Informatica forense · Tribunali

Come si fa a conservare le prove digitali in modo che l'indagine rimanga verificabile in un secondo momento?

La qualità di una perizia inizia prima dell’analisi. Se un supporto dati viene modificato inutilmente, in seguito potrebbe non essere più possibile stabilire con certezza quali tracce fossero già presenti e quali siano state generate dall’esame.

Richiesta non vincolante

Per questo motivo documentiamo lo stato dei dati al momento dell’acquisizione, identifichiamo in modo univoco le prove e, nella misura in cui ciò sia tecnicamente possibile, creiamo copie forensi o immagini. I valori di integrità servono a verificare in modo tracciabile la corrispondenza e l’inalterabilità del set di dati salvato.

Nel caso di smartphone moderni, computer con dati crittografati o sistemi in esecuzione, un backup completamente senza scrittura potrebbe non essere sempre tecnicamente possibile. In tali casi, gli interventi necessari, il loro scopo e le loro possibili ripercussioni vengono documentati in modo trasparente.

La questione probatoria vera e propria

Perché una copia di lavoro è così importante?

I programmi di analisi, i sistemi operativi e i driver dei file system possono modificare i dati durante l'apertura o il montaggio. Per questo motivo, l'analisi vera e propria viene sempre eseguita su una copia di lavoro o su un set di dati verificato.

L'originale viene conservato per eventuali verifiche successive, nella misura in cui le condizioni tecniche lo consentano.

Dove si trova il limite della dichiarazione

Un valore hash attesta l'integrità di un determinato insieme di dati, non la veridicità del contenuto delle informazioni ivi memorizzate.

Perché LanCologne?

Nel caso di incarichi giudiziari, per noi non è determinante quale programma di analisi mostri per primo un risultato positivo. Ciò che conta è se sia possibile fornire una risposta tecnica alla questione probatoria e se tale risposta regga a una verifica indipendente.

Lavoriamo senza pregiudizi, documentiamo la provenienza dei risultati determinanti e verifichiamo spiegazioni tecniche alternative. L’analisi vera e propria viene effettuata di norma su una copia forense o su un insieme di dati acquisito in modo da garantirne la validità probatoria. Gli originali non vengono esaminati direttamente se non in caso di stretta necessità. Laddove siano tecnicamente necessari interventi in tempo reale, le eventuali modifiche che ne derivano vengono espressamente documentate.

A seconda della questione da chiarire, i risultati determinanti vengono verificati mediante un secondo metodo adeguato dal punto di vista tecnico oppure direttamente sulla base dei dati grezzi sottostanti. La scelta degli strumenti da utilizzare a tal fine dipende dagli elementi probatori e dalla questione da chiarire. Sono determinanti l’idoneità, il riconoscimento tecnico e la tracciabilità del metodo – non il nome di un prodotto.

La nostra perizia distingue tra i risultati fattuali, la valutazione tecnica e le incertezze residue. L’assenza di prove viene motivata con la stessa cura con cui viene motivata una prova positiva.

Ecco come operiamo in caso di incarichi giudiziari

Il nostro metodo di lavoro: dall’incarico giudiziario alla risposta

1Verificare l'oggetto della causa e la questione probatoria

In primo luogo verifichiamo se la questione rientri nella nostra area di competenza, quali siano i fatti su cui si basa il tribunale e se il contenuto o la portata dell’incarico siano chiari. In caso di dubbi, il tribunale provvede a chiarire la questione. Ciò è conforme agli articoli 404a e 407a del Codice di procedura civile tedesco (ZPO).

2Verificare l'indipendenza

Eventuali motivi che potrebbero far sorgere dubbi sull’imparzialità vengono esaminati prima dell’inizio dell’istruttoria e, se del caso, comunicati al tribunale.

3Registrare in modo univoco i mezzi di prova

Vengono identificati e documentati i dispositivi, i supporti dati, i backup e i file messi a disposizione. Viene registrato lo stato in cui si trova l'oggetto dell'indagine.

