ISO IEC 27037 Technologia informatyczna – Techniki bezpieczeństwa – Identyfikacja, gromadzenie, pozyskiwanie i przechowywanie dowodów cyfrowych

Norma ISO IEC 27037 „Technologia informatyczna – Techniki bezpieczeństwa – Wytyczne dotyczące identyfikacji, gromadzenia, pozyskiwania i przechowywania dowodów cyfrowych”, opublikowana przez Międzynarodową Organizację Normalizacyjną (ISO), zawiera wytyczne dotyczące konkretnych działań w zakresie przetwarzania dowodów cyfrowych. Działania te obejmują identyfikację, gromadzenie, pozyskiwanie i przechowywanie dowodów cyfrowych, które mogą mieć wartość dowodową. Norma ta zawiera wskazówki dla osób fizycznych dotyczące typowych sytuacji występujących w procesie przetwarzania dowodów cyfrowych i pomaga organizacjom usprawnić wymianę potencjalnych dowodów cyfrowych w postępowaniach dyscyplinarnych oraz między jurysdykcjami.

Niniejsza norma zawiera wytyczne dotyczące następujących urządzeń lub funkcji wykorzystywanych w różnych sytuacjach:

• Nośniki danych cyfrowych stosowane w standardowych komputerach, takie jak dyski twarde, dyskietki, dyski optyczne i magnetooptyczne, są urządzeniami danych o podobnych funkcjach.
• Telefony komórkowe, palmtopy, osobiste urządzenia elektroniczne (PED), karty pamięci.
• Mobilne systemy nawigacyjne.
• Aparaty cyfrowe i kamery wideo (w tym CCTV).
• Standardowe komputery podłączone do sieci.
• Sieci oparte na protokole TCP/IP i innych protokołach cyfrowych.
• Urządzenia o podobnych funkcjach do wymienionych.

Niniejsza lista urządzeń ma charakter wyłącznie poglądowy i nie jest wyczerpująca. Wymienione powyżej urządzenia występują w różnych formach. Na przykład, system samochodowy może obejmować mobilny system nawigacji, pamięć masową danych i system czujników.

Norma ISO IEC 27037 jest częścią szerszej rodziny norm ISO IEC 27000 dotyczących systemów zarządzania bezpieczeństwem informacji, ale koncentruje się w szczególności na wstępnym postępowaniu z dowodami cyfrowymi w kontekście informatyki śledczej i elektronicznego ujawniania informacji. Norma ta jest skierowana przede wszystkim do służb ratowniczych, specjalistów informatyki śledczej, organów ścigania, zespołów reagowania na incydenty oraz organizacji, które mogą potrzebować gromadzić potencjalne dowody cyfrowe w sposób rzetelny pod względem kryminalistycznym.

W przypadku dochodzeń karnych, dochodzeń korporacyjnych, pozwów cywilnych lub reakcji na incydenty niewłaściwie obsługiwane dowody cyfrowe mogą prowadzić do następujących skutków:

• Może okazać się niedopuszczalna w sądzie.
• Może być zanieczyszczona lub zmieniona.
• Może utracić wartość dowodową ze względu na słaby łańcuch dowodowy.

Norma ISO IEC 27037 stanowi globalnie akceptowane ramy gwarantujące integralność, autentyczność i niezawodność początkowych etapów procesu przetwarzania dowodów, od momentu zidentyfikowania potencjalnych dowodów.

Norma ta wyraźnie określa cztery podstawowe etapy, które mają miejsce przed rozpoczęciem dogłębnej analizy kryminalistycznej:

• Identyfikacja: Określanie, które urządzenia, dane lub nośniki mogą zawierać istotne dowody cyfrowe.
• Gromadzenie: Gromadzenie potencjalnych dowodów z miejsca zbrodni lub okolicy.
• Akwizycja: Tworzenie kopii lub obrazów danych w sposób umożliwiający ich identyfikację.
• Ochrona: zapewnienie, że dowody (zarówno oryginały, jak i kopie) będą chronione przed zmianą i że łańcuch dostaw będzie właściwie udokumentowany.

Należy pamiętać, że norma ISO IEC 27037 nie obejmuje analiz laboratoryjnych, badań ani rekonstrukcji danych (te zagadnienia są omówione w powiązanych normach, takich jak ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 i ISO IEC 27050).

