ISO/IEC 27037.

Che cosa disciplina la ISO/IEC 27037

La ISO/IEC 27037 è la linea guida internazionale per la prima fase, la più fragile, di ogni indagine digitale: impossessarsi della prova senza distruggerla. Si colloca all'interno della più ampia famiglia ISO/IEC 27000, accanto alla ISO/IEC 27001, ma mentre la 27001 indica come gestire un sistema di gestione, la 27037 indica ai vostri intervenenti esattamente come trattare un server in funzione, un portatile sequestrato, un telefono o un account cloud affinché ciò che viene acquisito possa in seguito resistere all'esame. Copre quattro attività in sequenza: identificare la potenziale prova digitale, raccogliere i dispositivi fisici, acquisirne i dati e preservare sia i dispositivi sia le copie fino alla consegna.

La norma introduce due ruoli a cui i professionisti tornano di continuo. Il Digital Evidence First Responder (DEFR) è la persona presente sulla scena che decide cosa sequestrare e come. Il Digital Evidence Specialist (DES) possiede la competenza tecnica più approfondita per trattare i casi delicati, come i sistemi attivi, i volumi cifrati o l'hardware inusuale. Da entrambi ci si attende che documentino ogni decisione, perché il valore della prova digitale poggia meno sui byte in sé e più sulla capacità di dimostrare che non sono stati alterati.

La catena di custodia e i principi che la sorreggono

La 27037 poggia su una manciata di principi che ricompaiono in ogni metodo forense credibile. La prova acquisita deve essere pertinente, affidabile e sufficiente. Le azioni compiute sull'originale devono essere mantenute al minimo necessario e pienamente giustificate. Chiunque sia competente deve poter ripetere il processo e giungere allo stesso risultato, ed è per questo che gli strumenti di imaging, i blocchi in scrittura e gli hash di verifica contano così tanto. Il filo che lega il tutto è la catena di custodia: una registrazione continua e documentata di chi ha detenuto la prova, di che cosa ne ha fatto e quando, dal momento della raccolta fino alla sua presentazione.

• Identificazione: riconoscere ciò che potrebbe costituire una prova, dai dischi e telefoni fino alla memoria volatile e alle catture di rete.
• Raccolta: rimuovere i dispositivi dalla scena, con l'ordine di volatilità che decide cosa acquisire per primo.
• Acquisizione: produrre una copia verificabile, di norma un'immagine forense validata da un hash crittografico.
• Preservazione: proteggere l'originale e le copie da alterazioni, perdite o contaminazioni.

Dove si colloca nella risposta agli incidenti e nella famiglia più ampia

In pratica la 27037 è il ponte tra il rilevamento di un incidente e la capacità di fare qualcosa di utile con gli artefatti in seguito. Un SOC interno che acquisisce un'immagine del disco nel modo sbagliato, o che cancella la memoria volatile riavviando un host compromesso, può rilevare perfettamente un attaccante e ritrovarsi comunque con una prova su cui nessun tribunale o autorità di regolamentazione farà affidamento. Ecco perché la si legge insieme agli orientamenti sulla gestione degli incidenti della ISO/IEC 27035 e ai controlli dell'Annex A della ISO/IEC 27001. La disciplina è la stessa, sia che l'obiettivo sia un'azione penale, una controversia di lavoro, una richiesta di indennizzo assicurativo o semplicemente un rapporto interno che regga alla contestazione.

Per i professionisti l'insegnamento è procedurale, non teorico. Decidete in anticipo chi sono i vostri DEFR e DES, dotateli di strumenti validati, redigete il modulo di catena di custodia prima di averne bisogno e provate l'ordine di volatilità affinché nessuno riavvii l'unica macchina che contava. Quando un'indagine va male, non è quasi mai l'analisi a fallire. È la prima ora, esattamente l'ora di cui parla la 27037.