Analiza kryminalna nie jest programem rysującym sieć kontaktów. Jest kontrolowanym procesem przekształcania informacji w ocenę potrzebną do decyzji. Wykres może ujawnić wzór, ale może też nadać przypadkowemu połączeniu pozór sprawstwa. O jakości decydują pochodzenie danych, rozdzielenie faktu od hipotezy, test alternatywnych wyjaśnień i jasny komunikat o niepewności.

Analityk nie zastępuje prowadzącego postępowanie ani sądu. Jego zadaniem jest uporządkować problem, wskazać relacje, luki i najbardziej informacyjne dalsze czynności. Dobry produkt pozwala odbiorcy zobaczyć również to, czego analiza nie dowodzi.

Informacja, intelligence i dowód

Trzy różne produkty

Informacja jest surową treścią: wpisem, relacją, zdarzeniem, dokumentem lub obserwacją. Informacja kryminalna w znaczeniu analitycznym powstaje po ocenie źródła, treści i kontekstu oraz po zestawieniu z innymi danymi. Dowód jest materiałem funkcjonującym w określonym reżimie procesowym.

To samo zdanie może przechodzić między poziomami, ale nie automatycznie. Plotka może być wartościowym sygnałem do sprawdzenia, nie dowodem winy. Zabezpieczony plik może być dowodem rzeczowym, lecz jego znaczenie wymaga interpretacji.

Cel decyzji

Analiza zaczyna się od pytania: kto podejmie jaką decyzję i do kiedy? Bez tego zespół gromadzi wszystko, co wydaje się interesujące. Produkt dla dowódcy planującego priorytety regionu różni się od produktu dla zespołu szukającego osoby w ciągu godzin.

Wymaganie analityczne powinno określać podmiot, zakres czasu i miejsca, kryterium użyteczności, ograniczenia prawne i formę odpowiedzi. „Przeanalizować grupę” nie jest wystarczającym zleceniem.

Cykl analityczny

Kierowanie

Na etapie kierowania odbiorca i analityk uzgadniają problem, terminy, priorytet i dopuszczalne źródła. Powstają pytania kluczowe oraz wskaźniki, które mogłyby potwierdzić albo osłabić hipotezę.

Analityk powinien móc zakwestionować założenie zlecenia. Pytanie „jak X kieruje grupą?” zakłada, że X jest kierującym. Neutralniejsza forma brzmi: „jaka jest rola X i jakie alternatywne modele struktury wyjaśniają dane?”.

Pozyskanie

Plan kolekcji mapuje, co już istnieje, czego brakuje, kto może legalnie pozyskać dane i jaki będzie koszt. Źródła obejmują akta, bazy, materiał cyfrowy, obserwację, osoby, rejestry publiczne, współpracę krajową oraz zagraniczną.

Nie zbiera się danych „na zapas” bez celu. Nadmiar zwiększa ryzyko prywatności, duplikacji i przeoczenia. Każde źródło powinno mieć właściciela, podstawę, datę aktualności i ograniczenie użycia.

Zestawienie

Collation porządkuje różne formaty do wspólnego modelu. Ujednolica się identyfikatory, strefy czasowe, transliteracje, format numerów, nazwy podmiotów i geometrię miejsc, zachowując wartość oryginalną.

Normalizacja nie może niszczyć niepewności. „Jan Kowalski?” nie staje się „Jan Kowalski” przez usunięcie znaku zapytania. Dopasowanie nazwiska i daty urodzenia nie zawsze rozstrzyga tożsamość.

Ocena

Źródło i informację ocenia się osobno. Źródło dotychczas wiarygodne może przekazać błędną obserwację. Źródło nowe może dostarczyć autentyczny dokument. Ocenia się dostęp, bezpośredniość, motywację, możliwość błędu i niezależne potwierdzenie.

Skala jest skrótem, nie substytutem uzasadnienia. System 4×4, 5×5×5 czy nowszy 3×5×2 ma sens tylko wtedy, gdy odbiorca zna wersję oraz definicje. Nie należy mechanicznie tłumaczyć kodów między państwami i epokami.

Analiza

Analityk zestawia relacje, zdarzenia, przepływy i wzory, tworzy hipotezy, bada sprzeczności i ocenia stopień pewności. Narzędzie pomaga filtrować oraz liczyć, ale wybór jednostki, progu i interpretacji pozostaje decyzją człowieka.

Wynik powinien dać się prześledzić do przesłanek. Jeżeli usunięcie jednego słabego źródła zmienia całą konkluzję, raport musi to pokazać.

