Adli bilişim raporu, imaj alma ve hash

İmaj nedir?

Adli bilişimde imaj, bir materyalin uygun yöntemle alınan inceleme kopyasını ifade eder. Sıradan dosya kopyasından farklı kapsam ve teknik özellikler taşıyabilir. Hangi cihazdan ne yöntemle alındığı ve işlemin kayıtları önemlidir. İncelenen kopya ile teslim alınan cihazın eşleştirilmesi gerekir.

Hash neyi kanıtlar?

Hash, veriden üretilen dijital özet değeridir. Kopyalar arasında bütünlük karşılaştırmasına yardımcı olur. Aynı hash, kaydın gerçek kişi tarafından oluşturulduğunu, içeriğinin doğru olduğunu veya hukuka uygun elde edildiğini tek başına kanıtlamaz. Bütünlük ile aidiyet farklı meselelerdir.

Raporun kapsamı

Kullanılan araç, sürüm, incelenen tarih aralığı, veri türleri ve bulunamayan kayıtlar açıklanmalıdır. Ekran görüntüsü, çıkarılmış dosya ve uzman yorumu birbirinden ayrılır. Silinmiş kaydın kurtarılması veya kullanıcıya bağlanması iddiası yöntem ve sınırlarıyla okunur. Teknik terimler hukuki sonucun yerine geçmez.

İtiraz ve ek inceleme

Eksik ekler, yanlış cihaz eşleşmesi veya açıklanmayan zaman farkı varsa somutlaştırılır. “Rapor hatalı” cümlesi yerine ilgili bulgunun neden tartışmalı olduğu gösterilir. Lehe verilerin ve farklı kullanıcı ihtimalinin incelenmesi istenebilir. Olmayan teknik hata uydurulmamalı; gerekirse uzman yardımından yararlanılmalıdır.

İmaj ve hash teknik soruların tamamını cevaplamaz

İmaj inceleme için alınan dijital kopyayı; hash ise veri bütünlüğünü karşılaştırmaya yarayan değeri ifade eder. Kullanılan yöntem ve kapsam raporda açık olmalıdır. Hash eşleşmesi, dosyayı hangi kişinin oluşturduğunu veya suçun bütün unsurlarını tek başına göstermez.

Raporda kayıtların tarihleri, kaynak cihazı, elde edilme yöntemi ve yorum sınırları incelenir. Silinmiş dosyanın bulunması, dosyanın olay tarihinde erişilebilir olduğunu her zaman açıklamaz. Eksik veya çelişkili noktalar için kayda dayalı soru hazırlanır. Teknik itirazda yalnız terimleri tekrar etmek yerine rapordaki belirli bulgu gösterilmelidir.