Tiêu chuẩn ISO IEC 27037 Công nghệ thông tin - Kỹ thuật bảo mật - Nhận dạng, thu thập, tiếp nhận và bảo quản bằng chứng kỹ thuật số

Tiêu chuẩn ISO IEC 27037 Công nghệ thông tin - Kỹ thuật bảo mật - Hướng dẫn về việc nhận dạng, thu thập, tiếp nhận và bảo quản bằng chứng kỹ thuật số, do Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) ban hành, cung cấp hướng dẫn cho các hoạt động cụ thể trong quá trình xử lý bằng chứng kỹ thuật số. Các hoạt động này bao gồm việc nhận dạng, thu thập, tiếp nhận và bảo quản bằng chứng kỹ thuật số có thể có giá trị chứng cứ. Tiêu chuẩn này cung cấp hướng dẫn cho các cá nhân về các tình huống thường gặp trong quá trình xử lý bằng chứng kỹ thuật số và giúp các tổ chức tạo điều kiện thuận lợi cho việc trao đổi bằng chứng kỹ thuật số tiềm năng trong các thủ tục kỷ luật và giữa các khu vực pháp lý.

Tiêu chuẩn này cung cấp hướng dẫn cho các thiết bị hoặc chức năng sau đây được sử dụng trong nhiều tình huống khác nhau:

• Các phương tiện lưu trữ kỹ thuật số được sử dụng trong máy tính tiêu chuẩn, chẳng hạn như ổ cứng, đĩa mềm, đĩa quang và đĩa từ quang, là các thiết bị dữ liệu có chức năng tương tự nhau.
• Điện thoại di động, thiết bị hỗ trợ kỹ thuật số cá nhân, thiết bị điện tử cá nhân (PED), thẻ nhớ.
• Hệ thống định vị di động.
• Máy ảnh kỹ thuật số và máy quay video (bao gồm cả camera giám sát).
• Máy tính kết nối mạng tiêu chuẩn.
• Các mạng dựa trên giao thức TCP/IP và các giao thức kỹ thuật số khác.
• Các thiết bị có chức năng tương tự như những thiết bị đã liệt kê.

Danh sách thiết bị này chỉ mang tính chất minh họa và không đầy đủ. Các thiết bị được liệt kê ở trên tồn tại dưới nhiều hình thức khác nhau. Ví dụ, một hệ thống ô tô có thể bao gồm hệ thống định vị di động, thiết bị lưu trữ dữ liệu và hệ thống cảm biến.

Tiêu chuẩn ISO IEC 27037 là một phần của bộ tiêu chuẩn ISO IEC 27000 rộng hơn liên quan đến hệ thống quản lý an ninh thông tin, nhưng tập trung cụ thể vào việc xử lý ban đầu các bằng chứng kỹ thuật số trong bối cảnh điều tra pháp y kỹ thuật số và khám phá điện tử. Tiêu chuẩn này chủ yếu hướng đến các lực lượng phản ứng đầu tiên, các chuyên gia điều tra pháp y kỹ thuật số, cơ quan thực thi pháp luật, các đội ứng phó sự cố và các tổ chức có thể cần thu thập các bằng chứng kỹ thuật số tiềm năng một cách hợp pháp.

Trong các cuộc điều tra hình sự, điều tra doanh nghiệp, kiện tụng dân sự hoặc ứng phó sự cố, việc xử lý bằng chứng kỹ thuật số không đúng cách có thể dẫn đến những hậu quả sau:

• Nó có thể trở nên không được chấp nhận tại tòa án.
• Nó có thể bị nhiễm bẩn hoặc biến chất.
• Nó có thể mất giá trị chứng cứ do quy trình bảo quản tang vật không chặt chẽ.

Tiêu chuẩn ISO IEC 27037 cung cấp một khuôn khổ được chấp nhận trên toàn cầu để đảm bảo tính toàn vẹn, tính xác thực và độ tin cậy của các giai đoạn ban đầu của quá trình xử lý bằng chứng, kể từ thời điểm bằng chứng tiềm năng được xác định.

Tiêu chuẩn này nêu rõ bốn giai đoạn cơ bản diễn ra trước khi bắt đầu phân tích pháp y chuyên sâu:

• Nhận dạng: Xác định những thiết bị, dữ liệu hoặc phương tiện nào có thể chứa bằng chứng kỹ thuật số liên quan.
• Thu thập: Tập hợp các bằng chứng tiềm năng từ hiện trường vụ án hoặc khu vực xung quanh.
• Thu thập dữ liệu: Tạo các bản sao hoặc hình ảnh dữ liệu có độ chính xác pháp lý cao.
• Bảo vệ: Đảm bảo rằng bằng chứng (cả bản gốc và bản sao) được bảo vệ khỏi sự thay đổi và chuỗi bằng chứng được ghi chép đầy đủ.

Điều quan trọng cần lưu ý là tiêu chuẩn ISO IEC 27037 không bao gồm việc phân tích, kiểm tra hoặc tái tạo dữ liệu trong phòng thí nghiệm (những vấn đề này được đề cập trong các tiêu chuẩn liên quan như ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 và ISO IEC 27050).

