Todisteiden keräämisen ja digitaalisen forensiikan politiikka

Todisteiden keräämisen ja digitaalisen forensiikan politiikka (P31) määrittää jäsennellyn, oikeudellisesti puolustettavan viitekehyksen digitaalisen todistusaineiston tunnistamiseen, keräämiseen, säilyttämiseen, analysointiin ja hävittämiseen todellisten tai epäiltyjen tietoturvapoikkeamien yhteydessä. Sen keskeinen tavoite on varmistaa forensinen valmius sekä säilyttää todistusaineiston eheys ja hyväksyttävyys sisäisiä tutkintoja, oikeudenkäyntejä tai sääntelyvaatimusten noudattamista varten. Politiikan kattava soveltamisala koskee koko henkilöstöä, urakoitsijoita, toimittajia ja kolmannen osapuolen palveluntarjoajatoimijoita, jotka osallistuvat järjestelmänhallintaan tai tutkintatoimintaan, ja se kattaa päätelaitteet, palvelimet, verkot, pilvialustat sekä kaikki poikkeamat, joissa todistusaineiston käsittelyä tarvitaan, mukaan lukien sisäpiiriuhat, väärinkäyttö, operatiivisen teknologian (OT) järjestelmäpoikkeamat sekä fyysisten ja digitaalisten omaisuuserien rikkomukset. Keskeiset tavoitteet korostavat todistusaineiston nopeaa ja turvallista hankintaa, todistusaineiston eheyden tiukkaa säilyttämistä sekä tiukkaa dokumentointia, mukaan lukien chain of custody, jotta sekä lakisääteiset velvoitteet että sääntelyvelvoitteet täyttyvät. Forensiikkatoiminnot kytkeytyvät tiiviisti poikkeaman jälkiarviointiin ja kontrollien parantamiseen, ja ne integroituvat saumattomasti tietoturvallisuuden hallintajärjestelmäkokonaisuuteen. Vastuut tietoturvajohtajalle (CISO), forensikkoanalyytikoille, IT-järjestelmänvalvojille, laki- ja vaatimustenmukaisuusvastaaville, henkilöstöhallintotoiminnolle sekä sisäisen tarkastuksen toiminnolle on määritelty, jotta oikeudellinen puolustettavuus ja läpinäkyvyys varmistetaan poikkeaman kaikissa vaiheissa. Politiikka edellyttää useita hallintotapavaatimuksia, mukaan lukien muodollisen Forensic Readiness Program -ohjelman ylläpito. Ohjelma määrittää herätekriteerit todistusaineiston keräämiselle, eskalointipolut, forensiikkakäyttöön hyväksytyt työkalut sekä korostaa dokumentointi- ja raportointistandardeja kaikkien toimintojen ohjaamiseksi. Kaikkien todistusaineiston käsittelytoimien on noudatettava kansainvälisesti hyväksyttyjä forensiikkastandardeja, kuten ISO/IEC 27035 poikkeamien käsittelyyn, NIST SP 800-86 forensiikkasuunnitteluun ja NIST SP 800-101 Rev.1 mediaforensiikkaan. Politiikka edellyttää Forensic Toolkit Register -rekisteriä ja vaatii, että todistusaineisto hankitaan turvallisesti, merkitään, säilytetään eheyden tarkistuksin ja että kaikki siirrot kirjataan allekirjoitettuun chain-of-custody -lokiin. Politiikan toimeenpanovaatimukset määrittävät yksityiskohtaiset menettelyt todistusaineiston hankintaan (käyttäen write-blocker -laitteita ja validoituja työkaluja), järjestelmien eristämiseen, lokien ja metatietojen keräämiseen (varmistaen aikasynkronoidut lokit aikajanan johdonmukaisuuden tueksi) sekä turvallisiin, eristettyihin ympäristöihin forensiikka-analyysiä varten. Tietosuojatoimet edellyttävät tiukkaa GDPR-yhdenmukaisuutta, kun todistusaineisto sisältää henkilötietoja, mukaan lukien pääsynhallinta, salaus ja selkeä dokumentointi keruun perusteista. Todistusaineiston säilytystä ohjaavat lakisääteiset tai sopimukseen perustuvat vaatimukset, ja turvallisen hävittämisen on noudatettava tietojen säilytyspolitiikkaa (P14). Myös riskien käsittely ja poikkeusprosessit kuvataan, ja niihin sisältyy erityisvaatimuksia poikkeusten dokumentointiin, jättämiseen ja hyväksymiseen, erityisesti tilanteissa, joissa todistusaineistoa ei voida käsitellä vakiomenettelyjen mukaisesti. Vaatimustenmukaisuuden jatkuva seuranta, säännölliset auditoinnit, politiikan integrointi tietoturvapoikkeamiin reagointitoimintoon (P30) sekä täytäntöönpano kurinpitotoimenpiteiden tai oikeudellisten toimien kautta tukevat politiikan vaikuttavuutta. Katselmointiprosessi on muodollistettu vuosittain ja kriittisten poikkeamien yhteydessä. Politiikka on linjassa kansainvälisten viitekehysten kanssa, mukaan lukien ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 ja 800-101, COBIT 2019, EU:n GDPR, NIS2 ja DORA.