發(fā)文機(jī)關(guān)公安部
發(fā)文日期2005年
時(shí)效性現(xiàn)行有效
發(fā)文字號(hào)公信安〔2005〕161號(hào)
施行日期2005年
效力級(jí)別部門規(guī)章
第一章 總 則
第一條 為規(guī)范計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查工作，確保現(xiàn)場(chǎng)勘驗(yàn)檢查質(zhì)量，根據(jù)《刑事訴訟法》、《公安機(jī)關(guān)辦理刑事案件程序規(guī)定》、《公安部刑事案件現(xiàn)場(chǎng)勘查規(guī)則》，制定本規(guī)則。
第二條 在本規(guī)則中，電子證據(jù)包括電子數(shù)據(jù)、存儲(chǔ)媒介和電子設(shè)備。
第三條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查包括：
（一）現(xiàn)場(chǎng)勘驗(yàn)檢查。是指在犯罪現(xiàn)場(chǎng)實(shí)施勘驗(yàn)，以提取、固定現(xiàn)場(chǎng)存留的與犯罪有關(guān)電子證據(jù)和其它相關(guān)證據(jù)。
（二）遠(yuǎn)程勘驗(yàn)。是指通過(guò)網(wǎng)絡(luò)對(duì)遠(yuǎn)程目標(biāo)系統(tǒng)實(shí)施勘驗(yàn)，以提取、固定遠(yuǎn)程目標(biāo)系統(tǒng)的狀態(tài)和存留的電子數(shù)據(jù)。
（三）電子證據(jù)檢查。是指檢查已扣押、封存、固定的電子證據(jù)，以發(fā)現(xiàn)和提取與案件相關(guān)的線索和證據(jù)。
第四條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查的任務(wù)是，發(fā)現(xiàn)、固定、提取與犯罪相關(guān)的電子證據(jù)及其他證據(jù)，進(jìn)行現(xiàn)場(chǎng)調(diào)查訪問(wèn)，制作和存儲(chǔ)現(xiàn)場(chǎng)信息資料，判斷案件性質(zhì)，確定偵查方向和范圍，為偵查破案提供線索和證據(jù)。
第五條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查，應(yīng)當(dāng)嚴(yán)格遵守國(guó)家法律、法規(guī)的有關(guān)規(guī)定。不受其他任何單位、個(gè)人的干涉。
第六條 執(zhí)行計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查任務(wù)的人員，應(yīng)當(dāng)具備計(jì)算機(jī)現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查的專業(yè)知識(shí)和技能。
第七條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查工作，應(yīng)當(dāng)以事實(shí)為依據(jù)，防止主觀臆斷，嚴(yán)禁弄虛作假。
第二章 組織與指揮
第八條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查，應(yīng)當(dāng)由縣級(jí)以上公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門負(fù)責(zé)組織實(shí)施。必要時(shí)，可以指派或者聘請(qǐng)具有專門知識(shí)的人參加。
