Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Quando la Polizia Postale o l’autorità giudiziaria entra in azienda, CISO e amministratori IT devono conoscere limiti, obblighi e rischi legali. La gestione della prova digitale, dei sequestri informatici e dei dati forensi richiede procedure corrette per evitare errori, contestazioni penali e blocchi operativi.
Uno dei momenti di massima frizione tra l’esercizio dell’azione penale e la tutela delle libertà costituzionali è rappresentato dalla perquisizione informatica all’interno dei locali aziendali. Come avvocato penalista specializzato in reati tecnologici, nei miei oltre trent’anni di attività professionale, assistendo decine di imprese in questa delicata fase, ho avuto modo di constatare come sia facile commettere errori fatali. La prima considerazione da fare è che per i professionisti della sicurezza informatica, i CISO e gli amministratori di sistema, l’ingresso improvviso della Polizia Postale ovvero di altre forze dell’ordine, costituisce un evento delicato che richiede una conoscenza dei limiti legali dell’atto investigativo e delle precise responsabilità connesse alla gestione dei sistemi.
La seconda riflessione è che la gestione della prova digitale si colloca in un panorama normativo e giurisprudenziale in rapidissima evoluzione, con la conseguenza che l’apparente immaterialità del dato si scontra con il rigore formale delle procedure di digital forensics e con le severe sanzioni previste per l’ostacolo alla giustizia. Ne deriva che la comprensione dei confini dei poteri degli inquirenti e dei doveri del team IT è fondamentale per evitare che un’attività di verifica si trasformi in un grande problema giudiziario personale o in un arresto dell’attività d’impresa.
L’attuale normativa esige che gli investigatori adottino misure tecniche idonee ad assicurare la conservazione dei dati originali e a impedirne l’alterazione. E’innegabile che in questa fase sorga una fisiologica tensione tra l’assenza di un obbligo generale di collaborazione attiva in capo all’azienda e l’opportunità di adottare una condotta facilitatrice. Posto che l’indagato e i suoi collaboratori non siano tenuti a facilitare attivamente il lavoro degli inquirenti, è ovvio che una condotta collaborativa consenta di eseguire le operazioni in tempi notevolmente più rapidi, limitando l’impatto negativo sulle infrastrutture aziendali.
Quando le attività sul luogo sono terminate, le stesse vengono cristallizzate nel verbale di operazioni. Si tratta di un documento di grande importanza per la difesa successiva ed è compito del team IT vigilare affinché in esso sia dettagliato con estrema precisione, indicando, ad.es. se un sistema sia stato acceso, chi lo abbia utilizzato e quali specifiche attività di ricerca siano state svolte.
Per valutare come sia stata compiuta l’acquisizione della prova digitale è utile ricordare come la stessa non possa tradursi in una indiscriminata invasione della sfera aziendale guidata esclusivamente dal fine perseguito. Il principio di proporzionalità e adeguatezza è infatti l’architrave costituzionale su cui si fonda la legittimità di qualsiasi misura di ricerca della c.d. digital evidence. Da questo punto di vista si osserva come la qualificazione giuridica dei messaggi WhatsApp, degli SMS e delle email ha subito una radicale metamorfosi.
Ho vissuto in prima linea l’intera evoluzione di questo dibattito, registrando comein passato la giurisprudenza considerava le chat memorizzate alla stregua di meri documenti storici liberamente acquisibili mediante screenshot o fotoriproduzione, mentre oggi tale impostazione risulta superata. Lo scambio di messaggi elettronici viene,infatti, considerato come una forma di corrispondenza protetta dall’articolo 15 della Costituzione, e tale tutela permane finché la comunicazione conserva carattere di attualità per i corrispondenti. Ne deriva che l’acquisizione di tali dati impone necessariamente l’adozione di un motivato decreto di sequestro di corrispondenza, pena l’inutilizzabilità di quanto appreso dall’inquirente.
La giurisprudenza, per evitare che il sequestro paralizzi l’attività d’impresa, richiede un modello operativo che distingue la copia-mezzo, ovvero il duplicato informatico integrale speculare eseguito con metodologie forensi e calcolo dei valori hash, dalla copia-fine. L’effettivo oggetto del sequestro probatorio consiste nel solo sottoinsieme di dati strettamente pertinenti al reato, estratti attraverso l’applicazione di filtri temporali o parole chiave. Non è legittimo, invece, il trattenimento indiscriminato dell’intera copia forense senza procedere alla selezione e alla restituzione dei dati non pertinenti, perché ciò equivalerebbe a un sequestro a strascico, che vizia la validità stessa della copia detenuta dall’autorità.
