Los principios que normalmente deben seguir los análisis forenses de datos electrónicos son:
1. El principio de autorización según la ley.
El personal médico forense debe estar autorizado por ley, y el proceso forense debe cumplir con las leyes y reglamentos.
2. Principio no destructivo.
Los métodos de recopilación de pruebas deben ser científicos, cumplir con las normas técnicas pertinentes y garantizar la integridad y continuidad de los datos electrónicos. La preservación de los datos electrónicos debe cumplir con la cadena de custodia de las pruebas, es decir, debe ser; capaz de explicar el período desde el estado de adquisición inicial de los datos electrónicos hasta la comparecencia ante el tribunal de cualquier cambio.
3. Principios del desarrollo de habilidades.
Los agentes encargados de hacer cumplir la ley que participan en la recopilación de pruebas deben recibir capacitación profesional y tener la capacidad de recopilar datos electrónicos.
4. Registra el principio de fijación.
Cualquier actividad relacionada con la recopilación, almacenamiento, transporte, análisis e inspección de datos debe registrarse y archivarse.
5. Principios de uso de herramientas.
El personal médico forense debe estar equipado con herramientas forenses que cumplan los requisitos.
Notas sobre la recopilación electrónica de datos:
Primero, recopile pruebas estrictamente de acuerdo con la ley.
1. El número de sujetos de recogida de pruebas y de personal de supervisión y aplicación de la ley del mercado no será inferior a dos. Para actividades forenses de datos electrónicos altamente técnicas, se deben seleccionar investigadores con conocimientos profesionales relevantes y se puede invitar a personal profesional y técnico para que ayuden cuando sea necesario.
2. En términos de procedimientos de recopilación de pruebas, los departamentos de supervisión del mercado deben seguir estrictamente los procedimientos legales, tomar las medidas de investigación correspondientes en las diferentes etapas y, al mismo tiempo, producir documentos y materiales legales relevantes de acuerdo con la ley. La recopilación de datos electrónicos implica principalmente inspección, extracción, registro y conservación o incautación, inspección, identificación y otras medidas.
3. En cuanto al contenido de la recopilación de pruebas, los agentes del orden deben prestar atención a analizar la correlación entre el contenido de la información y los hechos del caso al recopilar datos electrónicos, recopilar materiales relacionados con el caso de acuerdo con la ley y evitar ampliar el alcance de la recopilación de pruebas.
Si se trata de secretos de estado, secretos de trabajo, secretos comerciales y privacidad personal, se mantendrán confidenciales de conformidad con la ley; si los materiales obtenidos son irrelevantes para el caso, serán devueltos o destruidos en; de manera oportuna.
En segundo lugar, recopilación de evidencia integral y oportuna.
1. Recopilar y reparar de forma integral los medios de almacenamiento originales y la información de datos electrónicos. Para restaurar los hechos del caso de manera más completa, es necesario recopilar no solo los medios de almacenamiento originales y los datos estáticos como computadoras, CD, discos duros y unidades flash USB involucrados en el caso, sino también datos dinámicos como datos de memoria y transmisión de red, así como información de registro de usuario, información de autenticación de identidad y registros, operación del sistema y otra información auxiliar.
2. Preste atención a la recopilación de datos ocultos y rastros que hayan sido modificados o eliminados. Con el fin de resistir la investigación y encubrir los hechos, las partes podrán eliminar o modificar deliberadamente algunos datos electrónicos. Los funcionarios encargados de hacer cumplir la ley deben prestar atención al descubrimiento de estos datos y rastros clave ocultos y utilizar medios técnicos para recuperarlos.
3. La recopilación y restauración de datos electrónicos debe ser oportuna. Para los medios de almacenamiento originales de los datos electrónicos involucrados en la investigación, se deben tomar rápidamente medidas como el registro, la preservación o el sellado de los datos electrónicos dinámicos, como los datos de la memoria de la computadora y los datos de transmisión de la red, especialmente si los datos electrónicos no se extraen inmediatamente; puede provocar la pérdida de datos electrónicos y otras consecuencias, es necesario extraerlos y repararlos en el sitio lo antes posible.
Si la cantidad de datos es grande, es imposible o inconveniente extraerlos, o el tiempo de extracción es largo, lo que puede provocar que los datos electrónicos sean manipulados o perdidos, solicite de inmediato al departamento judicial que congelar los datos electrónicos.