ISO/IEC 27043:2015
(Main)Information technology - Security techniques - Incident investigation principles and processes
Information technology - Security techniques - Incident investigation principles and processes
ISO/IEC 27043:2015 provides guidelines based on idealized models for common incident investigation processes across various incident investigation scenarios involving digital evidence. This includes processes from pre-incident preparation through investigation closure, as well as any general advice and caveats on such processes. The guidelines describe processes and principles applicable to various kinds of investigations, including, but not limited to, unauthorized access, data corruption, system crashes, or corporate breaches of information security, as well as any other digital investigation. In summary, this International Standard provides a general overview of all incident investigation principles and processes without prescribing particular details within each of the investigation principles and processes covered in this International Standard. Many other relevant International Standards, where referenced in this International Standard, provide more detailed content of specific investigation principles and processes.
Technologies de l'information — Techniques de sécurité — Principes et processus d'investigation sur incident
L'ISO/IEC 27043:2015 fournit des lignes directrices concernant des modèles idéalisés pour des processus d'investigation des incidents communs à travers divers scénarios d'investigation sur incident impliquant des preuves numériques. Cela inclut des processus allant de la préparation antérieure à l'incident à la clôture de l'investigation, ainsi que tout conseil et mise en garde d'ordre général concernant de tels processus. Ces lignes directrices décrivent les processus et principes applicables à divers types d'investigations, comprenant, sans toutefois s'y limiter, l'accès non autorisé, la corruption des données, les défaillances du système ou les violations de sécurité des informations d'entreprise ainsi que toute autre investigation numérique. En résumé, l'ISO/IEC 27043:2015 fournit un aperçu général de tous les principes et processus d'investigation sur incident sans préconiser de détails particuliers dans chacun des principes et processus d'investigation couverts par l'ISO/IEC 27043:2015. De nombreuses autres Normes internationales pertinentes, lorsqu'elles sont citées en référence dans la présente Norme internationale, fournissent des contenus plus détaillés concernant des principes et processus d'investigation spécifiques.
General Information
- Status
- Published
- Publication Date
- 03-Mar-2015
- Drafting Committee
- ISO/IEC JTC 1/SC 27/WG 4 - Security controls and services
- Current Stage
- 9060 - Close of review
- Completion Date
- 04-Mar-2031
Overview
ISO/IEC 27043:2015 - Information technology - Security techniques - Incident investigation principles and processes provides high-level guidelines and idealized models for digital incident investigations. The standard covers the full lifecycle of an investigation - from pre-incident readiness through detection, acquisition, analysis, interpretation, reporting and closure - and offers principles to ensure investigations are repeatable, transparent, and legally defensible. ISO/IEC 27043 is intended as an overarching framework that complements more detailed standards for specific forensic techniques.
Key topics and requirements
- Investigation process model: A harmonized, top-down model dividing processes into classes such as readiness, initialization, acquisitive, investigative and concurrent processes.
- Pre-incident readiness: Guidance for scenario definition, identifying potential digital evidence sources, planning collection and storage, and designing detection and system architecture.
- Acquisition and preservation: Principles for potential digital evidence identification, collection, acquisition, transportation, storage and long-term preservation.
- Examination, analysis and interpretation: High-level requirements to support repeatability and transparency of analysis so similarly skilled investigators can reach consistent results.
- Documentation and chain of custody: Emphasis on robust documentation, authorization, managing information flow and preserving chain of custody to maintain evidential value.
- Legal and ethical considerations: General legal principles and caveats; alignment of investigative methods with applicable laws, policies and jurisdictional requirements.
- Competence and validation: Investigators must be competent, use validated processes (see ISO/IEC 27041) and take responsibility for assigned processes.
Practical applications
- Establishing an organizational incident investigation framework that is consistent and defensible in court or regulatory review.
- Guiding incident response teams and digital forensic practitioners on process sequencing and responsibilities.
- Supporting policy-makers and legal decision‑makers to evaluate the reliability of digital evidence and investigation procedures.
- Informing procurement and deployment of logging, detection, storage and forensic-ready system architectures for faster, higher-quality investigations.
Who should use this standard
- Digital forensic practitioners and incident responders
- Security operations center (SOC) teams and IT managers
- Legal, compliance and evidence-handling officers
- Policy-makers, auditors and accreditation bodies
- Organizations preparing forensic-ready systems or standard operating procedures
Related standards
- ISO/IEC 27041 (investigative methods validation) and other standards in the ISO/IEC security techniques family provide detailed, complementary guidance.
Keywords: ISO/IEC 27043, incident investigation, digital evidence, incident response, chain of custody, digital forensics, investigation processes, forensic readiness.
ISO/IEC 27043:2015 - Information technology -- Security techniques -- Incident investigation principles and processes
ISO/IEC 27043:2015 - Technologies de l'information -- Techniques de sécurité -- Principes et processus d'investigation sur incident
Frequently Asked Questions
ISO/IEC 27043:2015 is a standard published by the International Organization for Standardization (ISO). Its full title is "Information technology - Security techniques - Incident investigation principles and processes". This standard covers: ISO/IEC 27043:2015 provides guidelines based on idealized models for common incident investigation processes across various incident investigation scenarios involving digital evidence. This includes processes from pre-incident preparation through investigation closure, as well as any general advice and caveats on such processes. The guidelines describe processes and principles applicable to various kinds of investigations, including, but not limited to, unauthorized access, data corruption, system crashes, or corporate breaches of information security, as well as any other digital investigation. In summary, this International Standard provides a general overview of all incident investigation principles and processes without prescribing particular details within each of the investigation principles and processes covered in this International Standard. Many other relevant International Standards, where referenced in this International Standard, provide more detailed content of specific investigation principles and processes.
ISO/IEC 27043:2015 provides guidelines based on idealized models for common incident investigation processes across various incident investigation scenarios involving digital evidence. This includes processes from pre-incident preparation through investigation closure, as well as any general advice and caveats on such processes. The guidelines describe processes and principles applicable to various kinds of investigations, including, but not limited to, unauthorized access, data corruption, system crashes, or corporate breaches of information security, as well as any other digital investigation. In summary, this International Standard provides a general overview of all incident investigation principles and processes without prescribing particular details within each of the investigation principles and processes covered in this International Standard. Many other relevant International Standards, where referenced in this International Standard, provide more detailed content of specific investigation principles and processes.
ISO/IEC 27043:2015 is classified under the following ICS (International Classification for Standards) categories: 35.030 - IT Security; 35.040 - Information coding. The ICS classification helps identify the subject area and facilitates finding related standards.
ISO/IEC 27043:2015 is available in PDF format for immediate download after purchase. The document can be added to your cart and obtained through the secure checkout process. Digital delivery ensures instant access to the complete standard document.
