【正文】 鑒定，使之轉(zhuǎn)換為合法的證據(jù)。此外，整個取證與司法鑒定過程必須受到監(jiān)督，以保證取證與司法鑒定過程的合法性。2．無損取證原則證據(jù)材料必須能夠客觀、真實地反映案件事實，才能成為有效地訴訟證據(jù)。我國訴訟法規(guī)定，在提交物證、書證時若提交原件確有困難，可以提交復(fù)制品或副本。對于存儲介質(zhì)中的電子信息，基本上不存在傳統(tǒng)意義上直觀可視的“原件”，目前司法實踐中使用的均是原始存儲介質(zhì)中電子信息的“克隆”形式。由于電子信息的復(fù)制技術(shù)不會造成信息內(nèi)容的損失，同時可以保證信息在存儲介質(zhì)中的保存位置不變，因此只要復(fù)制的內(nèi)容與生成時原始存儲介質(zhì)上的內(nèi)容完全相同，就應(yīng)視為原件，即電子證據(jù)具有客觀性。電子證據(jù)依賴于一定的環(huán)境而存在，與存儲介質(zhì)不可分離，對存儲介質(zhì)、系統(tǒng)環(huán)境的任何操作均可能改變電子信息的屬性，即使打開可疑計算機或電子設(shè)備這種基本操作，都會改變設(shè)備的系統(tǒng)日志信息，極可能損毀將來需要用以證明案件事實的證據(jù)材料。為了防止由于對涉案設(shè)備、系統(tǒng)的操作而損毀某些電子證據(jù)，造成證據(jù)收集的不充分，計算機取證與司法鑒定中不能對涉案設(shè)備、系統(tǒng)進行任何修改操作，以維護涉案設(shè)備、運行環(huán)境等全部信息的完整狀態(tài)，是保證獲取的電子證據(jù)客觀性的前提和基礎(chǔ)。實施取證與司法鑒定活動，應(yīng)該始終保證電子證據(jù)的無損狀態(tài)。例如在收集存儲介質(zhì)中的電子證據(jù)時，應(yīng)該采用鏡像工具（如Safe back、SnapBack、DatArret等）以字符流鏡像的方式對存儲介質(zhì)中的所有數(shù)據(jù)信息進行備份，在以后的分析、鑒定等取證與司法鑒定環(huán)節(jié)中只能對備份數(shù)據(jù)進行操作，必要時可將備份的數(shù)據(jù)恢復(fù)到原始狀態(tài)，作為分析、鑒定數(shù)據(jù)的原始參考標準，使得分析、鑒定的結(jié)果具有可信性，保證電子證據(jù)的客觀性。電子證據(jù)實質(zhì)是存儲在電磁介質(zhì)中的電磁信息，受到外界磁場的影響有可能被消磁而損失原始證據(jù)，對于收集到的電子證據(jù)應(yīng)妥善保管，采取遠離高磁場、高溫環(huán)境，避免靜電、潮濕、灰塵和擠壓等措施，以保證電子證據(jù)的客觀完整狀態(tài)。因此計算機取證與司法鑒定的每個步驟、采取的每個措施等各個環(huán)節(jié)都應(yīng)該遵循無損取證與司法鑒定原則，確保獲取的證據(jù)符合可采性。3．全面取證原則全面取證與司法鑒定原則，體現(xiàn)在調(diào)查機關(guān)在取證與司法鑒定過程中應(yīng)該盡可能地全面調(diào)查取證與司法鑒定，使獲取的證據(jù)相互印證，形成完整的證據(jù)鏈條。通常，單個電子證據(jù)訴訟定案的情況很少，案件往往包含多個用以訴訟的證據(jù)，每一個證據(jù)從不同的層面與案件具有某種關(guān)聯(lián)，如賬戶、密碼可以確定嫌疑人；電子郵件可以認定敲詐信息；系統(tǒng)日志可以證明作案時間等，這些電子證據(jù)組成一條完整的證據(jù)鏈以證明案件的全部事實。調(diào)查人員往往會忽視海量信息中一些細微的數(shù)據(jù)信息，但現(xiàn)代信息技術(shù)環(huán)境下這樣的證據(jù)又非常之多。