PARLACI DEL TUO CASO Digital Forensics e preservazione delle prove digitali
Hai una chat, un’e-mail, una fotografia, un video, un file o un dispositivo che potrebbe diventare importante? Prima di cancellare, inoltrare, resettare o tentare recuperi, è utile capire come preservare correttamente ciò che può avere valore.
Prima di intervenire sul dispositivo o sul contenuto, fermati un momento.
Un’operazione fatta in buona fede può modificare dati, cronologie o informazioni tecniche. Se il contenuto può diventare rilevante, è meglio valutare prima come procedere.
Quando chiamarci per una prova digitale.
Tre situazioni in cui è meglio fermarsi e valutare prima di intervenire. Non sempre serve una perizia completa: prima occorre capire quale informazione digitale deve essere preservata, verificata o ricostruita.
Hai un contenuto che potrebbe servirti?
Chat, e-mail, fotografie, video, file o dati presenti su un dispositivo possono diventare rilevanti in una controversia o in un’attività investigativa.
È successo qualcosa sui dati o su un dispositivo aziendale?
Cancellazioni, sottrazione di informazioni, utilizzi anomali o eventi digitali possono richiedere una ricostruzione tecnica mirata.
Serve preservare e comprendere un elemento digitale?
La valutazione iniziale aiuta a capire quale materiale esiste e quale procedura tecnica sia più appropriata prima che perda contesto o venga modificato.
Non esiste una sola “analisi del dispositivo”.
Attività e fattibilità dipendono dal supporto disponibile, dallo stato dei dati e dalla finalità dell’incarico.
Smartphone e tablet
Valutazione di dati pertinenti presenti su dispositivi mobili legittimamente disponibili, nei limiti tecnici del caso.
Computer e supporti digitali
Preservazione e analisi di informazioni presenti su computer, memorie e altri supporti pertinenti all’incarico.
Chat, file, fotografie e documenti
Approfondimenti su contenuti, proprietà tecniche, cronologie e informazioni associate quando rilevanti.
Origine, integrità o possibile manipolazione
In presenza di file, immagini, video o audio sospetti può essere valutata la necessità di specifici approfondimenti tecnici, senza promettere conclusioni prima dell’esame.
Un risultato tecnico deve essere anche comprensibile.
L’obiettivo non è consegnare una massa di dati, ma documentare ciò che è stato fatto, ciò che è emerso e gli eventuali limiti incontrati.
In base all’attività, la restituzione può comprendere
- descrizione delle operazioni eseguite;
- elementi digitali ritenuti pertinenti;
- informazioni tecniche e contesto disponibile;
- limiti o criticità emersi durante l’analisi;
- relazione ordinata delle risultanze.
Prima si definisce cosa deve essere preservato. Poi si interviene.
La domanda
Definiamo l’evento o l’informazione che deve essere chiarita.
Il materiale disponibile
Valutiamo dispositivo, condizioni tecniche e presupposti dell’intervento.
Prima del contenuto
Quando necessario, si definiscono modalità finalizzate a limitare alterazioni non necessarie.
Solo ciò che serve
L’attività viene focalizzata sugli elementi coerenti con l’obiettivo dell’incarico.
Attività e risultanze
Quanto emerso viene organizzato in modo comprensibile e documentato.
Non sempre serve una perizia. E non tutto ciò che è tecnicamente possibile è legittimamente eseguibile.
Le attività vengono valutate in base a disponibilità del dispositivo, finalità dell’incarico, pertinenza e fattibilità tecnica.
Non vengono effettuati accessi abusivi, aggiramenti illeciti di credenziali o acquisizioni indiscriminate di dati appartenenti a soggetti terzi.
Una fotografia, uno screenshot o una chat non diventano automaticamente una prova forte perché esistono: provenienza, contesto e modalità di acquisizione possono assumere rilievo nella valutazione complessiva.
Prima si capisce cosa serve. Poi si definisce il preventivo.
Un’acquisizione circoscritta, un dispositivo complesso e un insieme articolato di dati richiedono attività differenti. Per questo il costo viene definito dopo una prima valutazione.
Tipo e condizioni
Smartphone, computer, memoria o altro supporto possono richiedere modalità operative differenti.
Cosa deve essere verificato
Un’attività mirata e un’analisi articolata hanno profondità, tempi e costi differenti.
Volume e stato dei dati
Quantità di informazioni, condizioni del dispositivo e difficoltà tecniche incidono sul lavoro necessario.
Digital Forensics: i dubbi più comuni.
Che cos’è la Digital Forensics?
È l’insieme di attività tecniche finalizzate, a seconda del caso, alla preservazione, acquisizione e analisi di informazioni digitali pertinenti a una specifica esigenza.
È possibile analizzare smartphone e computer?
Può essere valutato quando il dispositivo è legittimamente disponibile e l’attività richiesta presenta presupposti, finalità e fattibilità compatibili con l’intervento.
Potete recuperare qualsiasi dato cancellato?
No. La possibilità di recupero dipende dal dispositivo, dal sistema, dallo stato dei dati e dalle operazioni avvenute successivamente. Nessun recupero può essere garantito in anticipo.
Uno screenshot è sufficiente come prova digitale?
Può contenere un’informazione utile, ma provenienza, contesto, modalità di acquisizione e altri elementi possono assumere importanza nella valutazione complessiva.
Posso continuare a usare il dispositivo prima dell’analisi?
Dipende dal caso. Se l’obiettivo è preservare informazioni potenzialmente rilevanti, continuare a utilizzare il dispositivo può modificare alcuni dati. È preferibile chiedere indicazioni prima di intervenire.
Hai un dispositivo o dei dati che potrebbero essere importanti?
Raccontami cosa è successo e quale informazione devi preservare o verificare. Il primo confronto serve a capire quale intervento abbia realmente senso prima di effettuare tentativi, cancellazioni o ripristini.