网络案件电子取证资料归档指引

网络案件电子取证资料归档指引一、总则电子取证资料是网络案件刑事诉讼、行政处罚、内部追责的核心法定证据，归档质量直接决定证据合法性与证明效力，任何环节的流程缺失、操作不规范都可能触发非法证据排除规则。1.适用范围：本指引适用于《中华人民共和国刑法》第285条、286条规定的计算机信息系统类犯罪案件，电信网络诈骗、网络赌博、网络侵权等涉网刑事案件，网络违法行政案件，以及企事业单位内部数据泄露、职务侵占等涉电子数据合规调查的全流程资料归档。2.制定依据：《中华人民共和国刑事诉讼法》《中华人民共和国行政诉讼法》《公安机关办理刑事案件电子数据取证规则》《电子数据司法鉴定通用规范》（GB/T29360-2012）、《信息安全技术电子数据存储介质复制工具要求及检测方法》（GA/T754-2008）。3.核心原则■原始性优先：归档资料必须能够反映取证过程的原始状态，任何修改、剪辑都必须留痕并说明理由；■全程可追溯：每一份归档资料需明确制作主体、制作时间、校验值，形成从取证到归档的完整链条；■分级存储：按照案件密级、证据重要性匹配对应的存储条件，兼顾安全性与调阅便利性；■谁取证谁负责：取证人员对所提交资料的真实性、完整性负直接责任，档案管理员对存储安全负管理责任。二、归档责任与时限归档责任到人、时限明确是避免取证资料散佚、篡改的核心保障，所有环节均需明确可追溯的责任主体，禁止出现“集体负责、无人担责”的情况。1.责任划分■案件主办人/项目负责人：归档第一责任人，对归档资料的完整性、合法性负总责，必须在收到取证人员提交的资料后10个工作日内完成资料初核，签字确认后提交档案管理部门；■取证操作人员：对自身执行的取证环节产生的笔录、镜像、日志、录屏的真实性负直接责任，每一项取证动作结束后3个工作日内整理对应资料，标注文件哈希值后提交主办人；■档案管理员：对归档资料的存放安全、调阅登记、备份有效性负管理责任，接收资料后2个工作日内完成形式核验，不符合归档要求的必须一次性书面告知补正项，严禁接收无签字、无校验值的资料。2.时限要求■行政案件：行政处罚决定送达后15个工作日内完成全部归档；■刑事案件：案件移送起诉后20个工作日内完成全部归档；■重大疑难案件（涉案金额≥1000万元、被害人≥1000人、涉国家秘密）：每阶段取证工作结束后7个工作日内完成预归档，不得待全案办结后集中整理；■企业内部合规调查：调查结论出具后10个工作日内完成归档，涉及劳动仲裁、民事诉讼的资料需持续留存至案件终结。3.责任追溯：因归档漏项、资料篡改、介质损坏导致证据不被司法机关采信的，按照执法过错责任追究、司法鉴定责任追究相关规定处理；故意伪造、篡改归档资料构成犯罪的，依法追究刑事责任。三、归档资料范围与分类电子取证资料归档需覆盖“案件受理-现场取证-实验室分析-证据固定-移送”全链条，不得仅留存最终鉴定报告而缺失过程文件。所有归档资料分为五大类，每类资料的具体要求如下：1.程序类文书（合法性核心依据，缺失将直接导致证据无效）■案件受理文书：受案登记表、立案决定书/行政处罚立案审批表、内部调查立项审批表；■取证审批文书：扣押决定书、扣押清单、远程勘验审批书、调取证据通知书、技术侦查措施决定书（若使用）；■主体资质证明：取证人员的人民警察证/司法鉴定人执业证复印件、取证设备的校准证书/检测合格证明、见证人的身份证明材料；■权利告知文书：对被取证人的证据扣押告知笔录、隐私权利告知书、第三方数据调取的协查函。2.原始介质与镜像类（原始性核心依据，是证据真实性的基础）■原始存储介质：扣押的手机、计算机硬盘、服务器硬盘、U盘、物联网设备存储芯片等，必须保持扣押时的封存状态，封条需有持有人、见证人、取证人员三方签字，标注介质序列号、扣押时间、扣押地点；■证据镜像文件：必须是对原始存储介质的全盘位对位镜像，优先采用E01格式（自带分块CRC校验，可自动发现数据篡改）；现场紧急情况下生成的DD格式镜像需同步生成独立校验文件；每个镜像必须配套MD5、SHA-256双哈希值，哈希值必须在镜像生成时同步计算，严禁事后补算；■封存影像资料：原始介质封存前后的全貌照片（清晰显示介质外观、序列号、封条签字）、现场扣押过程的执法记录仪录像，照片需保留原始EXIF信息，不得进行修图、裁剪。3.