试析事后电子数据证据第三方保全方法刍议

  　[论文摘要]电子数据已经作为一种独立的证据类型被写入法律，此种新型证据正逐步成为目前司法实践中解决纠纷的主要证据形式，但我国法律尚未对电子数据证据如何进行收集与保全进行具体的规范，以至于对电子数据的收集、保全时出现多套标准、多种方法执行的情况。文章通过对电子数据证据第三方保全进行介绍，重点探讨事后电子数据证据第三方保全的方法及手段，对有效开展事后电子数据证据第三方保全工作具有显著意义。

　　[论文关键词]电子数据；第三方；保全；方法

　　一、电子数据证据第三方保全方法的科学理解

　　对于电子数据证据第三方保全的方法，可以分为事前的电子数据证据第三方保全与事后的电子数据证据第三方保全。事前的电子数据证据第三方保全是指在行为或事件发生以前向专门的电子数据证据保全机构申请电子数据证据第三方保全，将电子数据证据中的事实信息及审计信息固定下来，以备日后纠纷产生时起到定纷止争的作用。事后的电子数据证据第三方保全主要是指在行为或事件发生以后，根据当事人申请或法院委托，专门的电子数据证据保全机构对产生纠纷的电子数据证据进行第三方保全。专门的电子数据证据保全机构对事后的电子数据证据第三方保全一般是采用以下两大类方法：一是传统意义上的同一比对法。这种保全方法的基本原理在于将所获取的电子数据证据中的电子信息与其源信息进行同一性比对、核实，从而得出该电子数据证据信息是否客观真实的结论。例如将所收集到的电子邮件信息与发件端计算机中的电子邮件信息进行比对。二是通过审计信息确认电子数据证据中事实信息客观真实性的保全方法。这种方法的基本原理是通过检查、核实与该待证事实信息相关的其他电子信息来确认该待证事实信息的客观真实。例如通过检查电子邮件信息的邮件头、电子邮件所通过的邮件服务器、计算机的日志文件等来确认该电子邮件是否损坏或者经过篡改。

　　二、事后电子数据证据第三方保全的方法

　　与事前保全不同，这里的事后保全是指事件或者行为发生了以后，为证明这些已存在的事实而进行审查、确认并固定、保存证据。简言之，证据的事前保全是在待证事实发生或者存在的同时或更早，及时地将能够证明这些事实的证据固定、保存下来。而电子数据证据的事后保全，则是待证事实发生或者存在以后，对能够证明该待证事实的证据进行的证据保全。
　　（一）同一比对法
　　笔者认为，事后保全的主要方法应当是同一比对法。所谓同一比对，是指具有专门知识的人或者熟悉客体物的某些特征的人，在研究与比较先后出现的两个反映形象特征的基础上，对其是否出自同一个或者是否原属同一个整体物所作出的判断。同一比对的科学基础包括：客体物的物质性和反映性；客体物的特征的共同性与客体物的本质的特殊性；客体物的可变性与稳定性。进行同一比对需要具备以下三个条件：（1）客体物的特性必须具备相对稳定性；（2）客体物的特性必须得到较好的反映；（3）对客体物的特征必须有较高的认识水平。
　　电子数据证据第三方保全可以采用同一比对的方法。这是由于网络证据已经具备了同一比对的各项条件：第一，由电子信息传输的广泛性可知，任何电子信息都不可能只存在于单个的载体之上，而在传输、转移的过程中所涉及到的信息载体上均会留下此电子信息的传输、转移的行为信息，这就为同一比对提供了现实的可能性。第二，电子信息经过传输、转移后一般不会被彻底删除，即使被进行了删除操作，只要没有被其他数据所覆盖，也可以通过专业的数据恢复软件或数据恢复技术将其还原。所以，这也为同一比对提供了可能性。第三，电子信息都是以二进制代码的形式存在于载体之上的，借助相关的软件或硬件，电子信息能够直观地呈现在人们面前。第四，电子数据证据第三方保全的主体都是依法成立的专业的保全机构，配备有先进的设备以及精通相关专业知识及保全业务的专业人员，可以保证对电子数据证据及其事实信息和审计信息进行正确的分析与鉴别。
　　电子数据证据第三方保全的同一比对的方法实施起来主要可以分为以下几个大的步骤：
　　（1）比对前所做的准备工作。大致包括熟悉相关情况、查验比对材料、了解比对要求、拟定比对计划、准备比对设备等。
　　（2）分别比对。通过对各分组数据信息进行检验，确定它们分别所反映的一般特征与特定特征，以此来确定各个分组数据的特性。
　　（3）比较比对。在分别比对的基础上，通过对各分组数据信息进行比较与研究，识别它们之间的相同点与差异点。比较的方法通常有以下三种：特征接合法、特征重叠法和特征对照法。
　　（4）综合评判。综合评判是同一比对的最为关键的阶段，其目的就是要对在比较比对中出现的接合点与差异点进行科学的分析、判断，并在分析、判断的基础上，对每个信息载体所涉及的信息是否同一给出正确的结论。
　　（5）制作电子数据证据第三方保全证书。电子数据证据第三方保全证书是可以表述比对结论的具有法律效力的文书，应当认真制作。电子数据证据第三方保全证书的正文部分主要包括以下内容：绪论、比对、论证以及结论。
　　以对电子邮件的同一比对为例，电子邮件可以分别在四个以上的网络存储设备上存在，分别为发件人的发件箱、收件人的收件箱、发件人与收件人各自的邮件服务器以及可能存在的中转服务器上。在进行电子邮件的同一比对时，电子数据证据第三方保全机构可以分别通过发件人、收件人以及双方的网络服务提供者（ISP商）获得与待证电子邮件相关的材料，即电子邮件的事实信息及其审计信息。在对这些数据信息逐一进行分别比对和比较比对的基础上，经过综合评判后，判定该电子邮件是否具有可靠性及客观真实性，并出具电子数据证据第三方保全证书。
　　（二）审计信息确认法
　　随着电子数据证据这一证据形式的出现，如何对其进行保全已经成为证据保全及正确运用其从事证明活动所面临的一大难题。根据目前国内外的实践情况来看，仅依靠传统的保全方法已不能满足保全电子数据证据的需要。所以，一些计算机网络技术较为发达的国家和地区早已从技术层面着手，加强各种专业保全工具的配合使用。由此，审计信息确认法便应运而生。