Standards Content (Sample)
INTERNATIONAL ISO/IEC
STANDARD 27043
First edition
2015-03-01
Information technology — Security
techniques — Incident investigation
principles and processes
Technologies de l’information — Techniques de sécurité — Principes
d’investigation numérique et les processus
Reference number
©
ISO/IEC 2015
© ISO/IEC 2015
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized otherwise in any form
or by any means, electronic or mechanical, including photocopying, or posting on the internet or an intranet, without prior
written permission. Permission can be requested from either ISO at the address below or ISO’s member body in the country of
the requester.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Published in Switzerland
ii © ISO/IEC 2015 – All rights reserved
Foreword .v
Introduction .vi
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Symbols and abbreviated terms . 3
5 Digital investigations . 4
5.1 General principles . 4
5.2 Legal principles . 4
6 Digital investigation processes . 5
6.1 General overview of the processes . 5
6.2 Classes of digital investigation processes . 5
7 Readiness processes . 7
7.1 Overview of the readiness processes . 7
7.2 Scenario definition process . 9
7.3 Identification of potential digital evidence sources process . 9
7.4 Planning pre-incident gathering, storage, and handling of data representing
potential digital evidence process .11
7.5 Planning pre-incident analysis of data representing potential digital evidence process .11
7.6 Planning incident detection process .11
7.7 Defining system architecture process .11
7.8 Implementing system architecture process .12
7.9 Implementing pre-incident gathering, storage, and handling of data representing
potential digital evidence process .12
7.10 Implementing pre-incident analysis of data representing potential digital
evidence process .12
7.11 Implementing incident detection process .12
7.12 Assessment of implementation process .13
7.13 Implementation of assessment results process .13
8 Initialization processes .13
8.1 Overview of initialization processes .13
8.2 Incident detection process .14
8.3 First response process.15
8.4 Planning process .15
8.5 Preparation process.15
9 Acquisitive processes .16
9.1 Overview of acquisitive processes .16
9.2 Potential digital evidence identification process .16
9.3 Potential digital evidence collection process .17
9.4 Potential digital evidence acquisition process .17
9.5 Potential digital evidence transportation process .17
9.6 Potential digital evidence storage and preservation process .17
10 Investigative processes .18
10.1 Overview of investigative processes .18
10.2 Potential digital evidence acquisition process .19
10.3 Potential digital evidence examination and analysis process .19
10.4 Digital evidence interpretation process .19
10.5 Reporting process .19
10.6 Presentation process .20
10.7 Investigation closure process .20
© ISO/IEC 2015 – All rights reserved iii
11 Concurrent processes .20
11.1 Overview of the concurrent processes .20
11.2 Obtaining authorization process .21
11.3 Documentation process .21
11.4 Managing information flow process .21
11.5 Preserving chain of custody process .21
11.6 Preserving digital evidence process .22
11.7 Interaction with physical investigation process.22
12 Digital investigation process model schema .22
Annex A (informative) Digital investigation processes: motivation for harmonization .24
Bibliography .28
iv © ISO/IEC 2015 – All rights reserved
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical
activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other international
organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the
work. In the field of information technology, ISO and IEC have established a joint technical committee,
ISO/IEC JTC 1.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular the different approval criteria needed for
the different types of document should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www.iso.org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject
of patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent rights.
Details of any patent rights identified during the development of the document will be in the Introduction
and/or on the ISO list of patent declarations received (see www.iso.org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation on the meaning of ISO specific terms and expressions related to conformity
assessment, as well as information about ISO’s adherence to the WTO principles in the Technical Barriers
to Trade (TBT), see the following URL: Foreword — Supplementary information.
The committee responsible for this document is ISO/IEC JTC 1, Information technology, Subcommittee
SC 27, Security techniques.
© ISO/IEC 2015 – All rights reserved v
Introduction
About this International Standard
This International Standard provides guidelines that encapsulate idealized models for common
investigation processes across various investigation scenarios. This includes processes from pre-incident
preparation up to and including returning evidence for storage or dissemination, as well as general advice
and caveats on processes and appropriate identification, collection, acquisition, preservation, analysis,
interpretation, and presentation of evidence. A basic principle of digital investigations is repeatability,
where a suitably skilled investigator has to be able to obtain the same result as another similarly skilled
investigator, working under similar conditions. This principle is exceptionally important to any general
investigation. Guidelines for many investigation processes have been provided to ensure that there is
clarity and transparency in obtaining the produced result for each particular process. The motivation
to provide guidelines for incident investigation principles and processes follows.
Established guidelines covering incident investigation principles and processes would expedite
investigations because they would provide a common order of the events that an investigation entails.
Using established guidelines allows smooth transition from one event to another during an investigation.
Such guidelines would also allow proper training of inexperienced investigators. The guidelines,
furthermore, aim to assure flexibility within an investigation due to the fact that many different types
of digital investigations are possible. Harmonized incident investigation principles and processes are
specified and indications are provided of how the investigation processes can be customized in different
investigation scenarios.
A harmonized investigation process model is needed in criminal and civil prosecution settings, as well
as in other environments, such as corporate breaches of information security and recovery of digital
information from a defective storage device. The provided guidelines give succinct guidance on the
exact process to be followed during any kind of digital investigation in such a way that, if challenged, no
doubt should exist as to the adequacy of the investigation process followed during such an investigation.
Any digital investigation requires a high level of expertise. Those involved in the investigation have to be
competent, proficient in the processes used, and they have to use validated processes (see ISO/IEC 27041)
which are compatible with the relevant policies and/or laws in applicable jurisdictions.
Where the need arises to assign a process to a person, that person will take the responsibility for the
process. Therefore, a strong correlation between a process responsibility and a person’s input will
determine the exact investigation process required according to the harmonized investigation processes
provided as guidelines in this International Standard.
This International Standard is structured by following a top-down approach. This means that the
investigation principles and processes are first presented on a high (abstract) level before they are
refined with more details. For example, a high-level overview of the investigation principles and
processes are provided and presented in figures as “black boxes” at first, where after each of the high-
level processes are divided into more fine-grained (atomic) processes. Therefore, a less abstract and
more detailed view of all the investigation principles and processes are presented near the end of this
International Standard as shown in Figure 8.
This International Standard is intended to complement other standards and documents which provide
guidance on the investigation of, and preparation to, investigate information security incidents. It
is not an in-depth guide, but it is a guide that provides a rather wide overview of the entire incident
investigation process. This guide also lays down certain fundamental principles which are intended
to ensure that tools, techniques, and methods can be selected appropriately and shown to be fit for
purpose should the need arise.
Relationship to other standards
This International Standard is intended to complement other standards and documents which give
guidance on the investigation of, and preparation to investigate, information security incidents. It is not a
vi © ISO/IEC 2015 – All rights reserved
comprehensive guide, but lays down certain fundamental principles which are intended to ensure that tools,
techniques, and methods can be selected appropriately and shown to be fit for purpose should the need arise.
This International Standard also intends to inform decision-makers that need to determine the
reliability of digital evidence presented to them. It is applicable to organizations needing to protect,
analyse, and present potential digital evidence. It is relevant to policy-making bodies that create and
evaluate procedures relating to digital evidence, often as part of a larger body of evidence.
This International Standard describes part of a comprehensive investigative process which includes, but
is not limited to, the following topic areas:
— incident management, including preparation and planning for investigations;
— handling of digital evidence;
— use of, and issues caused by, redaction;
— intrusion prevention and detection systems, including information which can be obtained from
these systems;
— security of storage, including sanitization of storage;
— ensuring that investigative methods are fit for purpose;
— carrying out analysis and interpretation of digital evidence;
— understanding principles and processes of digital evidence investigations;
— security incident event management, including derivation of evidence from systems involved in
security incident event management;
— relationship between electronic discovery and other investigative methods, as well as the use of
electronic discovery techniques in other investigations;
— governance of investigations, including forensic investigations.
These topic areas are addressed, in part, by the following ISO/IEC standards.
— ISO/IEC 27037
This International Standard describes the means by which those involved in the early stages of
an investigation, including initial response, can assure that sufficient potential digital evidence is
captured to allow the investigation to proceed appropriately.
— ISO/IEC 27038
Some documents can contain information that must not be disclosed to some communities. Modified
documents can be released to these communities after an appropriate processing of the original
document. The process of removing information that is not to be disclosed is called “redaction”.
The digital redaction of documents is a relatively new area of document management practice,
raising unique issues and potential risks. Where digital documents are redacted, removed
information must not be recoverable. Hence, care needs to be taken so that redacted information
is permanently removed from the digital document (e.g. it must not be simply hidden within non-
displayable portions of the document).
ISO/IEC 27038 specifies methods for digital redaction of digital documents. It also specifies
requirements for software that can be used for redaction.
— ISO/IEC 27040
This International Standard provides detailed technical guidance on how organizations may define
an appropriate level of risk mitigation by employing a well-proven and consistent approach to the
© ISO/IEC 2015 – All rights reserved vii
planning, design, documentation, and implementation of data storage security. Storage security
applies to the protection (security) of information where it is stored and to the security of the
information being transferred across the communication links associated with storage. Storage
security includes the security of devices and media, the security of management activities related to
the devices and media, the security of applications and services, and security relevant to end-users
during the lifetime of devices and media and after end of use.
Security mechanisms like encryption and sanitization can affect one’s ability to investigate by
introducing obfuscation mechanisms. They have to be considered prior to and during the conduct of
an investigation. They can also be important in ensuring that storage of evidential material during
and after an investigation is adequately prepared and secured.
