Informatica forense · Tribunali
È possibile stabilire se un computer fosse acceso o spento in un determinato momento?
Per alcune questioni probatorie, a essere determinante non è il contenuto di un file, bensì lo stato operativo di un sistema. Le tracce relative all’avvio, allo spegnimento, alla modalità sleep, al risveglio, al login e ai crash possono fornire indicazioni sull’effettiva attività del sistema.
Per il tribunale non è rilevante il numero di programmi di analisi utilizzati. Ciò che conta è quale fatto tecnico concreto possa essere accertato in modo attendibile sulla base dei dati disponibili, come si giunga a tale accertamento e quali siano i suoi limiti.
La questione probatoria concreta
Mettiamo in correlazione diverse fonti temporali indipendenti tra loro e teniamo conto del fatto che i moderni sistemi operativi distinguono tra spegnimento completo, modalità di sospensione, modalità standby e avvio rapido.
Perché una singola traccia digitale raramente è sufficiente
Gli artefatti digitali vengono generati in sistemi dotati di propri meccanismi di archiviazione, sincronizzazione e registrazione. Un singolo timestamp, una singola voce di log o un singolo valore di database non vengono quindi considerati, senza contesto, come prova definitiva. Laddove la questione probatoria lo richieda, vengono messe in correlazione diverse tracce indipendenti l’una dall’altra e vengono verificate controipotesi tecnicamente plausibili.
Dove si trova il limite della dichiarazione
Una singola voce di registro non è solitamente sufficiente a dimostrare lo stato di funzionamento completo di un dispositivo per un periodo di tempo prolungato.
Come LanCologne affronta la questione probatoria
Nel metodo LanCologne, l'analisi inizia dalla questione probatoria giudiziaria e non da un determinato programma di analisi. Innanzitutto si chiarisce quale fatto tecnico debba essere accertato, quali fonti di dati siano rilevanti a tal fine e quali ipotesi contrarie debbano essere prese in considerazione.
Le prove e i dati di partenza vengono documentati in modo univoco. Nella misura in cui ciò sia tecnicamente possibile, l’analisi viene effettuata su copie di sicurezza forensi verificate o su copie di lavoro adeguate. I risultati rilevanti ai fini decisionali non vengono accettati solo perché segnalati da un software. Verifichiamo la provenienza, la logica di generazione e il contesto dell’artefatto e, se necessario, controlliamo i risultati chiave sulla base dei dati sottostanti o di un secondo metodo tecnicamente adeguato.
Nella perizia vengono distinti tra loro i risultati fattuali, l’interpretazione tecnica e le conclusioni. Viene descritto con altrettanta chiarezza anche il limite delle affermazioni: cosa è possibile dimostrare? Cosa è solo supportato da prove? Quali sono i risultati contrari? Cosa rimane in sospeso? La mancata dimostrazione di un fatto non viene reinterpretata come un’affermazione apparentemente certa.
La parte principale viene redatta in modo tale che un giudice privo di conoscenze specialistiche in informatica forense possa comprenderne il ragionamento. La verificabilità tecnica rimane garantita. Le fonti di dati rilevanti ai fini della verifica, le informazioni sull’integrità, gli artefatti e le fasi dell’indagine vengono documentati in modo tale che un perito informatico forense indipendente possa ricostruire le conclusioni fondamentali ai fini di un’eventuale controperizia.
Dal mandato giudiziario alla testimonianza attendibile
Risultati positivi, risultati negativi e assenza di riscontri
Un risultato scientifico deve essere aperto a diverse conclusioni. Se i dati confermano l’ipotesi da verificare, viene spiegato su quali basi essa si fonda. Se invece vi sono prove concrete che contraddicono tale ipotesi, anche queste vengono presentate. Qualora la base di dati non sia sufficiente per giungere a una conclusione certa, ciò viene definito come «mancanza di prove» o «questione tecnica aperta». È proprio questa distinzione che impedisce che da una lacuna nei dati derivi un'affermazione apparentemente certa.
Comprensibile per il tribunale – verificabile dal punto di vista tecnico da un controperito
Il nucleo tecnico viene illustrato con un linguaggio comprensibile. I termini specialistici vengono utilizzati solo dove necessario e successivamente contestualizzati. Allo stesso tempo, vengono mantenuti i fondamenti tecnici fondamentali: fonti di dati esaminate, artefatti rilevanti, informazioni sull’integrità, riferimenti temporali e fasi metodologiche. Un esperto di informatica forense estraneo alla procedura deve poter verificare il ragionamento, senza che il testo principale diventi per il tribunale una semplice raccolta di dati tecnici grezzi.
Classificazione metodologica
Per l'informatica forense giudiziaria non esiste un elenco normativo di programmi di analisi obbligatori. Dal punto di vista tecnico, sono fondamentali una base dati controllata, l'integrità, fasi investigative documentate, conclusioni verificabili e la possibilità di una verifica indipendente.
Il modulo DER.2.2 della protezione di base del BSI, intitolato „Misure preventive per l’informatica forense“, contiene utili principi di base per prepararsi a successive indagini forensi e per la raccolta delle prove in caso di incidenti di sicurezza informatica. Tuttavia, non si tratta di uno standard forense in materia di procedura penale; l’analisi forense vera e propria non rientra nell’ambito di questo modulo. Tale distinzione viene espressamente rispettata.
LanCologne in qualità di perito informatico indipendente
Quando un tribunale deve far chiarire dal punto di vista tecnico una questione concreta relativa alle prove digitali, esaminiamo la base dati disponibile in modo indipendente e senza pregiudizi. L’obiettivo non è quello di raccogliere il maggior numero possibile di risultati tecnici, bensì di fornire una risposta tecnicamente fondata: comprensibile per il tribunale, trasparente nel suo ragionamento e tecnicamente verificabile.
Quadro giuridico
Per la prova peritali nei procedimenti civili sono rilevanti, in particolare, gli articoli 402 e seguenti del ZPO. L’articolo 403 del ZPO riguarda la definizione degli aspetti oggetto della perizia. Ai sensi dell’articolo 404a del ZPO, il tribunale dirige l’attività del perito e può determinarne la natura e la portata. L’articolo 407a del ZPO stabilisce gli obblighi del perito, tra cui quello di verificare la propria area di competenza e di chiarire eventuali dubbi sul contenuto e sull’ambito dell’incarico. L’articolo 411 del ZPO disciplina la perizia scritta, nonché la sua illustrazione e integrazione. La valutazione della perizia, unitamente al resto del materiale probatorio, spetta al tribunale (art. 286 del Codice di procedura civile tedesco, ZPO).
Nel caso di perizie in ambito processuale penale, agli esperti si applicano gli articoli 72 e seguenti del Codice di procedura penale. Quali disposizioni siano applicabili nel procedimento concreto dipende dall’incarico e dal tipo di procedimento. La perizia informatica forense non sostituisce né la valutazione giuridica né la valutazione delle prove da parte del giudice.
Domande frequenti
LanCologne – Informatica forense per i tribunali
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.
In linea con questo argomento
- È possibile verificare se i file sono stati rinominati o spostati all’interno di un sistema?
- Qual è il valore probatorio in sede giudiziaria dei file recuperati o conservati solo in forma frammentaria?
- È possibile stabilire se un file o un'informazione sia stato stampato?
- È possibile verificare se un file è stato effettivamente aperto?