108 警察特考三等 警察資訊管理人員 電腦犯罪偵查 考古題詳解

核心觀念

本題要比較傳統電腦鑑識、物聯網（IoT）鑑識與穿戴式系統鑑識的範圍差異，並說明設備分散、資料來源多元、裝置資源受限及證據保全困難等特性如何影響偵查。

物聯網鑑識不能只檢查單一終端設備。完整證據可能分散在感測器、閘道器、手機 App、雲端平台、網路服務及其他連結裝置；穿戴式系統則常透過手機或雲端同步資料，且會持續記錄使用者的活動與生理狀態。

法規說明：​本題未要求特定法條；涉及搜索、扣押、個人資料或跨境調取時，應依相關程序法令處理。以下依命題當年（民國 108 年）的鑑識與偵查概念作答。

解題方法

可用「證據在哪裡、如何取得、如何保全、如何解讀、如何證明來源」作為答題架構。第一小題以物聯網整體架構為主，第二小題則聚焦穿戴裝置特性，避免兩題只重複列出「資料分散」等一般答案。

（一）物聯網物證鑑識應注意的新課題

1. 證據分散於多層設備與服務 證據可能同時存在感測器、閘道器、控制器、手機 App、雲端服務及第三方平台。偵查人員須先辨識設備間的關聯與資料流向，再規劃搜索、扣押或調取範圍，以免只取得單一設備而漏失關鍵資料。

2. 資料揮發性高，取得時效有限 部分裝置記憶體容量小、運作期間持續覆寫紀錄，或斷電後即失去暫存資料；雲端紀錄也可能依服務商政策定期刪除。應迅速辨認即時資料與保存期限，妥善記錄設備狀態，並採取適當的即時蒐證及資料保存措施。

3. 設備異質且缺乏一致鑑識標準 IoT 設備可能使用不同作業系統、通訊協定、檔案格式與廠商專屬介面，部分設備也沒有一般電腦常見的鑑識工具支援。鑑識時須先確認型號、韌體版本、通訊方式及資料格式，並選擇不破壞原始資料的取得方法。

4. 網路與雲端資料牽涉跨機關、跨境及第三方 設備資料可能由服務提供者代管，伺服器所在位置亦可能與使用者所在地不同。應釐清資料控制者、保管者及資料所在地，依法定程序提出保存或調取要求，並保留服務商回覆及資料交付紀錄。

5. 時間同步與事件關聯不易 各設備可能使用不同時區、時鐘精度或時間同步來源，紀錄時間未必一致。分析時應確認時區、設備時間偏差及同步狀況，再將不同來源的事件建立時間軸，避免錯誤判斷事件先後。

6. 需維護證據完整性與可追溯性 蒐證時應記錄設備識別資訊、連線狀態、操作步驟、取得工具及資料雜湊值；

核心觀念

本題考查警察機關在犯罪偵查中取得及使用個人資料時，如何兼顧偵查需求與個人資料保護。作答要分清三件事：資料從哪裡來、蒐集是否合法、取得後如何合法利用。

個資法所稱「個人資料」，包括姓名、身分證統一編號、特徵、指紋、家庭、職業、聯絡方式、財務情況、社會活動，以及其他可直接或間接識別個人的資料；「蒐集」是以任何方式取得個人資料，「處理」是為建立或利用個人資料檔案而進行記錄、儲存、檢索、連結等作業，「利用」則是將資料作處理以外的使用。

法規時點：以下以命題當年（民國 108 年）有效法規為準。​當時一般個人資料的蒐集、處理及利用，主要依個人資料保護法第 5、8、9、15、16、18 條；警察依警察職權蒐集及利用資料，另須留意警察職權行使法第 16 至 18 條。現行個資法已有後續修正，作答仍依命題當年法規說明。

解題方法

先按資料來源列出五類以上，再按「一般個資／特種個資」區分蒐集規範，最後用犯罪偵查的具體工作說明資料用途。應特別指出：資料來源存在，不代表警察可以不受限制地取得或使用；每次蒐集與利用都須有法定職務依據、符合必要範圍及目的限制。

