Beviskjede og rettslig beviskraft

Beviskjede er den kronologiske dokumentasjonen som følger innsamling, overføring, lagring og analyse av bevis fra det øyeblikket de oppdages, til de legges frem i retten eller arkiveres. Den besvarer spørsmålene: hvem som samlet inn bevisene, når og hvor de ble samlet inn, hvordan de ble håndtert, hvem som hadde tilgang til dem, og hvor de har vært lagret. En ubrutt beviskjede viser at bevisene ikke er tuklet med eller endret etter innsamlingen, noe som er avgjørende for at de skal kunne godtas juridisk.

Alle bevis krever sitt eget skjema for beviskjede, som fylles ut ved hver overføring. Obligatoriske felt omfatter: unik bevis-ID, beskrivelse av bevisgjenstanden, saksnummer, dato og klokkeslett for innsamling, navn og kontaktinformasjon til innsamleren, stedet der bevisene ble samlet inn, kryptografiske hashverdier, signaturen til hver person som mottar eller overfører bevisene, og sikker lagringsplassering. Mangler eller uoverensstemmelser i skjemaet svekker saken juridisk.

Riktig håndtering hindrer forurensning av bevis. Beste praksis omfatter: bruk av antistatiske hansker ved håndtering av fysisk maskinvare (statisk utladning kan ødelegge elektroniske komponenter og data), bruk av antistatiske poser til lagring av elektroniske medier, plassering av bevis i manipulasjonssikker emballasje (bevisposer forseglet med bevisforseglingstape og signert på tvers av forseglingen), oppbevaring på et sikkert sted med tilgangskontroll og tilgangslogg, samt at bevisemballasjen aldri åpnes uten at et vitne er til stede.

For at digitale bevis skal kunne legges frem i rettslige prosesser, må de oppfylle flere kriterier. Bevisene må være autentiske – det må kunne bevises at de er det de utgir seg for å være (hashverifisering). De må være på­litelige – samlet inn med validerte verktøy og dokumenterte prosedyrer. De må være fullstendige – hele sammenhengen må være bevart, ikke bare utvalgte deler. De må være forståelige – presentert på en måte retten kan forstå. Og beviskjeden må være ubrutt – alle som har hatt bevisene i sin varetekt, må være dokumentert fra innsamling til rettssak.

Når hendelser involverer kriminell aktivitet, kan politiet (FBI, Secret Service og lokale cyberenheter) be om bevis. Før bevis overføres, bør De rådføre Dem med juridisk rådgiver for å sikre at De overholder stevninger og bevaringspålegg. Politiet kan be organisasjoner om å bevare bevis på stedet i stedet for å fjerne det – selv om dette forsinker gjenopprettingen. En forståelse av prosessen for bevaringspålegg og allerede etablerte relasjoner til kontaktpersoner i politiet gjør denne samordningen raskere under en aktiv hendelse.

Et legal hold (bevaringspålegg ved rettssak) er et varsel som stanser vanlig sletting eller overskriving av dokumenter som er relevante for en forventet eller pågående rettssak. Når en organisasjon mottar varsel om eller forventer et søksmål som følge av et datainnbrudd, må den umiddelbart iverksette et legal hold – og bevare alle potensielt relevante bevis, inkludert e-poster, logger, rettsmedisinske avbildninger og systemkonfigurasjoner. Manglende iverksetting av et legal hold, etterfulgt av ødeleggelse av bevis, kan føre til sanksjoner for bevisødeleggelse – domstoler kan instruere juryer om å trekke negative slutninger.

Digitale bevis må oppfylle bevisreglene. Autentisering krever at man påviser at beviset er det forkjemperen hevder – hash-verifisering og dokumentasjon av beviskjeden tjener dette formålet. Datagenererte dokumenter (logger og automatiserte rapporter) kan møte innsigelser om hearsay, men kan ofte tillates som forretningsdokumenter etter unntakene fra hearsay-reglene. Sakkyndige vitner (rettsmedisinske analytikere) forklarer hvordan bevis ble samlet inn og analysert, og metoden deres må tåle krysseksaminasjon etter Daubert-standardene i amerikanske domstoler.

Bevis må lagres sikkert så lenge rettsprosessen varer – noe som kan strekke seg flere år utover den opprinnelige hendelsen. Fysiske bevis krever: låst, klimakontrollert lagring med tilgangslogger, manipulasjonssikre forseglinger som erstattes med dokumentasjon hver gang beviset åpnes, samt beskyttelse mot miljøfarer (fuktighet, varme og magnetfelt). Digitale bevis (diskavbildninger og PCAP-filer) bør lagres på medier som kan skrives til én gang, med kontrollsummer som verifiseres regelmessig for å oppdage forringelse av lagringsmediet.

I straffesaker eller sivile rettssaker kan rettsmedisinske analytikere bli innkalt som sakkyndige vitner for å forklare metodene og funnene sine for en dommer eller jury. Sakkyndige vitner må være kvalifiserte – de må kunne dokumentere utdanning, opplæring og erfaring innen digital etterforskning. Metoden deres må være vitenskapelig gyldig og anvendes konsekvent. Rettsmedisinske rapporter må være objektive, reproduserbare og skrevet på et språk som er tilgjengelig for beslutningstakere uten teknisk bakgrunn. Forsvarer vil utfordre metoden, verktøyenes gyldighet og beviskjeden under krysseksaminasjonen.

Beviskravene er forskjellige ved interne bedriftsundersøkelser og straffeforfølging. Interne undersøkelser følger arbeidsretten og virksomhetens retningslinjer – standarden er hva som er tilstrekkelig til å underbygge et HR-tiltak. Strafferettslige etterforskninger krever de strengere beviskravene som er nødvendige for straffeforfølging utover enhver rimelig tvil. Bevis som samles inn av private etterforskere (uten politimyndighet) kan tillates i retten, men må samles inn på lovlig måte – ansatte har vanligvis ikke en forventning om privatliv på bedriftens systemer når de er informert om at systemene overvåkes.

Digitale etterforskninger krysser ofte landegrenser fordi angripere ruter trafikk gjennom servere i flere land. Dette skaper komplikasjoner: Innhenting av bevis fra utenlandske servere krever gjensidige avtaler om juridisk bistand (MLAT-er) mellom land, skyleverandører kan være rettslig forhindret fra å utlevere data uten lokale rettskjennelser, og GDPR begrenser overføring av personopplysninger ut av EU. Organisasjoner bør samarbeide med juridiske rådgivere som har erfaring med internasjonal cyberrett når hendelser involverer aktivitet på tvers av landegrenser.

I denne leksjonen har De lært at dokumentasjon av beviskjeden sporer alle personer som har hatt ansvar for beviset, og alle overføringer fra innsamling til fremlegging i retten, at legal hold må iverksettes umiddelbart når en rettssak forventes, for å hindre sanksjoner for bevisødeleggelse, og at digitale bevis må være autentiske, pålitelige og fullstendige, og verifiseres med kryptografiske hasher for å kunne tillates som bevis. Deretter skal vi se nærmere på rettsmedisinske artefakter i Windows, blant annet registeret, hendelseslogger og Prefetch-filer.