第九條 對(duì)計(jì)算機(jī)犯罪現(xiàn)場(chǎng)進(jìn)行勘驗(yàn)和對(duì)電子證據(jù)進(jìn)行檢查不得少于二人。現(xiàn)場(chǎng)勘驗(yàn)檢查，應(yīng)當(dāng)邀請(qǐng)一至兩名與案件無(wú)關(guān)的公民作見證人。公安司法人員不能充當(dāng)見證人。電子證據(jù)檢查，應(yīng)當(dāng)遵循辦案人員與檢查人員分離的原則。檢查工作應(yīng)當(dāng)由具備電子證據(jù)檢查技能的專業(yè)技術(shù)人員實(shí)施，辦案人員應(yīng)當(dāng)予以配合。
第十條 對(duì)計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查應(yīng)當(dāng)統(tǒng)一指揮，周密組織，明確分工，落實(shí)責(zé)任。
第十一條 計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查的指揮員應(yīng)當(dāng)由具有計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查專業(yè)知識(shí)和組織指揮能力的人民警察擔(dān)任。重大、特別重大案件的勘驗(yàn)檢查工作，指揮員由案發(fā)地公安機(jī)關(guān)負(fù)責(zé)人擔(dān)任。必要時(shí)，上級(jí)公安機(jī)關(guān)可以直接組織指揮現(xiàn)場(chǎng)勘驗(yàn)和電子證據(jù)檢查工作。
第三章 電子證據(jù)的固定與封存
第十二條 固定和封存電子證據(jù)的目的是保護(hù)電子證據(jù)的完整性、真實(shí)性和原始性。
作為證據(jù)使用的存儲(chǔ)媒介、電子設(shè)備和電子數(shù)據(jù)應(yīng)當(dāng)在現(xiàn)場(chǎng)固定或封存。
第十三條 封存電子設(shè)備和存儲(chǔ)媒介的方法是：
（一）采用的封存方法應(yīng)當(dāng)保證在不解除封存狀態(tài)的情況下，無(wú)法使用被封存的存儲(chǔ)媒介和啟動(dòng)被封存電子設(shè)備。
（二）封存前后應(yīng)當(dāng)拍攝被封存電子設(shè)備和存儲(chǔ)媒介的照片并制作《封存電子證據(jù)清單》，照片應(yīng)當(dāng)從各個(gè)角度反映設(shè)備封存前后的狀況，清晰反映封口或張貼封條處的狀況。
第十四條 固定存儲(chǔ)媒介和電子數(shù)據(jù)包括以下方式：
（一）完整性校驗(yàn)方式。是指計(jì)算電子數(shù)據(jù)和存儲(chǔ)媒介的完整性校驗(yàn)值，并制作、填寫《固定電子證據(jù)清單》；
（二）備份方式。是指復(fù)制、制作原始存儲(chǔ)媒介的備份，并依照第十三條規(guī)定的方法封存原始存儲(chǔ)媒介；
（三）封存方式。對(duì)于無(wú)法計(jì)算存儲(chǔ)媒介完整性校驗(yàn)值或制作備份的情形，應(yīng)當(dāng)依照第十三條規(guī)定的方法封存原始存儲(chǔ)媒介，并在勘驗(yàn)、檢查筆錄上注明不計(jì)算完整性校驗(yàn)值或制作備份的理由。
第四章 現(xiàn)場(chǎng)勘驗(yàn)檢查
第十五條 現(xiàn)場(chǎng)勘驗(yàn)檢查程序包括：
（一）保護(hù)現(xiàn)場(chǎng)；
（二）收集證據(jù)；
（三）提取、固定易丟失數(shù)據(jù)；
（四）在線分析；
（五）提取、固定證物。
