第十六条 查封、扣押原始存储介质时，对无法确定原始存储介质持有人（提供人），原始存储介质持有人（提供人）无法签名、盖章或者拒绝签名、盖章的，执法人员应当在笔录中注明情况，并采取录音、录像等方式记录，必要时可以邀请见证人现场见证。

第十七条 对查封、扣押的原始存储介质，应当符合以下要求:

（一）保证在不解除查封、扣押状态的情况下，无法使用或者启动原始存储介质。必要时，具备数据信息存储功能的电子设备和硬盘、存储卡等内部存储介质可以分别查封、扣押;

（二）查封、扣押前后应当拍摄被查封、扣押原始存储介质的照片。照片应当反映原始存储介质查封、扣押前后的状况，清晰反映封口或者张贴封条处的状况;

（三）查封、扣押具有无线通信功能的原始存储介质，应当采取信号屏蔽、信号阻断或者切断电源等措施；

（四）对原始存储介质的充电线、数据线或其他必要的连接附属品一起查封、扣押。

第十八条 查封、扣押原始存储介质时，可以向相关人员了解、收集并在笔录中注明以下情况:

（一）原始存储介质及应用系统管理情况，网络拓扑与系统架构情况，是否由多人使用及管理，使用及管理人员的身份情况等；

（二）原始存储介质及应用系统管理的用户名、密码情况;

（三）原始存储介质的数据备份情况，有无加密磁盘、容器，有无自毁功能，有无其它移动存储介质，是否进行过备份，备份数据的存储位置等情况；

（四）其他相关的内容。

第四章 现场提取电子数据

第十九条 现场提取电子数据可以采取以下措施保护涉案电子设备：

（一）及时将涉案人员和现场其他相关人员与电子设备分离;

（二）在未确定是否易丢失数据的情况下，不能关闭正在运行状态的电子设备;

（三）对现场计算机信息系统可能被远程控制的，应当及时采取信号屏蔽、信号阻断、断开网络连接等措施；

（四）保护电源；

（五）有必要采取的其他保护措施。

第二十条 现场提取电子数据，应当遵守以下规定：

（一）不得将提取的数据存储在原始存储介质中；

（二）不得在目标系统中安装新的应用程序。如果因为特殊原因，需要在目标系统中安装新的应用程序的，应当在笔录中记录所安装的程序及目的；

（三）应当在笔录中详细、准确记录实施的操作。

第二十一条 现场提取电子数据时，应当制作笔录并列明以下内容:

（一）原始存储介质的名称、存放地点、信号开闭状况及是否采取强制措施;

（二）提取的方法、过程，提取后电子数据的存储介质名称;

（三）提取电子数据的名称、类别、文件格式；

（四）与案件相关的电子数据证据的完整性校验值;

（五）其他应当列明的事项。

第二十二条 对提取的电子数据可以进行数据压缩，并在笔录中注明相应的方法和压缩后文件的完整性校验值。

第二十三条 在电子数据可能灭失或者以后难以取得的情况下，可以依法先行登记保存原始存储介质，并在七个工作日内及时作出处理决定。先行登记保存期间，当事人或者有关人员不得转移、变卖、毁损存储介质，不得删除、修改电子数据。

第五章 网络在线提取电子数据

第二十四条 对公开发布的电子数据、境内远程计算机信息系统上的电子数据，可以通过网络在线提取。

对网络违法行为的技术监测记录资料，可以作为实施行政执法的电子数据证据。

第二十五条 实施在线电子数据取证前，应对用来提取电子数据的计算机系统、设备的硬件、软件环境进行检测，确保完整、可靠，处于正常可运行状态。执法人员在提取电子数据过程中，对可能无法重复提取及无法复现的情形，应当全程录屏。

第二十六条 在线收集、固定电子数据时，可以通过电子签名、可信时间戳、哈希值校验、区块链等证据收集、固定和防篡改的技术手段或者通过电子取证存证平台获取。必要时可以提取有关电子签名认证证书、数字签名、注册信息等关联性信息。

第二十七条 网络在线提取时应当制作笔录或证据报告，并采用截屏、录屏、录像等其中一种或几种方式记录以下信息：

（一）远程计算机信息系统的访问方式；

（二）提取的日期和时间；

（三）提取使用的工具和方法；

（四）电子数据的网络地址、存储路径或者数据提取时的进入步骤等；

（五）计算完整性校验值的过程和结果；

（六）其他依法应当记录的信息。

第六章 电子数据的检查分析

第二十八条 对查封、扣押、先行登记保存的原始存储介质或者提取的电子数据,需要进一步发现和提取与案件相关的线索和证据的,可以进行电子数据检查分析并制作笔录，记录检查分析基本情况、检查过程和检查结果等内容。

第二十九条 电子数据的检查分析，应当由两名以上执法人员进行。必要时可以指派或者聘请有专业技术知识的人员参加。

总共3页  [1] 2 [3] 
上一页  下一页