ISO IEC 27037 Informationsteknologi - Säkerhetstekniker - Identifiering, insamling, förvärv och bevarande av digitala bevis

Standarden ISO IEC 27037 Informationsteknik - Säkerhetstekniker - Riktlinjer för identifiering, insamling, förvärv och bevarande av digitala bevis, publicerad av Internationella standardiseringsorganisationen (ISO), ger vägledning för specifika aktiviteter vid behandling av digitala bevis. Dessa aktiviteter inkluderar identifiering, insamling, förvärv och bevarande av digitala bevis som kan ha bevisvärde. Denna standard ger vägledning till individer om vanliga situationer som uppstår i processen för behandling av digitala bevis och hjälper organisationer att underlätta utbytet av potentiella digitala bevis i disciplinära förfaranden och mellan jurisdiktioner.

Denna standard ger vägledning för följande enheter eller funktioner som används i olika situationer:

• Digitala lagringsmedier som används i vanliga datorer, såsom hårddiskar, disketter, optiska och magnetooptiska skivor, är dataenheter med liknande funktioner.
• Mobiltelefoner, personliga digitala assistenter, personliga elektroniska enheter (PED), minneskort.
• Mobila navigationssystem.
• Digitalkameror och videokameror (inklusive CCTV).
• Standard nätverksanslutna datorer.
• Nätverk baserade på TCP/IP och andra digitala protokoll.
• Enheter med liknande funktioner som de som listas.

Denna enhetslista är endast i illustrativt syfte och är inte uttömmande. Enheterna som listas ovan finns i olika former. Till exempel kan ett bilsystem inkludera ett mobilt navigationssystem, datalagring och ett sensorsystem.

ISO IEC 27037-standarden är en del av den bredare ISO IEC 27000-familjen av standarder som behandlar informationssäkerhetshanteringssystem, men fokuserar specifikt på den initiala hanteringen av digitala bevis i samband med digital forensik och elektronisk identifiering. Denna standard riktar sig främst till räddningstjänstpersonal, yrkesverksamma inom digital forensik, brottsbekämpande myndigheter, incidenthanteringsteam och organisationer som kan behöva samla in potentiella digitala bevis på ett forensiskt korrekt sätt.

I brottsutredningar, företagsutredningar, civilrättsliga stämningar eller incidenter kan felaktigt hanterade digitala bevis leda till följande:

• Det kan bli otillåtet i domstol.
• Den kan vara förorenad eller förändrad.
• Den kan förlora sitt bevisvärde på grund av en svag spårbarhetskedja.

ISO IEC 27037-standarden tillhandahåller ett globalt accepterat ramverk för att säkerställa integriteten, autenticiteten och tillförlitligheten i de inledande stegen i bevisbehandlingsprocessen, från det ögonblick då potentiella bevis identifieras.

Denna standard tar uttryckligen upp de fyra grundläggande stegen som sker innan en djupgående forensisk analys påbörjas:

• Identifiering: Att fastställa vilka enheter, data eller media som kan innehålla relevant digital bevis.
• Insamling: Insamling av potentiella bevis från brottsplatsen eller omgivande område.
• Förvärv: Skapa forensiskt korrekta kopior eller bilder av data.
• Skydd: Säkerställa att bevis (både original och kopior) är skyddade mot ändringar och att spårbarhetskedjan är korrekt dokumenterad.

Det är viktigt att notera att ISO IEC 27037-standarden inte täcker laboratorieanalys, undersökning eller rekonstruktion av data (dessa behandlas i relaterade standarder som ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 och ISO IEC 27050).

ISO IEC 27037-standarden är uppbyggd kring flera grundläggande principer:

• Ärlighet: Bevis får inte ändras på något sätt som skulle påverka dess trovärdighet.
• Äkthet: Det måste vara möjligt att bevisa att bevisen är som påstås.
• Repeterbarhet: Processerna måste kunna repeteras av en annan behörig person.
• Spårbarhetskedja: Varje person som behandlar bevisen och varje åtgärd som vidtas måste dokumenteras.
• Minimera påverkan: Samla in bevis där det är möjligt utan att störa verksamheten i onödan (särskilt viktigt i aktiva företagsmiljöer).
• Kompetens: Personalen måste vara lämpligt utbildad och kompetent.

ISO IEC 27037-standarden definierar de olika rollerna som är involverade i den inledande bevisbehandlingsprocessen:

• Digitala bevisförare: Detta är vanligtvis den första personen som anländer till platsen.
• Specialist på digitala bevis: Detta är någon med mer tekniska färdigheter som kan utföra datainsamlingsprocessen.
• Utredare/begärande: Den person som leder utredningen.

ISO IEC 27037-standarden ger detaljerad vägledning och checklistor för vanliga scenarier. Dessa inkluderar:

• Säkra och bedöma brottsplatsen.
• Identifiera potentiella källor till digitala bevis (datorer, mobila enheter, molnlagring, IoT-enheter och liknande).
• Prioritera bevisinsamling (preliminära och permanenta data).
• Korrekt hantering av öppna och stängda apparater.
• Användningen av skrivblockerare under förvärvsprocessen.
• Generera forensiska bilder (bit-för-bit-kopior) och beräkna kryptografiska hashvärden.
• Märkning, paketering och transport av digitala medier.
• Dokumentmallar (bevisregister, blanketter för spårbarhet).

ISO IEC 27037-standarden används vanligtvis av följande:

• Brottsbekämpande myndigheter och statliga kriminaltekniska laboratorier.
• Företags incidenthantering och digital forensisk utredningsteam.
• Privata juridiska tjänsteleverantörer.
• Informationssäkerhetsexperter som arbetar med incidenthantering.
• Juridiska team som hanterar e-discovery-verksamhet.
• Alla organisationer som vill vara förberedda på att korrekt samla in digitala bevis.

Sammanfattningsvis fyller ISO IEC 27037-standarden ett kritiskt gap genom att standardisera de inledande stegen i digital bevishantering, vilka ofta utförs under press av icke-specialister (räddningstjänst, IT-personal eller säkerhetsvakter). Att vidta dessa inledande steg korrekt ökar avsevärt sannolikheten för att bevisen kommer att vara giltiga och tillförlitliga senare i domstol eller under en utredning.

Även om en organisation aldrig ställs inför straffrättsliga åtgärder, bidrar det till att säkerställa att utredningar är försvarbara, repeterbara och tillförlitliga om man följer standarden ISO IEC 27037.

Kort sagt, om du behöver beslagta eller kopiera bevis från en hårddisk, telefon eller molnkonto, förklarar ISO IEC 27037-standarden hur du gör det korrekt första gången.

I många år har vår organisation, med sin kompetenta och erfarna personal, förstått sina kunders behov, tillhandahållit de avancerade testtjänster de behöver och hjälpt till med etablering, implementering och förbättring av ledningssystem. Inom detta ramverk tillhandahåller vi även testtjänster i enlighet med standarden "ISO IEC 27037 Informationsteknik - Säkerhetstekniker - Riktlinjer för identifiering, insamling, förvärv och bevarande av digitala bevis".