Corso di Informatica forense: dall'informatica giuridica all'informatica forense

- A.I.S.F.- ACCADEMIA INTERNAZIONALE DI SCIENZE FORENSI -
Informatica giuridica
3 – L'informatica per il diritto: gli strumenti operativi
4 - ...segue: gli strumenti operativi
Emanuele Florindi
http://www.eflorindi.it/

III – Informatica per il diritto
1. Conclusioni
Il primo punto da osservare in tema di informatica per il diritto è strettamente legato
all'impiego che dovrà essere fatto del sistema: non basta, infatti, acquistare un
computer, collocarlo in uno studio legale per poter considerare risolto il problema.
Il sistema, infatti, dovrà avere determinati requisiti per poter essere considerato
idoneo all'impiego in ambito giuridico. Molti di questi elementi sono strettamente
legati ad un utilizzo specifico, ma, in linea di massima, il sistema dovrà essere dotato
di specifici requisiti minimi in termini di sicurezza.
Per esempio, ai sensi del GDPR il trattamento di dati personali è subordinato
all’adozione di adeguate misure di sicurezza tra cui la crittografia e lo pseudo
anonimato.

1. Conclusioni
Simile discorso può essere fatto per le stampanti.
Per esempio il R.D.10 settembre 1914, n. 1326, approvazione del regolamento per
l'esecuzione della L. 16 febbraio 1913, n. 89, riguardante l'ordinamento del notariato
e degli archivi notarili stabilisce, all'articolo 67, 2° comma:
«Per la scritturazione degli atti originali, giusta l'art. 53 della legge, deve adoperarsi
inchiostro indelebile».
Allo stesso modo si veda l'articolo 7 del DPR 445/2000:
7. (L) Redazione e stesura di atti pubblici.
1. I decreti, gli atti ricevuti dai notai, tutti gli altri atti pubblici, e le certificazioni sono
redatti, anche promiscuamente, con qualunque mezzo idoneo, atto a garantirne la
conservazione nel tempo.
2. Il testo degli atti pubblici comunque redatti non deve contenere lacune, aggiunte,
abbreviazioni, correzioni, alterazioni o abrasioni. Sono ammesse abbreviazioni,
acronimi, ed espressioni in lingua straniera, di uso comune. Qualora risulti
necessario apportare variazioni al testo, si provvede in modo che la precedente
stesura resti leggibile.

1. Conclusioni
Similmente si veda l'articolo 3 della Legge Regione Umbria, 11 del 2006, legge
Dottorini:
Art. 3 (Documenti)
l. L'Amministrazione regionale utilizza programmi per elaboratore a sorgente
aperto per la diffusione in formato elettronico di documenti soggetti all'obbligo di
pubblica esposizione nonché per garantire il diritto di accesso mediante scambio di
dati in forma elettronica.
2. In caso di ricorso a programmi per elaboratori a sorgente non aperto,
l'Amministrazione regionale ne motiva le ragioni e rende disponibile anche un
formato dei documenti più possibile prossimo a formati a sorgente aperto.
Un altro campo in cui la scelta di determinati hardware o software è pressoché
obbligatoria è quello della forensics in cui è necessario utilizzare strumenti in grado
di non alterare le prove.

1. Introduzione

IV – Strumenti operativi
1. La sicurezza del sistema
La legge stabilisce la necessità di utilizzare strumenti software o hardware in grado di rendere
maggiormente sicuro il sistema. Sempre il disciplinare tecnico in materia di misure di sicurezza
impone l'impiego di un programma antivirus (da aggiornare almeno ogni 6 mesi!!!).
Il DLGS 82 del 2005, invece, stabilisce, art.1, le caratteristiche della firma elettronica:
q) firma elettronica: l'insieme dei dati in forma elettronica, allegati oppure connessi tramite
associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica;
q-bis) firma elettronica avanzata: insieme di dati in forma elettronica allegati oppure connessi a
un documento informatico che consentono l'identificazione del firmatario del documento e
garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario puo'
conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da
consentire di rilevare se i dati stessi siano stati successivamente modificati;
r) firma elettronica qualificata: un particolare tipo di f. e. avanzata che sia basata su un
certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma;
s) firma digitale: un particolare tipo di firma elettronica avanzata basata su un certificato
qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra
loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave
pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrita' di un
documento informatico o di un insieme di documenti informatici.
Anche in questo caso, quindi, la scelta e l'impiego di un applicativo piuttosto che di un altro
dovrà essere subordinata alla conoscenza della normativa specifica ed alla consapevolezza
delle caratteristiche tecniche di quel determinato prodotto.

