Beleid inzake bewijsverzameling en forensisch onderzoek

Het Beleid inzake bewijsverzameling en forensisch onderzoek (P31) stelt een gestructureerd, juridisch verdedigbaar kader vast voor het beheren van de identificatie, verzameling, bewaring, analyse en verwijdering van digitaal bewijsmateriaal in gevallen van daadwerkelijke of vermoedelijke beveiligingsincidenten. Het centrale doel is het waarborgen van forensische gereedheid, met behoud van integriteit en toelaatbaarheid van bewijsmateriaal voor interne onderzoeken, gerechtelijke procedures of naleving van de regelgeving. De uitgebreide reikwijdte van het beleid is van toepassing op al het personeel, contractanten, leveranciers en dienstverleners van derde partijen die betrokken zijn bij systeembeheer of onderzoeksactiviteiten en is van toepassing op endpoints, servers, netwerken, cloudplatformen en elk incident dat omgang met bewijsmateriaal vereist, waaronder dreigingen van binnenuit, misbruik, incidenten met operationele technologie (OT)-systemen en schendingen van fysieke-digitale bedrijfsmiddelen. Belangrijke doelstellingen benadrukken de snelle en veilige verwerving van bewijsmateriaal, rigoureuze bewaring van de integriteit van bewijsmateriaal en strikte documentatie, inclusief chain of custody, om te voldoen aan zowel wettelijke verplichtingen als contractuele verplichtingen. Forensische activiteiten zijn nauw verbonden met post-incident evaluatie en verbeteringen van beheersmaatregelen, en integreren naadloos in het overkoepelende Managementsysteem voor informatiebeveiliging (ISMS). Verantwoordelijkheden voor de Chief Information Security Officer (CISO), forensische analisten, IT-beheerders, juridisch adviseur en compliance officer, HR en auditfuncties worden afgebakend om juridische verdedigbaarheid en transparantie in elke fase van een incident te waarborgen. Het beleid verplicht diverse governance-eisen, waaronder het onderhouden van een formeel Forensic Readiness Program. Dit programma definieert triggercriteria voor bewijsverzameling, escalatieprocedures, toolsets die zijn goedgekeurd voor forensisch gebruik, en benadrukt de documentatie- en rapportagestandaarden die alle activiteiten sturen. Alle activiteiten rond omgang met bewijsmateriaal moeten voldoen aan internationaal geaccepteerde forensische normen, zoals ISO/IEC 27035 voor incidentenafhandeling, NIST SP 800-86 voor forensische planning en NIST SP 800-101 Rev.1 voor mediaforensisch onderzoek. Het beleid vereist een Forensic Toolkit Register en verlangt dat bewijsmateriaal veilig wordt verworven, gelabeld, opgeslagen met integriteitscontroles en dat alle verplaatsingen worden vastgelegd in een ondertekend chain-of-custody-logboek. Implementatie-eisen van het beleid schrijven gedetailleerde procedures voor voor de verwerving van bewijsmateriaal (met write-blockers en gevalideerde tools), systeemisolatie, verzameling van logs en metadata (met waarborging van tijdsynchronisatie voor consistente tijdlijnen) en veilige, geïsoleerde omgevingen voor forensische analyse. Gegevensbeschermingsmaatregelen vereisen strikte afstemming op de AVG wanneer bewijsmateriaal persoonsgegevens omvat, inclusief toegangscontrole, encryptie en duidelijke documentatie van de rationale voor verzameling. Bewaartermijnen voor bewijsmateriaal worden bepaald door wettelijke of contractuele eisen, en veilige verwijdering moet voldoen aan het Gegevensbewaringsbeleid (P14). Risicobehandeling en uitzonderingsprocessen worden ook beschreven, met specifieke eisen voor het documenteren, indienen en goedkeuren van uitzonderingen, met name wanneer bewijsmateriaal niet volgens standaardprocedures kan worden behandeld. Continue nalevingsmonitoring, periodieke audits, beleidsintegratie met incidentresponsbeleid (P30), evenals handhaving via disciplinaire maatregelen of juridische actie, onderbouwen de doeltreffendheid van het beleid. Het herzieningsproces is geformaliseerd op jaarlijkse basis en na kritieke incidenten. Het beleid is afgestemd op internationale raamwerken waaronder ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 en 800-101, COBIT 2019, de EU-AVG, NIS2 en DORA.