Copie forensi
Acquisiamo dati da dispositivi e sistemi digitali con procedure documentate, finalizzate a preservare il reperto originale e a rendere verificabili le operazioni svolte.
Cos’è una copia forense
Una copia forense è un’acquisizione tecnica dei dati contenuti in un dispositivo o in un sistema informatico. A differenza di una normale copia di file, viene eseguita con strumenti e modalità scelti in base al supporto, allo stato del dispositivo e all’obiettivo dell’incarico.
Quando il dispositivo e le condizioni tecniche lo consentono, l’acquisizione può comprendere l’intero supporto, inclusi metadati, aree non allocate e informazioni non visibili durante il normale utilizzo. L’analisi viene poi effettuata sulla copia, limitando l’interazione con l’originale.
Dispositivi e sistemi acquisibili
La procedura viene definita caso per caso, dopo una valutazione preliminare della sorgente e delle informazioni da preservare.
Smartphone e dispositivi mobili
Acquisizioni logiche, file system o fisiche di dispositivi Android e iPhone, secondo la fattibilità tecnica, il modello e lo stato del dispositivo.
Computer e memorie
Acquisizione di PC, notebook, hard disk, SSD, supporti USB, schede di memoria e altri dispositivi di archiviazione.
Posta, server e sistemi
Acquisizione di caselle di posta, server, NAS, DVR e sistemi digitali pertinenti all’incarico, anche presso la sede del cliente quando necessario.
Come avviene l’acquisizione
- Valutazione preliminare: identifichiamo dispositivo, capacità, stato, urgenza e finalità dell’attività.
- Preservazione: adottiamo gli accorgimenti tecnici appropriati per ridurre il rischio di alterazione della sorgente, inclusi sistemi di protezione dalla scrittura quando applicabili.
- Acquisizione: realizziamo la copia nel formato più adatto al supporto e al successivo impiego tecnico.
- Verifica: calcoliamo e registriamo le impronte hash, ove tecnicamente applicabili, per consentire il controllo dell’integrità della copia.
- Documentazione e consegna: registriamo le operazioni eseguite e concordiamo modalità di conservazione, riversamento e successiva analisi.
Integrità e tracciabilità
Ogni attività viene pianificata per mantenere separati il reperto originale, la copia di conservazione e gli eventuali supporti di lavoro. La documentazione tecnica descrive gli strumenti impiegati, i passaggi rilevanti e i valori hash disponibili, così da rendere il processo controllabile e ripetibile.
Quando può essere utile
- Procedimenti civili, penali o giuslavoristici.
- Consulenze tecniche di parte e accertamenti irripetibili.
- Indagini interne, frodi aziendali e incident response.
- Preservazione di email, documenti, messaggi e registrazioni digitali.
- Esigenze di analisi o recupero di informazioni cancellate, ove ancora disponibili.
Copia forense e analisi: due fasi distinte
L’acquisizione serve a preservare i dati disponibili in un determinato momento; l’analisi serve invece a ricercare e interpretare gli elementi pertinenti al quesito. Tenere separate le due fasi permette di lavorare sulla copia senza esporre inutilmente il dispositivo originale e di definire l’approfondimento in base alle reali necessità del caso.
La possibilità di acquisire dati, aree di memoria o contenuti cancellati varia in funzione del dispositivo, della cifratura, delle credenziali disponibili, dello stato del supporto e delle tecnologie impiegate. Per questo motivo la fattibilità viene sempre verificata prima dell’intervento.
Richiedi una valutazione preliminare
Indicaci il tipo di dispositivo o sistema, il contesto, l’urgenza e l’obiettivo dell’attività. Ti aiuteremo a definire modalità operative, tempi e supporti necessari.