TCOSOCC 006-2024 信息安全技术 电子数据收集提取技术要求

求Informationsecuritytechnology—Technicalrequirementsforelect 1 13术语和定义 14总体原则 14.1原件原则 14.2完整性 1 14.4保密性 2 2 26.1人员要求 2 3 3 3 3 3 3 3 4 48记录 48.1基本要求 4 4 4 5 5 6 2本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定进、邓建新、张德保、姜冰、熊凡凡、邱天、张红艳、王新亮、段小莉。计算平台等目标对象上收集提取电子数据提供技术要求与流程指导；规范公证机构为核实调查所实施要依据；为电子数据收集提取工具生产厂商的产品研发、1信息安全技术电子数据收集提取技术要求本文件适用于非技术人员和技术人员开展部分或全部电子数据收集提取GB/T20985.1信息技术安全技术信息安全事件管理第1部分:事件管GB/T20985.1、GB/T2506源于可以显示、识别的输出介质的电子数据，以上三类电子数据可视为电子数据的原件。数据的固定、收集提取过程；计算和比对电子数据的完整电子数据收集提取和分析具有可复现性，记录电子数据收集提取和分析过程中的关键软硬件设备的操作参数以及提取数据的完整性校验值，其他电子数据收集提取和分析人员能够复现收集提取和分T/COSOCC006—2024.4保密性a)准备阶段：包括人员要求、环境要求、设备与设施要求和制定方案。b)收集提取阶段：包括原始介质封存提取、现场提取、网络在线提取、电子数据冻结和打印拍照c)记录阶段：包括执法与司法机关记录信息、鉴定机构记录信息和电子数据持有机构记录信息。准备阶段收集提取结结取取记录阶段图1电子数据收集提取流程图6准备阶段36.2环境要求全要求。应准备电子数据收集提取所需的软硬件设备和设施。6.4制定方案a)根据事件的影响范围、危害程度确定，确定事件响应级别、事件响应小组，选择并启动对应的b)根据识别出的电子数据位置和类型，确定应使用的收集提取方法；c)形成方案后获得发起电子数据收集提取活动的主体机构授权。7收集提取7.1原始介质封存提取对计算机硬盘、移动硬盘、U盘、光盘、安全数字存储卡(SD卡)和细小快闪储存卡(TF卡)等存储介质，采用原始存储介质封存、提取方法，数据提取遵循以下步骤：a)在有条件的情况下，应对原始存储介质进行单独封存；b)获取原始存储介质及相关应用系统的信息，应包括数据备份与加密、网络拓扑与系统架构、管d)若不具备复制条件，对原始存储介质进行数据提取的过程中，应启动数字摄像机或屏幕录像软e)对封存的原始存储介质或者提取的电子数据，可通过恢复、破解、统计、关联、比对等方式进7.2现场提取信息系统或应用程序以及需立即提取数据等情形，采用现场提取的方法，应遵a)对可能被远程控制的本地计算机信息系统，应及时切断信号、断开网络连接；b)保护电源，防止其它可能破坏现场电子数据的行为发生；c)获取本地计算机信息系统、手机和应用程序等相关信息，如用户名、密码；d)对于开机状态下的计算机信息系统，应按照数据易失性程度由高到低依次收集提取；f)对于具备写保护条件的原始存储介质、本地计算机信息系统等，应将原始存储介质、本地计算机信息系统通过写保护设备接入到数据收集提取工具上；g)对于不具备写保护条件的将原始存储介质、本地计算机信息系统，数据提取的过程中应启动数h)对获取的数据计算完整性校验值；i)将提取的电子数据存储到其它介质，不应存储在原始存储介质中。4