Prove digitali di valore legale: acquisire, conservare, analizzare

Un dato può essere tecnicamente vero e legalmente inutile. La differenza non sta in cosa ha trovato, ma in come lo ha trovato, conservato e documentato. Un log recuperato bene può decidere una causa; lo stesso log recuperato male è rumore che la controparte smonterà in pochi minuti.

La digital forensics che regge in tribunale non è un esercizio di strumenti, ma di metodo: integrità, riproducibilità e tracciabilità. Chiunque, con lo stesso materiale e lo stesso procedimento, deve poter arrivare alle Sue stesse conclusioni. Se questo non è possibile, l’analisi vale poco, per quanto sia stata brillante.

Acquisizione: prima la copia, mai l’originale

Non si analizza mai il supporto originale. Si crea un’immagine forense: una copia bit-a-bit dell’intero dispositivo, incluse le aree non allocate dove sopravvivono spesso frammenti di file cancellati. In fase di acquisizione si usa un write blocker per impedire qualsiasi scrittura sull’originale, e si calcola un hash crittografico — tipicamente SHA-256 — sia della sorgente sia della copia. Se gli hash coincidono, ha la prova matematica che la copia è identica all’originale, bit per bit; se un domani qualcuno contesta che i dati sono stati alterati, l’hash risponde per Lei senza bisogno che sia una persona a garantirlo. È la differenza tra affermare che nulla è cambiato e dimostrarlo.

L’ordine di volatilità conta anche qui

La stessa logica dei primi minuti di un incidente vale per l’acquisizione: raccolga prima ciò che è più volatile. Memoria e stato di sistema svaniscono allo spegnimento; dischi e log persistono. Per un sistema acceso e rilevante, una copia della memoria presa correttamente può valere quanto l’immagine del disco — e non sarà più recuperabile dopo.

Conservazione e catena di custodia

L’originale, una volta acquisito, va sigillato e conservato: si lavora sempre sulle copie, mai sul reperto autentico. Ogni passaggio — chi ha preso il dispositivo, quando, da dove, dove è custodito, chi vi ha avuto accesso — deve essere documentato in una catena di custodia continua e senza buchi. Un solo anello mancante consente all’altra parte di sostenere che la prova possa essere stata manomessa, e spesso tanto basta per escluderla. Non conta che la manomissione sia davvero avvenuta: conta che non può dimostrare che non sia avvenuta. In un procedimento, il dubbio ragionevole vive esattamente in quello spazio.

Riproducibilità e standard

Il metodo va documentato così da poter essere ripetuto da un altro perito con esiti equivalenti. Qui aiutano gli standard internazionali: la serie ISO/IEC 27037 per identificazione, raccolta, acquisizione e conservazione delle prove digitali, e i correlati 27041, 27042 e 27043 su idoneità del metodo, analisi e principi del processo investigativo. Non sono burocrazia: sono il linguaggio comune che rende il Suo lavoro verificabile da terzi.

Analisi che regge al contraddittorio

L’analisi non è solo trovare l’artefatto, ma spiegare cosa dimostra e cosa no. Correlazione non è causalità; un timestamp può essere manipolato; l’assenza di una traccia non è sempre prova di assenza. Un’analisi solida distingue i fatti dalle inferenze e dichiara le proprie assunzioni, perché sarà messa alla prova da una controparte che cerca esattamente le crepe.

Conta anche la disciplina nel non spingersi oltre il dato. La tentazione di raccontare una storia lineare — chi, come, perché — è forte, ma ogni passo che non poggia su un’evidenza verificabile è un fianco scoperto. Meglio una conclusione più stretta e inattaccabile che una più ampia e fragile: in aula, un’unica affermazione smontata mette in dubbio tutte le altre. La misura del lavoro non è quanto afferma, ma quanto di ciò che afferma resiste all’esame.

Il perito come expert witness

Alla fine, la prova viene spiegata a chi non è tecnico. Il perito — nel processo italiano il consulente tecnico, d’ufficio o di parte — deve tradurre l’evidenza in termini chiari, restare imparziale e dichiarare apertamente i limiti dell’analisi. Un expert witness credibile non è quello che afferma con più sicurezza, ma quello che il giudice può capire e la controparte fatica a contraddire.

In sintesi

La prova digitale di valore legale nasce dal metodo: copia bit-a-bit con write blocker, hash a garanzia dell’integrità, catena di custodia senza buchi, procedure documentate e riproducibili secondo standard riconosciuti, analisi che separa fatti e inferenze. Se costruisce la prova pensando a chi la contesterà, reggerà. Altrimenti, non importa quanto fosse vera.