115 警察特考三等 警察資訊管理人員類別 數位鑑識執法 考古題詳解

一、核心觀念

數位證據容易被修改、複製，且資料的原始作者或形成過程不易確認。因此，鑑識人員須以合法程序取得證據，保存原始資料，證明分析資料與扣押物間的關聯，並使鑑識結果可供檢驗。題目所稱 CIAC，分別是適法性（Compliance）、完整性（Integrity）、準確性（Accuracy）、一致性（Consistency）。

數位證據的證據能力與證明力，不能只靠一個雜湊值或一份鑑識報告決定；程序是否合法、證據如何保全、鑑識方法是否可靠，以及結果能否在法庭上受檢驗，都會影響法院如何評價。以命題當年（民國 115 年）法規為準，可參照刑事訴訟法第 155 條、第 158 條之 4 及第 165 條之 1。

二、解題方法：以 CIAC 說明採證全程

作答時，先依序說明四項原則，再把原則落實到行動裝置的現場保全、擷取、分析與報告。每項原則都要交代「要求為何」及「如何舉例落實」，避免只列名詞。

（一）適法性：取得與處理程序須有合法依據

鑑識人員須在法定權限及程序範圍內蒐集、扣押、檢視數位證據，並遵守搜索、扣押及勘驗等相關規範。若超出搜索票或合法同意的範圍，或以不符法定程序的方式取得資料，可能引發證據能力爭議。

**例：**依搜索票扣押手機時，應確認搜索票的對象、處所、範圍及有效期間，製作搜索、扣押紀錄；檢視手機資料時，亦須遵守授權範圍，不能因手機內出現其他帳號或雲端連結，就任意擴大檢索。

（二）完整性：取得及保存時避免資料遭改變或毀損

完整性要求盡量不改變或破壞原始證物，並能證明從扣押、封緘、運送、保管到分析的過程受到妥善控管。鑑識常以雜湊值，例如 SHA-256，記錄映像檔或擷取資料的識別值；前後比對一致，可支持資料未遭變動的主張，但不能單獨證明取證程序合法或資料來源正確。

**例：**取得儲存媒體的鑑識映像後，計算並記錄雜湊值，對映像檔進行分析，保留原始媒體；每次移交證物均記錄時間、交接人、封緘狀態及保管位置。

（三）準確性：證明擷取資料確實來自特定證物

準確性著重來源與擷取結果間的可追溯關係：須能說明分析資料來自哪一件扣押物、使用何種設備與工具、採取何種方法，以及擷取過程是否可靠。設備序號、證物編號、工具版本、操作紀錄、雜湊值及鑑識人員紀錄，可共同支持此一關聯。

**例：**對扣押手機拍照並記錄品牌、型號、序號、IMEI、SIM 卡資訊及外觀狀況；使用經驗證的工具擷取資料，記錄工具版本、擷取模式、時間及錯誤訊息，使第三人能追查分析檔案的來源。

（四）一致性：分析過程及結果可重現、可檢驗

一致性要求分析時不直接改動原始證物，並採用可說明、可驗證的程序；在相同資料、工具版本與分析條件下，其他具相當專業能力的人應能檢驗或重現結果。若鑑識工具或方法會造成資料變動，須事先評估、記錄變動範圍與原因，並說明其對結論的影響。

**例：**在唯讀映像或工作副本上分析，保存查詢條件、操作紀錄及工具設定，讓另一位鑑識人員依紀錄檢驗同一份映像，確認是否得到相同的檔案清單或事件時間線。

三、行動裝置如何落實不變更數位證據原則

核心觀念

本題考查 ISO/IEC 27050 系列所描述的電子發現（Electronic Discovery, eDiscovery）流程，以及保存階段的法律保留通知（Legal Hold）如何管理電子儲存資訊。

ISO/IEC 27050-1 將「電子儲存資訊」（Electronically Stored Information, ESI）界定為：任何種類、任何來源的資料或資訊，只要其曾存在的時間事實可由其儲存於電子媒介中證明，即屬 ESI。範圍包含電子郵件、文件、試算表、資料庫，也包含時間戳記、修訂紀錄、檔案類型等系統、應用程式或檔案相關中繼資料。

解題方法：按 eDiscovery 活動說明 ESI 生命週期

作答時，依 ISO/IEC 27050-1 列出的 eDiscovery 活動順序說明各階段的目的。這些活動是流程架構，實務上會因案件需求而重疊或反覆進行，不必視為完全單向、不可回頭的線性程序。

1. 識別（Identification）：找出 ESI 的潛在來源，並訂定篩選可能相關資訊的條件。來源可包括個人電腦、伺服器、電子郵件系統、行動裝置、雲端服務及備份媒體。
2. 保存（Preservation）：使相關 ESI 維持原始或既有狀態，避免遭刪除、變更或覆寫，以防止證據滅失或污染。
3. 蒐集（Collection）：從已識別的來源擷取、彙整相關 ESI 及必要的佐證資料，並記錄取得方式與處理過程。
4. 處理（Processing）：擷取 ESI，並視需要轉換成適合後續審查、分析的格式；亦可進行去重複、索引、篩選等處理。
5. 審查（Review）：檢視 ESI 的相關性、敏感性、特權或其他法律及案件處理條件，決定哪些資料適合後續使用或提出。
6. 分析（Analysis）：依內容與脈絡評估 ESI，辨識事實、關係、重要模式、人物及討論脈絡，以協助理解資料集。
7. 提出／交付（Production）：依案件或程序要求，以約定格式交付或提供 ESI。

