發(fā)文機關公安部
發(fā)文日期2005年
時效性現(xiàn)行有效
發(fā)文字號公信安〔2005〕161號
施行日期2005年
效力級別部門規(guī)章
第一章 總 則
第一條 為規(guī)范計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查工作，確保現(xiàn)場勘驗檢查質(zhì)量，根據(jù)《刑事訴訟法》、《公安機關辦理刑事案件程序規(guī)定》、《公安部刑事案件現(xiàn)場勘查規(guī)則》，制定本規(guī)則。
第二條 在本規(guī)則中，電子證據(jù)包括電子數(shù)據(jù)、存儲媒介和電子設備。
第三條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查包括：
（一）現(xiàn)場勘驗檢查。是指在犯罪現(xiàn)場實施勘驗，以提取、固定現(xiàn)場存留的與犯罪有關電子證據(jù)和其它相關證據(jù)。
（二）遠程勘驗。是指通過網(wǎng)絡對遠程目標系統(tǒng)實施勘驗，以提取、固定遠程目標系統(tǒng)的狀態(tài)和存留的電子數(shù)據(jù)。
（三）電子證據(jù)檢查。是指檢查已扣押、封存、固定的電子證據(jù)，以發(fā)現(xiàn)和提取與案件相關的線索和證據(jù)。
第四條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查的任務是，發(fā)現(xiàn)、固定、提取與犯罪相關的電子證據(jù)及其他證據(jù)，進行現(xiàn)場調(diào)查訪問，制作和存儲現(xiàn)場信息資料，判斷案件性質(zhì)，確定偵查方向和范圍，為偵查破案提供線索和證據(jù)。
第五條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查，應當嚴格遵守國家法律、法規(guī)的有關規(guī)定。不受其他任何單位、個人的干涉。
第六條 執(zhí)行計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查任務的人員，應當具備計算機現(xiàn)場勘驗與電子證據(jù)檢查的專業(yè)知識和技能。
第七條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查工作，應當以事實為依據(jù)，防止主觀臆斷，嚴禁弄虛作假。
第二章 組織與指揮
第八條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查，應當由縣級以上公安機關公共信息網(wǎng)絡安全監(jiān)察部門負責組織實施。必要時，可以指派或者聘請具有專門知識的人參加。
第九條 對計算機犯罪現(xiàn)場進行勘驗和對電子證據(jù)進行檢查不得少于二人。現(xiàn)場勘驗檢查，應當邀請一至兩名與案件無關的公民作見證人。公安司法人員不能充當見證人。電子證據(jù)檢查，應當遵循辦案人員與檢查人員分離的原則。檢查工作應當由具備電子證據(jù)檢查技能的專業(yè)技術人員實施，辦案人員應當予以配合。
第十條 對計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查應當統(tǒng)一指揮，周密組織，明確分工，落實責任。
第十一條 計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查的指揮員應當由具有計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查專業(yè)知識和組織指揮能力的人民警察擔任。重大、特別重大案件的勘驗檢查工作，指揮員由案發(fā)地公安機關負責人擔任。必要時，上級公安機關可以直接組織指揮現(xiàn)場勘驗和電子證據(jù)檢查工作。
第三章 電子證據(jù)的固定與封存
第十二條 固定和封存電子證據(jù)的目的是保護電子證據(jù)的完整性、真實性和原始性。
作為證據(jù)使用的存儲媒介、電子設備和電子數(shù)據(jù)應當在現(xiàn)場固定或封存。
第十三條 封存電子設備和存儲媒介的方法是：
（一）采用的封存方法應當保證在不解除封存狀態(tài)的情況下，無法使用被封存的存儲媒介和啟動被封存電子設備。
