Как сохранить цифровые доказательства: подтверждение целостности, происхождения и цепочки хранения

Во всех рабочих процессах вы увидите одну общую черту: человек должен установить факт, обосновать вывод или доказать, что был соблюден необходимый порядок действий — используя записи в качестве доказательств. Это связано с понятиями доказательств, их хранения и доказательной силы.

Все они представляют собой рабочие процессы, основанные на фактических данных, в рамках которых компании должны реконструировать события, определить ответственность, продемонстрировать выполнение обязательств или мер контроля, а также представить убедительные доказательства внутреннему или внешнему лицу, принимающему решения.

Последствия ненадлежащего хранения документов вполне реальны. В сентябре 2022 года Комиссия по ценным бумагам и Exchange США объявила о принятии мер принудительного исполнения в отношении 16 фирм с Уолл-стрит в связи с массовыми нарушениями в области обслуживания и сохранности электронных сообщений. Компании согласились выплатить совокупные штрафы на сумму более $1,1 миллиарда. Комиссия по ценным бумагам и биржам (SEC) заявила, что эти нарушения лишили её следователей доступа к информации, которая должна была быть доступна в ходе проверок регулирующих органов.

В 2023 году еще 11 компаний были привлечены к ответственности за несоблюдение требований по хранению и сохранению электронной переписки; компании согласились выплатить в общей сложности $289 млн в виде штрафов. Комиссия по ценным бумагам и биржам (SEC) квалифицировала эти нарушения как несоблюдение требований федерального законодательства о ценных бумагах в отношении ведения документации и вновь подчеркнула важность сохранения электронной переписки для целей регулирования и проведения расследований.

Кроме того, риски выходят за рамки ведения документации в соответствии с нормативными требованиями. В Соединённом Королевстве Высокий суд признал Рэймонда Маккива виновным в неуважении к суду после того, как электронные материалы были уничтожены в условиях, когда действовали обязательства по их сохранению. Впоследствии суд наложил Штраф в размере 25 000 фунтов стерлингов и вынес постановления о взыскании значительных судебных издержек. Компания Ocado сообщила, что её судебные издержки составили примерно 1,1 млн фунтов стерлингов. Г-н Маккив, фигурант данного дела, понес около 615 000 фунтов стерлингов на покрытие судебных издержек.

Ведение документации и сохранение цифровых доказательств тесно связаны между собой. Ведение документации обеспечивает надежное хранение организационных записей; сохранение доказательств защищает информацию, которая впоследствии может понадобиться для установления того, что произошло.

Вывод прост: не просто храните цифровую информацию — сохраняйте её так, чтобы в нужный момент можно было доказать, что это за информация и почему ей можно доверять.

Цель стандартной операционной процедуры (СОП) по сохранению доказательств на предприятии заключается в установлении небольшого набора обязательных мер контроля, обеспечивающих целостность, подлинность, прослеживаемость и воспроизводимость доказательств с момента их выявления и до их окончательного представления или уничтожения. Три основных источника рекомендаций, использованных при разработке данной СОП и с которыми вы можете ознакомиться при разработке собственной СОП, включают:

• ISO/IEC 27037:2012 Информационные технологии. Методы обеспечения безопасности. Руководство по идентификации, сбору, получению и сохранению цифровых доказательств;
• ’Научная рабочая группа по цифровым доказательствам» (SWGDE) Передовые методы сбора цифровых доказательств (а также 17-F-002-2.1, 18-F-002-2.0, 21-F-001-1.1, 23-F-004-1.1);
• NIST SP 800-86’Руководство по внедрению криминалистических методов в процесс реагирования на инциденты» и NIST IR 8387 Сохранение цифровых доказательств — рекомендации для специалистов, работающих с доказательствами.

Вашим основным правилом должно быть следующее: Никогда не изменяйте то, что нельзя заменить; никогда не передавайте то, что нельзя отследить; никогда не полагайтесь на доказательства, достоверность которых невозможно проверить.

Данный документ не предназначен для замены специализированных криминалистических процедур. SWGDE прямо отмечает, что его документы, содержащие передовой опыт, не являются учебными пособиями, не охватывают все возможные случаи и могут не подходить для всех обстоятельств. Если ситуация требует отклонения от установленных процедур, такое отклонение и предпринятые действия должны быть тщательно задокументированы.

Каждая передача доказательств должна быть привязана к уникальному идентификатору доказательства и должна содержать, как минимум, сведения о том, кто его передал, кто получил, когда произошла передача и по какой причине. В документе SWGDE 17-F-002 эти элементы прямо определены как минимальный набор сведений о цепочке хранения при передаче цифровых доказательств. Цель заключается не в бюрократической сложности, а в обеспечении непрерывности. В любой момент времени организация должна быть в состоянии ответить на следующие вопросы:

• Где доказательства?
• Кто имеет право опеки?
• Когда произошла смена опекуна?
• Почему это изменилось?
• Была ли проверена его целостность?

Если на эти вопросы невозможно ответить, это означает, что в процессе управления доказательствами имеется пробел в обеспечении прослеживаемости.

Следует отметить, что преимущество стандартной операционной процедуры (SOP) заключается в том, что меры контроля остаются неизменными, в то время как процесс внедрения становится все более совершенным. Небольшая организация может использовать реестр доказательств с контролем доступа, стандартизированные формы сбора данных, криптографическое хеширование, зашифрованное хранение и документированные передачи ответственности за хранение. Более крупное предприятие может постепенно добавлять контроль доступа на основе ролей, неизменяемые или защищенные от записи хранилища доказательств, автоматическую проверку хешей, журналы аудита с защитой от несанкционированного доступа и т. д. Важно то, что эти возможности расширить использовать исходные элементы управления, а не заменять их.

Ознакомьтесь со справочным руководством, чтобы найти всю необходимую информацию и другие конкретные варианты использования, которые могут лучше соответствовать вашему рабочему процессу.

Прежде чем приступить к работе, важно также учесть типичные трудности, с которыми вы можете столкнуться, даже если у вас уже есть план.

Цель всегда заключается в том, чтобы принять эти вызовы и превратить их цифровые доказательства в форму документации, которую компания сможет проверить, объяснить и отстоять.

В рамках рабочего процесса сохранения доказательств мы используем этапы “Fingerprint” и “Verify”: создание криптографического хеша сохраненной записи, надежное привязывание этого хеша к известному моменту времени и последующая проверка того, что запись по-прежнему соответствует этому хешу. Connecting Software’s Truth Enforcer отвечает этому конкретному требованию: он создаёт криптографический отпечаток файла и записывает его в неизменяемый реестр блокчейна, что позволяет впоследствии проверять файл на наличие изменений, при этом исходный документ остаётся под контролем организации.

«Truth Enforcer» может обеспечить один отдельный механизм контроля целостности в рамках этих рабочих процессов: установление и последующая проверка состояния записи.