数字证据处理标准
ISO/IEC 27037 给出数字证据处理的四个过程：识别、收集、获取、保全。它不是技术手册，而是一套过程要求，强调每一步可追溯、可说明，而不只是最终拿到数据。分清这四个过程的边界，能避免把「收集」当成「获取」这类常见混淆。
基本信息
| 适用范围 | 数字证据的识别、收集、获取与保全 |
|---|---|
| 识别 | 定位潜在数字证据的位置与类型 |
| 收集 | 确定证据所在介质与范围，记录现场情况 |
| 获取 | 制作镜像或提取数据并进行校验 |
| 保全 | 封存、保管与访问控制 |
| 核心要求 | 过程可追溯、记录完整、可被第三方复核 |
典型使用场景
- 现场处置时明确当前处于哪个阶段
- 制定取证方案并划分职责分工
- 向委托方解释过程的合法性与完整性
- 自查流程是否存在跳步与记录缺失
- 与其它规范配合形成完整的过程记录
最小示例
最小示例
# 四过程记录骨架（写入现场记录表）
# 识别：设备与数据源清点，形成证据源清单
# 收集：记录介质外观、序列号、现场环境与在场人员
# 获取：镜像或提取，同时记录校验值与工具版本
# 保全：封存标记、保管人、访问记录与移交签收
# 每个阶段都要能回答：谁在何时做了什么，依据是什么四过程与输出
| 过程 | 目标 | 输出物 |
|---|---|---|
| 识别 | 定位潜在数字证据的位置与类型 | 证据源清单 |
| 收集 | 确定证据所在介质与范围 | 现场记录与清单 |
| 获取 | 镜像或提取数据并校验 | 镜像文件与校验值 |
| 保全 | 封存保管与访问控制 | 保管链记录 |
标准强调的是过程可追溯，而不是某一种技术手段；用什么工具并不重要，记录是否完整才是关键。
保管链记录要连续：任何交接都要有时间与人员签名，出现断点会让证据完整性受到质疑。
跳过识别与收集直接做镜像，会漏掉设备外观、连接状态与在场人员等现场信息，这些内容事后无法补齐。
该标准可与其他体系要求结合使用，实际执行时以委托方要求与适用法律的具体规定为准。