ДСТУ ISO/IEC 27037:2017 Інформаційні технології. Методи захисту. Настанови для ідентифікації, збирання, здобуття та збереження цифрових доказів (ISO/IEC 27037:2012, IDT)

НАЦІОНАЛЬНИЙ СТАНДАРТ УКРАЇНИ

ДСТУ ISO/ІЕС 27037:2017
(ISO/ІЕС 27037:2012, IDT)

Інформаційні технології

МЕТОДИ ЗАХИСТУ

Настанови для ідентифікації, збирання,
здобуття та збереження цифрових доказів

Київ
   
(ДП «УкрНДНЦ»)
2018

ПЕРЕДМОВА

1 РОЗРОБЛЕНО: Технічний комітет стандартизації «Банківські та фінансові системи і технології» (ТК 105)

2 ПРИЙНЯТО ТА НАДАНО ЧИННОСТІ: наказ Державного підприємства «Український науково-дослідний і навчальний центр проблем стандартизації, сертифікації та якості» (   
(ДП «УкрНДНЦ»)) від 06 грудня 2017 р. № 400 з 2019-01-01

3 Національний стандарт відповідає ISO/IEC 27037:2012 Information technology — Security techniques — Guidelines for identification, collection, acquisition and preservation of digital evidence (Інформаційні технології. Методи захисту. Настанови для ідентифікації, збирання, здобуття та збереження цифрових доказів)

Ступінь відповідності — ідентичний (IDT)

Переклад з англійської (en)

4 Цей стандарт розроблено згідно з правилами, установленими в національній стандартизації України

5 НА ЗАМІНУ ДСТУ ISO/IEC 27037:2016 (ISO/IEC 27037:2012, IDT)

ЗМІСТ

Національний вступ

Вступ до ISO/ІЕС 27037:2012

1 Сфера застосування

2 Нормативні посилання

3 Терміни та визначення понять

4 Познаки та скорочення

5 Загальний огляд

5.1 Обставини для збирання цифрових доказів

5.2 Принципи цифрових доказів

5.3 Вимоги щодо оброблення цифрових доказів

5.3.1 Загальні положення

5.3.2 Можливість аудиту

5.3.3 Збіжність

5.3.4 Відтворюваність

5.3.5 Відповідність юрисдикції

5.4 Процеси оброблення цифрових доказів

5.4.1 Загальні питання

5.4.2 Ідентифікація

5.4.3 Збирання

5.4.4 Здобуття

5.4.5 Збереження

6 Ключові компоненти ідентифікації, збирання, здобуття та збереження цифрових доказів

6.1 Хронологічне документування

6.2 Застороги на місці інциденту

6.2.1 Загальні положення

6.2.2 Персонал

6.2.3 Потенційний цифровий доказ

6.3 Ролі та відповідальності

6.4 Компетентність

6.5 Запровадження необхідної обережності

6.6 Документація

6.7 Інструктаж

6.7.1 Загальні положення

6.7.2 Особливість цифрових доказів

6.7.3 Особливості персоналу

6.7.4 Інциденти реального часу

6.7.5 Інша інформація стосовно інструктажу

6.8 Визначення пріоритетів збирання та здобуття

6.9 Збереження потенційних цифрових даних

6.9.1 Загальні положення

6.9.2 Збереження потенційних цифрових доказів

6.9.3 Пакування цифрових пристроїв та потенційних цифрових доказів

6.9.4 Транспортування потенційних цифрових доказів

7. Приклади ідентифікації, збирання, здобуття та збереження

7.1 Комп’ютери, периферійні пристрої та носії для збереження цифрових даних

7.1.1 Ідентифікація

7.1.2 Збирання

7.1.3 Здобуття

7.1.4 Збереження

7.2. Мережеві пристрої

7.2.1 Ідентифікація

7.2.2. Збирання, здобуття та збереження

7.3 Збирання, здобуття та збереження для CCTV

Додаток А (довідковий) Опис базових навичок та компетенції DEFV

Додаток В (довідковий) Мінімальні вимоги до переміщення доказівів

Бібліографія

Додаток НА (довідковий) Перелік національних стандартів України, ідентичних європейським та міжнародним нормативним документам, посилання на які є в цьому стандарті

НАЦІОНАЛЬНИЙ ВСТУП

Цей національний стандарт ДСТУ ISO/IEC 27037:2017 (ISO/IEC 27037:2012) «Інформаційні технологи. Методи захисту. Настанови для ідентифікації, збирання, здобуття та збереження цифрових доказів», прийнятий методом перекладу, — ідентичний щодо ISO/IEC 27037:2012 «Information technology — Security techniques — Guidelines for identification, collection, acquisition and preservation of digital evidence» (версія en).

