La prova non è il file, ma il suo percorso
Un file Excel con i prezzi dei clienti, trovato nello spazio cloud privato di un collaboratore che ha lasciato l’azienda. Inequivocabile nel contenuto. Eppure la prima domanda della controparte non è: Che cosa contiene? Bensì: Da dove proviene il file, chi lo ha avuto tra le mani e come sapete che non è stato modificato?
È proprio a queste domande che risponde la catena di custodia (chain of custody). Se non si sa rispondere, una prova diventa un’affermazione con allegato.
Che cos’è una catena di custodia
Il National Institute of Standards and Technology (NIST) statunitense definisce la catena di custodia come la documentazione cronologica che attesta il sequestro, la custodia, il controllo, la consegna, l’analisi e la destinazione di una prova fisica o elettronica [1]. La linea guida RFC 3227 dell’IETF lo esprime in modo più pratico: bisogna saper descrivere chiaramente come una prova è stata trovata, come è stata trattata e tutto ciò che le è accaduto [2].
In concreto significa registrare, per ogni prova e ogni passaggio:
- Chi ha messo in sicurezza, consegnato, analizzato?
- Che cosa esattamente è stato messo in sicurezza – dispositivo, casella di posta, file – e con quale valore hash?
- Quando e dove – con il fuso orario?
- Come – con quale metodo, quale strumento, quale versione?
- Perché – su quale base e con quale mandato?
Il valore hash è l’impronta digitale. Se coincide alla messa in sicurezza, a ogni consegna e alla presentazione, è dimostrato che i dati non sono cambiati.
Perché le prove digitali sono particolarmente vulnerabili
Per la carta esistono un originale e delle copie. Per i file no: una copia con valore hash identico è il file. Al contrario, ogni conversione modifica il file, anche se non si vede. Nella rivista svizzera dei giudici, Schreiber e Kettiger mostrano che stampando un’e-mail o convertendola in PDF si perdono l’intestazione e il resto del codice sorgente – cioè proprio le informazioni con cui si possono verificare mittente, server e momento dell’invio [6]. Ciononostante, questa forma è oggi molto diffusa [6].
Ne deriva una regola semplice: ogni modifica deve essere motivata e documentata – altrimenti diventa un punto di attacco.
Da cosa si riconosce una catena di custodia senza lacune
La norma ISO/IEC 27037 richiede quattro proprietà nel trattamento delle prove digitali: verificabilità (auditability), ripetibilità (repeatability), riproducibilità (reproducibility) e giustificabilità (justifiability) [3]. Ogni azione deve poter essere ripercorsa da un terzo qualificato; ogni scostamento dalla procedura standard deve essere motivato.
I principi ACPO britannici sono da anni considerati il riferimento professionale [4]. Il loro nucleo in quattro punti: nessuna azione deve modificare dati su cui ci si vuole basare in seguito. Chi deve accedere ai dati originali deve essere qualificato e saper spiegare il proprio operato. Per tutti i passaggi va tenuto un audit trail che consenta a un terzo indipendente di giungere allo stesso risultato. E la responsabilità complessiva spetta alla persona che dirige il caso.
La RFC 3227 aggiunge due principi spesso violati nella prassi: prima mettere in sicurezza, poi analizzare – e non lavorare mai sulla copia di prova, ma su un’ulteriore copia di lavoro [2].
Per l’utilizzo in un procedimento in Svizzera sono rilevanti in particolare il Codice di procedura civile [7] e il Codice di procedura penale [8]. Il peso attribuito a una prova elettronica dipende nella prassi in larga misura dalla possibilità di ricostruirne autenticità, integrità e provenienza [6] – ed è esattamente ciò che garantisce una catena di custodia senza lacune. Come introdurre una prova in un procedimento concreto lo valuta il Suo studio legale.
Che cosa si aspettano le autorità di vigilanza
Le autorità di vigilanza verificano soprattutto il formato. Nei suoi Data Delivery Standards, la Securities and Exchange Commission (SEC) statunitense richiede che i file elettronici siano consegnati nel formato originale. In caso di deduplicazione, i metadati dei duplicati – ad esempio custodian e posizione di archiviazione – devono essere conservati e consegnati [9]. La Federal Trade Commission (FTC) statunitense prevede nelle sue direttive di produzione un campo apposito per il valore hash del file originale [10].
In Svizzera, la FINMA nomina incaricati dell’inchiesta per fattispecie complesse [11]. Anche i loro accertamenti sono solidi solo quanto la ricostruzione dei dati su cui si fondano.
