Article. What i write

La riconducibilità di un determinato fatto, in un preciso spazio temporale, è, senza ombra di dubbio, uno degli elementi primari per la corretta interpretazione della scena criminis, in quanto consente di rivelare la dinamica degli eventi nell’ordine in cui gli stessi si sono verificati. In caso di omicidio, la prima domanda che gli inquirenti rivolgono al medico legale è quella di stabilire la data e l’ora del decesso, rappresentando un momento fondamentale per la ricostruzione degli avvenimenti che si sono verificati prima dello stesso e subito dopo. La ricostruzione della sequenza temporale degli eventi che hanno determinato un fatto è quindi d’interesse vitale per la risoluzione di qualsiasi caso, di natura legale o professionale, indipendentemente dal contesto di riferimento. Uno degli strumenti che consentono di effettuare l’analisi forense sul tempo è la cosiddetta timeline, ovvero la rappresentazione o esposizione cronologica e concatenata di avvenimenti chiave all’interno di un particolare arco temporale. Nell’informatica forense, con la locuzione timeline s’intende una “fotografia” di tutti gli eventi storici avvenuti in un determinato sistema informatico o telematico. Viene ricostruita mettendo in ordine cronologico tutti gli eventi successivi in un determinato tempo di vita del sistema posto sotto analisi. Avere dei punti di riferimento temporali aiuta sia la ricerca, che l’analisi delle informazioni e riduce significativamente il numero di ipotesi che si possono formulare durante lo svolgimento delle indagini preliminari. Un’azienda privata, per esempio, preoccupata della sicurezza delle proprie informazioni, può decidere di utilizzare la timeline, come strumento di prevenzione da un eventuale evento doloso, per individuare una procedura di attacco alla sicurezza informatica, oppure per evidenziare le eventuali vulnerabilità dell’infrastruttura tecnologica.

Al contrario, le forze dell’ordine potrebbero utilizzare la timeline per sostenere l’identificazione di una persona sospettata di aver commesso un crimine o per preservare le potenziali fonti di prova.

È comunque evidente, in entrambi i casi, che la ricostruzione di una timeline, precisa e credibile, risulta indispensabile per la ricerca della soluzione o per ridurre la durata di un’indagine. L’assenza di una cronologia accurata degli eventi può comportare, a volte, anche la difficile ricostruzione degli eventi e la conseguente applicazione al caso di specie, della fattispecie penale tipica di riferimento per una determinata condotta.

Lo scopo di questo lavoro è di offrire uno spunto di riflessione sull’argomento, utile sia ai consulenti tecnici di parte (o periti informatici nominati dal tribunale), che agli operatori del settore giuridico (magistrati, avvocati, forze dell’ordine ed investigatori).

Su questo tema le investigazioni digitali non fanno eccezione, anzi, come vedremo, l’ambiente digitale offre spunti di grande interesse sotto l’aspetto investigativo e probatorio.

Ancora oggi, sfortunatamente, non è universalmente percepita l’importanza e la delicatezza della prova digitale nel procedimento giudiziario. Per esempio, vi sono casi in cui evidenze fondamentali (fonti di prova o indizi) non emergono durante la fase delle indagini, perché i periti o consulenti del pubblico ministero non li considerano rilevanti, e di conseguenza vengono ritenute apparentemente inutili, ma in realtà rivestono un peso specifico di alto valore probatorio. Ciò può diventare un grosso problema nel momento in cui queste stesse informazioni possono contribuire a disegnare il quadro completo di un crimine tecnologico. Per questo motivo è importante esaminare tutti gli elementi di prova, indipendentemente dal fatto che possano apparire insignificanti.

L’investigatore esperto, infatti, è colui che esamina tutti i dati, compresi quelli temporali, a sua disposizione al fine di trovare fonti di prova o elementi indizianti utili a fornire una corretta ricostruzione degli eventi, capire il modus operandi di un eventuale attacco informatico, il livello di abilità, di conoscenza e la localizzazione. E’ chiaro che per far questo, anche il perito informatico deve avere compreso quello che è il vero compito degli investigatori: non avvalorare una tesi e ricercare elementi di forza per la stessa, ma ricercare ed analizzare ogni elemento alla fine della ricostruzione della verità processuale, che sia il più possibile vicina a quella reale.