Nguồn chứng cứ điện tử trong tố tụng hình sự việt nam lý luận và thực tiễn

Tuy nhiên, quy định về chứng cứ chưa phù hợp với diễn biến tình hình tội phạm, chưa thể hiện được yêu cầu tranh tụng đã trở thành nguyên tắc hiến định và chưa theo kịp sự phát triển của

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC LUẬT TP HỒ CHÍ MINH

PHAN XUÂN TÂN

NGUỒN CHỨNG CỨ ĐIỆN TỬ

TRONG TỐ TỤNG HÌNH SỰ VIỆT NAM

- LÝ LUẬN VÀ THỰC TIỄN

LUẬN VĂN THẠC SĨ CHUYÊN NGHÀNH LUẬT HÌNH SỰ VÀ TỐ TỤNG HÌNH SỰ

TP HỒ CHÍ MINH, NĂM 2017

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC LUẬT TP HỒ CHÍ MINH

LỜI CAM ĐOAN

Tôi cam đoan đây là công trình nghiên cứu khoa học của chúng tôi Các số liệu, ví dụ và trích dẫn trong luận văn đảm bảo độ tin cậy, chính xác và trung thực Những kết luận của luận văn chưa từng được ai công bố trong bất kỳ công trình nào khác

TÁC GIẢ LUẬN VĂN

PHAN XUÂN TÂN

DANH MỤC TỪ VIẾT TẮT

BLHS: Bộ luật Hình sự BLTTHS: Bộ luật Tố tụng hình sự GDĐT: Giao dịch điện tử TTHS: Tố tụng hình sự NCCĐT: Nguồn chứng cứ điện tử

MỤC LỤC

PHẦN MỞ ĐẦU 1

CHƯƠNG 1 NHỮNG VẤN ĐỀ LÝ LUẬN VỀ NGUỒN CHỨNG CỨ ĐIỆN TỬ TRONG TỐ TỤNG HÌNH SỰ 6

1.1 Khái niệm chứng cứ điện tử và nguồn chứng cứ điện tử 6

1.2 Các loại nguồn chứng cứ điện tử 11

1.3 Đặc điểm của nguồn chứng cứ điện tử 17

1.4 Nguồn chứng cứ điện tử và nguồn chứng cứ truyền thống 26

CHƯƠNG 2 PHÁP LUẬT TỐ TỤNG HÌNH SỰ VÀ GIẢI PHÁP BẢO ĐẢM ÁP DỤNG ĐÚNG QUY ĐỊNH CỦA PHÁP LUẬT VỀ NGUỒN CHỨNG CỨ ĐIỆN TỬ 30

2.1 Pháp luật tố tụng hình sự Việt Nam về nguồn chứng cứ điện tử 30

2.1.1 Quy định của pháp luật tố tụng hình sự về nguồn chứng cứ điện tử 30

2.1.2 Đánh giá quy định của pháp luật tố tụng hình sự về nguồn chứng cứ điện tử 34

2.2 Thực trạng thực hiện quy định về nguồn chứng cứ điện tử trong tố tụng hình sự Việt Nam 35

2.3 Quy định của pháp luật tố tụng hình sự một số nước trên thế giới về nguồn chứng cứ điện tử và kinh nghiệm đối với Việt Nam 38

2.2.1 Nguồn chứng cứ điện tử trong tố tụng hình sự Hoa Kỳ 38

2.2.2 Nguồn chứng cứ điện tử trong tố tụng hình sự Thụy Sĩ 56

2.2.3 Kinh nghiệm đối với Việt Nam 62

2.4 Giải pháp bảo đảm áp dụng đúng quy định của pháp luật tố tụng hình sự về nguồn chứng cứ điện tử 64

2.4.1 Tăng cường triển khai các biện pháp thi hành quy định của Bộ luật tố tụng hình sự năm 2015 về nguồn chứng cứ điện tử 64

2.4.2 Tiếp tục hoàn thiện pháp luật tố tụng hình sự về nguồn chứng cứ điện tử 65

2.4.2 Giải pháp khác 66

KẾT LUẬN 70 DANH MỤC TÀI LIỆU THAM KHẢO

PHẦN MỞ ĐẦU

1 Tính cấp thiết của đề tài

Trong TTHS, chứng cứ là phương tiện để chứng minh tội phạm và người thực hiện hành vi phạm tội Chứng cứ có ý nghĩa trong việc làm rõ những vấn đề cần phải chứng minh trong vụ án hình sự, đồng thời cũng là một trong những vấn đề

lý luận có tính phức tạp nhất, nhưng hiện nay nó chưa được đề cập đến nhiều và cũng ít có công trình nghiên cứu về vấn đề này, đặc biệt là NCCĐT

Qua tổng kết thực tiễn 10 năm thi hành, đã khẳng định vai trò quan trọng của BLTTHS năm 2003 trong công cuộc đấu tranh phòng, chống tội phạm, góp phần giữ vững an ninh chính trị, trật tự an toàn xã hội, bảo vệ cuộc sống bình yên của nhân dân, tạo môi trường ổn định cho sự phát triển kinh tế xã hội, hội nhập quốc tế, xây dựng và bảo vệ vững chắc Tổ quốc Việt Nam xã hội chủ nghĩa Các quy định của BLTTHS đã tạo cơ sở pháp lý hữu hiệu cho các cơ quan tiến hành tố tụng, người tiến hành tố tụng thực hiện chức năng, nhiệm vụ theo quy định của pháp luật, hạn chế oan, sai và bỏ lọt tội phạm, bảo đảm tốt hơn quyền và lợi ích hợp pháp của người tham gia tố tụng, đặc biệt là người bị bắt, người bị tạm giữ, bị can, bị cáo, người bào chữa, bảo đảm tính minh bạch, khách quan trong TTHS Các vụ án cơ bản được giải quyết đúng trình tự, thủ tục, thời hạn do BLTTHS quy định Tuy nhiên, quy định về chứng cứ chưa phù hợp với diễn biến tình hình tội phạm, chưa thể hiện được yêu cầu tranh tụng đã trở thành nguyên tắc hiến định và chưa theo kịp

sự phát triển của khoa học công nghệ hiện đại, chủ yếu vẫn chỉ ghi nhận những nguồn chứng cứ truyền thống là tài liệu, đồ vật; các dữ liệu điện tử được thu thập từ mạng Internet, từ các thiết bị điện tử chưa được công nhận là chứng cứ.1

Đáp ứng yêu cầu cải cách tư pháp thể hiện qua Nghị quyết số 08-NQ/TW ngày 02/01/2002 của Bộ Chính trị về Một số nhiệm vụ trọng tâm của công tác tư pháp trong thời gian tới; Nghị quyết 49-NQ/TW ngày 02/6/2005 của Ban chấp hành Trung ương Đảng về chiến lược cải cách tư pháp đến năm 2020 của Bộ Chính trị, trên cơ sở quy định của Hiến pháp năm 2013, Bộ luật hình sự năm 2015 đã điều chỉnh các hành vi nguy hiểm liên quan đến công nghệ thông tin, truyền thông; các luật chuyên ngành như Luật Công nghệ thông tin, Luật Giao dịch điện tử đã đề cập đến giá trị của “thông điệp dữ liệu” như Điều 14 Luật Giao dịch điện tử quy định

“Thông điệp dữ liệu có giá trị làm chứng cứ” và một số văn bản quy phạm pháp luật

1

Viện Kiểm sát nhân dân tối cao (2015), Báo cáo tổng kết 10 năm thi hành BLTTHS năm 2003

khác cũng đã ra đời góp phần điều chỉnh các mặt khác nhau trong lĩnh vực công nghệ thông tin, truyền thông

Để cụ thể hóa các quy định của Hiến pháp, tháo gỡ những vướng mắc đặt ra trong thực tiễn, phù hợp với sự phát triển của khoa học công nghệ hiện đại và yêu cầu hội nhập quốc tế, BLTTHS 2015 đã đáp ứng được những thay đổi của tình hình thực tế đấu tranh phòng, chống tội phạm về công nghệ cao khi quy định dữ liệu điện

tử là một trong những nguồn chứng cứ Tuy nhiên, trước những thay đổi nhanh chóng của khoa học, công nghệ, tội phạm công nghệ cao thực hiện hành vi phạm tội với cách thức, thủ đoạn, công cụ và phương tiện ngày càng tinh vi thì những quy định về phương pháp phát hiện, thu thập, phục hồi, đánh giá và sử dụng chứng cứ đối với các nguồn chứng cứ truyền thống đã không còn hoàn toàn phù hợp, gây ra những khó khăn, vướng mắc trong quá trình đấu tranh đối với loại tội phạm này Hơn nữa, NCCĐT lại là một quy định mới, phức tạp không dễ áp dụng Do đó, tác

giả luận văn chọn đề tài: “Nguồn chứng cứ điện tử trong tố tụng hình sự Việt Nam -

lý luận và thực tiễn” để nghiên cứu

2 Tình hình nghiên cứu đề tài

Trong thời gian qua, NCCĐT trong TTHS là đề tài được một số tác giả quan tâm nghiên cứu trên những mức độ, khía cạnh khác nhau có thể kể đến như:

- Luận văn thạc sỹ Luật học năm 2011 về “Tội sử dụng mạng máy tính,

mạng viễn thông, mạng Internet hoặc thiết bị số thực hiện hành vi chiếm đoạt tài sản theo Pháp luật Hình sự hiện hành” của Lê Thị Huyền Trang, Trường Đại học

Luật Thành phố Hồ Chí Minh Trong luận văn này, tác giả mặc dù có đề xuất thay đổi quy định của BLTTHS về chứng cứ, tuy nhiên tác giả vẫn chưa đi sâu, hệ thống hóa các loại NCCĐT, các nguyên tắc cũng như thẩm quyền thu thập, cách thức sử dụng NCCĐT

- Luận văn Thạc sỹ Luật học năm 2011 về “Thu thập chứng cứ trong tố tụng

hình sự Việt Nam” của Phạm Kim Hằng, Trường Đại học Luật Thành phố Hồ Chí

Minh Trong luận văn này, tác giả có đề cập việc thừa nhận hay không thừa nhận giá trị pháp lý của chứng cứ điện tử; bổ sung, mở rộng NCCĐT vào khái niệm chứng cứ; đề xuất bổ sung khái niệm, thủ tục, quyền hạn thu thập loại chứng cứ điện tử Tuy nhiên, đây là luận văn về vấn đề thu thập chứng cứ, tác giả chỉ trình bày rải rác, chưa hệ thống hóa, chưa đi sâu vào các khía cạnh khác nhau xung quanh NCCĐT như: chứng cứ điện tử biểu hiện trên thực tế là những loại nào; cách thức, quyền hạn thu thập v.v…

- Nguyễn Nhật Lệ (2014), Nguồn chứng cứ trong pháp luật tố tụng hình sự Việt Nam, Luận văn thạc sỹ, Khoa Luật, Đại học Quốc gia Hà Nội Luận văn đã nghiên cứu, làm rõ vấn đề lý về nguồn chứng cứ như khái niệm nguồn chứng cứ, phân biệt khái niệm chứng cứ với nguồn chứng cứ; phân tích các quy định của BLTTHS năm 2003 về nguồn chứng cứ; đánh giá thực tiễn áp dụng các quy định của BLTTHS năm 2003 về nguồn chứng cứ, chỉ ra những hạn chế, vướng mắc trong thực tiễn áp dụng và hướng khắc phục Tuy nhiên, luận văn chỉ bàn về nguồn chứng

cứ thông thường

- PGS TS Trần Văn Hòa (2015), “Vấn đề chứng cứ điện tử” trong cuốn

sách chuyên khảo “Những nội dung mới của BLTTHS năm 2015”, Nhà xuất bản Chính trị Quốc gia, Hà Nội Bài viết đã khái quát về dữ liệu điện tử; giá trị pháp lý của dữ liệu điện tử; điều kiện để dữ liệu điện tử có thể sử dụng làm chứng cứ… cũng như một số vấn đề về thủ tục TTHS đối với dữ liệu điện tử

- Phạm Văn Chánh, Nguồn chứng cứ điện tử là dữ liệu điện tử theo quy định của BLTTHS năm 2015, Tạp chí Dân chủ và Pháp luật điện tử, Hà Nội Bài viết đã nêu sự cần thiết phải luật hóa dữ liệu điện tử là nguồn chứng cứ và phân tích rõ hơn quy định của BLTTHS năm 2015 về nguồn chứng cứ là dữ liệu điện tử;