Tiêu chuẩn ISO IEC 27037 được xây dựng dựa trên một số nguyên tắc cơ bản:

• Tính trung thực: Bằng chứng không được phép bị thay đổi dưới bất kỳ hình thức nào làm ảnh hưởng đến độ tin cậy của nó.
• Tính xác thực: Phải có khả năng chứng minh rằng bằng chứng đó đúng như đã nêu.
• Tính lặp lại: Các quy trình phải có thể được lặp lại bởi một người được ủy quyền khác.
• Chuỗi bằng chứng: Mọi người xử lý bằng chứng và mọi hành động thực hiện đều phải được ghi chép lại.
• Giảm thiểu tác động: Trong trường hợp có thể, hãy thu thập bằng chứng mà không gây gián đoạn hoạt động một cách không cần thiết (điều này đặc biệt quan trọng trong môi trường doanh nghiệp đang hoạt động).
• Năng lực: Nhân viên phải được đào tạo bài bản và có năng lực phù hợp.

Tiêu chuẩn ISO IEC 27037 định nghĩa các vai trò khác nhau tham gia vào quy trình xử lý bằng chứng ban đầu:

• Người đầu tiên tiếp nhận bằng chứng kỹ thuật số: Đây thường là người đầu tiên đến hiện trường.
• Chuyên viên thu thập bằng chứng kỹ thuật số: Đây là người có kỹ năng chuyên môn cao hơn, có thể thực hiện quy trình thu thập dữ liệu.
• Người điều tra/người yêu cầu: Người chỉ đạo cuộc điều tra.

Tiêu chuẩn ISO IEC 27037 cung cấp hướng dẫn chi tiết và danh sách kiểm tra cho các tình huống phổ biến. Chúng bao gồm:

• Bảo vệ và đánh giá hiện trường vụ án.
• Xác định các nguồn bằng chứng kỹ thuật số tiềm năng (máy tính, thiết bị di động, lưu trữ đám mây, thiết bị IoT, v.v.).
• Ưu tiên thu thập bằng chứng (dữ liệu tạm thời và dữ liệu vĩnh viễn).
• Hướng dẫn sử dụng đúng cách các thiết bị mở và đóng.
• Việc sử dụng các thiết bị chặn ghi trong quá trình thu thập dữ liệu.
• Tạo ảnh pháp y (bản sao từng bit) và tính toán giá trị băm mật mã.
• Dán nhãn, đóng gói và vận chuyển phương tiện kỹ thuật số.
• Mẫu tài liệu (hồ sơ chứng cứ, biểu mẫu chuỗi chứng cứ).

Tiêu chuẩn ISO IEC 27037 thường được sử dụng bởi các tổ chức sau:

• Các cơ quan thực thi pháp luật và phòng thí nghiệm pháp y tiểu bang.
• Đội ứng phó sự cố doanh nghiệp và đội điều tra pháp y kỹ thuật số.
• Các nhà cung cấp dịch vụ pháp lý tư nhân.
• Các chuyên gia an ninh thông tin chuyên về quản lý sự cố.
• Các nhóm pháp lý quản lý hoạt động tìm kiếm chứng cứ điện tử.
• Tất cả các tổ chức muốn chuẩn bị sẵn sàng để thu thập bằng chứng kỹ thuật số một cách đúng đắn.

Tóm lại, tiêu chuẩn ISO IEC 27037 đã lấp đầy một khoảng trống quan trọng bằng cách chuẩn hóa các bước ban đầu trong xử lý bằng chứng kỹ thuật số, vốn thường được thực hiện dưới áp lực bởi những người không chuyên (nhân viên phản ứng đầu tiên, nhân viên CNTT hoặc nhân viên an ninh). Thực hiện đúng các bước ban đầu này sẽ làm tăng đáng kể khả năng bằng chứng được chấp nhận và đáng tin cậy sau này tại tòa án hoặc trong quá trình điều tra.

Ngay cả khi một tổ chức không bao giờ phải đối mặt với việc truy tố hình sự, việc tuân thủ tiêu chuẩn ISO IEC 27037 vẫn giúp đảm bảo các cuộc điều tra có thể được chứng minh, lặp lại và đáng tin cậy.

Tóm lại, nếu bạn cần thu thập hoặc sao chép bằng chứng từ ổ cứng, điện thoại hoặc tài khoản đám mây, tiêu chuẩn ISO IEC 27037 giải thích cách thực hiện đúng ngay từ lần đầu tiên.

Trong nhiều năm qua, tổ chức của chúng tôi, với đội ngũ nhân viên có năng lực và kinh nghiệm, đã thấu hiểu nhu cầu của khách hàng, cung cấp các dịch vụ kiểm thử tiên tiến mà họ yêu cầu và hỗ trợ trong việc thiết lập, triển khai và cải tiến các hệ thống quản lý. Trong khuôn khổ này, chúng tôi cũng cung cấp các dịch vụ kiểm thử tuân thủ tiêu chuẩn "ISO IEC 27037 Công nghệ thông tin - Kỹ thuật bảo mật - Hướng dẫn về việc nhận dạng, thu thập, tiếp nhận và bảo tồn bằng chứng kỹ thuật số".