（二）封存前后應當拍攝被封存電子設備和存儲媒介的照片并制作《封存電子證據(jù)清單》，照片應當從各個角度反映設備封存前后的狀況，清晰反映封口或張貼封條處的狀況。
第十四條 固定存儲媒介和電子數(shù)據(jù)包括以下方式：
（一）完整性校驗方式。是指計算電子數(shù)據(jù)和存儲媒介的完整性校驗值，并制作、填寫《固定電子證據(jù)清單》；
（二）備份方式。是指復制、制作原始存儲媒介的備份，并依照第十三條規(guī)定的方法封存原始存儲媒介；
（三）封存方式。對于無法計算存儲媒介完整性校驗值或制作備份的情形，應當依照第十三條規(guī)定的方法封存原始存儲媒介，并在勘驗、檢查筆錄上注明不計算完整性校驗值或制作備份的理由。
第四章 現(xiàn)場勘驗檢查
第十五條 現(xiàn)場勘驗檢查程序包括：
（一）保護現(xiàn)場；
（二）收集證據(jù)；
（三）提取、固定易丟失數(shù)據(jù)；
（四）在線分析；
（五）提取、固定證物。
第十六條 對現(xiàn)場狀況以及提取數(shù)據(jù)、封存物品文件的過程、在線分析的關鍵步驟應當錄像，錄像帶應當編號封存。
第十七條 在現(xiàn)場拍攝的照片應當統(tǒng)一編號制作《勘驗檢查照片記錄表》。
第十八條 在現(xiàn)場提取的易丟失數(shù)據(jù)以及現(xiàn)場在線分析時生成和提取的電子數(shù)據(jù)，應當計算其完整性校驗值并制作、填寫《固定電子證據(jù)清單》，以保證其完整性和真實性。
第十九條 在線分析是指在現(xiàn)場不關閉電子設備的情況下直接分析和提取電子系統(tǒng)中的數(shù)據(jù)。除以下情形外，一般不得實施在線分析：
（一）案件情況緊急，在現(xiàn)場不實施在線分析可能會造成嚴重后果的；
（二）情況特殊，不允許關閉電子設備或扣押電子設備的；
（三）在線分析不會損害目標設備中重要電子數(shù)據(jù)的完整性、真實性的。重要電子數(shù)據(jù)是指可能作為證據(jù)的電子數(shù)據(jù)。
第二十條 易丟失數(shù)據(jù)提取和在線分析，應當依循以下原則：
（一）不得將生成、提取的數(shù)據(jù)存儲在原始存儲媒介中。
（二）不得在目標系統(tǒng)中安裝新的應用程序。如果因為特殊原因，需要在目標系統(tǒng)中安裝新的應用程序的，應當在《現(xiàn)場勘驗檢查筆錄》中記錄所安裝的程序及其目的。
（三）應當在《現(xiàn)場勘驗檢查筆錄》中詳細、準確記錄實施的操作以及對目標系統(tǒng)可能造成的影響。
第二十一條 現(xiàn)場勘驗檢查結束后，應當在及時制作《現(xiàn)場勘驗檢查工作記錄》?！冬F(xiàn)場勘驗檢查工作記錄》由《現(xiàn)場勘驗檢查筆錄》、《固定電子證據(jù)清單》、《封存電子證據(jù)清單》和《勘驗檢查照片記錄表》等內(nèi)容組成。
第五章 遠程勘驗
第二十二條 遠程勘驗過程中提取的目標系統(tǒng)狀態(tài)信息、目標網(wǎng)站內(nèi)容以及勘驗過程中生成的其它電子數(shù)據(jù)，應當計算其完整性校驗值并制作《固定電子證據(jù)清單》。
第二十三條 應當采用錄像、照相、截獲計算機屏幕內(nèi)容等方式記錄遠程勘驗過程中提取、生成電子證據(jù)等關鍵步驟。
第二十四條 遠程勘驗結束后，應當及時制作《遠程勘驗工作記錄》?！哆h程勘驗工作記錄》由《遠程勘驗筆錄》、《固定電子證據(jù)清單》、《勘驗檢查照片記錄表》以及截獲的屏幕截圖等內(nèi)容組成。
第二十五條 通過網(wǎng)絡監(jiān)聽獲取特定主機通信內(nèi)容以提取電子證據(jù)時，應當遵循與遠程勘驗相同的規(guī)定。
第六章 電子證據(jù)檢查
第二十六條 辦案人員將電子證據(jù)移交給檢查人員時應同時提供《固定電子證據(jù)清單》和《封存電子證據(jù)清單》的復印件，檢查人員應當依照以下原則檢查電子證據(jù)的完整性：
（一）對于以完整性校驗方式保護的電子數(shù)據(jù)，檢查人員應當核對其完整性校驗值是否正確；
（二）對于以封存方式保護的電子設備或存儲媒介，檢查人員應當比對封存的照片與當前封存的狀態(tài)是否一致；
（三）存儲媒介完整性校驗值不正確、封存狀態(tài)不一致或未封存的，檢查人員應當在《電子證據(jù)檢查筆錄》中注明，并由送檢人簽名。
第二十七條 電子證據(jù)檢查包括：