过程记录类（关联性核心依据，是证明取证操作合规的关键）■现场/远程勘验笔录：需详细记录每一步操作，包括接入写保护设备的时间、镜像开始/结束时间、镜像过程中有无异常、现场计算的哈希值，笔录需由取证人员、见证人、持有人三方签字；■全程操作录屏：从打开取证设备、接入原始介质开始，到镜像生成、哈希校验完成的全程无剪辑录屏，分辨率不低于1080P、帧率不低于25fps，录屏文件需单独计算哈希值；远程勘验的录屏需包含网络连通性测试、IP地址归属验证、操作全程的画面，不得跳过登录、权限验证等环节；■实验室分析记录：包括使用的取证软件名称及版本号（如FTKImager4.7.1、X-WaysForensics20.0）、关键字搜索词列表、删除文件恢复记录、时间线分析日志、提取证据对应的镜像偏移量，所有操作日志需直接从取证软件导出，严禁人工修改；■封存/启封台账：每一次开启原始介质的启封人、启封事由、启封时间、重新封存时间、签字记录，无台账的启封操作一律视为违规。4.结论类文书（证明力核心依据，是证据移送、质证的直接载体）■电子数据检验报告/司法鉴定意见书，需加盖鉴定机构资质章、司法鉴定人签字；■证据提取清单：逐条列明提取到的证据内容（如“嫌疑人2023年1月1日至2024年1月1日微信聊天记录共12543条，对应镜像偏移量0x123456-0x789abc，SHA-256哈希值为xxx”），不得笼统表述为“提取到聊天记录若干”；■证据情况说明：对取证过程中出现的异常（如介质部分损坏、部分数据无法恢复）的书面说明，由2名以上取证人员签字确认。5.配套索引资料（可用性核心依据，保障归档资料可快速检索、核验）■所有纸质文书的扫描件，采用PDF格式、300DPI分辨率，逐页加盖电子骑缝章；■电子文件全目录清单，标注每个文件的名称、存储路径、文件大小、生成时间、哈希值；■案卷备考表，记录归档过程中的补正情况、异常处置说明。四、归档操作规范归档操作需严格遵循物理介质与电子文件分离、过程与结果匹配、校验值全程留痕的标准流程，杜绝人为操作导致的证据污染。1.归档前核验流程■合法性核验：对照程序类文书清单逐项检查，所有文书必须有签字、盖章，缺少审批流程、无见证人签字的资料一律退回补正；■一致性核验：由2名取证人员共同对归档镜像文件重新计算哈希值，与取证当场记录的哈希值逐位比对，存在差异的必须立刻排查原因，严禁直接修改原始记录中的哈希值；■完整性核验：对照本指引附件1的《归档检查表》逐项打勾，缺项、漏项的不得进入归档环节。2.物理介质存储要求■原始存储介质需装入防静电屏蔽袋，标注案件编号、介质类型、序列号、封存日期后存入物证室；物证室需保持温度18℃-22℃、相对湿度40%-55%，存储位置距离强磁场源（配电箱、永磁设备、大功率无线设备）至少1米，避免介质消磁；■镜像备份需制作3份，存储介质选择遵循以下规则：优先采用归档级蓝光光盘存储（保存寿命≥50年，不可篡改）；若暂不具备蓝光刻录条件，可采用加密离线机械硬盘存储（单盘容量≥4T，每年加电检测1次坏道）；严禁使用普通U盘、消费级固态硬盘、公有云盘存储需长期保存的归档镜像（U盘闪存颗粒数据保存周期通常≤5年，固态硬盘存在TRIM机制自动覆写数据，云盘存在数据泄露、后台篡改、运营方关停的风险）；3份备份分别存放于：办案单位档案库房、上级单位证据备份库、随案移送检察机关/审判机关。3.电子文件整理要求■文件命名统一采用“案件编号-资料类别-序号-生成日期”规则，如“2024京公网（刑）勘字第032号-现场勘验笔录-01-20240315”，严禁使用“最终版”“修改版”“新建文件夹”等无意义名称；■目录结构统一设置为：根目录为案件编号，下一级设“程序文书”“原始介质镜像”“过程记录”“结论文书”“索引清单”5个文件夹，每个文件夹内对应存放相关文件，根目录下放置README.txt文件，说明全目录的文件清单、校验值、制作人员信息。4.纸质案卷装订要求■所有纸质文书采用A4纸打印，去除金属订书钉、回形针，采用棉线三孔一线装订，装订顺序为程序类文书→过程记录类文书→结论类文书→索引清单，每页加盖骑缝章，页码标注于右下角；■案卷封面标注案件名称、案件编号、密级、归档人、归档日期、保管期限，其中刑事案件资料永久保存，行政案件资料保存30年，企业内部合规调查资料保存期限不低于相关诉讼时效届满后2年（最低不少于5年）。