Có một sự thật hơi phũ phàng với người làm kỹ thuật: với hầu hết những người sẽ ra quyết định dựa trên công việc của bạn, bản báo cáo chính là cuộc điều tra. Họ không ngồi cạnh bạn lúc tạo bản sao pháp y, không thấy màn hình lúc bạn dựng dòng thời gian. Họ chỉ đọc những gì bạn viết. Một cuộc điều tra xuất sắc được trình bày tệ sẽ thua một cuộc điều tra trung bình được trình bày rõ ràng.
Báo cáo giám định phục vụ ai
Khó khăn lớn nhất là báo cáo phải cùng lúc phục vụ nhiều nhóm người rất khác nhau: người ra quyết định không chuyên về kỹ thuật, người phụ trách pháp lý quan tâm tới tính hợp lệ của quy trình, đồng nghiệp kỹ thuật của bên đối lập sẽ soi từng chi tiết, và chính bạn của một hai năm sau khi được hỏi lại mà đã quên gần hết.
Không thể viết một văn bản đồng nhất làm hài lòng cả bốn. Cách giải quyết là phân tầng: phần đầu viết cho người không chuyên, phần giữa trình bày phát hiện ở mức vừa phải, phụ lục chứa chi tiết kỹ thuật đầy đủ. Ai cần tới đâu đọc tới đó.
Cấu trúc một bản báo cáo
- Thông tin hành chính: vụ việc, người yêu cầu, người thực hiện và trình độ chuyên môn, ngày tháng, số hiệu báo cáo và phiên bản.
- Phạm vi và câu hỏi cần trả lời: nêu chính xác bạn được yêu cầu làm rõ điều gì. Phần này quan trọng hơn vẻ ngoài của nó, vì nó xác định đâu là ranh giới mà kết luận không được vượt qua.
- Tóm tắt cho người ra quyết định: nửa trang đến một trang, không thuật ngữ, trả lời thẳng các câu hỏi ở mục trên.
- Vật chứng tiếp nhận: danh sách thiết bị và dữ liệu, kèm dấu hiệu nhận dạng, tình trạng khi nhận, giá trị băm, và tham chiếu tới hồ sơ chuỗi hành trình chứng cứ.
- Phương pháp: đã làm gì, theo trình tự nào, bằng công cụ nào, phiên bản nào, trong môi trường nào.
- Phát hiện: các sự kiện quan sát được, mỗi phát hiện gắn với nguồn dữ liệu cụ thể.
- Phân tích và diễn giải: ý nghĩa của các phát hiện, đặt tách bạch khỏi mục trên.
- Giới hạn: những gì không làm được, không kiểm tra được, hoặc không kết luận được, kèm lý do.
- Kết luận: trả lời từng câu hỏi ở phần phạm vi, trong đúng giới hạn dữ liệu cho phép.
- Phụ lục: bảng giá trị băm, trích xuất log, ảnh chụp màn hình, bảng thuật ngữ, dòng thời gian đầy đủ.
Tách sự kiện quan sát được khỏi suy luận
Đây là nguyên tắc quan trọng nhất của cả bài, và cũng là chỗ bị vi phạm nhiều nhất. Có hai loại câu hoàn toàn khác nhau về bản chất:
- Quan sát: “Trong nhật ký xác thực có bản ghi đăng nhập thành công bằng tài khoản A lúc 02:14 giờ quốc tế, từ địa chỉ IP X.” Đây là dữ kiện, ai kiểm tra lại cũng thấy đúng như vậy.
- Suy luận: “Ông B đã đăng nhập lúc 02:14 để lấy dữ liệu.” Câu này vượt xa dữ liệu: nó gán tài khoản cho một con người, gán ý định cho hành vi, và ngầm loại trừ khả năng tài khoản bị chiếm.
Suy luận không bị cấm — đưa ra nhận định chuyên môn chính là việc của người giám định. Nhưng nó phải nằm ở mục riêng, được gọi đúng tên, và nêu rõ dựa trên dữ kiện nào. Một cách viết tốt là nêu giả thuyết kèm mức độ chắc chắn và các khả năng thay thế: “Dữ liệu phù hợp với giả thuyết X. Giả thuyết Y cũng không bị loại trừ vì thiếu nguồn Z.”
