ISO IEC 27037 Informačné technológie - Bezpečnostné techniky - Identifikácia, zhromažďovanie, získavanie a uchovávanie digitálnych dôkazov

Norma ISO IEC 27037 Informačné technológie – Bezpečnostné techniky – Pokyny pre identifikáciu, zhromažďovanie, získavanie a uchovávanie digitálnych dôkazov, ktorú vydala Medzinárodná organizácia pre normalizáciu (ISO), poskytuje usmernenia pre konkrétne činnosti pri spracovaní digitálnych dôkazov. Tieto činnosti zahŕňajú identifikáciu, zhromažďovanie, získavanie a uchovávanie digitálnych dôkazov, ktoré môžu mať dôkaznú hodnotu. Táto norma poskytuje jednotlivcom usmernenia o bežných situáciách, s ktorými sa stretávajú v procese spracovania digitálnych dôkazov, a pomáha organizáciám uľahčiť výmenu potenciálnych digitálnych dôkazov v disciplinárnych konaniach a medzi jurisdikciami.

Táto norma poskytuje usmernenia pre nasledujúce zariadenia alebo funkcie používané v rôznych situáciách:

• Digitálne pamäťové médiá používané v štandardných počítačoch, ako sú pevné disky, diskety, optické a magnetooptické disky, sú dátové zariadenia s podobnými funkciami.
• Mobilné telefóny, osobné digitálne asistenty, osobné elektronické zariadenia (PED), pamäťové karty.
• Mobilné navigačné systémy.
• Digitálne fotoaparáty a videokamery (vrátane CCTV).
• Štandardné počítače pripojené k sieti.
• Siete založené na TCP/IP a iných digitálnych protokoloch.
• Zariadenia s podobnými funkciami ako sú uvedené.

Tento zoznam zariadení slúži len na ilustračné účely a nie je vyčerpávajúci. Vyššie uvedené zariadenia existujú v rôznych formách. Napríklad automobilový systém môže zahŕňať mobilný navigačný systém, úložisko údajov a senzorový systém.

Norma ISO IEC 27037 je súčasťou širšej skupiny noriem ISO IEC 27000, ktoré sa zaoberajú systémami riadenia informačnej bezpečnosti, ale zameriava sa konkrétne na počiatočné spracovanie digitálnych dôkazov v kontexte digitálnej forenznej analýzy a elektronického objavovania dôkazov. Táto norma je primárne určená pre záchranné zložky, odborníkov v oblasti digitálnej forenznej analýzy, orgány činné v trestnom konaní, tímy pre reakciu na incidenty a organizácie, ktoré môžu potrebovať zhromažďovať potenciálne digitálne dôkazy forenzne spoľahlivým spôsobom.

Pri vyšetrovaní trestných činov, vyšetrovaní spoločností, občianskoprávnych sporoch alebo reakciách na incidenty môže nesprávne spracované digitálne dôkazy viesť k nasledovnému:

• Na súde sa to môže stať neprípustným.
• Môže byť kontaminovaný alebo zmenený.
• Môže stratiť svoju dôkaznú hodnotu z dôvodu slabého reťazca úschovy.

Norma ISO IEC 27037 poskytuje globálne akceptovaný rámec na zabezpečenie integrity, autenticity a spoľahlivosti počiatočných fáz procesu spracovania dôkazov od okamihu identifikácie potenciálnych dôkazov.

Táto norma výslovne rieši štyri základné fázy, ktoré nastávajú pred začiatkom hĺbkovej forenznej analýzy:

• Identifikácia: Určenie, ktoré zariadenia, údaje alebo médiá môžu obsahovať relevantné digitálne dôkazy.
• Zbieranie: Zhromažďovanie potenciálnych dôkazov z miesta činu alebo z okolia.
• Akvizícia: Vytváranie forenzne overených kópií alebo obrazov údajov.
• Ochrana: Zabezpečenie ochrany dôkazov (originálov aj kópií) pred zmenou a riadnej dokumentácie reťazca úschovy.

Je dôležité poznamenať, že norma ISO IEC 27037 sa nevzťahuje na laboratórnu analýzu, skúmanie ani rekonštrukciu údajov (tieto sú predmetom súvisiacich noriem, ako sú ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 a ISO IEC 27050).