　　所谓审计信息确认法是指专门的电子数据证据保全机构通过其审计信息查明、确认能够证明该电子数据证据及其相关信息客观真实性的证据确认方法。例如，通过审查、分析记录有电子数据证据生成过程的数据信息来确认电子数据证据及其相关信息的客观真实性。
　　要保证电子数据证据中所蕴含的待证事实信息具有可靠性与完整性，不仅应采用能够保证电子信息提取过程中信息客观真实的电子数据证据及其事实信息的收集方法，还必须收集确实充分的审计信息以证明所收集到的这些电子数据证据及其相关信息客观真实。关于电子数据证据及其相关信息的收集，以美国为代表的西方国家已经成功研发出了一些能够保证收集到的信息客观真实的专业的取证工具，例如X-ways、Final Forensics、Encase等等。近几年来，我国也有类似的取证工具出现，例如BitSure I电子数据证据取证箱。运用这些取证工具可有效保证对存储介质上被提取的数据进行位对位（Bit-to-Bit）的精确复制。整个复制过程中软件或硬件会对被复制的原始存储介质进行保护，这样不会造成数据在传输过程中原始证据中的数据被修改或者重置；同时，所有的数据提取过程均被实时记录和审计，形成专业的审计报告存储于专用的审计设备中，与其证据进行唯一性绑定，为电子数据调查与取证的合法性提供重要保障。
　　专门的电子数据证据保全机构通过审计信息确认法对电子数据证据进行第三方保全，具体可以包括以下几个步骤：
　　（1）确认准备工作。电子数据证据保全机构应熟悉保全对象的相关情况，备份储存有待证事实信息的原始载体，了解确认要求，拟定确认计划，准备认确认工具和设备等。
　　（2）确实充分的收集电子数据证据的审计信息。例如，通过BitSure I电子数据证据取证箱在收集电子信息的同时收集这些电子信息的审计信息。具体操作时，对被复制的原始电子数据证据存储介质中的数据以位对位（Bit-to-bit）的方式复制到目标盘（或证据复制盘）。同时生成专业的审计记录存储于专用取证审计设备中，与证据复制盘进行绑定，以确保电子数据证据提取过程的唯一性、可重复性、可验证性。如果仅需要保全原始电子数据证据存储介质中的部分文件，则可快速浏览存储介质中的文件及目录列表，对指定文件和目录单独进行证据提取，同时生成审计记录，存储于专用取证审计设备中，与证据复制盘进行绑定。
　　（3）将审计信息与电子数据证据及其信息进行校验。例如，对通过BitSure I取证箱收集得到的电子数据证据，依据与证据复制盘绑定的审计设备里存储的审计记录可以对复制的证据进行校验，验证复制证据中的待证事实信息是否被篡改甚至破坏。依据审计设备里存储的审计记录，系统在无人工干预的情形下，自动重现当初证据的提取过程，从而验证取证结果是否正确。
　　（4）通过审计信息对证据及其信息的验证过程，制作电子数据证据第三方保全证书。电子数据证据第三方保全证书正文的内容主要包括：绪论、证据提取、证据生成、证据校验以及结论。
　　（5）妥善保管生成的电子数据证据及其审计记录，以备日后查验。
　　应当强调的是，同一比对法和审计信息确认法两者可单独运用，也可以同时配合运用。涉及到两者同时配合运用的情况，要么是依次运用这两种方法对同一电子数据证据分别实施保全，要么是以运用其中一种方法为主，兼而运用另一种方法作为辅助来对电子数据证据进行保全。