— ISO/IEC 27041
It is important that methods and processes deployed during an investigation can be shown to be
appropriate. This document provides guidance on how to provide assurance that methods and
processes meet the requirements of the investigation and have been appropriately tested.
— ISO/IEC 27042
This International Standard describes how methods and processes to be used during an investigation
can be designed and implemented in order to allow correct evaluation of potential digital evidence,
interpretation of digital evidence, and effective reporting of findings.
The following ISO/IEC projects also address, in part, the topic areas identified above and can lead to the
publication of relevant standards at some time after the publications of this International Standard.
— ISO/IEC 27035 (all parts)
This is a three-part standard that provides organizations with a structured and planned approach
to the management of security incident management. It is composed of
— ISO/IEC 27035-1
— ISO/IEC 27035-2
— ISO/IEC 27035-3
— ISO/IEC 27044
— ISO/IEC 27050 (all parts)
— ISO/IEC 30121
This International Standard provides a framework for governing bodies of organizations (including
owners, board members, directors, partners, senior executives, or similar) on the best way to
prepare an organization for digital investigations before they occur. This International Standard
applies to the development of strategic processes (and decisions) relating to the retention,
availability, access, and cost effectiveness of digital evidence disclosure. This International Standard
is applicable to all types and sizes of organizations. The International Standard is about the prudent
strategic preparation for digital investigation of an organization. Forensic readiness assures that an
organization has made the appropriate and relevant strategic preparation for accepting potential
events of an evidential nature. Actions may occur as the result of inevitable security breaches, fraud,
and reputation assertion. In every situation, information technology (IT) has to be strategically
deployed to maximize the effectiveness of evidential availability, accessibility, and cost efficiency
Figure 1 shows typical activities surrounding an incident and its investigation. The numbers shown in
this diagram (e.g. 27037) indicate the International Standards listed above and the shaded bars show
where each is most likely to be directly applicable or has some influence over the investigative process
(e.g. by setting policy or creating constraints). It is recommended, however, that all should be consulted
prior to, and during, the planning and preparation phases. The process classes shown are defined fully
viii © ISO/IEC 2015 – All rights reserved
in this International Standard and the activities identified match those discussed in more detail in
ISO/IEC 27035-2, ISO/IEC 27037, and ISO/IEC 27042.
.
.
Figure 1 — Applicability of standards to investigation process classes and activities
© ISO/IEC 2015 – All rights reserved ix
INTERNATIONAL STANDARD ISO/IEC 27043:2015(E)
Information technology — Security techniques — Incident
investigation principles and processes
1 Scope
This International Standard provides guidelines based on idealized models for common incident
investigation processes across various incident investigation scenarios involving digital evidence. This
includes processes from pre-incident preparation through investigation closure, as well as any general
advice and caveats on such processes. The guidelines describe processes and principles applicable to
various kinds of investigations, including, but not limited to, unauthorized access, data corruption,
system crashes, or corporate breaches of information security, as well as any other digital investigation.
In summary, this International Standard provides a general overview of all incident investigation
principles and processes without prescribing particular details within each of the investigation
principles and processes covered in this International Standard. Many other relevant International
Standards, where referenced in this International Standard, provide more detailed content of specific
investigation principles and processes.
2 Normative references
The following documents, in whole or in part, are normatively referenced in this document and are
indispensable for its application. For dated references, only the edition cited applies. For undated
references, the latest edition of the referenced document (including any amendments) applies.
ISO/IEC 27000, Information technology — Security techniques — Information security management
systems — Overview and vocabulary
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO/IEC 27000 and the following apply.
3.1
acquisition
process of creating a copy of data within a defined set
Note 1 to entry: The product of an acquisition is a potential digital evidence copy.
[SOURCE: ISO/IEC 27037:2012, 3.1]
3.2
activity
set of cohesive tasks of a process
[SOURCE: ISO/IEC 12207:2008, 4.3]
3.3
analysis
process of evaluating potential digital evidence in order to assess its relevance to the investigation
Note 1 to entry: Potential digital evidence, which is determined to be relevant, becomes digital evidence.
[SOURCE: ISO/IEC 27042:—, 3.1]
© ISO/IEC 2015 – All rights reserved 1
3.4
collection
process of gathering the physical items that contain potential digital evidence
[SOURCE: ISO/IEC 27037:2012, 3.3]
3.5
digital evidence
information or data, stored or transmitted in binary form, that may be relied on as evidence
[SOURCE: ISO/IEC 27037:2012, 3.5]
3.6
digital investigation
use of scientifically derived and proven methods towards the identification, collection, transportation,
storage, analysis, interpretation, presentation, distribution, return, and/or destruction of digital
evidence derived from digital sources, while obtaining proper authorizations for all activities, properly
documenting all activities, interacting with the physical investigation, preserving digital evidence, and
maintaining the chain of custody, for the purpose of facilitating or furthering the reconstruction of
events found to be incidents requiring a digital investigation, whether of criminal nature or not
3.7
identification
process involving the search for, recognition, and documentation of potential digital evidence
[SOURCE: ISO/IEC 27037:2012, 3.12]
3.8
incident
single or a series of unwanted or unexpected information security breaches or events, whether of
criminal nature or not, that have a significant probability of compromising business operations or
threatening information security
3.9
interpretation
synthesis of an explanation, within agreed limits, for the factual information about evidence resulting
from the set of examinations and analysis making up the investigation
[SOURCE: ISO/IEC 27042:—, 3.9]
3.10
investigation
application of examinations, analysis, and interpretation to aid understanding of an incident
[SOURCE: ISO/IEC 27042:—, 3.10]
3.11
method
definition of an operation which can be used to produce data or derive information as an output from
specified inputs
Note 1 to entry: Ideally, a method should be atomic (i.e. it should not perform more than one function) in order to
promote re-use of methods and the processes derived from them and to reduce the amount of work required to
validate processes.
[SOURCE: ISO/IEC 27041:—, 3.11]
2 © ISO/IEC 2015 – All rights reserved
3.12
potential digital evidence
information or data, stored or transmitted in binary form, which has not yet been determined, through
the process of examination and analysis, to be relevant to the investigation
[SOURCE: ISO/IEC 27042:—, 3.15, modified — Definition adapted to refer to the abstract process
“examination and analysis” rather than analysis only; note 1 and note 2 to entry not included.]
3.13
preservation
process to maintain and safeguard the integrity and/or original condition of the potential digital
evidence and digital evidence
[SOURCE: ISO/IEC 27037:2012, 3.15, modified — Added “and digital evidence”.]
3.14
process
set of activities that have a common goal and last for a limited period of time
Note 1 to entry: Also see ISO/IEC 27000 and ISO 9000 for similar definitions of a process.
Note 2 to entry: The meaning of “process” in this International Standard refers to a higher level of abstraction
than the definition of “process” in ISO/IEC 27041.
3.15
readiness
process of being prepared for a digital investigation before an incident has occurred
3.16
validation
confirmation, through the provision of objective evidence, that the requirements for a specific intended
use or application have been fulfilled
[SOURCE: ISO/IEC 27004:2009, 3.17]
3.17
verification
confirmation, through the provision of objective evidence, that specified requirements have been fulfilled
Note 1 to entry: Verification only provides assurance that a product conforms to its specification.
[SOURCE: ISO/IEC 27041:—, 3.20]
3.18
volatile data
caused by data that is especially prone to change and can be easily modified
Note 1 to entry: Change can be switching off the power or passing through a magnetic field. Volatile data also includes
data that changes as the system state changes. Examples include data stored in RAM and dynamic IP addresses.
[SOURCE: ISO/IEC 27037:2012, 3.26, modified — Inserted “caused by” at the beginning of the
original definition.]
4 Symbols and abbreviated terms
DVR digital video recorder
IP Internet Protocol
JPEG Joint Photographic Experts Group
© ISO/IEC 2015 – All rights reserved 3
RAM random access memory
PKI public key infrastructure
5 Digital investigations
5.1 General principles
Digital investigations are in practice applied whenever it is needed to investigate digital evidence as a
result of an incident, whether an incident is of criminal nature or not. There are many kinds of digital
investigations, such as on desktop computers, laptops, servers, data repositories, handheld/mobile
device investigations, investigations on live data (e.g. network and volatile data investigations), and
investigations on digital appliances such as DVRs, game consoles, and control systems. The digital
investigation process, however, is formulated in such a way that it is applicable to any kind of digital
investigation.
