Łańcuch dowodowy i dopuszczalność prawna

Ciąg dowodowy to chronologiczna dokumentacja śledząca gromadzenie, przekazywanie, przechowywanie i analizę dowodów od chwili ich znalezienia aż do przedstawienia ich w sądzie lub zarchiwizowania. Odpowiada na pytania: kto zebrał dowód, kiedy i skąd go pozyskano, jak się z nim obchodzono, kto miał do niego dostęp oraz gdzie był przechowywany. Nieprzerwany ciąg dowodowy potwierdza, że po zebraniu dowód nie został naruszony ani zmieniony, co jest niezbędne do jego dopuszczenia w postępowaniu sądowym.

Każdy dowód wymaga własnego formularza ciągu dowodowego, który należy wypełniać przy każdym przekazaniu. Wymagane pola obejmują: unikalny identyfikator dowodu, opis elementu dowodowego, numer sprawy, datę i godzinę zebrania, imię i nazwisko oraz dane kontaktowe osoby zbierającej dowód, miejsce jego zebrania, kryptograficzne wartości skrótów, podpis każdej osoby, która przyjmuje lub przekazuje dowód, a także bezpieczne miejsce przechowywania. Braki lub niespójności w formularzu osłabiają sprawę w postępowaniu sądowym.

Prawidłowe postępowanie zapobiega zanieczyszczeniu dowodów. Najlepsze praktyki obejmują: noszenie rękawic antystatycznych podczas obsługi sprzętu fizycznego (wyładowania elektrostatyczne mogą zniszczyć podzespoły elektroniczne i dane), używanie toreb antystatycznych do przechowywania nośników elektronicznych, umieszczanie dowodów w opakowaniach zabezpieczonych przed naruszeniem (torbach dowodowych zapieczętowanych taśmą dowodową i podpisanych w poprzek plomby), przechowywanie ich w bezpiecznym miejscu z kontrolą dostępu wraz z rejestrem dostępu oraz nieotwieranie opakowania dowodu bez obecności świadka.

Aby dowód cyfrowy został dopuszczony w postępowaniu sądowym, musi spełniać kilka kryteriów. Dowód musi być autentyczny — należy móc udowodnić, że jest tym, za co się podaje (weryfikacja skrótu). Musi być wiarygodny — zebrany za pomocą zwalidowanych narzędzi i zgodnie z udokumentowanymi procedurami. Musi być kompletny — należy zachować pełny kontekst, a nie tylko wybrane fragmenty. Musi być zrozumiały — przedstawiony w sposób możliwy do zrozumienia przez sąd. Ponadto ciąg dowodowy musi być nieprzerwany — każda osoba, która sprawowała pieczę nad dowodem, musi być udokumentowana od momentu zebrania aż do przedstawienia go w sądzie.

Gdy incydenty obejmują działalność przestępczą, organy ścigania (FBI, Secret Service, lokalne jednostki do spraw cyberprzestępczości) mogą zażądać dowodów. Przed przekazaniem dowodów należy skonsultować się z doradcą prawnym, aby zapewnić zgodność z wezwaniami sądowymi i nakazami zabezpieczenia materiału dowodowego. Organy ścigania mogą zażądać, aby organizacje zabezpieczyły dowody w miejscu ich przechowywania, zamiast je usuwać — nawet jeśli opóźni to przywrócenie działania. Zrozumienie procesu nakładania obowiązku zachowania dowodów oraz nawiązanie zawczasu relacji z osobami kontaktowymi w organach ścigania przyspiesza tę koordynację podczas trwającego incydentu.

Obowiązek zachowania dowodów w postępowaniu prawnym (legal hold, litigation hold) to zawiadomienie zawieszające standardowe niszczenie lub nadpisywanie dokumentacji istotnej dla przewidywanego lub trwającego postępowania sądowego. Gdy organizacja otrzyma informację o postępowaniu sądowym wynikającym z naruszenia bezpieczeństwa lub przewiduje takie postępowanie, musi niezwłocznie wprowadzić obowiązek zachowania dowodów — zabezpieczając wszystkie potencjalnie istotne dowody, w tym wiadomości e-mail, dzienniki, obrazy kryminalistyczne i konfiguracje systemów. Niewprowadzenie takiego obowiązku, a następnie zniszczenie dowodów, może skutkować sankcjami za zniszczenie lub utratę dowodów — sądy mogą polecić ławie przysięgłych wyciągnięcie niekorzystnych wniosków.

