Copia Forense e utilizzo

Cos’ è una Copia forense e a cosa serve

Una copia forense è una riproduzione esatta, bit per bit, del contenuto di un dispositivo di memorizzazione (come un hard disk, una chiavetta USB, uno smartphone, o anche dati da servizi cloud e siti web), realizzata con metodologie specifiche che ne garantiscono l’integrità, l’autenticità e l’immodificabilità. A differenza di una semplice “copia e incolla”, che potrebbe alterare metadati o non acquisire dati cancellati o frammenti presenti nello spazio non allocato, la copia forense crea una “immagine disco” completa di ogni singolo bit, comprese le aree non visibili all’utente.

L’obiettivo primario di una copia forense è preservare l’originalità e l’integrità della prova digitale, in modo che possa essere utilizzata in un procedimento giudiziario (penale o civile) senza contestazioni sulla sua autenticità.

Metodologie e Norme in Italia

In Italia, l’informatica forense e la gestione delle prove digitali sono regolamentate da principi e norme che mirano a garantire la validità e l’ammissibilità delle prove in tribunale.

Principi Fondamentali:

• Inalterabilità dell’originale: Il dispositivo o il dato originale non deve essere in alcun modo modificato o danneggiato durante il processo di acquisizione. Si lavora sempre su una copia forense.
• Identicità e completezza: La copia forense deve essere perfettamente identica all’originale, includendo tutti i dati, anche quelli cancellati o presenti in aree non allocate.
• Immodificabilità della copia: Una volta creata, la copia forense non deve poter essere alterata.
• Chain of Custody (Catena di Custodia): Ogni passaggio della prova digitale, dalla sua individuazione all’acquisizione, analisi e conservazione, deve essere accuratamente documentato per dimostrare che non ci sono state alterazioni o manipolazioni.
• Verificabilità: Deve essere sempre possibile verificare la corrispondenza tra l’originale e la copia, solitamente tramite l’uso di funzioni di hash crittografiche (es. MD5, SHA-1, SHA-256). Il valore di hash, una sorta di “impronta digitale” del dato, deve essere calcolato prima e dopo la copia per dimostrarne l’integrità.

Normativa Italiana:

• Legge n. 48 del 18 marzo 2008: Questa legge ha ratificato la Convenzione di Budapest sulla criminalità informatica (2001) e ha introdotto nel Codice di Procedura Penale (CPP) norme specifiche per l’acquisizione della prova digitale. Sebbene non entri nel dettaglio delle procedure tecniche, stabilisce i principi generali di conformità e immodificabilità della copia.
• Art. 234 CPP (Prove documentali): Le prove digitali rientrano tra le prove documentali, ma con la necessità di garantire la loro integrità e non alterabilità.
• Giurisprudenza della Corte di Cassazione: La giurisprudenza ha progressivamente delineato le regole per l’acquisizione e l’utilizzo delle prove digitali, sottolineando l’importanza di procedure che ne assicurino la genuinità e l’autenticità. Viene spesso ribadita l’esigenza di una “copia mezzo” (copia integrale senza selezioni) per garantire la trasparenza e il diritto alla difesa.
• Best Practices: In assenza di una normativa tecnica dettagliata e vincolante per l’esecuzione materiale della copia forense, si fa riferimento alle “best practices” riconosciute dalla comunità scientifica e dagli operatori del settore. Queste includono l’utilizzo di software e hardware forensi certificati, la protezione da scrittura del supporto originale, la documentazione dettagliata di ogni operazione e l’uso delle funzioni di hash.
• Circolari e Linee Guida: Anche enti come la Guardia di Finanza hanno emanato circolari che richiamano l’importanza delle best practices e delle metodologie corrette nell’acquisizione delle evidenze digitali.

Norme e Standard Internazionali

A livello internazionale, l’informatica forense si basa su una serie di standard e linee guida che mirano a uniformare le procedure e garantire la validità delle prove a livello globale.

• ISO/IEC 27037:2012 (“Guidelines for identification, collection, acquisition, and preservation of digital evidence”): Questo è uno degli standard più rilevanti. Fornisce linee guida dettagliate per l’identificazione, la raccolta, l’acquisizione e la conservazione delle potenziali prove digitali. Non si occupa degli aspetti giuridici, ma della metodologia tecnica per assicurare che le prove siano acquisite in modo forensicamente valido.
  • Fasi principali coperte dalla ISO/IEC 27037:
    • Identificazione: Riconoscere le potenziali prove digitali.
    • Raccolta: Raccogliere i dispositivi e le informazioni in modo appropriato.
    • Acquisizione: Creare una copia forense fedele dei dati.
    • Conservazione: Proteggere l’integrità dei dati e dei supporti.
• ISO/IEC 27041:2015 (“Guidance on assuring suitability and adequacy of incident investigation methods”): Fornisce una guida per la valutazione dell’adeguatezza e dell’idoneità dei metodi di investigazione degli incidenti.
• ISO/IEC 27042:2015 (“Guidelines for analysis and interpretation of digital evidence”): Si concentra sull’analisi e l’interpretazione delle prove digitali, affrontando questioni come la continuità, la validità, la riproducibilità e la ripetibilità.
• ISO/IEC 27043:2015 (“Incident investigation principles and process”): Definisce i principi e i processi per l’investigazione degli incidenti informatici.
• RFC 3227 (Guidelines for Evidence Collection and Archiving): Un documento tecnico che fornisce linee guida per la raccolta e l’archiviazione delle prove digitali, con un focus sulla preservazione dell’integrità.
• ACPO Good Practice Guide for Digital Evidence (Association of Chief Police Officers): Un’importante guida utilizzata nel Regno Unito, che stabilisce principi fondamentali per la gestione delle prove digitali, inclusi quelli di “nessuna modifica dell’originale”, “audit trail” e “responsabilità”.
• NIST (National Institute of Standards and Technology) Special Publications: Il NIST pubblica diverse guide e raccomandazioni sulla digital forensics, come la NIST SP 800-86 “Guide to Integrating Forensic Techniques into Incident Response”.

In sintesi, la copia forense è un’operazione tecnica complessa e delicata, fondamentale nell’ambito dell’informatica forense. Richiede l’applicazione di metodologie rigorose e il rispetto di principi di inalterabilità, identicità e tracciabilità, supportati da normative nazionali e standard internazionali, per garantire che le prove digitali siano ammissibili e robuste in qualsiasi contesto legale.

Contattateci per eseguire copie forensi di qualsiasi dispositivo: mm@michelemagri.com