5.2 Legal principles
An overview is given of the legal requirements pertaining to digital investigations and especially the
admissibility of digital evidence in a court of law. It should be noted that legal requirements may differ
extensively in different jurisdictions across the world. The premise is not to advocate specific legal
systems, but rather to note the generic requirements in terms of legal issues that can be adopted by
the legal system of a specific jurisdiction. Depending on the particular laws in a particular jurisdiction,
specific consideration and care should be taken when an accused is found to be innocent in a court of
law. For example, due diligence and care should be taken to ensure
— safe deletion (see ISO/IEC 27040) of the evidence and case data at the end of the court case if so required,
— secure preservation of the media and devices holding the potential digital evidence as far as possible,
secure preservation of the digital evidence itself and secure preservation of the investigation results
for possible future reference, and
— notification to the subject of the investigation results.
In some jurisdictions it is acceptable that if scientific, technical, or other specialized knowledge will
assist the court to understand the evidence or to determine a fact in issue, a witness accepted as an
expert by virtue of their experience, knowledge, skill, training, or education, may testify thereto in the
[2]
form of an opinion. To help assure admissibility of expert opinion, the following factors should be
considered (as applicable in the particular jurisdiction):
— whether the theories and techniques employed by the scientific expert have been tested;
— whether they have been subjected to peer review and publication;
— if an error rate for the technique is known it should be reported;
— whether they are subject to standards governing their application;
— whether the theories and techniques employed by the expert enjoy widespread acceptance.
NOTE The admissibility of the evidence itself and the admissibility of expert opinion about the interpretation
of the evidence are two different issues to consider. For example, a technical witness may be able to testify about
how evidence was acquired, preserved, etc., to address the adequacy of those processes without the necessity of
qualifying as an expert. In other words, the expert may also testify to technical facts. Also see ISO/IEC 27042:—, 8.2.
Requirements for admissibility may vary considerably between jurisdictions and for that reason it is
highly advisable to obtain competent legal advice regarding those specific requirements. However,
many jurisdictions will include at least the following in their admissibility requirements for evidence:
— relevance — the evidence should have some relevance to the facts in dispute.
4 © ISO/IEC 2015 – All rights reserved
— authenticity — the evidence should be shown to be what it purports to be. For example, if a particular
JPEG image extracted from the hard drive of a particular server is relevant to a question of fact
under dispute, the trier of fact will demand demonstrable assurance that the drive is in fact from
that particular server, that it has not been modified in any way since its collection, that the process
used to extract the JPEG image is trustworthy, etc.
It is important that legal issues need to be applied throughout the entire investigation process. For each
and every sub-process, a legal check should be conducted in order to determine whether the legal laws
and regulations are adhered to within the particular jurisdiction. It is recommended to seek legal advice
within the particular jurisdiction in case of uncertainty.
6 Digital investigation processes
6.1 General overview of the processes
The digital investigation processes described in this International Standard are purposely designed
at an abstract level so that they can be used for different digital investigations and different types of
digital evidence. The use of this methodology is intended to aid the design and development of high-level
processes with the intent to subsequently decompose them into atomic processes (see ISO/IEC 27041).
Also, the processes aim to be comprehensive in that they represent a harmonization of all published
digital processes by the time of writing this International Standard. The investigation processes are
organized in a succinct fashion and describe how to follow these processes.
6.2 Classes of digital investigation processes
The digital investigation processes constitute a long list. In order to abstract digital investigation
processes at a higher level, they can be categorized into the following digital investigation process classes:
— readiness processes: That class of processes dealing with pre-incident investigation processes. This
class deals with defining strategies which can be employed to ensure systems are in place, and that
the staff involved in the investigative process are proficiently trained prior to dealing with an incident
occurring. The readiness processes are optional to the rest of the digital investigation processes. The
reason for this is explained in more detail in 7.1. Readiness processes include the following:
— scenario definition;
— identification of potential digital evidence sources;
— planning pre-incident gathering;
— storage and handling of data representing potential digital evidence;
— planning pre-incident analysis of data representing potential digital evidence;
— planning incident detection;
— defining system architecture;
— implementing system architecture;
— implementing pre-incident gathering, storage, and handling of data representing potential
digital evidence;
— implementing pre-incident analysis of data representing potential digital evidence;
— implementing incident detection;
— assessment of implementation;
© ISO/IEC 2015 – All rights reserved 5
— implementation of assessment results.
— initialization processes: That class of processes dealing with the initial commencement of the digital
investigation. Initialization processes include the following:
— incident detection;
— first response;
— planning;
— preparation.
— acquisitive processes: That class of processes dealing with the physical investigation of a case where
potential digital evidence is identified and handled. Acquisitive processes include the following:
— potential digital evidence identification;
— potential digital evidence acquisition;
— potential digital evidence transportation;
— potential digital evidence storage.
— investigative processes: That class of processes dealing with uncovering the potential digital
evidence. Investigative processes include the following:
— potential digital evidence examination and analysis;
— digital evidence interpretation;
— reporting;
— presentation;
— investigation closure.
— concurrent processes: That class of processes that continues concurrently alongside the other
processes. This class of processes differ from the previous classes in the sense that they happen
in tandem with the other processes instead of linear. In addition, the particular order in which
the concurrent processes execute is irrelevant as opposed to the other non-concurrent processes.
Concurrent processes include the following:
— obtaining authorization;
— documentation;
— managing information flow;
— preserving chain of custody;
— preserving digital evidence;
— interaction with the physical investigation.
Figure 2 shows the relationships between the various classes of digital investigation processes.
6 © ISO/IEC 2015 – All rights reserved
Figure 2 — The various classes of digital investigation processes
NOTE The dotted lines around processes in all figures indicate that the particular process is optional.
The six concurrent processes are aimed at allowing the said processes to be executed as on-going
processes. The reason for having the concurrent processes is mainly to assure admissibility of digital
evidence into a legal system, since, in the case of not having such processes, any investigation may
run the risk that the admitted potential evidence might not be suitable for litigation due to improper
handling, and documentation of potential digital evidence. These concurrent processes are, thus, based
on principles that need to be followed throughout a digital investigation, alongside with the other classes
of processes.
The digital investigation processes are multi-tiered, where each process would contain a set of sub-
processes. Sub-processes can only be fully defined for a specific type of incident and investigation. Legal
rules will also likely have a high impact on the definition of sub-processes. These various classes of
digital investigation processes are described in more detail in the clauses to follow, i.e. Clauses 7 to 11.
7 Readiness processes
7.1 Overview of the readiness processes
Readiness processes include that class of processes dealing with setting up an organization in such a
way that, in the case that a digital investigation is required, such organization possesses the ability to
maximize its potential to use digital evidence whilst minimizing the time and costs of an investigation.
This class of processes is optional to the digital investigation processes since it is the prerogative of the
organization to implement it rather than the task of the investigator(s).
There are four aims for having digital investigation readiness processes in organizations:
a) to maximize the potential use of digital evidence;
b) to minimize the costs of digital investigations incurred either directly onto the organization’s
system, or related to the system’s services;
c) to minimize interference with and prevent interruption of the organization’s business processes;
d) to preserve or improve the current level of information security of systems within the organization.
© ISO/IEC 2015 – All rights reserved 7
Figure 3 depicts the readiness processes groups as described above, grouped in process groups as
follows: planning processes group, implementation processes group, and the assessment processes group.
The planning processes group includes readiness processes, as depicted in Figure 4, that are concerned
with planning activities, including the
— scenario definition process,
— identification of potential digital evidence sources process,
— planning pre-incident gathering process,
— storage and handling of data representing potential digital evidence process,
— planning pre-incident analysis of data representing potential digital evidence process,
— planning incident detection process, and
— defining system architecture process.
Figure 3 — Readiness processes groups
The implementation processes group includes readiness processes, as depicted in Figure 4, that are
concerned with
...
