Zabezpieczenie danych elektronicznych to pierwszy etap pracy z materiałem cyfrowym, który może mieć znaczenie dowodowe. Liczy się nie tylko samo pozyskanie plików, wiadomości, logów czy obrazów dysków, lecz także zachowanie ich integralności. Każda zmiana metadanych, uruchomienie systemu albo brak dokumentacji może osłabić wiarygodność dowodu. Dlatego stosuje się kopie binarne, ekstrakcję danych, sumy kontrolne, izolację urządzeń oraz łańcuch dowodowy.

Na czym polega zabezpieczenie danych elektronicznych?

Zabezpieczenie danych elektronicznych polega na identyfikacji, utrwaleniu i ochronie informacji cyfrowych w taki sposób, aby można było je później analizować oraz przedstawić jako wiarygodny materiał. Dotyczy to między innymi dysków twardych, pamięci USB, telefonów, tabletów, serwerów, skrzynek pocztowych i zasobów chmurowych.

Dane cyfrowe są podatne na szybkie zmiany. Samo włączenie komputera może zmienić daty dostępu do plików, zapisy systemowe lub metadane. Z tego powodu podstawową zasadą informatyki śledczej jest ograniczenie pracy na oryginalnym nośniku. Najpierw należy go zabezpieczyć, a dopiero później prowadzić analizę na kopii.

Ważne są także czynności formalne. Łańcuch dowodowy pokazuje, kto miał dostęp do materiału, kiedy wykonano dane działania i w jaki sposób przechowywano nośnik. Bez takiej dokumentacji nawet poprawnie pozyskane pliki mogą zostać zakwestionowane.

Kopia binarna, ekstrakcja danych i weryfikacja integralności

Jedną z najważniejszych metod jest kopia binarna, czyli pełne odwzorowanie nośnika sektor po sektorze. Taki obraz dysku obejmuje aktywne pliki, dane ukryte, fragmenty usuniętych informacji oraz wolną przestrzeń. Dzięki temu analiza może objąć znacznie więcej niż katalogi widoczne dla użytkownika. Analiza taka pozwala m.in. na odzyskanie skasowanych wcześniej plików.

Podczas kopiowania stosuje się blokery zapisu. To narzędzia, które uniemożliwiają zmianę zawartości oryginalnego nośnika. Obrazy zapisuje się między innymi w formatach RAW lub E01. Drugi z nich pozwala przechowywać również metadane i korzystać z kompresji.

Drugą metodą jest ekstrakcja danych. Sprawdza się szczególnie przy telefonach, aplikacjach, systemach pocztowych i środowiskach, gdzie nie zawsze da się wykonać pełny obraz nośnika. Ekstrakcja może obejmować wybrane foldery, wiadomości, logi systemowe, historię aktywności lub dane aplikacji.

Integralność materiału potwierdza się przez sumy kontrolne, nazywane także hashami. Algorytmy MD5 lub SHA-256 tworzą unikalny ciąg znaków dla określonego zestawu danych. Gdy zmieni się choć 1 plik, wynik także będzie inny.

Zabezpieczanie danych w różnych środowiskach

Sposób działania zależy od miejsca przechowywania informacji. Przy komputerze stacjonarnym lub laptopie kluczowe jest szybkie ustalenie, czy urządzenie powinno pozostać włączone, czy zostać odłączone. Decyzja zależy od rodzaju danych, szyfrowania, aktywnych procesów i ryzyka zdalnej ingerencji.

W przypadku urządzeń mobilnych szczególne znaczenie ma izolacja od sieci. Telefon może odbierać komendy zdalnego kasowania, synchronizować dane albo automatycznie zmieniać zawartość aplikacji. Stosuje się więc tryb samolotowy, osłony Faradaya lub inne metody odcięcia komunikacji.

Przy systemach chmurowych dane mogą być rozproszone między kilkoma centrami danych, kontami użytkowników i usługami dostawcy. Trzeba uwzględnić uprawnienia, logi, retencję, aktywne synchronizacje oraz wymogi prawne. Jeżeli pracujesz na takim materiale, zadbaj o szybkie ustalenie administratorów i zakresu dostępu.

W działaniach związanych z zabezpieczaniem danych specjalizuje się Questa. To profesjonalna firma doradcza wykrywająca m.in. nadużycia gospodarcze. Jej partnerzy mają doświadczenie z dużych zespołów doradczych, certyfikaty ACCA i ACFE, a także odrębne specjalizacje w obszarze usług śledczych.

Rola eksperta w procesie zabezpieczenia danych

Błędna decyzja może trwale zmienić materiał, zanim rozpocznie się właściwa analiza. Dotyczy to zwłaszcza nośników używanych po incydencie, telefonów bez izolacji oraz systemów, w których dane szybko się nadpisują.

Do najczęstszych błędów należą:

• uruchamianie systemu przed wykonaniem kopii binarnej,
• brak blokera zapisu podczas pracy z nośnikiem,
• niepełna dokumentacja czynności,
• pominięcie sum kontrolnych,
• zbyt późne zabezpieczenie danych ulotnych,
• ekstrakcja wykonana bez odpowiednich narzędzi.

Rola eksperta polega na dobraniu właściwej metody, ochronie oryginału, opisaniu każdego etapu i przedstawieniu wniosków w sposób zrozumiały dla sądu lub organizacji. Liczy się powtarzalność działań oraz możliwość sprawdzenia, czy dane nie zostały zmienione.

Zadbaj o to, aby materiał cyfrowy był zabezpieczany według procedur już od pierwszego kontaktu z urządzeniem. Dzięki temu rośnie szansa na zachowanie pełnej wartości dowodowej, a analiza może opierać się na wiarygodnych danych.