計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查規(guī)則

1、 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查規(guī)則第一章 總則第一條 為規(guī)范計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查工作，確?，F(xiàn)場(chǎng)勘驗(yàn)檢查質(zhì)量，根據(jù)刑事訴訟法、公安機(jī)關(guān)辦理刑事案件程序規(guī)定、公安部刑事案件現(xiàn)場(chǎng)勘查規(guī)則，制定本規(guī)則。第二條 在本規(guī)則中，電子證據(jù)包括電子數(shù)據(jù)、存儲(chǔ)媒介和電子設(shè)備。第三條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查包括：（一）現(xiàn)場(chǎng)勘驗(yàn)檢查。是指在犯罪現(xiàn)場(chǎng)實(shí)施勘驗(yàn)，以提取、固定現(xiàn)場(chǎng)存留的與犯罪有關(guān)電子證據(jù)和其它相關(guān)證據(jù)。（二）遠(yuǎn)程勘驗(yàn)。是指通過網(wǎng)絡(luò)對(duì)遠(yuǎn)程目標(biāo)系統(tǒng)實(shí)施勘驗(yàn)，以提取、固XX程目標(biāo)系統(tǒng)的狀態(tài)和存留的電子數(shù)據(jù)。（三）電子證據(jù)檢查。是指檢查已扣押、封存、固定的電子證據(jù)，以發(fā)現(xiàn)和提取與案件相關(guān)的

2、線索和證據(jù)。第四條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查的任務(wù)是，發(fā)現(xiàn)、固定、提取與犯罪相關(guān)的電子證據(jù)及其他證據(jù)，進(jìn)行現(xiàn)場(chǎng)調(diào)查訪問，制作和存儲(chǔ)現(xiàn)場(chǎng)信息資料，判斷案件性質(zhì)，確定偵查方向和范圍，為偵查破案提供線索和證據(jù)。第五條計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查，應(yīng)當(dāng)嚴(yán)格遵守國家法律、法規(guī)的有關(guān)規(guī)定。不受其他任何單位、個(gè)人的干涉。第六條執(zhí)行計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查任務(wù)的人員，應(yīng)當(dāng)具備計(jì)算機(jī)現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查的專業(yè)知識(shí)和技能。第七條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查工作，應(yīng)當(dāng)以事實(shí)為依據(jù)，防止主觀臆斷，嚴(yán)禁弄虛作假。第二章 組織與指揮第八條計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查，應(yīng)當(dāng)由縣級(jí)以上公安機(jī)關(guān)

3、公共信息網(wǎng)絡(luò)安全監(jiān)察部門負(fù)責(zé)組織實(shí)施。必要時(shí)，可以指派或者聘請(qǐng)具有專門知識(shí)的人參加。第九條 對(duì)計(jì)算機(jī)犯罪現(xiàn)場(chǎng)進(jìn)行勘驗(yàn)和對(duì)電子證據(jù)進(jìn)行檢查不得少于二人。現(xiàn)場(chǎng)勘驗(yàn)檢查，應(yīng)當(dāng)邀請(qǐng)一至兩名與案件無關(guān)的公民作見證人。公安司法人員不能充當(dāng)見證人。電子證據(jù)檢查，應(yīng)當(dāng)遵循辦案人員與檢查人員分離的原則。檢查工作應(yīng)當(dāng)由具備電子證據(jù)檢查技能的專業(yè)技術(shù)人員實(shí)施，辦案人員應(yīng)當(dāng)予以配合。第十條 對(duì)計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查應(yīng)當(dāng)統(tǒng)一指揮，周密組織，明確分工，落實(shí)責(zé)任。第十一條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查的指揮員應(yīng)當(dāng)由具有計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查專業(yè)知識(shí)和組織指揮能力的人民警察擔(dān)任。重大、特別重大案件的勘