Ngoài những công trình trên, còn một số các bài viết khác có liên quan đến

đề tài luận văn của tác giả như: Công trình “An toàn thông tin và công tác phòng

chống tội phạm sử dụng công nghệ cao” của tác giả Trần Văn Hòa; Đinh Phan

Quỳnh (2011), “Chứng cứ điện tử và các nguyên tắc thu thập trong Tố tụng hình

sự”, Tạp chí Khoa học giáo dục cảnh sát nhân dân Số 15, Trường Đại học Cảnh sát

nhân dân; Trần Văn Hòa (2014), “Vấn đề dấu vết điện tử và chứng cứ trong

BLTTHS (sửa đổi)”, Tạp chí Khoa học và Chiến lược số chuyên đề tháng 12/2014

của Viện Chiến lược và khoa học Bộ Công an, Hà Nội; Đinh Phan Quỳnh, “Chứng

cứ điện tử và các nguyên tắc thu thập trong chứng cứ điện tử, Thông tin khoa học”,

website của Trường Đại học kiểm sát Hà Nội…

Trong các công trình nói trên, chưa có công trình nào nghiên cứu nguồn chứng cứ điện tử một cách toàn diện mà chủ yếu mới dừng lại ở các nguồn chứng

cứ thông thường hoặc một khía cạnh rất cơ bản của nguồn chứng cứ điện tử

3 Mục đích, đối tượng nghiên cứu, giới hạn phạm vi nghiên cứu

3.1 Mục đích nghiên cứu

Trên cơ sở làm rõ các quy định của pháp luật TTHS hiện hành về NCCĐT và thực trạng áp dụng các quy định pháp luật trong phát hiện, thu thập, sử dụng

NCCĐT, luận văn đưa ra các giải pháp nhằm góp phần hoàn thiện pháp luật TTHS Việt Nam về nguồn chứng cứ và một số giải pháp khác nâng cao hiệu quả áp dụng quy định của pháp luật TTHS về NCCĐT

3.2 Nhiệm vụ nghiên cứu

Để đạt được mục đích là đưa ra các giải pháp nêu trên, luận văn đặt ra và giải quyết các nhiệm vụ chủ yếu sau:

- Hệ thống, làm rõ những vấn đề lý luận về NCCĐT trong TTHS như khái niệm, đặc điểm, các hình thức tồn tại của NCCĐT…

- Phân tích, làm rõ quy định pháp luật Việt Nam liên quan đến NCCĐT và đối chiếu với quy định của BLTTHS năm 2015 về NCCĐT

- Chỉ rõ thực trạng áp dụng pháp luật TTHS liên quan đến NCCĐT

4 Đối tượng và phạm vi nghiên cứu

Đối tượng nghiên cứu: Đối tượng nghiên cứu của luận văn là những vấn đề

lý luận, pháp luật và thực trạng NCCĐT trong TTHS Việt Nam

Phạm vi nghiên cứu: Luận văn nghiên cứu về NCCĐT trong pháp luật TTHS

Việt Nam và quy định pháp luật TTHS của một số nước trên thế giới về NCCĐT

Do BLTTHS năm 2003 không quy định NCCĐT nên luận văn chỉ nghiên cứu dựa trên cơ sở quy định tại Thông tư liên tịch Số 10/2012/TTLT-BCA-BQP-BTP-BTT&TT-VKSNDTC-TANDTC, ngày 10 tháng 9 năm 2012 hướng dẫn áp dụng quy định của BLHS về một số tội phạm trong lĩnh vực công nghệ thông tin và viễn thông và Luật Giao dịch điện tử năm 2005, có so sánh với quy định của BLTTHS năm 2015 về NCCĐT

Về thời gian, do BLTTHS hiện hành (2003) không quy định về NCCĐT, nên luận văn không có điều kiện nghiên cứu trực tiếp thực tiễn thực hiện quy định về NCCĐT Luận văn chỉ có thể nghiên cứu gián tiếp thông qua việc thực hiện các quy liên quan từ thời điểm có Thông tư liên tịch Số 10/2012 nói trên

5 Phương pháp luận và phương pháp nghiên cứu

Việc nghiên cứu đề tài dựa trên phương pháp luận duy vật biện chứng của triết học Mác-Lê nin, tư tưởng Hồ Chí Minh, quan điểm của Đảng và Nhà nước về đấu tranh phòng, chống tội phạm Ngoài ra, các phương pháp phân tích, tổng hợp, đối chiếu, so sánh… được sử dụng phù hợp với từng nội dung, lĩnh vực nghiên cứu của đề tài

6 Ý nghĩa lý luận và thực tiễn của luận văn

Luận văn góp phần bổ sung và làm rõ hơn những vấn đề lý luận về NCCĐT trong TTHS

Kết quả nghiên cứu của luận văn có thể được sử dụng làm tài liệu tham khảo trong việc học tập, nghiên cứu… những vấn đề có liên quan đến NCCĐT trong TTHS; luận văn cũng có thể làm tài liệu tham khảo trong việc tiếp tục hoàn thiện và thực hiện tốt quy định BLTTHS năm 2015 về NCCĐT

7 Bố cục của luận văn

Ngoài phần mở đầu, kết luận và danh mục tài liệu tham khảo, luận văn có bố cục gồm hai chương:

Chương 1: Những vấn đề lý luận về nguồn chứng cứ điện tử trong tố tụng

hình sự

Chương 2: Pháp luật tố tụng hình sự và giải pháp bảo đảm áp dụng đúng

quy định của pháp luật về nguồn chứng cứ điện tử

CHƯƠNG 1 NHỮNG VẤN ĐỀ LÝ LUẬN VỀ NGUỒN CHỨNG CỨ ĐIỆN TỬ TRONG

TỐ TỤNG HÌNH SỰ 1.1 Khái niệm chứng cứ điện tử và nguồn chứng cứ điện tử

Chứng cứ là phương tiện để chứng minh tội phạm và là một trong những vấn

đề lý luận phức tạp nhất của TTHS Hiện nay ở Việt Nam và trên thế giới, tội phạm

sử dụng công nghệ cao được hiểu bao gồm hai loại: tội phạm với mục tiêu tấn công vào máy tính, mạng máy tính, cơ sở dữ liệu và tội phạm có sử dụng phương tiện kỹ thuật số, mạng máy tính để làm công cụ thực hiện hành vi các tội phạm Những thủ đoạn phạm tội công nghệ cao có thể liệt kê như: lừa đảo trên mạng, trộm cắp địa chỉ thư điện tử, thông tin thẻ tín dụng và thông tin cá nhân; đưa thông tin thẻ tín dụng

đã ăn cắp được lên mạng để mua bán, trao đổi, cho tặng; thực hiện rửa tiền bằng cách chuyển tiền từ tài khoản trộm cắp được sang tài khoản tiền ảo như e-gold, e-passport ; lừa đảo trong hoạt động thương mại điện tử, trong quảng cáo, bán hàng trực tuyến qua mạng, mua bán ngoại tệ, mua bán cổ phiếu qua mạng; đánh bạc, cá

độ bóng đá qua mạng; sử dụng máy tính để thực hiện hành vi trốn thuế, tham ô; buôn bán ma túy qua mạng; tổ chức hoạt động mại dâm qua mạng; truyền bá văn hóa phẩm đồi trụy qua mạng; thực hiện các hoạt động khủng bố, gây rối qua mạng; xâm phạm an toàn của hệ thống hạ tầng an ninh quốc gia; lập trạm thu phát tín hiệu trái phép, sử dụng mạng Internet để chuyển cuộc gọi quốc tế thành cuộc gọi nội hạt Khi thực hiện hành vi của mình, tội phạm đều để lại dấu vết tại hiện trường vụ

án cũng như trên công cụ, phương tiện phạm tội Theo đó, khi tội phạm sử dụng công nghệ cao thực hiện hành vi phạm tội trong môi trường mạng máy tính, mạng thông tin, viễn thông, chúng sẽ để lại dấu vết trên các thiết bị điện tử nói chung, đây

là những dữ liệu tồn tại dưới dạng những tín hiệu điện tử kỹ thuật số, được tạo ra một cách tự động, khách quan và lưu giữ một cách tự động trong bộ nhớ của các thiết bị điện tử, tồn tại trong một thời gian nhất định Khi sử dụng những phần mềm

và thiết bị phù hợp, có thể phát hiện, thu giữ và ghi lại được dưới dạng kỹ thuật số hoặc in ra giấy để làm chứng cứ sử dụng tại tòa án

Chứng cứ trong TTHS là những thông tin, tài liệu, đồ vật có thật, được thu thập theo quy định của pháp luật để làm rõ những vấn đề cần phải chứng minh trong

vụ án (đối tượng chứng minh) Hay nói một cách khác là để xác định tội phạm và người thực hiện hành vi phạm tội cũng như những tình tiết khác cần thiết cho việc

giải quyết đúng đắn vụ án hình sự Trong khoa học TTHS hiện nay có nhiều quan điểm khác nhau về chứng cứ điện tử Cụ thể như sau:

Thứ nhất, “Chứng cứ điện tử là dữ liệu điện tử, tồn tại dưới dạng ký hiệu,

chữ viết, chữ số, hình ảnh hoặc âm thanh hoặc dạng tương tự, được lưu trong máy tính hoặc các thiết bị có bộ nhớ kỹ thuật số khác, có liên quan đến vụ án”.2 Căn cứ vào định nghĩa dữ liệu được đề cập trong Luật Giao dịch điện tử, tác giả đã đưa ra được hình thức tồn tại của NCCĐT, tuy nhiên dữ liệu chỉ “được lưu” trên máy tính

và các thiết bị có bộ nhớ kỹ thuật số khác là chưa đầy đủ, bởi vì trên thực tế, bên cạnh việc được lưu trữ trong bộ nhớ, thiết bị lưu trữ, dữ liệu còn được truyền tải, giao nhận thông qua mạng (không dây hoặc có dây), giữa các máy tính hoặc giữa các thiết bị điện tử với nhau Mặt khác, khái niệm này cũng chưa đề cập đến tính khách quan và khả năng thu thập chứng cứ đúng theo trình tự thủ tục TTHS

Thứ hai, “Chứng cứ kỹ thuật số (digital evidence) là thông tin và dữ liệu có

giá trị cho điều tra được lưu trữ, giao nhận và truyền tải bởi thiết bị điện tử Chứng

cứ này có được khi dữ liệu và những thiết bị điện tử được thu thập và bảo quản cho giám định”.3

Khái niệm này đã nêu lên được bản chất của NCCĐT, tính liên quan của nó với tội phạm xảy ra Tính khách quan của chứng cứ được đảm bảo bởi nó phải trải qua công tác giám định khách quan, khoa học; được thực hiện bởi người có chuyên môn được Nhà nước công nhận trong từng lĩnh vực cụ thể Tuy nhiên, trong khái niệm chưa đề cập đến việc tuân thủ đúng trình tự, thủ tục TTHS trong thu thập chứng cứ, bởi theo Tu chính án Thứ tư (Fourth Amendment), trong hầu hết các trường hợp khi thực hiện hoạt động điều tra tội phạm, lực lượng hành pháp phải được sự cho phép bằng văn bản (written permission) từ tòa án để khám xét và thu thập chứng cứ một cách hợp pháp

Thứ ba, “Chứng cứ kỹ thuật số được định nghĩa là bất kỳ dữ liệu nào được

lưu trữ hay truyền tải sử dụng máy tính nhằm chứng minh hay biện luận giả thuyết tội phạm đã xảy ra như thế nào hoặc để giải quyết các tình tiết quan trọng của tội phạm như ý định hay ngoại phạm”.4 Trong định nghĩa này, khái niệm dữ liệu được

đề cập về cơ bản là sự kết hợp các số nhị phân biểu diễn thông tin dưới các kiểu

2

Trần Văn Hòa, An toàn thông tin và Công tác phòng chống tội phạm sử dụng công nghệ cao, NXB Công an

nhân dân, Hà Nội, tr.373

3

U.S Department of Justice, Office of Justice Programs, National Institute of Justice (2012), Electronic

Crime Scene Investigation: A Guide for First Responders, Second Edition,CreateSpace Independent

Publishing Platform, USA, pp ix

4

Eoghan Casey (2011), Digital Evidence and Computer Crime - Forensic Science, Computer and the Internet, Third Edition, Elsevier Inc, USA, pp 7

khác nhau bao gồm văn bản (text), hình ảnh (images), âm thanh (audio), và phim (video) nhưng không bao quát đầy đủ phạm vi của NCCĐT, tức chỉ có dữ liệu được lưu trữ hay truyền tải bởi máy tính mới được coi là chứng cứ điện tử Vế sau của khái niệm chỉ nêu lên được tính liên quan của chứng cứ đối với tội phạm, chưa nêu lên được tính hợp pháp hay tính khách quan của chứng cứ

Trước đây, chứng cứ kỹ thuật số được định nghĩa như là bất kỳ dữ liệu nào

có thể thiết lập liên quan đến tội phạm hay có thể cung cấp mối liên kết giữa tội phạm và nạn nhân của nó hay thủ phạm (Cayse, 2000) Định nghĩa đề xuất bởi SWGDE (the Standard Working Group on Digital Evidence) thì là bất cứ thông tin nào có giá trị được lưu trữ hay truyền tải dưới hình thức kỹ thuật số Một định nghĩa khác đề xuất bởi IOCE (the International Organization of Computer Evidence), là thông tin được lưu trữ hay truyền tải ở dạng nhị phân (binary) được tin cậy sử dụng tại tòa án Tuy nhiên, những định nghĩa này tập trung quá nhiều vào sự chứng minh

mà sao nhãng dữ liệu trong một cuộc điều tra Hơn nữa, thuật ngữ nhị phân ở định nghĩa cuối là không chính xác bởi nhị phân chỉ một trong nhiều kiểu biểu diễn dữ liệu máy tính phổ biến Một định nghĩa rộng hơn đề xuất bởi ACPO (the Association of Chief Police Officers), là thông tin và dữ liệu có giá trị cho điều tra được lưu trữ hay truyền tải bởi máy tính Một định nghĩa mang tính tổng quát hơn được đề xuất bởi Brian Carrier là dữ liệu số chứng minh hay bác bỏ một giả thiết về

sự kiện số hay trạng thái của dữ liệu số (Carrier, 2006)

