forumApri un argomento

Quando serve una perizia informatico-forense: come gestire il computer di un dipendente sospetto?

MMusaNuovo membro
Ruolo
Trasporti interurbani
Iscrizione
ott 2024
Messaggio
34
#1

Siamo un'azienda di 25 dipendenti che si occupa di progettazione e produzione di macchinari. Abbiamo notato dai log del server che, la notte prima di andarsene, il nostro responsabile R&S (che si è dimesso la settimana scorsa) ha copiato circa 40 GB di disegni tecnici e portafoglio clienti su un disco esterno. Quando lo abbiamo convocato per un chiarimento, si è rifiutato di presentarsi sostenendo di aver chiuso ogni rapporto con l'azienda. Il nostro consulente legale ha suggerito di sporgere subito denuncia alla procura per concorrenza sleale e violazione di segreti industriali.

Al momento però quel computer è spento sulla scrivania in ufficio. Il nostro responsabile IT interno voleva accendere la macchina per controllare i file, fare un elenco esatto di ciò che è stato prelevato e scansionare le cartelle, ma non gli ho permesso di toccarlo per paura di compromettere la catena di custodia delle prove. A questo punto, cosa fa esattamente una perizia informatico-forense ed è davvero indispensabile chiamare un perito esterno?

Dovremmo rivolgerci alla procura senza toccare il PC, oppure conviene far fare una relazione tecnica a un perito indipendente prima di avviare l'azione legale per allegarla agli atti? Vorrei capire quali passi compiere per evitare che le prove vengano dichiarate inutilizzabili in tribunale.

ÖÖzgür K***Partecipante
Ruolo
Tecnico di supporto sistemi
Settore
Produzione mobili
Tipo di organizzazione
Team di 8 persone
Iscrizione
mag 2025
Messaggio
79

Doki · App mobile · 2023

Più utile#2

Risposta breve: L'informatica forense è il processo di analisi dei dati digitali mediante copia conforme, verificabile e protetta da hash crittografici, affinché le prove siano valide in sede giudiziaria. Nel vostro caso, accendere il computer e controllare i file altererebbe le date di ultimo accesso e modifica; pertanto non dovete assolutamente toccare la macchina e dovete far acquisire un'immagine forense professionale prima di procedere per vie legali.

Nel momento in cui accendete normalmente un computer, il sistema operativo crea centinaia di file temporanei, aggiorna il registro di sistema e sovrascrive i log relativi all'evento. Se in tribunale l'avvocato di controparte sostenesse che "quei file sono stati copiati o modificati dal personale IT interno", non potreste dimostrare il contrario. Un consulente di informatica forense non collega direttamente il disco alla macchina, ma utilizza dispositivi hardware di blocco scrittura (write-blocker) per estrarre una copia forense (forensic image) identica bit a bit. Successivamente calcola il valore hash MD5 o SHA-256 della copia: questa stringa certifica tecnicamente che nemmeno un singolo carattere della prova è stato alterato.

Avete due opzioni: la prima è sigillare il dispositivo nello stato attuale, sporgere querela in procura e attendere la nomina di un CTU/perito d'ufficio. Questa strada è a costo zero, ma le perizie disposte dalla procura possono richiedere mesi, durante i quali il sospettato potrebbe già sfruttare le informazioni commerciali. La seconda strada è richiedere con urgenza un accertamento tecnico preventivo oppure allegare alla denuncia-querela una perizia di parte redatta da un consulente informatico-forense qualificato (ai sensi dell'art. HMK 293). Se i disegni sottratti rappresentano il patrimonio principale dell'azienda, far acquisire l'immagine e predisporre la perizia a un professionista indipendente velocizzerà enormemente la procedura.

İİlknur A***Nuovo membro
Ruolo
Coordinatore generale
Settore
Tessile
Tipo di organizzazione
startup appena avviata
Iscrizione
giu 2026
Messaggio
59
#3

Staccate la spina del computer, abbassate lo schermo e non toccate assolutamente il tasto di accensione. Riponete il dispositivo nella cassaforte aziendale o in un armadio blindato redigendo un verbale firmato da due responsabili. Nel verbale indicate chiaramente marca modello, numero di serie del computer e lo stato dei sigilli di garanzia applicati.

NNergisPartecipante
Ruolo
Compliance Officer
Iscrizione
gen 2024
Messaggio
104
#4

Per poter effettuare verifiche sui computer aziendali sono fondamentali le informative e le policy di sicurezza informatica sottoscritte dal dipendente al momento dell'assunzione. In assenza di un verbale di consegna che attesti che il dispositivo era affidato esclusivamente per uso lavorativo, la controparte potrebbe ribaltare la situazione contestandovi la violazione della privacy.

RRıdvan B***PartecipanteMembro della community
Iscrizione
mag 2023
Messaggio
180
#5

L'anno scorso abbiamo vissuto una situazione simile. Abbiamo richiesto l'acquisizione della forensic image e una perizia informatica forense a una società esterna per due computer, ci hanno fatturato 32.000 TL in totale. Grazie a quella perizia, però, la procura ha disposto il sequestro dei dispositivi digitali a casa dell'indagato nel giro di 3 settimane. Secondo me i soldi spesi li vale tutti.

