Normativa ISO/IEC 27037

Che cosa disciplina la ISO/IEC 27037

La norma si concentra sulla corretta gestione iniziale delle possibili evidenze digitali. I quattro concetti fondamentali sono:

• identificazione: riconoscere dispositivi, sistemi e dati che possono contenere informazioni rilevanti;
• raccolta: mettere in sicurezza e prendere in carico le fonti digitali con modalità adeguate;
• acquisizione: produrre una copia o estrarre i dati utilizzando tecniche appropriate;
• preservazione: proteggere fonti e copie da modifiche, danneggiamenti o accessi non autorizzati.

La ISO/IEC 27037 non sostituisce le norme processuali e non attribuisce automaticamente valore probatorio a un dato. Fornisce invece principi tecnici utili a rendere le operazioni documentate, verificabili e ripetibili quando possibile.

Principi essenziali

• ridurre al minimo le modifiche alla fonte originale;
• documentare persone, tempi, luoghi, strumenti e attività;
• utilizzare metodi adeguati al tipo di dispositivo e al suo stato;
• preservare integrità e tracciabilità delle copie;
• motivare eventuali operazioni che possono modificare dati;
• consentire a un altro tecnico qualificato di comprendere il percorso seguito.

DEFR e DES: ruoli nella gestione delle evidenze

Il Digital Evidence First Responder (DEFR) interviene nelle prime fasi: riconosce le possibili fonti, valuta i rischi immediati e avvia raccolta e preservazione. Il Digital Evidence Specialist (DES) possiede competenze specialistiche per acquisizioni e attività tecniche più complesse.

I ruoli possono essere ricoperti da persone diverse o integrarsi nello stesso incarico, purché competenze, responsabilità e operazioni siano chiaramente definite.

A quali fonti digitali si applica

I principi possono riguardare computer, smartphone e tablet, hard disk e SSD, memorie rimovibili, server e NAS, sistemi virtuali, reti, videosorveglianza, droni, dispositivi IoT, email, file, log e servizi online accessibili con le necessarie autorizzazioni.

Ogni fonte richiede valutazioni differenti. Un sistema acceso, un dispositivo cifrato, un servizio cloud e un supporto spento non possono essere gestiti con una procedura identica.

La catena di custodia

La catena di custodia documenta i passaggi rilevanti del reperto o della fonte digitale: identificazione, presa in carico, trasferimenti, accessi, acquisizioni, conservazione e restituzione. Può comprendere sigilli, identificativi, fotografie, verbali, soggetti coinvolti, date, orari e motivazioni delle operazioni.

I valori di hash possono contribuire a verificare l’integrità di file e copie, ma devono essere interpretati insieme alla documentazione complessiva del processo.

Come WAYlog applica questi principi

Nel Laboratorio Forense WAYlog le attività vengono pianificate definendo obiettivo, fonti, autorizzazioni, strumenti e materiali da consegnare. Le operazioni possono comprendere:

• acquisizione forense e analisi di dispositivi;
• acquisizione di pagine web, email e file;
• analisi forense di registrazioni audio;
• perizie, CTP, CTU e operazioni in contraddittorio.

Quando coinvolgere uno specialista

È consigliabile richiedere una valutazione prima di accedere, spegnere, spostare, aggiornare o analizzare autonomamente un sistema che può contenere evidenze. Un intervento precoce consente di scegliere le precauzioni appropriate e documentare correttamente le decisioni iniziali.

Le attività possono essere rilevanti in caso di incidente informatico, frode, accesso abusivo, perdita o sottrazione di dati, controversia aziendale, comunicazione contestata, contenuto online a rischio di rimozione o procedimento civile e penale.

Cosa viene documentato

Secondo l’incarico, la documentazione può comprendere identificazione delle fonti, stato iniziale, persone presenti, strumenti, operazioni, copie prodotte, valori di hash, trasferimenti, evidenze selezionate, limiti tecnici e relazione finale.