2. Pacchetti operativi
Anche la scelta dei pacchetti operativi, spesso, non può prescindere da
considerazioni di carattere giuridico. In primo luogo vi possono essere normative
specifiche (come nel caso della legge Dottorini per la Regione Umbria). In
secondo luogo vi possono essere limitazioni all'impiego di determinate versioni di
programmi in certi ambienti.
Per esempio, molti programmi freeware sono gratuiti soltanto se utilizzati al di fuori
di un contesto professionale.
La prima tipologia di “pacchetti” che prendiamo in esame è quella relativa all'office
automation.
Si tratta di programmi in grado di automatizzare e velocizzare tutte quelle attività
tipiche della professione: scrivere, fare calcoli, gestire le proprie scadenze...
Esemplari tipici di questa categoria sono Open Office e Microsoft Office.
Seguono, poi, i programmi di telecomunicazione digitale che oggi stanno
pressoché soppiantando i sistemi tradizionali.
In particolare l'e-mail ha ormai quasi completamente sostituito il fax e, nella sua
versione certificata ex art.48 DLGS 8205 e DPR 68 del 2005, si appresta a
sostituire anche la Raccomandata AR.

Il Voip, Voice Over IP, si appresta a
sostituire il telefono tradizionale
grazie ai suoi costi particolarmente
contenuti, alla sua maggiore
sicurezza ed alla flessibilità
praticamente illimitata.
Da un punto di vista strettamente
giuridico l'impiego di sistemi VOIP
anziché delle linee telefoniche
tradizionali non pone particolari
problemi.
Allo stesso modo non pongono
problemi di sorta le applicazioni
correlate (videotelefonata, modalità
conferenza e simili).

Le stesse forze di polizia si stanno attrezzando per consentire la collaborazione
remota tra operatori di differenti sedi eo di differenti corpi.
Un esempio ne è il sistema CETS adottato recentemente dalla Polizia Postale.
Di seguito 3 immagini tratte dalla presentazione effettuata a Roma il 16 ottobre
2006 dal Dott.Domenico Vulpiani.

2. Tools investigativi
Un discorso a parte deve essere fatto per i tools investigativi.
Questi, che analizzeremo più nel dettaglio in una delle prossime lezioni, rappresentano, forse, il
momento di maggior contatto tra l'informatica per il diritto, il diritto dell'informatica e l'informatica
forense.
Si tratta di specifici programmi per clonare, acquisire ed analizzare evidenze digitali riducendo
al minimo il rischio di una loro alterazione.
Già soltanto la scelta relativa al formato di questi programmi (open source o closed source)
costituisce argomento di ampissimo dibattito in dottrina.
Da ultimo, abbiamo gli strumenti impiegati per acquisire e controllare gli hash di file ed
immagini.
Hash, dall'inglese to hash sminuzzare, mescolare, è un termine che, nel linguaggio scientifico,
indica una funzione univoca operante in un solo senso (ossia, non può essere invertita), atta
alla trasformazione di un testo di lunghezza arbitraria in una stringa di lunghezza fissa. Tale
stringa rappresenta una sorta di "impronta digitale" del testo in chiaro, e viene detta valore di
hash, checksum crittografico o message digest.
In ambito informatico, la funzione di trasformazione che genera l'hash opera sui bit di un file
qualsiasi, restituendo una stringa di bit di lunghezza predefinita. Spesso il nome della funzione
di hash include il numero di bit che questa genera: ad esempio, SHA-256 genera una stringa di
256 bit. (per approfondire: Wikipedia, voce hash).

2. Hash

3. Hash e diritto
L'hash gioca un
ruolo
fondamentale
nel diritto in
quanto “firma
elettronica”
(rectius
un'impronta
elettronica >
digital
signature) in
grado di
identificare un
file e
dimostrarne
eventuali
alterazioni.