DDamla Y***PartecipanteMembro della community
Iscrizione
set 2022
Messaggio
131
#6

Per accertare la copia dei dati vengono analizzati i log delle connessioni USB. Attraverso l'analisi delle chiavi USBSTOR nel Registro di Windows, del file "setupapi.dev.log" e dei dati "Shellbags", si stabilisce con assoluta certezza tecnica quale disco esterno (con tanto di numero di serie) sia stato collegato, a che ora e quali cartelle siano state visualizzate.

CCansu K***PartecipanteMembro della community
Iscrizione
giu 2023
Messaggio
61
#7

Sul computer usato dal dipendente c'erano account e-mail personali o sessioni private aperte, oltre a quelli aziendali? Inoltre il log di trasferimento da 40 GB a cui fa riferimento lato server è un log del traffico di rete o un log dei permessi di accesso al file server?

edit: ho scritto una cosa sbagliata sopra, scusate.

ÖÖmer Ö***Partecipante
Ruolo
Responsabile social media
Settore
Tessile
Tipo di organizzazione
laboratorio
Iscrizione
feb 2022
Messaggio
76
#8

Anche se spendete un patrimonio per una società privata di informatica forense il tribunale non baserà la sentenza solo su quella perizia di parte. Nel momento in cui la controparte si oppone, il fascicolo finisce comunque a un perito d'ufficio nominato dal tribunale. Se il budget aziendale è limitato, potrebbe avere più senso fare direttamente denuncia in procura e far mettere tutto sotto sequestro giudiziario.

ÜÜmit Ş***PartecipanteMembro della community
Iscrizione
apr 2022
Messaggio
81
#9

Tre anni fa, per un caso simile, il nostro direttore aprì il PC inserì una chiavetta USB e copiò degli screenshot. In sede di giudizio l'avvocato di controparte disse: "A quell'ora è stato effettuato l'accesso ai file, il mio assistito a quell'ora non era in azienda le prove sono state inquinate", facendo annullare la perizia e abbiamo perso la causa. Per questo motivo non toccate assolutamente nulla.

OOsman K***VeteranMembro della community
Iscrizione
feb 2026
Messaggio
279
#10

vi consiglio di nn far toccare assolutamente il dispositivo al reparto it. da noi x colpa di un collega ke ha acceso il pc x "dare un'occhiata ai log" la cosa è finita malissimo in tribunale, la cosa migliore è affidarsi a chi sa fare questo lavoro.

İİsmail Ş***Partecipante
Ruolo
Tecnico di supporto sistemi
Settore
Produzione mobili
Tipo di organizzazione
boutique agency
Iscrizione
apr 2024
Messaggio
32
#11

Se scendiamo nei dettagli: Se cerchi di cambiare tutto insieme, niente si stabilizza.

Confermato dall'esperienza.

YYasemin Ö***PartecipanteMembro della community
Iscrizione
apr 2023
Messaggio
20
#12

Ha ragione.

YYağmur S***PartecipanteMembro della community
Iscrizione
giu 2023
Messaggio
13
#13

Breve riassunto per i nuovi arrivati: La risposta varia molto in base al settore, non esiste una regola generale.

È tutto, scusate se mi sono dilungato.

ZZehra D***Esperto
Ruolo
IT Manager
Settore
Commercio all'ingrosso alimentare
Tipo di organizzazione
Azienda da 120 dipendenti
Iscrizione
feb 2025
Messaggio
44

Doki · Contratto di manutenzione server · 2024

#14

Sono della stessa opinione. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Spero che le sia utile.

MMehmet G***Partecipante
Ruolo
Impiegato contabile
Settore
Formazione
Tipo di organizzazione
boutique agency
Iscrizione
set 2023
Messaggio
78
#15

Vi spiego come si fa in pratica. Se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla.

Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi. Io seguirei questa strada.

AAyşe Y***PartecipanteMembro della community
Iscrizione
giu 2024
Messaggio
10
#16

approfondisco l'aspetto tecnico e inzia con un piccolo test non impegnarti subito su tutto.

io sgeuirei questa strada.

AAlper B***PartecipanteMembro della community
Iscrizione
lug 2022
Messaggio
304
#17

Hai fatto bene ad aprire questo thread.

GGizem K***Partecipante
Ruolo
Direttore risorse umane
Settore
Logistica
Tipo di organizzazione
laboratorio
Iscrizione
nov 2022
Messaggio
49
#18

Grazie mille, era la risposta che cercavo. Il vero problema non è il numero, ma su cosa si basa quel numero.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse. Spero che le sia utile.

BBeyza B***PartecipanteMembro della community
Iscrizione
ago 2024
Messaggio
1
#19

Grazie mille, mi è stato molto utile. Inizia con un piccolo test, non impegnarti subito su tutto.

Quando prendi una decisione, guarda prima quali dati hai a disposizione. Se avete domande, scrivete, rispondo per quanto possibile.

TTuğçe M***Partecipante
Ruolo
Team leader software
Settore
Formazione
Tipo di organizzazione
startup appena avviata
Iscrizione
lug 2024
Messaggio
217
#20

Preso nota, grazie. L'errore commesso da cos'è l'informatica forense è generalmente reversibile ma costoso.

Rispondi