Anatomia cyfrowego śledztwa: cz. 1 – Mapa

TL;DR:

• Wpis otwiera serię i wyjaśnia, czym jest EDRM - „mapa" pracy z dowodami elektronicznymi, z której korzysta cała branża eDiscovery.

• Omówione są kluczowe zmiany w EDRM 2.0 (konsultacje publiczne do 30 lipca 2026):

  • analiza trwa od początku do końca,

  • identyfikacja, zabezpieczenie i zebranie danych łączą się w jeden etap - Data Acquisition,

  • ład informacyjny staje się fundamentem pod całym procesem,

  • pojawia się nowy etap - Disposition, czyli rozliczenie danych po zakończeniu sprawy.

• W kolejnej części: firmowa poczta i M365 - ile „żyją" skasowane maile, co da się odzyskać i kiedy litigation hold może uratować dochodzenie.

Wprowadzenie

Zarząd, prawnik i ekspert eDiscovery mogliby przez trzy tygodnie rozmawiać o tej samej delikatnej sprawie, a mimo to różnie rozumieć, na jakim etapie jej wyjaśniania są i kiedy będzie można pokazać wyniki. Na szczęście od ponad 20 lat na pomoc przychodzi im „mapa". I ta mapa właśnie jest rysowana na nowo.

Zanim jednak doprecyzujemy, jakiej mapie poświęcony jest ten wpis, spójrzmy na dwa przykłady prowadzenia postępowania – kiedyś i dziś.

Dwa śledztwa, 8 lat różnicy.

Rok 2018. Podejrzenie, że pracownik wyprowadza środki z firmy przez preferowanych dostawców. Zabezpieczamy „wszystko": jego komputer, komputery współpracowników, serwer poczty, serwer plików. Pamiętamy takie sprawy. Kopiowanie dysków trwało godzinami (a nawet dniami), potem kilka dni przygotowania materiału i dopiero na końcu długi przegląd przez grupę ekspertów. Kolejność była święta: najpierw zabierz, potem przygotuj, na końcu czytaj. Skala danych w organizacjach na to pozwalała. Wszystko, czego do wyjaśnienia takiego dochodzenie potrzebowaliśmy, mieściło się w trzech firmowych zakamarkach: na serwerze pocztowym, na wspólnym dysku albo w segregatorze (tutaj to trochę inna historia).

Rok 2026. To samo podejrzenie. Ale maile są w chmurze, prawdziwe rozmowy toczą się na komunikatorze, a kluczowe ustalenia do oferty preferowanego dostawcy potrafią istnieć tylko jako zdjęcie w galerii telefonu. Odpowiedź na pytanie, kto, kiedy i z jakiego urządzenia sięgał po firmowe pliki (także z prywatnego komputera, po godzinach) siedzi w logach, które znikają w najlepszym wypadku po 180 dniach, a niektóre nawet po 7 dniach. Obserwujemy też, że ważny dowód może czekać tam, gdzie jeszcze niedawno nikt nie zaglądał - w historii rozmów z ChatGPT/MS Copilot, gdzie pracownik prosi o przygotowanie umowy -  w imieniu swojego „dostawcy". Z tego właśnie względu, zrozumienie sytuacji i analiza dostępnych danych są niezbędne od początku. Mechanizm „zabezpieczcie wszystko" wciąż jednak często pojawia się w głowach (zwłaszcza jeśli organizacja mierzy się z taką sytuacją pierwszy raz) - rozumiemy go, daje pozorne poczucie bezpieczeństwa. Tyle że dziś „wszystko" to dziesiątki terabajtów, tygodnie pracy i budżet, przy którym w niejednym zarządzie pojawia się myśl: czy to się w ogóle opłaca wyjaśniać - może taniej dojść do porozumienia albo uznać, że tematu nie było.

Czym właściwie jest ta mapa

Wróćmy teraz do mapy. Nazywa się EDRM - Electronic Discovery Reference Model. Stworzyło ją w 2005 roku dwóch amerykańskich praktyków i od tego czasu porządkuje eDiscovery, czyli proces pracy z dowodami elektronicznymi w sporach i dochodzeniach. Od zlokalizowania i zabezpieczenia danych po wnioski, które można położyć na stole przed decydentami albo sądem. Model jest przy tym czysto umowny - to nie jest żadne konkretne oprogramowanie, tylko schemat działania, z którego korzystamy. Rozpisuje drogę danych na etapy i nadaje im nazwy - dzięki czemu przytoczony na początku prawnik, zewnętrzny ekspert i zarząd, często z trzech różnych organizacji, mówią o sprawie tym samym językiem: wiadomo, co już za nami, co przed nami i z czego wynika kolejny krok.

Spójrzmy na diagram (jednej z poprzednich wersji EDRM) powyżej. EDRM czyta się od lewej do prawej jak lejek. W tle widzimy dwie zależności: po drodze maleje wolumen danych, a rośnie ich istotność. Obietnica jest prosta - im dalej w prawo w procesie, tym mniej dokumentów i tym są ważniejsze. Nabieramy wszystko, odsiewamy, wybieramy to, co się liczy. I przez lata to działało. Dziś już nie do końca: istotność nie rośnie proporcjonalnie do przerobionych terabajtów. Odpowiedź na kluczowe pytanie potrafi siedzieć w trzech skrzynkach, jednym telefonie i krótkim wątku na projektowym czacie. Kolejne zgrane dane nie dodają wiedzy - dodają koszty i szum. Dziś nie chodzi o to, by zebrać wszystko, lecz by możliwie wcześnie ustalić (nawet po wstępnej analizie), które dane naprawdę mogą być dla nas istotne.

