Цепочка хранения и юридическая допустимость

Цепочка хранения доказательств — это хронологическая документация, отслеживающая сбор, передачу, хранение и анализ доказательств с момента их обнаружения до представления в суде или помещения в архив. Она отвечает на вопросы: кто собрал доказательства, когда и откуда, как с ними обращались, кто имел к ним доступ и где они хранились. Непрерывная цепочка хранения демонстрирует, что после сбора доказательства не подвергались несанкционированному воздействию и не изменялись, что необходимо для их допустимости по закону.

Для каждой части доказательств требуется отдельная форма цепочки хранения доказательств, которая заполняется при каждой передаче. Обязательные поля включают: уникальный идентификатор доказательства, описание предмета доказательства, номер дела, дату и время сбора, имя и контактные данные сборщика, место сбора доказательства, криптографические хеш-значения, подпись каждого человека, получающего или передающего доказательство, и защищённое место хранения. Пробелы или несоответствия в форме ослабляют юридическую позицию.

Правильное обращение предотвращает загрязнение доказательств. Рекомендуется: при работе с физическим оборудованием носить антистатические перчатки (статический разряд может уничтожить электронные компоненты и данные), хранить электронные носители в антистатических пакетах, помещать доказательства в упаковку с защитой от вскрытия (пакеты для доказательств, запечатанные специальной лентой и подписанные поперёк места запечатывания), хранить их в защищённом месте с контролем доступа и журналом доступа, а также никогда не открывать упаковку с доказательствами без присутствия свидетеля.

Чтобы цифровые доказательства были приняты в судебном процессе, они должны соответствовать нескольким критериям. Доказательства должны быть аутентичными — доказуемо соответствовать тому, чем они заявлены (проверка хеша). Они должны быть надёжными — собранными с помощью проверенных инструментов и документированных процедур. Они должны быть полными — необходимо сохранить весь контекст, а не только выбранные фрагменты. Они должны быть убедительными — представленными таким образом, чтобы суд мог их понять. Кроме того, цепочка хранения должна быть непрерывной — каждый хранитель должен быть документально зафиксирован от момента сбора до представления в суде.

Если инциденты связаны с преступной деятельностью, правоохранительные органы (FBI, Secret Service, местные подразделения по борьбе с киберпреступностью) могут запросить доказательства. Перед передачей доказательств проконсультируйтесь с юристом, чтобы обеспечить соблюдение требований повесток и распоряжений о сохранении данных. Правоохранительные органы могут потребовать, чтобы организации сохраняли доказательства на месте, а не удаляли их, — даже если это задержит восстановление. Понимание процесса установления юридического запрета на уничтожение данных и заранее налаженные отношения с представителями правоохранительных органов ускоряют координацию действий во время активного инцидента.

Юридический запрет на уничтожение данных (запрет на уничтожение документов по делу) — это уведомление, приостанавливающее обычное уничтожение или перезапись записей, относящихся к ожидаемому или текущему судебному разбирательству. Когда организация получает уведомление о судебном иске в связи с утечкой данных или ожидает такой иск, она должна немедленно ввести юридический запрет на уничтожение данных, сохранив все потенциально значимые доказательства, включая электронные письма, журналы, криминалистические образы и конфигурации систем. Невведение такого запрета и последующее уничтожение доказательств может привести к санкциям за уничтожение или сокрытие доказательств — суд может поручить присяжным сделать неблагоприятные выводы.

Цифровые доказательства должны соответствовать правилам доказывания. Аутентификация требует продемонстрировать, что доказательство является именно тем, за что его выдает сторона, представляющая его, — проверка хеша и документация цепочки хранения служат этой цели. Записи, созданные компьютером (журналы, автоматические отчеты), могут столкнуться с возражениями о недопустимости показаний с чужих слов, но часто допускаются как деловые записи в соответствии с исключениями из правил о показаниях с чужих слов. Свидетели-эксперты (криминалистические аналитики) дают показания о том, как доказательства собирались и анализировались, а их методика должна выдерживать перекрестный допрос в соответствии со стандартами Daubert в судах US.

Доказательства должны надежно храниться в течение всего судебного разбирательства, которое может продолжаться годами после первоначального инцидента. Для физических доказательств требуются: запираемое хранилище с регулируемыми климатическими условиями и журналами доступа, пломбы с защитой от вскрытия, заменяемые с документированием при каждом обращении к доказательству, а также защита от воздействия окружающей среды (влаги, тепла, магнитных полей). Цифровые доказательства (образы дисков, файлы PCAP) следует хранить на носителях с однократной записью, периодически проверяя контрольные суммы для обнаружения ухудшения состояния носителя.

В рамках уголовного преследования или гражданского судебного разбирательства криминалистических аналитиков могут вызвать в качестве свидетелей-экспертов, чтобы объяснить судье или присяжным свои методы и выводы. Свидетели-эксперты должны иметь соответствующую квалификацию, подтвержденную образованием, подготовкой и опытом в области цифровой криминалистики. Их методика должна быть научно обоснованной и применяться последовательно. Криминалистические отчеты должны быть объективными, воспроизводимыми и написанными языком, понятным лицам без технической подготовки, принимающим решения. В ходе перекрестного допроса адвокаты защиты будут оспаривать методику, достоверность инструментов и цепочку хранения доказательств.

Стандарты доказывания различаются для внутренних корпоративных расследований и уголовного преследования. Внутренние расследования проводятся в рамках трудового законодательства и корпоративных правил; стандартом является достаточность доказательств для принятия кадрового решения. Уголовные расследования требуют более строгих стандартов доказывания, необходимых для обвинительного приговора при доказанности вины вне разумных сомнений. Доказательства, собранные частными следователями (не обладающими полномочиями правоохранительных органов), могут быть допустимы в суде, но должны собираться законным путем: сотрудники, как правило, не могут рассчитывать на конфиденциальность при использовании корпоративных систем, о мониторинге которых они были уведомлены.

Цифровые расследования часто пересекают международные границы, поскольку злоумышленники направляют трафик через серверы в нескольких странах. Это создает ряд сложностей: получение доказательств с иностранных серверов требует заключения договоров о взаимной правовой помощи (MLATs) между странами, поставщикам облачных услуг может быть запрещено законом раскрывать данные без постановлений местных судов, а GDPR ограничивает передачу персональных данных за пределы EU. Если инциденты связаны с трансграничной активностью, организациям следует работать с юристами, имеющими опыт в области международного кибернетического права.

Проверьте понимание концепций CompTIA Security+ (SY0-701), изученных в этом уроке.

В этом уроке Вы узнали, что документация цепочки хранения отслеживает каждого хранителя и каждую передачу — от сбора до представления доказательств в суде, юридический запрет на уничтожение данных необходимо вводить немедленно при ожидаемом судебном разбирательстве, чтобы предотвратить санкции за уничтожение или сокрытие доказательств, а цифровые доказательства должны быть подлинными, надежными и полными; для их допустимости в суде это подтверждается криптографическими хешами. Далее мы рассмотрим криминалистические артефакты Windows, включая реестр, журналы событий и файлы Prefetch.