Informatica forense · Aziende

In che modo un'azienda può verificare quali file specifici siano stati copiati su una chiavetta USB?

Il collegamento di un supporto dati USB può essere tecnicamente verificabile, ma ciò non chiarisce quali file siano stati effettivamente trasferiti.

Richiesta non vincolante

Perché questa domanda è importante per un’azienda

In caso di possibili fughe di dati, sono spesso in gioco valori economici considerevoli, rapporti con i clienti, conoscenze relative allo sviluppo o vantaggi competitivi. Un’indagine approfondita deve quindi chiarire con precisione quali movimenti di dati abbiano effettivamente avuto luogo, senza dedurre una violazione di legge da un semplice sospetto.

Approccio tecnico di analisi

Mettiamo in correlazione i collegamenti delle periferiche, gli elementi relativi al file system e al sistema operativo, gli accessi ai file rilevanti, i collegamenti e, se del caso, le informazioni relative al supporto di destinazione.

Dove si trova il limite della dichiarazione

Non tutti i casi consentono di stilare un elenco completo dei file. L'affermazione si limita a ciò che è effettivamente contenuto nei reperti recuperati.

Perché LanCologne?

Il sospetto di sottrazione di dati o di perdita di informazioni aziendali riservate può comportare conseguenze economiche e legali significative. Proprio per questo motivo, l’indagine non deve partire dal risultato auspicato.

LanCologne traduce innanzitutto i fatti in specifiche questioni tecniche da dimostrare: quali file o insiemi di dati sono interessati? Sono stati effettivamente aperti, copiati, esportati, archiviati o trasferiti? Quale canale di trasmissione tecnico è dimostrabile? Quando è avvenuto tutto ciò? Quale contesto relativo a dispositivi, account o sessioni è dimostrabile?

A tal proposito, distinguiamo rigorosamente tra possibilità di accesso, accesso effettivo, operazione di copia e trasferimento riuscito. Nella pratica questi termini vengono spesso confusi, sebbene descrivano fatti tecnicamente diversi.

I risultati rilevanti vengono, per quanto possibile, verificati sulla base dei dati primari e correlati con fonti indipendenti. Un allarme automatico, un report generato dallo strumento o un singolo timestamp non vengono considerati prove senza essere stati verificati.

Allo stesso modo, vengono esaminate anche le spiegazioni alternative più comuni. I processi di trasferimento dei dati, gli archivi di progetto, i backup, la sincronizzazione, gli aggiornamenti software o l’utilizzo autorizzato del cloud possono generare tracce che, prive di contesto, possono apparire sospette. Solo dopo aver circoscritto tali spiegazioni sulla base dei dati è possibile effettuare una valutazione tecnica attendibile.

Per LanCologne, anche un risultato negativo costituisce un esito completo dell'esame. Se non è possibile confermare un presunto trasferimento di dati, ciò viene documentato allo stesso modo di un trasferimento dimostrabile.

Il nostro modo di lavorare

Il segreto commerciale è una qualificazione giuridica – il flusso di dati è una questione probatoria di natura tecnica

Possiamo accertare o circoscrivere quali file fossero presenti, quali meccanismi di protezione tecnica fossero in atto e quali operazioni di accesso, copia o trasferimento siano dimostrabili. La valutazione giuridica volta a stabilire se le informazioni in questione soddisfino i requisiti di un segreto commerciale e se un’azione sia stata non autorizzata o illegale viene effettuata separatamente.

Nessun giudizio affrettato – nemmeno in presenza di modelli di trasferimento evidenti

Un accesso a file di dimensioni insolitamente grandi, una connessione USB o un accesso al cloud possono costituire motivo di ulteriori verifiche, ma non costituiscono di per sé una conclusione. Vengono esaminati anche flussi di lavoro alternativi. Laddove rimangano possibili diverse spiegazioni, tale incertezza non viene sostituita da una supposizione.

Perché LanCologne in materia di portabilità dei dati e segreti commerciali?

LanCologne non svolge indagini volte a confermare un sospetto prestabilito. Rispondiamo alla specifica questione probatoria di natura tecnica, documentiamo i dati primari su cui ci basiamo e indichiamo con altrettanta chiarezza ciò che non è possibile dimostrare. In questo modo, la direzione aziendale e l’ufficio legale dispongono di una base fattuale in grado di reggere anche a una successiva verifica tecnica da parte di esperti.

Per quanto riguarda i dati relativi ai dipendenti, l’articolo 26 della BDSG costituisce un punto di riferimento fondamentale. Ai fini dell’accertamento di reati, l’articolo 26, paragrafo 1, della BDSG richiede, tra l’altro, l’esistenza di indizi concreti da documentare, la necessità e la proporzionalità; l’interesse meritevole di tutela del lavoratore non deve prevalere. Si applicano inoltre i principi del GDPR, in particolare la liceità, la limitazione delle finalità e la minimizzazione dei dati.

La legge sulla tutela dei segreti commerciali (GeschGehG) riveste un ruolo centrale in materia di segreti commerciali. Ai sensi del § 2 n. 1 della GeschGehG, non basta che un'informazione sia riservata: l'informazione deve, tra l'altro, avere un valore economico, in quanto non è di dominio pubblico né facilmente accessibile, deve essere oggetto di misure di riservatezza adeguate alle circostanze e deve sussistere un legittimo interesse alla riservatezza.

Il § 4 della GeschGehG vieta, a determinate condizioni, tra l’altro, l’accesso non autorizzato, l’appropriazione non autorizzata o la copia non autorizzata di file elettronici che contengano un segreto commerciale o dai quali sia possibile dedurlo. Anche l’utilizzo e la divulgazione possono essere vietati. Non spetta al perito informatico forense decidere se un’operazione tecnicamente provata soddisfi gli elementi costitutivi del reato.

La legge sulla protezione degli informatori (GeschGehG) prevede inoltre alcune eccezioni. L’articolo 5 menziona in particolare determinati atti volti alla tutela di interessi legittimi, tra cui, a determinate condizioni, l’individuazione di atti illeciti o di comportamenti scorretti sul piano professionale o di altro tipo. Inoltre, può essere applicabile la legge sulla tutela degli informatori (HinSchG). L’articolo 6 della HinSchG disciplina, a determinate condizioni, la trasmissione o la divulgazione di segreti commerciali nell’ambito di segnalazioni protette. Un sospetto di fuga di dati non deve quindi essere automaticamente equiparato a una violazione illecita del segreto.

La legge GeschGehG prevede, in caso di violazioni accertate, possibili diritti di natura civile, tra cui la rimozione e la cessazione (§ 6), ulteriori misure ai sensi del § 7, determinati diritti di informazione ai sensi del § 8 e il risarcimento dei danni ai sensi del § 10. È necessario verificare giuridicamente quali diritti sussistano nel singolo caso. L’informatica forense fornisce a tal fine solo la base fattuale tecnica.

Qualora vengano utilizzati dispositivi tecnici per il monitoraggio dei dipendenti, possono inoltre essere rilevanti i diritti di partecipazione del comitato aziendale, in particolare ai sensi dell’articolo 87, paragrafo 1, punto 6, della BetrVG. L’ammissibilità concreta viene chiarita prima dell’indagine dagli organi aziendali e giuridici competenti.

Domande frequenti

🔗 Argomenti correlati