ISO-IEC 27037-2023 中文版 数字证据识别、收集、获取和保存指南

ISO/IEC27037:2023中文版数字证据识别、收集、获取和保存指南一、指南编制前言与核心定位ISO/IEC27037:2023是国际标准化组织与国际电工委员会联合发布的数字取证领域专业化、全流程闭环、司法合规适配的权威国际标准，作为ISO/IEC27001信息安全管理体系核心配套专项管控规范，专门针对企业网络安全事件频发、数据泄露事故高发、网络攻击溯源取证难、数字证据易篡改易灭失、取证操作不规范导致证据失效、内部违规行为核查无依据、司法移送证据不被采信等数字治理核心痛点，量身打造数字证据从源头识别、现场收集、规范获取、长期保存、全程固证到合规移送的全链条标准化管控基线与实操执行规则。随着企业数字化业务全面云原生化、数据存储混合多元化、办公设备移动便携化、网络攻击手段隐蔽化、内部违规操作网络化，各类安全突发事件、数据泄露事件、网络入侵事件、业务违规操作事件发生后，传统粗放式随手拷贝数据、无流程调取日志、无规范留存介质、无全程操作记录的简易取证模式，极易造成数字证据原始性破坏、完整性缺失、关联性断裂、追溯链条断裂，最终出现安全事故无法精准溯源、违规行为无法有效定责、涉事证据无法满足监管核查与司法诉讼采信要求的治理困境，严重影响企业安全事件应急处置、内部追责整改、合规监管应对及涉法纠纷维权工作开展。本ISO/IEC27037:2023中文版数字证据识别、收集、获取和保存指南，严格遵循2023版原版国际标准全部强制性取证管控条款与指导性实操规范，不删减标准核心取证合规要求、不新增非标冗余约束内容，同步适配国内《网络安全法》《数据安全法》《个人信息保护法》及电子数据取证司法相关规定、网络安全等级保护取证留存要求，深度衔接企业已落地的信息资产分类分级清单、变更管理控制程序、ISO/IEC27045漏洞管理控制指南、ISO/IEC27043DevSecOps安全管理指南、ISO/IEC27042容器与云原生安全管理指南、ISO/IEC27040存储安全指南等全套内部安全管理体系文件，实现数字证据识别研判、现场收集固定、规范镜像获取、介质安全封存、长期合规保存、证据审计追溯、司法合规移送全链条无缝联动协同治理。本指南核心定位为企业安全事件数字取证体系搭建、日常合规证据留存、安全事故溯源取证、内部违规核查固证、监管检查证据提交、司法诉讼证据移送、数字证据全生命周期合规管控的顶层实操纲领与标准化执行依据，摒弃形式化纸面合规取证管理，重在指导组织将标准化数字取证合规要求原生融入日常运维管理、安全事件应急处置、设备介质退役处置、业务系统迭代变更、数据安全管控全流程环节，构建取证操作规范合规、证据原始完整真实、全程可审计可追溯、监管司法双重适配的现代化数字证据安全治理全新格局。二、指南适用范围与内外体系适配对接本ISO/IEC27037:2023中文版数字证据识别、收集、获取和保存指南全域适用于各类企事业单位、数据密集型经营企业、人工智能算力运营机构、金融医疗政务重点行业单位、工控生产制造企业、数字化转型建设单位及所有存在网络安全运维、数据安全管控、安全事件应急处置、内部违规核查、监管合规迎检、司法纠纷维权需求的各类组织主体，覆盖企业总部、下属分支机构、数据中心运维团队、安全风控合规部门、DevSecOps研发运维团队、云原生容器运维团队、存储介质管理团队、内部审计督查部门、外协第三方取证合作机构及司法对接协作单位全量机构与取证协作主体。在数字证据载体与取证场景覆盖层面，全面适配本地物理服务器硬盘证据、虚拟化集中存储证据、NAS与SAN集中存储日志数据、云存储云端电子日志与业务数据、容器集群运行审计证据、AI算力模型操作记录证据、电脑终端办公设备数据、移动手机及便携智能设备取证、网络设备安全日志、防火墙审计记录、勒索攻击受害系统数据、内部违规操作行为记录、数据泄露流转轨迹数据等全类型数字证据载体与取证场景，涵盖日常常态化合规证据留存场景、突发网络安全事件应急取证场景、内部员工违规核查取证场景、监管专项检查证据调取场景、司法诉讼维权证据移送场景、设备介质退役核查取证场景等全层级数字取证运营管理工作场景。