Per gli amministratori di sistema e per gli specialisti IT la perquisizione li pone spesso nell’occhio del ciclone, stretti tra le pressanti richieste degli operanti e i vincoli di riservatezza aziendale. E’ agevole rilevare come la richiesta di consegnare codici d’accesso, password o di abilitare sensori biometrici per lo sblocco di dispositivi e partizioni criptate, tocchi direttamente il diritto fondamentale a non collaborare alla propria incriminazione. Se diamo un occhiata alla attuale giurisprudenza, registriamo come oggi la doverosità della collaborazione viene modulata in base al ruolo processuale del soggetto.
Se il dipendente o l’amministratore IT risulta scritto nel registro degli indagati , lo stesso non ha alcun obbligo di rivelare password o chiavi di decifratura, e il suo silenzio non può in alcun modo essere interpretato come intralcio alla giustizia. Differente il discorso nel caso di ‘amministratore IT terzo estraneo, inteso come persona informata sui fatti, che ha l’obbligo di conformarsi alla richiesta dell’autorità giudiziaria se gli viene chiesto di inserire le proprie credenziali per consentire l’accesso a sistemi aziendali, salvo il caso in cui l’atto lo esponga a un concreto rischio di autoincriminazione personale. L’eventuale rifiuto ingiustificato potrebbe esporlo al reato di favoreggiamento personale.
Posto che la mancata collaborazione attiva può rientrare nelle legittime prerogative di difesa, qualsiasi intervento attivo di alterazione o distruzione dello stato dei sistemi e dei dati finalizzato a occultare prove o a intralciare l’operato degli operanti, espone chi lo pone in essere a contestazioni delittuose. La fattispecie di reato che sovente in questi casi può rilevare è quella del favoreggiamento personale che si realizzerebbe a seguito di interventi impropri sui sistemi aziendali durante le indagini.
Poiché è un delitto di pericolo, che non richiede,pertanto, lo sviamento effettivo delle indagini, è sufficiente che l’attività del tecnico abbia frapposto un ostacolo anche solo temporaneo alle ricerche. In questo perimetro vanno collocate azioni quali la cancellazione o la rotazione forzata dei file di log, la formattazione rapida di dischi rigidi, lo scollegamento improvviso di server di storage o lo spostamento di backup su cloud server non censiti.
Secondo la giurisprudenza consolidata commette il delitto di favoreggiamento personale anche chiunque fornisca dichiarazioni mendaci o persista nel negare circostanze di fatto ai quesiti degli inquirenti, poiché il diritto di tacere non si estende al diritto di mentire. Si può configurare invece il delitto di frode processuale quando l’alterazione dello stato dei sistemi venga posta in essere per trarre in inganno il giudice o il perito. Tale condotta potrebbe immaginarsi nella manipolazione retroattiva dei metadati di un file o l’inserimento di dati falsi nei registri di log per scagionare o incriminare un utente.
Per evitare di incorrere in contestazioni penali, il management aziendale e il dipartimento di sicurezza devono affrontare la perquisizione, seguendo linee guida ben precise. Innanzitutto occorre verificare il decreto per perimetrare l’ispezione ai soli dispositivi, account o server espressamente indicati nel provvedimento giudiziario.
Parimenti è fondamentale attivare il protocollo di difesa tecnica, contattando l’ufficio legale e un consulente tecnico di parte specializzato in digital forensics, che possa affiancare la polizia giudiziaria durante le attività di estrazione. Infine, ovviamente, per tutta la durata dell’atto, vi è il divieto assoluto di compiere bonifiche di file, rotazioni forzate dei log o ripristini da backup perché possono apparire come tentativi di inquinamento probatorio. In questa fase è fondamentale mantenere una gestione passiva dei sistemi, garantendo che ogni minima operazione sia analiticamente registrata nel verbale conclusivo. Io stesso ho potuto constatare nel corso degli anni come la tempestività e la precisione nelle ore della perquisizione e del sequestro può determinare a volte l’esito dell’intero percorso giudiziario.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/