Технічний комітет стандартизації, відповідальний за цей стандарт в Україні, — ТК 105 «Банківські та фінансові системи і технології».

Цей стандарт прийнято на заміну ДСТУ ISO/IEC 27037:2016 (ISO/IEC 27037:2012, IDT), прийнятого методом підтвердження.

У цьому національному стандарті зазначено вимоги, які відповідають законодавству України.

До стандарту внесено такі редакційні зміни:

— структурні елементи стандарту: «Титульний аркуш», «Передмову», «Національний вступ», першу сторінку, «Терміни та визначення понять» і «Бібліографічні дані»—оформлено згідно з вимогами національної стандартизації України;

— слова «цей міжнародний стандарт» замінено на «цей стандарт»;

— вилучено «Передмову» до ISO/IEC 27037:2012 як таку, що безпосередньо не стосується технічного змісту цього стандарту;

— замінено крапку на кому як вказівник десяткових знаків;

— у розділі 2 наведено «Національне пояснення», виділене рамкою;

— у розділі «Нормативні посилання» наведено «Національне пояснення», виділене рамкою;

— долучено довідковий додаток НА (Перелік національних стандартів України, ідентичних європейським та міжнародним нормативним документам, посилання на які є в цьому стандарті).

ВСТУП до ISO/ІЕС 27037:2012

Цей стандарт надає настанови для специфічної діяльності з оброблення потенційних цифрових доказів, такими процесами є: ідентифікація, збирання, здобуття та збереження потенційних цифрових доказів. Ці процеси потрібні під час слідства для підтримання цілісності цифрових доказів — прийнятна методологія отримання цифрових доказів, яка буде забезпечувати їхню допустимість у законодавчих та дисциплінарних судових процесах, а також інших потрібних інстанціях. Цей стандарт також надає загальні настанови стосовно збирання нецифрових доказів, які можуть буті корисними на стадії аналізування потенційних цифрових доказів.

Цей стандарт також спрямовано на інформування осіб, які приймають рішення, та тих, кому потрібно визначати надійність потенційних цифрових доказів, що були їм надані. Він прийнятний для організацій, яким необхідно захищати, аналізувати та презентувати потенційні цифрові докази. Він важливий для поліцейських підрозділів, які формують та запроваджують процедури щодо цифрових доказів, часто як частину доказів більшого об’єму.

Потенційні цифрові докази, розглянуті в цьому стандарті, можуть мати походження з різних типів цифрових пристроїв, мереж, баз даних тощо. Вони стосуються даних, які вже є в цифровому форматі. Цей стандарт не намагається охопити перетворення аналогових даних у цифровий формат.

Завдяки недовговічності цифрових доказів потрібно мати прийнятну методологію для гарантування цілісності та автентичності потенційних цифрових доказів. Цей стандарт не вимагає обов’язкового використання виняткових інструментів або методів. Ключовим компонентом, який забезпечує довіру в розслідуваннях, є методологія, яку застосовують протягом цього процесу, та особи, що мають кваліфікацію для виконання завдань, визначених цією методологією. Цей стандарт не стосується методології для законодавчих та дисциплінарних судових процесів, а також інших пов’язаних діяльностей під час оброблення потенційних цифрових доказів, які знаходяться поза межами сфери ідентифікації, збирання, здобуття та збереження.

Запровадження цього стандарту потребує відповідності національним законам, правилам та нормативним документам. Він не повинен заміняти специфічні законодавчі вимоги будь-якої юрисдикції. Фактично, він може слугувати практичною настановою для DEFR або DES у дослідженнях, які охоплюють потенційні цифрові докази. Він не впливає на аналізування цифрових доказів та не замінює специфічних юридичних вимог, що стосуються таких питань, як визнання доказів, доказова вага, значущість та інші юридично контрольовані обмеження використання потенційних цифрових доказів у судах. Цей стандарт може допомогти у сприянні обміну потенційними цифровими доказами між юрисдикціями. Для підтримання цілісності цифрових доказів користувачам цього стандарту потрібно адаптувати та скоригувати процедури, описані в цьому стандарті, відповідно до специфічних законодавчих вимог юрисдикції для доказів.

