在民事案件中，特別是在經(jīng)濟(jì)糾紛案件中，“法醫(yī)”的地位也存在。收集和分析各種財務(wù)報告、合同和報表，作為訴訟證據(jù)。負(fù)責(zé)收集證據(jù)的人實際上是一家商業(yè)調(diào)查公司。
據(jù)武漢商業(yè)調(diào)查公司，隨著計算機(jī)的普及，越來越多的證據(jù)是數(shù)字化和電子化的。這給商業(yè)調(diào)查公司帶來了一個難題——如何收集數(shù)字證據(jù)？
數(shù)字取證檢查員使用一系列技術(shù)從計算機(jī)中查找數(shù)據(jù)，通常用于恢復(fù)已刪除、加密或損壞的文件（圖形、文檔、圖像等）。
所有這些信息都至關(guān)重要，尤其是在獲取證據(jù)或準(zhǔn)備刑事或民事訴訟的過程中。要恢復(fù)的大部分信息可能無法在簡單刪除的文件中找到。它可能隱藏在其他數(shù)據(jù)文件中，如HTML、電子郵件條目和從硬盤區(qū)域（如虛擬內(nèi)存、可用空間或回收站）恢復(fù)的信息。
根據(jù)武漢商業(yè)調(diào)查公司的經(jīng)驗，在收集數(shù)字證據(jù)時，我們應(yīng)注意以下三項：
收集和保存數(shù)字證據(jù)的方式對于任何調(diào)查或法律事務(wù)都至關(guān)重要。
首先，企業(yè)必須在其律師的幫助下，確定其是否擁有收集存儲在感興趣的電子設(shè)備上的數(shù)據(jù)的合法權(quán)利。
計算機(jī)硬盤和大多數(shù)形式的數(shù)字媒體在每次訪問和修改時都有時間戳。為了保存上次使用的證據(jù)，必須關(guān)閉設(shè)備，拔下電源線，如果可能，將其存放在安全的位置。盡管IT人員有所了解，但他們只能通過使用設(shè)備或?qū)⒃O(shè)備重新分配給另一名員工來無意中更改調(diào)查中的關(guān)鍵數(shù)據(jù)。
所有嫌疑犯和證人都應(yīng)從存放電子設(shè)備的一般區(qū)域撤離。如果無法做到這一點(diǎn)，則應(yīng)在正常工作時間之后，在沒有嫌疑人和證人在場的情況下收集或保存電子證據(jù)。此外，在可能的情況下，不應(yīng)告知嫌疑人和證人正在從分配給他們的電子設(shè)備收集證據(jù)。
如果無法將電子設(shè)備轉(zhuǎn)移給調(diào)查公司，審查員應(yīng)使用公認(rèn)的數(shù)字方法在現(xiàn)場對設(shè)備進(jìn)行成像或復(fù)制。請記住，此過程的長度取決于硬盤驅(qū)動器的大小和成像的數(shù)據(jù)量。
第二，在對電子設(shè)備所載數(shù)據(jù)進(jìn)行任何工作之前，應(yīng)收集與調(diào)查有關(guān)的所有信息。這包括密碼、識別使用的操作系統(tǒng)類型、屏幕名稱、電子郵件地址、感興趣的軟件程序等。
應(yīng)徹底搜查電子設(shè)備位置附近的區(qū)域，以尋找任何證據(jù)。數(shù)字取證檢查員定期拍攝整個工作區(qū)，尋找替代數(shù)據(jù)存儲設(shè)備或使用它們的跡象。外部硬盤、軟盤、USB閃存、SD卡和讀卡器、錄音機(jī)、數(shù)碼相機(jī)甚至iPod可用于存儲可能與調(diào)查有關(guān)的數(shù)據(jù)。
應(yīng)使用保管鏈清單記錄任何電子設(shè)備的收集情況。保管鏈應(yīng)注明接收電子設(shè)備的日期、人員姓名、授權(quán)發(fā)放電子設(shè)備的人員姓名、電子設(shè)備的詳細(xì)說明以及任何識別信息，如序列號。還應(yīng)拍攝電子設(shè)備的時間戳照片。如果無法在現(xiàn)場執(zhí)行從電子設(shè)備（如筆記本電腦）收集的數(shù)據(jù)，客戶可以將電子設(shè)備發(fā)送給檢查員。裝運(yùn)前應(yīng)拍攝設(shè)備照片，并附上描述裝運(yùn)電子設(shè)備的附信。貨物應(yīng)該是可追蹤的，而且包裝時要特別小心。