Come conservare le prove digitali: dimostrare l’integrità, la provenienza e la catena di custodia

In tutti i flussi di lavoro, il filo conduttore che noterete è il modo in cui una persona deve accertare un fatto, difendere una conclusione o dimostrare che sia stata seguita una procedura prevista, utilizzando i documenti come prova. Ciò si ricollega ai concetti di prova, conservazione delle prove e valore probatorio.

Si tratta in tutti i casi di flussi di lavoro basati su prove concrete, in cui le aziende devono ricostruire gli eventi, stabilire le responsabilità, dimostrare che gli obblighi o i controlli sono stati rispettati e fornire prove difendibili a un decisore interno o esterno.

Le conseguenze di una conservazione inadeguata sono concrete. Nel settembre 2022, la Securities and Exchange Commission degli Stati Uniti ha annunciato l’adozione di provvedimenti coercitivi nei confronti di 16 società di Wall Street a causa di gravi carenze nel mantenimento e nella conservazione delle comunicazioni elettroniche. Le aziende hanno accettato di pagare oltre $1,1 miliardi in sanzioni complessive. La SEC ha affermato che tali mancanze hanno privato i propri investigatori delle comunicazioni che avrebbero dovuto essere disponibili nel corso delle indagini di vigilanza.

Nel 2023, altre 11 società sono state accusate di non aver provveduto alla conservazione e alla salvaguardia delle comunicazioni elettroniche; le società hanno accettato di pagare un importo complessivo di $289 milioni di sanzioni. La SEC ha definito tali inadempienze come violazioni degli obblighi di conservazione dei dati previsti dalla normativa federale in materia di titoli e ha ribadito l'importanza di conservare le comunicazioni elettroniche ai fini della vigilanza normativa e delle indagini.

E i rischi vanno ben oltre la semplice tenuta dei registri previsti dalla normativa. Nel Regno Unito, l’Alta Corte ha ritenuto Raymond McKeeve colpevole di oltraggio alla corte dopo che del materiale elettronico era stato distrutto in circostanze in cui vigevano obblighi di conservazione. Il tribunale ha successivamente inflitto una Multa di 25.000 sterline e ha emesso ordinanze di pagamento di importi significativi. Ocado, la società, ha riferito che il suo le spese legali avevano raggiunto circa 1,1 milioni di sterline. Il signor McKeeve, la persona coinvolta, ha subito circa 615.000 sterline di spese legali.

La gestione dei documenti e la conservazione delle prove digitali sono strettamente correlate. La gestione dei documenti garantisce la conservazione di registrazioni aziendali affidabili; la conservazione delle prove protegge le informazioni che potrebbero essere necessarie in seguito per stabilire cosa sia accaduto.

La lezione è semplice: non limitatevi a conservare le informazioni digitali, ma preservatele in modo da poter dimostrare di cosa si tratta e perché sono attendibili quando serve.

Lo scopo di una procedura operativa standard (SOP) aziendale per la conservazione delle prove è quello di stabilire una serie limitata di controlli obbligatori che garantiscano l’integrità, l’autenticità, la tracciabilità e la riproducibilità delle prove dal momento in cui vengono identificate fino alla loro eventuale presentazione o eliminazione. Le tre principali fonti di riferimento utilizzate per redigere la presente SOP, e alle quali è possibile fare riferimento per redigere la propria, sono:

• ISO/IEC 27037:2012 Tecnologia dell'informazione - Tecniche di sicurezza - Linee guida per l'identificazione, la raccolta, l'acquisizione e la conservazione delle prove digitali;
• ’Gruppo di lavoro scientifico sulle prove digitali" (SWGDE) Linee guida per la raccolta delle prove digitali (e 17-F-002-2.1, 18-F-002-2.0, 21-F-001-1.1, 23-F-004-1.1);
• NIST SP 800-86’Guida all'integrazione delle tecniche forensi nella risposta agli incidenti" e NIST IR 8387 Conservazione delle prove digitali - Considerazioni per chi gestisce le prove.

La regola da seguire dovrebbe essere: Non modificare mai ciò che non puoi sostituire; non trasferire mai ciò che non puoi rintracciare; non fare mai affidamento su prove di cui non puoi verificare l'integrità.

Ciò non intende sostituire le procedure forensi specializzate. SWGDE sottolinea espressamente che i propri documenti sulle migliori pratiche non sono manuali di formazione, non sono esaustivi e potrebbero non essere applicabili a ogni circostanza. Qualora una situazione richieda una deroga, tale deroga e le azioni intraprese devono essere documentate in modo approfondito.

Ogni trasferimento di prove deve essere riconducibile a un identificativo univoco e deve registrare, come minimo, chi lo ha effettuato, chi lo ha ricevuto, quando è avvenuto e per quale motivo. La norma SWGDE 17-F-002 identifica esplicitamente questi elementi come le informazioni minime relative alla catena di custodia per i trasferimenti di prove digitali. L’obiettivo non è la complessità burocratica, bensì la continuità. In qualsiasi momento, l’organizzazione dovrebbe essere in grado di rispondere a:

• Dove sono le prove?
• Chi ha l'affidamento?
• Quando è cambiata l'affidamento?
• Perché è cambiato?
• Ne è stata verificata l'integrità?

Se non è possibile rispondere a tali domande, il processo di gestione delle prove presenta una lacuna in termini di tracciabilità.

Si noti che il punto di forza di una procedura operativa standard (SOP) risiede nel fatto che i controlli rimangono stabili mentre l’implementazione diventa più sofisticata. Un'organizzazione di piccole dimensioni potrebbe utilizzare un registro delle prove controllato, moduli di acquisizione standardizzati, hash crittografici, archiviazione crittografata e trasferimenti di custodia documentati. Un'azienda più grande può aggiungere progressivamente un controllo degli accessi basato sui ruoli, archivi delle prove immutabili o protetti da scrittura, verifica automatizzata degli hash, registri di audit a prova di manomissione, ecc. Il punto importante è che queste funzionalità estendere i controlli iniziali, anziché sostituirli.

Consulta il quadro di riferimento per tutti i contenuti e gli altri casi d'uso specifici che potrebbero adattarsi meglio al tuo flusso di lavoro.

Per iniziare a lavorare, è importante anche tenere conto delle difficoltà più comuni che potresti incontrare, anche se hai già un piano ben definito.

L'obiettivo è sempre quello di affrontare queste sfide e trasformarle trasformare le prove digitali in un documento che l'azienda possa verificare, spiegare e difendere.

Nel flusso di lavoro relativo alla conservazione delle prove, operiamo attraverso le fasi “Fingerprint” e “Verify”: creiamo un hash crittografico del documento conservato, lo fissiamo in modo sicuro a un momento specifico e, successivamente, verifichiamo che il documento corrisponda ancora a tale hash. Connecting Software’s Truth Enforcer soddisfa questo specifico requisito: crea un’impronta crittografica di un file e la registra in un registro blockchain immutabile, consentendo di verificare in un secondo momento se il file ha subito modifiche senza che il documento sottostante esca dal controllo dell’organizzazione.

Truth Enforcer potrebbe fornire un controllo discreto dell'integrità all'interno di tali flussi di lavoro: determinare e successivamente verificare lo stato di un record.