Методы и средства обеспечения безопасности - электронное обнаружение (стр. 4 )

Примечание - Хотя описание в 6.5 больше ориентировано на крупные предприятия, занимающиеся крупными делами, и может быть не полностью применимо к более мелким организациям или более мелким вопросам, пункты, которые должны быть сделаны, по-прежнему актуальны для рассмотрения.

7        Электронно хранимая информация (ESI)

7.1        Задний план

ESI теперь является неотъемлемой частью как деловой, так и индивидуальной среды. Следовательно, он становится все более важным источником соответствующих материалов в современных спорах или делах.

ESI заслуживает рассмотрения на самых ранних этапах дела. Это может быть очень хрупким, и некоторые из них могут быть легко потеряны или изменены, даже открыв документ. Рассмотрение вопросов идентификации, сохранения и, возможно, элементов процесса сбора данных в первые дни после осознания вопроса может дать важные решения и, возможно, значительную экономию времени и средств в долгосрочной перспективе.

Управление ESI все больше влияет на бизнес и отдельных лиц; объем, размер, сложность и диапазон ESI часто могут быть подавляющими, а сам ESI может содержать конфиденциальную, привилегированную или личную информацию, которая должна быть рассмотрена. Управление ESI часто не является приоритетом, пока истинная ценность и стоимость определения ESI не станут очевидными как часть вопроса. Организации и отдельные лица часто

- сосредоточить свои усилия по сохранению ESI на сохранении для чисто бизнес-целей, а не рассматривать более широкий контекст,

- минимально учитывать их обязательства по соблюдению в отношении электронных документов,

- имеют ограниченное понимание доказательной ценности хороших деловых документов и

- не имеют четкого понимания затрат и рисков, связанных с плохой практикой управления информацией.

Плохое управление ESI может добавить проблемы, когда дело доходит до идентификации и извлечения ESI в ответ на запрос обнаружения или регулирования, поскольку

- содержание подлежит конфиденциальности данных и аналогичным ограничениям доступа, а также ограничениям, связанным с владением и контролем,

- он более объемный, чем ожидалось, потому что он хранился за пределами его требуемой продолжительности жизни,

- в организации часто мало знаний о том, где можно найти потенциально релевантный ESI,

- объем и сложность оказываются подавляющими даже для специалистов в области ИКТ,

- текучесть кадров и организационные изменения (например, слияния, поглощения и продажи) приводят к сохранению ESI, а также к утрате организационных знаний и контекста,

- среда и системы ИКТ могут быть плохо документированы и

- ESI может быть размещен во внешних приложениях и инфраструктуре ИКТ (например, в социальных сетях, облачных вычислениях и т. д.).

В зависимости от обстоятельств эти факторы могут привести к увеличению затрат на поиск и обработку данных, которые могут иметь отношение к рассматриваемому вопросу. Это может привести к задержкам и увеличению затрат на процесс обнаружения и привести к потенциально релевантной ESI.

7.2        Общие типы ESI

7.2.1        Генеральная

Категоризация источников ESI как легкодоступных (или «активных») или недоступных для пользователей (или неактивных, остаточных или наследственных) с обоснованием для каждой категоризации является важной деятельностью на ранних этапах электронного обнаружения. В сочетании с подготовкой бюджета эта категоризация может помочь в определении пропорциональности сохранения и сбора таких источников.

7.2.2        Активные данные

Этот тип ESI «активно» используется и находится на компьютерных жестких дисках или других устройствах хранения данных, а также на серверах, дисках и базах данных организации. Активные данные обычно можно получить в файловом менеджере или в приложении, в котором оно было создано. Пользователи могут получить к нему доступ немедленно без восстановления или реконструкции. С ростом популярности облачных вычислений и интернет-вычислительных услуг он также может находиться на устройствах хранения внешних поставщиков услуг. Большинство случаев и расследований в основном касаются сохранения и производства активных файлов.

Активные файлы можно относительно легко получить и собрать, по крайней мере, по сравнению с другими типами ESI. Они также могут быть легко удалены или изменены, поэтому сохранение необходимо рассмотреть как можно скорее.

7.2.3        Неактивные данные

Этот тип ESI связан с закрытыми, завершенными или завершенными действиями, включая ESI, которые организация поддерживает для долгосрочного хранения и учета, но которая не сразу доступна пользователю компьютерной системы. Он может включать в себя многие из одних и тех же источников данных, описанных выше в отношении активных данных.

Архивированные данные часто хранятся в сжатом формате и могут поддерживаться на системных дисках или автономных устройствах, включая ленточные накопители или диски и оптические носители. Некоторые системы позволяют пользователям напрямую получать архивные данные, в то время как другие системы требуют помощи специалиста по ИКТ. Проблемы сохранения и сбора включают выявление релевантных неактивных и архивированных данных, определение местонахождения и способа их хранения и восстановление из сжатого формата.