Dystrybucja

Produkt trafia do osoby, która może działać, w czasie pozostawiającym możliwość decyzji. Zakres ujawnienia odpowiada potrzebie odbiorcy i warunkom źródła. Najbardziej szczegółowy raport nie zawsze jest najlepszy.

Dystrybucja jest operacją na danych: zapisuje się odbiorcę, wersję, czas, załączniki i ograniczenia dalszego przekazania.

Informacja zwrotna

Odbiorca powinien przekazać, czy produkt odpowiedział na pytanie, co zostało zweryfikowane i jaka decyzja zapadła. Bez feedbacku analityk nie kalibruje ocen.

Cykl nie kończy się sukcesem operacji. Sprawdza się także hipotezy odrzucone, fałszywe alarmy i dane, które pojawiły się zbyt późno.

Ocena źródła i treści

Dostęp

Źródło bezpośrednio obecne przy zdarzeniu ma inny dostęp niż osoba powtarzająca relację. Dostęp może być techniczny, osobisty, zawodowy lub przypadkowy. Należy określić, co konkretnie źródło mogło widzieć.

„Pracuje w firmie” nie dowodzi dostępu do rachunków zarządu. „Mieszka obok” nie dowodzi rozpoznania osoby nocą.

Kompetencja i warunki

Obserwacja zależy od odległości, czasu, jakości sygnału, języka, wiedzy specjalnej i stanu źródła. Operator systemu może prawidłowo odczytać log, ale błędnie zinterpretować biznesowy sens transakcji.

Ocena zapisuje warunki, nie charakter człowieka. Etykieta „niewiarygodny” bez wyjaśnienia może niesłusznie przenosić się na każdą przyszłą informację.

Motywacja

Motywacja może obejmować pieniądze, zemstę, bezpieczeństwo, ideologię, korzyść procesową, lojalność i potrzebę uznania. Może się zmieniać. Nie jest prostym miernikiem prawdy.

Osoba zainteresowana wynikiem może przekazać autentyczny dokument. Bezinteresowny świadek może się mylić.

Niezależność

Dwa raporty nie są dwoma źródłami, jeśli pochodzą z jednego komunikatu. Kopia prasowa, wpis w bazie i notatka partnerskiej służby mogą tworzyć pętlę.

Mapa proweniencji łączy każdą kopię z pierwszym znanym źródłem. Liczbę potwierdzeń liczy się po źródłach pierwotnych, nie po dokumentach.

Analiza powiązań

Encje

Przed wykresem definiuje się encje: osoby, podmioty, telefony, konta, pojazdy, miejsca, urządzenia i zdarzenia. Każda ma stabilny identyfikator oraz warianty nazwy.

Nie należy łączyć osoby z numerem telefonu relacją „należy do” tylko dlatego, że numer pojawił się w jej otoczeniu. Możliwe relacje to abonent, użytkownik, posiadacz w określonym czasie, kontakt lub nieustalone powiązanie.

Macierz asocjacji

Macierz porządkuje pary encji przed narysowaniem grafu. W komórce można zapisać rodzaj relacji, liczbę zdarzeń, kierunek, czas, źródło i pewność. Etap ten ujawnia konflikty tożsamości.

Warto rozdzielić relację potwierdzoną, deklarowaną i hipotetyczną. Grubość linii nie może jednocześnie oznaczać liczby kontaktów i pewności.

Węzeł centralny

Wysoki stopień w grafie nie oznacza kierowania grupą. Węzłem centralnym może być infolinia, księgowy, kurier, wspólny lokal lub urządzenie przejęte przez wiele osób.

Miary centralności odpowiadają na różne pytania. Degree pokazuje liczbę bezpośrednich relacji; betweenness pośrednictwo na ścieżkach; eigenvector powiązanie z dobrze połączonymi węzłami. Żadna sama nie dowodzi roli przestępczej.

Brak krawędzi

Brak wykrytej relacji może wynikać z braku danych, a nie braku kontaktu. Dwa systemy mogą nie być połączone, okres retencji mógł minąć, a osoby używać kanału poza zbiorem.

Wizualizacja powinna odróżniać „nie stwierdzono” od „wykluczono”.

Wykres zdarzeń i oś czasu

Zdarzenie jako rekord

Zdarzenie zawiera czas początku i końca, strefę, miejsce, osoby, źródło i poziom pewności. Czas urządzenia, czas serwera, czas operatora i czas rzeczywisty mogą się różnić.

Należy zachować wartość surową oraz przeliczoną. Nieznany dzień lub godzina pozostaje przedziałem, nie sztucznym punktem.