在工作流程适配层面，适用于企业数字取证安全体系初次规划搭建、数字证据识别研判标准制定、日常合规证据常态化收集留存、安全突发事件现场证据紧急固定、数字证据规范镜像获取与哈希校验、证据介质安全封存标记管理、数字证据长期分类安全保存、证据调取复用全程审计追溯、证据合规移交监管与司法机构、取证工作年度复盘审计优化等全流程数字证据管理工作，所有参与数字证据识别研判、现场收集固定、数据提取获取、介质封存保管、证据调取使用、证据移送归档、取证运维操作的在岗工作人员及各级管理岗位，均需严格遵照本指南各项取证管控要求规范执行，所有数字证据、取证介质、取证镜像、取证日志、留存记录无例外、无豁免，必须全部纳入统一数字证据安全闭环管控范畴。本指南深度对接各类外部合规监管体系与企业内部既有管理体系文件，外部严格契合国家电子数据取证司法采信相关规定、网络安全等级保护日志留存与证据溯源要求、数据安全事件上报取证规范、电子数据司法鉴定通用标准，确保企业所有数字取证操作流程合规、证据留存规范、移送材料达标，完全满足监管常态化核查专项检查与司法诉讼证据采信硬性标准；内部全面衔接企业信息资产分类分级清单模板、变更管理控制程序、ISO/IEC27045漏洞管理控制指南、ISO/IEC27043DevSecOps安全管理指南、ISO/IEC27042容器与云原生安全管理指南、ISO/IEC27040存储安全指南、网络安全应急响应处置预案等既有体系文件，明确数字证据分级取证管控匹配规则、取证操作变更审批触发条件、存储介质取证联动处置规则、云原生及AI专属数字证据专项取证保存要求、证据调取复核追溯管理机制，确保数字证据取证保存各项工作动作与企业现有资产管控、漏洞治理、研发安全、云原生容器安全、存储介质安全、AI风控流程无缝衔接、不重复建设、不出现数字取证管理脱节与证据管控盲区，形成数字取证安全、基础设施运维安全、研发运营安全、云原生容器防护、存储介质安全一体化全域安全治理格局。三、核心术语与数字证据取证专属标准概念定义数字证据：指以数字电子数据形式存在，能够证明网络安全事件、内部违规行为、数据泄露事故、网络攻击活动、业务操作行为真实发生及行为关联关系的各类电子数据、系统日志、操作记录、设备运行信息、网络交互轨迹、业务流转数据的统称，具备易篡改、易灭失、依附存储载体、需规范固证留存的核心特性，是安全事件溯源、内部追责、监管迎检、司法维权的核心客观依据。证据识别：指依据ISO/IEC27037:2023标准管控要求，在安全事件发生前后及日常合规管理过程中，精准排查、甄别、定位与事件及合规管控相关的各类潜在数字证据载体与核心数据内容，明确证据留存必要性、证据敏感等级、取证紧急优先级的前期研判基础性工作，是数字取证全流程的首要前置环节。证据收集：指在不破坏原始数据完整性、不篡改原始证据内容、不干扰设备运行状态的前提下，对已识别定位的数字证据原始载体与核心逻辑数据进行现场固定、现场标记、现场状态记录、现场环境留存的实操性取证工作，确保证据原始现场状态完整留存，避免证据现场灭失或二次破坏。证据获取：指通过专业合规取证技术与标准化取证工具，对已收集固定的数字证据进行镜像克隆、数据提取、哈希值校验、原始数据复刻的专项取证操作工作，严格区分原始证据与复制取证数据，全程保障取证数据与原始数据完全一致，杜绝取证过程数据篡改、数据丢失、数据失真问题。证据保存：指数字证据获取完成后，对原始证据介质、取证镜像文件、取证操作记录、哈希校验台账全程进行安全封存、分类归档、加密存储、权限管控、定期巡检留存的长效管理工作，确保证据长期保存期间不被篡改、不被调取滥用、不出现数据损毁灭失，保障证据长期有效可追溯可复用。