警察人員考試三等考試-刑事鑑識人員類別犯罪偵查112 年第 8 題單選題
依照刑案現場數位證物蒐證手冊之規定，下列敘述何者錯誤？
A立即隔離犯嫌與數位證物之接觸，避免犯嫌修改數位證物之資料
B立即中斷網路設備運作，防止他人從網路刪除數位證物重要資料正確答案
C現場查扣行動裝置，應開啟飛航模式或隔絕其通訊及網路功能
D勿複製任何檔案至儲存裝置，以保持證物完整性
B正確答案
數位證物蒐證不可貿然斷電斷網，以免揮發性資料滅失；行動裝置則需開啟飛航模式防遠端抹除。
為什麼答案是 B
對於運作中的電腦或伺服器，貿然中斷網路或電源會導致記憶體中的揮發性資料滅失，應先由專業人員擷取。
載入中…
完整詳解
Pro · 無限重點 數位證物蒐證不可貿然斷電斷網，以免揮發性資料滅失；行動裝置則需開啟飛航模式防遠端抹除。
看到「立即中斷網路或電源」必錯！運作中電腦需先保全揮發性資料，貿然斷網會破壞證據。
逐選項分析
A✕
隔離犯嫌可防止其當面刪除或加密數位證物，為現場保全基本原則。
B✓ 正確
對於運作中的電腦或伺服器，貿然中斷網路或電源會導致記憶體中的揮發性資料滅失，應先由專業人員擷取。
C✕
行動裝置易遭遠端抹除，查扣時應立即開啟飛航模式或放入法拉第袋隔絕訊號。
D✕
為維持證據完整性，現場應直接扣押儲存媒體原物，切勿隨意複製檔案以免破壞雜湊值。
數位證物現場保全重點對照
| 證物類型 | 正確處置方式 | 錯誤/禁忌行為 |
|---|
| 行動裝置(手機/平板) | 開啟飛航模式、放入法拉第袋、保持電量 | 任由其連線網路(防遠端抹除) |
| 運作中電腦/伺服器 | 先擷取揮發性資料(RAM)、評估後斷網斷電 | 立即拔電源或中斷網路 |
| 一般儲存媒體 | 直接扣押原物、防靜電包裝 | 在現場隨意複製檔案 |
| 犯嫌與證物 | 立即隔離犯嫌與數位證物 | 讓犯嫌繼續操作設備 |
考生易將「行動裝置防遠端抹除需斷網」的觀念，錯誤套用到「運作中的電腦或伺服器」。伺服器貿然斷網會導致揮發性資料滅失，正確做法是先保全記憶體資料。 