4、驗(yàn)檢查工作，指揮員由案發(fā)地公安機(jī)關(guān)負(fù)責(zé)人擔(dān)任。必要時(shí)，上級(jí)公安機(jī)關(guān)可以直接組織指揮現(xiàn)場(chǎng)勘驗(yàn)和電子證據(jù)檢查工作。第三章電子證據(jù)的固定與封存第十二條 固定和封存電子證據(jù)的目的是保護(hù)電子證據(jù)的完整性、真實(shí)性和原始性。作為證據(jù)使用的存儲(chǔ)媒介、電子設(shè)備和電子數(shù)據(jù)應(yīng)當(dāng)在現(xiàn)場(chǎng)固定或封存。第十三條 封存電子設(shè)備和存儲(chǔ)媒介的方法是：（一）采用的封存方法應(yīng)當(dāng)保證在不解除封存狀態(tài)的情況下，無法使用被封存的存儲(chǔ)媒介和啟動(dòng)被封存電子設(shè)備。（二）封存前后應(yīng)當(dāng)拍攝被封存電子設(shè)備和存儲(chǔ)媒介的照片并制作封存電子證據(jù)清單，照片應(yīng)當(dāng)從各個(gè)角度反映設(shè)備封存前后的狀況，清晰反映封口或張貼封條處的狀況。第十四條 固定存儲(chǔ)媒介和電子數(shù)據(jù)包

5、括以下方式：（一）完整性校驗(yàn)方式。是指計(jì)算電子數(shù)據(jù)和存儲(chǔ)媒介的完整性校驗(yàn)值，并制作、填寫固定電子證據(jù)清單；（二）備份方式。是指復(fù)制、制作原始存儲(chǔ)媒介的備份，并依照第十三條規(guī)定的方法封存原始存儲(chǔ)媒介；（三）封存方式。對(duì)于無法計(jì)算存儲(chǔ)媒介完整性校驗(yàn)值或制作備份的情形，應(yīng)當(dāng)依照第十三條規(guī)定的方法封存原始存儲(chǔ)媒介，并在勘驗(yàn)、檢查筆錄上注明不計(jì)算完整性校驗(yàn)值或制作備份的理由。第四章現(xiàn)場(chǎng)勘驗(yàn)檢查第十五條 現(xiàn)場(chǎng)勘驗(yàn)檢查程序包括：（一）保護(hù)現(xiàn)場(chǎng)；（二）收集證據(jù)；（三）提取、固定易丟失數(shù)據(jù)；（四）在線分析；（五）提取、固定證物。第十六條 對(duì)現(xiàn)場(chǎng)狀況以及提取數(shù)據(jù)、封存物品文件的過程、在線分析的關(guān)鍵步驟應(yīng)當(dāng)錄像，錄

6、像帶應(yīng)當(dāng)編號(hào)封存。第十七條 在現(xiàn)場(chǎng)拍攝的照片應(yīng)當(dāng)統(tǒng)一編號(hào)制作勘驗(yàn)檢查照片記錄表。第十八條 在現(xiàn)場(chǎng)提取的易丟失數(shù)據(jù)以及現(xiàn)場(chǎng)在線分析時(shí)生成和提取的電子數(shù)據(jù)，應(yīng)當(dāng)計(jì)算其完整性校驗(yàn)值并制作、填寫固定電子證據(jù)清單，以保證其完整性和真實(shí)性。第十九條 在線分析是指在現(xiàn)場(chǎng)不關(guān)閉電子設(shè)備的情況下直接分析和提取電子系統(tǒng)中的數(shù)據(jù)。除以下情形外，一般不得實(shí)施在線分析：（一）案件情況緊急，在現(xiàn)場(chǎng)不實(shí)施在線分析可能會(huì)造成嚴(yán)重后果的；（二）情況特殊，不允許關(guān)閉電子設(shè)備或扣押電子設(shè)備的；（三）在線分析不會(huì)損害目標(biāo)設(shè)備中重要電子數(shù)據(jù)的完整性、真實(shí)性的。重要電子數(shù)據(jù)是指可能作為證據(jù)的電子數(shù)據(jù)。第二十條 易丟失數(shù)據(jù)提取和在線分析，