Хоча цей стандарт не охоплює судової готовності, відповідна судова готовність може бути значною мірою підтримана процесами ідентифікації, збирання, здобуття та збереження цифрових доказів. Судова готовність — це досягнення відповідного рівня здатності організації для спроможності ідентифікації, збирання, здобуття, збереження, захисту та аналізування цифрових доказів. Незважаючи на те, що процеси та діяльності, описані в цьому стандарті, є в основному реактивними заходами, використовуваними в розслідуваннях інциденту після того, як він вже трапився, судова готовність є проективним процесом спроби планування процесу дослідження інциденту.

Цей стандарт відповідає ISO/IEC 27001 та ISO/IEC 27002, зокрема вимогам заходів щодо безпеки стосовно потенційних цифрових доказів за допомогою надання додаткової настанови щодо запровадження. Крім того, цей стандарт має застосування в контексті, незалежному від ISO/IEC 27001 та ISO/IEC 27002. Цей стандарт потрібно розглядати разом з іншими стандартами, пов’язаними з цифровими доказами та розслідуваннями інцидентів інформаційної безпеки.

НАЦІОНАЛЬНИЙ СТАНДАРТ УКРАЇНИ

ІНФОРМАЦІЙНІ ТЕХНОЛОГІЇ
МЕТОДИ ЗАХИСТУ
Настанови для ідентифікації, збирання, здобуття
та збереження цифрових доказів

INFORMATION TECHNOLOGY
SECURITY TECHNIQUES
Guidelines for identification, collection, acquisition
and preservation of digital evidence

Чинний від 2019-01-01

1 СФЕРА ЗАСТОСУВАННЯ

Цей стандарт надає настанови для специфічної діяльності з оброблення цифрових доказів, а саме: ідентифікації, збирання, здобуття та збереження цифрових доказів, що можуть мати доказове значення. Цей стандарт надає настанови для фахівців стосовно звичайних випадків, які трапляються в процесі оброблення цифрових доказів, та допомагає організаціям в їхніх дисциплінарних процедурах та забезпеченні обміну потенційними цифровими доказами між юрисдикціями.

Цей стандарт надає настанови для таких пристроїв та/або функцій, використовуваних за різних обставин:

— Носій для зберігання цифрових даних, використовуваний у стандартних комп’ютерах, подібний жорстким дискам, гнучким дискам, оптичним і магнітооптичним дискам, цифровим пристроям з подібними функцпми;

— Мобільні телефони, Персональні цифрові помічники (PDAs), Персональні електронні прилади (PEDs), карти пам’яті;

— Мобільні навігаційні системи;

— Цифрові фото- та відеокамери (зокрема CCTV);

— Стандартний комп’ютер з мережевими з'єднаннями;

— Мережі, які ґрунтовані на TCP/IP та інших цифрових протоколах, а також

— Прилади з функціями, подібними наведеним вище.

Примітка 1. Наведений вище перелік приладів надано для інформації і він не є вичерпним.

Примітка 2. Наведені вище пристрої може бути запроваджено в різні способи. Наприклад, автоматизована система може містити мобільну навігаційну систему, збереження даних та сенсорну систему.

2 НОРМАТИВНІ ПОСИЛАННЯ

Наведені нижче документи потрібні для застосування цього стандарту. У разі датованих посилань застосовують тільки наведені видання. У разі недатованих посилань потрібно користуватись останнім виданням нормативних документів (разом зі змінами).

ISO/TR 15801 Document management — Information stored electronically — Recommendations for trustworthiness and reliability

ISO/IEC 17020 Conformity assessment — Requirements for the operation of various types of bodies performing inspection

ISO/IEC 17025:2005 General requirements for the competence of testing and calibration laboratories

ISO/IEC 27000 Information technology — Security techniques — Information security management systems — Overview and vocabulary.

НАЦІОНАЛЬНЕ ПОЯСНЕННЯ

ISO/TR 15801 Керування документами. Інформація, що зберігається в електронному вигляді. Рекомендації стосовно справжності та надійності

ISO/ІЕС 17020 Оцінка відповідності. Вимоги до роботи різних типів органів з інспектування

ISO/ІЕС 17025:2005 Загальні вимоги до компетентності випробувальних та калібрувальних лабораторій

ISO/ІЕС 27000 Інформаційні технології. Методи захисту. Системи керування інформаційною безпекою. Огляд та словник.