ISO IEC 27037 Информационни технологии - Техники за сигурност - Идентифициране, събиране, придобиване и съхранение на цифрови доказателства

Стандартът ISO IEC 27037 „Информационни технологии - Техники за сигурност - Насоки за идентифициране, събиране, придобиване и съхранение на цифрови доказателства“, публикуван от Международната организация по стандартизация (ISO), предоставя насоки за специфични дейности при обработката на цифрови доказателства. Тези дейности включват идентифициране, събиране, придобиване и съхранение на цифрови доказателства, които могат да имат доказателствена стойност. Този стандарт предоставя насоки на лицата относно често срещани ситуации, срещани в процеса на обработка на цифрови доказателства, и помага на организациите да улеснят обмена на потенциални цифрови доказателства в дисциплинарни производства и между юрисдикции.

Този стандарт предоставя насоки за следните устройства или функции, използвани в различни ситуации:

• Цифровите носители за съхранение, използвани в стандартните компютри, като твърди дискове, флопи дискове, оптични и магнитооптични дискове, са устройства за данни с подобни функции.
• Мобилни телефони, персонални цифрови асистенти, персонални електронни устройства (PED), карти с памет.
• Мобилни навигационни системи.
• Цифрови фотоапарати и видеокамери (включително CCTV).
• Стандартни компютри, свързани в мрежа.
• Мрежи, базирани на TCP/IP и други цифрови протоколи.
• Устройства с подобни функции на изброените.

Този списък с устройства е само с илюстративна цел и не е изчерпателен. Устройствата, изброени по-горе, съществуват в различни форми. Например, автомобилна система може да включва мобилна навигационна система, система за съхранение на данни и сензорна система.

Стандартът ISO IEC 27037 е част от по-широкото семейство стандарти ISO IEC 27000, занимаващи се със системи за управление на информационната сигурност, но се фокусира по-специално върху първоначалната обработка на цифрови доказателства в контекста на цифровата криминалистика и електронното откриване. Този стандарт е насочен предимно към екипи за първа помощ, специалисти по цифрова криминалистика, правоприлагащи органи, екипи за реагиране при инциденти и организации, които може да се нуждаят от събиране на потенциални цифрови доказателства по криминалистично обоснован начин.

При наказателни разследвания, корпоративни разследвания, граждански дела или реагиране на инциденти, неправилно обработените цифрови доказателства могат да доведат до следното:

• Може да стане недопустимо в съда.
• Може да бъде замърсено или променено.
• Може да загуби доказателствената си стойност поради слаба верига на съхранение.

Стандартът ISO IEC 27037 предоставя глобално приета рамка за осигуряване на целостта, автентичността и надеждността на началните етапи от процеса на обработка на доказателства, от момента, в който потенциалните доказателства бъдат идентифицирани.

Този стандарт изрично разглежда четирите основни етапа, които протичат преди началото на задълбочен криминалистичен анализ:

• Идентификация: Определяне кои устройства, данни или носители могат да съдържат релевантни цифрови доказателства.
• Събиране: Събиране на потенциални доказателства от местопрестъплението или околността.
• Придобиване: Създаване на криминалистично обосновани копия или изображения на данните.
• Защита: Осигуряване на защита на доказателствата (както оригинали, така и копия) от промяна и правилно документиране на веригата за съхранение.

Важно е да се отбележи, че стандартът ISO IEC 27037 не обхваща лабораторния анализ, изследване или реконструкция на данни (тези въпроси са разгледани в свързани стандарти като ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 и ISO IEC 27050).

Стандартът ISO IEC 27037 е изграден около няколко основни принципа:

• Честност: Доказателствата не трябва да бъдат променяни по начин, който би повлиял на тяхната достоверност.
• Автентичност: Трябва да е възможно да се докаже, че доказателствата са такива, каквито са заявени.
• Повторяемост: Процесите трябва да могат да се повтарят от друго оторизирано лице.
• Верига на съхранение: Всяко лице, обработващо доказателствата, и всяко предприето действие трябва да бъдат документирани.
• Минимизиране на въздействието: Когато е възможно, събирайте доказателства, без ненужно да нарушавате операциите (особено важно в реални корпоративни среди).
• Компетентност: Персоналът трябва да бъде подходящо обучен и компетентен.

Стандартът ISO IEC 27037 определя различните роли, участващи в процеса на първоначална обработка на доказателства:

• Първи реагиращ за цифрови доказателства: Това обикновено е първият човек, който пристига на мястото на инцидента.
• Специалист по цифрови доказателства: Това е някой с повече технически умения, който може да извърши процеса на събиране на данни.
• Разследващ/заявител: Лицето, което ръководи разследването.

Стандартът ISO IEC 27037 предоставя подробни насоки и контролни списъци за често срещани сценарии. Те включват:

• Осигуряване и оценка на местопрестъплението.
• Идентифициране на потенциални източници на цифрови доказателства (компютри, мобилни устройства, облачно съхранение, IoT устройства и други подобни).
• Приоритизиране на събирането на доказателства (предварителни и постоянни данни).
• Правилно боравене с отворени и затворени устройства.
• Използването на блокери за запис по време на процеса на придобиване.
• Генериране на криминалистични изображения (копия бит по бит) и изчисляване на криптографски хеш стойности.
• Етикетиране, опаковане и транспортиране на цифрови медии.
• Шаблони за документи (доказателствени записи, формуляри за верига на съхранение).

Стандартът ISO IEC 27037 обикновено се използва от следните:

• Правоприлагащи органи и държавни криминалистични лаборатории.
• Екипи за реагиране при корпоративни инциденти и дигитална криминалистика.
• Частни доставчици на правни услуги.
• Специалисти по информационна сигурност, които се занимават с управление на инциденти.
• Правни екипи, управляващи операции по електронно разкриване на информация.
• Всички организации, които искат да бъдат подготвени за правилно събиране на цифрови доказателства.

В заключение, стандартът ISO IEC 27037 запълва критична празнина, като стандартизира първоначалните стъпки в обработката на цифрови доказателства, които често се извършват под напрежение от неспециалисти (първи реагиращи, ИТ персонал или служители по сигурността). Правилното предприемане на тези първоначални стъпки значително увеличава вероятността доказателствата да бъдат допустими и надеждни по-късно в съда или по време на разследване.

Дори ако дадена организация никога не е изправена пред наказателно преследване, спазването на стандарта ISO IEC 27037 помага да се гарантира, че разследванията са защитими, повторяеми и надеждни.

Накратко, ако трябва да изземете или копирате доказателства от твърд диск, телефон или облачен акаунт, стандартът ISO IEC 27037 обяснява как да го направите правилно от първия път.

В продължение на много години нашата организация, със своя компетентен и опитен персонал, разбира нуждите на своите клиенти, предоставяйки им необходимите усъвършенствани услуги за тестване и съдействайки за установяването, внедряването и подобряването на системите за управление. В тази рамка ние също така предоставяме услуги за тестване, съответстващи на стандарта „ISO IEC 27037 Информационни технологии - Техники за сигурност - Насоки за идентифициране, събиране, придобиване и съхранение на цифрови доказателства“.