NORME ISO/IEC
INTERNATIONALE 27043
Première édition
2015-03-01
Technologies de l’information —
Techniques de sécurité — Principes et
processus d’investigation sur incident
Information technology — Security techniques — Incident
investigation principles and processes
Numéro de référence
©
ISO/IEC 2015
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2015, Publié en Suisse
Droits de reproduction réservés. Sauf indication contraire, aucune partie de cette publication ne peut être reproduite ni utilisée
sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie, l’affichage sur
l’internet ou sur un Intranet, sans autorisation écrite préalable. Les demandes d’autorisation peuvent être adressées à l’ISO à
l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Ch. de Blandonnet 8 • CP 401
CH-1214 Vernier, Geneva, Switzerland
Tel. +41 22 749 01 11
Fax +41 22 749 09 47
copyright@iso.org
www.iso.org
ii © ISO/IEC 2015 – Tous droits réservés
Sommaire Page
Avant-propos .v
Introduction .vi
1 Domaine d’application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Symboles et abréviations . 4
5 Investigations numériques . 4
5.1 Principes généraux . 4
5.2 Principes légaux . 4
6 Processus d’investigation numérique . 5
6.1 Vue d’ensemble des processus . 5
6.2 Classes de processus d’investigation numérique . 6
7 Processus de préparation . 8
7.1 Vue d’ensemble des processus de préparation . 8
7.2 Processus de définition du scénario .10
7.3 Processus d’identification des sources de preuves numériques éventuelles .10
7.4 Processus de planification de la collecte antérieure à l’incident, du stockage et du
traitement des données représentant des preuves numériques éventuelles .12
7.5 Processus de planification de l’analyse des données antérieure à l’incident
représentant des preuves numériques éventuelles .12
7.6 Processus de planification de la détection des incidents .12
7.7 Processus de définition de l’architecture du système .13
7.8 Processus de mise en œuvre de l’architecture du système .13
7.9 Processus de mise en œuvre de la collecte antérieure à l’incident, du stockage et
du traitement des données représentant des preuves numériques éventuelle.13
7.10 Processus de mise en œuvre de l’analyse antérieure à l’incident des données
représentant des preuves numériques éventuelles .13
7.11 Processus de mise en œuvre de la détection des incidents .14
7.12 Processus d’évaluation de la mise en œuvre .14
7.13 Processus de mise en œuvre des résultats d’évaluation .14
8 Processus d’initialisation .15
8.1 Vue d’ensemble des processus d’initialisation .15
8.2 Processus de détection des incidents .15
8.3 Processus de première réponse .16
8.4 Processus de planification .16
8.5 Processus de préparation .17
9 Processus d’acquisition .17
9.1 Vue d’ensemble des processus d’acquisition .17
9.2 Processus d’identification des preuves numériques éventuelles .18
9.3 Processus de collecte des preuves numériques éventuelles .19
9.4 Processus d’acquisition des preuves numériques éventuelles.19
9.5 Processus de transport des preuves numériques éventuelles .19
9.6 Processus de stockage et de préservation des preuves numériques éventuelles .19
10 Processus d’investigation .20
10.1 Vue d’ensemble des processus d’investigation .20
10.2 Processus d’acquisition des preuves numériques éventuelles.21
10.3 Processus d’examen et d’analyse des preuves numériques éventuelles .21
10.4 Processus d’interprétation des preuves numériques .22
10.5 Processus de consignation .22
10.6 Processus de présentation .23
© ISO/IEC 2015 – Tous droits réservés iii
10.7 Processus de clôture de l’investigation .23
11 Processus simultanés .23
11.1 Vue d’ensemble des processus simultanés .23
11.2 Processus d’obtention de l’autorisation .24
11.3 Processus de documentation .24
11.4 Processus de gestion du flux d’informations .24
11.5 Processus de préservation de la chaîne de contrôle.25
11.6 Processus de préservation des preuves numériques .25
11.7 Processus d’interaction avec l’investigation physique .25
12 Schéma du modèle du processus d’investigation numérique .25
Annexe A (informative) Processus d’investigation numérique: motif d’harmonisation .28
Bibliographie .31
iv © ISO/IEC 2015 – Tous droits réservés
Avant-propos
L’ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l’ISO ou de l’IEC participent au développement de Normes internationales
par l’intermédiaire des comités techniques créés par l’organisation concernée afin de s’occuper des
domaines particuliers de l’activité technique. Les comités techniques de l’ISO et de l’IEC collaborent
dans des domaines d’intérêt commun. D’autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l’ISO et l’IEC, participent également aux travaux. Dans le domaine
des technologies de l’information, l’ISO et l’IEC ont créé un comité technique mixte, l’ISO/IEC JTC 1.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d’approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir www.
iso.org/directives).
L’attention est appelée sur le fait que certains des éléments du présent document peuvent faire l’objet
de droits de propriété intellectuelle ou de droits analogues. L’ISO et l’IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés
lors de l’élaboration du document sont indiqués dans l’Introduction et/ou dans la liste des déclarations
de brevets reçues par l’ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la signification des termes et expressions spécifiques de l’ISO liés à l’évaluation
de la conformité, ou pour toute information au sujet de l’adhésion de l’ISO aux principes de l’Organisation
mondiale du commerce (OMC) concernant les obstacles techniques au commerce (OTC), voir le lien
suivant: www.iso.org/iso/fr/foreword.html.
Le comité responsable de ce document est l’ISO/IEC JTC 1, Technologies de l’information, sous-comité
SC 27, Techniques de sécurité.
© ISO/IEC 2015 – Tous droits réservés v
Introduction
À propos de la présente Norme internationale
La présente Norme internationale fournit des lignes directrices contenant des modèles idéalisés des
processus d’investigation communs à travers divers scénarios d’investigation. Elle inclut des processus
allant de la préparation antérieure à l’incident jusqu’au retour des preuves (inclus) pour stockage ou
diffusion, de même que des conseils et mises en garde d’ordre général concernant les processus ainsi
que l’identification, la collecte, l’acquisition, la préservation, l’analyse, l’interprétation et la présentation
appropriées des preuves. L’un des principes de base des investigations numériques est la répétabilité,
selon laquelle un investigateur doté du savoir-faire requis doit être en mesure d’obtenir le même résultat
qu’un autre investigateur doté d’un savoir-faire similaire, travaillant dans des conditions similaires.
Ce principe est extrêmement important pour toute investigation d’ordre général. Les lignes directrices
de nombreux processus d’investigation sont fournies pour garantir clarté et transparence lors de
l’obtention du résultat livré pour chaque processus donné. La raison motivant la fourniture de lignes
directrices concernant les principes et processus d’investigation sur incident est indiquée ci-après.
Des lignes directrices établies couvrant les principes et processus d’investigation sur incident
faciliteraient les investigations car elles fourniraient un ordre commun des événements composant une
investigation. Le recours à des lignes directrices établies permet une transition en toute transparence
d’un événement à l’autre au cours d’une investigation. De telles lignes directrices permettraient
également une formation adéquate d’investigateurs inexpérimentés. De plus, les lignes directrices
visent à garantir la flexibilité au sein d’une investigation en raison du fait que de nombreux types
différents d’investigations numériques sont possibles. Des principes et processus d’investigation
sur incident harmonisés sont spécifiés et des indications sont fournies concernant la façon dont les
processus d’investigation peuvent être personnalisés selon des scénarios d’investigation différents.
Un modèle de processus d’investigation harmonisé est requis dans un contexte de poursuites pénales
et civiles, ainsi que dans d’autres environnements, comme les atteintes à la sécurité des informations
d’une entreprise et la récupération des informations numériques d’un dispositif de stockage défectueux.
Les lignes directrices fournies donnent des préconisations succinctes concernant le processus exact à
suivre pendant tout type d’investigation numérique de façon que, en cas de contestation, il convient
qu’il ne subsiste aucun doute quant à l’adéquation du processus d’investigation suivi pendant une telle
investigation.
Toute investigation numérique requiert un haut niveau d’expertise. Les personnes impliquées dans
l’investigation doivent être compétentes, aptes à appliquer les processus utilisés et elles doivent utiliser
des processus validés (voir l’ISO/IEC 27041) compatibles avec les politiques et/ou lois pertinentes dans
les juridictions applicables.
