Informatica forense · Tribunali
In che modo un perito informatico verifica una presunta catena di eventi quando le prove digitali si contraddicono a vicenda?
I fatti oggetto di contenzioso non possono sempre essere spiegati da un'unica traccia digitale coerente. Proprio i risultati contraddittori richiedono una verifica metodica della plausibilità.
Per il tribunale non è rilevante il numero di programmi di analisi utilizzati. Ciò che conta è quale fatto tecnico concreto possa essere accertato in modo attendibile sulla base dei dati disponibili, come si giunga a tale accertamento e quali siano i suoi limiti.
La questione probatoria concreta
Classifichiamo ogni fonte in base alla sua logica di origine e alla sua rilevanza, verifichiamo i riferimenti temporali, le dipendenze e le possibili spiegazioni tecniche alternative, ed esaminiamo quali catene di eventi siano compatibili con tutti i risultati attendibili.
Perché una singola traccia digitale raramente è sufficiente
Gli artefatti digitali vengono generati in sistemi dotati di propri meccanismi di archiviazione, sincronizzazione e registrazione. Un singolo timestamp, una singola voce di log o un singolo valore di database non vengono quindi considerati, senza contesto, come prova definitiva. Laddove la questione probatoria lo richieda, vengono messe in correlazione diverse tracce indipendenti l’una dall’altra e vengono verificate controipotesi tecnicamente plausibili.
Dove si trova il limite della dichiarazione
Il perito non deve risolvere una contraddizione ignorando gli indizi scomodi. Se permangono diverse spiegazioni tecnicamente plausibili, tale incertezza deve essere parte integrante del risultato.
Come LanCologne affronta la questione probatoria
In LanCologne, un’indagine forense informatica giudiziaria inizia con la questione probatoria e non con un determinato programma di analisi. Innanzitutto si chiarisce quale fatto tecnico debba essere accertato, quali fonti di dati siano effettivamente rilevanti a tal fine e quali ipotesi contrarie debbano essere prese in considerazione.
Le prove e i dati di partenza vengono documentati in modo univoco. Ove tecnicamente possibile, l’analisi viene effettuata su copie di sicurezza forensi verificate o su copie di lavoro adeguate. I risultati rilevanti ai fini della decisione non vengono accettati solo perché segnalati da un software. Vengono verificati l’origine, la logica di formazione e il contesto dell’artefatto; se necessario, i risultati chiave vengono controllati sulla base dei dati sottostanti o mediante un secondo metodo tecnicamente adeguato.
Nella perizia vengono distinti tra loro i risultati fattuali, l’interpretazione tecnica e le conclusioni. Viene descritto con altrettanta chiarezza anche il limite delle affermazioni: cosa è possibile dimostrare? Cosa è solo supportato da prove? Quali sono i risultati contrari? Cosa rimane in sospeso? La mancata dimostrazione di un fatto non viene reinterpretata come un’affermazione apparentemente certa.
La parte principale viene redatta in modo tale che un giudice privo di conoscenze specialistiche in informatica forense possa comprenderne il ragionamento. La verificabilità tecnica rimane garantita. Le fonti di dati rilevanti ai fini della verifica, le informazioni sull’integrità, gli artefatti e le fasi dell’indagine vengono documentati in modo tale che un perito informatico forense indipendente possa ricostruire le conclusioni principali nell’ambito di un’eventuale controperizia.
Dal mandato giudiziario alla testimonianza attendibile
Risultati positivi, risultati negativi e assenza di riscontri
Un risultato scientifico deve essere aperto a diverse conclusioni. Se i dati confermano l’ipotesi da verificare, viene spiegato su quali basi essa si fonda. Se invece vi sono prove concrete che contraddicono tale ipotesi, anche queste vengono presentate. Qualora la base di dati non sia sufficiente per giungere a una conclusione certa, ciò viene definito come «mancanza di prove» o «questione tecnica aperta». È proprio questa distinzione che impedisce che da una lacuna nei dati derivi un'affermazione apparentemente certa.
Comprensibile per il tribunale – verificabile dal punto di vista tecnico da un controperito
Il nucleo tecnico viene illustrato con un linguaggio comprensibile. I termini specialistici vengono utilizzati solo dove necessario e successivamente contestualizzati. Allo stesso tempo, vengono mantenuti i fondamenti tecnici fondamentali: fonti di dati esaminate, artefatti rilevanti, informazioni sull’integrità, riferimenti temporali e fasi metodologiche. Un esperto di informatica forense estraneo alla procedura deve poter verificare il ragionamento, senza che il testo principale diventi per il tribunale una semplice raccolta di dati tecnici grezzi.
Classificazione metodologica
Per l'informatica forense giudiziaria non esiste un elenco normativo di programmi di analisi obbligatori. Dal punto di vista tecnico, sono fondamentali una base dati controllata, l'integrità, fasi investigative documentate, conclusioni verificabili e la possibilità di una verifica indipendente.
Il modulo DER.2.2 della protezione di base del BSI, intitolato „Misure preventive per l’informatica forense“, contiene utili principi di base per prepararsi a successive indagini forensi e per la raccolta di prove in caso di incidenti di sicurezza informatica. Tuttavia, non si tratta di uno standard forense in materia di procedura penale; il modulo chiarisce espressamente che l’analisi forense vera e propria non rientra nel suo ambito di applicazione e che non si riferisce alle indagini forensi informatiche relative a reati penali.
LanCologne in qualità di perito informatico indipendente
Quando un tribunale deve far chiarire dal punto di vista tecnico una questione concreta relativa alle prove digitali, esaminiamo la base dati disponibile in modo indipendente e senza pregiudizi. L’obiettivo non è quello di raccogliere il maggior numero possibile di risultati tecnici, bensì di fornire una risposta tecnicamente fondata: comprensibile per il tribunale, trasparente nel suo ragionamento e tecnicamente verificabile.
Quadro giuridico
Per la prova peritali nei procedimenti civili sono determinanti, in particolare, gli articoli 402 e seguenti del ZPO. L’articolo 403 del ZPO subordina la presentazione della prova all’indicazione dei punti oggetto di perizia. Ai sensi dell’art. 404a del ZPO, il tribunale dirige l’attività del perito; in caso di controversia, determina i fatti su cui deve basarsi la perizia. L’art. 407a del Codice di procedura civile (ZPO) impone al perito, tra l’altro, di verificare se l’incarico rientri nella sua area di competenza, di comunicare eventuali motivi che potrebbero giustificare sospetti circa la sua imparzialità e, in caso di dubbi sul contenuto e sulla portata dell’incarico, di richiedere un chiarimento immediato da parte del tribunale. L’articolo 411 del ZPO disciplina la perizia scritta, nonché la sua illustrazione o integrazione. La valutazione della perizia, unitamente al resto del materiale probatorio, rimane di competenza del tribunale (articolo 286 del ZPO).
Qualora la perizia venga effettuata nell’ambito di un procedimento penale, agli esperti si applicano gli articoli 72 e seguenti del Codice di procedura penale (StPO). La concreta qualificazione processuale dipende dal mandato e dal procedimento in questione. Il nostro compito consiste nel fornire una risposta specialistica alla questione probatoria tecnica; tale risposta non sostituisce né la valutazione giuridica né la valutazione probatoria da parte del giudice.
Domande frequenti
LanCologne – Informatica forense per i tribunali
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.
In linea con questo argomento