4. Information retrieval
L'informatica ha notevolmente semplificato il processo di raccolta, catalogazione ed
archiviazione delle informazioni.
Tale processo trova la sua massima applicazione nel concetto di BANCA DATI.
In informatica definiamo una banca dati come un archivio di dati, riguardanti uno
stesso argomento o più argomenti correlati tra loro, strutturato in modo tale da
consentire la gestione dei dati stessi (l'inserimento, la ricerca, la cancellazione ed il
loro aggiornamento) da parte di applicazioni software.
Quindi, perché possa parlarsi di BancaDati, è necessario che i dati siano strutturati.
Da un punto di vista giuridico le banche dati vengono tutelate dalla legge 633 del
1941, LdA, che, dopo la modifica del D.Lgs. 29 dicembre 1992, n. 518 e del D.Lgs. 6
maggio 1999, n. 169, prevede espressamente le banche dati tra le opere protette,
purché per la scelta o la disposizione del materiale costituiscano una creazione
intellettuale dell'autore.
In genere le banche dati consentono di effettuare una ricerca al loro interno
impiegando uno o più dati esca che possono consistere in una data (i.e.29/12/92),
un numero ed una data (legge 547/93), un argomento (diritto di autore) oppure una
o più parole chiave (i.e. omicidio volontario) spesso collegate tra di loro attraverso
operatori logici (AND, OR, NOT, ADJ, NEAR...)..

5. Banche dati giuridiche
Le banche dati giuridiche
possono essere suddivise
per contenuto (legislazione,
giurisprudenza, dottrina) per
modalità di utilizzo (off-line o
in-line). Ovviamente non si
tratta di una distinzione
rigida in quanto un
medesimo prodotto può
comprendere differenti
tipologie di banche dati. Anzi
la scelta di accorpare più
banche dati all'interno di un
medesimo prodotto è oggi
sempre più frequente.

5. Banche dati investigative pubbliche
Le BD investigative
pubbliche, da non
confondere con
quelle riservate ai
corpi di polizia,
costituiscono, in
genere, uno
strumento finalizzato
a migliorare i
rapporti tra
Istituzioni e cittadini
consentendo a
questi ultimi di
accedere in maniera
rapida e gratuita a
tutta una serie di
informazioni utili.

5. Hash e diritto

5. Banche dati di corpi di polizia
Si tratta di banche dati specialistiche il cui accesso è, dovrebbe essere!!!, riservato agli
appartenenti alle forze i polizia.
Sono dedicate ad argomenti specifici e, spesso, sono espressamente previste da testi
normativi. Si veda, per esempio, l'articolo 19 della legge 38 del 2006:
19. 1. Dopo l'articolo 14 della legge 3 agosto 1998, n. 269, sono inseriti i seguenti:
«Art. 14-bis. - (Centro nazionale per il contrasto della pedopornografia sulla rete INTERNET) -
1. Presso l'organo del Ministero dell'interno di cui al comma 2 dell'articolo 14, è istituito il Centro
nazionale per il contrasto della pedopornografia sulla rete INTERNET, di seguito denominato
«Centro», con il compito di raccogliere tutte le segnalazioni, provenienti anche dagli organi di
polizia stranieri e da soggetti pubblici e privati impegnati nella lotta alla pornografia minorile,
riguardanti siti che diffondono materiale concernente l'utilizzo sessuale dei minori avvalendosi
della rete INTERNET e di altre reti di comunicazione, nonché i gestori e gli eventuali beneficiari
dei relativi pagamenti. Alle predette segnalazioni sono tenuti gli agenti e gli ufficiali di polizia
giudiziaria. Ferme restando le iniziative e le determinazioni dell'autorità giudiziaria, in caso di
riscontro positivo il sito segnalato, nonché i nominativi dei gestori e dei beneficiari dei relativi
pagamenti, sono inseriti in un elenco costantemente aggiornato.
2. Il Centro si avvale delle risorse umane, strumentali e finanziarie esistenti. Dall'istituzione e dal
funzionamento del Centro non devono derivare nuovi o maggiori oneri a carico del bilancio dello
Stato.