因而在計算機取證與司法鑒定時，一定要認真分析電子證據(jù)的來源并進行全方位、多角度的取證與司法鑒定，在確保證據(jù)與案件事實關(guān)聯(lián)的基礎(chǔ)上，將獲取的所有電子證據(jù)結(jié)合案件的其他類型證據(jù)，相互印證，排除矛盾的電子證據(jù)，最終組成完整的證據(jù)鏈，才能達到勝訴的目的。所以，全面取證與司法鑒定原則應(yīng)該成為計算機取證與司法鑒定的一個重要原則，對形成可采的證據(jù)鏈條具有不可忽視的作用。4．及時取證原則電子證據(jù)基本上是在信息系統(tǒng)運行過程中自動、實時生成的，系統(tǒng)經(jīng)過一段時間的運行很可能會造成信息系統(tǒng)的變化，如網(wǎng)絡(luò)的審核記錄、系統(tǒng)日志、進程通信信息都會或多或少有所變化，則這些數(shù)據(jù)信息不再能如實反映案件的事實。因而電子證據(jù)的獲取具有一定的時效性，確定取證對象后，應(yīng)該盡早搜集證據(jù)，保證其沒有受到任何破壞和損失。從電子數(shù)據(jù)形成到獲取，相隔的時間越久，越容易引起電子數(shù)據(jù)的變化。例如，IP地址經(jīng)常被用來確定涉案計算機設(shè)備的方位，但這種“網(wǎng)絡(luò)號碼”卻不像身份證號一樣與所有者存在固定的標識關(guān)系。例如，某一計算機連接網(wǎng)絡(luò)后被分配了一個IP地址，該計算機退出網(wǎng)絡(luò)后，此IP地址極有可能被分配給新連接網(wǎng)絡(luò)的其他計算機。因此，及時取證與司法鑒定可以保證電子數(shù)據(jù)作為證據(jù)的客觀性，維持電子數(shù)據(jù)與案件事實的關(guān)聯(lián)性。（二）流程取證準備階段—事件檢測—事件初步響應(yīng)—制定響應(yīng)策略—數(shù)據(jù)采集—數(shù)據(jù)分析—報告階段取證層次：證據(jù)發(fā)現(xiàn)層證據(jù)固定層證據(jù)提取層證據(jù)分析層證據(jù)表達層（三）一般方法由于電子證據(jù)表現(xiàn)形式的多樣性，因此在收集時應(yīng)區(qū)別對待： 手機短信形式電子證據(jù)的收集。近年來，手機短信成為人們的重要聯(lián)絡(luò)方式，由于其具有便捷性和隱蔽性，也被犯罪分子作為重要的犯罪手段和犯罪工具使用，如利用短信指揮犯罪活動或者直接進行詐騙活動。在這類案件中，若能收集該類證據(jù)，對證實案件往往起到一錘定音的作用，因為每個手機用戶的手機號碼和入網(wǎng)證號都是唯一的，短信發(fā)出后，接收者手機又能顯示對方的手機號碼。這樣就可以確定發(fā)送者是誰，起到證實案件事實的作用。在收集該類證據(jù)時，可以采取以下方法：一是在接收信息者未將短信刪除的情況下，直接將此信息予以儲存，并將手機封存，作為最終審判的證據(jù)材料。二是在與案件有關(guān)的短信被刪除的情況下，可以通過手機短信運行商來調(diào)取短信內(nèi)容。在收集時，可以通過運行商的儲存信息將對應(yīng)的手機短信的發(fā)送時間、雙方手機號及內(nèi)容打印出來，并由在場的工作人員簽字蓋章證實出處，以供偵查和審判使用。 電子郵件形式電子證據(jù)的收集。電子郵件是基于因特網(wǎng)而產(chǎn)生的一種新型通信方式，其與傳統(tǒng)的通信方式的區(qū)別在于，它把人們所要表達的意思轉(zhuǎn)化為數(shù)字信號，并通過網(wǎng)絡(luò)傳輸呈現(xiàn)在對方的電腦屏幕上。