证据完整性：指数字证据从识别、收集、获取到保存、移送全流程过程中，数据内容、操作日志、载体状态未发生任何未经授权的修改、删除、篡改、新增变动，通过哈希校验值全程一致核验的核心取证合规核心指标，是证据司法采信的基础硬性要求。证据原始性：指数字取证工作优先保留原始存储介质与原始数据状态，取证分析操作全部使用取证复制件开展，严禁直接在原始证据载体上进行数据分析、修改操作、数据调试，杜绝破坏证据原始状态的基础取证管控原则。取证哈希校验：指通过标准化哈希算法对原始数字证据与取证复制镜像进行数值计算比对，形成唯一校验标识，用于全程核验证据未被篡改、数据完整有效的核心技术固证手段。证据封存管理：指对数字证据原始介质与取证存储设备进行物理加封、电子标记、台账登记、双人管控的专项管理措施，防止证据私自调取、违规使用、私自拆封篡改的管控工作。取证全程留痕：指对数字证据所有识别、收集、获取、封存、保存、调取、移送、销毁全流程操作进行详细日志记录、人员签字确认、操作时间留痕、操作设备登记的追溯管控工作，实现每一项取证动作可审计、可追责、可溯源。证据分级管控：指依据数字证据涉密等级、业务重要程度、司法关联强度，实行差异化取证操作强度、封存等级、保存期限、调取权限的适配管控模式，平衡证据安全防护与取证使用便捷性。四、ISO/IEC27037:2023五大核心管理基本原则本标准所有数字证据识别、收集、获取和保存全流程工作必须严格遵循五大刚性核心基本原则，所有数字证据识别研判、现场收集操作、取证获取处置、证据封存保存、证据调取移送决策均不得偏离基础准则，保障企业数字取证工作合法合规、证据真实有效、全程可追溯、适配监管与司法双重要求。第一，原始优先、无损取证原则，所有数字取证工作始终以保留证据原始状态为第一核心前提，严禁任何人员在原始证据载体上开展数据分析、修改调试、删除操作等干预性行为，所有取证研判、数据核查、证据分析工作一律使用合规取证复制件开展，确保证据原始性不受任何破坏，从源头守住数字证据司法采信的核心底线。第二，完整真实、全程校验原则，数字证据收集、获取、保存全环节严格落实完整性管控要求，每一次取证操作完成后必须同步开展哈希值校验比对，原始证据与取证镜像校验数值全程保持一致，杜绝取证过程数据篡改、数据丢失、数据失真问题，确保证据内容真实、链条完整、逻辑闭环。第三，及时处置、防灭防改原则，数字证据具备极易灭失、易被覆盖篡改的特性，安全事件发生后必须第一时间启动证据识别与现场收集固定工作，快速锁定证据载体、封存现场状态、阻断数据二次篡改删除风险，杜绝因处置延误导致核心数字证据灭失、取证溯源无依据的治理被动问题。第四，全程留痕、权责到岗原则，数字证据全生命周期所有操作动作、操作人员、操作时间、操作用途、调取事由、移送去向全部详细登记归档、双人复核确认、全程日志留存，做到取证每一步有据可查、违规有据可追责、事件有据可溯源，满足合规审计与司法追溯双重硬性要求。第五，分级管控、长效保存原则，结合企业信息资产四级分类分级标准，对涉密核心证据、重要业务证据、常规合规证据、普通操作证据实行差异化取证强度、封存等级、保存期限、调取权限管控，核心高密级证据最高等级加密封存长期留存，常规合规证据按周期归档清理，平衡证据安全防护与取证管理运营效率。五、数字证据取证安全组织架构与全岗位安全职责划分组织需依据ISO/IEC27037:2023标准治理要求，搭建层级清晰、权责到岗、运维安全审计三方协同的数字证据专项取证管理组织架构，涵盖高层决策管理层、安全风控合规取证统筹部门、运维及介质设备管理团队、DevSecOps研发日志管理团队、云原生与AI数据运维团队、内部审计督查部门、第三方专业取证合作机构七大责任主体，各司其职、协同履职，压实数字证据识别、收集、获取和保存全生命周期安全管理主体责任。