第十六條 對(duì)現(xiàn)場(chǎng)狀況以及提取數(shù)據(jù)、封存物品文件的過(guò)程、在線分析的關(guān)鍵步驟應(yīng)當(dāng)錄像，錄像帶應(yīng)當(dāng)編號(hào)封存。
第十七條 在現(xiàn)場(chǎng)拍攝的照片應(yīng)當(dāng)統(tǒng)一編號(hào)制作《勘驗(yàn)檢查照片記錄表》。
第十八條 在現(xiàn)場(chǎng)提取的易丟失數(shù)據(jù)以及現(xiàn)場(chǎng)在線分析時(shí)生成和提取的電子數(shù)據(jù)，應(yīng)當(dāng)計(jì)算其完整性校驗(yàn)值并制作、填寫《固定電子證據(jù)清單》，以保證其完整性和真實(shí)性。
第十九條 在線分析是指在現(xiàn)場(chǎng)不關(guān)閉電子設(shè)備的情況下直接分析和提取電子系統(tǒng)中的數(shù)據(jù)。除以下情形外，一般不得實(shí)施在線分析：
（一）案件情況緊急，在現(xiàn)場(chǎng)不實(shí)施在線分析可能會(huì)造成嚴(yán)重后果的；
（二）情況特殊，不允許關(guān)閉電子設(shè)備或扣押電子設(shè)備的；
（三）在線分析不會(huì)損害目標(biāo)設(shè)備中重要電子數(shù)據(jù)的完整性、真實(shí)性的。重要電子數(shù)據(jù)是指可能作為證據(jù)的電子數(shù)據(jù)。
第二十條 易丟失數(shù)據(jù)提取和在線分析，應(yīng)當(dāng)依循以下原則：
（一）不得將生成、提取的數(shù)據(jù)存儲(chǔ)在原始存儲(chǔ)媒介中。
（二）不得在目標(biāo)系統(tǒng)中安裝新的應(yīng)用程序。如果因?yàn)樘厥庠?，需要在目?biāo)系統(tǒng)中安裝新的應(yīng)用程序的，應(yīng)當(dāng)在《現(xiàn)場(chǎng)勘驗(yàn)檢查筆錄》中記錄所安裝的程序及其目的。
（三）應(yīng)當(dāng)在《現(xiàn)場(chǎng)勘驗(yàn)檢查筆錄》中詳細(xì)、準(zhǔn)確記錄實(shí)施的操作以及對(duì)目標(biāo)系統(tǒng)可能造成的影響。
第二十一條 現(xiàn)場(chǎng)勘驗(yàn)檢查結(jié)束后，應(yīng)當(dāng)在及時(shí)制作《現(xiàn)場(chǎng)勘驗(yàn)檢查工作記錄》。《現(xiàn)場(chǎng)勘驗(yàn)檢查工作記錄》由《現(xiàn)場(chǎng)勘驗(yàn)檢查筆錄》、《固定電子證據(jù)清單》、《封存電子證據(jù)清單》和《勘驗(yàn)檢查照片記錄表》等內(nèi)容組成。
第五章 遠(yuǎn)程勘驗(yàn)
第二十二條 遠(yuǎn)程勘驗(yàn)過(guò)程中提取的目標(biāo)系統(tǒng)狀態(tài)信息、目標(biāo)網(wǎng)站內(nèi)容以及勘驗(yàn)過(guò)程中生成的其它電子數(shù)據(jù)，應(yīng)當(dāng)計(jì)算其完整性校驗(yàn)值并制作《固定電子證據(jù)清單》。
第二十三條 應(yīng)當(dāng)采用錄像、照相、截獲計(jì)算機(jī)屏幕內(nèi)容等方式記錄遠(yuǎn)程勘驗(yàn)過(guò)程中提取、生成電子證據(jù)等關(guān)鍵步驟。
第二十四條 遠(yuǎn)程勘驗(yàn)結(jié)束后，應(yīng)當(dāng)及時(shí)制作《遠(yuǎn)程勘驗(yàn)工作記錄》。《遠(yuǎn)程勘驗(yàn)工作記錄》由《遠(yuǎn)程勘驗(yàn)筆錄》、《固定電子證據(jù)清單》、《勘驗(yàn)檢查照片記錄表》以及截獲的屏幕截圖等內(nèi)容組成。