電子郵件在民事訴訟中已經(jīng)得到確認，如我國《合同法》規(guī)定合同的書面形式包括電子數(shù)據(jù)郵件形式。在刑事訴訟領(lǐng)域中，司法機關(guān)的解釋中也有所體現(xiàn)，但對如何收集并未規(guī)定。收集時應(yīng)首先了解電子郵件的特征，電子郵件區(qū)別于其他形式電子證據(jù)的特點是每個電子郵件使用者必有一個電子信箱，而每個電子信箱其用戶名、賬戶名以及密碼是唯一的，純電子郵件的信頭都帶有收發(fā)件人、網(wǎng)址及收發(fā)時間。任何人掌握了某一注冊用戶的用戶名、賬戶名、密碼，就可以收發(fā)或刪除郵件。當然，對于一般人來說，直接在收件箱中修改文件并不是容易的事，因為收件箱中的文件為只讀文件，拒絕修改。即使將其另存，也只改變其位置，并不能改變其屬性。 針對電子郵件的上述特點，在收集時必須有一個前提，即保證所收集的電子郵件是在安全環(huán)境下的郵件，也就是說該郵件所存在的計算機硬件運行系統(tǒng)是安全的，電子郵件沒有遭到病毒或黑客侵襲，否則收集到的證據(jù)材料是缺乏意義的。要滿足這種條件，收集的人員必須具備一定的計算機和網(wǎng)絡(luò)技術(shù)，同時還要有一定的設(shè)備。在民事訴訟中，最高人民法院在《關(guān)于民事訴訟證據(jù)的若干規(guī)定》中規(guī)定了專家出庭作證的做法，這種做法在國外稱為技術(shù)顧問制度。在收集電子證據(jù)中聘請專門技術(shù)人員，在出庭時由其對收集情況進行說明。專業(yè)人員收集時，可以通過打印或拷貝的方法將其固定起來，在法庭上可以通過多媒體示證的方式將電子郵件的內(nèi)容及用戶名等直接顯示出來。 網(wǎng)絡(luò)聊天形式電子證據(jù)材料的收集。網(wǎng)絡(luò)聊天是隨網(wǎng)絡(luò)技術(shù)的發(fā)展出現(xiàn)的一種及時雙向溝通的通信方式，主要有兩種：聊天室聊天和聊天。聊天室聊天是通過網(wǎng)站上開設(shè)的聊天室進行“一人對多人”的公聊，而聊天是指“一對一”的私聊，相對于電子郵件來講，存在的環(huán)境更加開放，收集起來更難。因此，在收集網(wǎng)絡(luò)聊天證據(jù)時要收集三類證據(jù)：一是聊天內(nèi)容證據(jù)，包括聊天對話的內(nèi)容，也包括聊天者簡單的個人信息，當然這些信息一般是虛假的，須借助收集到的上網(wǎng)IP地址及上網(wǎng)使用的網(wǎng)絡(luò)進行佐證；第二類是系統(tǒng)環(huán)境證據(jù)，即我們借助的計算機硬件和軟件數(shù)據(jù)是否正常，用以輔助證明網(wǎng)絡(luò)聊天證據(jù)的可靠性；第三類是附屬信息證據(jù)，如IP地址、所借助的服務(wù)器、上網(wǎng)賬號、信息傳遞的路徑等，從而將聊天者與某個特定的行為人聯(lián)系起來。對于聊天內(nèi)容，可以通過網(wǎng)絡(luò)服務(wù)商以拷貝、打印的方式收集，在網(wǎng)絡(luò)服務(wù)商未保存的情況下，可以從聊天者雙方電腦記錄中收集，并將其以拷貝或打印的方式固定下來。對于被篡改的聊天記錄，可以聘請專門技術(shù)人員對其進行恢復(fù)，因為當前的技術(shù)足以證實每一次硬盤的擦寫記錄都可以進行恢復(fù)，計算機對文件的修改也不是完全意義的刪除或覆蓋。對此收集的證據(jù)，我們可以由相關(guān)專家出具鑒定結(jié)論的方式予以固定，在運用時可以作為再生證據(jù)加以運用七、鑒定實例（略）第 14 頁 共 14 頁