7、應(yīng)當(dāng)依循以下原則：（一）不得將生成、提取的數(shù)據(jù)存儲(chǔ)在原始存儲(chǔ)媒介中。（二）不得在目標(biāo)系統(tǒng)中安裝新的應(yīng)用程序。如果因?yàn)樘厥庠?，需要在目?biāo)系統(tǒng)中安裝新的應(yīng)用程序的，應(yīng)當(dāng)在現(xiàn)場(chǎng)勘驗(yàn)檢查筆錄中記錄所安裝的程序及其目的。（三）應(yīng)當(dāng)在現(xiàn)場(chǎng)勘驗(yàn)檢查筆錄中詳細(xì)、準(zhǔn)確記錄實(shí)施的操作以及對(duì)目標(biāo)系統(tǒng)可能造成的影響。第二十一條現(xiàn)場(chǎng)勘驗(yàn)檢查結(jié)束后，應(yīng)當(dāng)在及時(shí)制作現(xiàn)場(chǎng)勘驗(yàn)檢查工作記錄?，F(xiàn)場(chǎng)勘驗(yàn)檢查工作記錄由現(xiàn)場(chǎng)勘驗(yàn)檢查筆錄、固定電子證據(jù)清單、封存電子證據(jù)清單和勘驗(yàn)檢查照片記錄表等內(nèi)容組成。第五章 遠(yuǎn)程勘驗(yàn)第二十二條遠(yuǎn)程勘驗(yàn)過程中提取的目標(biāo)系統(tǒng)狀態(tài)信息、目標(biāo)網(wǎng)站內(nèi)容以及勘驗(yàn)過程中生成的其它電子數(shù)據(jù)，應(yīng)當(dāng)計(jì)算其完整性校驗(yàn)值

8、并制作固定電子證據(jù)清單。第二十三條 應(yīng)當(dāng)采用錄像、照相、截獲計(jì)算機(jī)屏幕內(nèi)容等方式記錄遠(yuǎn)程勘驗(yàn)過程中提取、生成電子證據(jù)等關(guān)鍵步驟。第二十四條遠(yuǎn)程勘驗(yàn)結(jié)束后，應(yīng)當(dāng)及時(shí)制作遠(yuǎn)程勘驗(yàn)工作記錄。遠(yuǎn)程勘驗(yàn)工作記錄由遠(yuǎn)程勘驗(yàn)筆錄、固定電子證據(jù)清單、勘驗(yàn)檢查照片記錄表以及截獲的屏幕截圖等內(nèi)容組成。第二十五條 通過網(wǎng)絡(luò)監(jiān)聽獲取特定主機(jī)通信內(nèi)容以提取電子證據(jù)時(shí)，應(yīng)當(dāng)遵循與遠(yuǎn)程勘驗(yàn)相同的規(guī)定。第六章 電子證據(jù)檢查第二十六條辦案人員將電子證據(jù)移交給檢查人員時(shí)應(yīng)同時(shí)提供固定電子證據(jù)清單和封存電子證據(jù)清單的復(fù)印件，檢查人員應(yīng)當(dāng)依照以下原則檢查電子證據(jù)的完整性：（一）對(duì)于以完整性校驗(yàn)方式保護(hù)的電子數(shù)據(jù)，檢查人員應(yīng)當(dāng)核對(duì)其完

9、整性校驗(yàn)值是否正確；（二）對(duì)于以封存方式保護(hù)的電子設(shè)備或存儲(chǔ)媒介，檢查人員應(yīng)當(dāng)比對(duì)封存的照片與當(dāng)前封存的狀態(tài)是否一致；（三）存儲(chǔ)媒介完整性校驗(yàn)值不正確、封存狀態(tài)不一致或未封存的，檢查人員應(yīng)當(dāng)在電子證據(jù)檢查筆錄中注明，并由送檢人簽名。第二十七條電子證據(jù)檢查包括：（一）檢查、分析電子證據(jù)中包含的電子數(shù)據(jù)，提取與案件相關(guān)的電子證據(jù)。（二）檢查、分析電子證據(jù)中包含的電子數(shù)據(jù)，制作電子證據(jù)檢查筆錄描述檢查結(jié)論。第二十八條從電子證據(jù)中提取電子數(shù)據(jù)，應(yīng)當(dāng)制作提取電子數(shù)據(jù)清單，記錄該電子數(shù)據(jù)的來源和提取方法。第二十九條復(fù)制、制作原始存儲(chǔ)媒介的備份應(yīng)當(dāng)遵循以下原則：（一）復(fù)制并重新封存原始存儲(chǔ)媒介。（二）對(duì)解除