Như chúng ta đã thấy, trong vấn đề sử dụng thuật ngữ để chỉ loại chứng cứ tồn tại dưới dạng những tín hiệu điện tử kỹ thuật số giữa các tác giả có sự khác nhau Thậm chí, ngay trong hai lần tái bản khác nhau của một tài liệu hướng dẫn đã

nêu ở trên, Electronic Crime Scene Investigation: A Guide for First Responders của

Bộ Tư pháp Mỹ, khái niệm về chứng cứ trong các vụ tội phạm sử dụng công nghệ cao cũng khác nhau Trong lần xuất bản đầu tiên, các tác giả đã sử dụng thuật ngữ

“Chứng cứ điện tử” (electronic evidence)5, nhưng trong lần tái bản thứ hai, thuật ngữ này đã được thay thế bởi “Chứng cứ kỹ thuật số” (digital evidence) Vậy sử dụng thuật ngữ nào thì chính xác, Chứng cứ kỹ thuật số hay Chứng cứ điện tử Từ điển của trường Đại học Oxford đã định nghĩa điện tử (electronic) và kỹ thuật số (digital) như sau:

5

U.S Department of Justice, Office of Justice Programs, National Institute of Justice (2001), Electronic

Crime Scene Investigation: A Guide for First Responders,CreateSpace Independent Publishing Platform,

USA, pp 6

Điện tử: (trong một thiết bị) có hoặc hoạt động với các thành phần như vi

mạch và bóng bán dẫn để điều khiển và điều hướng dòng điện Hoặc thực hiện hay truy cập bằng máy tính, thiết bị điện tử khác đặc biệt là bằng cách thông qua mạng.6

Kỹ thuật số: (thuộc về tín hiệu hay dữ liệu) diễn tả một chuỗi các con số 0 và

1, thường thể hiện bằng giá trị của một đại lượng vật lý như điện áp hay phân cực

từ Trái nghĩa với tương tự (analog) Hoặc liên quan đến sử dụng, lưu trữ dữ liệu, thông tin dưới dạng các tín hiệu kỹ thuật số; hoặc có liên quan đến việc sử dụng các công nghệ máy tính.7

Có thể thấy, định nghĩa điện tử đề cập sâu hơn về tầng vật lý, tập trung về phần cứng, các thiết bị điện tử sử dụng điện và mạch điều khiển nói chung Định nghĩa kỹ thuật số mang tính lý thuyết nhiều hơn, tức số 0 và 1 biểu diễn về lý thuyết của việc đóng hay mở mạch điện tử và chuỗi các số 0 và 1 (trong hệ nhị phân) sẽ biểu diễn dữ liệu kỹ thuật số.Hai định nghĩa chỉ khác nhau về cách diễn giải, độ bao quát, còn bản chất của điện tử hay kỹ thuật số đều là sự đóng (1) hoặc mở (0) mạch điện từ đó dữ liệu, thông tin được biểu diễn Theo cách hiểu thông thường, kỹ thuật

số mang nghĩa hẹp trong phạm vi máy tính và mạng máy tính; điện tử mang nghĩa bao quát rộng hơn, tức là ngoài máy tính thì còn có các thiết bị điện tử, viễn thông khác như điện thoại, camera, máy photocopy, máy fax, máy scan v.v… Từ ý nghĩa

đó, chúng tôi thống nhất sử dụng thuật ngữ chứng cứ điện tử để chỉ loại chứng cứ tồn tại dưới dạng những tín hiệu điện tử kỹ thuật số được đề cập trong luận văn này

Bên cạnh đó, các khái niệm đã nêu trên cũng chưa thống nhất về nội hàm, chứng cứ điện tử là dữ liệu, là thông tin hay cả hai

Theo từ điển trực tuyến Đại học Cambridge, dữ liệu là thông tin, đặc biệt là

sự kiện hoặc số, được thu thập để kiểm tra và xem xét và sử dụng nhằm đưa ra quyết định; hoặc là các thông tin dưới một hình thức điện toán có thể được lưu trữ

và sử dụng bằng máy tính.8 Theo từ điển trực tuyến trường Đại học Oxford, dữ liệu

là sự kiện và số liệu thống kê được thu thập với nhau để tham khảo hoặc phân tích; hoặc là số lượng, ký tự, hoặc ký hiệu mà trên đó các hoạt động được thực hiện bởi máy tính, có thể được lưu trữ và truyền đi dưới dạng tín hiệu điện và ghi lại bằng

các phương pháp ghi âm từ tính, quang học hoặc cơ khí.9 Thông tin (trong lĩnh vực điện toán) là dữ liệu đã xử lý, lưu trữ hoặc truyền qua một máy tính.10

Như vậy, có sự khác nhau cơ bản giữa dữ liệu và thông tin Dữ liệu được thu thập và phân tích để tạo ra thông tin thích hợp cho việc ra quyết định Dữ liệu trở thành thông tin khi qua thống kê, mô tả, diễn dịch và biểu thị dưới dạng đồ thị, hình ảnh, âm thanh, văn bản… Mặt khác, dữ liệu là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự;11 thông điệp dữ liệu là thông tin được tạo ra, được gửi đi, được nhận và được lưu trữ bằng phương tiện điện tử.12

Từ những phân tích trên, mối quan hệ giữa dữ liệu và thông tin hoàn toàn phù hợp với lý luận về chứng cứ của khoa học luật hình sự Việt Nam nói chung và mối quan hệ giữa nguồn chứng cứ và chứng cứ nói riêng Theo pháp luật TTHS Việt Nam thì chứng cứ là những gì có thật, được thu thập theo trình tự, thủ tục do pháp luật quy định, được dùng làm căn cứ để xác định có hay không có hành vi phạm tội, người thực hiện hành vi phạm tội và những tình tiết khác có ý nghĩa trong việc giải quyết vụ án.13 Còn nguồn chứng cứ là nơi chứa đựng, cung cấp chứng cứ cho các cơ quan tiến hành tố tụng để giải quyết đúng đắn vụ án hình sự.14

Hoặc nguồn chứng cứ là hình thức, nơi chứa đựng những gì có thật liên quan đến vụ án hình sự hay là “nơi, từ đó có thể tìm ra đối tượng được chủ thể sử dụng để chứng minh”.15

Như vậy, chứng cứ điện tử là thông tin được rút ra, trích xuất ra từ nguồn

chứng cứ điện tử, được thu thập theo trình tự, thủ tục do BLTTHS quy định mà các

cơ quan tố tụng dùng làm căn cứ để xác định có hay không có hành vi phạm tội, người thực hiện hành vi phạm tội cũng như những tình tiết khác cần thiết cho việc giải quyết đúng đắn vụ án

Trong quá trình điều tra một vụ án liên quan đến tội phạm công nghệ thông tin, viễn thông, cơ quan chức năng thu giữ tại hiện trường vụ án những thiết bị, máy móc, đồ vật có chứa hoặc lưu trữ chứng cứ điện tử, thì những vật này gọi là

Đại học Luật TP Hồ Chí Minh (2013), Giáo trình Luật Tố tụng hình sự Việt Nam, NXB Hồng Đức - Hội

Luật gia Việt Nam, Hà Nội, tr.242

15

Trần Quang Tiệp (2004) Chế định chứng cứ trong Luật tố tụng hình sự Việt Nam, NXB Chính trị Quốc gia,

Hà Nội, tr.49

NCCĐT gốc Nguồn chứng cứ điện tử gốc (original digital evidence) là vật chất

(physical items) và các đối tượng dữ liệu có liên quan đến các đối tượng đó vào thời điểm thu giữ Các thiết bị này phải trải qua công tác giám định để chuyển hóa

chứng cứ điện tử thành dạng có thể đọc, nghe, xem được thì bước cần thiết đầu tiên

là nhân bản toàn bộ và y hệt nội dung chứa trong thiết bị đã thu giữ Nội dung này

gọi là NCCĐT nhân bản Nguồn chứng cứ điện tử nhân bản (duplicate digital

evidence) là bản sao kỹ thuật số chính xác của tất cả các đối tượng dữ liệu có trong vật phẩm ban đầu

Từ sự phân tích trên có thể đưa ra khái niệm NCCĐT như sau:

Nguồn chứng cứ điện tử là hình thức, nơi chứa đựng những thông tin được rút ra, là dữ liệu điện tử, ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự được tạo ra, lưu trữ, truyền đi hoặc nhận được bởi phương tiện điện tử có liên quan đến vụ án

1.2 Các loại nguồn chứng cứ điện tử

Với việc ứng dụng sâu rộng công nghệ thông tin vào đời sống con người, thì

số lượng, chủng loại các thiết bị, phương tiện điện tử là vô cùng phong phú, đa dạng Trong phạm vi của luận văn, tác giả khái quát nhất có thể các loại NCCĐT

Dựa trên dạng tồn tại và khả năng dễ dàng chứng minh hành vi tội phạm trên

cơ sở luật pháp NCCĐT gồm:

Bản ghi giao dịch chính (Main transaction records) Những bản ghi này bao

gồm tất cả các giao dịch mua, bán hàng và các hợp đồng khác

Bản ghi kinh doanh chính (Main business records) Bản ghi này không

những bao gồm các bản ghi nêu trên và còn tất cả các tài liệu và dữ liệu có thể là cần thiết để tuân thủ các yêu cầu pháp lý và quy định

Lưu lượng thư điện tử (Email traffic) Email có khả năng cung cấp bằng

chứng quan trọng của các danh bạ liên hệ chính thức và không chính thức

Những bản ghi lưu giữ bởi các bên thứ ba (Records held by third parties) Ví

dụ một nhà cung cấp điện toán đám mây nơi các bản ghi có thể không được kiểm soát trực tiếp ngay lập tức Trên cơ sở nào những bản ghi đó có thể thu giữ được thu giữ? Vấn đề điện toán đám mây là vấn đề rất khó giải quyết vì dữ liệu được cung cấp từ bên thứ ba

Máy tính cá nhân Nếu một người trong diện tình nghi, cơ quan chức năng sẽ

cần thu giữ máy tính cá nhân của họ và tạo ra một ảnh đĩa16 phục vụ cho công tác giám định, cụ thể là tạo ra một bức ảnh chụp nhanh mọi thứ trên đĩa cứng (bao gồm

các tài liệu đã bị xóa mà giám định viên có thể phục hồi)

Điện thoại di động, điện thoại thông minh, PDA 17 … Các thiết bị này có thể

chứa một số lượng đáng kể dữ liệu Các phương pháp kỹ thuật để bảo toàn và nghiên cứu thông tin, dữ liệu chứa trong chúng thường phức tạp hơn các phương pháp sử dụng cho máy tính cá nhân

Dữ liệu đa phương tiện Hầu hết người dùng máy tính lưu trữ tất cả hoặc một

phần hoạt động của họ trên phương tiện lưu trữ bên ngoài Bao gồm CD, DVD, đĩa mềm, băng từ, đĩa cứng gắn ngoài, thẻ nhớ và ổ USB Cần có một thủ tục để nhận dạng tất cả những thiết bị này này, bảo vệ chúng chờ giám định

Nhật ký theo dõi truy cập (access control logs) Tất cả các hệ thống máy tính

dù đơn giản nhất cũng đều yêu cầu mật khẩu hoặc thiết bị xác thực trước khi cho phép truy cập Thông thường, các hệ thống kiểm soát truy cập này có thể được cấu hình để duy trì những bản ghi khi tên người dùng và mật khẩu được cấp, khi mật khẩu được thay đổi, khi quyền truy cập được thay đổi hoặc chấm dứt Ngoài ra, nhiều hệ thống cũng duy trì nhật ký các truy cập hoặc ít nhất là nhật ký các truy cập thất bại Các nhật ký này, nếu được quản lý và bảo quản đúng cách, sẽ là bằng chứng mạnh mẽ về những hoạt động trên một hệ thống máy tính

Cấu hình, sự kiện, lỗi và các tập tin và nhật ký nội bộ khác Tất cả các máy

tính đều chứa các tập tin giúp xác định như thế nào hệ điều hành và các chương trình cá nhân khác nhau hoạt động Trong thế hệ hiện tại của các hệ điều hành Windows, thiết lập quan trọng nhất của thông tin cấu hình là registry18 Từ đó, các giám định viên có thể khám phá rất nhiều điều về các hoạt động gần đây cũng như trong quá khứ bao gồm các tập tin và mật khẩu đã truy cập Thông thường, có các

16

Ảnh đĩa (disk image) là một tệp tin máy tính có chứa nội dung và cấu trúc của một ổ đĩa hoặc toàn bộ thiết

bị lưu trữ dữ liệu, chẳng hạn như ổ đĩa cứng, ổ băng, đĩa mềm, đĩa quang hoặc ổ USB flash Một ảnh đĩa thường được thực hiện bằng cách tạo ra một bản sao theo từng sector của môi trường nguồn, do đó có thể sao chép hoàn toàn cấu trúc và nội dung của một thiết bị lưu trữ không phụ thuộc vào hệ thống tập tin