5. Banche dati di corpi di polizia e diritto
Da un punto di vista giuridico le banche dati dei corpi di polizia sono state più volte oggetto di dichiarazioni del
Garante per la protezione dei dati personali. Si veda, per esempio, il Provvedimento del 17 novembre 2005 in merito
all'abusivo utilizzo dello SDI:
Il 7 luglio 2005 il Garante ha disposto alcuni accertamenti per verificare l'idoneità delle misure di sicurezza adottate
per i trattamenti di dati personali presso il Centro elaborazione dati (C.e.d.) del Dipartimento della pubblica sicurezza
del Ministero dell'interno. Gli accertamenti, avviati anche a seguito di un'indagine penale nella quale è stato
contestato l'abusivo utilizzo di dati registrati nel C.e.d. (art. 12 l. n. 121 del 1981), sono stati effettuati nei modi previsti
dal Codice in materia di protezione dei dati personali, per il tramite di un componente del Garante da questo
designato e con l'assistenza di personale specializzato (art. 160), esaminando anche gli elementi forniti dal
Dipartimento, il quale ha prestato la collaborazione richiesta...
Il C.e.d., istituito con legge, provvede alla raccolta, classificazione e conservazione di informazioni e dati forniti in
particolare dalle forze di polizia in materia di tutela dell'ordine, della sicurezza pubblica e di prevenzione e repressione
della criminalità (artt. 6 e 8 l. 1° aprile 1981, n. 121)... Le principali applicazioni informatiche del C.e.d. sono rese
disponibili nell'ambito del Sistema di indagine (S.d.i.) che a partire dal 2001 ha rimodellato il patrimonio informativo
del C.e.d. sulla base di una riprogettazione della struttura della banca dati. Sono stati così introdotti nello S.d.i. alcuni
strumenti finalizzati ad un utilizzo più agevole per gli operatori, basati anche su una tecnologia web su rete privata e
su sistemi statistici di supporto alle decisioni.
Rispetto alle precedenti applicazioni del C.e.d., lo S.d.i. ha permesso di collegare le informazioni contenute nei diversi
database riorganizzandole secondo un modello relazionale di base di dati focalizzato sui reati e sulle notizie di reato...
In relazione agli elementi acquisiti il Garante rileva, però, la necessità di impartire al Ministero dell'interno–
Dipartimento della pubblica sicurezza una prima serie di prescrizioni, limitatamente al profilo delle misure di sicurezza
dei dati personali e dei sistemi, volte ad assicurare un rafforzamento del livello di protezione delle informazioni
registrate nel C.e.d... Il sistema informativo del C.e.d. annovera un numero elevato di soggetti legittimati alla sua
consultazione, complessivamente superiore a 130.000 unità abilitate presso circa 12.000 uffici, con un volume
giornaliero medio superiore a 650.000 accessi da parte di circa 8.000 soggetti abilitati...
... OMISSIS...

4.7 Finalità dell'utilizzo dei dati consultati
La definizione di numerosi profili di autorizzazione permette una certa ripartizione delle competenze e dei
livelli di accesso. Tuttavia, all'atto dell'accesso ad una particolare funzionalità del sistema, non viene richiesta
alcuna informazione, anche sintetica, in merito alla specifica finalità che l'incaricato intende perseguire...
Anche in relazione al principio secondo cui i dati personali devono essere trattati per finalità esplicite,
determinate e verificabili (art. 11 del Codice), occorre introdurre un sistema che imponga al soggetto
legittimato che accede alla banca dati di specificare, almeno per alcune classi di dati od operazioni trattate, la
finalità della sessione di lavoro o della singola operazione (di cui deve restare traccia nella documentazione
di security auditing), avvalendosi eventualmente di una lista predefinita di causali codificate, in modo da
favorire l'uso agevole del sistema...
In tema di security auditing (intendendosi per tale la registrazione, l'esame e la verifica di attività rilevanti ai
fini della sicurezza che abbiano luogo in un sistema informatico protetto), il C.e.d. prevede la tenuta dei log
degli accessi e delle transazioni, anche di sola lettura, che vengono attualmente conservati nel patrimonio
informativo del Centro contribuendo a successivi accertamenti su certe operazioni effettuate. Sono tuttavia
assenti meccanismi di auditing di ausilio alla verifica di anomalie o del superamento di soglie predefinite per
alcuni indici di prestazione... Nell'individuare termini congrui di conservazione dei predetti log, occorre
introdurre strumenti e funzionalità di auditing relativi alla sicurezza del sistema volti a permettere ai
responsabili del Centro di individuare meglio anomalie e di controllare più agevolmente il suo funzionamento,
anche mediante opportuni moduli software nel sistema informativo per il monitoraggio delle performance del
sistema e della disponibilità dei dati...
L'attuale disponibilità di log files degli accessi e delle transazioni, e quella eventuale di dati di auditing più
articolati o variamente aggregati, consentirebbe l'elaborazione di rapporti retrospettivi; attualmente, non è
invece prevista l'elaborazione sistematica delle stesse informazioni, come strumento di controllo dell'utilizzo
della banca dati da mettere anche a disposizione in caso di verifiche di vario tipo....

