Una prova digitale vale quanto la sua storia. Un file perfettamente autentico può perdere gran parte del suo peso se non si riesce a dimostrare da dove viene, chi lo ha avuto tra le mani e che cosa gli è successo nel frattempo. La catena di custodia è proprio questo: la documentazione continua e senza interruzioni di tutti i passaggi che un reperto attraversa, dal momento in cui viene individuato fino a quando viene presentato.
Perché è così importante nel digitale
Con un oggetto fisico, un coltello o un documento cartaceo, una manomissione lascia spesso segni visibili. Con i dati non è così. Un file può essere modificato senza alcuna traccia apparente, e due copie identiche sono indistinguibili a occhio nudo. Per questo, nel digitale, l'affidabilità non si vede: si dimostra con la documentazione.
Una catena di custodia lacunosa offre alla controparte un argomento semplice: "nessuno può garantire che questi dati non siano stati alterati". Anche se l'accusa è infondata, rispondere diventa difficile.
Gli elementi di una catena di custodia ben fatta
Identificazione univoca del reperto
Ogni oggetto riceve un codice univoco, per esempio un numero progressivo legato alla pratica. Il codice va riportato su un'etichetta applicata al reperto o alla busta che lo contiene, e in tutti i documenti successivi. Si annotano marca, modello, numero di serie, capacità, colore, eventuali danni visibili.
Descrizione dello stato iniziale
Si registra in che condizioni si trovava il dispositivo: acceso o spento, bloccato o sbloccato, collegato alla rete o no, con quale livello di batteria. Fotografare il dispositivo da più lati, compreso lo schermo se acceso, è una prassi semplice e molto utile.
Registro dei passaggi
Ogni volta che il reperto cambia mano si annotano:
- data e ora del passaggio;
- nome di chi consegna e di chi riceve;
- motivo del trasferimento;
- condizioni del reperto e dei sigilli;
- firma di entrambe le parti.
Impronte di integrità
Per le copie digitali si calcola un'impronta hash al momento dell'acquisizione e la si ricalcola a ogni verifica successiva. Se il valore coincide, i dati sono identici bit per bit. L'impronta va riportata nel verbale, non solo salvata in un file accanto alla copia.
Conservazione fisica
I reperti vanno custoditi in un luogo ad accesso controllato, in buste antistatiche o contenitori sigillati. I sigilli numerati, o almeno firmati a cavallo della chiusura, permettono di accorgersi di aperture non autorizzate.
Un esempio di registro
| Data e ora | Da | A | Motivo | Stato sigillo |
|---|---|---|---|---|
| 12/03 ore 10:15 | Responsabile IT | Consulente tecnico | Acquisizione | Integro, n. 0041 |
| 12/03 ore 16:40 | Consulente tecnico | Armadio blindato | Custodia | Nuovo sigillo n. 0042 |
| 20/03 ore 09:05 | Armadio blindato | Consulente tecnico | Verifica hash | Integro, n. 0042 |
Una tabella del genere, compilata con costanza, risponde in anticipo alle domande che chiunque potrebbe porre.
Errori frequenti
- Lasciare "buchi" temporali: il dispositivo è rimasto per giorni sulla scrivania di qualcuno senza alcuna annotazione.
- Annotazioni generiche: scrivere "consegnato al tecnico" senza nome, ora e firma.
- Lavorare sull'originale: analizzare direttamente il disco sequestrato invece di una copia, alterandone i metadati.
- Hash calcolati tardi: l'impronta va calcolata durante l'acquisizione, non giorni dopo.
- Copie non tracciate: realizzare copie di lavoro senza registrarle, così che non si sappia più quante ne esistono e dove si trovano.
La catena di custodia per i dati online
Quando la prova non è un oggetto ma un contenuto su internet, il principio resta lo stesso, cambia la forma. Si documenta chi ha effettuato la cattura, con quale dispositivo e connessione, a che ora, quali indirizzi sono stati visitati, dove sono stati salvati i file risultanti e con quali impronte. Anche qui, ogni copia successiva deve essere tracciabile.
Proporzionare la documentazione al caso
Non serve un laboratorio con armadi blindati per una piccola controversia. Serve però coerenza: un quaderno con pagine numerate, una busta chiusa e firmata, un file di registro con le impronte e una persona responsabile sono spesso sufficienti. Ciò che conta è che la storia del reperto sia completa e che chiunque, leggendola, possa capire che cosa è successo.
Cosa fare se la catena si è già interrotta
Capita di ricevere materiale già passato per più mani senza alcuna annotazione. In questi casi non bisogna fingere che la catena sia integra. È più corretto ricostruire per iscritto ciò che si sa, con dichiarazioni delle persone coinvolte, e da quel momento in poi applicare la procedura con rigore. Una relazione onesta sui limiti è più credibile di una documentazione ricostruita a posteriori.
In sintesi
- La catena di custodia documenta senza interruzioni tutti i passaggi di un reperto.
- Ogni reperto va identificato in modo univoco, fotografato e descritto.
- Ogni passaggio di mano richiede data, ora, nomi, motivo e firme.
- Le impronte hash vanno calcolate subito e riportate nel verbale.
- Se la catena è già interrotta, va dichiarato apertamente e non nascosto.