Standards and Best Practices in Digital and Multimedia Forensics Shujun LI , Mandeep K. Dhami and Anthony T. S. Ho Department of Computing and Surrey Centre for Cyber Security (sccs)

2.3.1.1
ISO/IEC 27037:2012 ‘Guidelines for identification, collection,
acquisition and preservation of digital evidence’
This standard provides guidelines for the identification, collection, acquisition and
preservation of digital evidence. The scope of the guidance provided concerns general
circumstances encountered by personnel during the digital evidence handling process.
This standard is part of the ISO/IEC 27000 series of standards on information security
management, and should be used as an accompaniment to ISO/IEC 27001 and ISO/IEC
27002 (the two most important standards in the ISO/IEC 27000 series) since it provides
supplementary guidance for the implementation of control requirements for digital
evidence acquisition.
According to the standard, digital evidence is usually regulated by three central
principles:
1. Relevance: digital evidence proves or disproves an element of a case, and be relevant
to the investigation.
2. Reliability: digital evidence serves its purpose, and all processes used in the
handling of it should be repeatable and auditable.
3. Sufficiency: a digital evidence first responder (DEFR) should gather enough
evidence for effective investigation and examination.
In addition, all the tools to be used by the DEFR should be validated prior to use and the
validation evidence should be available when a challenge of the validation technique
is encountered.
As part of its coverage on the whole process of digital evidence handling,
this standard also covers issues related to personnel, roles and responsibilities,

---

“c02” — 2015/6/19 — 20:53 — page 49 — #12
Standards and Best Practices in Digital and Multimedia Forensics
49
technical and legal competencies (core skills in Annex A), documentation (minimum
requirements in Annex B), formal case briefing session, prioritization of potential
digital evidence, among other important aspects.
The standard contains a detailed discussion on concrete instances of digital
evidence identification, collection, acquisition and preservation. Such instances
include computers, peripheral devices digital storage media, networked devices and
also CCTV systems.