Norma ISO IEC 27037 opiera się na kilku podstawowych zasadach:

• Uczciwość: Dowodów nie wolno zmieniać w żaden sposób, który mógłby wpłynąć na ich wiarygodność.
• Autentyczność: Musi być możliwe udowodnienie, że dowody są zgodne z twierdzeniami.
• Powtarzalność: Procesy muszą dać się powtórzyć innej upoważnionej osobie.
• Łańcuch dostaw: Każda osoba przetwarzająca dowody i każde podjęte działanie muszą zostać udokumentowane.
• Minimalizowanie wpływu: W miarę możliwości należy gromadzić dowody, nie zakłócając niepotrzebnie operacji (jest to szczególnie ważne w rzeczywistych środowiskach korporacyjnych).
• Kompetencje: Personel musi być odpowiednio przeszkolony i kompetentny.

Norma ISO IEC 27037 definiuje różne role zaangażowane w proces wstępnego przetwarzania dowodów:

• Osoba udzielająca pierwszej pomocy w zakresie dowodów cyfrowych: Zwykle jest to pierwsza osoba, która przybywa na miejsce zdarzenia.
• Specjalista ds. dowodów cyfrowych: Osoba posiadająca większe umiejętności techniczne, która może przeprowadzić proces gromadzenia danych.
• Śledczy/wnioskodawca: Osoba kierująca dochodzeniem.

Norma ISO IEC 27037 zawiera szczegółowe wytyczne i listy kontrolne dotyczące typowych scenariuszy. Obejmują one:

• Zabezpieczenie i ocena miejsca zbrodni.
• Identyfikacja potencjalnych źródeł dowodów cyfrowych (komputery, urządzenia mobilne, pamięć masowa w chmurze, urządzenia IoT itp.).
• Nadawanie priorytetu gromadzeniu dowodów (dane tymczasowe i stałe).
• Prawidłowe obchodzenie się z urządzeniami otwartymi i zamkniętymi.
• Stosowanie blokad zapisu w procesie akwizycji.
• Generowanie obrazów do celów kryminalistycznych (kopie bit po bicie) i obliczanie wartości skrótu kryptograficznego.
• Etykietowanie, pakowanie i transport nośników cyfrowych.
• Szablony dokumentów (ewidencja dowodów, formularze łańcucha dostaw).

Norma ISO IEC 27037 jest powszechnie stosowana przez:

• Organy ścigania i państwowe laboratoria kryminalistyczne.
• Zespoły zajmujące się reagowaniem na incydenty korporacyjne i informatyką śledczą.
• Prywatni dostawcy usług prawnych.
• Specjaliści ds. bezpieczeństwa informacji, którzy zajmują się zarządzaniem incydentami.
• Zespoły prawne zarządzające operacjami elektronicznego ujawniania informacji.
• Wszystkie organizacje, które chcą być przygotowane do prawidłowego gromadzenia dowodów cyfrowych.

Podsumowując, norma ISO IEC 27037 wypełnia istotną lukę, standaryzując wstępne kroki w przetwarzaniu dowodów cyfrowych, które często są wykonywane pod presją przez osoby niebędące specjalistami (ratownicy medyczni, personel IT lub pracownicy ochrony). Prawidłowe wykonanie tych wstępnych kroków znacząco zwiększa prawdopodobieństwo, że dowody będą dopuszczalne i wiarygodne później w sądzie lub w trakcie śledztwa.

Nawet jeśli organizacja nigdy nie będzie musiała stawić czoła postępowaniu karnemu, przestrzeganie normy ISO IEC 27037 pomaga zagwarantować, że dochodzenia będą możliwe do obrony, powtarzalne i wiarygodne.

Krótko mówiąc, jeśli musisz przechwycić lub skopiować dowody z dysku twardego, telefonu lub konta w chmurze, norma ISO IEC 27037 wyjaśnia, jak zrobić to poprawnie za pierwszym razem.

Nasza organizacja, dysponująca kompetentną i doświadczoną kadrą, od wielu lat rozumie potrzeby swoich klientów, zapewniając im zaawansowane usługi testowe oraz pomagając we wdrażaniu, wdrażaniu i doskonaleniu systemów zarządzania. W tym zakresie świadczymy również usługi testowe zgodne z normą „ISO IEC 27037 Technologie informatyczne – Techniki bezpieczeństwa – Wytyczne dotyczące identyfikacji, gromadzenia, pozyskiwania i przechowywania dowodów cyfrowych”.