（一）犯罪偵查時個人資料的來源（5 分）

可列舉下列來源，答滿五項並簡要舉例即可：

1. 當事人或關係人提供：被害人、告訴人、證人、嫌疑人陳述或提出的身分與聯絡資料。
2. 警察機關自有資料：報案紀錄、受理案件資料、過往案件紀錄及依法建置的相關資料檔案。
3. 其他政府機關資料：戶政、監理、移民、稅務等機關依法保有的資料；跨機關提供仍須有法令依據並符合目的及必要範圍。
4. 金融及交易資料：銀行帳戶、匯款、信用卡或其他交易紀錄，依相關法律程序取得。
5. 電信及網路服務資料：門號申辦資料、通聯紀錄、網路連線紀錄或平台會員資料，依個別法令及程序取得。
6. 監視及辨識資料：監視器影像、交通影像、車牌辨識資料，可能用來辨識人車及追蹤行蹤。
7. 數位裝置及電子紀錄：依法取得的手機、電腦、儲存媒體、電子郵件或社群平台內容。
8. 公開資料及民眾提供資料：公開網站、社群貼文、媒體報導、檢舉或線索資料；公開可得不代表可以任意擴大利用。

（二）我國相關法令對個人資料蒐集的規範（10 分）

1. 一般個人資料：須有特定目的及合法依據

依個資法第 5 條，蒐集、處理或利用個人資料，應以誠實信用方法為之，不得逾越特定目的的必要範圍，並應與蒐集目的有正當合理關聯。

警察機關屬公務機關。依個資法第 15 條，公務機關蒐集或處理一般個人資料，應有特定目的，並符合下列情形之一：

• 執行法定職務必要範圍內。
• 經當事人同意。
• 對當事人權益無侵害。

犯罪偵查通常以執行法定職務為依據，但仍須證明資料與案件偵查有關，且取得的資料種類及範圍有必要；不能只因資料「有用」就無限制蒐集。

2. 特種個人資料：原則禁止，須符合例外要件

依個資法第 6 條，病歷、醫療、基因、性生活、健康檢查及犯罪前科等特種個人資料，原則上不得蒐集、處理或利用；但符合法定例外時，才得為之。與犯罪偵查較相關的例外包括：

• 法律明文規定。
• 公務機關執行法定職務的必要範圍內，且事前或事後採取適當安全維護措施。
• 為協助公務機關執行法定職務的必要範圍內，且具備適當安全維護措施。
• 資料已由當事人自行公開或已合法公開。

核心觀念

本題考查記憶體鑑識的定義、證據價值、與硬碟鑑識的差異，以及從取得記憶體映像到分析結果的基本流程。記憶體鑑識是對電腦的揮發性記憶體（通常指 RAM）進行擷取、保存、檢驗與分析，以取得系統當下或近期執行活動所留下的數位證據。

記憶體內容會隨系統運作持續變動，關機或重新啟動後通常即消失，因此屬於揮發性證據。偵查時應先保存現場狀態，並以可重現、可驗證的方式擷取與分析。

解題方法

四小題可依序掌握「定義、必要性、特殊性、操作流程」：

• 定義：說明鑑識對象、處理方式與目的。
• 必要性：指出 RAM 能補足硬碟未保存或不易取得的即時資訊。
• 特殊性：以揮發性、即時性、取得時會改變現場，以及分析方式不同於磁碟資料為核心。
• 操作流程：依證據處理順序，說明現場記錄、擷取、保存、驗證、分析與報告。

（一）何謂記憶體鑑識？（6 分）

記憶體鑑識（Memory Forensics）是針對電腦的揮發性記憶體，擷取其內容並進行檢驗、分析與解釋的數位鑑識工作。其目的在從記憶體映像中重建系統執行狀態，取得與案件相關的證據，例如：

• 正在執行或曾執行的程序與執行緒。
• 登入使用者、網路連線、開啟的檔案與載入的模組。
• 命令列、剪貼簿、密碼或加密金鑰等記憶體中的敏感資料。
• 惡意程式、注入程式碼、隱藏程序或其他未必會寫入硬碟的活動痕跡。