Norma ISO IEC 27037 je postavená na niekoľkých základných princípoch:

• Čestnosť: Dôkazy nesmú byť zmenené žiadnym spôsobom, ktorý by ovplyvnil ich dôveryhodnosť.
• Pravosť: Musí byť možné dokázať, že dôkazy sú také, aké sú uvedené.
• Opakovateľnosť: Procesy musia byť opakovateľné inou oprávnenou osobou.
• Reťazec úschovy: Každá osoba spracovávajúca dôkazy a každý vykonaný úkon musia byť zdokumentované.
• Minimalizácia dopadu: Pokiaľ je to možné, zhromažďujte dôkazy bez zbytočného narušenia prevádzky (obzvlášť dôležité v reálnom korporátnom prostredí).
• Kompetencia: Personál musí byť primerane vyškolený a kompetentný.

Norma ISO IEC 27037 definuje rôzne úlohy zapojené do procesu počiatočného spracovania dôkazov:

• Prvý respondent pre digitálne dôkazy: Toto je zvyčajne prvá osoba, ktorá dorazí na miesto činu.
• Špecialista na digitálne dôkazy: Je to niekto s väčšími technickými zručnosťami, kto dokáže vykonávať proces zhromažďovania údajov.
• Vyšetrovateľ/žiadateľ: Osoba, ktorá riadi vyšetrovanie.

Norma ISO IEC 27037 poskytuje podrobné pokyny a kontrolné zoznamy pre bežné scenáre. Patria sem:

• Zabezpečenie a ohodnotenie miesta činu.
• Identifikácia potenciálnych zdrojov digitálnych dôkazov (počítače, mobilné zariadenia, cloudové úložiská, zariadenia internetu vecí a podobne).
• Uprednostnenie zhromažďovania dôkazov (predbežné a trvalé údaje).
• Správna manipulácia s otvorenými a zatvorenými zariadeniami.
• Použitie blokátorov zápisu počas procesu akvizície.
• Generovanie forenzných obrazov (kópií bit po bite) a výpočet kryptografických hašovacích hodnôt.
• Označovanie, balenie a preprava digitálnych médií.
• Šablóny dokumentov (záznamy o dôkazoch, formuláre reťazca úschovy).

Normu ISO IEC 27037 vo všeobecnosti používajú:

• Orgány činné v trestnom konaní a štátne forenzné laboratóriá.
• Tímy pre reakciu na firemné incidenty a digitálnu forenznú analýzu.
• Súkromní poskytovatelia právnych služieb.
• Odborníci v oblasti informačnej bezpečnosti, ktorí sa zaoberajú riadením incidentov.
• Právne tímy riadiace operácie elektronického vyhľadávania dôkazov.
• Všetky organizácie, ktoré chcú byť pripravené na riadne zhromažďovanie digitálnych dôkazov.

Záverom možno povedať, že norma ISO IEC 27037 vypĺňa kritickú medzeru štandardizáciou počiatočných krokov pri spracovaní digitálnych dôkazov, ktoré často vykonávajú pod tlakom nešpecialisti (zložky prvého zásahu, IT pracovníci alebo bezpečnostní pracovníci). Správne vykonanie týchto počiatočných krokov výrazne zvyšuje pravdepodobnosť, že dôkazy budú neskôr prípustné a spoľahlivé na súde alebo počas vyšetrovania.

Aj keď organizácia nikdy nečelí trestnému stíhaniu, dodržiavanie normy ISO IEC 27037 pomáha zabezpečiť, aby vyšetrovania boli obhájiteľné, opakovateľné a spoľahlivé.

Stručne povedané, ak potrebujete zaistiť alebo skopírovať dôkazy z pevného disku, telefónu alebo cloudového účtu, norma ISO IEC 27037 vysvetľuje, ako to urobiť správne hneď na prvýkrát.

Naša organizácia so svojimi kompetentnými a skúsenými zamestnancami už mnoho rokov rozumie potrebám svojich klientov, poskytuje im pokročilé testovacie služby a pomáha im pri zavádzaní, implementácii a zlepšovaní systémov riadenia. V tomto rámci poskytujeme aj testovacie služby v súlade s normou „ISO IEC 27037 Informačné technológie - Bezpečnostné techniky - Pokyny pre identifikáciu, zhromažďovanie, získavanie a uchovávanie digitálnych dôkazov“.