ГОСТ Р ИСО/МЭК 27037—2014
П р и м е ч а н и е 2 - Существуют аппаратные устройства, позволяющие не прерывая питания отключить
включенное устройство от сети электропитания, переключив его на портативный ИБП. Существуют также специ
альные устройства, перемещающие курсор мыши на экране, которые могут использоваться для предотвращения
появления экранной заставки. Оба эти устройства предоставляют полезные инструментальные средства при
обращении с включенным устройством, на котором шифрование может быть активным. В случае сбора
устройств с включенным питанием для поддержания питания при транспортировке и упаковке работающей си
стемы следует рассматривать вопросы, связанные с обеспечением охлаждения, защитой от механических уда
ров и т. д.;
- промаркировать, отсоединить и сохранить все кабели цифрового устройства и промаркировать
порты, чтобы система могла быть восстановлена на более позднем этапе;
- заклеить лентой выключатель питания, если это необходимо, чтобы предотвратить изменение
состояния выключателя. Рассмотреть вопрос о надлежащем документировании состояния выключа
теля до заклеивания лентой или изменения его положения.
7.1.2.1.3 Дополнительные действия: сбор цифровых устройств с включенным питанием
Ниже приведены дополнительные действия, которые являются применимыми в зависимости от
конфигурации конкретного цифрового устройства;
- если это ноутбук, то обеспечить уверенность в получении изменчивых данных, прежде чем
убирать аккумуляторную батарею. DEFR должен сначала извлечь основной аккумулятор источника
питания вместо того, чтобы нажимать на кнопку питания для выключения ноутбука. DEFR должен
также отметить, имеется ли адаптер источника питания, и. если он имеется, убрать его после удале ния
аккумулятора.
П р и м е ч а н и е 1 - Цифровое устройство может быть сконфигурировано так. что при нажатии кнопки
питания на нем запустится сценарий, который может изменять или удалять информацию в системе перед отклю
чением или предупреждать подключенные системы о возникновении неожиданного события, так что эти системы
могут стирать данные, имеющие доказательную ценность, прежде чем они будут идентифицированы. Оно может
быть также сконфигурировано таким образом, чтобы приводить в действие устройство, предназначенное для
причинения физического вреда DEFR и другим присутствующим лицам;
- заклеить лентой слот для дискет, если он есть:
- удостовериться, что лотки для CD или DVD дисков задвинуты на место, отметить, являются ли
они пустыми, содержат диски или не проверены; заклеить лентой слот для предотвращения его от
крывания.
П р и м е ч а н и е 2 - Если в устройстве оставлен носитель информации, который можно использовать
для загрузки, то при следующем включении устройство может загрузиться с этого носителя, а не с жесткого дис
ка (или флеш-памяти инструментальных средств для криминалистического исследования) в зависимости от
установок базовой системы ввода/вывода (BIOS) компьютера.
DEFR должен проводить сбор свидетельств, не представленных в цифровой форме, в соответ
ствии с процессуальным правом для обеспечения уверенности в приемлемости любых свидетельств.
7.1.2.2 Цифровые устройства с выключенным питанием
7.1.2.2.1 Общий обзор
Когда питание цифрового устройства выключено. DEFR может следовать ряду рекомендаций по
сбору. Не все содержащиеся в этих рекомендациях действия могут быть уместны во всех обстоя
тельствах. Таким образом, должно быть сделано различие между действиями, применимыми во всех
случаях (базовые действия), и действиями, которые могут применяться лишь в некоторых случаях
(дополнительные действия). На рисунке 3 показаны базовые и дополнительные действия, примени
мые к сбору цифровых устройств с выключенным питанием.
22