Informatica forense · Tribunali
In che modo il trasferimento su un nuovo dispositivo influisce sulla valutazione delle prove?
Durante la migrazione tra dispositivi, i dati, gli account e le impostazioni vengono in parte trasferiti, mentre vengono create nuove tracce specifiche per il dispositivo.
Per il tribunale non è determinante il numero di programmi utilizzati. Ciò che conta è quale fatto tecnico possa essere accertato in modo attendibile sulla base dei dati disponibili, come si giunga a tale accertamento e quali siano i limiti dell’interpretazione.
La questione probatoria concreta
Distinguiamo i contenuti migrati dagli artefatti creati ex novo in locale sulla base degli identificatori dei dispositivi, delle informazioni relative al backup e al trasferimento e dei riferimenti temporali.
Perché il contesto tecnico è fondamentale
Le tracce digitali non nascono in modo isolato. Il sistema operativo, l’applicazione, il servizio cloud, la rete e il contesto dell’utente possono generare lo stesso risultato visibile in modi diversi. Pertanto, un singolo timestamp, una singola voce di log o un singolo valore di database non vengono considerati come prova definitiva senza averne verificato la logica di origine. Ove necessario, vengono messe in correlazione tra loro più tracce indipendenti l’una dall’altra.
Dove si trova il limite della dichiarazione
Il fatto che un vecchio contenuto si trovi su un nuovo dispositivo non dimostra che sia stato originariamente creato su quel dispositivo.
Come LanCologne affronta la questione probatoria
In LanCologne, l’informatica forense giudiziaria parte dalla questione probatoria e non da un determinato programma di analisi. Innanzitutto si stabilisce quale fatto tecnico debba essere chiarito, quali fonti di dati siano rilevanti a tal fine e quali spiegazioni alternative debbano essere esaminate con serietà.
I dati di partenza e gli elementi probatori vengono documentati. Nella misura in cui ciò sia tecnicamente possibile, l’analisi viene effettuata su copie di sicurezza forensi verificate o su copie di lavoro adeguate. I risultati generati automaticamente non vengono accettati senza verifica qualora siano rilevanti ai fini decisionali. Sono determinanti la provenienza, la logica di generazione e il contesto del rispettivo artefatto. Se necessario, i risultati chiave vengono verificati sulla base dei dati sottostanti o mediante un secondo metodo tecnicamente adeguato.
Nella perizia si distinguono la constatazione dei fatti, l'interpretazione tecnica e la conclusione. Altrettanto importante è il limite delle affermazioni: cosa è tecnicamente provato? Cosa è solo supposto? Quali sono i risultati contrari? Quali spiegazioni alternative rimangono possibili? Cosa non è possibile stabilire sulla base dei dati disponibili?
La parte principale è redatta in modo comprensibile per i giudici e gli altri soggetti coinvolti nel procedimento che non dispongono di competenze specifiche in materia di informatica forense. La verificabilità tecnica rimane garantita. Le fonti di dati, le informazioni sull’integrità, gli artefatti e le fasi investigative essenziali per una verifica indipendente sono documentati in modo trasparente in una sezione tecnica.
Dal mandato a una dichiarazione attendibile
Risultato positivo, risultato negativo e assenza di riscontri
Una perizia giudiziaria deve rimanere aperta riguardo al risultato. Se i dati avvalorano un’ipotesi, viene spiegato in che modo. Se vi sono indizi attendibili che contraddicono l’ipotesi, anche questi vengono riportati. Se la base di dati non è sufficiente, viene espressamente indicata la mancanza di prove. Da una lacuna nei dati non viene costruita alcuna affermazione apparentemente certa.
Comprensibile per il tribunale – verificabile per il controperito
I concetti fondamentali vengono spiegati con un linguaggio comprensibile. I termini tecnici vengono utilizzati solo quando necessario e successivamente definiti. Allo stesso tempo, i principi tecnici fondamentali vengono documentati in modo tale che un esperto forense informatico indipendente possa ricostruirne il ragionamento sulla base degli stessi dati e, se necessario, riprodurlo.
Classificazione metodologica
Per l'informatica forense non esiste un elenco normativo di programmi di analisi obbligatori. Dal punto di vista tecnico sono fondamentali una base dati controllata, l'integrità, fasi investigative documentate, conclusioni verificabili e la possibilità di una verifica indipendente.
Il modulo DER.2.2 della protezione di base del BSI, intitolato „Prevenzione per l’informatica forense“, contiene utili principi di base per prepararsi a successive indagini informatiche forensi e per la raccolta delle prove in caso di incidenti di sicurezza informatica. Tuttavia, esso non costituisce in alcun modo un corpus normativo per le indagini forensi informatiche relative a reati; nemmeno l’analisi forense vera e propria rientra nell’ambito di questo modulo. Non viene pertanto presentato come uno standard forense in ambito di procedura penale.
LanCologne in qualità di perito informatico indipendente
Quando un tribunale deve far chiarire dal punto di vista tecnico una questione concreta relativa alle prove digitali, esaminiamo la base dati disponibile in modo indipendente e senza pregiudizi. L’obiettivo non è ottenere il maggior numero possibile di risultati tecnici, bensì fornire una risposta tecnicamente fondata: comprensibile per il tribunale, trasparente nella sua derivazione e tecnicamente verificabile.
Quadro giuridico
Per la prova peritali nei procedimenti civili sono determinanti, in particolare, gli articoli 402 e seguenti del Codice di procedura civile (ZPO). Ai sensi dell’articolo 404a del ZPO, il tribunale dirige l’attività del perito e può determinarne la natura e la portata. In caso di controversia sui fatti, il tribunale stabilisce quali fatti debbano costituire la base della perizia. L’art. 407a del ZPO impone al perito, tra l’altro, di verificare immediatamente se l’incarico rientri nel suo ambito di competenza; eventuali dubbi sul contenuto e sulla portata dell’incarico devono essere chiariti dal tribunale. La perizia scritta ed eventuali chiarimenti o integrazioni sono disciplinati dall’articolo 411 del ZPO. La valutazione finale della perizia, unitamente all’esito complessivo dell’assunzione delle prove, spetta al tribunale (articolo 286 del ZPO).
Nel caso di perizie in ambito processuale penale, agli esperti si applicano gli articoli 72 e seguenti del Codice di procedura penale (StPO); l’articolo 78 dello StPO riguarda la direzione giudiziaria dell’attività dell’esperto. Quali disposizioni siano applicabili nel procedimento concreto dipendono dal tipo di procedimento e dall’incarico. La perizia informatica forense non sostituisce una valutazione giuridica.
Domande frequenti
LanCologne – Informatica forense per i tribunali
Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.
In linea con questo argomento
- È possibile dimostrare se un determinato dispositivo esterno sia stato collegato a un computer?
- È possibile verificare se un determinato software è stato installato o se è stato effettivamente eseguito?
- È possibile verificare a posteriori se un software, ora disinstallato, era stato installato in precedenza?
- È possibile verificare se i dati sono stati trasmessi o recuperati tramite una condivisione di rete?