Sekwencja i przyczynowość

Wykres pokazuje następstwo, nie przyczynę. Telefon po spotkaniu nie dowodzi, że spotkanie wywołało rozmowę. Analityk oznacza hipotezę łączącą zdarzenia jako hipotezę.

Pomocne są kontrprzykłady: ile podobnych rozmów miało miejsce bez spotkania i ile spotkań bez rozmowy?

Zdarzenia równoległe

W sprawie wielowątkowej osobne pasy pokazują osoby, urządzenia, finanse i działania organów. Pozwala to ujawnić niemożliwość fizyczną, opóźnienie raportu lub zmianę użytkownika urządzenia.

Oś działa także jako narzędzie kolekcji: puste okno wskazuje, jakiego źródła brakuje.

Analiza przepływu

Osoby i przedmioty

Przepływ opisuje przejście między punktami oraz osobami. Dla przedmiotu ważny jest identyfikator, ilość, czas, źródło i stan. Dla osoby — środek transportu, potwierdzenie obecności i zakres błędu lokalizacji.

Nie wolno sumować ilości z różnych etapów jako różnych partii, jeśli to ten sam przedmiot raportowany wielokrotnie.

Pieniądze

Analiza finansowa rozdziela właściciela rachunku, osobę uprawnioną, inicjatora transakcji, beneficjenta i rzeczywistego odbiorcę korzyści. Przelew między kontami nie dowodzi spotkania osób.

Kwoty normalizuje się według waluty i daty, zachowując oryginał. Zwrot, chargeback i wewnętrzny transfer nie mogą zostać policzone jako nowy przychód.

Towar i usługa

Commodity flow pokazuje wejście, przekształcenie, magazyn, transport i dystrybucję. Nie musi dotyczyć rzeczy zakazanej; może opisywać legalny towar wykorzystany do przestępstwa.

Wniosek o brakującym ogniwie jest hipotezą kolekcyjną. Nie należy automatycznie wstawiać konkretnej osoby w lukę.

Komunikacja

Przepływ komunikacji uwzględnia nadawcę technicznego, konto, urządzenie, odbiorcę, przekazanie dalej i czas. Screenshot nie jest pełnym zapisem kanału.

Treść, metadane i kontakt społeczny to różne warstwy. Częsta komunikacja może być służbowa, rodzinna, automatyczna albo przypadkowa.

Analiza połączeń telefonicznych

Cztery relacje

Trzeba oddzielić abonenta, kartę SIM, urządzenie identyfikowane numerem sprzętowym i człowieka faktycznie używającego zestawu w danym czasie. Operator rejestruje zdarzenie sieciowe, nie intencję osoby.

Zmiana karty, urządzenia, przekazanie telefonu, dual SIM, przekierowanie i konto VoIP komplikują model. Jedna tabela „numer — osoba” jest zbyt uboga.

CDR

Call detail record może obejmować czas, typ zdarzenia, numery, identyfikatory techniczne, czas trwania i elementy sieci zależnie od systemu. Brak rozmowy nie oznacza braku komunikacji innym kanałem.

Czas nieodebranego połączenia, próby i połączenia zestawionego ma inne znaczenie. Dane należy interpretować według specyfikacji konkretnego dostawcy.

Lokalizacja sektorowa

Kontakt z komórką sieci nie jest punktem GPS. Zasięg zależy od konfiguracji, topografii, obciążenia, propagacji i pracy sieci. Urządzenie mogło znaleźć się w obszarze, nie w dokładnej pozycji stacji.

Analiza nie powinna rysować precyzyjnej trasy z pojedynczych zdarzeń. Wniosek opisuje rozdzielczość i alternatywne sektory.

Pełną procedurę zabezpieczenia eksportu operatora, mapowania historycznych komórek i badania propagacji przedstawia artykuł Historyczne dane stacji bazowych — CDR, sektory i granice lokalizacji telefonu.

Wspólny kontakt

Dwa numery kontaktujące się z tym samym węzłem mogą należeć do klientów jednej usługi, a nie wspólników. Wysoka częstotliwość może wynikać z automatyki.

Przed wnioskiem bada się porę, kierunek, czas trwania, treść, kontekst i populację bazową.

Produkty analityczne

Profil celu

Profil celu wspiera konkretną operację wobec osoby, grupy, miejsca lub aktywa. Zawiera identyfikację, rolę hipotetyczną, wzór działania, relacje, podatności, luki i ryzyka.