4Garantire l'integrità dei dati

Nella misura in cui ciò sia tecnicamente possibile, viene creata una copia forense o un'immagine forense. I valori hash e altri controlli di integrità servono a garantire un'attribuzione univoca. L'originale viene conservato per eventuali verifiche successive.

5Dedurre le ipotesi di verifica dalla questione da dimostrare

Stabiliamo quali tracce potrebbero avvalorare l’evento denunciato, quali risultati contrari siano ipotizzabili e quali spiegazioni tecniche alternative debbano essere esaminate.

6Analizzare le fonti di dati rilevanti

Vengono esaminati solo quei reperti che presentano un valore probatorio dal punto di vista tecnico. I risultati automatici non vengono accettati senza essere stati verificati.

7Convalidare i risultati in modo indipendente

Le constatazioni rilevanti ai fini della decisione vengono – se necessario – verificate mediante un secondo metodo riconosciuto, un altro approccio tecnico o direttamente sulla base dei dati grezzi.

8Determinare i limiti di affidabilità

Verifichiamo espressamente quali conclusioni non sia possibile trarre dai dati. Vengono indicati i dati mancanti, la possibile cancellazione, i limiti tecnici, le estrazioni incomplete o le tracce contraddittorie.

9Rispondere in modo chiaro alla questione probatoria

La conclusione finale deriva dai risultati documentati. Non viene formulata in termini più decisi di quanto i dati consentano.

10Allegare l'allegato tecnico

Il testo principale rimane comprensibile anche per chi non è esperto di informatica forense. L'appendice tecnica contiene le informazioni necessarie a un esperto indipendente di informatica forense per effettuare una verifica tecnica o redigere una controperizia.

Quadro giuridico

Articoli 404a, 407a e 411 del Codice di procedura civile (ZPO). Il BSI descrive l’informatica forense come un’analisi rigorosamente metodica volta alla raccolta, all’elaborazione e all’analisi delle tracce digitali in vista di un eventuale procedimento giudiziario successivo.

Il perito fornisce le basi fattuali tecniche. La valutazione giuridica e la valutazione finale delle prove rimangono di competenza del tribunale.

Domande frequenti

Come si fa a conservare le prove digitali in modo che l'indagine rimanga verificabile in un secondo momento?+
La qualità di una perizia inizia prima dell’analisi. Se un supporto dati viene modificato inutilmente, in seguito potrebbe non essere più possibile stabilire con certezza quali tracce fossero già presenti e quali siano state generate dall’esame.
Come si svolge in pratica un’indagine tecnica di questo tipo?+
Il nostro metodo di lavoro – dall’incarico giudiziario alla risposta. Verifichiamo innanzitutto se la questione rientra nella nostra area di competenza, quali fatti il tribunale abbia preso come base e se il contenuto o la portata dell’incarico siano chiari.
Il risultato dell'indagine garantisce una conclusione inequivocabile per il tribunale?+
Un valore hash attesta l'integrità di un determinato insieme di dati, non la veridicità del contenuto delle informazioni ivi memorizzate.
Esiste una base giuridica in merito?+
Articoli 404a, 407a e 411 del Codice di procedura civile (ZPO). Il BSI descrive la digital forensics come un’analisi rigorosamente metodica volta alla raccolta, all’elaborazione e all’analisi delle tracce digitali in vista di un eventuale successivo procedimento giudiziario. Il perito fornisce la base fattuale specialistica.

LanCologne – Informatica forense per i tribunali

Avete bisogno di una perizia tecnica indipendente in merito a una questione probatoria in sede giudiziaria? LanCologne analizza le tracce digitali in modo oggettivo, trasparente e riproducibile. Documentiamo sia i risultati positivi che l’assenza di prove e i limiti tecnici, in modo tale che la conclusione risulti comprensibile per il tribunale e verificabile dal punto di vista tecnico da parte di un esperto forense informatico indipendente.

Contattaci subito