Applikationer utan stöd: den tysta flaskhalsen i forensiska laboratorier

Laboratoriets mått mäter genomströmning: sigill som bearbetats, dagar per undersökning, bevisköns storlek. Vad de inte kan mäta är de bevis som fanns, som aldrig lästes och som därför aldrig blev ett fynd.

Den siffran finns inte någonstans. Det kan den inte, eftersom att registrera den skulle kräva att man visste vad som fanns i den del som ingen öppnade. Men den är inte liten, och dess enskilt största orsak är applikationer som ett verktyg inte avkodade.

Fyra sätt som en applikation blir oläsbar

Den är regional. En meddelande- eller social applikation med några hundratusen användare i ett land är inte en prioritet för en leverantör som säljer till fyrtio marknader. Den kan vara ytterst relevant om det landet är där er utredning är.

Den är ny. Gapet mellan att en applikation blir populär och att den dyker upp i ett forensiskt verktygs versionsanteckningar mäts i kvartal. Kriminellt upptagande av en ny kommunikationskanal mäts i veckor, och det är ofta snabbare än legitimt upptagande, eftersom drivkraften att flytta är starkare.

Den ändrades. Det här är den största kategorin och den minst diskuterade. En applikation med stöd skickar en uppdatering som omorganiserar dess lagring, och parsern som skrevs för den föregående versionen ger partiella resultat eller inga. Verktyget listar fortfarande applikationen som stödd. Analytikern måste märka att resultatet är tunnare än det borde vara, vilket kräver att man redan vet ungefär vad man ska förvänta sig.

Den var aldrig någons prioritet. Träningsapplikationer, anteckningsapplikationer, samåkningshistorik, leveransappar, betalningsplånböcker, röstanteckningar. Sällan centrala, ibland avgörande, och var för sig aldrig värda en ingenjörs kvartal.

Varför det förblir osynligt

Tre saker gör att det här inte visar sig som ett problem som någon äger.

Den första är att rapporten är korrekt. En analytiker som skriver att vissa applikationsdata inte analyserades har dokumenterat begränsningen korrekt. Ingenting i en kvalitetsgranskning kommer att flagga det.

Den andra är att den informella omfångsregeln är förnuftig. Undersök det som verktyget avkodade, undersök det som utredaren särskilt frågade om, anteckna resten. Under en verklig ärendebelastning är det det yrkesmässigt riktiga beslutet, och det ger samma minskning av omfånget varje gång.

Den tredje är att ingen vet vad som missades. En utredare som aldrig får veta att en konversation fanns kan inte fråga varför den inte fanns i rapporten. Frånvaron är strukturellt oobserverbar.

Vad analytiker faktiskt gör åt det

De bra gör något, och det skalar inte.

En del öppnar databasen för hand, reder ut schemat och skriver en fråga. En del håller en personlig samling skript. En del känner en kollega i en annan tjänst som har mött den här applikationen förut, och skickar ett e-postmeddelande. I några laboratorier finns en person, vanligen en, som är känd för att vara villig att göra det här, och deras kö är den verkliga flaskhalsen.

Varje version av det här har samma två problem. Det kostar timmar som ärendet inte kan avvara, och den förståelse som produceras är inte varaktig. Den lever i en persons huvud eller i en kladdfil, och när den personen går vidare följer den med. Nästa analytiker i nästa tjänst möter samma applikation om sex månader och börjar om.

Formen på en åtgärd

Om begränsningen är att någon måste förstå ett obekant lagringsformat innan dess innehåll kan läsas, finns det bara två vägar ut. Gör den förståelsen billigare att producera, eller gör den varaktig när den väl är producerad.

Båda finns, och de förstärker varandra.

Att producera den billigt är nu ett hanterbart problem. Att reda ut vad en obekant databas är till för, utifrån dess filsökväg, dess tabell- och kolumnnamn och ett urval av dess innehåll, är en resonemangsuppgift snarare än en mönstermatchningsuppgift, och det är den sortens uppgift som nuvarande modeller hanterar ovanligt väl. Resultatet är en mappning: en beskrivning av hur man läser den här källan in i de fält som en vy förväntar sig.

Det resultatet kan inte bara litas på, och det behöver det inte. Validera det strukturellt, kör det mot ett urval av de verkliga data och visa analytikern en förhandsgranskning av faktiska poster. En mappning som missförstod källan ger en förhandsgranskning full av nonsens, vilket är uppenbart på några sekunder. Analytikern godkänner den, rättar den i en visuell redigerare eller förkastar den.

Att göra den varaktig är den lättare halvan och den mer värdefulla. En validerad mappning är en liten artefakt som inte innehåller några bevis, bara beskrivningen av hur man läser en struktur. Den kan delas. När ett annat laboratorium öppnar ett sigill som innehåller samma applikation tillämpas den automatiskt.

Det är den punkt där ekonomin ändras. I dag upprepas ansträngningen att förstå en applikation i varje tjänst som möter den, och förloras varje gång. Delad betalas den en gång.

Påståendet som är värt att vara försiktig med

Det finns en version av det här argumentet som går för långt, och det är värt att markera linjen.

Automatisk mappning betyder inte att en analytiker aldrig behöver titta på någonting. Det betyder att den första förståelsen produceras av programvaran och att analytikerns roll blir granskning snarare än konstruktion. En del mappningar kommer att vara fel. En del källor är genuint tvetydiga, och ingen mängd resonemang om ett schema kommer att avgöra vad en kolumn betyder när dess namn är f4 och dess innehåll är heltal.

Vad som ändras är inte standarden. Det är vem som gör den första genomgången, och hur länge ett laboratorium väntar på den. I stället för ett kvartal tar det minuter, och resultatet är något som tjänsten behåller.