ISO IEC 27037 Информационные технологии — Методы обеспечения безопасности — Идентификация, сбор, получение и сохранение цифровых доказательств

Стандарт ISO IEC 27037 «Информационные технологии — Методы обеспечения безопасности — Руководство по идентификации, сбору, получению и сохранению цифровых доказательств», опубликованный Международной организацией по стандартизации (ISO), содержит рекомендации по конкретным видам деятельности при обработке цифровых доказательств. Эти виды деятельности включают идентификацию, сбор, получение и сохранение цифровых доказательств, которые могут иметь доказательную ценность. Этот стандарт предоставляет рекомендации специалистам по типичным ситуациям, встречающимся в процессе обработки цифровых доказательств, и помогает организациям упростить обмен потенциальными цифровыми доказательствами в дисциплинарных процедурах и между юрисдикциями.

Данный стандарт содержит рекомендации по использованию следующих устройств или функций в различных ситуациях:

• Цифровые носители информации, используемые в стандартных компьютерах, такие как жесткие диски, дискеты, оптические и магнитооптические диски, являются устройствами хранения данных со схожими функциями.
• Мобильные телефоны, персональные цифровые помощники, персональные электронные устройства (PED), карты памяти.
• Мобильные навигационные системы.
• Цифровые фотоаппараты и видеокамеры (включая камеры видеонаблюдения).
• Стандартные компьютеры, подключенные к сети.
• Сети, основанные на TCP/IP и других цифровых протоколах.
• Устройства со схожими функциями, перечисленными ниже.

Этот список устройств носит исключительно иллюстративный характер и не является исчерпывающим. Перечисленные выше устройства существуют в различных формах. Например, автомобильная система может включать в себя мобильную навигационную систему, систему хранения данных и сенсорную систему.

Стандарт ISO IEC 27037 является частью более широкого семейства стандартов ISO IEC 27000, посвященных системам управления информационной безопасностью, но конкретно фокусируется на первоначальной обработке цифровых доказательств в контексте цифровой криминалистики и электронного обнаружения. Этот стандарт в первую очередь предназначен для служб экстренного реагирования, специалистов по цифровой криминалистике, правоохранительных органов, групп реагирования на инциденты и организаций, которым может потребоваться сбор потенциальных цифровых доказательств с соблюдением требований криминалистики.

В ходе уголовных расследований, корпоративных расследований, гражданских исков или реагирования на инциденты неправильное обращение с цифровыми доказательствами может привести к следующим последствиям:

• В суде это может быть признано недопустимым.
• Оно может быть загрязнено или изменено.
• Из-за слабой цепочки хранения доказательств она может утратить свою доказательную ценность.

Стандарт ISO IEC 27037 предоставляет общепринятую во всем мире основу для обеспечения целостности, подлинности и надежности начальных этапов процесса обработки доказательств, начиная с момента выявления потенциальных доказательств.

В этом стандарте четко указаны четыре основных этапа, предшествующих началу углубленного судебно-криминалистического анализа:

• Идентификация: Определение того, какие устройства, данные или носители информации могут содержать соответствующие цифровые доказательства.
• Сбор доказательств: Сбор потенциальных улик с места преступления или прилегающей территории.
• Получение данных: Создание криминалистически достоверных копий или образов данных.
• Защита: Обеспечение защиты доказательств (как оригиналов, так и копий) от изменений и надлежащее документирование цепочки хранения доказательств.

Важно отметить, что стандарт ISO IEC 27037 не охватывает лабораторный анализ, исследование или восстановление данных (эти вопросы рассматриваются в смежных стандартах, таких как ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 и ISO IEC 27050).

Стандарт ISO IEC 27037 основан на нескольких фундаментальных принципах:

• Честность: Доказательства не должны быть изменены каким-либо образом, который мог бы повлиять на их достоверность.
• Подлинность: Должна быть возможность доказать, что представленные доказательства соответствуют заявленным.
• Воспроизводимость: Процессы должны быть воспроизводимы другим уполномоченным лицом.
• Цепочка хранения доказательств: необходимо документировать действия каждого лица, обрабатывающего доказательства, и каждое предпринятое действие.
• Минимизация последствий: по возможности собирайте доказательства, не нарушая при этом операционную деятельность (это особенно важно в действующих корпоративных условиях).
• Компетентность: Персонал должен обладать соответствующей подготовкой и компетенцией.

Стандарт ISO IEC 27037 определяет различные роли, участвующие в процессе первоначальной обработки доказательств:

• Специалист по сбору цифровых доказательств: как правило, это первый человек, прибывший на место происшествия.
• Специалист по цифровым доказательствам: это человек с более развитыми техническими навыками, способный выполнять процесс сбора данных.
• Следователь/заявитель: лицо, руководящее расследованием.

Стандарт ISO IEC 27037 содержит подробные рекомендации и контрольные списки для типичных сценариев. К ним относятся:

• Обеспечение безопасности и оценка места преступления.
• Выявление потенциальных источников цифровых доказательств (компьютеры, мобильные устройства, облачные хранилища, устройства Интернета вещей и тому подобное).
• Приоритетное внимание уделяется сбору доказательств (предварительных и постоянных данных).
• Правильное обращение с открытыми и закрытыми устройствами.
• Использование блокировщиков записи в процессе сбора данных.
• Создание криминалистических образов (побитовых копий) и вычисление криптографических хеш-значений.
• Маркировка, упаковка и транспортировка цифровых носителей.
• Шаблоны документов (записи о вещественных доказательствах, формы учета цепочки хранения).

Стандарт ISO IEC 27037 обычно используется в следующих странах:

• Правоохранительные органы и государственные криминалистические лаборатории.
• Корпоративные группы реагирования на инциденты и цифровой криминалистики.
• Частные юридические фирмы.
• Специалисты по информационной безопасности, занимающиеся управлением инцидентами.
• Юридические отделы, занимающиеся операциями по электронному поиску и раскрытию информации.
• Все организации, которые хотят быть готовыми надлежащим образом собирать цифровые доказательства.

В заключение, стандарт ISO IEC 27037 заполняет важный пробел, стандартизируя начальные этапы обработки цифровых доказательств, которые часто выполняются под давлением неспециалистами (сотрудниками экстренных служб, ИТ-персоналом или сотрудниками службы безопасности). Правильное выполнение этих начальных шагов значительно повышает вероятность того, что доказательства будут признаны допустимыми и надежными в дальнейшем в суде или в ходе расследования.

Даже если организация никогда не столкнется с уголовным преследованием, следование стандарту ISO IEC 27037 помогает обеспечить обоснованность, воспроизводимость и надежность расследований.

Короче говоря, если вам нужно изъять или скопировать доказательства с жесткого диска, телефона или облачного хранилища, стандарт ISO IEC 27037 объясняет, как сделать это правильно с первого раза.

На протяжении многих лет наша организация, располагающая компетентным и опытным персоналом, понимает потребности своих клиентов, предоставляя им необходимые передовые услуги по тестированию и оказывая помощь в создании, внедрении и совершенствовании систем управления. В рамках этой деятельности мы также предоставляем услуги по тестированию в соответствии со стандартом «ISO IEC 27037 Информационные технологии — Методы обеспечения безопасности — Руководство по идентификации, сбору, получению и сохранению цифровых доказательств».