Przejdź do głównej zawartości

5.28 Gromadzenie dowodów

W skrócie: organizacja potrafi zebrać i zabezpieczyć dowody incydentu tak, by dało się je wykorzystać w postępowaniu dyscyplinarnym lub sądowym.

Cel: spójne i skuteczne zarządzanie dowodami związanymi z incydentami bezpieczeństwa informacji na potrzeby działań dyscyplinarnych i prawnych.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Corrective (korygujące)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Detect (wykrywanie), #Respond (reagowanie)
Zdolności operacyjne#Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji)
Domeny bezpieczeństwa#Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja opracowuje i stosuje procedury identyfikacji, gromadzenia, pozyskiwania i zabezpieczania dowodów, uwzględniając różne rodzaje nośników, urządzeń i ich stan (włączone, wyłączone).
  • Procedury uwzględniają wymagania różnych jurysdykcji, by zwiększyć szanse dopuszczenia dowodów w postępowaniu.
  • Dowody powinny pozwalać wykazać, że zapisy są kompletne i niezmienione, kopie elektroniczne są identyczne z oryginałem, a system, z którego pochodzą, działał poprawnie w chwili zapisu.
  • Gdzie to możliwe, warto korzystać z certyfikacji lub innych sposobów kwalifikacji personelu i narzędzi, by zwiększyć wartość dowodów.
  • Dowody mogą przekraczać granice organizacji i jurysdykcji. Organizacja upewnia się, że ma prawo gromadzić potrzebne informacje.
  • Na wczesnym etapie zdarzenia często nie wiadomo, czy dojdzie do postępowania — dlatego dowody zabezpiecza się od początku tak, jakby miały trafić do sądu.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Łańcuch nadzoru (chain of custody): kto, kiedy i w jakim celu miał dostęp do dowodu.
  • Obrazy dysków i pamięci wykonywane z blokerem zapisu, z sumami kontrolnymi SHA-256 zapisanymi w protokole.
  • Retencja logów ustalona tak, by obejmowała typowy czas wykrycia incydentu — logi skasowane po 7 dniach nie pomogą przy włamaniu wykrytym po 3 miesiącach.

Powiązania​