La catena di custodia in sintesi
| Anello | Che cosa viene documentato | Rottura tipica |
|---|---|---|
| Identificazione | Fonti di dati, custodian, mandato e fondamento | Fonti aggiunte successivamente senza motivazione |
| Messa in sicurezza | Metodo, strumento e versione, valore hash, ora e fuso orario, persona esecutrice | Raccolta autonoma da parte degli interessati con trascinamento (drag and drop) |
| Consegna | Da chi a chi, quando, modalità di trasporto, verifica dell’hash | Supporto spedito per posta senza verbale |
| Conservazione | Luogo, diritti di accesso, registro degli accessi | Archiviazione su un’unità di rete ad accesso libero |
| Elaborazione & analisi | Copia di lavoro, strumenti, filtri, deduplicazione | Analisi direttamente sulla copia di prova |
| Presentazione | Collegamento di ogni file presentato con la messa in sicurezza (valore hash) | E-mail in PDF senza intestazione e senza file di origine |
Gli EDRM Collection Standards rilevano che le copie per trascinamento modificano i metadati, non generano un audit trail automatico e sono difficili da riprodurre [5]. Chi raccoglie in questo modo deve aspettarsi di dover raccogliere di nuovo i dati in seguito in modo forense corretto – sempre che esistano ancora.
Che cosa aiuta nella prassi
Per il trattamento delle prove elettroniche, Schreiber e Kettiger raccomandano tra l’altro [6]:
- Identificare le prove al ricevimento e prima di ogni invio tramite il loro valore hash – non tramite il nome del file.
- Conservare e trasmettere le prove in modo che non possano essere modificate involontariamente.
- Se una conversione è inevitabile, indicare nell’elenco delle prove entrambe le versioni: file di origine e file prodotto, ciascuno con nome, formato e valore hash (ad es. SHA-256) – e il motivo della modifica.
A ciò si aggiunge ciò che contraddistingue ogni buona indagine: la documentazione nasce durante il lavoro, non dopo. Un verbale ricostruito a posteriori è esso stesso un punto di attacco.
Conclusione: cinque domande per ogni catena di custodia
- Ogni prova può essere ricondotta senza lacune alla sua fonte?
- I valori hash coincidono alla messa in sicurezza, alla consegna e alla presentazione?
- Ogni persona che ha avuto accesso è documentata nominativamente?
- Ogni modifica – conversione, filtraggio, deduplicazione – è motivata e registrata?
- Un esperto indipendente potrebbe ripetere la procedura e giungere allo stesso risultato?
Dove una di queste domande richiede un «no», il punto debole non sta nel contenuto, ma nel percorso. La catena di custodia non si crea a posteriori. Nasce con il primo gesto – o non nasce affatto.
Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. Per la valutazione giuridica del Suo caso si rivolga a uno studio legale.
Fonti
[1] National Institute of Standards and Technology (NIST), OSAC Lexicon: Chain of Custody Records – https://www.nist.gov/glossary-term/20081
[2] Brezinski, D. / Killalea, T.: RFC 3227 – Guidelines for Evidence Collection and Archiving, IETF, 2002 – https://www.rfc-editor.org/rfc/rfc3227
[3] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html
[4] Association of Chief Police Officers (ACPO, oggi National Police Chiefs’ Council): ACPO Good Practice Guide for Digital Evidence, versione 5, 2012
[5] EDRM (edrm.net): EDRM Collection Standards – https://edrm.net/resources/frameworks-and-standards/edrm-model/edrm-stages-standards/edrm-collection-standards/
[6] Schreiber, C. / Kettiger, D.: Elektronische Beweismittel – neue Herausforderungen, in: «Justice – Justiz – Giustizia» 2024/2 (Richterzeitung) – https://www.advo-schreiber.ch/dok/Schreiber_Kettiger_Richterzeitung_2024_2_el_Beweismittel.pdf
[7] Codice di diritto processuale civile svizzero (CPC), RS 272 – https://www.fedlex.admin.ch/eli/cc/2010/262/it
[8] Codice di diritto processuale penale svizzero (CPP), RS 312.0 – https://www.fedlex.admin.ch/eli/cc/2010/267/it
[9] U.S. Securities and Exchange Commission: Data Delivery Standards, rev. 08/2026 – https://www.sec.gov/files/sec-dds-aug-2026.pdf
[10] U.S. Federal Trade Commission: Preparing Native Files (Bureau of Competition Production Guide) – https://www.ftc.gov/tips-advice/competition-guidance/bc-production-guide/preparing-collections/native-files
[11] Legge federale concernente l’Autorità federale di vigilanza sui mercati finanziari (LFINMA), RS 956.1 – https://www.fedlex.admin.ch/eli/cc/2008/736/it
I contenuti di edrm.net sono pubblicati con licenza Creative Commons Attribution 4.0 International.