难以磨灭的“痕迹”——访电子证据专家刘品新

发布时间：2018-11-12 09:35:16 浏览： 489

数字空间，属于办案人员不能直接进入的无形空间。在这样的空间提取相关的电子证据，人们必须借助软硬件电子设备。在此过程中，电子设备实际上就起到了中介的作用。可见，电子证据是一种必须借助虚拟的“机器”代理才能认识的证据。

问：哪些是虚拟空间呢？

答：简单地说，个人电脑、互联网、服务器电脑、手机、摄像机以及优盘、硬盘、打印机、复印机等存储介质形成为人类提供服务的空间，都是虚拟空间。在虚拟空间留下的诸多“痕迹”就是电子证据。

问：实践中，大家经常会对电子证据是否存在伪造、变造情形产生争议。在您看来，电子证据是否容易伪造、变造？

答：人类的司法经验表明，任何证据其实都存在被伪造或变造的可能性，关键在于其被伪造或变造后被发现的可能性及难度大小。电子证据不是一个孤立的文件或数据，而是内容数据、附属信息和关联痕迹的总和。内容数据是电子证据的正文；附属信息是在内容数据生成、存储、传递、修改、增删时发生的记录，如电子系统的日志记录、电子文件的属性信息等；关联痕迹是因生成、存储、传递、修改、增删内容数据而导致新产生的相关痕迹，常见的包括电子系统中的快捷方式文件（。link）、数据文件（。dat）、临时文件（。tmp）等，也包括内容数据在数据磁盘层的存储规律等。制造一份假的电子证据，既要伪造或变造出假的内容数据，又要遵循系统性规律去伪造或变造出假的附属信息、关联痕迹，甚至要伪造或变造出假的系统环境。后三者的数量更大，并且造假的技术难度也大，即使造假得逞也很容易被发现，因为真实的数据很多是由系统自动生成而非人为编制的。以伪造一份电子邮件为例，既要在发件人或收件人电脑中进行邮件内容、附属信息、关联痕迹的伪造，又要在本方邮箱服务商的服务器、对方邮箱服务商的服务器、对方电脑中进行相应的伪造。在电子邮件涉及的网络空间不同节点或设备中均造假，本身就极难做到，要想假得天衣无缝更是难上加难。

问：如此看来，我们在把内容数据作为证据使用时，与该内容数据有关的附属信息和关联痕迹是不是也很重要？

答：是的，这三种信息同等重要。办案实践中流行的电子勘查（包括远程勘查）手段，实际上是将电子证据视为一种“证据集中的场所”——“虚拟场”进行取证的。在实践中，司法人员在获取诸如电子邮件、word文档、QQ聊天记录等电子证据后，还会继续挖掘和提取相关文件的形成痕迹等关联信息。这同在物理空间进行现场勘验非常类似。

问：关于电子证据的调取和审查运用，主要有哪些规定和要求？

答：目前，重点针对电子数据调取、审查运用等问题进行规范的文件，主要是一些部门单独和联合制定的规范性文件，如2005年公安部《公安机关电子数据鉴定规则》、2009年最高人民检察院《电子证据鉴定程序规则（试行）》《人民检察院电子证据勘验程序规则（试行）》、2012年最高人民法院《关于适用刑事诉讼法若干问题的解释》、2016年由最高人民法院、最高人民检察院、公安部联合颁发的《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》，以及散见于其他司法解释等文件中的相关规定。

问：在监察调查工作中，电子证据有哪些应用价值？

答：电子证据的第一个应用价值是为证明案件事实提供了有效的途径。在调查实践中，很多案子的突破点在电子证据上。比如，作为传统证据的证人找不着了，物证书证灭失了，时过境迁了，被调查人也可能会抗拒调查，这时从网络上、被调查人电脑或手机里找到的电子证据往往会成为证明案件事实的关键证据。

第二，电子证据为谈话、讯问、询问等调查措施提供了智能化支撑。我们可以通过电子证据获取大量的、历史的、客观性强的信息，这有利于我们更加完整、深入地理解和把握案情，从而帮助我们科学制定谈话策略，化解讯问、询问对抗心理，正确判断谈话、讯问、询问所获得的信息的真伪。

第三，电子证据可以帮助我们提供虚拟现场，进行数字式的案件事实重建。比如，有人举报某学校装修图书馆的招标过程中存在围标问题，该案采取的调查方法是，核查几家投标公司投标材料的光盘。光盘中不仅有投标材料的内容，还有附属信息、关联痕迹，能够反映标书等文件的制作过程，重建部分纸面材料无法反映的案件事实，结果发现有4份word文档形式的投标书存在严重的“抄袭”嫌疑——它们来源于同一word文档。第一，4份投标书的“作者”和“最后一次保存者”是完全一致的。第二，这4份投标书word文档的“修订号”非常接近，分别为29、30、31、29次，说明4份文档保存的次数是接近的。第三，这4份投标书word文档的“创建内容的时间”是相同的。如果对一份文档进行修改，那么新旧文档的“创建内容的时间”应当是一致的，这说明，它们极有可能是根据同一份文档修改编辑的。第四，这4份投标书word文档的“最后一次保存的日期”也非常接近，这说明，4家公司对投标书定稿的时间非常接近。根据以上重建的案件事实，足以说明4家公司围标的嫌疑。

第四，电子证据可以帮助我们对被调查人画像。突破案件需要了解被调查人的喜怒哀乐等为人情况。海量的电子证据，有助于我们从中获得大量有关被调查人的全方位信息，有助于我们更加全面地了解被调查人究竟是个什么样的人。

第五，电子证据也是很好的初核武器。在初核阶段，我们可以通过网络和已建立的数据共享平台尽可能全面地收集涉案信息，比如个人基本情况、资产状况与流向、活动轨迹、涉案有关企业信息、行业特点等，这样可以缩小知情范围，防止给其他相关人员造成负面影响，也防止引起被调查人实施串供、毁灭证据等反调查活动。（中央纪委国家监委网站曹静静）