警察人員考試三等考試-刑事鑑識人員類別犯罪偵查113 年第 18 題單選題
進行數位證物鑑識時，下列何者最為恰當？
A直接在原始證物上進行分析，以節省時間及成本
B製作工作複本，在複本上進行分析正確答案
C使用普通工具進行行動裝置資料擷取，以降低成本
D對證物進行加密，以保護隱私
B正確答案
數位鑑識鐵則：製作工作複本分析，保全原始證物完整性與證據力。
為什麼答案是 B
製作 bit-by-bit 映像檔(工作複本)並以 hash 驗證一致性後，於複本上分析，可確保原始證物完整性，符合數位鑑識標準程序。
載入中…
完整詳解
Pro · 無限重點 數位鑑識鐵則：製作工作複本分析，保全原始證物完整性與證據力。
看到「原始證物」字眼幾乎都錯！數位鑑識必製作映像檔(複本)分析。
逐選項分析
A✕ 陷阱
直接動原始證物會破壞資料完整性(hash 值改變)，導致證據在法庭上不被採信，是數位鑑識最大禁忌。
B✓ 正確
製作 bit-by-bit 映像檔(工作複本)並以 hash 驗證一致性後，於複本上分析，可確保原始證物完整性，符合數位鑑識標準程序。
C✕
行動裝置鑑識須使用專業鑑識工具(如 Cellebrite、XRY)，普通工具可能寫入資料、破壞時間戳，使證據失去證據能力。
D✕ 陷阱
鑑識人員任務是「保全」證物而非加密。加密原始證物反而會妨礙後續鑑識與法庭檢驗，混淆鑑識流程與隱私保護概念。
數位鑑識標準程序 (SOP)
| 步驟 | 動作 | 目的 | 關鍵工具 |
|---|
| 1. 保全 | 現場封存、斷網 | 防止資料變動 | 法拉第袋 |
| 2. 擷取 | 製作映像檔 | 保留原始證物 | 寫入阻斷器 |
| 3. 驗證 | Hash 值比對 | 證明複本一致 | MD5/SHA |
| 4. 分析 | 在複本上分析 | 保全證據力 | EnCase/FTK |
A、C、D 三個選項都用「節省時間」「降低成本」「保護隱私」等聽起來合理的理由包裝錯誤做法。數位鑑識核心是「證據完整性」，任何會變動原始證物的行為都是 NG，速度與成本從來不是優先考量。 