17

A personal digital assistant (PDA): một trợ lý kỹ thuật số cá nhân, còn được gọi là máy tính cầm tay, là một thiết bị di động có chức năng như một người quản lý thông tin cá nhân PDA đã phần lớn ngừng hoạt động vào đầu những năm 2010 sau sự phổ biến rộng rãi của điện thoại thông minh, đặc biệt là các thiết bị dựa trên iOS và Android

18

Registry là cơ sở dữ liệu được xác định bởi hệ thống, trong đó các ứng dụng và các thành phần hệ thống lưu trữ và truy xuất dữ liệu cấu hình Dữ liệu được lưu trữ trong registry thay đổi theo phiên bản của Microsoft Windows Các ứng dụng sử dụng API registry để lấy, sửa đổi hoặc xóa dữ liệu đăng ký

tập tin cấu hình quan trọng liên kết với các chương trình riêng lẻ Nhiều hệ điều hành còn ghi nhận các lỗi và các nhật ký nội bộ khác

Nhật ký hoạt động Internet Các máy tính cá nhân duy trì những bản ghi về

truy cập web gần đây dưới dạng tập tin lịch sử và bộ nhớ cache được giữ trong thư mục các tập tin Internet tạm thời Nhưng nhiều mạng công ty cũng duy trì các nhật

ký tập trung chỉ để kiểm tra chất lượng dịch vụ và kiểm tra chống lạm dụng Khi quản lý và bảo quản đúng cách, các nhật ký này là bằng chứng mạnh mẽ về các hoạt động của một hệ thống máy tính

Nhật ký anti-virus Liên quan đến các nhật ký được đề cập ở trên là các nhật

ký được tạo ra bởi việc cài đặt phần mềm chống virut của công ty Chúng ghi lại quá trình phát hiện, tiêu diệt các loại virut và phần mềm độc hại khác

Nhật ký phát hiện xâm nhập Các hệ thống máy tính lớn hơn thường sử dụng

các hệ thống phát hiện xâm nhập như một phần của các biện pháp an ninh của họ Chúng được thiết kế để phát hiện và ngăn chặn một số hình thức hack Việc sản xuất các nhật ký như vậy có thể giúp xác định thủ phạm hoặc chứng minh rằng các biện pháp phòng ngừa hợp lý đã được thực hiện để đảm bảo an toàn hệ thống

Phương tiện sao lưu Tất cả các hệ thống máy tính cần phải có các thủ tục

sao lưu chỉ để phục hồi nhanh sau thảm hoạ Một số tổ chức sao lưu toàn bộ hệ thống của họ mỗi 24 giờ; những tổ chức khác thì đặt ra chính sách từng phần Lưu trữ dự phòng là nguồn cung cấp các bằng chứng cực kỳ quan trọng vì chúng có thể hiển thị nếu các tập tin đang hoạt động đã bị giả mạo Họ còn có thể cung cấp lại dữ liệu cái mà đã bị xóa khỏi hệ thống đang hoạt động

Nhật ký điện thoại Các Private Branch Exchanges19 thường có nhiều tính năng mở rộng để ghi lại hoạt động sử dụng Có thể có những khó khăn trong việc sử dụng loại nhật ký này làm bằng chứng; cũng có những vấn đề đáng kể liên quan đến việc chặn bắt nội dung của các cuộc hội thoại Tuy nhiên, đây là những nguồn tiềm năng rất quan trọng trong tình báo và làm chứng cứ

Ghi âm điện thoại Dữ liệu được cung cấp từ việc chặn bắt các cuộc gọi viễn

thông

Nhật ký kiểm soát truy cập bảo mật vật lý Nhiều tòa nhà kiểm soát truy cập

vật lý bằng cách sử dụng thẻ vuốt hoặc các thẻ khác Như để giải quyết chỗ đậu xe

19

Private Branch Exchange (PBX) là một hệ thống trao đổi hoặc chuyển mạch điện thoại phục vụ một tổ chức tư nhân và thực hiện tập trung các đường dây văn phòng trung tâm và cung cấp liên lạc giữa một số lượng lớn các trạm điện thoại trong tổ chức

hoặc để cho phép tiếp cận các khu vực đặc biệt nhạy cảm Thông thường có một hệ thống kiểm soát trung tâm ghi nhận các nhật ký này Điều này có thể rất hữu ích trong việc xác định sự di dời địa điểm của một người

Bản ghi CCTV 20 Gần đây dữ liệu CCTV đã được lưu trữ trên băng từ ở định

dạng tương tự Nhưng chi phí lưu trữ kỹ thuật số - trên các ổ đĩa cứng - đã giảm mạnh Lưu trữ kỹ thuật số có nghĩa là hình ảnh CCTV có thể được xác định nhanh chóng theo ngày và thời gian của sự cố Ngoài ra, phát hiện chuyển động và phần mềm phân tích khác có thể được triển khai Đồng thời giá camera cũng đã rẻ đi nhiều,

vì vậy mà rất nhiều nơi có thể được triển khai việc giám sát đối tượng qua CCTV

Dựa trên nền tảng hoạt động các thiết bị, NCCĐT có thể tồn tại trong:

Hệ thống máy tính thông thường: là hệ thống bao gồm phần cứng và phần

mềm để xử lý dữ liệu có thể bao gồm: thùng máy chứa bo mạch chủ, bộ vi xử lý, ổ đĩa, bộ nhớ và cổng kết nối bên trong; màn hình hay thiết bị bị hiển thị khác; bàn phím, chuột; các thiết bị ngoại vi, ổ đĩa gắn ngoài và các thành phần khác

Hệ thống máy tính thông thường có nhiều hình thức như máy tính để bàn, máy tính xách tay, các loại máy tính mini, mainframe computer với dung lượng lưu trữ lớn và tốc độ xử lý nhanh Những thành phần bổ sung và thiết bị ngoại vi có thể gồm modem, bộ định tuyến (router), máy in, máy scan v.v…

Hệ thống máy tính với những thành phần của nó có thể có giá trị làm chứng

cứ Phần cứng, phần mềm, tài liệu, hình ảnh, email, cơ sở dữ liệu, thông tin tài chính, lịch sử trình duyệt Internet, nhật ký chat, danh sách bạn bè, nhật ký sự kiện, dữ liệu lưu trữ trên thiết bị gắn ngoài và những thông tin định danh gắn với hệ thống máy tính và các thành phần của nó chính là chứng cứ tiềm năng cho việc điều tra

Ngày nay, với sự gia tăng chưa nhanh chóng về số lượng máy tính, sự bùng

nổ của Internet thì thông tin, dữ liệu được xử lý và truyền tải ngày càng nhiều, đòi hỏi các thiết bị lưu trữ ngày càng nhiều hơn về dung lượng Đây chính là một nguồn quan trọng và dồi dào của chứng cứ điện tử Các thiết bị lưu trữ có thể phân chia thành các nhóm chính sau:

- Ổ đĩa cứng: là thiết bị lưu trữ dữ liệu, gắn bên trong thùng máy, gồm có bảng mạch điện tử; các kết nối dữ liệu, nguồn điện; các phiến đĩa bằng thủy tinh, sứ hay kim loại gắn bên trong đã bị nhiễm từ dùng để ghi dữ liệu Ổ đĩa cứng gắn

20

CCTV (closed-circuit television) là một hệ thống truyền hình trong đó các tín hiệu video được truyền từ một hoặc nhiều camera bằng cáp đến màn hình quan sát

ngoài có cấu tạo tương tự nhưng được gắn bên ngoài thùng máy dùng để mở rộng thêm dung lượng lưu trữ và có thể mang đi dễ dàng

- Các thiết bị như băng từ, đĩa mềm, đĩa quang, đĩa nén v.v… Chúng hầu hết đều được sử dụng để chứa đựng, cất giữ, vận chuyển dữ liệu và các loại thông tin khác Những thiết bị này giúp người dùng có thể chia sẻ dữ liệu, thông tin, phần mềm, phim ảnh giữa các máy tính với nhau hoặc giữ các thiết bị đầu đọc khác nhau

- Các thiết bị nhỏ gọn, trọng lượng nhẹ, kích thước tương đương với ngón tay (thumb drive) với cổng kết nối USB Những thiết bị này, còn được gọi với các tên khác là bộ nhớ flash, thì dễ dàng cất giữ và mang theo Vì kích thước nhỏ gọn nên nó có thể ở dưới nhiều hình dạng khác nhau như móc đeo chìa khóa, đồng hồ đeo tay, bút hay dao xếp

- Thẻ nhớ: là một loại thiết bị lưu trữ rất nhỏ gọn thường được sử dụng với camera, máy tính, điện thoại di động, máy chơi nhạc, thiết bị hỗ trợ cá nhân (PDAs), máy chơi trò chơi hoặc các thiết bị điện tử khác

Hệ thống truyền thông (communication systems): là hệ thống điện thoại

truyền thống, điện thoại không dây, mạng Internet và mạng nói chung Một mạng máy tính bao gồm hai hay nhiều máy tính liên kết với nhau qua cáp dữ liệu hoặc kết nối không dây để chia sẻ dữ liệu và tài nguyên Một hệ thống máy tính thông thường gồm các thiết bị định tuyến dữ liệu như hub, switch, router; các thiết bị ngoại vi khác và máy in kết nối mạng Hệ thống này có thể là NCCĐT Những loại

dữ liệu mà chủ thể tiến hành tố tụng có thể thu thập được là phần mềm, tài liệu, hình ảnh, tin nhắn, cơ sở dữ liệu, thông tin tài chính, lịch sử trình duyệt, các tập tin nhật

ký hệ thống, nhật ký chat, danh sách bạn bè và các dữ liệu khác lưu trên thiết bị ngoại vi Ngoài ra, mục đích, tính năng của thiết bị và bất cứ thông tin định danh nào liên kết với hệ thống máy tính; những thành phần và kết nối như địa chỉ IP, địa chỉ MAC v.v… đều có ích cho quá trình điều tra Hệ thống viễn thông truyền tải tin nhắn SMS/MMS, mạng Internet gửi nhận email khắp thế giới Thời điểm thông điệp được gửi, ai gửi hay nội dung của thông điệp đó đều quan trọng cho quá trình điều tra Để xác nhận khi nào thông điệp được gửi, cần thiết phải giám định những tập tin nhật ký (log files) trong máy chủ trung gian và những bộ định tuyến (routers) đã

xử lý những thông điệp này Một vài hệ thống thông tin liên lạc có thể được cấu hình để chặn bắt toàn bộ nội dung của quá trình gửi nhận, mang đến cho các nhà điều tra khả năng truy cập đến tất cả quá trình thông tin, liên lạc (như tin nhắn văn bản, tập tin đính kèm, các cuộc hội thoại)

Hệ thống máy tính tích hợp (embedded computer systems): điện thoại di

động, thẻ thông minh và nhiều hệ thống khác được tích hợp với máy tính có thể chứa chứng cứ điện tử Điện thoại di động có thể chứa nội dung các cuộc hội thoại, hình ảnh, phim, dữ liệu định vị vị trí và những dữ liệu cá nhân khác Hệ thống định

vị có thể được sử dụng để xác định vị trí của phương tiện Các bộ phận cảm biến và chẩn đoán được trang bị trên nhiều phương tiện giao thông hiện đại có thể mang những dữ liệu có ích cho quá trình tìm hiểu, dựng lại hiện trường vụ tai nạn giao thông, như tốc độ phương tiện, trạng thái phanh, ga trong khoảng thời gian 5 giây trước va chạm Những lò vi sóng hiện đại ngày nay được tích hợp với máy tính có thể tải thông tin từ Internet hoặc một số trang thiết bị gia đình cho phép người dùng thiết lập chúng để điều khiển từ xa thông qua mạng không dây hay Internet Trong một vụ án điển hình liên quan đến hỏa hoạn, người ta thu thập dữ liệu được khôi phục từ một lò vi sóng, cho biết nó được lập trình để khai hỏa vào một thời điểm định trước

Ngoài ra, còn phải kể đến những thiết bị khác có thể chứa đựng chứng cứ điện tử như các thiết bị điện tử, đồ dùng, phần cứng, phần mềm hay những thiết bị công nghệ khác có chức năng độc lập, liên kết hoặc gắn vào hệ thống máy tính để nâng cao, mở rộng tính năng sử dụng hệ thống máy tính Chẳng hạn các thiết bị theo dõi, giám sát; máy ảnh, máy quay phim, máy ghi âm, máy MP3, đầu thu phát tín hiệu vệ tinh; máy chơi game (Play Station, Xbox v.v…), tai nghe; máy đọc SIM; máy định vị GPS (Global Positioning System) Đối với những thiết bị kể trên, những tính năng hoạt động của nó khi kết nối với máy tính hoặc những thông tin lưu trữ trên bản thân thiết bị đó tiềm tàng là NCCĐT

Dựa trên cách thức khởi tạo, NCCĐT gồm:

1 Dữ liệu điện tử, do máy tính tự động tạo ra như: “cookies”, “URL”, email logs, web server logs, IP

2 Dữ liệu điện tử do con người tạo ra, được lưu giữ trong máy tính hoặc các thiết bị điện tử khác, như các văn bản, bảng biểu, các hình ảnh, thông tin được lưu giữ dưới dạng kỹ thuật số

Việc phân loại NCCĐT chỉ mang tính tương đối bởi ngày nay một thiết bị điện tử có thể được tích hợp nhiều tính năng và sử dụng cho nhiều mục đích khác nhau Vấn đề quan trọng là xác định được chứng cứ điện tử ở đâu và cách thức thu thập, bảo quản, phục hồi như thế nào để đảm bảo tính khách quan cũng như sự toàn vẹn của dữ liệu

1.3 Đặc điểm của nguồn chứng cứ điện tử

So với các nguồn chứng cứ khác, dữ liệu điện tử là một hình thức mới của nguồn chứng cứ, cần có quy trình về thủ tục TTHS đối với việc thu thập dữ liệu điện tử, trên cơ sở khoa học và công nghệ thông tin hiện đại Về phương diện kỹ thuật phải xây dựng quy trình thu thập, phục hồi dữ liệu điện tử, chuyển hóa chúng thành dạng có thể nhìn, nghe, đọc được để làm bằng chứng chứng minh các tình tiết của vụ án

- Nguồn chứng cứ điện tử được phát hiện, thu thập, bảo quản trên cơ sở khoa học và công nghệ hiện đại

Công nghiệp sản xuất các loại thiết bị điện tử có bộ nhớ kỹ thuật số và chip điều khiển đang ngày càng phát triển Hầu hết các thiết bị gia đình, phương tiện giao thông, thiết bị sản xuất đều đã được số hóa, tích hợp loại đơn giản là bộ vi xử

lý với chip nhớ và phần mềm nhúng như TV, điện thoại, tủ lạnh, máy in, máy fax ; loại phức tạp là cả một hệ thống máy tính phức tạp như ở ô tô, máy bay, tàu thuyền, máy công cụ với hệ thống CAD/CAM Những thiết bị này đều có thể lưu trữ dữ liệu điện tử Để thu được chứng cứ điện tử, trước tiên phải thu được các thiết bị có

bộ nhớ kỹ thuật số đã được sử dụng làm phương tiện gây án như: máy tính, máy điện thoại di động, máy GPS, máy in và xác định những thiết bị này có được sử dụng trong quá trình chuẩn bị gây án, thực hiện hành vi phạm tội, lưu chứng cứ phạm tội, truy cập vào website bị tấn công Trên cơ sở đó, quyết định cần tìm và thu giữ máy tính hoặc các thiết bị có bộ nhớ kỹ thuật số nào, ở đâu Đồng thời, công tác trinh sát cần thu được account, usename, password, sổ sách có liên quan, phục

vụ cho công tác xét hỏi, như để có thể mở được máy tính, thiết bị di động, email, tài khoản của admin, member trên website của hacker và các dữ liệu đã được mã hóa

Về nguyên tắc, khi tiếp cận với dữ liệu gốc được lưu trong máy tính hoặc các thiết bị kỹ thuật số khác, phải bảo vệ được dữ liệu gốc được lưu trong các thiết bị này Tuyệt đối không làm thay đổi dữ liệu được lưu trong các thiết bị này; phải là chuyên gia được đào tạo, có kiến thức về phục hồi chứng cứ điện tử

Công tác tìm và thu giữ các thiết bị lưu trữ chứng cứ điện tử cần tập trung vào hai nguồn sau:

Tìm và thu phần cứng, phần mềm, tài liệu, các ghi chú của đối tượng, email, nickname, usename và passwords các loại, các thiết bị lưu trữ thông tin như USB, điện thoại di động, thẻ nhớ, đĩa VCD, DVD

Tìm nguồn cung cấp dịch vụ: như các ghi chép về dịch vụ, hóa đơn có thông tin về: Nhà mạng điện thoại di động, cố định, vệ tinh, GPS; Ngân hàng phát hành, ngân hàng thanh toán thẻ tín dụng, hiệp hội thẻ, đơn vị chấp nhận thẻ, tiền ảo (như VCoin, BitCoin, Ngân lượng, Liberty Reserve, Webmoney ); Nhà cung cấp dịch

vụ Internet ISP (Internet Service Provider), IXP (Internet Exchange Point); Công ty dịch vụ nội dung số CP (Content Provider)

Đối với việc bảo quản NCCĐT cần tránh xa nam châm và các tác nhân gây nguy hiểm khác

- Nguồn chứng cứ điện tử đa dạng về hình thức và tồn tại dưới dạng các thiết

bị kỹ thuật số

+ Máy tính, điện thoại thông minh, máy tính bảng có bộ nhớ để lưu dữ liệu như: văn bản, hình ảnh, âm thanh, video; thông tin truy cập Internet, thư điện tử; thiết bị có thể dùng độc lập, kết nối mạng

Điện thoại thông minh và máy tính bảng rất đa dạng, có thể lưu dung lượng lớn dữ liệu, có chip nhớ lưu trữ dữ liệu Khi thu máy, thu cả dây nguồn, cần tránh

để bị hết pin, mất chứng cứ Hai loại thiết bị này còn có tính năng kết nối wifi, bluetooth, cần đặt thiết bị vào một túi chống kết nối, bảo quản theo nguyên tắc như đối với điện thoại di động, tránh truy cập, nhận cuộc gọi, tin nhắn, khi đang bị niêm phong hoặc phân tích, phục hồi dữ liệu Khi máy đang tắt, cần giữ ở trạng thái tắt, không bật lên, để bảo vệ tuổi thọ của pin Khi máy được cài đặt mật khẩu bảo vệ, nên giữ ở trạng thái hoạt động và tiến hành kiểm tra ngay Lưu ý: việc bấm nút reset hoặc tháo pin có thể làm mất dữ liệu Pin phải được nạp để bảo vệ chứng cứ, cho tới khi việc kiểm tra hoàn tất và dữ liệu đã được sao lưu, bảo vệ Cần kiểm tra pin, trước khi đưa vào kho bảo quản trong thời gian dài

+ Máy in: Hiện nay, nhiều loại máy in cũng có chức năng photocopy, quét ảnh và fax Các loại máy in đều có bộ vi xử lý và bộ nhớ kỹ thuật số, cho phép nhận lệnh và dữ liệu từ máy tính, lưu vào bộ nhớ và sau đó in tài liệu với nhiều công nghệ in như in laser, in mực, in nhiệt và ma trận điểm

+ Điện thoại cố định không dây: Máy mẹ đóng vai trò như một kết nối giữa thiết bị không dây và kết nối có dây của dịch vụ điện thoại, cho phép di chuyển máy điện thoại trong phạm vi phủ sóng Dữ liệu lưu trong điện thoại cố định không dây

là các số máy gọi đến, caller ID cho các cuộc gọi đến, các thông tin khác có trong

bộ nhớ của điện thoại không dây như: số điện thoại/số trang, tên và địa chỉ, số PIN,

số truy cập voice mail, mật khẩu voice mail, số thẻ ghi nợ, số thẻ gọi, hình ảnh trên màn hình có thể chứa thông tin giá trị khác

+ Máy fax: Bộ nhớ kỹ thuật số thường lưu thông tin về danh sách các số gọi nhanh, các bản fax gửi đến hoặc gửi đi, dòng tiêu đề, cài đặt đồng hồ

+ Thẻ thông minh và thẻ từ: Chúng đều kết nối với thiết bị đọc thông tin lưu trữ thông qua các vạch từ hay các chip điện tử gắn vào thẻ nhựa, ứng dụng phổ biến nhất của công nghệ này là thẻ tín dụng Công nghệ này có nhiều ứng dụng khác nhau vì có khả năng lưu trữ bất kỳ loại thông tin nào như thông tin chứng minh nhân dân, hộ chiếu, giấy phép lái xe, chìa khóa khách sạn Có 2 loại thẻ thông minh cơ bản: thiết bị có khả năng lưu trữ một lượng thông tin lớn và thẻ vi mạch, cơ bản giống một máy tính nhỏ, có khả năng thực hiện nhiều phép tính, cho phép bảo

vệ thông tin đã ghi Thiết bị đọc những loại thẻ này dựa vào khả năng kết nối và phạm vi gần Tiện ích sử dụng là trao đổi trực tiếp dữ liệu thông qua mạng, lưu trữ

dữ liệu hoặc các tệp tin tương tự như máy tính, điện thoại không dây

Thiết bị đọc thẻ từ có khả năng đọc được nhiều loại dải băng từ Công nghệ này cũng có thể được sử dụng đối với một loại thẻ khác, như thẻ vào cơ quan hay khóa cửa phòng…

+ Máy quét scanner: Máy scanner có tính năng tạo file ảnh và có thể lưu dữ liệu đã quét vào máy tính Một số máy quét ảnh cũng đồng thời là máy photocopy, máy in hay máy fax

+ Máy photocopy: Một số máy photocopy cũng là máy in, máy quét ảnh và máy fax Máy photocopy lưu dữ liệu, như các bản in và bản sao trong quá trình sao chép, các file dữ liệu từ máy tính nối mạng, dòng tiêu đề, cài đặt đồng hồ

+ Máy ghi hình, ghi âm kỹ thuật số sử dụng cho mục đích công việc hoặc giải trí cá nhân, có thể lưu dữ liệu ở bộ nhớ trong và/hoặc bộ nhớ ngoài, dưới dạng văn bản, hình ảnh, video clip, ngày/tháng, tác giả

+ Thiết bị điện tử gia dụng: Các thiết bị điện tử gia dụng như thiết bị gia đình, dụng cụ nhà bếp như máy giặt, máy hút bụi, lò vi sóng, tủ lạnh, TV, đầu DVD, thiết bị điều khiển từ xa , thường có bộ vi xử lý và bộ nhớ kỹ thuật số có chức năng như máy tính, lưu trữ dữ liệu, thông tin truy cập Internet, thư điện tử, có thể kết nối mạng

+ Hệ thống định vị toàn cầu GPS: GPS định vị tọa độ trên bề mặt trái đất, thông qua đo tín hiệu vệ tinh Thiết bị có bản đồ hỗ trợ, điều hướng và lưu dữ liệu

(văn bản, hình ảnh/bản đồ), thông tin truy cập Internet, có radio 2 chiều, điện thoại,

vị trí đường được đánh dấu, thời gian biểu

+ Camera an ninh:

Camera an ninh có thể hoạt động độc lập hoặc kết nối mạng LAN, Internet, được sử dụng để quan sát, bảo vệ, thường được lắp ở nơi có thể ghi được thông tin hữu ích cho việc điều tra Camera an ninh có thể lưu dữ liệu như văn bản, hình ảnh,

âm thanh, video, thông tin về thời gian

+ Thiết bị máy tính trong các phương tiện giao thông: Hầu hết chức năng của các loại phương tiện giao thông hiện đại (ô tô, tàu hỏa, máy bay ) đều được điều khiển, ghi nhận, lưu trữ quá trình hoạt động (văn bản, hình ảnh/bản đồ, thông tin truy cập Internet, điện thoại, đường, vị trí đã đánh dấu, thời gian, thư điện tử) bởi các thiết bị số chuyên dụng

+ Thiết bị media: thường có bộ nhớ trong và bộ nhớ ngoài, được sử dụng để lưu dữ liệu, như ổ cứng di động HDD, SSD, thẻ nhớ, chip các loại, đĩa CD… Đối với các thiết bị này cần thu và chuyển ngay cho chuyên gia phục hồi dữ liệu điện tử

Ngoài việc tồn tại dưới dạng trên, NCCĐT còn có thể tồn tại dưới những dạng khác như: Máy trả lời tự động; Thiết bị không dây khác…

- Nguồn chứng cứ điện tử có thể phục hồi trên cơ sở sử dụng các thiết bị phần mềm chuyên dụng

Về nguyên tắc, việc phục hồi NCCĐT cần chú ý: Phải thực hiện đúng quy trình phục hồi dữ liệu điện tử của ổ cứng máy tính, điện thoại di động…, sử dụng thiết bị và phần mềm phổ biến, được pháp luật công nhận và có thể kiểm chứng được; Phải chứng minh được tính khách quan, nguyên trạng và tính kiểm chứng được của chứng cứ: quá trình khôi phục, tìm kiếm dữ liệu phải chứng minh được trước tòa, khi cần thiết có thể lặp lại quá trình và đi đến kết quả tương tự

Công tác phục hồi chứng cứ điện tử phải sử dụng các thiết bị và phần mềm chuyên dụng để đảm bảo các nguyên tác xác lập chứng cứ điện tử, không làm ảnh hưởng đến tính nguyên trạng của chứng cứ và phải được những chuyên gia đã qua đào tạo thực hiện Bản chất của quá trình phục hồi chứng cứ điện tử là phục hồi, tìm, thu thập, phân tích, nghiên cứu giá trị chứng cứ của dữ liệu và báo cáo kết quả

về nội dung và tình trạng của chứng cứ (có chữ ký của đối tượng tạo dữ liệu và những người tham gia tố tụng) để chuyển hóa thành chứng cứ và được công nhận là chứng cứ pháp lý trước tòa Việc phục hồi được tiến hành trên bản sao, không nên làm tổn hại đến dữ liệu gốc Cụ thể như:

Phục hồi dữ liệu điện tử trong ổ đĩa cứng hỏng vật lý

Khi thiết bị có ổ cứng bị rơi, va đập, ẩm ướt, dính hóa chất, nhiệt độ cao, dùng lâu ngày… thường gây ra những sự cố ổ đĩa cứng như: hỏng bo mạch, hỏng đầu đọc, hỏng bề mặt đĩa ghi, lỗi bộ phận cơ học, lỗi phần mềm…

Việc phục hồi dữ liệu lưu trong ổ cứng bị hỏng vật lý đòi hỏi phải có phòng thí nghiệm với các thiết bị chuyên dùng, do chuyên gia thực hiện, có thể khắc phục lỗi hỏng vật lý như hỏng đầu đọc, hỏng motor, chập, cháy bộ phận điều khiển điện

tử, bề mặt đĩa bị xước, lỗi firmware, lỗi file hệ thống…

Dựa trên những nguyên lý cơ bản về cấu tạo, cơ chế hoạt động và lưu trữ dữ liệu trên ổ cứng có liên quan trực tiếp đến những lỗi thường gặp của ổ cứng, cán bộ điều tra có thể hiểu được những nguyên nhân lỗi của ổ cứng và có biện pháp thu và bảo quản phù hợp để chuyển cho phòng thí nghiệm thực hiện công tác phục hồi dữ liệu

Quy trình tìm nguyên nhân và sửa lỗi ổ cứng có thể tiến hành như sau:

Bước thứ nhất: kiểm tra các linh kiện điện tử: do khí hậu nóng ẩm, môi trường ô nhiễm, bụi bẩn nên bo mạch điện tử thường bị hỏng Khi phát hiện sự cố

bo mạch bị chập, cháp nổ, hư hỏng linh kiện, cần thay thế bo mạch điện tử của ổ cứng Để kiểm tra bo mạch, cần sử dụng một ổ cứng cùng loại để chẩn đoán Khi ổ cứng nhận sai tên, chạy kêu lọc cọc, hệ thống không nhận… nguyên nhân có thể do

bo mạch bị hỏng RAM, ROM internal…

Một số dấu hiệu nhận biết tình trạng ổ cứng bị lỗi bo mạch điện tử: hệ thống nhận sai tên, sai dung lượng so với thông số gốc của ổ đĩa; ổ cứng không có dấu hiệu hoạt động của motor khi được cấp nguồn; ổ cứng kêu lọc cọc ngay khi được cấp nguồn

Phương pháp đơn giản nhất là thay bo mạch điện tử để sửa lỗi của ổ cứng Bước thứ hai: kiểm tra linh kiện điện cơ khí hoặc điện tử của motor: kiểm tra trạng thái hoạt động của motor khi được cấp nguồn Nếu bật nguồn cấp cho ổ đĩa

mà không có dấu hiệu quay thì nguyên nhân có thể do trục quay bị kẹt hoặc do đầu đọc bị dính vào platter Nguyên nhân gây ra hiện tượng lỗi motor có thể là do bị đoản mạch, tiếp xúc không tốt giữa mạch điện và đầu dây dẫn vào phần điều khiển điện tử bên trong ổ cứng

Các dấu hiệu để nhận biết lỗi motor: vòng quay của motor giảm tốc độ xuống thấp hoặc không có dấu hiệu quay; bị kẹt bởi dung dịch bôi trơn hoặc bạc đệm; motor quay với tiếng động cơ lớn hơn mức bình thường; điểm tiếp xúc giữa motor

và bo mạch điện tử Motor thay thế cũng phải lấy từ ổ đĩa cứng cùng loại có cùng cấu trúc cơ học và điện tử

Bước thứ ba: bề mặt từ tính: các module điều khiển thuộc vùng SA (service area) và dữ liệu của người dùng thuộc vùng DA (data area) đều lưu trên bề mặt đĩa từ tính Nếu bề mặt từ tính bị suy giảm (hiện tượng bad sector) trong DA, thì không thể truy cập vào một vùng đĩa trống, một hay một số file không thể sử dụng được Nếu từ tính bị lão hóa trong vùng SA, thì có thể không truy cập được vào bất cứ vùng nào của ổ đĩa Để giải quyết lỗi này cần có thiết bị chuyên dụng sửa ổ đĩa cứng

Bước thứ tư: tình trạng các modules cần thiết trong quá trình khởi động và tình trạng các đầu đọc: khi ổ đĩa khởi động mà motor không quay, cũng có thể do module kích hoạt motor bị lỗi Khi khởi động motor có quay nhưng sau đó một lát lại ngừng quay hoặc rơi vào trạng thái kêu lọc cọc thì lỗi ở vùng SA có quá nhiều vết bad, như các module bị hỏng, không còn thông tin chính xác để điều khiển ổ đĩa hoạt động bình thường, đầu đọc bị hỏng, dẫn đến không đọc được các thông tin trong module điều khiển Khi module bị hỏng, chỉ có thể sử dụng thiết bị chuyên dụng để sửa chữa Lỗi đầu đọc/ghi thường xảy ra do hỏng IC điều khiển kênh đọc/ghi và chính đầu đọc mất khả năng đọc/ghi hoặc do chất bôi trơn trong motor bị bốc hơi do nhiệt độ cao thoát ra khỏi motor và bám vào đầu đọc Nếu đầu đọc bị lỗi, phải có một ổ đĩa giống hệt để đổi đầu đọc

Bước thứ năm: lỗi firmware: nguyên nhân gây lỗi cho các module trong vùng

SA là do các UBA (Utility Block Addressing) bị lỗi và bản thân các module bị lỗi ngẫu nhiên Để sửa chữa lỗi này cần phải có các module tốt, đã được sao lưu từ các

ổ đĩa tương tự để thông qua thiết bị chuyên dụng thay thế vào bị trí bị lỗi để khôi phục chức năng và cứu dữ liệu

Phục hồi dữ liệu trong ổ đĩa cứng lỗi logical (luận lý)

Công tác phục hồi dữ liệu điện tử ổ cứng máy tính bị lỗi logical chủ yếu sử dụng hai phần mềm Encase của hãng Guidance Software và phần mềm FTK của hãng Access Data để thực hiện:

- Quá trình khôi phục lại trạng thái hoạt động của máy tính khi đối tượng đang sử dụng thì bị thu giữ;

- Quá trình tìm kiếm các dữ liệu được lưu giữ (cố ý hoặc vô ý) trong quá trình sử dụng trên ổ cứng máy tính, USB, thẻ nhớ… bao gồm các dữ liệu đã bị xóa (cố ý hoặc vô ý), bị mã hóa, ghi đè do khách quan và chủ quan của người sử dụng, việc cài đặt và gõ bỏ các phần mềm;

- Quá trình khôi phục, phân tích, tìm kiếm, thu giữ dữ liệu có liên quan để chứng minh hành vi phạm tội;

- Quá trình chuyển hóa chứng cứ và xác lập chứng cứ điện tử làm chứng cứ pháp lý, sử dụng trước tòa

Phục hồi dữ liệu trong ổ cứng chủ yếu là phục hồi những file đã bị xóa, bị ghi đè và giải mã những file bị mã hóa… Phân tích cấu trúc dữ liệu trên ổ cứng, cách thức lưu trữ thông tin của một file trên ổ đĩa với phân vùng FAT, dữ liệu được lưu trữ tại 3 nơi trên ổ đĩa cứng gồm:

Directory Entry chứa thông tin về file gồm tên, dung lượng, thời gian tạo và

số hiệu cluster đầu tiên chứa dữ liệu của file;

FAT chứa số hiệu các cluster được sử dụng cho file và các cluster chứa dữ liệu của file (vùng Allocation)

Phân vùng NTFS: dữ liệu được lưu trữ trong MFT (Master File Table) Entry

và vùng Allocation

Phần mềm khôi phục dữ liệu như Encase và FTK có chức năng tìm lại những thông tin từ 3 nơi này để có thể khôi phục đầy đủ nội dung của một file Nếu thiếu (hoặc mất) một trong những thông tin này, dữ liệu không toàn vẹn hoặc không thể khôi phục Như vậy, khả năng khôi phục dữ liệu thường khá thấp Trường hợp các cluster của Allocation bị hỏng hoặc bị ghi đè, hầu như không thể khôi phục được vì

dữ liệu đã bị xóa và ghi đè bởi dữ liệu mới Về lý thuyết, vẫn có thể lấy lại được dữ liệu cũ với kỹ thuật MFM (Magnetic Force Microscope) Tuy nhiên, kỹ thuật này không được áp dụng rộng rãi trên thực tế vì thiết bị đắt, đòi hỏi chuyên gia giỏi, mất nhiều thời gian và chi phí cao

Khi một file hay thư mục nào đó trong hệ thống bị xóa trên nền tảng hệ điều hành thông dụng là Microsoft Windows, thực chất lệnh này chỉ đánh dấu “đã xóa” trong Directory Entry và trong File Allocation Table - FAT (với phân vùng định dạng FAT/FAT32) hoặc đánh dấu “xóa” trong Master File Table – MFT Entry (với phân vùng định dạng NTFS) Lúc này, các cluster chứa dữ liệu của file xem như trống và được tính là dung lượng chưa dùng đến của ổ cứng mặc dù dữ liệu vẫn tồn tại Khi dữ liệu mới được ghi vào trùng vị trí, lúc này dữ liệu cũ mới thực sự bị xóa

đi và ghi đè bằng dữ liệu mới Nếu không sử dụng phần mềm phục hồi dữ liệu, sẽ không thể “nhìn thấy” được những dữ liệu đã bị đánh dấu “xóa” Có nhiều phần mềm thực hiện việc phục hồi dữ liệu Tuy nhiên, khả năng phục hồi phụ thuộc rất nhiều vào phần mềm phục hồi, cấu trúc dữ liệu trên ổ cứng và những thao tác ảnh

hưởng đến vùng dữ liệu Do vậy, việc phục hồi dữ liệu thường không bao giờ đạt được 100%

Một số loại file chính trong ổ cứng máy tính cần được khôi phục là: file hệ thống, file *.doc, file email, file ảnh, file tạm, file Internet, file nhạc và video, lịch các loại; các loại file dấu như: file mã hóa, file dấu tên, file được bảo vệ bằng mật khẩu, file ẩn, file nén, file viết dưới hình thức tốc ký

Thông tin có thể được ghi vào các file dấu này để tránh bị phát hiện Ngoài những nội dung thông tin ghi trong các file, kèm theo còn có các thông tin có thể khai thác phục vụ điều tra như ngày giờ tạo file, sửa chữa, truy cập, xóa

Các dạng khôi phục dữ liệu:

- Khôi phục file bị xóa: việc xóa file là đánh dấu xóa trong Directory Entry

và những thông tin liên quan trong bảng FAT hoặc MFT Entry Về lý thuyết, khả năng khôi phục đầy đủ file này là cao Tuy nhiên, do một số nguyên nhân nên kết quả không được như mong đợi vì: sau khi xóa, đối tượng đã thực hiện một số thao tác ghi đè lên dữ liệu hoặc cài lại hệ điều hành, format lại ổ đĩa, ghi đè dữ liệu vào các cluster được đánh dấu xóa…

- Phân vùng bị xóa (hoặc tạo lại) nhưng chưa định dạng (format): dữ liệu đều

có thể khôi phục được trong trường hợp này vì FAT và MFT không bị ảnh hưởng khi người dùng xóa và tạo mới phân vùng

- Phân vùng bị format: với phân vùng FAT, việc định dạng tuy xóa bảng FAT, boot record và thư mục gốc (root directory) nhưng partition table và dữ liệu trong allocation vẫn còn Những file có dung lượng nhỏ hơn kích thước một cluster (32KB, mặc định của FAT32 hoặc theo tùy chọn khi định dạng), file được khôi phục hoàn toàn vì file này không cần đến thông tin trong bảng FAT Với những file

có dung lượng lớn, nhiều cluster liên tiếp nhau, sẽ bị phân mảnh khi có sự thay đổi nội dung theo thời gian Việc tìm và ráp các cluster có liên quan với nhau là việc khó khăn, nhất là với những file có dung lượng lớn và hay thay đổi Một số phần mềm phục hồi dữ liệu chuyên dùng có khả năng khôi phục mà không cần thông tin

từ bảng FAT Tuy nhiên, nội dung những tập tin sau khi tìm lại sẽ không đầy đủ hoặc không thể đọc được Vì vậy, cần đến một phần mềm có khả năng trích xuất những nội dung còn đọc được từ những tập tin này Với phân vùng NTFS, việc định dạng sẽ tạo MFT mới, tuy nhiên kết quả khôi phục sẽ tốt hơn phân vùng FAT vì NTFS không sử dụng bảng FAT để xác định các cluster chứa dữ liệu của tập tin

- Phân vùng bị format và cài đè hệ điều hành mới hoặc sử dụng Ghost: directory entry (FAT) và MFT (NTFS) bị xóa trong các trường hợp này Giả sử có 20GB dữ liệu lưu trữ trên phân vùng 40GB, phân vùng này bị format và ghi đè 10GB dữ liệu mới Như vậy, không thể khôi phục dữ liệu đã bị ghi đè mà chỉ có thể khôi phục dữ liệu từ 10GB trở về sau

