Bevismaterialets dokumentationskæde og juridiske anvendelighed

En beviskæde er den kronologiske dokumentation, der sporer indsamling, overførsel, opbevaring og analyse af beviser fra det øjeblik, de opdages, til de fremlægges i retten eller arkiveres. Den besvarer spørgsmålene: hvem indsamlede beviset, hvornår, hvorfra, hvordan blev det håndteret, hvem havde adgang til det, og hvor er det blevet opbevaret. En ubrudt beviskæde viser, at beviset ikke er blevet manipuleret eller ændret efter indsamlingen, hvilket er afgørende for, at det kan godtages juridisk.

Alle beviser kræver deres egen formular til beviskæden, som udfyldes ved hver overførsel. Obligatoriske felter omfatter: en entydig bevisidentifikator, en beskrivelse af beviset, sagsnummer, dato og klokkeslæt for indsamlingen, indsamlerens navn og kontaktoplysninger, stedet hvor beviset blev indsamlet, kryptografiske hashværdier, underskrift fra alle personer, der modtager eller overfører beviset, samt en sikker opbevaringsplacering. Huller eller uoverensstemmelser i formularen svækker den juridiske sag.

Korrekt håndtering forhindrer kontaminering af beviser. Bedste praksis omfatter: brug af antistatiske handsker ved håndtering af fysisk hardware (statisk elektricitet kan ødelægge elektroniske komponenter og data), brug af antistatiske poser til opbevaring af elektroniske medier, placering af beviser i manipulationssikker emballage (bevisposer forseglet med bevissegletape og underskrevet på tværs af forseglingen), opbevaring på et sikkert sted med adgangskontrol og en adgangslog samt aldrig at åbne bevisemballage uden et vidne til stede.

For at digitale beviser kan godtages i retssager, skal de opfylde flere kriterier. Beviset skal være autentisk — det skal kunne bevises, at det er det, det hævdes at være (hashverifikation). Det skal være pålideligt — det skal være indsamlet med validerede værktøjer efter dokumenterede procedurer. Det skal være fuldstændigt — hele konteksten skal være bevaret, ikke kun udvalgte dele. Det skal være troværdigt — det skal præsenteres på en måde, retten kan forstå. Og beviskæden skal være ubrudes — alle personer, der har haft beviset i deres varetægt, skal være dokumenteret fra indsamling til retssag.

Når hændelser involverer kriminel aktivitet, kan retshåndhævende myndigheder (FBI, Secret Service, lokale cyberenheder) anmode om bevismateriale. Før du overfører bevismateriale, skal du rådføre dig med en juridisk rådgiver for at sikre, at stævninger og påbud om bevaring overholdes. Retshåndhævende myndigheder kan anmode organisationer om at bevare bevismateriale på dets oprindelige placering i stedet for at fjerne det — også selvom det forsinker genoprettelsen. Hvis du forstår processen for juridiske bevaringspåbud og på forhånd har etableret relationer til kontaktpersoner hos retshåndhævende myndigheder, går denne koordinering hurtigere under en aktiv hændelse.

Et juridisk bevaringspåbud (bevaringspåbud i retssager) er en meddelelse, der suspenderer den normale destruktion eller overskrivning af dokumenter, som er relevante for en forventet eller igangværende retssag. Når en organisation modtager eller forventer en retssag som følge af et sikkerhedsbrud, skal den straks iværksætte et juridisk bevaringspåbud — og bevare alt potentielt relevant bevismateriale, herunder e-mails, logge, retsmedicinske afbildninger og systemkonfigurationer. Hvis et juridisk bevaringspåbud ikke iværksættes, og bevismateriale efterfølgende destrueres, kan det medføre sanktioner for bevisødelæggelse — domstole kan instruere nævninge i at drage negative slutninger.

