Securitate + certificare: Responsabilitatea computerului și reacția la incidente - dummy

Criminalistica informatică presupune efectuarea unei investigații pentru a determina ce sa întâmplat, pentru a afla cine este responsabil și pentru a colecta legal dovezi admisibile pentru a fi utilizate într-un caz de criminalitate informatică.

În strânsă legătură, dar distinct diferită de investigații, este răspunsul incidentului. Scopul unei investigații este de a determina ce sa întâmplat, de a determina cine este responsabil și de a colecta dovezi. Răspunsul la incident determină ce sa întâmplat, conține și evaluează daunele și restabilește operațiile normale.

Investigațiile și răspunsul la incidente trebuie adesea efectuate simultan într-o manieră bine coordonată și controlată, pentru a se asigura că acțiunile inițiale ale fiecărei activități nu distrug dovezi și nu dăunează în continuare activelor organizației. Din acest motiv, echipele de răspuns în caz de incidente de calculator (sau de urgență) (CIRT sau CERT, respectiv) trebuie să fie instruite și calificate corespunzător pentru a asigura o scenă sau incident de crimă, păstrând în același timp dovezi. În mod ideal, CIRT include persoanele care conduc ancheta.

Efectuarea de investigații

Investigarea criminalității informatice ar trebui să înceapă imediat după raportarea unei presupuse infracțiuni sau incidente informatice. Inițial, orice incident ar trebui să fie tratat ca o investigație a criminalității pe calculator până când o anchetă preliminară nu stabilește altceva. Pașii generali care trebuie urmăriți în procesul de investigație sunt următorii:

• Detectați și conțin: Detecția timpurie este esențială pentru o investigație de succes. Din păcate, tehnicile de detectare pasivă sau reactivă (cum ar fi revizuirea traseelor ​​de audit și descoperirea accidentală) sunt, de obicei, normele în cazul infracțiunilor pe calculator și, adesea, lasă un traseu de dovezi la rece. Concentrarea este esențială pentru a reduce la minimum pierderile sau pagubele ulterioare.

• Managementul notificărilor: Administrarea trebuie să fie notificată cât mai curând posibil cu privire la orice investigație. Cunoașterea investigației ar trebui să se limiteze la cât mai puțini oameni și ar trebui să fie bazată pe nevoia de a cunoaște. Metodele de comunicare în afara benzii (raportarea în persoană) ar trebui folosite pentru a asigura că comunicările sensibile despre anchetă nu sunt interceptate.
• Începeți o investigație preliminară: Acest lucru este necesar pentru a stabili dacă a avut loc o infracțiune. Cele mai multe incidente sunt greșeli oneste, nu comportament criminal. Această etapă include

• Revizuirea plângerii sau a raportului

• Verificarea daunelor

• Intervievarea martorilor

• Examinarea jurnalelor

• Identificarea cerințelor suplimentare de investigare

• și cel mai important lucru pentru a determina dacă divulgarea infracțiunii sau a incidentului este cerută de lege.Apoi, determinați dacă este dorită dezvăluirea. Acest lucru ar trebui să fie coordonat cu un funcționar al relațiilor publice sau al afacerilor publice din cadrul organizației. Desfășurați investigația:
• •

Identificați potențialii suspecți. Acestea includ persoane din organizație și din exterior. Un criteriu standard de discriminare pentru a ajuta la determinarea sau eliminarea potențialilor suspecți este testul MOM: Suspectul a avut motivul, oportunitatea și mijloacele de a comite crima? •

Identificați potențialii martori. Determinați cine urmează să fie intervievat și cine va conduce interviurile. Aveți grijă să nu alertați suspecții potențiali la investigație; să se concentreze pe obținerea faptelor, nu a opiniilor, în declarațiile martorilor. •

Pregătiți-vă pentru căutare și confiscare. Aceasta include identificarea tipurilor de sisteme și dovezi care trebuie căutate sau confiscate, desemnarea și instruirea membrilor echipei de căutare și confiscare (CIRT), obținerea și difuzarea mandatelor de căutare corespunzătoare (dacă este necesar) și determinarea riscului potențial pentru sistem în timpul unui efort de căutare și confiscare. Rezultatele raportului:

• Rezultatele investigației, inclusiv dovezile, ar trebui raportate conducerii și transferate oficialilor sau procurorilor responsabili cu aplicarea legii. Dovezi

Dovezi

sunt informații prezentate într-o instanță judecătorească pentru a confirma sau a elimina un fapt aflat în discuție. Un caz nu poate fi adus în judecată fără probe suficiente pentru a susține cazul. Astfel, strângerea probelor este una dintre cele mai importante și mai dificile sarcini ale investigatorului. Tipurile de dovezi

Sursele de dovezi juridice care pot fi prezentate în instanță se încadrează în general în una din cele patru categorii principale:

Dovezi directe:

• Aceasta este o declarație scrisă sau o declarație scrisă informațiile adunate prin cele cinci simțuri ale martorului (un cont de martori oculari) care demonstrează sau respinge un anumit fapt sau problemă. Dovezi reale (sau fizice):
• Acestea sunt obiecte tangibile din crima actuală, cum ar fi: • Unelte și arme

Dovezile fizice provenite de la o crimă informatică sunt rareori disponibile.