第二十五條 通過(guò)網(wǎng)絡(luò)監(jiān)聽獲取特定主機(jī)通信內(nèi)容以提取電子證據(jù)時(shí)，應(yīng)當(dāng)遵循與遠(yuǎn)程勘驗(yàn)相同的規(guī)定。
第六章 電子證據(jù)檢查
第二十六條 辦案人員將電子證據(jù)移交給檢查人員時(shí)應(yīng)同時(shí)提供《固定電子證據(jù)清單》和《封存電子證據(jù)清單》的復(fù)印件，檢查人員應(yīng)當(dāng)依照以下原則檢查電子證據(jù)的完整性：
（一）對(duì)于以完整性校驗(yàn)方式保護(hù)的電子數(shù)據(jù)，檢查人員應(yīng)當(dāng)核對(duì)其完整性校驗(yàn)值是否正確；
（二）對(duì)于以封存方式保護(hù)的電子設(shè)備或存儲(chǔ)媒介，檢查人員應(yīng)當(dāng)比對(duì)封存的照片與當(dāng)前封存的狀態(tài)是否一致；
（三）存儲(chǔ)媒介完整性校驗(yàn)值不正確、封存狀態(tài)不一致或未封存的，檢查人員應(yīng)當(dāng)在《電子證據(jù)檢查筆錄》中注明，并由送檢人簽名。
第二十七條 電子證據(jù)檢查包括：
（一）檢查、分析電子證據(jù)中包含的電子數(shù)據(jù)，提取與案件相關(guān)的電子證據(jù)。
（二）檢查、分析電子證據(jù)中包含的電子數(shù)據(jù)，制作《電子證據(jù)檢查筆錄》描述檢查結(jié)論。
第二十八條 從電子證據(jù)中提取電子數(shù)據(jù)，應(yīng)當(dāng)制作《提取電子數(shù)據(jù)清單》，記錄該電子數(shù)據(jù)的來(lái)源和提取方法。
第二十九條 復(fù)制、制作原始存儲(chǔ)媒介的備份應(yīng)當(dāng)遵循以下原則：
（一）復(fù)制并重新封存原始存儲(chǔ)媒介。
（二）對(duì)解除封存狀態(tài)、開始復(fù)制、復(fù)制結(jié)束、重新封存等關(guān)鍵步驟應(yīng)當(dāng)錄像記錄檢查人員實(shí)施的操作。
（三）復(fù)制完成后應(yīng)當(dāng)依照第十三條規(guī)定重新封存原始存儲(chǔ)媒介，并制作、填寫《封存電子證據(jù)清單》。
第三十條 除下列情形外，不得直接檢查原始存儲(chǔ)媒介，應(yīng)當(dāng)制作、復(fù)制原始存儲(chǔ)媒介的備份，并在備份存儲(chǔ)媒介上實(shí)施檢查：
（一）情況緊急的重大案件，不立即檢查可能延誤案件的偵查工作，導(dǎo)致嚴(yán)重后果的；
（二）已計(jì)算存儲(chǔ)媒介的完整性校驗(yàn)值，檢查過(guò)程能夠保證不修改原始存儲(chǔ)媒介所存儲(chǔ)的數(shù)據(jù)的；
（三）因技術(shù)條件限制，無(wú)法復(fù)制原始存儲(chǔ)媒介的。
第三十一條 檢查原始電子設(shè)備，或者因第三十條描述的原因，需要直接檢查原始存儲(chǔ)媒介的，應(yīng)當(dāng)遵循以下原則：
（一）對(duì)解除封存狀態(tài)、檢查過(guò)程的關(guān)鍵操作、重新封存等重要步驟應(yīng)當(dāng)錄像；
（二）檢查完畢后應(yīng)當(dāng)依照第十三條規(guī)定重新封存原始存儲(chǔ)媒介和原始電子設(shè)備，并制作、填寫《封存電子證據(jù)清單》。
（三）應(yīng)當(dāng)制作《原始證據(jù)使用記錄》，記錄直接檢查原始證據(jù)的原因和目的、實(shí)施的操作、對(duì)原始存儲(chǔ)媒介和原始電子設(shè)備中存儲(chǔ)的信息可能產(chǎn)生的影響，并由兩名檢查人員簽名。
