Informatica forense · Tribunali

È possibile dimostrare se una prova digitale sia stata alterata dopo il sequestro?

Nel caso di una perizia giudiziaria, può essere determinante stabilire se il corpus di dati oggetto di indagine corrisponda ancora allo stato in cui si trovava al momento del sequestro o della consegna.

Richiesta non vincolante

Per il tribunale non è rilevante il numero di programmi di analisi utilizzati. Ciò che conta è quale fatto tecnico concreto possa essere accertato in modo attendibile sulla base dei dati disponibili, come si giunga a tale accertamento e quali siano i suoi limiti.

La questione probatoria concreta

Confrontiamo gli stati di consegna documentati, le informazioni di backup, i valori hash, le caratteristiche del file system e dei container, nonché i log disponibili. Eventuali discrepanze non vengono automaticamente interpretate come manomissioni, ma vengono innanzitutto classificate dal punto di vista tecnico.

Perché una singola traccia digitale raramente è sufficiente

Gli artefatti digitali vengono generati in sistemi dotati di propri meccanismi di archiviazione, sincronizzazione e registrazione. Un singolo timestamp, una singola voce di log o un singolo valore di database non vengono quindi considerati, senza contesto, come prova definitiva. Laddove la questione probatoria lo richieda, vengono messe in correlazione diverse tracce indipendenti l’una dall’altra e vengono verificate controipotesi tecnicamente plausibili.

Dove si trova il limite della dichiarazione

Un cambiamento accertato, di per sé, non dice ancora nulla su chi lo abbia causato o se sia rilevante ai fini della questione probatoria concreta.

Come LanCologne affronta la questione probatoria

Nel metodo LanCologne, l'analisi inizia dalla questione probatoria giudiziaria e non da un determinato programma di analisi. Innanzitutto si chiarisce quale fatto tecnico debba essere accertato, quali fonti di dati siano rilevanti a tal fine e quali ipotesi contrarie debbano essere prese in considerazione.

Le prove e i dati di partenza vengono documentati in modo univoco. Nella misura in cui ciò sia tecnicamente possibile, l’analisi viene effettuata su copie di sicurezza forensi verificate o su copie di lavoro adeguate. I risultati rilevanti ai fini decisionali non vengono accettati solo perché segnalati da un software. Verifichiamo la provenienza, la logica di generazione e il contesto dell’artefatto e, se necessario, controlliamo i risultati chiave sulla base dei dati sottostanti o di un secondo metodo tecnicamente adeguato.

Nella perizia vengono distinti tra loro i risultati fattuali, l’interpretazione tecnica e le conclusioni. Viene descritto con altrettanta chiarezza anche il limite delle affermazioni: cosa è possibile dimostrare? Cosa è solo supportato da prove? Quali sono i risultati contrari? Cosa rimane in sospeso? La mancata dimostrazione di un fatto non viene reinterpretata come un’affermazione apparentemente certa.

La parte principale viene redatta in modo tale che un giudice privo di conoscenze specialistiche in informatica forense possa comprenderne il ragionamento. La verificabilità tecnica rimane garantita. Le fonti di dati rilevanti ai fini della verifica, le informazioni sull’integrità, gli artefatti e le fasi dell’indagine vengono documentati in modo tale che un perito informatico forense indipendente possa ricostruire le conclusioni fondamentali ai fini di un’eventuale controperizia.

Dal mandato giudiziario alla testimonianza attendibile

Risultati positivi, risultati negativi e assenza di riscontri

Un risultato scientifico deve essere aperto a diverse conclusioni. Se i dati confermano l’ipotesi da verificare, viene spiegato su quali basi essa si fonda. Se invece vi sono prove concrete che contraddicono tale ipotesi, anche queste vengono presentate. Qualora la base di dati non sia sufficiente per giungere a una conclusione certa, ciò viene definito come «mancanza di prove» o «questione tecnica aperta». È proprio questa distinzione che impedisce che da una lacuna nei dati derivi un'affermazione apparentemente certa.

Comprensibile per il tribunale – verificabile dal punto di vista tecnico da un controperito

Il nucleo tecnico viene illustrato con un linguaggio comprensibile. I termini specialistici vengono utilizzati solo dove necessario e successivamente contestualizzati. Allo stesso tempo, vengono mantenuti i fondamenti tecnici fondamentali: fonti di dati esaminate, artefatti rilevanti, informazioni sull’integrità, riferimenti temporali e fasi metodologiche. Un esperto di informatica forense estraneo alla procedura deve poter verificare il ragionamento, senza che il testo principale diventi per il tribunale una semplice raccolta di dati tecnici grezzi.

Classificazione metodologica

Per l'informatica forense giudiziaria non esiste un elenco normativo di programmi di analisi obbligatori. Dal punto di vista tecnico, sono fondamentali una base dati controllata, l'integrità, fasi investigative documentate, conclusioni verificabili e la possibilità di una verifica indipendente.

Il modulo DER.2.2 della protezione di base del BSI, intitolato „Misure preventive per l’informatica forense“, contiene utili principi di base per prepararsi a successive indagini forensi e per la raccolta delle prove in caso di incidenti di sicurezza informatica. Tuttavia, non si tratta di uno standard forense in materia di procedura penale; l’analisi forense vera e propria non rientra nell’ambito di questo modulo. Tale distinzione viene espressamente rispettata.

LanCologne in qualità di perito informatico indipendente

Quando un tribunale deve far chiarire dal punto di vista tecnico una questione concreta relativa alle prove digitali, esaminiamo la base dati disponibile in modo indipendente e senza pregiudizi. L’obiettivo non è quello di raccogliere il maggior numero possibile di risultati tecnici, bensì di fornire una risposta tecnicamente fondata: comprensibile per il tribunale, trasparente nel suo ragionamento e tecnicamente verificabile.

Per la prova peritali nei procedimenti civili sono rilevanti, in particolare, gli articoli 402 e seguenti del ZPO. L’articolo 403 del ZPO riguarda la definizione degli aspetti oggetto della perizia. Ai sensi dell’articolo 404a del ZPO, il tribunale dirige l’attività del perito e può determinarne la natura e la portata. L’articolo 407a del ZPO stabilisce gli obblighi del perito, tra cui quello di verificare la propria area di competenza e di chiarire eventuali dubbi sul contenuto e sull’ambito dell’incarico. L’articolo 411 del ZPO disciplina la perizia scritta, nonché la sua illustrazione e integrazione. La valutazione della perizia, unitamente al resto del materiale probatorio, spetta al tribunale (art. 286 del Codice di procedura civile tedesco, ZPO).

Nel caso di perizie in ambito processuale penale, agli esperti si applicano gli articoli 72 e seguenti del Codice di procedura penale. Quali disposizioni siano applicabili nel procedimento concreto dipende dall’incarico e dal tipo di procedimento. La perizia informatica forense non sostituisce né la valutazione giuridica né la valutazione delle prove da parte del giudice.

Domande frequenti

LanCologne – Informatica forense per i tribunali

Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.

Contattaci subito