Nie jest biografią ani katalogiem wszystkich danych. Treść odpowiada decyzji i ma datę ważności.

Profil problemu

Profil problemu opisuje typ przestępczości, miejsce, populację, sprawców, ofiary, czynniki i interwencje. Służy planowaniu prewencji oraz zasobów.

Nie należy ekstrapolować z jednej głośnej sprawy. Potrzebne są definicje, mianowniki i ocena brakujących danych.

Ocena strategiczna

Ocena strategiczna identyfikuje trendy, zagrożenia i priorytety w dłuższym horyzoncie. Produkty Europolu takie jak EU-SOCTA, IOCTA i TE-SAT odpowiadają na decyzje strategiczne, nie ustalają winy konkretnej osoby.

Scenariusz przyszłości jest warunkowy. Powinien wskazywać przesłanki, sygnały wczesnego ostrzegania i zdarzenia, które unieważnią ocenę.

Produkt bieżący

Alert, briefing i odpowiedź na zapytanie mogą mieć kilka zdań, jeśli podają źródło, pewność, działanie i ograniczenie. Krótkość nie zwalnia z jakości.

Wersja pilna powinna zostać później uzupełniona i oznaczona jako wstępna.

Hipotezy konkurencyjne

Najpierw hipotezy, potem test

Analityk zapisuje kilka wyjaśnień, zanim wybierze preferowane. Dla każdej wskazuje oczekiwane obserwacje i dane sprzeczne. Celem jest test, nie obrona ulubionej narracji.

Hipotezy muszą być rozłączne na użytecznym poziomie, ale mogą współistnieć częściowo. „X jest organizatorem” i „X świadomie pomaga” nie wyczerpują możliwości; może wykonywać legalną usługę bez wiedzy.

Diagnostyczność

Dowód jest diagnostyczny, gdy różnie pasuje do hipotez. Fakt, że X zna Y, może pasować do wszystkich wyjaśnień i niewiele zmieniać. Ukryta płatność po konkretnym zdarzeniu może różnicować silniej.

Nie liczy się mechanicznie liczby zgodności. Jedna sprzeczność o wysokiej jakości może ważyć więcej niż wiele ogólnych przesłanek.

Brak danych

Nieobecność oczekiwanego śladu ma znaczenie tylko wtedy, gdy system powinien go zarejestrować i dane zachowano. Brak wpisu w niepełnej bazie jest słabym dowodem.

Analityk dokumentuje pokrycie zbioru i prawdopodobieństwo detekcji.

Czerwony zespół

Przeglądający otrzymuje zadanie znalezienia alternatywy, słabego źródła, duplikacji i możliwej niewinnej przyczyny. Nie jest przeciwnikiem zespołu; testuje odporność produktu.

W sprawach o dużej konsekwencji warto oddzielić osobę budującą hipotezę od osoby wykonującej challenge.

Raport i wizualizacja

Struktura

Raport zaczyna się od pytania i odpowiedzi, następnie podaje kluczowe przesłanki, poziom pewności, alternatywy, luki, konsekwencje oraz rekomendowane dalsze czynności. Metodologia i szczegółowe tabele mogą trafić do załącznika.

Odbiorca powinien rozpoznać, które zdania są faktami, ocenami i prognozami.

Język pewności

Skala słowna wymaga wspólnych definicji. „Prawdopodobnie” nie powinno dla autora oznaczać 55%, a dla odbiorcy 90%. Jeśli organizacja używa progów liczbowych, służą kalibracji wewnętrznej, nie pozornej precyzji.

Poziom pewności wynika z jakości i zgodności danych, siły logiki oraz liczby sensownych alternatyw. Nie jest tym samym co prawdopodobieństwo zdarzenia.

Uczciwy wykres

Wizualizacja ma legendę, źródło, zakres czasu, definicję grubości i oznaczenie hipotezy. Skala osi nie może wzmacniać małej zmiany, a mapa punktowa nie może ujawniać ludzi ponad potrzebę.

Graf z tysiącem węzłów może wyglądać imponująco, lecz nie odpowiadać na pytanie. Redukcja jest częścią analizy, o ile kryterium pozostaje jawne.

Rekomendacja

Analityk może rekomendować kolekcję, priorytet lub wariant, ale oddziela ocenę od decyzji dowódczej. Rekomendacja wskazuje korzyść, koszt, ryzyko i przesłanki zmiany.

Nie wolno przedstawiać jednej opcji jako wymuszonej przez dane, jeśli wybór obejmuje wartości prawne i polityczne.

