La capacità di gestire correttamente le evidenze digitali distingue una risposta agli incidenti solida da una che, pur tecnicamente valida, si rivela inutile davanti a un giudice o a un auditor. In questa unità colleghiamo tre pilastri: preservazione forense, chain of custody e non-repudiation, per poi vedere come i framework di compliance impongano tempi e modalità di gestione e notifica.
Preservazione delle evidenze digitali
L’obiettivo primario è mantenere l’evidenza inalterata rispetto allo stato in cui è stata acquisita. I principi operativi chiave:
- Order of volatility: acquisire prima i dati più volatili. La sequenza tipica è cache/registri CPU → tabella ARP e connessioni di rete → RAM → processi in esecuzione → dischi → log remoti/archivi → backup. Se raccogli prima il disco e spegni la macchina, distruggi RAM e stato di rete.
- Forensic imaging: si lavora su una copia bit-for-bit (immagine forense), mai sull’originale. Un write blocker (hardware o software) impedisce scritture accidentali sul supporto sorgente durante l’acquisizione.
- Integrità via hashing: si calcola un hash crittografico (SHA-256; MD5/SHA-1 sono considerati deboli ma ancora usati per confronto legacy) dell’originale e della copia. Se i due valori coincidono, la copia è fedele. Ricalcolare l’hash in un momento successivo dimostra che l’evidenza non è stata manomessa.
Chain of custody
La chain of custody è la documentazione cronologica e continua di chi ha maneggiato l’evidenza, quando, dove, perché e con quali azioni, dal momento della raccolta fino alla presentazione. Ogni passaggio di mano va registrato e firmato.
| Elemento da documentare | Esempio |
|---|---|
| Identificazione | numero seriale disco, hostname, indirizzo IP/MAC |
| Chi ha raccolto | nome, ruolo, timestamp con fuso orario |
| Metodo | write blocker + tool di imaging, hash calcolato |
| Custodia | armadio sigillato, accesso controllato, tamper-evident bag |
| Trasferimenti | ogni handoff con firma di consegna e ricezione |
Punto cruciale: una catena di custodia interrotta o incompleta rende l’evidenza inammissibile in sede legale, a prescindere da quanto sia schiacciante il suo contenuto. Un gap temporale non giustificato apre alla contestazione che i dati possano essere stati alterati.
Non-repudiation nell’evidence handling
La non-repudiation garantisce che un soggetto non possa negare di aver compiuto un’azione. Nell’evidence handling si realizza tramite:
- Firme digitali e hashing che legano l’evidenza a uno stato verificabile;
- Logging con timestamp affidabili (idealmente sincronizzati via NTP e con time source attendibile);
- Registrazioni di accesso firmate.
La non-repudiation è ciò che trasforma un log da semplice traccia tecnica a prova difendibile: dimostra che quel utente ha eseguito quella azione e che il record non è stato manipolato.
Compliance e notifica degli incidenti
I framework normativi definiscono quali dati proteggere e con quali tempistiche notificare una violazione. Non sostituiscono le buone pratiche forensi: le rendono obbligatorie.
| Framework | Ambito dati | Notifica principale |
|---|---|---|
| PCI-DSS | dati delle carte di pagamento (PAN, CVV) | notifica ad acquirer/circuiti; indagine tramite PFI (PCI Forensic Investigator) |
| HIPAA | PHI (Protected Health Information) sanitari | Breach Notification Rule: entro 60 giorni a individui e HHS |
| GDPR | dati personali di soggetti UE | all’autorità di controllo entro 72 ore dalla scoperta |
Elementi trasversali: obbligo di data protection (cifratura, minimizzazione, controllo accessi), conservazione delle evidenze secondo policy di retention, e coinvolgimento tempestivo di legal, DPO e management. La corretta chain of custody è ciò che consente di dimostrare all’auditor sia l’accaduto sia la conformità della risposta.
Trappole tipiche d’esame
- Scenario: un tecnico spegne subito il server compromesso per “metterlo in sicurezza” prima di acquisire l’evidenza → Risposta giusta: errore grave; spegnendo si perdono i dati volatili (RAM, connessioni). Va rispettato l’order of volatility e acquisita l’immagine live.
- Scenario: l’evidenza ha contenuto schiacciante ma manca la registrazione di due giorni di custodia → Risposta giusta: la chain of custody interrotta rende la prova inammissibile, indipendentemente dal contenuto.
- Scenario: l’analista lavora direttamente sul disco originale per “fare in fretta” → Risposta giusta: si opera solo su copia bit-for-bit ottenuta con write blocker; l’originale resta sigillato e non modificato.
- Scenario: subita una violazione di dati personali UE, l’azienda pianifica la notifica “entro un mese” → Risposta giusta: il GDPR impone la notifica all’autorità di controllo entro 72 ore.
- Scenario: si chiede come provare che un dato utente ha eseguito un’azione contestata → Risposta giusta: log firmati/con hash e timestamp affidabili forniscono non-repudiation, non la semplice presenza di un log qualunque.