第三十二條 電子證據(jù)檢查結(jié)束后，應(yīng)當(dāng)及時(shí)制作《電子證據(jù)檢查工作記錄》。
《電子證據(jù)檢查工作記錄》由《電子證據(jù)檢查筆錄》、《提取電子數(shù)據(jù)清單》、《封存電子證據(jù)清單》和《原始證據(jù)使用記錄》等內(nèi)容構(gòu)成。
第七章 勘驗(yàn)檢查記錄
第三十三條 《現(xiàn)場(chǎng)勘驗(yàn)檢查工作記錄》、《遠(yuǎn)程勘驗(yàn)工作記錄》、《電子證據(jù)檢查工作記錄》應(yīng)當(dāng)加蓋騎縫章后由至少兩名勘驗(yàn)、檢查人員簽名。
《現(xiàn)場(chǎng)勘驗(yàn)檢查工作記錄》應(yīng)當(dāng)由至少一名見證人簽名。
第三十四條 《現(xiàn)場(chǎng)勘驗(yàn)檢查筆錄》的內(nèi)容一般包括：
（一）基本情況。包括勘驗(yàn)檢查的地點(diǎn)，起止時(shí)間，指揮人員、勘查人員的姓名、職務(wù)，見證人的姓名、住址等；
（二）現(xiàn)場(chǎng)情形。包括現(xiàn)場(chǎng)的設(shè)備環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、運(yùn)行狀態(tài)等；
（三）勘查過(guò)程。包括勘查的基本情況，易丟失證據(jù)提取的過(guò)程、產(chǎn)生的數(shù)據(jù)，在線勘驗(yàn)、檢查過(guò)程中實(shí)施的操作、對(duì)數(shù)據(jù)可能產(chǎn)生的影響、提取的數(shù)據(jù)，封存物品、固定證據(jù)的有關(guān)情況等；
（四）勘查結(jié)果。包括提取物證的有關(guān)情況、勘查形成的結(jié)論以及發(fā)現(xiàn)的案件線索等。
第三十五條 《現(xiàn)場(chǎng)勘查照片記錄表》應(yīng)當(dāng)記錄該相片拍攝的內(nèi)容、對(duì)象，并編號(hào)入卷。拍攝的照片可以是數(shù)碼照片或光學(xué)照片。
第三十六條 《遠(yuǎn)程勘驗(yàn)筆錄》的內(nèi)容一般包括：
（一）基本情況。包括勘驗(yàn)的起止時(shí)間，指揮人員、勘驗(yàn)人員的姓名、職務(wù)，勘驗(yàn)的對(duì)象，勘驗(yàn)的目的等；
（二）勘驗(yàn)過(guò)程。包括勘驗(yàn)使用的工具，勘驗(yàn)的方法與步驟，提取和固定數(shù)據(jù)的方法等；
（三）勘驗(yàn)結(jié)果。包括通過(guò)勘驗(yàn)發(fā)現(xiàn)的案件線索，目標(biāo)系統(tǒng)的狀況，目標(biāo)網(wǎng)站的內(nèi)容等。
第三十七條 《電子證據(jù)檢查筆錄》的內(nèi)容一般包括：
（一）基本情況。包括檢查的起止時(shí)間，指揮人員、勘驗(yàn)人員的姓名、職務(wù)，檢查的對(duì)象，檢查的目的等；
（二）檢查過(guò)程。包括檢查過(guò)程使用的工具，檢查的方法與步驟，提取數(shù)據(jù)的方法等；
（三）檢查結(jié)果。包括通過(guò)檢查發(fā)現(xiàn)的案件線索，提取的信息內(nèi)容等。
第八章 附 則
第三十八條 對(duì)刑事案件現(xiàn)場(chǎng)勘驗(yàn)、檢查應(yīng)當(dāng)遵循公安機(jī)關(guān)對(duì)刑事案件現(xiàn)場(chǎng)勘驗(yàn)、檢查的有關(guān)規(guī)定。
第三十九條 本規(guī)則自發(fā)布之日起施行。計(jì)算機(jī)犯罪現(xiàn)場(chǎng)勘驗(yàn)與電子證據(jù)檢查規(guī)則
