电子证据的搜集和司法鉴定

1、同一性鉴定

每台计算机都有区别于其他计算机的特征，生成的证据也可能会留有计算机的特征，比如上网用户有其唯一的IP地址和网卡地址，WORD文档中保存有计算机的用户名、文件的存放位置、最后一次打印时间以及编辑所持续的时间等，打印件所用的打印机、打印头、墨盒、粉盒和纸张也可能呈现某种特征。计算机使用者也有其区别于他人的不同习惯，比如汉字打字所用的输入法、错别字的规律.编写程序的风格等[2]。

2、事实有无的鉴定

软件、数据的性质决定了某种违法事实是否存在，如“有害数据”和“有害信息”的认定.著作权保护和软件保护中侵权行为的认定，计算机程序是否危害计算机信息系统运行和功能发挥的认定等。就我国刑法规定而言，非法入侵的认定，需要鉴定有无网络入侵行为，主要是通过入侵工具的认定、IP地址和电话号码，服务器日志的分析等在时间上形成完整的证据链。我国刑法对破坏计算机信息系统行为处罚标准是“后果严重”或“后果特别严重”，有些国家的法律，对未遂的破坏行为也要处罚.对可能产生破坏的工具的鉴定就显得重要。

对于软件性质的鉴定，可能会产生争议，有时需要区分“菜刀与匕首”，1999年重庆杜某编制了YAl程序，通过软盘和I
teet传播，主要以邮件附件的形式传递.在没有特殊现象、毫无征兆的情况下.能够快速侵入系统。作者将YAl比作菜刀，菜刀的主要功能是切菜.使用不当，偶尔也会伤到手指，但用它去杀人，就不是造刀人的初衷了。我们诚然相信，作者的初衷并非是制造肆意传播的病毒，也不是为黑客提供入侵他人系统的工具，而是软件开发中的疏漏。但必须明确的一点是：如同真理跨过一步就是谬误一样，带有缺陷的软件也会造成如病毒般的危害，作者理应承担责任。

对于破坏性的认定，从信息安全的角度看，是要保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露保障计算机系统能连续正常运行。在司法实践中.一些人故意在程序中加入逻辑控制，设置时间锁，在一定条件下停止软件的某些功能，破坏了系统的正常运行，应当认定是破坏性程序。危害信息系统数据可靠性、完整性和保密性的程序都应当认定为破坏性程序。

3、事实程度的鉴定

对于利用计算机实施金融诈骗、盗窃、贪污、挪用公款的案件.损失认定比较直接，容易量化，但我国刑法对破坏计算机信息系统行为处罚标准是“后果严重”和“后果特别严重”，对这类案件的认定，尤其是`’后果严重”和“后果特别严重”的认定，是目前司法实践中最为困惑的问题，能否量化和如何量化要得到公、检、法各方认可有一定难度，导致许多案件难以处罚，需要有关部门制定出可操作性的相应标准或司法解释。

比如法医鉴定中的伤害有卫生部制定的标准，盗窃罪数额认定有最高人民法院、最高人民检察院`公安部关于盗窃罪数额认定标准问题的规定。有一种情况是.作为信息安全的技术措施，重要的信息系统往往有数据备份，在遭受破坏后，可能比较容易恢复，损失该如何认定，有人认为数据恢复后就没有损失.使得作案者逃避了打击，笔者认为，从保护信息系统安全和打击犯罪行为的角度考虑，应以不恢复状态所造成的损失来认定。

电子证据司法鉴定目前主要从证据的同一性、证据有无、证据的事实程度几个方面进行认定。主要就是判断这个电子证据是不是与案件有关，是不是涉案设备上产生的电子证据，电子证据证明的情况是否达到案件认定的程度。