企业高层决策管理层承担数字取证体系顶层决策统筹职责，负责审批企业整体数字取证安全建设规划、核心涉密数字证据专项管控策略、取证安全防护资源调配预算、重大安全事件取证处置方案、数字证据违规管理追责处置决定，统筹协调运维、研发、安全、审计跨部门重大取证协同治理问题，对企业整体数字取证合规管理成效负总责，定期听取数字取证年度复盘工作报告，推动数字证据取证保存体系持续优化升级，保障企业安全事件溯源处置与数字证据合规管控协同平衡。安全风控合规取证统筹部门作为数字证据取证保存专项统筹牵头部门，负责对标ISO/IEC27037:2023标准完善企业数字取证管理制度、证据识别收集规范、取证获取操作基线、证据封存保存标准、证据调取移送管理规则；统筹搭建数字取证工具链与证据归档保存管控体系；组织日常数字证据常态化合规留存、安全事件专项取证处置、证据哈希校验复核、年度数字取证合规审计工作；精准判定数字证据分级管控等级与保存期限；监督各部门取证操作规范落实与证据归档留存质量；对接监管部门取证材料提交与司法机构证据移送对接工作；开展数字取证专项培训与运维管理人员取证警示教育；归档所有数字证据全流程台账与操作资料，常态化核查取证违规操作、证据保管疏漏行为并依规追责问责。运维及介质设备管理团队承担数字证据现场收集实操主体职责，负责各类服务器、存储设备、终端设备、网络设备等证据载体日常运维管理、安全事件现场证据紧急固定、原始介质现场标记封存、取证设备安全管控工作；严格遵循无损取证与原始优先原则开展现场证据收集操作，严禁私自操作原始证据载体、违规篡改取证记录、擅自拆封封存证据；取证现场操作严格遵循企业变更管理控制程序，重大取证操作提交对应安全审批；配合安全部门完成证据规范获取、哈希校验复核、证据封存归档工作，保障数字证据现场收集环节规范无损、原始完整。DevSecOps研发日志管理团队承担研发运维类数字证据源头管控职责，负责研发系统操作日志、流水线运行记录、代码迭代变更记录、研发测试数据操作记录等研发类数字证据常态化留存管理，严禁私自删除研发运维核心日志证据，配合安全部门开展研发相关安全事件取证调取与溯源核查工作，从源头筑牢研发类数字证据完整留存根基。云原生与AI数据运维团队承担云存储、容器集群、AI算力专属数字证据专项取证职责，负责云端日志数据、容器运行审计记录、AI模型操作运行证据的专项收集、镜像获取、云端封存保存工作，联动ISO/IEC27042云原生安全指南、ISO/IEC27040存储安全指南与NIST人工智能风险管理框架做好云原生及AI数字证据协同取证治理。内部审计督查部门承担数字证据合规核查与内部追责取证职责，按需依规调取相关数字证据开展内部违规核查、审计督查工作，严格按照取证调取规范履行审批手续，规范使用取证证据不私自外泄篡改，用完及时归还重新封存归档。第三方专业取证合作机构需严格按照本组织数字取证标准及ISO/IEC27037:2023规范要求，开展专业司法鉴定取证、复杂数据恢复取证工作，全程规范操作、如实出具取证报告、妥善保管委托证据，配合我方完成取证合规复核与司法对接工作，对第三方取证操作合规性与证据完整性承担对应合作责任。六、ISO/IEC27037:2023标准化数字证据全生命周期管控流程按照ISO/IEC27037:2023国际标准核心流程规范，组织数字证据安全管理严格执行数字证据合规规划标准制定、安全事件证据精准识别研判、证据现场紧急收集固定、原始介质标记临时封存、数字证据规范镜像获取、取证数据哈希完整性校验、证据分级分类安全归档保存、证据合规申请审批调取、证据监管司法合规移送、证据到期合规销毁处置十大标准化闭环环节，环环相扣、全程内嵌取证安全管控、不留数字证据治理断点，实现安全规范贯穿数字证据规划、识别、收集、获取、保存、调取、移送、销毁全生命周期。