Lorsqu’il est nécessaire d’affecter un processus à une personne, celle-ci assumera la responsabilité
du processus. Par conséquent, une forte corrélation entre la responsabilité d’un processus et la
contribution d’une personne déterminera le processus d’investigation exact requis conformément aux
processus d’investigation harmonisés fournis en tant que lignes directrices dans la présente Norme
internationale.
La présente Norme internationale est structurée selon une approche descendante. Cela signifie que les
principes et processus d’investigation sont d’abord présentés de façon globale (abstraite) avant d’être
affinés en détail. Par exemple, une présentation globale des principes et processus d’investigation est
fournie et présentée dans les figures sous formes de «cases noires» dans un premier temps où chacun
des processus globaux est ensuite divisés en processus détaillé (atomique). Par conséquent, une vue
moins abstraite et plus détaillée de tous les principes et processus d’investigation est présentée vers la
fin de la présente Norme internationale comme il est indiqué à la Figure 8.
La présente Norme internationale est destinée à compléter d’autres normes et documents fournissant
des préconisations concernant l’investigation, et la préparation à l’investigation, suite à des
incidents de sécurité de l’information. Il ne s’agit pas là de préconisations détaillées, mais d’un guide
fournissant plutôt un vaste aperçu de l’ensemble du processus d’investigation sur incident. Ce guide
édicte également certains principes fondamentaux visant à garantir que les outils, les techniques et
vi © ISO/IEC 2015 – Tous droits réservés
les méthodes puissent être choisis de manière appropriée et que leur adéquation à l’application visée
puisse être démontrée, le cas échéant.
Relation avec d’autres normes
La présente Norme internationale est destinée à compléter d’autres normes et documents donnant
des préconisations concernant l’investigation, et la préparation à l’investigation, sur des incidents
de sécurité de l’information. Elle ne constitue pas un guide exhaustif, mais édicte certains principes
fondamentaux visant à garantir que les outils, les techniques et les méthodes soient choisis de manière
appropriée et que leur adéquation avec l’application visée puisse être démontrée, le cas échéant.
La présente Norme internationale vise également à informer les décideurs devant déterminer la fiabilité
des preuves numériques qui leur sont soumises. Elle s’applique aux organismes devant protéger,
analyser et présenter des preuves numériques éventuelles. Elle est pertinente dans le contexte des
organismes en charge de l’établissement de politiques, qui créent et évaluent des modes opératoires en
rapport avec les preuves numériques, souvent dans le cadre d’un ensemble plus vaste de preuves.
La présente Norme internationale décrit une partie d’un processus d’investigation complet, portant
sans s’y limiter sur les thématiques suivantes:
— gestion des incidents, comprenant la préparation et la planification des investigations;
— traitement des preuves numériques;
— utilisation de l’expurgation et problèmes en découlant;
— systèmes de prévention et de détection des intrusions, comprenant les informations pouvant être
obtenues à partir de ces systèmes;
— sécurité du stockage, comprenant le nettoyage du stockage;
— vérification de l’adéquation avec l’application visée des méthodes d’investigation;
— analyse et interprétation des preuves numériques;
— connaissance des principes et processus liés à l’investigation des preuves numériques;
— gestion des événements d’incident de sécurité, comprenant l’établissement de preuve à partir de
systèmes impliqués dans la gestion des événements d’incident de sécurité;
— relation entre la découverte électronique et les autres méthodes d’investigation, et utilisation des
techniques de découverte électronique dans d’autres investigations;
— gouvernance des investigations, comprenant les investigations forensiques.
Ces thématiques sont couvertes partiellement dans les normes ISO/IEC suivantes:
— ISO/IEC 27037;
La présente Norme internationale décrit les moyens par lesquels les personnes impliquées dans
les premières phases d’une investigation, comprenant la réponse initiale, peuvent s’assurer que
des preuves numériques éventuelles suffisantes sont recueillies pour permettre de poursuivre
l’investigation de manière appropriée.
— ISO/IEC 27038;
Certains documents peuvent contenir des informations dont il ne faut pas qu’elles soient divulguées
auprès de certaines communautés. Des documents modifiés peuvent être diffusés auprès de ces
communautés, après un traitement approprié du document d’origine. Le processus consistant à
supprimer les informations à ne pas divulguer est intitulé l’«expurgation».
L’expurgation numérique des documents est un domaine relativement récent des pratiques de
gestion documentaire, qui soulève des problèmes spécifiques et pose des risques potentiels. Lors
© ISO/IEC 2015 – Tous droits réservés vii
de l’expurgation de documents numériques, il faut que les informations supprimées ne soient pas
récupérables. Dès lors, il est nécessaire de prendre des précautions pour que les informations
expurgées soient supprimées définitivement du document numérique (par exemple il ne faut pas
qu’elles soient simplement masquées dans des parties non affichables du document).
La norme ISO/IEC 27038 spécifie les méthodes d’expurgation numérique de documents numériques.
Elle spécifie également les exigences concernant les logiciels utilisables pour l’expurgation.
— ISO/IEC 27040;
La présente Norme internationale fournit des préconisations techniques détaillées concernant la
manière dont les organismes peuvent définir un niveau approprié d’atténuation des risques grâce à
l’emploi d’une approche reconnue et cohérente de la planification, la conception, la documentation
et la mise en œuvre de la sécurité de stockage des données. La sécurité du stockage s’applique à la
protection (la sécurité) des informations là où elles sont stockées et à la sécurité des informations
transférées au moyen des liaisons de communication associées au stockage. La sécurité du stockage
comprend la sécurité des dispositifs et des supports, la sécurité des activités de management
associées aux dispositifs et aux supports, la sécurité des applications et des services et la sécurité
relative aux utilisateurs finaux pendant la durée de vie de leurs dispositifs et supports et après la
fin de leur utilisation.
Les mécanismes de sécurité tels que le chiffrement et le nettoyage peuvent affecter la capacité
d’investigation d’une personne en mettant en place des mécanismes d’obfuscation. Ils doivent être
pris en compte en amont et au cours d’une investigation. Ils peuvent également être importants
pour s’assurer que le stockage des matériaux probatoires, au cours et en aval d’une investigation,
soit préparé et sécurisé de manière adéquate.
— ISO/IEC 27041;
Il est important de pouvoir démontrer que les méthodes et processus déployés au cours d’une
investigation sont appropriés. Ce document fournit des préconisations concernant la façon
de s’assurer que des méthodes et processus satisfont aux exigences de l’investigation et ont été
soumises à essai de façon appropriée.
— ISO/IEC 27042;
La présente Norme internationale décrit les modes de conception et de mise en œuvre des méthodes
et processus à utiliser au cours d’une investigation, afin de permettre une évaluation correcte
des preuves numériques éventuelles, l’interprétation des preuves numériques et la consignation
pertinente des découvertes.
Les projets ISO/IEC suivants couvrent également en partie les thématiques identifiées ci-dessus et
peuvent conduire à la publication de normes pertinentes, suite à la publication de la présente Norme
internationale.
— ISO/IEC 27035 (toutes les parties);
Cette norme en trois parties fournit aux organismes une approche structurée et planifiée de la
gestion des incidents de sécurité. Elle se compose des parties suivantes:
— ISO/IEC 27035-1;
— ISO/IEC 27035-2;
— ISO/IEC 27035-3;
— ISO/IEC 27044;
— ISO/IEC 27050 (toutes les parties);
— ISO/IEC 30121.
viii © ISO/IEC 2015 – Tous droits réservés
La présente Norme internationale fournit un cadre pour les organes de gouvernance des
organismes (comprenant les propriétaires, les membres du conseil d’administration, les directeurs,
les partenaires, les cadres dirigeants ou des fonctions similaires), sur la meilleure façon de
préparer un organisme aux investigations numériques avant leur occurrence. La présente Norme
internationale s’applique au développement de processus (et de décisions) stratégiques concernant
la conservation, la disponibilité, l’accès et l’efficience économique de la divulgation de preuves
numériques. Elle s’applique aux organismes de tous types et de toutes tailles. Elle concerne la
préparation stratégique avisée d’un organisme à l’investigation numérique. La préparation à
l’approche forensique garantit qu’un organisme a engagé une préparation stratégique appropriée
et pertinente pour donner son aval concernant des événements potentiels de nature probatoire.
