Articolo Pubblicazioni

Il consulente tecnico informatico nel processo civile e penale: CTU, CTP e perito

di · Pubblicato il 19 maggio 2007 - Aggiornato il 14 novembre 2026 · Tratto da «Modalità di intervento del Consulente Tecnico»

Abstract

L’articolo riprende il seminario «Modalità di intervento del Consulente Tecnico» del 19 maggio 2007. Descrive che cosa può e che cosa non può fare il consulente tecnico informatico, nominato dal giudice o da una parte, e quali competenze gli servono. Spiega i cinque requisiti da cui dipende il valore probatorio di una traccia digitale, le fasi di una perizia, la differenza fra prove su sistemi accesi e spenti, la procedura di copia forense di un disco e il contenuto della relazione finale.

Vincenzo Calabrò | Il consulente tecnico informatico nel processo civile e penale: CTU, CTP e perito
 
Nei processi molte prove sono ormai file, messaggi e registri di sistema. Il consulente tecnico informatico è la figura che li traduce in fatti utilizzabili dal giudice, e il suo lavoro vale soltanto se è rigoroso, documentato e ripetibile.

Che cosa fa il consulente

Il consulente può essere nominato dal giudice, come consulente tecnico d’ufficio (CTU) nel processo civile o come perito in quello penale, oppure da una parte, come consulente tecnico di parte (CTP). In ogni caso valgono alcune regole:
  • raccoglie gli elementi utili alla perizia, limitandosi agli aspetti strettamente tecnici;
  • indica nella relazione le fonti delle informazioni usate;
  • svolge solo gli accertamenti richiesti dai quesiti del giudice o della parte;
  • evita di raccogliere elementi che equivalgano a prove testimoniali o a interrogatori formali;
  • può assumere informazioni da terzi e acquisire di sua iniziativa ogni elemento necessario, purché si tratti di fatti accessori e tecnici.
Il lavoro richiede rigore tecnico, professionalità e correttezza deontologica. Le competenze sono ampie e comprendono i componenti hardware, i sistemi operativi e i file system, i formati dei file, le tecnologie e i protocolli di comunicazione, gli strumenti di monitoraggio e di attacco e gli aspetti giuridici della digital forensics.

La traccia digitale e il suo valore probatorio

Lo Scientific Working Group on Digital Evidence definisce la traccia digitale come qualsiasi informazione con valore probatorio memorizzata o trasmessa in formato digitale. Ogni informazione digitale è una sequenza di bit, e leggerla significa interpretarla attraverso un software. Il valore probatorio dipende da cinque requisiti:
  1. autenticità, cioè la certezza che il dato provenga dalla fonte indicata;
  2. integrità, cioè la conservazione inalterata del dato;
  3. veracità, cioè la corretta interpretazione del dato;
  4. completezza, cioè la raccolta di tutti i dati relativi all’informazione rilevante;
  5. legalità, cioè la raccolta secondo le norme.

Le fasi della perizia

Ogni caso attraversa identificazione, acquisizione, analisi e documentazione. Nel dettaglio operativo il seminario indicava questi passi:
  1. lo studio del caso e delle informazioni sull’incarico;
  2. l’avvio della catena di custodia, aggiornata a ogni passaggio;
  3. l’inventario di tutto ciò che può costituire prova, con il numero, il tipo e la configurazione dei dispositivi e gli eventuali collegamenti esterni;
  4. il sopralluogo, documentato con foto, video e descrizione dei luoghi;
  5. la messa in sicurezza dei reperti e la documentazione delle configurazioni;
  6. la scelta dei supporti e dei write blocker e la preparazione degli strumenti di analisi;
  7. la copia dei dati, possibilmente doppia, con il calcolo e il confronto delle impronte di hash;
  8. la registrazione dettagliata delle operazioni e degli orari;
  9. l’estrazione e l’analisi, dalla finestra temporale ai dati nascosti o cancellati, dai file alle applicazioni, dagli utenti ai permessi;
  10. la verifica che chiunque, seguendo la documentazione, arrivi allo stesso risultato.

Sistemi accesi e sistemi spenti

La scena del crimine informatico comprende computer e dispositivi elettronici, supporti di memoria interni, esterni e rimovibili, documenti cartacei e fotografie, apparati di comunicazione e connessioni esterne. Su un sistema acceso si trovano dati volatili che lo spegnimento cancella, come il contenuto della RAM, i processi attivi, i file aperti, l’ora di sistema e gli utenti collegati. In rete si aggiungono il traffico, i log di sessione, le statistiche e le sessioni Wi-Fi e VoIP. A sistema spento si lavora sui supporti, cioè dischi, memorie USB e flash, nastri, router, unità di rete, server di log e di posta.
Davanti a una scena così ampia il seminario suggeriva un criterio restrittivo, chiedendosi quali informazioni servono davvero all’indagine.

La copia forense di un disco

Per un disco di un sistema spento l’obiettivo è una copia immagine che non alteri il reperto, raccolga tutte le informazioni e restituisca dati accurati. La procedura prevede questi passi:
  1. documentare l’hardware della macchina di origine;
  2. scollegare il disco e collegarlo a una postazione con write blocker;
  3. calcolare l’hash del disco, annotando il programma usato;
  4. azzerare il supporto di destinazione;
  5. copiare il dispositivo, annotando il programma usato;
  6. calcolare l’hash della copia e confrontarlo con quello dell’originale;
  7. documentare eventuali errori, rimontare il disco e descrivere gli strumenti hardware e software impiegati;
  8. aggiornare la catena di custodia.
Solo a questo punto comincia l’analisi, sempre sulla copia.

La relazione finale

La relazione riporta i riferimenti del caso, i dati delle figure professionali coinvolte, le date di ricezione dell’incarico e di fine lavori, l’elenco delle prove, i risultati e le conclusioni. Gli allegati tecnici documentano la catena di custodia, le azioni compiute, l’hardware e il software esaminati e gli strumenti e i metodi usati, così che ogni passaggio possa essere verificato in contraddittorio.

Come rendere un’indagine difficile da contestare

Il seminario chiudeva con quattro abitudini, la formazione continua, le verifiche incrociate e indipendenti, l’adesione a standard internazionali e una reportistica scrupolosa. A queste si aggiunge una qualità meno tecnica, l’oggettività accompagnata da una certa modestia. Il consulente fornisce al giudice gli elementi tecnici per decidere, e la decisione resta del giudice.
 
Vedi anche: l’articolo del 2011 La fragilità della prova informatica: caratteristiche generali e problematiche emergenti. Bibliografia: E. Casey, Digital Evidence and Computer Crime, Academic Press.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn