Standards and Best Practices in Digital and Multimedia Forensics Shujun LI , Mandeep K. Dhami and Anthony T. S. Ho Department of Computing and Surrey Centre for Cyber Security (sccs)

2.3.1.5
ISO/IEC FDIS 27043 “Incident investigation principles and processes”
(2014c)
This standard is also part of a set of new ISO/IEC standards to be published on
investigation of information security incidents. Its current status is FDIS, the final

---

“c02” — 2015/6/19 — 20:53 — page 51 — #14
Standards and Best Practices in Digital and Multimedia Forensics
51
phase of an international standard so we do not expect any major changes to its contents
once published.
This standard provides guidelines for common investigation processes across
different investigation scenarios, covering pre-incident preparation up to and including
returning evidence for storage or dissemination. It also provides general advice
and caveats on processes and appropriate identification, collection, acquisition,
preservation, analysis, interpretation and presentation of digital evidence.
A basic principle of digital investigations highlighted in this standard is repeatability,
which means the results obtained for the same case by suitably skilled investigators
working under similar conditions should be the same. Guidelines for many
investigation processes are given to ensure clarity and transparency in obtaining the
produced results. The standard also provides guidelines to achieve flexibility within
an investigation so that different types of digital investigation techniques and tools
can be used in practice. Principles and processes are specified and indications are
defined for how the investigation processes can be customized for different scenarios.
Guidelines defined in this standard help justify the correctness of the investigation
process followed during an investigation in case the process is challenged.
This standard covers a rather wide overview of the entire incident investigation
process. It it is supposed to be used alongside some other standards including ISO/IEC
27035, ISO/IEC 27037, ISO/IEC 27041, ISO/IEC 27042 and ISO/IEC 30121.