10、封存狀態(tài)、開始復(fù)制、復(fù)制結(jié)束、重新封存等關(guān)鍵步驟應(yīng)當(dāng)錄像記錄檢查人員實(shí)施的操作。（三）復(fù)制完成后應(yīng)當(dāng)依照第十三條規(guī)定重新封存原始存儲(chǔ)媒介，并制作、填寫封存電子證據(jù)清單。第三十條 除下列情形外，不得直接檢查原始存儲(chǔ)媒介，應(yīng)當(dāng)制作、復(fù)制原始存儲(chǔ)媒介的備份，并在備份存儲(chǔ)媒介上實(shí)施檢查：（一）情況緊急的重大案件，不立即檢查可能延誤案件的偵查工作，導(dǎo)致嚴(yán)重后果的；（二）已計(jì)算存儲(chǔ)媒介的完整性校驗(yàn)值，檢查過程能夠保證不修改原始存儲(chǔ)媒介所存儲(chǔ)的數(shù)據(jù)的；（三）因技術(shù)條件限制，無法復(fù)制原始存儲(chǔ)媒介的。第三十一條 檢查原始電子設(shè)備，或者因第三十條描述的原因，需要直接檢查原始存儲(chǔ)媒介的，應(yīng)當(dāng)遵循以下原則：（一）對(duì)解

11、除封存狀態(tài)、檢查過程的關(guān)鍵操作、重新封存等重要步驟應(yīng)當(dāng)錄像；（二）檢查完畢后應(yīng)當(dāng)依照第十三條規(guī)定重新封存原始存儲(chǔ)媒介和原始電子設(shè)備，并制作、填寫封存電子證據(jù)清單。（三）應(yīng)當(dāng)制作原始證據(jù)使用記錄，記錄直接檢查原始證據(jù)的原因和目的、實(shí)施的操作、對(duì)原始存儲(chǔ)媒介和原始電子設(shè)備中存儲(chǔ)的信息可能產(chǎn)生的影響，并由兩名檢查人員簽名。第三十二條 電子證據(jù)檢查結(jié)束后，應(yīng)當(dāng)及時(shí)制作電子證據(jù)檢查工作記錄。電子證據(jù)檢查工作記錄由電子證據(jù)檢查筆錄、提取電子數(shù)據(jù)清單、封存電子證據(jù)清單和原始證據(jù)使用記錄等內(nèi)容構(gòu)成。第七章勘驗(yàn)檢查記錄第三十三條現(xiàn)場(chǎng)勘驗(yàn)檢查工作記錄、遠(yuǎn)程勘驗(yàn)工作記錄、電子證據(jù)檢查工作記錄應(yīng)當(dāng)加蓋騎縫章后由至少兩

12、名勘驗(yàn)、檢查人員簽名?，F(xiàn)場(chǎng)勘驗(yàn)檢查工作記錄應(yīng)當(dāng)由至少一名見證人簽名。第三十四條現(xiàn)場(chǎng)勘驗(yàn)檢查筆錄的內(nèi)容一般包括：（一）基本情況。包括勘驗(yàn)檢查的地點(diǎn)，起止時(shí)間，指揮人員、勘查人員的姓名、職務(wù)，見證人的姓名、住址等；（二）現(xiàn)場(chǎng)情形。包括現(xiàn)場(chǎng)的設(shè)備環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、運(yùn)行狀態(tài)等；（三）勘查過程。包括勘查的基本情況，易丟失證據(jù)提取的過程、產(chǎn)生的數(shù)據(jù)，在線勘驗(yàn)、檢查過程中實(shí)施的操作、對(duì)數(shù)據(jù)可能產(chǎn)生的影響、提取的數(shù)據(jù)，封存物品、固定證據(jù)的有關(guān)情況等；（四）勘查結(jié)果。包括提取物證的有關(guān)情況、勘查形成的結(jié)論以及發(fā)現(xiàn)的案件線索等。第三十五條 現(xiàn)場(chǎng)勘查照片記錄表應(yīng)當(dāng)記錄該相片拍攝的內(nèi)容、對(duì)象，并編號(hào)入卷。拍攝的照片可以是數(shù)碼照片或光學(xué)照片。第三十六條 遠(yuǎn)程勘驗(yàn)筆錄的內(nèi)容一般包括：（一）基本情況。包括勘驗(yàn)的起止時(shí)間，指揮人員、勘驗(yàn)人員的姓名、職務(wù)，勘驗(yàn)的對(duì)象，勘驗(yàn)的目的等；（二）勘驗(yàn)過程。包括勘驗(yàn)使用的工具，勘驗(yàn)的方法與步驟，提取和固定數(shù)據(jù)的方法等；（三）勘驗(yàn)結(jié)果。包括通過勘驗(yàn)發(fā)現(xiàn)的案件線索，目標(biāo)系統(tǒng)的狀況，目標(biāo)網(wǎng)站的內(nèi)容等。第三十七條