Một số phần mềm cho phép tạo đĩa khởi động và làm việc trong chế độ DOS, nhưng việc chọn dữ liệu cần khôi phục sẽ khó khăn hơn Vì vậy, cần cài đặt phần mềm khôi phục dữ liệu trên một hệ thống khác và gắn ổ đĩa cần khôi phục vào khi đã sẵn sàng

MS-Khả năng khôi phục tùy thuộc vào từng loại dữ liệu Những file hình ảnh, khả năng khôi phục là 90% Nếu là cơ sở dữ liệu, bảng biểu… dù lấy lại được 90% nhưng khó có thể xem được vì cấu trúc cơ sở dữ liệu thường có sự liên kết, phụ thuộc lẫn nhau

Một ổ đĩa cứng bị hỏng vật lý như bo mạch điều khiển, đầu đọc, motor, đĩa từ… phải tạo bản sao ảnh đĩa cứng với Norton Ghost, Drive Image hoặc tính năng tương tự của một số phần mềm phục hồi dữ liệu để sử dụng image phục hồi bằng phần mềm Encase, FTK

Phục hồi dữ liệu điện tử trong điện thoại di động

- Phục hồi, phân tích dữ liệu của SIM card: Thẻ SIM là một loại thẻ thông minh, tích hợp một vi xử lý và có bộ nhớ lưu dữ liệu không cần nguồn điện Mục đích của bộ vi xử lý là hỗ trợ truy cập vật lý và logic, đồng thời đảm bảo an toàn hệ thống Để truy cập vào phần mềm logic của SIM, cần sử dụng bộ đọc Dữ liệu của SIM được thiết kế thành một dãy các files chứa dữ liệu nhị phân, có thể đọc được khi có mã PIN hoặc PUK Có khoảng 29 files chứa trong bộ nhớ của SIM nhưng chỉ

- Text messages: SMS (Short Message Service) thông qua trung tâm tin nhắn (SMS Centre) của nhà mạng SIM thường có 12 slots để lưu SMS Người dùng có thể tự cấu hình phần mềm để SMS được lưu trên SIM hay bộ nhớ trong SMS bị xóa có thể phục hồi (trừ khi slot bị ghi đè bởi SMS mới) Khi phục hồi SMS, có thể

nhận được các thông tin: số ISDN (Integrated Services Digital Network) của nhà mạng, số ISDN của người gửi (hoặc người nhận tùy theo cấu hình của SMS), thời gian khi trung tâm tin nhắn nhận được SMS, số điện thoại nhắn tin, nội dung SMS

- Phục hồi dữ liệu ở bộ nhớ trong của điện thoại di động: điện thoại di động hiện nay đều sử dụng bộ nhớ flash để lưu dữ liệu và phần mềm hệ thống, vì vậy để phục hồi dữ liệu lưu ở bộ nhớ trong, phải sử dụng phần mềm chuyên dụng để tạo image và phân tích offline Những dữ liệu lưu ở bộ nhớ trong điện thoại di động gồm: số IMEI, số gọi ngắn, SMS, settings, âm thanh, hình ảnh, video, các file máy tính, log cuộc gọi đi/đến, phần mềm hệ điều hành, lịch, GPRS, WAP và Internet settings

Phục hồi dữ liệu điện tử trong video camera

Hiện nay để giám sát, theo dõi các cơ quan an ninh, trường học, bệnh viện, nhà ga, sân bay, ngân hàng v.v… người ta thường sử dụng công nghệ CCTV Điểm khác biệt chủ yếu của khôi phục chứng cứ qua video và hệ thống CCTV với phục hồi dữ liệu máy tính là chức năng ưu tiên trích trình tự hơn là toàn bộ dữ liệu Các bước khôi phục video từ hệ thống CCTV gồm: chọn loại dữ liệu để tải về; Chọn phương pháp thích hợp nhất với dung lượng dữ liệu yêu cầu; Đưa ra bản sao về trình tự video

1.4 Nguồn chứng cứ điện tử và nguồn chứng cứ truyền thống

Nguồn chứng cứ truyền thống là các nguồn chứng cứ đã được các nhà điều tra tội phạm trên thế giới thống nhất và công nhận từ xưa đến nay Cụ thể, theo BLTTHS năm 2015 thì đó là: Vật chứng; Lời khai, lời trình bày; Kết luận giám định, định giá tài sản; Biên bản trong hoạt động khởi tố, điều tra, truy tố, xét xử, thi hành án; Kết quả thực hiện ủy thác tư pháp và hợp tác quốc tế khác; Các tài liệu, đồ vật khác

Trong triết học Mác-Lênin, nguyên lý về mối quan hệ phổ biến đã nêu rõ: các sự vật hiện tượng trong thế giới chỉ biểu hiện sự tồn tại của mình thông qua sự vận động, sự tác động qua lại lẫn nhau Bản chất tính quy luật của sự vật, hiện tượng cũng chỉ bộc lộ thông qua sự tác động qua lại giữa các mặt của bản thân chúng hay sự tác động của chúng đối với sự vật, hiện tượng khác Trong khoa học hình sự, nguyên lý trao đổi Locard21 (Locard’s exchange principle) xác định: sự tương tác giữa hai đối tượng sẽ gây ra sự trao đổi Nguyên lý này ứng dụng cho bất

21

https://en.wikipedia.org/wiki/Locard%27s_exchange_principle

cứ một tương tác nào tại hiện trường vụ án, bao gồm giữa bị can và nạn nhân, giữa đối tượng với phương tiện gây án, và giữa con người với hiện trường vụ án Tóm lại, sẽ luôn luôn có dấu vết của sự tương tác (mặc dù trong một vài trường hợp dấu vết này không được phát hiện một cách dễ dàng) Sự trao đổi này xảy ra ở cả hiện trường tội phạm truyền thống (physical crime scene) và kỹ thuật số (digital crime scene) được diễn giải ở sơ đồ sau:

Sơ đồ 1: Sự chuyển hóa chứng cứ 22 trong hiện trường vụ án truyền thống và vụ án có chứng cứ điện tử giúp các nhà điều tra chứng minh mối liên hệ giữa nạn nhân, thủ phạm và hiện trường vụ án

Ở thế giới thực, thủ phạm có thể vô tình để lại dấu vân tay, hay sợi tóc và dính bụi, tơ sợi ở hiện trường vụ án Ví dụ, trong một vụ giết người, thủ phạm có thể cố tình đánh lạc hướng điều tra bằng cách tạo thư tuyệt mệnh giả trong máy tính nạn nhân, và quá trình này đã để lại dấu vân tay của hắn trên bàn phím máy tính Với chứng cứ như vậy, điều tra viên có thể chứng minh rằng bị cáo đã ở tại hiện trường Còn chứng cứ điện tử như tin nhắn, email sẽ chứng minh mối quan hệ giữa giữa đối tượng và nạn nhân

Trong những vụ xâm nhập máy tính trái phép, kẻ tấn công sẽ để lại nhiều dấu vết trong môi trường máy tính như các tập tin hệ thống, registry, nhật ký hệ thống… Hơn nữa, kẻ tấn công có thể thu thập các thông tin, dữ liệu từ máy tính ở hiện trường về máy tính của hắn như tên đăng nhập, mật khẩu, cơ sở dữ liệu Những chứng cứ như vậy sẽ hữu ích trong việc xâu chuỗi mối liên quan giữa đối tượng và

Dữ liệu điện tử là một loại nguồn chứng cứ mới xuất hiện trong thời đại phát triển của công nghệ thông tin, viễn thông, nó có những đặc điểm khác với các nguồn chứng cứ truyền thống Về hình thức tồn tại, NCCĐT hình thành tự động dưới dạng tín hiệu số trong máy tính, điện thoại và các thiết bị điện tử; thời gian tồn tại có giới hạn, phụ thuộc vào thiết bị và phần mềm lưu trữ; dễ bị tác động, xóa hoặc thay đổi trong quá trình lưu trữ, truyền tải, sao chép… bởi các tác nhân như virus, dung lượng bộ nhớ, lệnh lưu trữ của phần mềm, phương pháp truy cập, mở, mã hóa, truyền tải trên mạng, sao lưu, cố ý hoặc vô ý sửa chữa, xóa… Nguồn chứng cứ truyền thống tồn tại dưới dạng có thể nhìn, sờ, cảm nhận thấy bằng giác quan con người Do vậy, để chứng minh trước tòa án, dữ liệu điện tử phải được chuyển sang dạng có thể đọc, xem được

Phạm vi thu thập chứng cứ khi tội phạm xảy ra có thể khác nhau Đối với một

vụ giết người, điều tra viên chủ trì khám nghiệm sẽ quyết định truy tìm, thu giữ dấu vết, vật chứng liên quan đến vụ án như con dao dính máu, dấu vết đường vân, dấu vết lông tóc ngay tại hiện trường, đồng thời lấy lời khai người nhà, hàng xóm nạn nhân Việc làm này có phạm vi rõ ràng, cụ thể và dễ nhận biết đối với điều tra viên khi nhận định về tính liên quan của chứng cứ đối với vụ án Nhưng với một vụ đột nhập trái phép vào mạng máy tính ngân hàng để đánh cắp tiền trong tài khoản, lực lượng tiến hành điều tra phải lần ngược lại dấu vết của tội phạm tồn tại trên máy chủ của ngân hàng, các máy chủ trung gian (mà tin tặc dùng để che dấu nguồn gốc truy cập) và máy tính nghi của tội phạm dùng để tấn công Internet là mạng kết nối toàn cầu, các máy chủ trung gian, máy tính của tin tặc có thể ở bất cứ đâu, thậm chí vượt ra khỏi biên giới của một quốc gia, do đó phạm vi thu thập NCCĐT là rất rộng lớn

Tính quốc tế là đặc điểm nổi bật của tội phạm công nghệ cao, thủ phạm gây

án có thể ngồi một chỗ tấn công vào bất kỳ nơi nào trên thế giới mà không cần xuất đầu lộ diện, chỉ để lại rất ít dấu vết và thời gian gây án thường rất ngắn khiến cơ quan điều tra khó phát hiện, thu thập nhưng lại dễ dàng tiêu hủy Chính vì vậy nên tính hợp tác quốc tế của NCCĐT cũng đòi hỏi cao hơn rất nhiều so với nguồn chứng cứ của các tội phạm truyền thống Việt Nam đã chủ động hợp tác quốc tế trong đấu tranh phòng chống tội phạm công nghệ cao Sự phối hợp này sẽ giúp các

cơ quan điều tra thuận lợi trong công tác thu thập chứng cứ, dẫn độ tội phạm trong lĩnh vực công nghệ thông tin, loại tội phạm đang ngày càng phổ biến hiện nay

Chứng cứ truyền thống phải đảm bảo 03 thuộc tính: khách quan, liên quan và hợp pháp Chứng cứ điện tử ngoài 03 thuộc tính trên còn phải đảm bảo tính toàn

vẹn Toàn vẹn dữ liệu là việc duy trì và bảo đảm tính chính xác và nhất quán của dữ liệu trên toàn bộ vòng đời của nó và là một khía cạnh quan trọng đối với việc thiết

kế, thực hiện và sử dụng bất kỳ hệ thống lưu trữ, xử lý và truy xuất dữ liệu.23

Kết luận Chương 1

Trên cơ sở phân tích các quan điểm khác nhau về chứng cứ điện tử và NCCĐT, tại Chương 1 của luận văn, tác giả đã xây dựng khái niệm khoa học về chứng cứ điện tử Theo đó, NCCĐT là hình thức, nơi chứa đựng những thông tin được rút ra, là dữ liệu điện tử, ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự được tạo ra, lưu trữ, truyền đi hoặc nhận được bởi phương tiện điện

tử có liên quan đến vụ án

Ngoài việc xây dựng khái niệm khoa học về NCCĐT, tại chương này tác giả còn phân tích các loại NCCĐT, đặc điểm của NCCĐT và mối quan hệ giữa NCCĐT với nguồn chứng cứ thông thường khác

23

https://en.wikipedia.org/wiki/Data_integrity

CHƯƠNG 2 PHÁP LUẬT TỐ TỤNG HÌNH SỰ VÀ GIẢI PHÁP BẢO ĐẢM

ÁP DỤNG ĐÚNG QUY ĐỊNH CỦA PHÁP LUẬT VỀ NGUỒN

CHỨNG CỨ ĐIỆN TỬ 2.1 Pháp luật tố tụng hình sự Việt Nam về nguồn chứng cứ điện tử