上述七項為 ISO/IEC 27050-1 所涵蓋的主要電子發現活動。部分業界模型會另外列出資訊治理或呈現階段；作答時應以題目指定的 ISO/IEC 27050 系列活動為主，並避免將其他模型的階段誤列為該標準的必要流程。

保存階段：以 Legal Hold 防止 ESI 滅失或遭破壞

一、核心觀念

本題考查「快速阻詐」與「保全證據」的先後安排：詐騙廣告刊登時間短，內容一旦遭下架、修改或帳號停用，原始頁面、廣告投放資料及平台紀錄可能迅速消失。因此，偵查人員須在合法授權下同步進行兩件事：及時阻止民眾繼續接觸詐騙內容，並在內容消失前固定足以追查行為人與證明犯罪的數位證據。

「揮發性證據」是容易因時間經過、系統關閉、資料覆寫或平台處置而消失或變動的證據，例如即時網頁內容、動態網址、登入工作階段、平台投放與瀏覽紀錄、連線及伺服器日誌。數位證據蒐集應兼顧相關性、完整性、可驗證性與保管鏈，記錄取得方式、時間、工具及經手人，並以雜湊值等方式驗證檔案是否遭變更。

本題法規說明以命題當年（民國 115 年）法規為準。相關法源包括《詐欺犯罪危害防制條例》第 31 條、第 32 條及第 42 條：第 31 條規範網路廣告應揭露資訊；第 32 條規範平台知悉詐欺廣告或明顯涉及詐欺時，應依規定處置並提供相關資訊予司法警察機關；第 42 條則涉及詐欺犯罪防制緊急案件的停止解析或限制接取等措施。另應遵守《刑事訴訟法》搜索、扣押及證據保全相關規定，不能以「打詐」為由任意侵入帳號、擴大蒐集無關資料或逾越授權範圍。

二、解題方法：先固定易失資料，再同步阻斷危害

可依「發現與確認 → 即時擷取 → 平台保全與調取 → 阻詐處置 → 完整性驗證與追查」作答。由於題目指出廣告刊登不逾二日，偵查作業應採分工並行：一組固定證據，一組依權責通報平台、主管機關及相關單位採取阻詐措施。

（一）發現與確認涉詐廣告

先記錄通報來源、受理時間、平台名稱、廣告網址或貼文連結、廣告刊登時間與目前狀態。確認廣告內容、導流網址、聯絡方式、通訊軟體帳號、電話號碼及疑似收款資訊，並評估仍有多少民眾可能接觸或受害。

初步確認應保留足以回溯的識別資訊，例如廣告 ID、貼文 ID、帳號 ID、平台頁面及跳轉鏈結。廣告遭移除後，單靠一般截圖往往不足以辨認投放者、出資者或廣告版本，因此須及早向平台保全後端紀錄。

（二）優先擷取易消失的證據

在不延誤緊急阻詐、且符合法定權限與程序的前提下，先以可信工具擷取可立即取得的資料：

1. **保存原始頁面與可見內容：**以截圖、螢幕錄影、下載或網頁封存方式記錄廣告文字、圖片、影片、帳號名稱、頁面版面、留言及互動資訊。另記錄完整 URL、轉址過程、連結參數、廣告 ID、貼文 ID、時間戳記及所用設備與軟體。
2. **記錄即時連線與導流資訊：**保存網域解析結果、重新導向網址、網頁憑證與必要的連線紀錄；如依法及技術上可行，再保全相關 DNS、代理伺服器或網路日誌。
3. **避免只留畫面影像：**截圖可以呈現使用者看到的內容，但通常不能替代原始檔、平台後端資料或交易紀錄。應同步記下原始檔取得路徑，並保存廣告素材及可供驗證的檔案資訊。
4. **記錄時間與完整性：**將設備時鐘與標準時間校準狀況、擷取時間、工具與版本、操作人員、檔案名稱及保存媒體逐項記錄；對證據檔案計算雜湊值，原始證據唯讀保存，工作副本供分析使用，並維持交接紀錄。

若偵查進一步接觸到涉案設備或伺服器，應按授權範圍與現場狀況，評估先擷取 RAM、執行中程序、網路連線、登入工作階段及尚未落盤的日誌等揮發性資料，再處理較不易變動的儲存媒體。是否擷取及擷取範圍，須依個案必要性與法定程序決定。

（三）即時要求平台保全並依法取得後端資料

在公開廣告可能很快遭刪除時，應迅速透過正式聯繫窗口要求平台保全相關資料，並依適用程序調取或聲請取得資料。保全範圍可包括：

• 廣告委託刊播者、出資者與經驗證身分資料。
• 廣告素材、修改版本、刊播與停止時間、投放設定及目標受眾資訊。
• 登入 IP、登入時間、裝置或工作階段資料，以及帳號建立、管理與付款紀錄。
• 廣告內含的通訊軟體帳號、電信號碼、導流網址及相關帳號關聯資料。

