Stessi dati, domande diverse
Il portatile di un collaboratore che ha lasciato l’azienda, la sua casella Exchange, un canale Teams: all’inizio entrambe le discipline hanno sul tavolo lo stesso materiale. La differenza sta nella domanda che gli si pone.
- L’eDiscovery chiede: Che cosa contengono i dati – e che cosa è rilevante per il caso?
- La forensica chiede: Che cosa è successo sul sistema – chi ha fatto cosa e quando, e qualcosa è stato nascosto o cancellato?
Chi confonde queste due domande paga per una profondità di cui non ha bisogno, oppure si accorge troppo tardi che la traccia decisiva non è mai stata messa in sicurezza.
eDiscovery: dalla montagna di dati al documento rilevante
Il quadro di riferimento per l’eDiscovery è l’Electronic Discovery Reference Model (EDRM). Descrive nove fasi, dall’information governance all’identificazione, alla conservazione e alla raccolta, fino all’elaborazione, alla revisione, all’analisi, alla produzione e alla presentazione [1]. Importante: l’EDRM si intende espressamente come modello concettuale, non come procedura rigida. Le fasi possono essere tralasciate, svolte in un ordine diverso o ripetute più volte [1].
Il nucleo è formato da tre fasi:
- L’elaborazione (processing) riduce il volume dei dati e li porta in una forma esaminabile [1].
- La revisione (review) valuta i documenti quanto a rilevanza e contenuti protetti (privilege) [1].
- L’analisi valuta contenuto e contesto – schemi, temi, persone, svolgimento delle conversazioni [1].
Il risultato è un insieme di documenti esaminati e codificati: la base per un’edizione, una risposta a un’autorità o una cronologia solida dei fatti. L’eDiscovery lavora in ampiezza – molti custodian, spesso centinaia di migliaia o milioni di documenti.
Forensica: ricostruire gli eventi
Secondo la definizione del National Institute of Standards and Technology (NIST) statunitense, la forensica digitale è l’applicazione di metodi scientifici all’identificazione, alla raccolta, all’esame e all’analisi dei dati, preservandone l’integrità [2]. Il NIST suddivide il processo in quattro fasi: raccolta, esame, analisi e rapporto [2].
La forensica lavora in profondità. Le interessa meno il contenuto di un documento che le tracce lasciate da un’azione: file cancellati, spazio non allocato, registri di sistema, dispositivi USB collegati, artefatti del browser e della sincronizzazione. Il risultato è un rapporto con accertamenti, cronologia e una metodologia tracciabile e riproducibile – qualcosa che deve reggere al vaglio della controparte o di un tribunale.
Tutto si decide nella messa in sicurezza
Entrambe le discipline iniziano con la messa in sicurezza dei dati – ed è proprio lì che si prende la decisione più carica di conseguenze. Gli EDRM Collection Standards distinguono tra l’altro [3]:
- Immagine forense: una copia esatta, settore per settore, del supporto, che acquisisce i dati attivi e inattivi. Verificabile a livello di dispositivo e di file, ma più onerosa.
- Raccolta mirata (targeted collection): solo file e cartelle attivi del file system.
- Copia non forense: copia tramite il sistema operativo. Fortemente dipendente dai custodian; i filtri applicati durante la raccolta possono tralasciare file.
L’EDRM raccomanda inoltre di far esaminare un’immagine forense, nell’ambito di un’analisi forense, da un esaminatore qualificato e con esperienza giudiziaria [3].
Ne deriva una regola semplice: una raccolta mirata basta per l’eDiscovery – ma esclude la forensica a posteriori. Ciò che non è stato messo in sicurezza non può essere analizzato. Una volta reinstallato il portatile e consegnato alla persona successiva, le tracce sono perse.