Des actions peuvent se produire suite à d’inévitables violations de sécurité, fraudes et déclarations
de réputation. Dans chaque situation, les technologies de l’information (TI) doivent être déployées
de manière stratégique afin d’optimiser la disponibilité des preuves, leur accessibilité et leur
efficience économique.
La Figure 1 représente les activités types liées à un incident et à l’investigation s’y rapportant. Les
références représentées dans la figure (par exemple 27037) désignent les Normes internationales
répertoriées ci-dessus; les barres grisées représentent les classes/activités auxquelles chacune
d’elles est la plus susceptible d’être directement applicable ou sur lesquelles chacune d’elles exerce
une certaine influence sur le processus d’investigation (par exemple en stipulant une politique ou en
instaurant des contraintes). Il convient cependant qu’elles soient toutes consultées en amont et au cours
des phases de planification et de préparation. Les classes du processus qui sont représentées font l’objet
d’une définition complète dans cette Norme internationale et les activités identifiées correspondent à
celles évoquées plus en détail dans l’ISO/IEC 27035-2, l’ISO/IEC 27037, et l’ISO/IEC 27042.
© ISO/IEC 2015 – Tous droits réservés ix
Figure 1 — Applicabilité des normes aux activités et classes des processus d’investigation
x © ISO/IEC 2015 – Tous droits réservés
NORME INTERNATIONALE ISO/IEC 27043:2015(F)
Technologies de l’information — Techniques de sécurité —
Principes et processus d’investigation sur incident
1 Domaine d’application
La présente Norme internationale fournit des lignes directrices concernant des modèles idéalisés
pour des processus d’investigation des incidents communs à travers divers scénarios d’investigation
sur incident impliquant des preuves numériques. Cela inclut des processus allant de la préparation
antérieure à l’incident à la clôture de l’investigation, ainsi que tout conseil et mise en garde d’ordre
général concernant de tels processus. Ces lignes directrices décrivent les processus et principes
applicables à divers types d’investigations, comprenant, sans toutefois s’y limiter, l’accès non autorisé,
la corruption des données, les défaillances du système ou les violations de sécurité des informations
d’entreprise ainsi que toute autre investigation numérique.
En résumé, la présente Norme internationale fournit un aperçu général de tous les principes et
processus d’investigation sur incident sans préconiser de détails particuliers dans chacun des
principes et processus d’investigation couverts par la présente Norme internationale. De nombreuses
autres Normes internationales pertinentes, lorsqu’elles sont citées en référence dans la présente
Norme internationale, fournissent des contenus plus détaillés concernant des principes et processus
d’investigation spécifiques.
2 Références normatives
Les documents ci-après, dans leur intégralité ou non, sont des références normatives indispensables à
l’application du présent document. Pour les références datées, seule l’édition citée s’applique. Pour les
références non datées, la dernière édition du document de référence s’applique (y compris les éventuels
amendements).
ISO/IEC 27000, Technologies de l’information — Techniques de sécurité — Systèmes de gestion de sécurité
de l’information — Vue d’ensemble et vocabulaire
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions donnés dans l’ISO/IEC 27000 ainsi que
les suivants s’appliquent.
3.1
acquisition
processus de création d’une copie de données d’un ensemble défini
Note 1 à l’article: Le résultat d’une acquisition est une copie des preuves numériques éventuelles.
[SOURCE: ISO/IEC 27037:2012, 3.1]
3.2
activité
ensemble de tâches cohésives d’un processus
[SOURCE: ISO/IEC 12207:2008, 4.3]
3.3
analyse
processus d’évaluation de preuves numériques éventuelles destiné à évaluer leur pertinence quant à
l’investigation
Note 1 à l’article: Une preuve numérique éventuelle, déterminée comme étant pertinente, devient une preuve
numérique.
[SOURCE: ISO/IEC 27042:—, 3.1]
3.4
collecte
processus consistant à rassembler des éléments physiques contenant des preuves numériques
éventuelles
[SOURCE: ISO/IEC 27037:2012, 3.3]
3.5
preuves numériques
informations ou données, stockées ou transmises sous forme binaire susceptibles d’être invoquées
comme preuves
[SOURCE: ISO/IEC 27037:2012, 3.5]
3.6
investigation numérique
utilisation de méthodes scientifiques et éprouvées pour procéder à l’identification, la collecte, le
transport, le stockage, l’analyse, l’interprétation, la présentation, la distribution, le retour et/ou la
destruction de preuves numériques provenant de sources numériques, tout en obtenant les autorisations
adéquates concernant toutes les activités, en documentant de façon appropriée toutes les activités, en
interagissant avec les investigations physiques, en préservant les preuves numériques et en maintenant
la chaîne de contrôle aux fins de faciliter ou de poursuivre la reconstitution d’événements considérés
comme des incidents nécessitant une investigation numérique, qu’elle soit de nature criminelle ou non
3.7
identification
processus impliquant la recherche, la reconnaissance et la documentation des preuves numériques
éventuelles
[SOURCE: ISO/IEC 27037:2012, 3.12]
3.8
incident
violation ou événement unique ou série de violations ou d’événements indésirables ou inattendus,
de nature criminelle ou non, fortement susceptible de compromettre des activités d’exploitation ou
constituant une menace pour la sécurité des informations
3.9
interprétation
synthèse d’une explication, dans les limites convenues, des informations factuelles concernant les
preuves résultant d’un ensemble d’examens et d’analyses composant l’investigation
[SOURCE: ISO/IEC 27042:—, 3.9]
3.10
investigation
application d’examens, d’analyses et d’interprétations destinés à aider à la compréhension d’un incident
[SOURCE: ISO/IEC 27042:—, 3.10]
2 © ISO/IEC 2015 – Tous droits réservés
3.11
méthode
définition d’une opération pouvant être utilisée pour générer des données ou pour dégager des
informations, partant d’intrants spécifiés pour obtenir des extrants
Note 1 à l’article: Il convient dans l’idéal qu’une méthode soit atomique (c’est-à-dire qu’il convient qu’elle n’assure
pas plus d’une fonction) afin de permettre la réutilisation des méthodes et des processus qui en découle et de
réduire la quantité de travail requise pour la validation des processus.
[SOURCE: ISO/IEC 27041:—, 3.11]
3.12
preuves numériques éventuelles
informations ou données, stockées ou transmises sous forme binaire, qui n’ont pas encore été
déterminées via le processus d’examen ou d’analyse, comme étant pertinentes pour l’investigation
[SOURCE: ISO/IEC 27042:—, 3.15, modifié — Définition adaptée pour faire référence au processus
abstrait d’«examen et d’analyse» plutôt qu’à l’analyse uniquement; Note 1 et Note 2 à l’article non
incluses.]
3.13
préservation
processus de maintien et de sauvegarde de l’intégrité et/ou de la condition originale des preuves
numériques éventuelles et des preuves numériques
[SOURCE: ISO/IEC 27037:2012, 3.15, modifié —«et des preuves numériques» ajouté.]
3.14
processus
ensemble d’activités ayant un objectif commun et durant une période de temps limitée
Note 1 à l’article: Voir également l’ISO/IEC 27000 et l’ISO 9000 pour obtenir des définitions similaires d’un
processus.
Note 2 à l’article: La signification de «processus» dans la présente Norme internationale fait référence à un niveau
d’abstraction supérieur à la définition de «processus» dans l’ISO/IEC 27041.
3.15
préparation
processus décrivant le fait d’être prêt pour une investigation numérique avant qu’un incident ne se
produise
3.16
validation
confirmation, par la fourniture de preuves objectives, que les exigences relatives à une utilisation
prévue ou une application prévue ont été satisfaites
[SOURCE: ISO/IEC 27004:2009, 3.17]
3.17
vérification
confirmation, par des preuves tangibles, que les exigences spécifiées ont été satisfaites
Note 1 à l’article: La vérification garantit uniquement la conformité d’un produit à sa spécification.
[SOURCE: ISO/IEC 27041:—, 3.20]
© ISO/IEC 2015 – Tous droits réservés 3
3.18
données volatiles
générées par des données particulièrement sujettes au changement et pouvant être facilement
modifiées
Note 1 à l’article: Le changement peut désigner la mise hors tension ou le franchissement d’un champ magnétique.