五、归档资料的调阅与销毁电子取证资料涉及大量公民个人信息、商业秘密与案件秘密，调阅全程留痕、到期依规销毁是防范数据泄露、合规风险的必要要求。1.调阅流程■内部调阅：本单位办案人员因案件复查、复核需要调阅的，需填写《电子证据调阅审批单》（见附件2），经部门负责人签字批准后，在档案管理员陪同下在档案查阅室调阅；原则上不得将原始介质带出物证室，确需拷贝电子文件的，必须使用单位统一配发的涉密U盘，登记拷贝文件的名称、大小、哈希值，归还时需彻底删除拷贝文件并记录；■外部调阅：检察机关、审判机关、持调查令的律师依法调阅的，需出具单位介绍信、工作证件、调查令，经单位分管领导审批后，仅提供证据复制件，一律不外借原始介质；调阅过程全程录像，录像资料保存6个月。■严禁任何个人私自复制、泄露归档资料中的公民个人信息、商业秘密、案件侦查信息，违者按照《中华人民共和国个人信息保护法》《中华人民共和国保守国家秘密法》追究责任，构成犯罪的依法追究刑事责任。2.销毁流程■保管期限届满的归档资料，由档案管理员会同网安/鉴定部门、法制部门共同核验，逐件列出销毁清单，报单位分管领导批准后方可销毁；■物理介质销毁必须采用“消磁+物理粉碎”方式：硬盘先通过消磁机完成消磁（磁场强度≥8000Gs），再使用粉碎机在盘片上打3个以上贯穿孔；光盘、U盘直接粉碎为粒径≤2mm的颗粒；严禁仅通过格式化、删除文件的方式处理存储介质；■电子文件销毁需按照GB/T37092-2018规定的覆写标准，对存储介质进行3次以上覆写，确保数据不可恢复；■销毁过程全程录像，参与销毁的人员在销毁清单（见附件3）上逐一签字，销毁记录永久保存。六、常见异常分级处置电子取证归档过程中出现的哈希不匹配、资料缺失、介质损坏等异常，需第一时间按规范处置，严禁隐瞒、私自补做材料。按照异常对证据效力的影响程度分为三级，对应不同的处置权限与流程：1.一级异常（核心效力风险）■判定标准：镜像哈希值与原始记录不匹配、核心程序文书缺失、原始介质被违规操作修改，可能导致证据被依法排除的；■启动权限：必须报单位分管领导批准，由3名以上无利害关系的取证人员组成核查组，24小时内启动核查；■处置原则：首先排查异常原因，因拷贝错误导致哈希不匹配的，重新从原始介质生成镜像，同步记录核验过程、原因说明，所有参与人员签字附卷；因原始介质被污染导致哈希变化的，要评估污染范围，若污染部分不影响核心证据内容的，出具书面说明标注污染区域；若核心证据被污染无法修复的，要按程序重新开展取证，严禁篡改原始记录掩盖问题。■风险演化路径：未加写保护即接入原始介质→操作系统自动写入卷标、回收站等系统文件→原始介质哈希值改变→辩护方提出证据被污染→法庭启动非法证据排除→证据丧失证明效力。2.二级异常（辅助流程缺失）■判定标准：部分辅助过程记录缺失（如某段录屏因设备故障中断、非核心页签字漏签）、单份备份介质损坏，不影响核心证据真实性、合法性的；■启动权限：由部门负责人组织核查，3个工作日内完成补正；■处置原则：能够补签、补录的，联系相关人员完成补正并说明补正原因；无法补正的，由2名以上取证人员出具书面情况说明，附其他佐证材料（如现场执法记录仪录像、系统操作日志），经法制部门审核确认不影响证据效力后，在案卷备考表中注明情况后归档。3.三级异常（形式规范问题）■判定标准：文件命名不规范、纸质案卷装订不整齐、索引目录信息录入错误等不影响证据实质效力的形式问题；■启动权限：由档案管理员直接退回提交人；■处置原则：1个工作日内完成整改，重新核验通过后归档。附件1：网络案件电子取证资料归档检查表序号检查项检查要求检查结果（是/否）备注1程序文书完整性所有审批表、通知书、资质证明、权利告知书齐全，签字盖章完整2原始介质封存规范性封条三方签字完整，介质序列号、扣押信息标注清晰，采用防静电包装3镜像校验一致性MD5、SHA-256双哈希值与取证现场记录100%匹配，校验过程有记录4过程记录完整性勘验笔录、全程录屏、实验室操作日志齐全，录屏无剪辑、分辨率达标5结论文书规范性检验/鉴定报告有资质章、鉴定人签字，证据清单标注明确、对应偏移量与哈希值6电子文件规范性文件命名符合统一规则，目录结构清晰，全量文件有索引清单与哈希值7备份合规性镜像文件共制作3份备份，存储介质符合要求，