計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查規(guī)則

1、 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查規(guī)則第一章 總則第一條 為規(guī)范計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查工作，確?，F(xiàn)場勘驗檢查質(zhì)量，根據(jù)刑事訴訟法、公安機關(guān)辦理刑事案件程序規(guī)定、公安部刑事案件現(xiàn)場勘查規(guī)則，制定本規(guī)則。第二條 在本規(guī)則中，電子證據(jù)包括電子數(shù)據(jù)、存儲媒介和電子設(shè)備。第三條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查包括：（一）現(xiàn)場勘驗檢查。是指在犯罪現(xiàn)場實施勘驗，以提取、固定現(xiàn)場存留的與犯罪有關(guān)電子證據(jù)和其它相關(guān)證據(jù)。（二）遠(yuǎn)程勘驗。是指通過網(wǎng)絡(luò)對遠(yuǎn)程目標(biāo)系統(tǒng)實施勘驗，以提取、固XX程目標(biāo)系統(tǒng)的狀態(tài)和存留的電子數(shù)據(jù)。（三）電子證據(jù)檢查。是指檢查已扣押、封存、固定的電子證據(jù)，以發(fā)現(xiàn)和提取與案件相關(guān)的

2、線索和證據(jù)。第四條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查的任務(wù)是，發(fā)現(xiàn)、固定、提取與犯罪相關(guān)的電子證據(jù)及其他證據(jù)，進(jìn)行現(xiàn)場調(diào)查訪問，制作和存儲現(xiàn)場信息資料，判斷案件性質(zhì)，確定偵查方向和范圍，為偵查破案提供線索和證據(jù)。第五條計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查，應(yīng)當(dāng)嚴(yán)格遵守國家法律、法規(guī)的有關(guān)規(guī)定。不受其他任何單位、個人的干涉。第六條執(zhí)行計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查任務(wù)的人員，應(yīng)當(dāng)具備計算機現(xiàn)場勘驗與電子證據(jù)檢查的專業(yè)知識和技能。第七條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查工作，應(yīng)當(dāng)以事實為依據(jù)，防止主觀臆斷，嚴(yán)禁弄虛作假。第二章 組織與指揮第八條計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查，應(yīng)當(dāng)由縣級以上公安機關(guān)

3、公共信息網(wǎng)絡(luò)安全監(jiān)察部門負(fù)責(zé)組織實施。必要時，可以指派或者聘請具有專門知識的人參加。第九條 對計算機犯罪現(xiàn)場進(jìn)行勘驗和對電子證據(jù)進(jìn)行檢查不得少于二人?，F(xiàn)場勘驗檢查，應(yīng)當(dāng)邀請一至兩名與案件無關(guān)的公民作見證人。公安司法人員不能充當(dāng)見證人。電子證據(jù)檢查，應(yīng)當(dāng)遵循辦案人員與檢查人員分離的原則。檢查工作應(yīng)當(dāng)由具備電子證據(jù)檢查技能的專業(yè)技術(shù)人員實施，辦案人員應(yīng)當(dāng)予以配合。第十條 對計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查應(yīng)當(dāng)統(tǒng)一指揮，周密組織，明確分工，落實責(zé)任。第十一條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查的指揮員應(yīng)當(dāng)由具有計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查專業(yè)知識和組織指揮能力的人民警察擔(dān)任。重大、特別重大案件的勘

4、驗檢查工作，指揮員由案發(fā)地公安機關(guān)負(fù)責(zé)人擔(dān)任。必要時，上級公安機關(guān)可以直接組織指揮現(xiàn)場勘驗和電子證據(jù)檢查工作。第三章電子證據(jù)的固定與封存第十二條 固定和封存電子證據(jù)的目的是保護(hù)電子證據(jù)的完整性、真實性和原始性。作為證據(jù)使用的存儲媒介、電子設(shè)備和電子數(shù)據(jù)應(yīng)當(dāng)在現(xiàn)場固定或封存。第十三條 封存電子設(shè)備和存儲媒介的方法是：（一）采用的封存方法應(yīng)當(dāng)保證在不解除封存狀態(tài)的情況下，無法使用被封存的存儲媒介和啟動被封存電子設(shè)備。（二）封存前后應(yīng)當(dāng)拍攝被封存電子設(shè)備和存儲媒介的照片并制作封存電子證據(jù)清單，照片應(yīng)當(dāng)從各個角度反映設(shè)備封存前后的狀況，清晰反映封口或張貼封條處的狀況。第十四條 固定存儲媒介和電子數(shù)據(jù)包