La differenza in sintesi
| eDiscovery | Forensica | |
|---|---|---|
| Domanda guida | Che cosa contiene, che cosa è rilevante? | Che cosa è successo – come, quando, a opera di chi? |
| Base di dati | Dati attivi: e-mail, documenti, chat, cloud | In più dati cancellati, nascosti e di sistema |
| Orientamento | Ampiezza: molte persone, grandi volumi | Profondità: pochi dispositivi, tracce dettagliate |
| Metodi | Elaborazione, deduplicazione, parole chiave, revisione assistita dall’IA | Imaging, hashing, analisi degli artefatti, cronologia |
| Persone coinvolte | Giuristi, revisori, gestione del progetto | Esperti forensi |
| Risultato | Insieme di documenti esaminati, edizione, cronologia | Perizia con accertamenti e metodologia |
| Fattori di costo | Volume dei dati e ore di revisione | Numero di dispositivi e profondità dell’analisi |
Quando serve che cosa
eDiscovery, quando si tratta di contenuti: richieste di edizione nel processo civile, richieste di informazioni delle autorità di vigilanza, indagini interne per sospetta corruzione o violazioni di compliance in cui la comunicazione stessa è la prova.
Forensica, quando si tratta di azioni: sospetta sottrazione di dati tramite USB o cloud, sospetta cancellazione o manipolazione, dubbi sull’autenticità di un documento, incidenti informatici.
Entrambe, quando contenuto e azione vanno insieme – e capita più spesso di quanto si pensi. Esempio tipico: il sospetto che un collaboratore uscente abbia portato con sé segreti commerciali. La forensica mostra che la sera prima delle dimissioni dei dati di progettazione sono stati copiati su una chiavetta USB. L’eDiscovery mostra nelle e-mail con chi aveva parlato di un cambio di posto nelle settimane precedenti. Solo insieme danno un quadro che regge.
Le discipline si alimentano a vicenda: nomi di file e marche temporali della forensica diventano parole chiave nella revisione; indizi emersi dalla revisione portano ad altri dispositivi da esaminare con metodi forensi.
Il quadro giuridico
I modelli di riferimento provengono dal mondo anglosassone; a livello internazionale, la norma ISO/IEC 27037 li integra con linee guida per l’identificazione, la raccolta e la conservazione delle prove digitali [4]. Per indagini in Svizzera vanno inoltre considerati in particolare la legge sulla protezione dei dati [5], il diritto del lavoro contenuto nel Codice delle obbligazioni [6] e – in caso di legami con procedimenti o autorità estere – il Codice penale [7].
Quali requisiti valgano nel caso concreto e fin dove possa spingersi una raccolta di dati è una questione giuridica che spetta a uno studio legale. In questi mandati collaboriamo strettamente con il consulente legale dei nostri clienti.
A prescindere da ciò, per entrambe le discipline vale una cosa: la documentazione completa della catena di custodia (chain of custody) non è un’aggiunta, ma un presupposto dell’utilizzabilità delle prove.
Conclusione: tre domande prima di iniziare
- Si tratta di contenuto o di azione? Il contenuto depone a favore dell’eDiscovery, l’azione della forensica.
- Qualcuno potrebbe contestare che i dati siano completi e inalterati? Allora servono metodi forensi – almeno nella messa in sicurezza.
- Chi esaminerà il risultato? Controparte, tribunale e autorità pongono requisiti diversi in termini di metodo e prova.
E se le risposte non sono ancora chiare: mettere in sicurezza in modo forense, analizzare in modo mirato. L’analisi si può sempre approfondire. La messa in sicurezza non si può recuperare.
Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. Per la valutazione giuridica del Suo caso si rivolga a uno studio legale.
Fonti
[1] EDRM (edrm.net): EDRM Model – https://edrm.net/wiki/edrm-model/
[2] Kent, K. et al.: NIST Special Publication 800-86 – Guide to Integrating Forensic Techniques into Incident Response, National Institute of Standards and Technology, 2006 – https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf
[3] EDRM (edrm.net): EDRM Collection Standards – https://edrm.net/frameworks-and-standards/edrm-model/edrm-stages-standards/edrm-collection-standards/
[4] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html
[5] Legge federale sulla protezione dei dati (LPD), RS 235.1 – https://www.fedlex.admin.ch/eli/cc/2022/491/it
[6] Codice delle obbligazioni (CO), RS 220 – https://www.fedlex.admin.ch/eli/cc/27/317_321_377/it
[7] Codice penale svizzero (CP), RS 311.0 – https://www.fedlex.admin.ch/eli/cc/54/757_781_799/it
I contenuti di edrm.net sono pubblicati con licenza Creative Commons Attribution 4.0 International.