Digitalt bevismateriale skal opfylde bevisreglerne. Autentificering kræver, at det påvises, at bevismaterialet er det, som den part, der fremlægger det, hævder — hashverificering og dokumentation af bevismaterialets besiddelseskæde tjener dette formål. Computergenererede dokumenter (logge, automatiserede rapporter) kan møde indsigelser om andenhåndsudsagn, men kan ofte fremlægges som virksomhedsoptegnelser under undtagelser fra reglerne om andenhåndsudsagn. Sagkyndige vidner (retsmedicinske analytikere) forklarer, hvordan bevismateriale blev indsamlet og analyseret, og deres metode skal kunne modstå krydsforhør efter Daubert-standarderne ved amerikanske domstole.

Bevismateriale skal opbevares sikkert under hele retssagen — hvilket kan strække sig flere år ud over den oprindelige hændelse. Fysisk bevismateriale kræver: aflåst, klimakontrolleret opbevaring med adgangslogge, manipulationssikre forseglinger, der udskiftes med dokumentation, hver gang der er adgang til bevismaterialet, samt beskyttelse mod miljømæssige farer (fugt, varme, magnetfelter). Digitalt bevismateriale (diskafbildninger, PCAP-filer) bør opbevares på medier, der kun kan skrives én gang, og kontrolsummer bør verificeres regelmæssigt for at opdage forringelse under opbevaringen.

Ved strafferetlige tiltaler eller civile retssager kan retsmedicinske analytikere indkaldes som sagkyndige vidner for at forklare deres metoder og resultater for en dommer eller jury. Sagkyndige vidner skal være kvalificerede — og kunne dokumentere uddannelse, træning og erfaring inden for digital efterforskning. Deres metode skal være videnskabeligt gyldig og anvendes konsekvent. Retsmedicinske rapporter skal være objektive, reproducerbare og skrevet på et sprog, som ikke-tekniske beslutningstagere kan forstå. Forsvarerens advokat vil under krydsforhøret anfægte metoden, værktøjernes gyldighed og dokumentationen af bevismaterialets besiddelseskæde.

Beviskravene er forskellige ved interne virksomhedsundersøgelser og strafferetlige tiltaler. Interne undersøgelser foregår efter ansættelsesret og virksomhedens politikker — standarden er, hvad der er tilstrækkeligt til at understøtte en handling fra HR. Strafferetlige efterforskninger kræver de højere beviskrav, der er nødvendige for at føre en sag til dom med bevis ud over enhver rimelig tvivl. Bevismateriale indsamlet af private efterforskere (uden retshåndhævende myndigheders beføjelser) kan fremlægges i retten, men skal være indsamlet lovligt — medarbejdere har generelt ikke en forventning om privatliv på virksomhedssystemer, som de er blevet informeret om bliver overvåget.

Digitale efterforskninger krydser ofte internationale grænser, fordi angribere dirigerer trafik gennem servere i flere lande. Det skaber komplikationer: Indhentning af bevismateriale fra udenlandske servere kræver gensidige retshjælpstraktater (MLAT'er) mellem lande, cloududbydere kan være juridisk forhindret i at udlevere data uden lokale retskendelser, og GDPR begrænser overførsel af persondata uden for EU. Organisationer bør samarbejde med juridiske rådgivere, der har erfaring med international cyberret, når hændelser involverer aktivitet på tværs af grænser.

I denne lektion lærte du: Dokumentation af bevismaterialets besiddelseskæde registrerer alle personer, der har haft bevismaterialet i deres varetægt, samt alle overførsler fra indsamling til fremlæggelse i retten, juridiske bevaringspåbud skal iværksættes straks, når en retssag forventes, for at forhindre sanktioner for bevisødelæggelse, og digitalt bevismateriale skal være autentisk, pålideligt og fuldstændigt og verificeres med kryptografiske hashværdier for at kunne fremlægges lovligt. Nu ser vi nærmere på retsmedicinske artefakter i Windows, herunder registreringsdatabasen, hændelseslogge og Prefetch-filer.