Chain of Custody Digital Evidence untuk Praktisi IT

Chain of custody bukan hanya formulir untuk kasus pidana. Dalam incident response perusahaan, ia membantu memastikan keputusan pemecatan, klaim asuransi, audit, dan root-cause analysis berdiri di atas data yang dapat dilacak.

Apa yang harus dibuktikan?#

• Identity: bukti mana yang dimaksud?
• Integrity: apakah bit berubah?
• Provenance: dari perangkat dan metode apa?
• Possession: siapa yang menguasai setiap saat?
• Purpose: mengapa akses atau transfer dilakukan?

NIST SP 800-101 membahas collection, examination, analysis, reporting, serta pentingnya packaging, transport, storage, dan chain of custody.

Contoh identifier#

Case: IR-2026-014
Item: IR-2026-014-E03
Source: LAPTOP-FIN-07 / NVMe 1 TB
Collector: analyst-02
Acquired: 2026-08-11T09:42:18+07:00
Method: forensic image via write blocker
SHA-256: 9f...d2
Storage: evidence-vault/A/014/E03

Gunakan UTC atau offset eksplisit. “09:42” tanpa timezone menciptakan ambiguitas ketika log berasal dari wilayah berbeda.

Original, master, dan working copy#

Original adalah media/sumber. Forensic master adalah image hasil akuisisi yang disimpan read-only. Working copy dipakai tool analisis. Hash master setelah akuisisi dan working copy sebelum analisis; hasil harus sama.

Log transfer minimum#

Prosedur ringkas#

1. Tetapkan scope dan otorisasi.
2. Foto atau catat kondisi awal.
3. Beri ID unik sebelum berpindah tangan.
4. Akuisisi dengan metode yang meminimalkan perubahan.
5. Hash dan rekam tool/version.
6. Segel atau lindungi original.
7. Simpan pada lokasi dengan access control dan logging.
8. Analisis working copy.
9. Catat setiap transfer dan hasil verifikasi.
10. Terapkan retention serta disposal yang disetujui.

Kesalahan yang sering terjadi#

Foto bukti tidak terkait ID, hash dicatat tetapi algoritma tidak disebut, spreadsheet custody dapat diedit tanpa audit, timezone tidak ada, dan evidence dikirim lewat chat pribadi. Solusinya bukan aplikasi mahal—mulai dari ID konsisten, hash, access log, dan review dua orang.

Catatan: prosedur hukum berbeda antarwilayah. Untuk perkara formal, ikuti kebijakan organisasi dan arahan penasihat hukum yang berwenang.

Digital custody dalam cloud#

Bukti cloud mungkin berupa snapshot, audit log, object version, atau export API. Catat account, region, resource ID, query, time range, export format, dan API/tool version. Simpan response metadata serta hash export. Karena provider mengelola media fisik, fokus custody bergeser pada identity, authorization, immutable logging, dan reproducible acquisition.

Template catatan akses#

2026-08-11T13:00:00+07:00 | analyst-02
Item: IR-2026-014-E03-working
Purpose: timeline reconstruction
Action: read-only mount; exported MFT CSV
Tool: tool-name 1.2.0
Output: E03-MFT-001.csv SHA-256 ...
Result: source image unchanged; hash verified

Quality control dua orang#

Untuk evidence penting, orang kedua memverifikasi ID, seal, hash, tujuan transfer, dan lokasi penyimpanan. Ini bukan karena collector tidak dipercaya, tetapi karena kesalahan transkripsi sangat manusiawi.

Cek pemahaman#

Hash membuktikan dua bitstream sama; hash tidak membuktikan siapa mengumpulkan, apakah sumbernya benar, atau apakah acquisition diotorisasi. Chain of custody melengkapi hash dengan konteks tindakan dan penguasaan.