Catena di custodia e ammissibilità legale

La catena di custodia è la documentazione cronologica che traccia la raccolta, il trasferimento, la conservazione e l'analisi delle prove dal momento della loro scoperta fino alla presentazione in tribunale o all'archiviazione. Risponde alle seguenti domande: chi ha raccolto le prove, quando, da dove, come sono state gestite, chi vi ha avuto accesso e dove sono state conservate. Una catena di custodia ininterrotta dimostra che le prove non sono state manomesse o alterate dopo la raccolta, aspetto essenziale per la loro ammissibilità legale.

Ogni elemento di prova richiede un proprio modulo della catena di custodia, che deve essere compilato a ogni trasferimento. I campi obbligatori includono: identificativo univoco della prova, descrizione dell'elemento, numero del caso, data e ora della raccolta, nome e recapiti del responsabile della raccolta, luogo in cui la prova è stata raccolta, valori degli hash crittografici, firma di ogni persona che riceve o trasferisce la prova e luogo di conservazione sicuro. Lacune o incongruenze nel modulo indeboliscono il caso giudiziario.

Una gestione corretta previene la contaminazione delle prove. Le best practice includono: indossare guanti antistatici quando si maneggia hardware fisico (le scariche elettrostatiche possono distruggere componenti elettronici e dati), utilizzare sacchetti antistatici per conservare i supporti elettronici, inserire le prove in imballaggi antimanomissione (buste per prove sigillate con nastro per prove e firmate trasversalmente sul sigillo), conservarle in un luogo sicuro con accesso controllato e registro degli accessi e non aprire mai l'imballaggio delle prove senza la presenza di un testimone.

Per essere ammesse nei procedimenti giudiziari, le prove digitali devono soddisfare diversi criteri. Le prove devono essere autentiche, cioè dimostrabilmente corrispondenti a ciò che dichiarano di essere (verifica dell'hash). Devono essere affidabili, cioè raccolte con strumenti convalidati e procedure documentate. Devono essere complete: deve essere preservato il contesto completo, non solo alcune parti selezionate. Devono essere comprensibili, cioè presentate in un modo che il tribunale possa capire. Inoltre, la catena di custodia deve essere ininterrotta: ogni responsabile della custodia deve essere documentato dalla raccolta fino al tribunale.

Quando gli incidenti coinvolgono attività criminali, le forze dell'ordine (FBI, Secret Service, unità locali per la criminalità informatica) possono richiedere le prove. Prima di trasferire le prove, consultate un consulente legale per garantire la conformità alle citazioni in giudizio e agli ordini di conservazione. Le forze dell'ordine possono chiedere alle organizzazioni di conservare le prove sul posto invece di eliminarle, anche se ciò ritarda il ripristino. Comprendere il processo di conservazione legale e avere rapporti già stabiliti con i referenti delle forze dell'ordine accelera il coordinamento durante un incidente in corso.

Una conservazione legale (conservazione per contenzioso) è una comunicazione che sospende la normale distruzione o sovrascrittura dei documenti rilevanti per un contenzioso previsto o in corso. Quando un'organizzazione riceve una notifica di contenzioso o prevede un contenzioso derivante da una violazione, deve attuare immediatamente una conservazione legale, preservando tutte le prove potenzialmente rilevanti, incluse e-mail, log, immagini forensi e configurazioni dei sistemi. La mancata attuazione della conservazione legale e la conseguente distruzione delle prove possono comportare sanzioni per spoliation: i tribunali possono invitare le giurie a trarre conclusioni negative.

Le prove digitali devono rispettare le regole probatorie. L'autenticazione richiede di dimostrare che la prova corrisponde a ciò che sostiene chi la presenta; la verifica dell'hash e la documentazione della catena di custodia servono a questo scopo. I documenti generati dal computer (log, report automatici) possono essere contestati come testimonianze indirette, ma spesso sono ammissibili come documenti aziendali in base alle eccezioni alle regole sulle testimonianze indirette. I periti (analisti forensi) testimoniano sulle modalità di raccolta e analisi delle prove, e la loro metodologia deve superare il controinterrogatorio secondo gli standard Daubert nei tribunali statunitensi.

Le prove devono essere conservate in modo sicuro per tutta la durata del procedimento legale, che può protrarsi per anni oltre l'incidente iniziale. Le prove fisiche richiedono: un'area di conservazione chiusa a chiave e climatizzata, con registri degli accessi; sigilli antimanomissione sostituiti con relativa documentazione ogni volta che si accede alle prove; e protezione dai rischi ambientali (umidità, calore, campi magnetici). Le prove digitali (immagini disco, file PCAP) devono essere conservate su supporti a scrittura singola, con checksum verificati periodicamente per rilevare il deterioramento del supporto.

Nei procedimenti penali o nelle controversie civili, gli analisti forensi possono essere chiamati come periti per spiegare i propri metodi e risultati a un giudice o a una giuria. I periti devono essere qualificati, dimostrando istruzione, formazione ed esperienza nell'informatica forense. La loro metodologia deve essere scientificamente valida e applicata in modo coerente. I rapporti forensi devono essere obiettivi, riproducibili e scritti in un linguaggio accessibile ai responsabili delle decisioni non tecnici. La difesa contesterà la metodologia, la validità degli strumenti e la catena di custodia durante il controinterrogatorio.

Gli standard probatori differiscono tra le indagini aziendali interne e i procedimenti penali. Le indagini interne si svolgono in base al diritto del lavoro e alle politiche aziendali: lo standard consiste in ciò che è sufficiente per giustificare un provvedimento delle risorse umane. Le indagini penali richiedono standard probatori più elevati, necessari per sostenere un'accusa oltre ogni ragionevole dubbio. Le prove raccolte da investigatori privati (privi dei poteri delle forze dell'ordine) possono essere ammissibili in tribunale, ma devono essere raccolte legalmente: in genere i dipendenti non possono aspettarsi la tutela della privacy sui sistemi aziendali riguardo ai quali sono stati informati che sarebbero stati monitorati.

Le indagini digitali spesso attraversano i confini internazionali, perché gli aggressori instradano il traffico attraverso server situati in più Paesi. Ciò crea diverse complicazioni: per ottenere prove da server esteri sono necessari trattati di mutua assistenza giudiziaria (MLAT) tra i Paesi; ai provider cloud può essere legalmente vietato divulgare dati senza ordinanze dei tribunali locali; e il GDPR limita il trasferimento di dati personali al di fuori dell'UE. Quando gli incidenti coinvolgono attività transfrontaliere, le organizzazioni dovrebbero collaborare con consulenti legali esperti di diritto internazionale in materia di criminalità informatica.

Verificate la vostra comprensione dei concetti di CompTIA Security+ (SY0-701) presentati in questa lezione.

In questa lezione avete imparato che: la documentazione della catena di custodia tiene traccia di ogni responsabile della custodia e di ogni trasferimento, dalla raccolta fino alla presentazione in tribunale; la conservazione legale deve essere attuata immediatamente quando si prevede un contenzioso, per evitare sanzioni per spoliation; e le prove digitali devono essere autentiche, affidabili e complete, verificate tramite hash crittografici per poter essere ammesse legalmente. Nella prossima lezione esamineremo gli artefatti forensi di Windows, inclusi il Registro di sistema, i log degli eventi e i file Prefetch.