鑑識人員通常先將實體記憶體內容擷取為記憶體映像，再以鑑識工具分析。分析應保留原始映像、記錄工具與操作資訊，並以雜湊值等方式確認證據未遭未授權變更。

（二）記憶體鑑識之必要性（6 分）

1. 保存即將消失的證據 RAM 為揮發性記憶體；關機、重新啟動或斷電後，內容通常會消失。若未及時擷取，程序、連線與暫存資料等證據便可能無法復原。

2. 還原系統當下狀態 記憶體可呈現擷取當時正在執行的程序、登入狀態、網路連線及載入模組，補足硬碟資料只能反映已寫入儲存媒體內容的限制。

3. 發現未落地或隱藏的惡意活動 惡意程式可能僅在記憶體中執行，或利用程序注入、隱藏程序等方式降低在硬碟上留下檔案的機會。檢查記憶體有助於發現這類活動。

4. 取得硬碟上不易取得的易失性資訊 剪貼簿內容、尚未儲存的資料、解密後資料、加密金鑰及部分認證資訊可能只在記憶體中短暫存在，及時擷取有助於分析案件與重建行為。

5. 補足時間與行為脈絡 記憶體中的程序、連線與使用者活動資訊可與硬碟檔案、事件紀錄等交叉比對，協助重建事件發生時的系統狀態與操作脈絡。

（三）相較於硬碟資料鑑識的特殊性（6 分）

1. 揮發性高，必須優先處理 硬碟資料在正常關機後仍可保存；RAM 內容則會因斷電或重開機而消失。因此，記憶體通常須列入現場的優先採證項目。

2. 反映即時執行狀態 硬碟鑑識主要檢驗儲存媒體中的檔案系統、已刪除檔案與磁區資料；記憶體鑑識著重系統當下的程序、連線、載入模組及執行中資料。

3. 取得過程會改變現場 擷取記憶體時必須在正在運作的系統上執行工具，該工具本身會占用記憶體並留下操作痕跡，無法做到完全不影響現場。

核心觀念

本題考查區塊鏈的基本定義、系統特性，以及如何把「資料經雜湊後形成可驗證、難以竄改的紀錄」運用於數位證據保全。重點是區分證據本體的保存與證據完整性的驗證：區塊鏈適合保存證據的雜湊值及保全歷程，原始證據則應另行安全保存。

解題方法

依題目三小題作答：先定義區塊鏈，再整理其主要特性，最後以「證據雜湊＋鏈上登錄＋鏈下保存＋查驗流程」勾勒保全架構。第三小題須交代證據如何進入系統、哪些資料上鏈、如何保存原件，以及日後如何驗證。

（一）何謂「區塊鏈」？（5 分）

區塊鏈是一種由多個節點共同維護的分散式帳本技術。系統將交易或紀錄彙整成區塊，每個區塊包含資料、時間等資訊，以及前一區塊的雜湊值；新區塊依序連結至既有區塊，形成具時間順序的鏈式紀錄。節點依共識機制確認紀錄後，各自保存或更新帳本副本。

由於區塊內容與前一區塊的雜湊值相互關聯，若修改既有紀錄，後續區塊的雜湊連結也會失效，且須克服網路共識機制才能使竄改結果獲得接受。因此，區塊鏈可提供紀錄的可追溯性及一定程度的防竄改能力。

（二）區塊鏈系統的主要特性為何？（10 分）

1. 分散式帳本：帳本由多個節點共同保存及維護，沒有單一中心資料庫是唯一紀錄來源；節點間可依共識規則同步狀態。

2. 共識機制：節點依協定驗證交易或區塊，決定哪些紀錄得以加入帳本。不同區塊鏈可採工作量證明、權益證明或其他共識機制。

3. 鏈式連結與防竄改性：區塊通常包含前一區塊的雜湊值。修改既有區塊會改變其雜湊值，並使後續連結不一致；要讓竄改結果被接受，通常還須取得足以影響共識的控制力。

4. 可追溯與可驗證：紀錄依序加入區塊，並可透過區塊鏈資料、交易資訊及雜湊值檢查紀錄是否存在、內容是否一致及登錄順序。

5. 複本冗餘與容錯：多個節點持有帳本副本，單一節點故障或資料損毀時，其他節點仍可保有紀錄；實際容錯能力取決於節點分布及系統設計。

6. 公開性或權限控管：公開鏈可讓一般使用者讀取或參與驗證；許可鏈則限制參與節點及讀寫權限。區塊鏈不必然完全公開，應視治理需求選擇。

區塊鏈的「難以竄改」不等於絕對不可竄改，也不代表上鏈內容必然真實。若輸入資料錯誤，區塊鏈仍可能忠實保存錯誤資料；資料真實性仍須由蒐證程序、來源紀錄及人員責任加以支持。

（三）運用於數位化證據保全的架構（10 分）

設計原則

區塊鏈主要用來登錄證據的完整性指紋及保全事件紀錄，不宜直接把大型、敏感或涉及個資的證據檔案存入鏈上。證據檔案應加密後存放於具存取控管與備援機制的鏈下儲存系統；