odpowiedzialność karna

Odpowiedzialność karna dotyczy czynów zabronionych ustawą, np. nieuprawnionego dostępu do informacji.

Odpowiedzialność karna a działania wykonywane na komputerze

Odpowiedzialność karna w obszarze informatyki może wiązać się z działaniami polegającymi na uzyskaniu dostępu do systemu, konta lub informacji bez uprawnienia. Sam fakt, że komputer albo konto było technicznie dostępne, nie oznacza jednak automatycznie legalnego prawa do korzystania z zasobów. Uprawnienia wynikają między innymi z konfiguracji kont, przydzielonych ról, zawartej umowy, zakresu obowiązków oraz wyraźnej zgody właściciela systemu.

Z punktu widzenia technicznego istotne jest rozróżnienie między błędem konfiguracji a świadomym wykorzystaniem błędu. Przykładem może być konto pozostawione bez hasła, nadmiarowe uprawnienia administratora albo publicznie dostępny panel zarządzania. System może dopuścić takie połączenie, ponieważ jego reguły dostępu są nieprawidłowo ustawione, lecz ustalenie skutków prawnych wymaga analizy konkretnego zachowania, celu działania i dostępnych dowodów. Informatyk może opisać sposób działania systemu, ale nie powinien samodzielnie przesądzać o winie.

Jak systemy rejestrują dostęp do informacji

Podstawowym źródłem informacji o zdarzeniach są logi systemowe. W zależności od używanego rozwiązania mogą one zawierać nazwę konta, adres IP, identyfikator urządzenia, czas rozpoczęcia i zakończenia sesji, wynik uwierzytelnienia, użyty protokół oraz wykonane operacje. W systemach Linux zdarzenia logowania mogą być zapisywane przez mechanizmy systemd-journald lub w plikach dziennika uwierzytelniania, natomiast w Windows istotne dane znajdują się między innymi w dzienniku Security.

Sam adres IP nie identyfikuje jednoznacznie osoby. Jeden adres może być współdzielony przez wiele urządzeń za pośrednictwem translacji NAT, a użytkownik może korzystać z sieci komórkowej, publicznego Wi-Fi albo serwera pośredniczącego. Dlatego wiarygodna analiza łączy kilka źródeł: logi serwera, historię uwierzytelniania, dane z zapory sieciowej, informacje o urządzeniu, znaczniki czasu i kopie plików. Ważna jest także synchronizacja zegarów, ponieważ różnica między czasem lokalnym a UTC może prowadzić do błędnego uporządkowania zdarzeń.

Nieuprawniony dostęp i ślady techniczne

Nieuprawniony dostęp może pozostawić ślady w postaci wielu nieudanych prób logowania, logowania z nietypowego urządzenia, zmiany uprawnień, utworzenia nowego konta, pobrania dużej liczby plików albo modyfikacji konfiguracji. W przypadku usług sieciowych analizuje się również żądania HTTP, kody odpowiedzi, identyfikatory sesji i kolejność operacji. Pojedyncze zdarzenie nie zawsze wystarcza do odtworzenia przebiegu działania, ponieważ log może być niepełny, nadpisany albo zmieniony przez administratora lub złośliwe oprogramowanie.

W postępowaniu wyjaśniającym znaczenie ma zachowanie integralności materiału. Kopię dysku wykonuje się z użyciem blokera zapisu, a jej zgodność z nośnikiem można kontrolować za pomocą funkcji skrótu, takich jak SHA-256. Skrót nie dowodzi, kto wykonał daną operację, ale pozwala wykazać, że analizowana kopia nie zmieniła się po jej utworzeniu. Przydatne mogą być także metadane plików, historia poleceń, pamięć przeglądarki, harmonogram zadań, wpisy rejestru Windows oraz dane z systemów monitoringu.

Trzeba odróżnić działanie użytkownika od działania automatycznego programu. Skaner podatności, synchronizacja chmurowa, program antywirusowy lub skrypt kopii zapasowej może generować połączenia i odczyty plików bez bezpośredniej ingerencji człowieka w każdą pojedynczą czynność. Ocena wymaga ustalenia, jaki proces działał na komputerze, z jakiego konta korzystał, jakie miał uprawnienia i czy użytkownik go uruchomił, skonfigurował albo kontrolował.

Znaczenie diagnostyki komputera w analizie zdarzenia

Diagnostyka laptopa lub komputera PC może pomóc ustalić, czy urządzenie było zainfekowane, czy ktoś zmienił konfigurację systemu oraz czy na dysku znajdują się pliki związane z badanym zdarzeniem. Weryfikuje się między innymi listę kont, członkostwo w grupach uprzywilejowanych, aktywne usługi, reguły zapory, historię aktualizacji i obecność nieznanych programów. Nie należy jednak uruchamiać przypadkowych narzędzi czyszczących przed zabezpieczeniem danych, ponieważ mogą one usunąć logi, pliki tymczasowe albo informacje potrzebne do odtworzenia zdarzeń.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki można określić objawy awarii, sprawdzić stan nośnika oraz przygotować komputer do dalszej analizy. Techniczna ocena sprzętu nie zastępuje opinii biegłego ani decyzji organów prowadzących postępowanie. Odpowiedzialność karna jest ustalana na podstawie przepisów i całokształtu dowodów, natomiast dokumentacja serwisowa powinna jasno wskazywać, jakie czynności wykonano, na jakim urządzeniu i z jakim wynikiem.