La domanda che nessuno si aspetta
Un’indagine interna per sottrazione di dati. La messa in sicurezza è documentata con cura, i valori hash coincidono, la revisione è conclusa. Poi, nel procedimento, arriva una domanda a cui nessuno è preparato: Chi aveva accesso alla piattaforma di revisione durante l’indagine?
Emerge che un superiore gerarchico della persona interessata poteva leggere tutto in qualità di «referente della mandante» – lo stesso superiore il cui ruolo nella vicenda diventerà poi oggetto di discussione. Due revisori esterni avevano ancora un account attivo dopo la fine del progetto. E un account di amministratore era condiviso da tre persone.
Nei dati non è cambiato nulla. Ma la credibilità dell’indagine è compromessa. Una catena di custodia che documenta il percorso dei dati, ma non chi poteva vederli, è chiusa solo a metà.
La seconda metà della catena di custodia
La catena di custodia risponde alla domanda da dove provenga una prova e che sia rimasta invariata. Non appena i dati si trovano su una piattaforma di revisione, si aggiunge una seconda domanda: chi poteva consultarli, commentarli, taggarli, esportarli o cancellarli – e quella persona era autorizzata a farlo?
Per il trattamento delle prove digitali, la norma ISO/IEC 27037 richiede che ogni azione possa essere ricostruita da un terzo qualificato [1]. Questo non vale solo per la messa in sicurezza. Vale altrettanto per la fase in cui decine di persone lavorano con i dati.
L’accesso conta per quattro motivi:
- Integrità: chi poteva scrivere, taggare o cancellare avrebbe potuto influenzare il risultato.
- Riservatezza: i dati d’indagine contengono spesso corrispondenza legale, dati di clienti bancari o segreti commerciali. Il segreto professionale e il segreto bancario [2][3] mostrano quanto debba essere ristretta la cerchia delle persone autorizzate.
- Protezione dei dati: i dati riguardano collaboratori, clienti e terzi – spesso anche dati personali degni di particolare protezione.
- Indipendenza: chi potrebbe essere a sua volta oggetto dell’indagine non deve poter leggere. Negli studi legali si aggiungono le barriere informative tra mandati.
Il quadro giuridico e normativo
Svizzera: la tracciabilità
In Svizzera sono rilevanti in particolare la legge sulla protezione dei dati e l’ordinanza sulla protezione dei dati. Trattano di una sicurezza dei dati adeguata al rischio e della tracciabilità dei trattamenti, compresa la verbalizzazione [4][5].
L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha pubblicato raccomandazioni tecniche sulla verbalizzazione [6]. Sono istruttive per la pratica: anche la semplice lettura dovrebbe essere tracciabile, i log dovrebbero essere conservati separatamente e protetti da manipolazioni, e un concetto di verbalizzazione comprende obiettivi, ruoli e una verifica regolare. Merita attenzione un punto spesso trascurato nella quotidianità delle indagini: i log servono alla tracciabilità, non alla sorveglianza del comportamento delle persone che lavorano con i dati [6].
Quali obblighi valgano nel suo caso concreto lo valuta il suo studio legale.
Internazionale: l’accesso come obiettivo di controllo
La norma ISO/IEC 27001:2022 tratta l’accesso come tema di controllo a sé stante: regole per il controllo degli accessi (A.5.15), assegnazione, verifica e revoca dei diritti di accesso (A.5.18) e registrazione delle attività (A.8.15) [7]. Chi allinea il proprio ambiente di revisione a questi controlli parla la lingua che revisori, autorità di vigilanza e controparti internazionali comprendono.
Per indagini con un legame con l’UE – ad esempio con collaboratori o società del gruppo in Germania – può essere rilevante anche il GDPR con i suoi requisiti sulla sicurezza del trattamento [8].
Un log che nessuno legge non protegge. Solo la verifica regolare trasforma i dati di accesso in una prova.
