Hoe digitaal bewijsmateriaal te bewaren: het aantonen van integriteit, herkomst en bewakingsketen

In alle werkprocessen is de rode draad die je terugziet hoe iemand een feit moet vaststellen, een conclusie moet onderbouwen of moet aantonen dat een vereist proces is gevolgd – met behulp van documenten als bewijs. Dit sluit aan bij de begrippen bewijs, bewijsopslag en bewijskracht.

Het zijn stuk voor stuk op bewijsmateriaal gebaseerde werkprocessen waarbij bedrijven gebeurtenissen moeten reconstrueren, verantwoordelijkheid moeten vaststellen, moeten aantonen dat aan verplichtingen of controlemaatregelen is voldaan, en verdedigbaar bewijs moeten leveren aan een interne of externe besluitvormer.

De gevolgen van onvoldoende bewaring zijn reëel. In september 2022 kondigde de Amerikaanse Securities and Exchange Commission handhavingsmaatregelen aan tegen 16 bedrijven aan Wall Street wegens wijdverbreide tekortkomingen bij het onderhouden en bewaren van elektronische communicatie. De bedrijven stemden ermee in om te betalen meer dan $1,1 miljard aan boetes in totaal. De SEC verklaarde dat deze tekortkomingen ertoe hebben geleid dat haar onderzoekers geen toegang hadden tot communicatie die tijdens toezichtsonderzoeken beschikbaar had moeten zijn.

In 2023 werden nog eens 11 bedrijven aangeklaagd wegens het niet bewaren en archiveren van elektronische communicatie, waarbij de bedrijven ermee instemden om gezamenlijk een bedrag van $289 miljoen aan boetes. De SEC beschreef deze tekortkomingen als schendingen van de vereisten inzake het bijhouden van gegevens uit de federale effectenwetgeving en benadrukte nogmaals het belang van het bewaren van elektronische communicatie ten behoeve van toezicht en onderzoeken door de toezichthoudende instanties.

En de risico’s reiken ook verder dan het bijhouden van gegevens voor regelgevende doeleinden. In het Verenigd Koninkrijk heeft het High Court Raymond McKeeve schuldig bevonden aan minachting van het gerecht, nadat elektronisch materiaal was vernietigd terwijl er een bewaarplicht gold. De rechtbank legde vervolgens een Een boete van 25.000 pond en legde aanzienlijke kostenveroordelingen op. Ocado, de onderneming, meldde dat haar de juridische kosten bedroegen ongeveer 1,1 miljoen pond. De heer McKeeve, de betrokken persoon, heeft ongeveer 615.000 pond aan proceskosten.

Archivering en het bewaren van digitaal bewijsmateriaal hangen nauw met elkaar samen. Archivering zorgt ervoor dat er betrouwbare bedrijfsdocumenten worden bijgehouden; het bewaren van bewijsmateriaal beschermt informatie die later nodig kan zijn om vast te stellen wat er is gebeurd.

De les is simpel: bewaar digitale informatie niet zomaar – zorg ervoor dat je kunt aantonen wat het is en waarom het betrouwbaar is wanneer het er echt toe doet.

Het doel van een standaardprocedure (SOP) voor het bewaren van bewijsmateriaal binnen een onderneming is het vaststellen van een beperkt aantal verplichte maatregelen die de integriteit, authenticiteit, traceerbaarheid en reproduceerbaarheid van bewijsmateriaal waarborgen, vanaf het moment dat het wordt geïdentificeerd tot en met de uiteindelijke presentatie of vernietiging ervan. De drie belangrijkste bronnen van richtlijnen die zijn gebruikt bij het opstellen van deze SOP en die u kunt raadplegen om uw eigen SOP op te stellen, zijn:

• ISO/IEC 27037:2012 Informatietechnologie – Beveiligingstechnieken – Richtlijnen voor de identificatie, verzameling, verwerving en bewaring van digitaal bewijsmateriaal;
• ’Wetenschappelijke werkgroep inzake digitaal bewijsmateriaal’ (SWGDE) Aanbevolen werkwijzen voor het verzamelen van digitaal bewijsmateriaal (en 17-F-002-2.1, 18-F-002-2.0, 21-F-001-1.1, 23-F-004-1.1);
• NIST SP 800-86’ Handleiding voor de integratie van forensische technieken in de incidentrespons en NIST IR 8387 Bewaring van digitaal bewijsmateriaal – Overwegingen voor degenen die met bewijsmateriaal omgaan.