Informacja wrażliwa

Need-to-know

Odbiorca dostaje zakres konieczny do zadania. Warunek źródła przechodzi z informacją. Fragment chroniący tożsamość może zostać odseparowany od treści analitycznej.

Need-to-know nie może uniemożliwiać wykrycia duplikacji. Kontrolowany mechanizm powinien sygnalizować wspólne źródło bez ujawniania go każdemu analitykowi.

Retencja i przegląd

Dane są aktualne w określonym czasie. Zainteresowanie, numer używany przez osobę i rola w podmiocie mogą wygasnąć. Rekord potrzebuje daty przeglądu i decyzji: utrzymać, poprawić, ograniczyć albo usunąć.

„Może kiedyś się przydać” nie jest trwałą podstawą. Retencja powinna zależeć od celu, prawa, ryzyka i jakości.

Korekta

Korekta nie usuwa historii. Zachowuje starą wartość, powód, autora, czas i produkty, do których błędna informacja trafiła. Jeżeli błąd rozpowszechniono, odbiorcy potrzebują zawiadomienia.

Usunięcie w źródle bez propagacji pozostawia fałszywe kopie.

Dziennik zapytań

Log obejmuje użytkownika, czas, kryterium, zbiór, rekordy, eksport, zmianę i dystrybucję. Umożliwia wykrycie nadużycia oraz odtworzenie, jakie dane widział analityk przy formułowaniu wniosku.

Log też jest wrażliwy: może ujawniać kierunek operacji. Dostęp do niego wymaga ochrony i niezależnego audytu.

Kontrola jakości

Przegląd źródeł

Recenzent sprawdza proweniencję, duplikaty, daty, oceny i ograniczenia. Losowo otwiera część rekordów do materiału pierwotnego.

Szczególnie ryzykowne są źródła zbiorcze bez listy danych wejściowych.

Przegląd logiki

Każdy wniosek musi mieć przesłanki, a każda przesłanka źródło. Recenzent szuka przeskoku od kontaktu do współdziałania, od korelacji do przyczyny i od braku danych do wykluczenia.

Sprawdza także, czy język pewności jest zgodny ze skalą.

Przegląd prywatności

Raport może być analitycznie poprawny, a nadmiarowy. Usuwa się dane osób pobocznych, jeśli nie są potrzebne, oraz ogranicza mapy i załączniki.

Anonimizacja musi uwzględniać możliwość ponownej identyfikacji przez kombinację cech.

Ocena po działaniu

Po operacji porównuje się przewidywania z wynikiem. Nie karze się automatycznie za dobrze uzasadnioną hipotezę, która się nie potwierdziła. Bada się kalibrację procesu.

Organizacja powinna uczyć się również z trafnego wyniku osiągniętego słabą metodą. Szczęśliwy przypadek nie waliduje procedury.

Checklista analityka

  1. Jaka decyzja i termin określają produkt?
  2. Czy pytanie nie zakłada winy lub roli?
  3. Jakie dane są konieczne i legalnie dostępne?
  4. Czy zachowano wartości surowe po normalizacji?
  5. Czy źródło i treść oceniono osobno?
  6. Czy użyta skala ma podaną wersję i definicje?
  7. Czy kopie jednego źródła nie udają potwierdzeń?
  8. Czy encje mają stabilne identyfikatory?
  9. Czy typ relacji jest precyzyjny?
  10. Czy centralność nie została utożsamiona z kierownictwem?
  11. Czy oś zachowuje strefy i niepewne przedziały?
  12. Czy następstwo nie zostało nazwane przyczyną?
  13. Czy abonent, SIM, urządzenie i użytkownik są rozdzieleni?
  14. Czy lokalizacja sieciowa nie udaje GPS?
  15. Jakie są hipotezy konkurencyjne?
  16. Które dane naprawdę je różnicują?
  17. Co mogłoby obalić preferowany wniosek?
  18. Czy raport oznacza fakt, ocenę i prognozę?
  19. Czy dystrybucja, retencja, korekta i dostęp są zalogowane?
  20. Czy po decyzji zaplanowano feedback i ocenę kalibracji?

Analiza kryminalna dodaje wartość nie przez mnożenie danych, lecz przez kontrolę ich znaczenia. Najlepszy produkt może wskazać, że atrakcyjny węzeł nie jest liderem, pozorna luka wynika z retencji, a kolejna szeroka kolekcja niewiele zmieni. Właśnie zdolność powiedzenia „tego jeszcze nie wiemy” odróżnia analizę od graficznie uporządkowanego podejrzenia.

Źródła i dalsza lektura