5、括以下方式：（一）完整性校驗方式。是指計算電子數(shù)據(jù)和存儲媒介的完整性校驗值，并制作、填寫固定電子證據(jù)清單；（二）備份方式。是指復(fù)制、制作原始存儲媒介的備份，并依照第十三條規(guī)定的方法封存原始存儲媒介；（三）封存方式。對于無法計算存儲媒介完整性校驗值或制作備份的情形，應(yīng)當(dāng)依照第十三條規(guī)定的方法封存原始存儲媒介，并在勘驗、檢查筆錄上注明不計算完整性校驗值或制作備份的理由。第四章現(xiàn)場勘驗檢查第十五條 現(xiàn)場勘驗檢查程序包括：（一）保護(hù)現(xiàn)場；（二）收集證據(jù)；（三）提取、固定易丟失數(shù)據(jù)；（四）在線分析；（五）提取、固定證物。第十六條 對現(xiàn)場狀況以及提取數(shù)據(jù)、封存物品文件的過程、在線分析的關(guān)鍵步驟應(yīng)當(dāng)錄像，錄

6、像帶應(yīng)當(dāng)編號封存。第十七條 在現(xiàn)場拍攝的照片應(yīng)當(dāng)統(tǒng)一編號制作勘驗檢查照片記錄表。第十八條 在現(xiàn)場提取的易丟失數(shù)據(jù)以及現(xiàn)場在線分析時生成和提取的電子數(shù)據(jù)，應(yīng)當(dāng)計算其完整性校驗值并制作、填寫固定電子證據(jù)清單，以保證其完整性和真實性。第十九條 在線分析是指在現(xiàn)場不關(guān)閉電子設(shè)備的情況下直接分析和提取電子系統(tǒng)中的數(shù)據(jù)。除以下情形外，一般不得實施在線分析：（一）案件情況緊急，在現(xiàn)場不實施在線分析可能會造成嚴(yán)重后果的；（二）情況特殊，不允許關(guān)閉電子設(shè)備或扣押電子設(shè)備的；（三）在線分析不會損害目標(biāo)設(shè)備中重要電子數(shù)據(jù)的完整性、真實性的。重要電子數(shù)據(jù)是指可能作為證據(jù)的電子數(shù)據(jù)。第二十條 易丟失數(shù)據(jù)提取和在線分析，

7、應(yīng)當(dāng)依循以下原則：（一）不得將生成、提取的數(shù)據(jù)存儲在原始存儲媒介中。（二）不得在目標(biāo)系統(tǒng)中安裝新的應(yīng)用程序。如果因為特殊原因，需要在目標(biāo)系統(tǒng)中安裝新的應(yīng)用程序的，應(yīng)當(dāng)在現(xiàn)場勘驗檢查筆錄中記錄所安裝的程序及其目的。（三）應(yīng)當(dāng)在現(xiàn)場勘驗檢查筆錄中詳細(xì)、準(zhǔn)確記錄實施的操作以及對目標(biāo)系統(tǒng)可能造成的影響。第二十一條現(xiàn)場勘驗檢查結(jié)束后，應(yīng)當(dāng)在及時制作現(xiàn)場勘驗檢查工作記錄?，F(xiàn)場勘驗檢查工作記錄由現(xiàn)場勘驗檢查筆錄、固定電子證據(jù)清單、封存電子證據(jù)清單和勘驗檢查照片記錄表等內(nèi)容組成。第五章 遠(yuǎn)程勘驗第二十二條遠(yuǎn)程勘驗過程中提取的目標(biāo)系統(tǒng)狀態(tài)信息、目標(biāo)網(wǎng)站內(nèi)容以及勘驗過程中生成的其它電子數(shù)據(jù)，應(yīng)當(dāng)計算其完整性校驗值

8、并制作固定電子證據(jù)清單。第二十三條 應(yīng)當(dāng)采用錄像、照相、截獲計算機屏幕內(nèi)容等方式記錄遠(yuǎn)程勘驗過程中提取、生成電子證據(jù)等關(guān)鍵步驟。第二十四條遠(yuǎn)程勘驗結(jié)束后，應(yīng)當(dāng)及時制作遠(yuǎn)程勘驗工作記錄。遠(yuǎn)程勘驗工作記錄由遠(yuǎn)程勘驗筆錄、固定電子證據(jù)清單、勘驗檢查照片記錄表以及截獲的屏幕截圖等內(nèi)容組成。第二十五條 通過網(wǎng)絡(luò)監(jiān)聽獲取特定主機通信內(nèi)容以提取電子證據(jù)時，應(yīng)當(dāng)遵循與遠(yuǎn)程勘驗相同的規(guī)定。第六章 電子證據(jù)檢查第二十六條辦案人員將電子證據(jù)移交給檢查人員時應(yīng)同時提供固定電子證據(jù)清單和封存電子證據(jù)清單的復(fù)印件，檢查人員應(yīng)當(dāng)依照以下原則檢查電子證據(jù)的完整性：（一）對于以完整性校驗方式保護(hù)的電子數(shù)據(jù)，檢查人員應(yīng)當(dāng)核對其完

