显得尤为重要。电子数据的鉴定主要是对信息真实性、一致性以及信息存储设备性能和运行情况的鉴定。实践中 通常也将数据信息的提取交由鉴定部门完成。电子数据的鉴定同样必须遵循前文提到的取证四原则。 目前规范电子数据鉴定的文件有《公安机关电子数 据鉴定规则》和《人民检察院电子证据鉴定程序规 则（试行）》。电子数据的鉴定应当遵循一般物证鉴 定的规则，比如鉴定人回避义务、鉴定结果的告知 义务、检材来源应当清晰真实等。2

电子取证中存在的问题应用盗版软件提取的证据能否作为定案依据
提取电子数据的工具和设备合法，才能保证电子证据程序的合法性。单从这角度考虑，使用盗版软件提取的证据显然不符合法律规定，但在实际操作中很尴尬。我国在电子取证的技术，基本上暂无自主研发的独立运用软件，而发达国家限制向我国出售软件，即使有限出售的软件也是受到限制的企业版而非政府版，且价格昂贵，致使我国侦查机关不得不使用盗版软件或破译软件。考虑到我国的实际情况，可以采用经盗版软件或破译软件获得的证据，但在用之前，要有相关资质的技术机构对这些软件进行测评，明确可采用的力度，同时还要建立准入制度，防止软件良莠不齐，影响取证效果。

如何保证第三人的合法权益电子取证的范围无限，很容易获得无关人员的电子数据，特别是网络服务提供商的商业秘密和他人隐私。所以在既能有效获取电子数据又能保证第三方的合法权益时，有必要遵循“必要原则”和“比例原则”。

拿计算机搜查举例。如果在扣押电子数据时，涉及到他人的电子数据，是否扣押？根据“必要原则”，侦查人员要结合当时的实际情况处理。如果有必要，比如犯罪嫌疑人可能将涉案数据更改文件扩展名隐匿在他人的数据中，可以扣押他人的电子数据，如果没有必要则无需扣押。即使认为有必要扣押他人电子数据，扣押的数目也要与案件的关联性成一定比例，切勿盲目扣押他人合法权益，后者就是“比例原则”。当然，必要性和比例都是由侦查人员结合案情自由裁量，没有硬性规定，应从案件的关联程度，紧急程度一常人视角判断。