第一环节为数字取证合规规划前置标准制定，在企业数字取证体系搭建初期，安全风控部门对标国际标准与国内合规司法要求，制定数字证据识别范围、收集操作规范、获取技术基线、保存归档规则，明确不同类型证据管控底线与合规红线，取证规划标准未评审落地不得开展各类取证实操工作，筑牢数字取证合规管理根基。第二环节为安全事件数字证据精准识别研判，日常合规管理及安全突发事件发生后，取证统筹部门第一时间组织研判，精准定位关联数字证据载体、核心数据范围、取证紧急等级、证据涉密级别，明确取证工作优先级与操作方案，精准锁定取证目标避免无效取证操作，确保证据识别全面无遗漏、无冗余。第三环节为数字证据现场紧急收集固定，依据识别研判结果，运维与取证人员第一时间抵达证据现场，在不扰动原始设备运行、不篡改原始数据的前提下，完成现场环境记录、设备状态拍照留痕、原始数据临时阻断保护、现场证据初步固定工作，严防证据现场灭失或二次篡改破坏。第四环节为原始证据介质标记临时封存，现场收集完成后，对所有原始证据存储介质、设备终端进行专属唯一编号标记、取证标签填写、双人加封封存、临时台账登记，明确封存时间、封存人员、证据用途，封存后严禁任何人员私自拆封触碰，保障原始证据状态全程不变。第五环节为数字证据规范镜像专业获取，依托合规专业取证工具，对已封存的原始证据介质开展只读式镜像克隆与数据提取操作，全程采用无损取证模式，所有取证操作仅针对复制件开展，原始证据全程封存不动，确保证据获取过程不破坏原始数据、不产生数据偏差。第六环节为取证数据哈希完整性强制校验，证据镜像获取完成后，立即对原始证据与取证镜像同步开展哈希值计算比对校验，形成唯一性校验记录归档留存，校验数值完全一致方可进入后续保存环节，数值不一致需重新取证排查问题，确保证据完整性真实有效。第七环节为数字证据分级分类安全归档保存，按照证据涉密等级与重要程度，将原始封存介质与取证镜像数据分级存入专属加密证据存储区域，实行双人双锁管控、加密存储隔离、定期巡检核对，不同等级证据物理与逻辑隔离存放，做好长期安全留存管控。第八环节为数字证据合规申请审批调取，因内部核查、监管检查、事件复盘需要调取数字证据时，必须履行书面申请、层级审批、调取登记、操作留痕流程，调取使用仅限合规复制件，原始证据严禁外出挪用，使用完毕及时核验归还重新封存归档。第九环节为数字证据监管司法合规移送，对接监管核查或司法诉讼证据移送需求时，按照标准流程办理证据移送登记、封存状态核验、哈希校验材料同步附送、移送交接签字确认手续，确保证据移送链条完整、手续合规、司法可采信。第十环节为数字证据到期合规销毁闭环处置，达到法定及企业规定保存期限、无后续核查司法需求的普通数字证据，按照数据分级销毁标准，完成证据镜像数据清零覆写、介质安全销毁、销毁全程留痕归档工作，完成数字证据全生命周期最后一环合规闭环管控。七、数字证据分级差异化取证与保存管控核心要求依据ISO/IEC27037:2023风险差异化管控核心要求，结合企业信息资产四级分级标准，对核心绝密涉密数字证据、核心重要业务数字证据、常规一般合规数字证据、基础普通操作数字证据实行四级差异化取证操作强度、封存管控等级、保存期限时长、调取审批层级、销毁处置标准，适配不同数字证据安全防护与合规司法刚需，兼顾取证管控严谨性与日常管理便捷性，不搞一刀切粗放同质化取证管控模式。核心绝密涉密数字证据涵盖企业核心经营涉密泄露证据、用户核心敏感隐私数据取证记录、核心AI训练数据集安全事件证据、重大网络攻击溯源涉密证据，属于最高取证管控等级，取证全流程执行最严苛管控标准，证据识别专项深度研判、现场收集双人双岗同步操作、原始介质高强度物理加密封存、取证镜像多重哈希双重校验、专属独立加密存储隔离保存、永久长期归档留存不随意销毁、证据调取企业高层终审审批、调取全程双人旁站监督、证据移送专人专车专项对接，绝不允许涉密数字证据出现任何管控疏漏、篡改灭失、私自调取问题，严防涉密证据外泄失效。