9、整性校驗值是否正確；（二）對于以封存方式保護(hù)的電子設(shè)備或存儲媒介，檢查人員應(yīng)當(dāng)比對封存的照片與當(dāng)前封存的狀態(tài)是否一致；（三）存儲媒介完整性校驗值不正確、封存狀態(tài)不一致或未封存的，檢查人員應(yīng)當(dāng)在電子證據(jù)檢查筆錄中注明，并由送檢人簽名。第二十七條電子證據(jù)檢查包括：（一）檢查、分析電子證據(jù)中包含的電子數(shù)據(jù)，提取與案件相關(guān)的電子證據(jù)。（二）檢查、分析電子證據(jù)中包含的電子數(shù)據(jù)，制作電子證據(jù)檢查筆錄描述檢查結(jié)論。第二十八條從電子證據(jù)中提取電子數(shù)據(jù)，應(yīng)當(dāng)制作提取電子數(shù)據(jù)清單，記錄該電子數(shù)據(jù)的來源和提取方法。第二十九條復(fù)制、制作原始存儲媒介的備份應(yīng)當(dāng)遵循以下原則：（一）復(fù)制并重新封存原始存儲媒介。（二）對解除

10、封存狀態(tài)、開始復(fù)制、復(fù)制結(jié)束、重新封存等關(guān)鍵步驟應(yīng)當(dāng)錄像記錄檢查人員實施的操作。（三）復(fù)制完成后應(yīng)當(dāng)依照第十三條規(guī)定重新封存原始存儲媒介，并制作、填寫封存電子證據(jù)清單。第三十條 除下列情形外，不得直接檢查原始存儲媒介，應(yīng)當(dāng)制作、復(fù)制原始存儲媒介的備份，并在備份存儲媒介上實施檢查：（一）情況緊急的重大案件，不立即檢查可能延誤案件的偵查工作，導(dǎo)致嚴(yán)重后果的；（二）已計算存儲媒介的完整性校驗值，檢查過程能夠保證不修改原始存儲媒介所存儲的數(shù)據(jù)的；（三）因技術(shù)條件限制，無法復(fù)制原始存儲媒介的。第三十一條 檢查原始電子設(shè)備，或者因第三十條描述的原因，需要直接檢查原始存儲媒介的，應(yīng)當(dāng)遵循以下原則：（一）對解

11、除封存狀態(tài)、檢查過程的關(guān)鍵操作、重新封存等重要步驟應(yīng)當(dāng)錄像；（二）檢查完畢后應(yīng)當(dāng)依照第十三條規(guī)定重新封存原始存儲媒介和原始電子設(shè)備，并制作、填寫封存電子證據(jù)清單。（三）應(yīng)當(dāng)制作原始證據(jù)使用記錄，記錄直接檢查原始證據(jù)的原因和目的、實施的操作、對原始存儲媒介和原始電子設(shè)備中存儲的信息可能產(chǎn)生的影響，并由兩名檢查人員簽名。第三十二條 電子證據(jù)檢查結(jié)束后，應(yīng)當(dāng)及時制作電子證據(jù)檢查工作記錄。電子證據(jù)檢查工作記錄由電子證據(jù)檢查筆錄、提取電子數(shù)據(jù)清單、封存電子證據(jù)清單和原始證據(jù)使用記錄等內(nèi)容構(gòu)成。第七章勘驗檢查記錄第三十三條現(xiàn)場勘驗檢查工作記錄、遠(yuǎn)程勘驗工作記錄、電子證據(jù)檢查工作記錄應(yīng)當(dāng)加蓋騎縫章后由至少兩

12、名勘驗、檢查人員簽名?，F(xiàn)場勘驗檢查工作記錄應(yīng)當(dāng)由至少一名見證人簽名。第三十四條現(xiàn)場勘驗檢查筆錄的內(nèi)容一般包括：（一）基本情況。包括勘驗檢查的地點，起止時間，指揮人員、勘查人員的姓名、職務(wù)，見證人的姓名、住址等；（二）現(xiàn)場情形。包括現(xiàn)場的設(shè)備環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、運行狀態(tài)等；（三）勘查過程。包括勘查的基本情況，易丟失證據(jù)提取的過程、產(chǎn)生的數(shù)據(jù)，在線勘驗、檢查過程中實施的操作、對數(shù)據(jù)可能產(chǎn)生的影響、提取的數(shù)據(jù)，封存物品、固定證據(jù)的有關(guān)情況等；（四）勘查結(jié)果。包括提取物證的有關(guān)情況、勘查形成的結(jié)論以及發(fā)現(xiàn)的案件線索等。第三十五條 現(xiàn)場勘查照片記錄表應(yīng)當(dāng)記錄該相片拍攝的內(nèi)容、對象，并編號入卷。拍攝的照片可以是數(shù)碼照片或光學(xué)照片。第三十六條 遠(yuǎn)程勘驗筆錄的內(nèi)容一般包括：（一）基本情況。包括勘驗的起止時間，指揮人員、勘驗人員的姓名、職務(wù)，勘驗的對象，勘驗的目的等；（二）勘驗過程。包括勘驗使用的工具，勘驗的方法與步驟，提取和固定數(shù)據(jù)的方法等；（三）勘驗結(jié)果。包括通過勘驗發(fā)現(xiàn)的案件線索，目標(biāo)系統(tǒng)的狀況，目標(biāo)網(wǎng)站的內(nèi)容等。第三十七條