保全通知的作用是盡量避免資料遭例行刪除或覆寫，並不等同已取得資料或已取得搜索、調取等法律權限；正式取得仍須依法律程序辦理。若涉及境外平台或跨境資料，應及早啟動適用的司法互助或跨境合作機制，並清楚記錄請求及回覆時間。

（四）同步主動防禦，降低持續被害

完成足以辨識廣告與啟動保全的必要資料固定後，應依權責與法定程序迅速通報平台、主管機關及相關單位，促請平台移除、限制瀏覽或停止播送涉詐廣告，並對相關帳號採取依法適當的措施。若符合緊急處置要件，可依《詐欺犯罪危害防制條例》第 42 條等規定，辦理停止解析或限制接取。

核心觀念

本題考查兩項標準如何相互配合：ISO/IEC 27043提供資安事件調查的整體流程，ISO/IEC 27037規範潛在數位證據的識別、收集、獲取與保存。監管鏈（Chain of Custody）是按時間順序記錄證物的識別、保管、存取、移轉與處理情形，使調查人員能交代證物從發現到提出報告的完整歷程。

監管鏈的目的在於可追溯、可問責、可驗證，以支持證物同一性與完整性的判斷。它不是單靠一份表單或一組雜湊值就能成立；程序紀錄、存取控制、保存措施與技術驗證必須彼此吻合。ISO/IEC 27037並指出，保存應從證物識別時開始，並貫穿後續處理；如因必要處置造成資料或中繼資料變動，須記錄變動原因及處置方式。

以命題當年（民國 115 年）法規為準。本題主要依據 ISO/IEC 27043 與 ISO/IEC 27037 說明作業原則；具體案件仍須遵守適用的搜索、扣押、個資及刑事訴訟程序規範。

解題方法

作答先交代監管鏈的定義與目的，再依調查歷程說明如何建立紀錄、保全原始證物、驗證複本、控管移轉及撰寫報告。第二小題則把「雜湊比對」與「日誌記錄」分開說明：雜湊用於檢查資料是否一致，日誌用於交代證物何時、由誰、因何目的被處理；兩者相互補足。

一、監管鏈的落實程序（15 分）

1. 初始化與調查規劃：先建立案件及證物識別資料

接獲勒索軟體事件後，建立案件編號，界定調查目的、範圍及合法權限，並指定具相應能力的人員負責證據處理。初步處置時記錄事件發現時間、地點、通報人、現場狀態、設備名稱與識別資訊；對伺服器、工作站、備份媒體、網路設備及雲端紀錄等潛在來源逐一編列唯一證物編號。

應記錄設備是否開機、網路連線、畫面或告警狀態、系統時間與時區，以及識別設備者、識別時間與位置。勒索軟體事件常有揮發性資料或持續加密的風險，因此要記錄先後順序及採取即時處置的理由，避免只為保全證物而忽略事件控制需求。

2. 識別、收集與獲取：記錄證物如何形成

依 ISO/IEC 27037 的證據處理概念，區分：

• 識別：搜尋、辨認並記錄可能含有證據的設備或資料來源。
• 收集：將設備或媒體移至受控環境，供後續獲取與分析。
• 獲取：以適當方法取得資料，例如製作儲存媒體的鑑識映像檔，或擷取揮發性記憶體及相關日誌。
• 保存：保護原始設備、取得資料及其相關紀錄，免於未授權存取、竄改或毀損。

每次收集或獲取均記錄執行人、日期時間及時區、地點、工具與版本、操作方法、來源設備與目標媒體、開始與結束時間、錯誤或例外情形，以及是否可能造成來源資料改變。取得揮發性資料或處理運作中的系統時，應說明必要操作及其影響，並保存操作日誌。

3. 建立完整監管鏈紀錄：每次交接與存取都可追溯

監管鏈紀錄應能讓人還原證物歷程，至少包含：

1. 證物識別資訊：案件編號、唯一證物編號、證物描述、來源與原始狀態。
2. 時間與位置：發現、收集、獲取、封存、移轉、開封、分析及歸還的日期時間、時區與地點。
3. 人員與責任：每位經手者的姓名或識別資訊、職務，以及接收與移交確認。
4. 存取與處理原因：誰在何時存取證物、存取目的、授權依據及執行的操作。
5. 保管與封裝情形：封條或防拆措施識別碼、封裝狀態、保存位置及保管條件；開封或重新封裝時記錄原因與結果。
6. 資料與複本關係：原始設備、鑑識映像檔、工作複本及衍生檔案之間的來源關係與雜湊值。
7. 異常與修正紀錄：任何延誤、封條破損、非預期存取、操作錯誤或資料變動，以及處理方式和說明。

紀錄應在事件發生時即時完成，避免事後憑記憶補寫；如有更正，須保留原紀錄及更正者、時間與理由。紙本或電子紀錄均應限制未授權更動，並納入案件保存。