ISO IEC 27037 Информатичка технологија - Безбедносни техники - Идентификација, собирање, стекнување и зачувување на дигитални докази

Стандардот ISO IEC 27037 Информатичка технологија - Безбедносни техники - Упатства за идентификација, собирање, стекнување и зачувување на дигитални докази, објавен од Меѓународната организација за стандардизација (ISO), дава упатства за специфични активности во обработката на дигитални докази. Овие активности вклучуваат идентификација, собирање, стекнување и зачувување на дигитални докази што можат да имаат доказна вредност. Овој стандард дава упатства за поединци за вообичаени ситуации со кои се среќаваат во процесот на обработка на дигитални докази и им помага на организациите да ја олеснат размената на потенцијални дигитални докази во дисциплинските постапки и меѓу јурисдикциите.

Овој стандард дава насоки за следните уреди или функции што се користат во различни ситуации:

• Дигиталните медиуми за складирање што се користат во стандардните компјутери, како што се тврди дискови, флопи дискови, оптички и магнето-оптички дискови, се уреди за податоци со слични функции.
• Мобилни телефони, лични дигитални асистенти, лични електронски уреди (PED), мемориски картички.
• Мобилни навигациски системи.
• Дигитални фотоапарати и видео камери (вклучувајќи CCTV).
• Стандардни компјутери поврзани на мрежа.
• Мрежи базирани на TCP/IP и други дигитални протоколи.
• Уреди со слични функции како наведените.

Оваа листа на уреди е само за илустративни цели и не е исцрпна. Уредите наведени погоре постојат во различни форми. На пример, автомобилски систем може да вклучува мобилен систем за навигација, складирање на податоци и сензорски систем.

Стандардот ISO IEC 27037 е дел од поширокото семејство стандарди ISO IEC 27000 што се занимава со системи за управување со безбедноста на информациите, но конкретно се фокусира на почетното ракување со дигитални докази во контекст на дигиталната форензика и електронското откривање. Овој стандард е првенствено наменет за првите реагирачи, практичари за дигитална форензика, органите за спроведување на законот, тимовите за одговор на инциденти и организациите на кои можеби ќе им треба да соберат потенцијални дигитални докази на форензички исправен начин.

Во кривични истраги, корпоративни истраги, граѓански тужби или реакции на инциденти, неправилно обработените дигитални докази можат да доведат до следново:

• Може да стане недозволиво на суд.
• Може да се извалка или да се измени.
• Може да ја изгуби својата доказна вредност поради слаб синџир на чување.

Стандардот ISO IEC 27037 обезбедува глобално прифатена рамка за обезбедување на интегритетот, автентичноста и сигурноста на почетните фази од процесот на обработка на докази, од моментот кога ќе се идентификуваат потенцијалните докази.

Овој стандард експлицитно ги опфаќа четирите основни фази што се случуваат пред да започне длабинската форензичка анализа:

• Идентификација: Утврдување кои уреди, податоци или медиуми можат да содржат релевантни дигитални докази.
• Собирање: Собирање потенцијални докази од местото на злосторството или околината.
• Аквизиција: Создавање форензички исправни копии или слики од податоците.
• Заштита: Обезбедување дека доказите (и оригиналите и копиите) се заштитени од промена и дека синџирот на чување е правилно документиран.

Важно е да се напомене дека стандардот ISO IEC 27037 не опфаќа лабораториска анализа, испитување или реконструкција на податоци (тие се опфатени во сродни стандарди како што се ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 и ISO IEC 27050).

Стандардот ISO IEC 27037 е изграден околу неколку фундаментални принципи:

• Искреност: Доказите не смеат да се менуваат на начин што би влијаел на нивната веродостојност.
• Автентичност: Мора да биде можно да се докаже дека доказите се онакви какви што се наведуваат.
• Повторливост: Процесите мора да бидат повторливи од друго овластено лице.
• Синџир на чување: Секое лице кое ги обработува доказите и секоја преземена акција мора да биде документирана.
• Минимизирање на влијанието: Каде што е можно, собирајте докази без непотребно нарушување на работењето (особено важно во корпоративни средини во живо).
• Компетентност: Персоналот мора да биде соодветно обучен и компетентен.

Стандардот ISO IEC 27037 ги дефинира различните улоги вклучени во почетниот процес на обработка на докази:

• Прв одговор за дигитални докази: Ова е обично првото лице што пристигнува на местото на настанот.
• Специјалист за дигитални докази: Ова е некој со повеќе технички вештини кој може да го изврши процесот на собирање податоци.
• Истражител/барател: Лицето кое ја води истрагата.

Стандардот ISO IEC 27037 обезбедува детални упатства и контролни листи за вообичаени сценарија. Тие вклучуваат:

• Обезбедување и проценка на местото на злосторството.
• Идентификување на потенцијални извори на дигитални докази (компјутери, мобилни уреди, складирање во облак, IoT уреди и слично).
• Давање приоритет на собирањето докази (привремени и трајни податоци).
• Правилно ракување со отворени и затворени уреди.
• Употреба на блокатори за пишување за време на процесот на аквизиција.
• Генерирање на форензички слики (бит-по-бит копии) и пресметување на криптографски хеш вредности.
• Етикетирање, пакување и транспорт на дигитални медиуми.
• Шаблони за документи (евиденција за докази, обрасци за синџир на чување).

Стандардот ISO IEC 27037 генерално го користат следниве:

• Органите за спроведување на законот и државните форензички лаборатории.
• Тимови за одговор на корпоративни инциденти и дигитална форензика.
• Даватели на приватни правни услуги.
• Професионалци за безбедност на информациите кои се занимаваат со управување со инциденти.
• Правни тимови кои управуваат со операции за е-откривање.
• Сите организации кои сакаат да бидат подготвени правилно да собираат дигитални докази.

Како заклучок, стандардот ISO IEC 27037 пополнува критична празнина со стандардизирање на почетните чекори во обработката на дигитални докази, кои често се извршуваат под притисок од страна на неспецијалисти (први реагирачи, ИТ персонал или безбедносни службеници). Правилното преземање на овие почетни чекори значително ја зголемува веројатноста дека доказите ќе бидат прифатливи и веродостојни подоцна на суд или за време на истрагата.

Дури и ако организацијата никогаш не се соочи со кривично гонење, следењето на стандардот ISO IEC 27037 помага да се обезбеди дека истрагите се одбранливи, повторливи и сигурни.

Накратко, ако треба да заплените или копирате докази од хард диск, телефон или сметка во облак, стандардот ISO IEC 27037 објаснува како да го направите тоа правилно од првиот пат.

Со години, нашата организација, со својот компетентен и искусен персонал, ги разбира потребите на своите клиенти, обезбедувајќи им напредни услуги за тестирање што им се потребни и помагајќи во воспоставувањето, имплементацијата и подобрувањето на системите за управување. Во оваа рамка, ние исто така нудиме услуги за тестирање во согласност со стандардот „ISO IEC 27037 Информатичка технологија - Безбедносни техники - Упатства за идентификација, собирање, стекнување и зачувување на дигитални докази“.