Другой формой неактивных данных является ESI, хранящийся в системах защиты данных (например, резервных копий). Эти неактивные данные могут быть источником проблем, поскольку они, как правило, краткосрочны (например, резервные носители регулярно вращаются), не может быть никакого механизма для определения того, что находится на носителе, а сохраненные данные могут содержать только фрагменты (например, только изменения из последней резервной копии). Чтобы усложнить ситуацию, персонал ИКТ может сделать дополнительные резервные копии, которые выходят за рамки обычных операций (например, ротация, документация и т. Д.), И может быть чрезвычайно сложно идентифицировать эти потенциальные источники ESI. Этот тип данных имеет все те же проблемы, что и архивные данные с дополнительным элементом коротких периодов хранения, что требует быстрых действий для приостановки автоматического уничтожения этого ESI в случае необходимости сохранения.

7.3.3 содержит дополнительную информацию о резервных копиях и архивах.

7.2.4        Остаточные данные

Этот тип ESI скрыт и не может быть просмотрен в приложениях (например, системных файлах) или удален, фрагментирован или поврежден. Для сбора такого типа ESI обычно требуется точная побитная копия всего физического носителя (например, жесткого диска, CD, DVD, ленты), включая все активные и остаточные данные и нераспределенное или свободное место на носителе.

Для обработки изображений, а затем для извлечения остаточных данных может потребоваться специалист по цифровым доказательствам (см. ИСО / МЭК 27037) для работы с специальными инструментами и может потребовать много времени и затрат. Однако в некоторых случаях компании могут отображать жесткие диски особо важных ключевых хранителей, чтобы гарантировать сохранение всех их данных, включая файлы, которые хранитель мог непреднамеренно или намеренно удалить или частично перезаписать.

7.2.5        Устаревшие данные

Этот тип ESI создается программным или аппаратным обеспечением, устаревшим или устаревшим (устаревшие системы). Унаследованная система может быть той, которую компания по-прежнему использует, но что поставщик аппаратного или программного обеспечения больше не поддерживает. В качестве альтернативы, это может быть система, которую компания вывела из эксплуатации, но сохраняет ее в случае, если ее информация потребуется в будущем.

Уместность устаревших данных может быть трудно определить без восстановления или реконструкции, и это может быть дорогостоящим. Если требуется сохранить устаревшие данные, компании, возможно, потребуется сохранить устаревшее оборудование и программное обеспечение, если нет другого способа просмотра или использования данных.

7.3        Общие источники ESI

7.3.1        Генеральная

Потенциально соответствующие ESI в судебных разбирательствах и исследованиях можно найти в широком диапазоне источников. Чтобы помочь идентифицировать эти источники, важно рассматривать системы и ресурсы под прямым контролем и доступом хранителей, а также те, которые не находятся под контролем хранителей.

7.3.2        Источники данных кастодиана

Источниками ESI хранилища являются те источники ESI, по которым у отдельного хранителя есть прямая опека или контроль. К ним относятся, помимо прочего, следующие источники:

- Компьютеры: потенциально соответствующий ESI может присутствовать на настольных компьютерах, ноутбуках или домашних компьютерах хранителя, а также на съемных носителях, таких как флэш-накопители, внешние жесткие диски,

DVD-диски или компакт-диски;

- Мобильные устройства: потенциально соответствующий ESI может присутствовать на личных устройствах хранителя, таких как мобильные телефоны, смартфоны, планшеты, системы глобального позиционирования (GPS) и т. д.

С точки зрения предприятия базы данных и приложения, сетевое хранилище, резервные копии и электронные архивы, перечисленные в 7.3.3, также могут считаться хранителями.

7.3.3        Источники данных, не связанные с кастодианом

Источники ESI, не связанные с кастодианом, являются либо внутренними, либо внешними по отношению к организации.

Внутренние источники - это те, к которым имеет доступ один или несколько хранителей, но над которыми контролирует другой хранитель, такой как администратор ИКТ. Источники данных, не связанные с кастодианом, внутренние для организации, включают, но не ограничиваются следующими источниками:

- Базы данных и приложения: ESI, связанный с динамическими базами данных, может быть уместным в некоторых случаях, и в зависимости от проблем может потребоваться система электронного документооборота организации (EDMS), системы управления электронными записями (СЭД) или совместные инструменты;

- Сетевое хранилище: ESI может храниться в разных местах во внутренней сети организации (например, совместно используемые диски, сетевые диски и серверы), а также специализированные технологии хранения данных, такие как сетевое хранилище (NAS) и сети хранения данных (SAN);