ISO/IEC 27037 信息技术 - 安全技术 - 数字证据的识别、收集、获取和保存

国际标准化组织 (ISO) 发布的 ISO/IEC 27037《信息技术——安全技术——数字证据的识别、收集、获取和保存指南》标准，为数字证据处理中的特定活动提供了指导。这些活动包括识别、收集、获取和保存可能具有证据价值的数字证据。该标准为个人在数字证据处理过程中遇到的常见情况提供指导，并帮助组织促进纪律处分程序中以及不同司法管辖区之间潜在数字证据的交换。

本标准为以下在各种情况下使用的设备或功能提供指导：

• 标准计算机中使用的数字存储介质，如硬盘、软盘、光盘和磁光盘，都是功能类似的数据设备。
• 移动电话、个人数字助理、个人电子设备、存储卡。
• 移动导航系统。
• 数码相机和摄像机（包括闭路电视摄像机）。
• 标准联网计算机。
• 基于 TCP/IP 和其他数字协议的网络。
• 功能与所列设备类似的设备。

此设备清单仅供参考，并非详尽无遗。上述设备以多种形式存在。例如，汽车系统可能包括移动导航系统、数据存储系统和传感器系统。

ISO/IEC 27037 标准是 ISO/IEC 27000 系列信息安全管理体系标准的一部分，但它专门关注数字取证和电子发现中数字证据的初始处理。该标准主要面向应急响应人员、数字取证从业人员、执法人员、事件响应团队以及可能需要以符合取证规范的方式收集潜在数字证据的组织。

在刑事调查、公司调查、民事诉讼或事件响应中，处理不当的数字证据可能导致以下后果：

• 它可能会被法庭认定为不予采纳的证据。
• 它可能受到污染或被篡改。
• 由于证据链薄弱，它可能失去证据价值。

ISO IEC 27037 标准为确保证据处理过程初始阶段的完整性、真实性和可靠性提供了一个全球公认的框架，从发现潜在证据的那一刻起。

该标准明确规定了深入法医分析开始之前发生的四个基本阶段：

• 识别：确定哪些设备、数据或介质可能包含相关的数字证据。
• 收集：从犯罪现场或周边地区收集潜在的证据。
• 获取：创建数据在取证上可靠的副本或镜像。
• 保护：确保证据（包括原件和副本）免受篡改，并妥善记录证据链。

值得注意的是，ISO IEC 27037 标准不涵盖数据的实验室分析、检验或重建（这些内容在相关标准中有所涉及，例如 ISO IEC 27041、ISO IEC 27042、ISO IEC 27043 和 ISO IEC 27050）。

ISO/IEC 27037 标准是围绕几个基本原则构建的：

• 诚实：证据不得以任何方式篡改，以免影响其可信度。
• 真实性：必须能够证明证据与所声称的相符。
• 可重复性：流程必须能够由其他授权人员重复执行。
• 证据链：处理证据的每个人以及采取的每一个行动都必须记录在案。
• 尽量减少影响：尽可能收集证据，避免不必要地干扰运营（在实际运营的企业环境中尤其重要）。
• 能力：人员必须经过适当的培训并具备相应的能力。

ISO/IEC 27037 标准定义了初始证据处理过程中涉及的各种角色：

• 数字证据第一响应者：这通常是第一个到达现场的人。
• 数字证据专家：这类人员拥有更专业的技术技能，能够执行数据收集过程。
• 调查员/请求人：指导调查的人。

ISO/IEC 27037 标准针对常见场景提供了详细的指导和检查清单。这些场景包括：

• 保护和评估犯罪现场。
• 识别数字证据的潜在来源（计算机、移动设备、云存储、物联网设备等）。
• 优先收集证据（临时数据和永久数据）。
• 正确处理开启和关闭的设备。
• 在采集过程中使用写保护器。
• 生成取证镜像（逐位复制）并计算加密哈希值。
• 数字媒体的贴标、包装和运输。
• 文件模板（证据记录、监管链表格）。

ISO/IEC 27037 标准通常被以下机构使用：

• 执法机构和州法医实验室。
• 企业事件响应和数字取证团队。
• 私人法律服务提供者。
• 负责事件管理的信息安全专业人员。
• 负责电子取证操作的法律团队。
• 所有希望做好充分准备以正确收集数字证据的组织。

总之，ISO/IEC 27037 标准填补了关键空白，它规范了数字证据处理的初始步骤，而这些步骤通常由非专业人员（例如急救人员、IT 人员或安保人员）在压力下执行。正确执行这些初始步骤能够显著提高证据在后续法庭或调查中被采纳和认可的可能性。

即使一个组织从未面临刑事诉讼，遵循 ISO IEC 27037 标准也有助于确保调查具有可辩护性、可重复性和可靠性。

简而言之，如果您需要从硬盘、手机或云帐户中提取或复制证据，ISO IEC 27037 标准解释了如何一次性正确完成此操作。

多年来，凭借我们经验丰富的专业团队，我们始终关注客户需求，提供先进的测试服务，并协助客户建立、实施和改进管理体系。在此框架下，我们还提供符合“ISO/IEC 27037 信息技术——安全技术——数字证据的识别、收集、获取和保存指南”标准的测试服务。