2.1.1 Quy định của pháp luật tố tụng hình sự về nguồn chứng cứ điện tử

Mặc dù NCCĐT không được quy định trong BLTTHS năm 2003 nhưng để

áp dụng đúng và thống nhất các quy định của BLHS năm 1999 (sửa đổi, bổ sung năm 2009) đối với một số tội phạm trong lĩnh vực công nghệ thông tin và viễn thông, Bộ Công an, Bộ Quốc phòng, Bộ Tư pháp, Bộ Thông tin và Truyền thông, Viện kiểm sát nhân dân tối cao và Tòa án nhân dân tối cao ban hành Thông tư liên tịch Số 10/2012/TTLT-BCA-BQP-BTP-BTT&TT-VKSNDTC-TANDTC, ngày 10 tháng 9 năm 2012, hướng dẫn áp dụng quy định của BLHS về một số tội phạm trong lĩnh vực công nghệ thông tin và viễn thông Bên cạnh việc giải thích từ ngữ, hướng dẫn một số tình tiết là yếu tố định tội, định khung hình phạt, Thông tư còn quy định trình tự, thủ tục thu thập dữ liệu điện tử tại Điều 5

Điều 5 Trình tự, thủ tục thu thập dữ liệu điện tử

1 Dữ liệu điện tử là thông tin chứa trong phương tiện điện tử Dữ liệu điện

tử có thể coi là chứng cứ Để bảo đảm giá trị chứng cứ, cần thực hiện đúng trình tự, thủ tục tố tụng hình sự đối với việc khám xét, thu giữ, tạm giữ, bảo quản vật chứng

có lưu dữ liệu điện tử như: Ổ cứng máy tính, bộ nhớ trong của điện thoại di động, máy ảnh, máy ghi hình, máy fax, máy ghi âm, máy đọc thẻ, thẻ từ, thẻ chíp, thẻ nhớ, USB, đĩa CD, đĩa VCD, đĩa DVD và các loại phương tiện điện tử khác Khi thu giữ phương tiện điện tử cần chú ý:

a) Đối với máy tính: Không được tắt (shutdown) theo trình tự mà ngắt nguồn cung cấp điện trực tiếp cho thân máy (CPU) hoặc máy tính (đối với máy tính xách tay);

b) Đối với điện thoại di động: Tắt máy, thu giữ cả điện thoại, thẻ nhớ, thẻ sim, bộ sạc điện thoại (nếu có);

c) Đối với phương tiện điện tử khác: Tắt thiết bị, thu giữ cả phụ kiện đi kèm (nếu có)

2 Khi bàn giao cho chuyên gia phục hồi dữ liệu điện tử, phải làm thủ tục mở niêm phong và niêm phong theo quy định của pháp luật Để bảo đảm tính nguyên

trạng và toàn vẹn của chứng cứ lưu trong vật chứng, việc sao chép dữ liệu để phục hồi, phân tích phải được thực hiện bằng thiết bị “chỉ đọc” (Read only), chỉ thực hiện trên bản sao, không được ghi đè, sửa chữa dữ liệu Để chuyển hóa thành chứng cứ pháp lý, dữ liệu điện tử phải được chuyển sang dạng có thể đọc được, nhìn được, nghe được; phải lập biên bản về nội dung dữ liệu điện tử đã phục hồi, phân tích; kèm theo lời khai, xác nhận của người phạm tội, người làm chứng về những thông tin đó

Như vậy, Điều 5 của Thông tư trên đã chứa những nội dung cơ bản và đầy đủ

về trình tự thủ tục đối với chứng cứ điện tử từ khâu phát hiện, thu thập đến giám định để đảm bảo giá trị chứng minh của chứng cứ, tức dữ liệu điện tử phải đảm bảo đầy đủ các thuộc tính khách quan, liên quan, hợp pháp và toàn vẹn

Hiện nay, dữ liệu điện tử đã được pháp luật công nhận là một trong những nguồn chứng cứ chứng minh hành vi phạm tội Theo đó, dữ liệu điện tử là ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự được tạo ra, lưu trữ, truyền

đi hoặc nhận được bởi phương tiện điện tử.24

Xuất phát từ mục đích chứng minh của chứng cứ, dữ liệu điện tử gồm 2 loại:

- Dữ liệu điện tử do máy tính tự động tạo ra như: cookies25, URL26, các loại nhật ký máy tính (như email logs, webserver logs, firewallserver logs…), IP, thông tin truy cập, website, mã độc…, chứng minh về nguồn gốc truy cập, tấn công vào website, cơ sở dữ liệu, thư điện tử, tài khoản, dấu vết hoạt động của thủ phạm (cài trojan, keylogger, sniffer nghe lén, lấy cắp dữ liệu…)

- Dữ liệu điện tử do người sử dụng tạo ra như văn bản, bảng biểu, hình ảnh, thông tin… Trong file dữ liệu còn có thể tìm được siêu dữ liệu27

(thông tin về cá nhân, tổ chức liên quan đến dữ liệu), hàm băm MD5 (hàm hash có giá trị như một khóa để phân biệt các khối dữ liệu), có giá trị chứng minh về người và máy tính đã tạo ra dữ liệu, nguồn gốc dữ liệu

Trong quá trình điều tra, dữ liệu điện tử có thể được thu trên đường truyền, trên mạng (lưu trong server của nhà cung cấp dịch vụ, website, cơ sở dữ liệu ), trong máy tính, thiết bị kỹ thuật số của đối tượng Để thu thập, phục hồi, giải mã, phân tích và giám định những dấu vết điện tử (tồn tại dưới dạng tín hiệu điện tử trên băng từ, đĩa từ, chíp điện tử), đã lưu, bị xóa, bị ghi đè, tồn tại dưới dạng ẩn, đã mã hóa, cần có chuyên gia sử dụng thiết bị kỹ thuật, công nghệ và phần mềm phù hợp thực hiện chuyển dữ liệu (một cách khách quan) sang dạng có thể đọc được (in thành tài liệu), nghe thấy được (ghi âm), nhìn thấy được (hình ảnh, video) để làm chứng cứ

Hành lang pháp lý cho các giao dịch điện tử trong hoạt động của các cơ quan nhà nước, trong lĩnh vực dân sự, kinh doanh, thương mại đã được Luật GDĐT quy định, trong đó có qui định về điều kiện để dữ liệu điện tử hình thành trong hoạt động giao dịch điện tử được công nhận có giá trị pháp lý như chứng từ, hồ sơ

“truyền thống”, khi đáp ứng được những yêu cầu của pháp luật Tương tự như giá trị của dữ liệu điện tử trong Luật GDĐT, điều kiện để dữ liệu điện tử có giá trị làm chứng cứ trong hoạt động điều tra, truy tố và xét xử cũng phải đảm bảo yêu cầu tương tự (giá trị chứng cứ phụ thuộc vào độ tin cậy của cách thức khởi tạo, lưu trữ hoặc truyền gửi thông điệp dữ liệu; cách thức bảo đảm và duy trì tính toàn vẹn của thông điệp dữ liệu; cách thức xác định người khởi tạo và các yếu tố phù hợp khác)

Như vậy, trên cơ sở qui định của Luật GDĐT và xuất phát từ công nghệ của quá trình hình thành, truyền tải và lưu trữ, dữ liệu điện tử có thể được coi là một loại nguồn chứng cứ như Điều 87 của BLTTHS 2015 và cụ thể hóa tại Điều 99 BLTTHS năm 2015 với ba nội dung Cụ thể là:

Thứ nhất, dữ liệu điện tử là ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh

hoặc dạng tương tự được tạo ra, lưu trữ, truyền đi hoặc nhận được bởi phương tiện điện tử

Thứ hai, dữ liệu điện tử được thu thập từ phương tiện điện tử, mạng máy

tính, mạng viễn thông, trên đường truyền và các nguồn điện tử khác

Thứ ba, giá trị chứng cứ của dữ liệu điện tử được xác định căn cứ vào cách

thức khởi tạo, lưu trữ hoặc truyền gửi; cách thức bảo đảm và duy trì tính toàn vẹn của dữ liệu điện tử; cách thức xác định người khởi tạo và các yếu tố phù hợp khác

Về thu thập chứng cứ điện tử, cơ quan có thẩm quyền tiến hành tố tụng có quyền tiến hành hoạt động thu thập và yêu cầu cơ quan, tổ chức, cá nhân cung cấp; người bào chữa có quyền đề nghị cơ quan, tổ chức, cá nhân cung cấp tài liệu, đồ

vật, dữ liệu điện tử liên quan đến việc bào chữa; những người tham gia tố tụng khác, cơ quan, tổ chức hoặc bất cứ cá nhân nào đều có thể đưa ra dữ liệu điện tử và trình bày những vấn đề có liên quan đến vụ án

Khi tiếp nhận dữ liệu điện tử liên quan đến vụ án do những người bào chữa, những người tham gia tố tụng khác, cơ quan, tổ chức hoặc bất cứ cá nhân nào, cơ quan có thẩm quyền tiến hành tố tụng phải lập biên bản giao nhận và kiểm tra, đánh giá theo quy định

Về cách thức và trình tự thu thập, thu giữ phương tiện điện tử, dữ liệu điện

tử, BLTTHS 2015 đã quy định tại Điều 107 và Điều 196 Phương tiện điện tử phải được thu giữ kịp thời, đầy đủ, mô tả đúng thực trạng và niêm phong ngay sau khi thu giữ Việc niêm phong, mở niêm phong được tiến hành theo quy định của pháp luật Trường hợp không thể thu giữ phương tiện lưu trữ dữ liệu điện tử thì cơ quan

có thẩm quyền tiến hành tố tụng sao lưu dữ liệu điện tử đó vào phương tiện điện tử

và bảo quản như đối với vật chứng, đồng thời yêu cầu cơ quan, tổ chức, cá nhân liên quan lưu trữ, bảo toàn nguyên vẹn dữ liệu điện tử mà cơ quan có thẩm quyền tiến hành tố tụng đã sao lưu và cơ quan, tổ chức, cá nhân này phải chịu trách nhiệm trước pháp luật Khi thu giữ các phương tiện điện tử có thể thu thiết bị ngoại vi kèm theo và các tài liệu có liên quan

Khi thu thập, chặn thu, sao lưu dữ liệu điện tử từ phương tiện điện tử, mạng máy tính, mạng viễn thông hoặc trên đường truyền, cơ quan có thẩm quyền tiến hành tố tụng tiến hành phải lập biên bản và đưa vào hồ sơ vụ án

Khi nhận được quyết định trưng cầu giám định của cơ quan có thẩm quyền tiến hành tố tụng thì cá nhân, tổ chức có trách nhiệm thực hiện phục hồi, tìm kiếm, giám định dữ liệu điện tử

Việc phục hồi, tìm kiếm, giám định dữ liệu điện tử chỉ được thực hiện trên bản sao; kết quả phục hồi, tìm kiếm, giám định phải chuyển sang dạng có thể đọc, nghe hoặc nhìn được Việc này phải sử dụng phương pháp, phần mềm, công cụ đã được thế giới công nhận về tính xác thực, chính xác

Phương tiện điện tử, dữ liệu điện tử được bảo quản như vật chứng Khi xuất trình chứng cứ là dữ liệu điện tử phải kèm theo phương tiện lưu trữ dữ liệu hoặc bản sao dữ liệu điện tử

Như vậy khi thu giữ phương tiện điện tử, dữ liệu điện tử, người có thẩm quyền phải tiến hành lập biên bản Trong biên bản phải thể hiện thời gian, địa điểm, thành phần tham gia, các đồ vật, phương tiện và tình trạng hiện tại của các đồ vật

phương tiện đó như nhãn hiệu, số sê-ri, dung lượng và một số đặc điểm riêng khác

BLTTHS 2015 đã quy định đầy đủ, chi tiết về các vấn đề liên quan đến dữ liệu điện tử như đã đưa ra định nghĩa dữ liệu điện tử, các loại phương tiện chứa dữ liệu điện tử nói chung; phương pháp, trình tự, cách thức thu thập, bảo quản, giám định, phục hồi dữ liệu điện tử Những quy định này sẽ là nền tảng pháp luật quan trọng để cơ quan điều tra đấu tranh với tội phạm công nghệ cao, cũng như luật sư, người bào chữa và các bên liên quan thực hiện quyền và nghĩa vụ của mình trong một vụ án một cách thuận lợi

Khoản 2, Điều 14 Luật Giao dịch điện tử 2005 quy định: “Giá trị chứng cứ

của thông điệp dữ liệu được xác định căn cứ vào độ tin cậy của cách thức khởi tạo, lưu trữ hoặc truyền gửi thông điệp dữ liệu; cách thức bảo đảm và duy trì tính toàn vẹn của thông điệp dữ liệu; cách thức xác định người khởi tạo và các yếu tố phù hợp khác.”

Khoản 3, Điều 99 BLTTHS 2015 quy định: “Giá trị chứng cứ của dữ liệu

điện tử được xác định căn cứ vào cách thức khởi tạo, lưu trữ hoặc truyền gửi dữ liệu điện tử; cách thức bảo đảm và duy trì tính toàn vẹn của dữ liệu điện tử; cách thức xác định người khởi tạo và các yếu tố phù hợp khác.”

Như vậy, BLTTHS 2015 đã kế thừa một phần nội dung của Luật Giao dịch điện tử 2005 BLTTHS 2015 thay thế cụm từ “thông điệp dữ liệu” thành “dữ liệu điện tử” và bỏ cụm từ “độ tin cậy” Ở đây, chúng tôi đánh giá việc bỏ cụm từ “độ tin cậy” là một thiếu sót lớn vì nếu cách thức khởi tạo, lưu trữ hoặc truyền gửi