Dove si inceppa nella pratica
| Punto debole | Rischio | Contromisura |
|---|---|---|
| Account ancora attivi dopo la fine del progetto o del mandato | Accesso non autorizzato a dati riservati | Data di scadenza per account, verifica a ogni chiusura di progetto |
| Account condivisi («Admin», «Team di revisione») | Le azioni non sono attribuibili a una persona | Account personali, autenticazione a due fattori |
| Ruoli assegnati in modo troppo ampio | I revisori possono esportare o cancellare | Ruoli secondo il need-to-know, diritti di esportazione e cancellazione separati |
| Rappresentanti della mandante con accesso completo | Indipendenza dell’indagine contestabile | Accesso ai risultati anziché ai dati grezzi, verifica dei conflitti di interesse |
| Autorizzazioni verificate solo all’apertura | Allargamento progressivo della cerchia | Verifica periodica degli accessi con approvazione |
| Più workspace, team diversi | Si perde la visione d’insieme, barriere informative lacunose | Panoramica trasversale per persona e ruolo |
| Log solo nel sistema stesso | La prova cade insieme al sistema | Esportare i log e conservarli separatamente |
Dal log alla prova
Ogni piattaforma di revisione seria gestisce utenti, ruoli e attività. Il problema è raramente che i dati manchino. Il problema è che sono sparsi: per workspace, per elenco utenti, per modello di ruoli. Un tribunale, un’autorità di vigilanza o un consiglio di amministrazione vuole però una risposta semplice: chi aveva quale accesso a quali dati, e quando – e chi lo ha approvato?
Una prova di accesso utilizzabile ha quindi tre caratteristiche:
- Completa: comprende tutti i workspace, tutti gli utenti e tutti i ruoli – non solo il progetto in corso.
- Datata: mostra lo stato in un determinato momento e può essere ripetuta, così che i cambiamenti diventino visibili.
- Leggibile: una giurista senza conoscenze tecniche la comprende senza spiegazioni.
In Prism Discovery estraiamo automaticamente, tramite l’interfaccia di programmazione, workspace, utenti e autorizzazioni della nostra piattaforma di revisione Farsight e li condensiamo in un rapporto di audit. Mostra, per ogni workspace, chi vi ha accesso e con quale ruolo e, per ogni persona, a quali workspace può accedere. Integrato con dati di utilizzo e di archiviazione, alimenta un dashboard che rende lo stato visibile in modo continuo. Il rapporto viene redatto alla chiusura del progetto e periodicamente, e archiviato con il progetto – come parte della documentazione, non come ricostruzione a posteriori.
Conclusione: cinque domande per ogni ambiente di revisione
- Ogni persona ha un proprio account, e ogni azione è attribuibile a una persona?
- I ruoli rispettano il principio del need-to-know – in particolare per i diritti di esportazione e cancellazione?
- È garantito che nessuno abbia accesso chi potrebbe essere a sua volta oggetto dell’indagine?
- Le autorizzazioni vengono verificate periodicamente e revocate alla fine del progetto?
- Lo stato degli accessi può essere provato per qualsiasi momento – separatamente dal sistema che contiene i dati?
Dove una di queste domande resta aperta, non è il contenuto a essere contestabile, ma l’ambiente in cui è stato esaminato. La catena di custodia non finisce con il caricamento. Arriva fino all’ultimo account che ha ancora accesso.
Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. Per la valutazione giuridica del Suo caso si rivolga a uno studio legale.
Fonti
[1] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html
[2] Codice penale svizzero (CP), RS 311.0 – https://www.fedlex.admin.ch/eli/cc/54/757_781_799/it
[3] Legge federale sulle banche e le casse di risparmio (Legge sulle banche, LBCR), RS 952.0 – https://www.fedlex.admin.ch/eli/cc/51/117_121_129/it
[4] Legge federale sulla protezione dei dati (LPD), RS 235.1 – https://www.fedlex.admin.ch/eli/cc/2022/491/it
[5] Ordinanza sulla protezione dei dati (OPDa), RS 235.11 – https://www.fedlex.admin.ch/eli/cc/2022/568/it
[6] Incaricato federale della protezione dei dati e della trasparenza (IFPDT/EDÖB): Technische Empfehlungen für die Protokollierung gemäss Art. 4 DSV, versione 1.0, 15 settembre 2023 – https://www.edoeb.admin.ch
[7] ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection – Information security management systems – Requirements, allegato A – https://www.iso.org/standard/27001
[8] Regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati, GDPR) – https://eur-lex.europa.eu/eli/reg/2016/679/oj