TUTTO CIÒ PREMESSO IL GARANTE
ai sensi dell'articolo 154, comma 1, lett. c), del Codice prescrive al Ministero
dell'interno-Dipartimento della pubblica sicurezza di adottare presso il Centro
elaborazione dati del medesimo Dipartimento le misure e gli accorgimenti di cui ai
relativi punti da 4.1 a 4.11, entro i termini di sei mesi (per i punti da 4.1 a 4.10) o di
diciotto mesi (per il punto 4.11.), entrambi decorrenti dalla data di ricezione del
presente provvedimento, misure ed accorgimenti inerenti a:
soggetti abilitati alla consultazione e all'inserimento dei dati;
censimento delle postazioni informatiche;
autenticazione informatica;
modalità di accesso al sistema;
cifratura dei dati sensibili e giudiziari;
limitazioni e controlli sull'utilizzo dei dati;
finalità dell'utilizzo dei dati consultati;
auditing di sicurezza;
rapporti statistici;
sicurezza e integrità dei dati di log e di auditing;
disponibilità dei dati e continuità di esercizio del sistema.
Roma, 17 novembre 2005

6. Siti WEB istituzionali
Fino ad arrivare alla creazione di un vero e proprio commissariato di PS virtuale.
Si tratta di siti web che, ai sensi del DPR 445/2000 e del DLGS 82/2005 hanno il compito di
agevolare i rapporti tra i privati e le istituzioni; Contengono informazioni, moduli di contatto,
documentazioni e guide per richiedere ed ottenere servizi di vario genere.

6. Siti WEB istituzionali
Da un punto di vista giuridico i siti web della P.A. Devono essere conformi alla
normativa in tema di accessibilità ed evitare, per quanto possibile, il DIGITAL
DIVIDE.
In particolare la “legge Stanca”, legge 9 gennaio 2004, n. 4, stabilisce:
1. Obiettivi e finalità.
1. La Repubblica riconosce e tutela il diritto di ogni persona ad accedere a tutte le
fonti di informazione e ai relativi servizi, ivi compresi quelli che si articolano
attraverso gli strumenti informatici e telematici.
2. È tutelato e garantito, in particolare, il diritto di accesso ai servizi informatici e
telematici della pubblica amministrazione e ai servizi di pubblica utilità da parte
delle persone disabili, in ottemperanza al principio di uguaglianza ai sensi
dell'articolo 3 della Costituzione.

Avv.Emanuele Florindi
<emanuele.florindi@eflorindi.it>
Grazie per l'attenzione!
Per approfondire:
http://www.eflorindi.it/
http://www.accademiascienzeforensi.it
© 2018 by Emanuele Florindi emanuele.florindi@eflorindi.it.
Il presente materiale è soggetto a licenza CC Attribuzione - Condividi allo stesso modo 3.0 Italia (CC BY-SA 3.0).
La comunicazione all’autore non è obbligatoria, ma è gradita.

Corso di Informatica forense: dall'informatica giuridica all'informatica forense

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie Corso di Informatica forense: dall'informatica giuridica all'informatica forense

Ähnlich wie Corso di Informatica forense: dall'informatica giuridica all'informatica forense (20)

Mehr von Emanuele Florindi

Mehr von Emanuele Florindi (15)

Kürzlich hochgeladen

Kürzlich hochgeladen (9)

Corso di Informatica forense: dall'informatica giuridica all'informatica forense

Hinweis der Redaktion