Cách diễn đạt tưởng nhỏ nhưng khác nhau rất xa: “tệp đã bị xoá lúc 10:05” là kết luận, còn “nhật ký hệ thống tệp có bản ghi thao tác xoá đối với tệp này ở thời điểm tương ứng 10:05” là mô tả. Cái sau khó bị bác bỏ hơn nhiều.
Viết cho người không chuyên
Vài nguyên tắc thực dụng. Giải thích thuật ngữ ở lần dùng đầu tiên, ngắn gọn một câu, và giữ bảng thuật ngữ ở phụ lục. Dùng phép so sánh nhưng đừng lạm dụng: so sánh giúp hiểu nhưng cũng có thể gợi ra điều sai. Câu ngắn, chủ động, cụ thể. Số liệu kèm đơn vị và chuẩn thời gian, thống nhất một múi giờ trong toàn báo cáo.
Và một điều tế nhị: giữ giọng trung lập. Các tính từ mang màu sắc đánh giá — “tinh vi”, “trắng trợn”, “rõ ràng là cố ý” — không thêm thông tin nào mà chỉ làm lộ định kiến, khiến toàn bộ báo cáo dễ bị công kích là thiếu khách quan.
Phụ lục kỹ thuật dùng để làm gì
Phụ lục tồn tại để người khác kiểm chứng lại. Tiêu chí tốt là: một chuyên gia độc lập, cầm cùng dữ liệu và đọc phần phương pháp cùng phụ lục, phải làm lại được và ra cùng kết quả.
Vì vậy phụ lục cần đủ giá trị băm của mọi vật chứng, danh sách công cụ kèm phiên bản, các lệnh đã thực hiện, dữ liệu thô trích dẫn nguyên trạng, và dòng thời gian đầy đủ. Nên tránh việc đổ nguyên hàng chục trang kết quả công cụ mà không một dòng giải thích.
Những lỗi thường gặp
- Khẳng định vượt quá dữ liệu. Lỗi nghiêm trọng nhất: gán hành vi cho con người trong khi dữ liệu chỉ nói về tài khoản, hoặc gán ý định trong khi dữ liệu chỉ nói về thao tác.
- Thiếu tên và phiên bản công cụ. Kết quả có thể khác nhau giữa các phiên bản, nên thiếu thông tin này là báo cáo không kiểm chứng lại được.
- Không có mục giới hạn. Báo cáo không nêu giới hạn nào trông tự tin, nhưng thực chất kém tin cậy hơn, vì mọi cuộc điều tra đều có giới hạn.
- Nhầm lẫn thời gian. Trộn nhiều múi giờ, hoặc không nói rõ đang dùng chuẩn nào — đủ để phá hỏng toàn bộ dòng thời gian.
- Không thấy gì và kết luận là không có gì. “Không tìm thấy dấu vết” khác hẳn “không có sự việc”; dấu vết có thể đã bị ghi đè, log có thể chưa từng được bật.
- Dùng ngôn ngữ tuyệt đối như “chắc chắn một trăm phần trăm”, trong khi bản chất công việc là suy luận từ dấu vết không đầy đủ.
- Bỏ qua dữ liệu không ủng hộ giả thuyết. Nghĩa vụ của người giám định là trình bày cả những gì mâu thuẫn với kết luận của chính mình.
- Lỗi hình thức: sai chính tả tên tệp, lệch giá trị băm giữa các phần, đánh số phụ lục không khớp. Nhỏ, nhưng làm người đọc nghi ngờ luôn phần kỹ thuật.
Kết luận
Báo cáo giám định là nơi công việc kỹ thuật chuyển thành thứ người khác dùng được. Một bản báo cáo tốt tách bạch quan sát với suy luận, nói rõ đã dùng công cụ nào và phiên bản nào, thừa nhận thẳng thắn giới hạn của mình, và viết bằng ngôn ngữ người không chuyên hiểu được mà người chuyên môn không bắt bẻ được. Thước đo cuối cùng rất đơn giản: người đọc phải hiểu bạn đã làm gì, vì sao kết luận như vậy, và kết luận đó không nói lên điều gì.
Lưu ý: bài viết mang tính giới thiệu chung, không phải tư vấn pháp lý. Với vụ việc cụ thể, hãy tham vấn chuyên gia pháp luật có thẩm quyền.