I właśnie te zmiany przypieczętowuje EDRM 2.0 (2026) - pierwsza tak duża przebudowa modelu od lat. Mapę, którą dwie dekady temu naszkicowało dwóch praktyków, dziś przerysowuje globalna społeczność ponad 100 ekspertów. Nowa mapa jest już rozłożona na stole, ale ołówki nie zostały jeszcze odłożone. Wersja trafiła do konsultacji publicznych, które potrwają do 30 lipca 2026 r., więc jej ostateczny kształt może się jeszcze delikatnie zaktualizować. Natomiast jej aktualny kontur (na czas pisania postu) zamieszczamy poniżej.

Co zmienia się na mapie

EDRM 2.0 (2026) nie zmienia wszystkiego, ale przesuwa kilka ważnych akcentów. Najważniejsze zmiany opisujemy poniżej.

1. Analiza trwa cały czas

Analiza danych jest procesem ciągłym, nie punktowym. Przestaje być etapem w środku lejka – jest wspólnym mianownikiem dla wszystkich faz procesu.

Dzisiaj, w zasadzie pierwszego dnia sprawy możemy zajrzeć w dostępne dane

, sprawdzić powiązania między osobami i wytypować kolejne źródła: dodatkowe skrzynki, telefon, czat projektowy albo dane z chmury. Równie ważne jest to, czego nie zbierać bez potrzeby.

 To podejście działa zarówno przy szybkim rekonesansie, czyli Early Case Assessment (ECA), jak i przy późniejszej, pełnej analizie materiału. W bardziej złożonych sprawach analizować warto także same wyniki, bo często dopiero one pokazują, które wątki warto pogłębić.

EDRM nadal prowadzi wzrok od lewej do prawej, ale nie jest prostą instrukcją krok po kroku. Etapy mogą się nakładać, powtarzać albo cofać nas do wcześniejszych decyzji, gdy nowe ustalenia zmieniają obraz sprawy.

 

2. Większy nacisk na umiejętne i precyzyjne przygotowanie danych.

Identyfikacja, zabezpieczenie, zebranie i przetworzenie danych są spięte jedną szerszą klamrą: Data Acquisition.

Część źródeł nie poczeka spokojnie na swoją kolej. Logi mogą zniknąć po kilku dniach, maile w chmurze mogą zostać bezpowrotnie usunięte, a dostęp do zdjęć na telefonie albo historii komunikatora może się zmienić bardzo szybko. Dlatego w praktyce często trzeba równocześnie ustalać, gdzie są dane i zabezpieczać - nawet tego samego dnia.

Wolumen danych w zasobach organizacji też znacząco spuchł. To przesuwa ciężar pracy „na lewo”. Dane oceniamy wcześnie, a wolumen selekcjonujemy zanim materiał trafi do najdroższego etapu, czyli przeglądu. Nowy model pokazuje to wprost: im lepiej zawęzimy zakres przed „review”, tym mniej czasu (i pieniędzy) poświęcimy na materiał, który od początku nie miał znaczenia.

Przegląd staje się węzłem, w którym zaczyna się klarować obraz sprawy – z dostępnych danych wyłaniają te, które są istotne.

3. Ład informacyjny jako fundament

W starym diagramie etap „Information Governance” (do 2014 istniejący pod pojęciem  „information management”)  znajdował się trochę w oderwaniu od całości po lewej stronie. W zaproponowanym modelu znika z szeregu i trafia pod cały proces jako fundament, który kotwiczy działania.

Ta zmiana dobrze pokazuje sens ładu informacyjnego: to nie jest coś, co zaczyna się dopiero przy konkretnej sprawie. To sposób, w jaki organizacja na co dzień zarządza informacją - wie, jakie dane ma, gdzie są przechowywane, kto ma do nich dostęp, jak długo powinny być trzymane i kiedy należy je usunąć.

4. Dodanie etapu - Disposition

Dodany etap Disposition, przypomina o czymś, co łatwo pominąć. Po zakończeniu sprawy dane nie powinny zostawać w organizacji ani u podmiotu trzeciego bez końca i w niezmienionej formie. Trzeba zdecydować, co można dalej przechowywać, co należy zwrócić, a co usunąć — zgodnie z politykami firmy, obowiązującymi regulacjami i zakresem sprawy.

To nie jest już tylko dobra praktyka porządkowa. To kwestia prawna, organizacyjna i bezpieczeństwa.

Podsumowanie

Łatwo uznać: kolejny schemat, kolejne przesunięcie pól na diagramie. Ale modele referencyjne rzadko wyprzedzają rzeczywistość - częściej porządkują zmianę, która już się wydarzyła.

W cyfrowym dochodzeniu to, co uda się na początku ustalić, dobrze ocenić i właściwie poukładać, potrafi ważyć więcej niż terabajty danych zebrane później.

W dzisiejszych sprawach problemem coraz rzadziej jest samo zebranie danych. Częściej jest nim to, czy najważniejsze źródła w ogóle doczekały momentu, w którym ktoś o nie zapytał.

Co dalej

Skoro analiza towarzyszy całemu procesowi, naturalne pytanie brzmi: co dziś możemy analizować, gdzie tego szukać i jak nie zginąć w gąszczu tych danych? W kolejnych częściach przejdziemy przez trzy obszary: chmurę (poczta i M365), kieszeń (telefon) i biurko (laptop). Zaczniemy od firmowej poczty - od tego, ile „żyją” skasowane maile i czym jest zawieszka „nie sprzątać” (litigation hold), która potrafi uratować całe dochodzenie.

 -------------------------------------------------------

• Dla dociekliwych czytelników historię i ewolucję publicznych diagramów EDRM można prześledzić tutaj: https://edrm.net/resources/frameworks-and-standards/edrm-model/edrm-diagrams-a-history/

• Wszystkie obrazy prezentujące model EDRM zostały pobrane z https://edrm.net/edrm-model/