Un file può raccontare con precisione cosa è accaduto durante un accesso abusivo, una frode interna o un contenzioso. Ma senza una catena custodia digitale documentata, la sua attendibilità può essere contestata. Non basta conservare un'e-mail, una chat o l'immagine di un disco: occorre poter dimostrare chi ha acquisito quel dato, quando, con quali strumenti, dove è stato conservato e se è rimasto integro nel tempo.
Per un'impresa, un professionista o un ente, questa esigenza non riguarda soltanto il processo penale. Riguarda la gestione ordinata degli incidenti ransomware, delle violazioni di dati personali, dei rapporti di lavoro complessi, delle contestazioni contrattuali e delle verifiche interne. Proteggere i dati significa anche preservarne il valore quando diventano prova.
Che cos'è la catena custodia digitale
La catena di custodia è l'insieme delle procedure che assicura tracciabilità, integrità e controllabilità di un reperto digitale dalla sua individuazione fino all'eventuale utilizzo in sede giudiziaria o stragiudiziale. Il reperto può essere un computer, uno smartphone, un hard disk esterno, una casella e-mail, un backup cloud, un log di sistema, un video di sorveglianza o una registrazione di accessi applicativi.
Nel contesto informatico, il problema è più delicato di quanto appaia. Un file può essere copiato, aperto, sincronizzato automaticamente, modificato dai software di sicurezza o sovrascritto da normali attività di sistema. Anche un'azione compiuta in buona fede da un dipendente, come avviare il PC sospetto per controllare cosa non funziona, può alterare informazioni utili quali processi attivi, file temporanei, registri e metadati.
La catena di custodia non rende un dato automaticamente decisivo né sostituisce una perizia tecnica. Offre però una base metodologica essenziale: consente di spiegare in modo verificabile come quel dato è stato gestito e perché può essere considerato affidabile.
I tre requisiti da preservare
L'integrità richiede che il contenuto non sia stato modificato rispetto al momento dell'acquisizione. Per verificarla si utilizzano normalmente funzioni di hash, cioè impronte matematiche del file o del supporto. Se l'hash calcolato al momento della copia forense coincide con quello controllato in seguito, si ha un forte riscontro tecnico che il contenuto non è cambiato.
La tracciabilità documenta ogni passaggio: soggetti coinvolti, date, orari, luoghi, strumenti, operazioni e trasferimenti. La domanda da poter soddisfare è semplice: chi ha avuto disponibilità del reperto e cosa ha fatto esattamente?
La ripetibilità, infine, permette a un altro tecnico qualificato di comprendere e, quando possibile, verificare il metodo adottato. Per questo appunti informali e screenshot isolati raramente sono sufficienti: servono procedure, registri e strumenti coerenti con il tipo di evidenza.
Perché una copia ordinaria non basta
Copiare una cartella su una chiavetta USB può essere utile per il lavoro quotidiano, ma non equivale a un'acquisizione forense. Una copia ordinaria può non includere file cancellati, aree non allocate del disco, attributi del file system, registri di sistema e altri elementi che aiutano a ricostruire una sequenza di eventi.
Inoltre, il semplice utilizzo del dispositivo originale può generare nuove scritture. Un sistema operativo aggiorna log, file di paging, cache e timestamp; un client di posta può scaricare nuovi messaggi; una sincronizzazione cloud può propagare modifiche. Il risultato è che il reperto da analizzare non corrisponde più alla condizione iniziale.
Questo non significa che ogni caso richieda il sequestro di tutti i dispositivi aziendali o analisi invasive. La misura corretta dipende dall'obiettivo. Per una contestazione su un singolo messaggio, può essere appropriata un'acquisizione mirata della casella e-mail con intestazioni complete e registrazione delle operazioni. Per un sospetto di esfiltrazione dati o accesso non autorizzato, possono essere necessari log di firewall, VPN, server, endpoint e servizi cloud, raccolti rapidamente prima che le politiche di conservazione li eliminino.
Quando attivare la procedura
La catena di custodia va avviata appena emerge un fatto che può avere conseguenze disciplinari, contrattuali, assicurative, reputazionali o giudiziarie. Aspettare di avere la certezza dell'incidente è rischioso: proprio nelle prime ore possono andare persi log, sessioni di rete e dati volatili.
Gli scenari ricorrenti includono un ransomware, l'invio sospetto di documenti riservati, la cancellazione di file aziendali, una frode via e-mail, un accesso anomalo ai gestionali, la sottrazione di credenziali e una denuncia di violazione dei dati personali. Anche la cessazione conflittuale di un rapporto di lavoro può richiedere cautela nella conservazione delle evidenze, sempre nel rispetto delle regole applicabili e dei diritti delle persone coinvolte.
In presenza di un possibile data breach, l'analisi forense deve coordinarsi con la gestione privacy. Le evidenze possono essere necessarie per comprendere natura, portata e impatto dell'evento, ma vanno trattate con riservatezza, limitazione degli accessi e registrazione delle attività. Tecnica, organizzazione e conformità GDPR devono procedere insieme.
Catena custodia digitale: il metodo operativo
Una procedura efficace non si riduce a un modulo da firmare dopo l'incidente. Deve tradursi in decisioni concrete e proporzionate.