Evidența documentelor:

Cele mai multe dovezi prezentate într-un caz de criminalitate pe calculator sunt dovezi documentare, cum ar fi următoarele:
• • Originale și copii ale înregistrărilor comerciale • Înregistrări stocate pe computer și stocate pe computer

• Manuale

• Politici

• Standarde

> Înregistrările comerciale, inclusiv înregistrările computerizate, sunt în mod tradițional considerate probe de către majoritatea instanțelor deoarece aceste înregistrări nu pot fi dovedite exacte și fiabile. Unul dintre cele mai importante obstacole pe care un procuror le poate depăși într-un caz de criminalitate informatică este să caute admiterea înregistrărilor computerizate ca dovezi.

Dovezi demonstrative.

Folosit pentru a ajuta instanța să înțeleagă un caz. Opiniile sunt considerate probe demonstrative și pot fi

•

Expert:
• Pe baza experienței și faptelor personale

Nonexpert: dovezile includ modele, simulări, diagrame și ilustrații. Alte tipuri de dovezi care pot fi incluse în cel puțin una din categoriile majore precedente includ

Cele mai bune dovezi: Dovezi originale, nemodificate. În instanță, acest lucru este preferat față de dovezile secundare. Datele extrase dintr-un computer îndeplinesc cea mai bună regulă de probă și pot fi introduse în mod normal în procedurile judiciare ca atare.

Dovezi secundare:

Un duplicat sau o copie a dovezilor, cum ar fi

• • Rezistența pe bandă • Captarea ecranului
• Fotografia
• Dovezi coroborative: într-un caz.

Dovezi concludente:

Incontestabile și incontestabile: pistolul de fumat.

Dovezi circumstanțiale:

• Fapte relevante care nu pot fi conectate direct sau concludent la alte evenimente, dar despre care se poate face o inferență rezonabilă. Admisibilitatea probelor
• Deoarece dovezile generate de calculator pot fi adesea ușor manipulate, modificate sau manipulate și pentru că nu sunt ușor de înțeles, acest tip de dovezi este de obicei considerat suspect în instanță. Pentru a fi admisibilă, probele trebuie să fie:
• Relevant: Trebuie să tindă să dovedească sau să respingă fapte relevante și materiale pentru caz.

Încredere:

Trebuie să se demonstreze în mod rezonabil că ceea ce este prezentat ca probă este ceea ce a fost inițial colectat și că dovezile în sine sunt fiabile. Acest lucru se realizează, parțial, prin gestionarea corectă a dovezilor și prin lanțul de custodie.

Permisă din punct de vedere legal:

• Trebuie obținută prin mijloace legale. Dovezi care nu sunt permise din punct de vedere legal pot include dovezi obținute prin intermediul acestor mijloace: •
• Căutarea și confiscarea ilegală: Personalul de aplicare a legii trebuie să obțină o hotărâre judecătorească prealabilă; cu toate acestea, personalul care nu are competențe în domeniul aplicării legii, cum ar fi un supraveghetor sau administrator de sistem, ar putea să efectueze o căutare autorizată în anumite circumstanțe.
• • Interviuri ilegale sau robinete telefonice:

Orice persoană care efectuează apeluri telefonice sau robinete telefonice trebuie să obțină un ordin judecătoresc prealabil. • Închiderea sau îndemânarea:

Închiderea încurajează pe cineva să comită o infracțiune pe care individul ar fi putut să nu fi intenționat să o comită. În schimb, enticementul

atrage pe cineva spre unele dovezi (un vas de miere, dacă vreți) după ce persoana respectivă a comis deja o infracțiune. Îndemnul nu este neapărat ilegal, ci ridică argumente etice și nu poate fi admisibil în instanță. • Coerciția: Mărturia constrângătoare sau confesiunile nu sunt permise din punct de vedere legal. • Monitorizarea neautorizată sau necorespunzătoare:

Monitorizarea activă trebuie să fie autorizată corespunzător și să fie efectuată în mod standard; utilizatorii trebuie să fie informați că pot face obiectul unei monitorizări.