Informatica forense · Autorità investigative
Wie werden virtuelle Maschinen als eigenständige Ermittlungsumgebung bewertet?
Virtuelle Maschinen können eigene Betriebssysteme, Accounts, Anwendungen und Zeitlinien enthalten.
Perché questa domanda è importante per le autorità investigative
Le indagini digitali devono fornire fatti attendibili, ma non devono dare un’interpretazione eccessiva agli indizi tecnici. Per il lavoro investigativo, quindi, non è importante solo la presenza di un elemento di prova, ma anche ciò che esso dimostra effettivamente, quali siano le ipotesi contrarie e quali ulteriori conclusioni non siano invece ammissibili.
Approccio tecnico di analisi
Wir trennen Host- und Gastspuren, prüfen Konfiguration, virtuelle Datenträger, Snapshots und tatsächliche Nutzung.
Dove si trova il limite della dichiarazione
Ein Artefakt im Gast ist nicht automatisch dem Hostsystem oder dessen Benutzer zuzurechnen.
Perché LanCologne?
Nell’ambito degli incarichi investigativi, LanCologne non opera secondo il principio di confermare tecnicamente un’ipotesi di sospetto prestabilita. Il punto di partenza è la domanda investigativa concreta. A tal fine, vengono esaminate in egual misura le possibilità tecniche a carico e a discarico.
Le prove o i set di dati forniti vengono documentati in modo univoco. Nella misura in cui ciò sia tecnicamente possibile, l’analisi viene effettuata su copie di backup verificate o su copie di lavoro adeguate. I risultati generati automaticamente non vengono accettati senza verifica qualora siano rilevanti ai fini decisionali. Vengono controllati la provenienza, la logica di generazione e il contesto dell’artefatto; se necessario, viene effettuata una controverifica indipendente sulla base dei dati sottostanti o mediante un secondo metodo tecnicamente adeguato.
Per un’autorità investigativa è fondamentale che da un indizio tecnico non si tragga una conclusione più forte di quanto i dati effettivamente consentano. Per questo motivo distinguiamo tra riferimento al dispositivo, all’account, all’utente e all’attribuzione a una persona, così come tra possibilità, utilizzo effettivo e azione dimostrabile.
Altrettanto importante è il risultato negativo. Se un’ipotesi investigativa non può essere confermata sulla base dei dati disponibili o se esistono spiegazioni alternative tecnicamente plausibili, ciò viene espressamente documentato. Ciò corrisponde a un approccio peritale aperto e sostiene l’obbligo di tenere conto sia delle circostanze a carico che di quelle a discarico.
Dal mandato investigativo alla testimonianza attendibile
Reperti a carico e a discarico
Un’analisi peritale deve rimanere aperta a qualsiasi risultato. Se i dati confermano l’ipotesi investigativa, viene spiegato in che modo. Se invece vi sono indizi attendibili che la contraddicono o se sussiste una spiegazione tecnica alternativa, anche questo viene documentato. Se i dati disponibili non sono sufficienti per formulare un’affermazione certa, la mancata prova viene indicata come tale.
Comprensibile per la Procura, la Polizia, la difesa e il tribunale
I risultati principali vengono formulati in un linguaggio comprensibile. Allo stesso tempo, i fondamenti tecnici rilevanti ai fini dell’indagine vengono documentati in modo tale che un altro esperto qualificato di informatica forense possa ricostruire le conclusioni principali sulla base degli stessi dati. In questo modo, l’indagine rimane trasparente anche in vista di successive verifiche incrociate o di un’assunzione di prove in sede giudiziaria.
LanCologne in qualità di perito esterno in informatica forense
Quando un'autorità investigativa deve chiarire una questione tecnica specifica in ambito digitale in modo indipendente e tecnicamente attendibile, LanCologne fornisce supporto attraverso un'analisi trasparente e imparziale. L'obiettivo non è ottenere il maggior numero possibile di riscontri, bensì fornire una risposta tecnica attendibile alla specifica questione oggetto dell'indagine.
Quadro giuridico
La direzione delle indagini e la valutazione giuridica spettano agli organi di polizia giudiziaria competenti. Ai sensi dell’articolo 160 del Codice di procedura penale, la Procura accerta i fatti e deve accertare sia le circostanze a carico che quelle a discarico. L’articolo 161 del Codice di procedura penale disciplina i suoi poteri investigativi generali e la possibilità di far svolgere le indagini da autorità e funzionari delle forze di polizia. I compiti della polizia nel procedimento investigativo sono disciplinati dall’articolo 163 del Codice di procedura penale.
Per i periti si applicano, in linea di principio, gli articoli 72 e seguenti del Codice di procedura penale (StPO). L’articolo 161a, comma 1, dello StPO obbliga i periti a presentarsi, su convocazione, dinanzi alla Procura e a rendere la propria perizia; le disposizioni relative ai periti contenute nella settima sezione si applicano per analogia, salvo diversa disposizione. L’articolo 82 del Codice di procedura penale disciplina la forma di presentazione della perizia nella fase istruttoria.
Il sequestro e la confisca di oggetti potenzialmente rilevanti ai fini probatori sono disciplinati in particolare dagli articoli 94 e 98 del Codice di procedura penale. L’articolo 110, comma 3, del Codice di procedura penale disciplina l’ispezione dei supporti di memorizzazione elettronici e, alle condizioni ivi indicate, consente anche il salvataggio dei dati rilevanti ai fini dell’indagine. La decisione in merito all’ammissibilità, alla portata e alla disposizione di tali misure spetta alle autorità statali competenti, non a LanCologne.
Ai sensi dell’articolo 1, comma 3, della JVEG, il ricorso a un avvocato da parte della polizia o di altre autorità di polizia giudiziaria, su incarico o previa approvazione della Procura, è equiparato, ai fini del compenso, al ricorso da parte della Procura stessa.
Domande frequenti
LanCologne – Informatica forense per le autorità investigative penali
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.
In linea con questo argomento