核心重要业务数字证据涵盖企业主营业务交易安全事件证据、客户核心业务违规操作证据、财务资金安全核查取证数据、AI业务推理系统安全运行证据，属于高取证管控等级，取证执行强化版管控标准，证据识别专项精准研判、现场收集规范双人操作、原始介质标准加封封存、取证镜像常规哈希校验、专属加密区域隔离保存、长期固定年限归档留存、证据调取安全与分管领导双重审批、调取操作全程审计留痕、定期证据状态复核核验，严控核心业务数字证据取证保存安全风险，平衡证据管控严谨性与事件核查处置效率。常规一般合规数字证据涵盖部门级业务管理操作记录、非核心安全事件合规取证数据、日常运维常规审计日志证据，属于中低取证管控等级，取证执行标准版常规管控标准，简化证据识别研判流程、现场收集单人规范操作、基础介质简易封存管理、单次哈希校验达标即可、常规证据库房统一归档保存、到期按规批量处置销毁、证据调取部门级审批即可，适度简化管控流程提升常规合规取证管理效率。基础普通操作数字证据涵盖日常办公普通操作日志、内部常规通知流转记录、非关键运维简易操作证据，属于低取证管控等级，取证执行简化基础管控标准，仅落实基础证据收集登记、简易台账留存、短期归档保存基础要求，无需高强度封存与高频复核，落实数字取证基础合规底线即可，最大程度降低取证管控人力成本，聚焦核心涉密重要数字证据专项治理工作。八、多类型数字证据专项场景取证与精细化保存规范ISO/IEC27037:2023新版标准重点强化不同载体、不同部署架构、不同使用场景数字证据专项精细化取证与保存治理核心要求，明确企业本地存储介质数字证据、云原生云端数字证据、容器集群运行证据、移动终端便携设备证据、网络安全设备日志证据五大核心场景必须落实专属专项取证保存管控规范，针对性解决不同场景数字证据取证难度不同、灭失风险不同、保存要求不同的差异化治理痛点，消除各类取证场景安全管控盲区。本地存储介质数字证据专项取证保存方面，严格遵循原始介质不动、复制件取证原则，针对硬盘、磁带、U盘等本地存储载体，现场取证优先物理封存标记，严禁直接开机读写操作，通过专业只读取证设备完成镜像获取，哈希校验无误后原始介质单独封存保管，取证复制件用于内部核查分析，存储介质取证全程对接ISO/IEC27040存储安全指南介质管控要求，定期核查封存介质保存状态，防止介质损坏导致证据数据丢失。云原生云端数字证据专项取证保存方面，深度对接ISO/IEC27042容器与云原生安全管理要求，云端日志、业务数据、云存储证据取证时，采用云端只读快照固证模式，不修改云端原始数据配置，快照完成后及时下载本地加密封存保存，云端原始证据留存不删除，同步做好云端证据访问权限收紧、操作全程审计，严防云端证据被远程篡改删除，确保云端数字证据完整可追溯。容器集群运行数字证据专项取证保存方面，针对容器微服务运行日志、容器操作审计记录、容器持久化存储数据证据，取证时冻结容器运行调度状态，快速导出容器只读运行镜像与操作日志，完成哈希校验后归档保存，容器集群恢复运行前确保证据全部固定留存，杜绝容器弹性伸缩重建导致临时运行证据灭失，容器证据单独分类归档，与普通业务证据物理隔离存放。移动终端便携设备数字证据专项取证保存方面，针对办公手机、平板、便携存储设备等移动终端证据，取证第一时间开启设备飞行模式阻断远程联网篡改风险，现场完成设备状态固定、数据只读镜像提取，设备本体加封封存，取证数据单独加密保存，严防移动设备联网远程数据擦除、证据灭失问题，移动证据台账单独登记细化管理。网络安全设备日志数字证据专项取证保存方面，针对防火墙、入侵检测设备、上网行为管理设备安全日志证据，实行日志实时同步备份、定期固化归档、安全日志不可删除配置，安全事件发生后立即导出只读日志数据完成取证校验，日志原始设备配置锁定禁止修改，日志证据长期归档留存，作为网络攻击溯源与违规核查核心依据。所有专项场景数字证据取证整改、保存优化、封存加固工作，同步纳入数字证据全生命周期闭环管理，取证保存完成后必须开展专项复核验证，所有管控台账资料统一归档留存，安全风控部门常态化开展各