Dowody cyfrowe muszą spełniać zasady dowodowe. Uwierzytelnianie wymaga wykazania, że dowód jest tym, za co przedstawiająca go strona go uznaje — służą temu weryfikacja skrótu kryptograficznego i dokumentacja łańcucha dowodowego. Dokumentacja generowana komputerowo (dzienniki, automatyczne raporty) może spotkać się z zarzutem hearsay, ale często jest dopuszczana jako dokumentacja działalności gospodarczej na podstawie wyjątków od zasad hearsay. Biegli (analitycy kryminalistyczni) zeznają, w jaki sposób dowody zostały zebrane i przeanalizowane, a ich metodologia musi wytrzymać przesłuchanie krzyżowe zgodnie ze standardami Dauberta obowiązującymi w sądach amerykańskich.

Dowody muszą być bezpiecznie przechowywane przez cały czas trwania postępowania prawnego — który może trwać latami po początkowym incydencie. Dowody fizyczne wymagają: zamkniętego, klimatyzowanego pomieszczenia z rejestrami dostępu, plomb zabezpieczających przed naruszeniem, wymienianych za każdym razem, gdy uzyskuje się dostęp do dowodów, wraz z odpowiednią dokumentacją, oraz ochrony przed zagrożeniami środowiskowymi (wilgocią, wysoką temperaturą i polami magnetycznymi). Dowody cyfrowe (obrazy dysków, pliki PCAP) należy przechowywać na nośnikach jednokrotnego zapisu, a sumy kontrolne okresowo weryfikować w celu wykrycia degradacji danych.

W postępowaniach karnych lub cywilnych analitycy kryminalistyczni mogą zostać wezwani jako biegli, aby wyjaśnić sędziemu lub ławie przysięgłych swoje metody i ustalenia. Biegli muszą posiadać odpowiednie kwalifikacje — wykształcenie, przeszkolenie i doświadczenie w kryminalistyce cyfrowej. Ich metodologia musi być poprawna naukowo i stosowana w sposób spójny. Raporty kryminalistyczne muszą być obiektywne, odtwarzalne i napisane językiem zrozumiałym dla nietechnicznych osób podejmujących decyzje. Obrońcy będą podczas przesłuchania krzyżowego kwestionować metodologię, poprawność narzędzi i łańcuch dowodowy.

Standardy dowodowe różnią się między wewnętrznymi dochodzeniami prowadzonymi w przedsiębiorstwie a postępowaniami karnymi. Dochodzenia wewnętrzne odbywają się na podstawie prawa pracy i polityk przedsiębiorstwa — standardem jest to, co wystarcza do uzasadnienia działania działu HR. Dochodzenia karne wymagają wyższych standardów dowodowych niezbędnych do wniesienia oskarżenia i wykazania winy ponad wszelką uzasadnioną wątpliwość. Dowody zebrane przez prywatnych detektywów (bez uprawnień organów ścigania) mogą być dopuszczalne w sądzie, ale muszą zostać zebrane zgodnie z prawem — pracownicy zasadniczo nie mogą oczekiwać prywatności w systemach firmowych, o których zostali poinformowani, że będą monitorowane.

Dochodzenia cyfrowe często przekraczają granice państw, ponieważ atakujący kierują ruch przez serwery w wielu krajach. Powoduje to komplikacje: uzyskanie dowodów z zagranicznych serwerów wymaga umów o wzajemnej pomocy prawnej (MLAT) między państwami, dostawcom usług chmurowych może prawnie zakazywać się ujawnienia danych bez nakazów lokalnych sądów, a RODO ogranicza przekazywanie danych osobowych poza UE. Gdy incydenty obejmują działania transgraniczne, organizacje powinny współpracować z doradcami prawnymi mającymi doświadczenie w międzynarodowym prawie cybernetycznym.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczysz się, że: dokumentacja łańcucha dowodowego śledzi każdą osobę odpowiedzialną za dowód oraz każde jego przekazanie — od zebrania po przedstawienie w sądzie, obowiązek zachowania dowodów należy wprowadzić niezwłocznie, gdy przewidywane jest postępowanie sądowe, aby zapobiec sankcjom za zniszczenie lub utratę dowodów, a dowody cyfrowe muszą być autentyczne, wiarygodne i kompletne, a ich dopuszczalność prawną należy potwierdzić za pomocą skrótów kryptograficznych. Następnie omówimy artefakty kryminalistyczne systemu Windows, w tym rejestr, dzienniki zdarzeń i pliki Prefetch.