Les données volatiles incluent également des données qui changent lorsque l’état du système change. Les
exemples comprennent des données stockées dans la RAM et des adresses IP dynamiques.
[SOURCE: ISO/IEC 27037:2012, 3.26, modifiée — «générées par» a été ajouté au début de la définition
originale.]
4 Symboles et abréviations
DVR Enregistreur vidéo numérique (Digital Video Recorder)
IP Protocole Internet (Internet Protocol)
JPEG Joint Photographic Experts Group
RAM Mémoire vive (Random Access Memory)
PKI Infrastructure à clé publique (Public Key Infrastructure)
5 Investigations numériques
5.1 Principes généraux
Les investigations numériques sont, en pratique, appliquées dès lors qu’il est nécessaire de réaliser
une investigation concernant des preuves numériques suite à un incident, que ce dernier soit de nature
criminelle ou non. Il existe de nombreux types d’investigations numériques, comme les investigations
menées sur des ordinateurs de bureau, des ordinateurs portables, des serveurs, des répertoires de
données, des appareils portables et mobiles, des investigations réalisées sur des données réelles
(par exemple des investigations portant sur des données réseau et volatiles), et des investigations
portant sur des appareils numériques comme des DVR, des consoles de jeux et des systèmes de contrôle.
Le processus d’investigation numérique, toutefois, est formulé de façon à être applicable à tout type
d’investigation numérique.
5.2 Principes légaux
Il est fourni une vue d’ensemble des exigences légales relatives aux investigations numériques et
notamment à la recevabilité des preuves numériques devant une cour de justice. Il convient de noter
que les exigences légales peuvent considérablement varier dans les différentes juridictions à travers
le monde. Le principe ne consiste pas à recommander des systèmes légaux spécifiques, mais plutôt
à noter des exigences générales en matière de questions juridiques qui peuvent être adoptées par le
système légal d’une juridiction spécifique. Selon les lois spécifiques d’une juridiction donnée, il convient
d’appliquer une considération et des précautions spécifiques lorsqu’un accusé est déclaré innocent
par une cour de justice. Par exemple, il convient d’appliquer un soin et des précautions adéquates afin
d’assurer:
— une suppression en toute sécurité (voir l’ISO/IEC 27040) des preuves et des données du dossier à
l’issue de l’action en justice si elle est requise;
— une préservation sécurisée des supports et des appareils contenant les preuves numériques
éventuelles dans la mesure du possible, une préservation sécurisée des preuves numériques elles-
mêmes et une préservation sécurisée des résultats d’investigation afin de pouvoir éventuellement
s’y référer ultérieurement; et
4 © ISO/IEC 2015 – Tous droits réservés
— une notification concernant les résultats de l’investigation.
Dans certaines juridictions, il est acceptable que si des connaissances scientifiques, techniques ou
spécialisées aideront la cour à comprendre les preuves ou à déterminer un fait en question, un témoin
accepté en tant qu’expert au regard de son expérience, de ses connaissances, de son savoir-faire, de sa
[2]
formation ou de ses études peut témoigner afin de formuler un avis. Pour garantir la recevabilité
de l’avis de l’expert, il convient de considérer les facteurs suivants (selon leur applicabilité dans la
juridiction donnée):
— les théories et techniques employées par l’expert scientifique ont-elles été soumises à essai?
— ont-elles été soumises à une revue par des pairs et publiées?
— il convient de signaler si un taux d’erreur pour la technique est connu;
— sont-elles soumises à des normes régissant leur application?
— les théories et techniques employées par l’expert bénéficient-elles d’une large acceptation?
NOTE La recevabilité de la preuve elle-même et la recevabilité de l’avis de l’expert concernant l’interprétation
de la preuve sont deux questions différentes à considérer. Par exemple, un témoin technique peut être en mesure
de témoigner concernant la façon dont les preuves ont été acquises, préservées, etc., pour répondre à l’adéquation
de ces processus sans nécessairement être qualifié d’expert. En d’autres termes, l’expert peut également
témoigner concernant des faits techniques. Voir également l’ISO/IEC 27042:—, 8.2.
Les exigences concernant la recevabilité peuvent varier considérablement entre les juridictions et, pour
cette raison, il est fortement recommandé de s’appuyer sur un conseil légal compétent concernant ces
exigences spécifiques. Toutefois, de nombreuses juridictions incluront au moins ce qui suit dans leurs
exigences concernant la recevabilité des preuves:
— pertinence: il convient que les preuves soient pertinentes quant aux faits en question;
— authenticité: il convient de démontrer que les preuves sont ce qu’elles sont censées être. Par exemple,
si une image JPEG particulière extraite du disque dur d’un serveur particulier est pertinente
concernant une question de fait contestée, le juge des faits demandera la garantie démontrable que
le disque provient bien de ce serveur donné, qu’il n’a pas été modifié de quelconque façon depuis sa
collecte, que le processus utilisé pour extraire l’image JPEG est fiable, etc.
Il est important que les questions juridiques soient appliquées à l’ensemble du processus d’investigation.
Pour chaque sous-processus, il convient de réaliser une vérification légale afin de déterminer si les lois
et réglementations légales sont respectées dans la juridiction spécifique. En cas d’incertitude, il est
recommandé d’obtenir un avis juridique dans la juridiction donnée.
6 Processus d’investigation numérique
6.1 Vue d’ensemble des processus
Les processus d’investigation numérique décrits dans la présente Norme internationale sont
spécifiquement conçus à un niveau abstrait de sorte qu’ils puissent être utilisés pour différentes
investigations numériques et différents types de preuves numériques. L’utilisation de cette
méthodologie vise à favoriser la conception et le développement de processus globaux dans l’intention
de les décomposer ensuite en processus atomiques (voir l’ISO/IEC 27041). Les processus se veulent
également exhaustifs dans le sens où ils représentent une harmonisation de l’ensemble des processus
numériques publiés au moment de la rédaction de la présente Norme internationale. Les processus
d’investigation sont organisés de façon succincte et décrivent comment suivre ces processus.
© ISO/IEC 2015 – Tous droits réservés 5
6.2 Classes de processus d’investigation numérique
Les processus d’investigation numérique constituent une longue liste. Afin de considérer ces processus
d’investigation numérique à un niveau plus abstraits, ils peuvent être classés dans les classes de
processus d’investigation numérique suivantes:
— processus de préparation: classe de processus traitant des processus d’investigation antérieurs à
l’incident. Cette classe traite de la définition des stratégies qui peuvent être employées pour s’assurer
que les systèmes sont en place, et que le personnel impliqué dans le processus d’investigation est
formé de façon compétente avant de traiter un incident survenant. Les processus de préparation sont
facultatifs par rapport au reste des processus d’investigation numérique. La raison est expliquée de
façon plus détaillée au paragraphe 7.1. Les processus de préparation incluent ce qui suit:
— définition du scénario;
— identification des sources de preuves numériques éventuelles;
— planification de la collecte antérieure à l’incident;
— stockage et manipulation des données représentant les preuves numériques éventuelles;
— planification de l’analyse antérieure à l’incident des données représentant des preuves
numériques éventuelles;
— planification de la détection des incidents;
— définition de l’architecture du système;
— mise en œuvre de l’architecture du système;
— mise en œuvre de la collecte antérieure à l’incident, du stockage et du traitement des données
représentant des preuves numériques éventuelles;
— mise en œuvre de l’analyse antérieure à l’incident des données représentant les preuves
numériques éventuelles;
— mise en œuvre de la détection des incidents;
— évaluation de la mise en œuvre;
— mise en œuvre des résultats d’évaluation;
— processus d’initialisation: classe de processus traitant du commencement initial de l’investigation
numérique. Les processus d’initialisation incluent ce qui suit:
— détection de l’incident;
— première réponse;
— planification;
— préparation;
— processus d’acquisition: classe de processus traitant de l’investigation physique dans le cas où des
preuves numériques éventuelles sont identifiées et traitées. Les processus d’acquisition incluent ce
qui suit:
— identification des preuves numériques éventuelles;
— acquisition des preuves numériques éventuelles;
— transport des preuves numériques éventuelles;
6 © ISO/IEC 2015 – Tous droits réservés
— stockage de
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.
Loading comments...