（一）檢查、分析電子證據(jù)中包含的電子數(shù)據(jù)，提取與案件相關的電子證據(jù)。
（二）檢查、分析電子證據(jù)中包含的電子數(shù)據(jù)，制作《電子證據(jù)檢查筆錄》描述檢查結論。
第二十八條 從電子證據(jù)中提取電子數(shù)據(jù)，應當制作《提取電子數(shù)據(jù)清單》，記錄該電子數(shù)據(jù)的來源和提取方法。
第二十九條 復制、制作原始存儲媒介的備份應當遵循以下原則：
（一）復制并重新封存原始存儲媒介。
（二）對解除封存狀態(tài)、開始復制、復制結束、重新封存等關鍵步驟應當錄像記錄檢查人員實施的操作。
（三）復制完成后應當依照第十三條規(guī)定重新封存原始存儲媒介，并制作、填寫《封存電子證據(jù)清單》。
第三十條 除下列情形外，不得直接檢查原始存儲媒介，應當制作、復制原始存儲媒介的備份，并在備份存儲媒介上實施檢查：
（一）情況緊急的重大案件，不立即檢查可能延誤案件的偵查工作，導致嚴重后果的；
（二）已計算存儲媒介的完整性校驗值，檢查過程能夠保證不修改原始存儲媒介所存儲的數(shù)據(jù)的；
（三）因技術條件限制，無法復制原始存儲媒介的。
第三十一條 檢查原始電子設備，或者因第三十條描述的原因，需要直接檢查原始存儲媒介的，應當遵循以下原則：
（一）對解除封存狀態(tài)、檢查過程的關鍵操作、重新封存等重要步驟應當錄像；
（二）檢查完畢后應當依照第十三條規(guī)定重新封存原始存儲媒介和原始電子設備，并制作、填寫《封存電子證據(jù)清單》。
（三）應當制作《原始證據(jù)使用記錄》，記錄直接檢查原始證據(jù)的原因和目的、實施的操作、對原始存儲媒介和原始電子設備中存儲的信息可能產(chǎn)生的影響，并由兩名檢查人員簽名。
第三十二條 電子證據(jù)檢查結束后，應當及時制作《電子證據(jù)檢查工作記錄》。
《電子證據(jù)檢查工作記錄》由《電子證據(jù)檢查筆錄》、《提取電子數(shù)據(jù)清單》、《封存電子證據(jù)清單》和《原始證據(jù)使用記錄》等內(nèi)容構成。
第七章 勘驗檢查記錄
第三十三條 《現(xiàn)場勘驗檢查工作記錄》、《遠程勘驗工作記錄》、《電子證據(jù)檢查工作記錄》應當加蓋騎縫章后由至少兩名勘驗、檢查人員簽名。
《現(xiàn)場勘驗檢查工作記錄》應當由至少一名見證人簽名。
第三十四條 《現(xiàn)場勘驗檢查筆錄》的內(nèi)容一般包括：
（一）基本情況。包括勘驗檢查的地點，起止時間，指揮人員、勘查人員的姓名、職務，見證人的姓名、住址等；
（二）現(xiàn)場情形。包括現(xiàn)場的設備環(huán)境、網(wǎng)絡結構、運行狀態(tài)等；
（三）勘查過程。包括勘查的基本情況，易丟失證據(jù)提取的過程、產(chǎn)生的數(shù)據(jù)，在線勘驗、檢查過程中實施的操作、對數(shù)據(jù)可能產(chǎn)生的影響、提取的數(shù)據(jù)，封存物品、固定證據(jù)的有關情況等；
（四）勘查結果。包括提取物證的有關情況、勘查形成的結論以及發(fā)現(xiàn)的案件線索等。
第三十五條 《現(xiàn)場勘查照片記錄表》應當記錄該相片拍攝的內(nèi)容、對象，并編號入卷。拍攝的照片可以是數(shù)碼照片或光學照片。
第三十六條 《遠程勘驗筆錄》的內(nèi)容一般包括：
（一）基本情況。包括勘驗的起止時間，指揮人員、勘驗人員的姓名、職務，勘驗的對象，勘驗的目的等；
（二）勘驗過程。包括勘驗使用的工具，勘驗的方法與步驟，提取和固定數(shù)據(jù)的方法等；
（三）勘驗結果。包括通過勘驗發(fā)現(xiàn)的案件線索，目標系統(tǒng)的狀況，目標網(wǎng)站的內(nèi)容等。
第三十七條 《電子證據(jù)檢查筆錄》的內(nèi)容一般包括：
（一）基本情況。包括檢查的起止時間，指揮人員、勘驗人員的姓名、職務，檢查的對象，檢查的目的等；
（二）檢查過程。包括檢查過程使用的工具，檢查的方法與步驟，提取數(shù)據(jù)的方法等；
（三）檢查結果。包括通過檢查發(fā)現(xiàn)的案件線索，提取的信息內(nèi)容等。
第八章 附 則
第三十八條 對刑事案件現(xiàn)場勘驗、檢查應當遵循公安機關對刑事案件現(xiàn)場勘驗、檢查的有關規(guī)定。
第三十九條 本規(guī)則自發(fā)布之日起施行。計算機犯罪現(xiàn)場勘驗與電子證據(jù)檢查規(guī)則
