CyberGlossary

Криминалистика и реагирование

Цепочка хранения доказательств

Также известно как: CoC, Цепочка обращения с уликами

Определение

Хронологически задокументированный след всех лиц, мест и действий, влиявших на доказательство от изъятия до окончательного распоряжения им.

Цепочка хранения (CoC) обеспечивает целостность и допустимость цифровых и физических доказательств. Каждая передача фиксируется с метками времени, идентификаторами (номер дела, ID объекта, хеши) и подписями; объекты хранятся в опечатанной таре в помещениях с контролем доступа. Лучшие практики опираются на ISO/IEC 27037, NIST SP 800-86 и руководства ACPO/SWGDE: захват через блокираторы записи, криптографические хеши (SHA-256) до и после копирования, рабочие копии. Разрыв цепочки — пропуски, расхождения хешей, нарушенные пломбы — может привести к недопустимости доказательств и навредить судебному делу, страховому или регуляторному разбирательству.

Примеры

  • Подписанный лист CoC, отслеживающий изъятый ноутбук от снятия до судебного заседания.
  • Журнал SHA-256, доказывающий, что образ диска не изменялся между захватом и анализом.

Связанные термины