Je uitgangspunt zou moeten zijn: Pas nooit iets aan wat je niet kunt vervangen; geef nooit iets door waarvan je de herkomst niet kunt traceren; vertrouw nooit op bewijsmateriaal waarvan je de integriteit niet kunt controleren.

Dit is niet bedoeld ter vervanging van gespecialiseerde forensische procedures. SWGDE wijst er uitdrukkelijk op dat haar documenten met beste praktijken geen opleidingshandleidingen zijn, niet allesomvattend zijn en mogelijk niet op elke situatie van toepassing zijn. Wanneer een situatie een afwijking vereist, moeten zowel de afwijking als de genomen maatregelen grondig worden gedocumenteerd.

Elke overdracht van bewijsmateriaal moet herleidbaar zijn tot een unieke identificatiecode en moet ten minste vermelden wie het heeft overgedragen, wie het heeft ontvangen, wanneer de overdracht plaatsvond en waarom deze plaatsvond. SWGDE 17-F-002 noemt deze elementen expliciet als de minimale informatie over de bewakingsketen voor de overdracht van digitaal bewijsmateriaal. Het doel is niet bureaucratische complexiteit, maar continuïteit. De organisatie moet op elk moment het volgende kunnen beantwoorden:

• Waar is het bewijs?
• Wie heeft het gezag?
• Wanneer is de voogdij overgegaan?
• Waarom is het veranderd?
• Is de integriteit ervan gecontroleerd?

Als die vragen niet kunnen worden beantwoord, vertoont het proces voor bewijsbeheer een lacune in de traceerbaarheid.

Houd er rekening mee dat de kracht van een SOP ligt in het feit dat de controlemaatregelen stabiel blijven, terwijl de uitvoering steeds geavanceerder wordt. Een kleine organisatie zou gebruik kunnen maken van een gecontroleerd bewijsmateriaalregister, gestandaardiseerde innameformulieren, cryptografische hashing, versleutelde opslag en gedocumenteerde overdrachten van bewaring. Een grotere onderneming kan geleidelijk rolgebaseerde toegangscontrole, onveranderlijke of tegen schrijven beveiligde bewijsmateriaalopslagplaatsen, geautomatiseerde hash-verificatie, fraudebestendige auditlogs, enzovoort toevoegen. Het belangrijkste punt is dat deze mogelijkheden uitbreiden de oorspronkelijke bedieningselementen behouden in plaats van ze te vervangen.

Raadpleeg het referentiekader voor alle inhoud en andere specifieke gebruiksscenario’s die wellicht beter aansluiten bij uw eigen workflow.

Om aan de slag te gaan, is het ook belangrijk om rekening te houden met veelvoorkomende uitdagingen waarmee je te maken kunt krijgen, zelfs als er al een plan ligt.

Het doel is altijd om deze uitdagingen het hoofd te bieden en er het beste van te maken digitaal bewijsmateriaal vastleggen in een dossier dat het bedrijf kan verifiëren, toelichten en verdedigen.

In de workflow voor het bewaren van bewijsmateriaal werken we met de fasen “Fingerprint” en “Verify”: het genereren van een cryptografische hash van het bewaarde document, het op een veilige manier vastleggen van die hash op een bekend tijdstip, en het later controleren of het document nog steeds overeenkomt. Connecting Software’s Truth Enforcer voldoet aan deze specifieke eis: het genereert een cryptografische vingerafdruk van een bestand en slaat deze op in een onveranderlijk blockchain-register, waardoor het bestand later op wijzigingen kan worden gecontroleerd zonder dat het onderliggende document buiten de controle van de organisatie komt.

Truth Enforcer zou binnen die workflows één afzonderlijke integriteitscontrole kunnen bieden: het vaststellen en vervolgens controleren van de status van een record.