1. Mettere in sicurezza la scena digitale
Il primo obiettivo è evitare ulteriori alterazioni e contenere il danno. Se vi è il sospetto di compromissione, il dispositivo o l'account non dovrebbe essere usato liberamente. A seconda del caso, si può isolare un endpoint dalla rete, sospendere un account, conservare lo stato della macchina o raccogliere prima i dati volatili, come connessioni attive e processi in esecuzione.
Non esiste una regola unica. Spegnere immediatamente un computer può limitare una minaccia, ma può anche far perdere informazioni presenti solo in memoria. Lasciarlo acceso può preservare tali elementi, ma aumentare il rischio operativo. La scelta richiede una valutazione tecnica rapida, documentata e coerente con la priorità di sicurezza.
2. Identificare reperti, fonti e priorità
Ogni elemento deve essere identificato senza ambiguità. Per un dispositivo servono almeno marca, modello, numero di serie, utente assegnatario, posizione, data e ora del reperimento. Per un'evidenza online occorre registrare account, servizio, intervallo temporale, modalità di accesso e, quando disponibile, identificativi tecnici della risorsa.
La priorità non dipende solo dall'importanza apparente del file. I log con tempi di conservazione brevi, i sistemi cloud soggetti a rotazione e i dati in memoria possono richiedere intervento prima di un hard disk che può essere fisicamente custodito. Un inventario iniziale evita duplicazioni, omissioni e raccolte indiscriminate.
3. Acquisire senza alterare l'originale
Quando tecnicamente opportuno, si effettua una copia forense del supporto o un'estrazione controllata dei dati rilevanti. L'originale viene preservato e l'analisi avviene su una copia di lavoro. Dispositivi e supporti possono essere gestiti con strumenti che impediscono la scrittura, mentre le acquisizioni vengono accompagnate dal calcolo delle impronte hash.
Nel cloud la procedura richiede ulteriori cautele. Non esiste sempre un supporto fisico da duplicare e alcune informazioni dipendono dal fornitore del servizio. Occorre definire quali dati esportare, in quale formato, quali log richiedere e come conservare le informazioni su data, ora, fuso orario e autorizzazioni di accesso.
4. Registrare ogni passaggio
Il registro di catena di custodia dovrebbe indicare almeno identificativo del reperto, descrizione, soggetto che lo consegna e lo riceve, data e ora, luogo o modalità di trasferimento, finalità dell'operazione, strumenti impiegati e impronte hash quando applicabili.
La documentazione deve essere comprensibile anche a distanza di mesi. Scrivere soltanto “copiati i file” non consente di ricostruire il lavoro. È preferibile annotare quali file sono stati estratti, da quale percorso o sistema, con quale procedura e dove sono stati archiviati. Fotografie, schermate e verbali possono integrare il registro, ma non devono sostituire la descrizione tecnica.
5. Conservare e analizzare con accessi controllati
Le evidenze richiedono un archivio protetto, con permessi limitati e copie di sicurezza adeguate. La disponibilità del dato è parte della sua tutela: una prova integra ma irrecuperabile per guasto, cifratura non gestita o password smarrite ha un'utilità limitata.
L'analisi deve produrre risultati distinguendo con chiarezza fatti osservati, inferenze tecniche e ipotesi da verificare. Questa separazione è essenziale nei contenziosi e nelle indagini interne, dove un'affermazione eccessiva può essere tanto dannosa quanto una raccolta incompleta.
Errori che compromettono il valore delle evidenze
L'errore più frequente è affidare la raccolta al primo soggetto disponibile senza istruzioni. Un responsabile IT può avere piena conoscenza dell'infrastruttura, ma senza un perimetro operativo chiaro rischia di intervenire sui sistemi, aggiornare configurazioni o cancellare tracce utili durante il ripristino.
Un secondo errore è confondere la rapidità con l'improvvisazione. In un incidente la continuità operativa conta, ma ripristinare subito da un backup senza preservare una copia dello stato compromesso può impedire di capire il vettore di attacco e lasciare aperta la porta a una nuova compromissione.
Infine, non vanno sottovalutati i tempi. Log di sicurezza, telemetria degli endpoint, registrazioni VPN e tracciati applicativi possono avere retention differenti. Senza politiche di conservazione coerenti, un'organizzazione scopre l'incidente quando le informazioni più utili sono già scomparse.
Prepararsi prima dell'incidente
Una catena di custodia affidabile si costruisce prima che serva. Le organizzazioni dovrebbero definire ruoli di autorizzazione, procedure di escalation, tempi di conservazione dei log, inventario degli asset e criteri per l'accesso agli archivi di evidenze. È utile che personale IT, direzione, responsabile privacy e consulenti esterni sappiano chi contattare e quali azioni evitare.
La formazione ha un ruolo concreto. Chi riceve una segnalazione di phishing, nota un comportamento anomalo o intercetta un possibile abuso deve sapere che non è richiesto risolvere tutto autonomamente: è richiesto segnalare, isolare quando previsto e non alterare inutilmente i dati.
Un supporto forense qualificato può affiancare l'impresa nella definizione delle procedure, nell'acquisizione tecnica e nella redazione di una relazione metodica, utile per le decisioni interne e, se necessario, per il confronto con legali, assicurazioni o autorità competenti. Lo Studio dell'Ing. Salvatore Sergio Costanza opera con questo approccio: analisi tecnica, documentazione rigorosa e tutela riservata dell'organizzazione.
Quando un dato diventa prova, la differenza non la fa solo ciò che contiene. La fa la capacità di dimostrare che quel dato è rimasto affidabile lungo tutto il suo percorso.