FAQ recupero dati: risposte alle vostre domande

Il data recovery forense (o digital forensics) è un processo tecnico rigoroso che mira non solo a recuperare dati cancellati o nascosti, ma anche a preservare la catena di custodia affinché questi dati siano ammissibili in tribunale.

Le principali differenze rispetto a un recupero dati classico:

Sì, a condizione che l'analisi sia stata condotta secondo gli standard forensi riconosciuti. Affinché una prova digitale sia ammissibile dinanzi a un tribunale svizzero o europeo, devono essere soddisfatte diverse condizioni:

• Integrità dei dati garantita — il supporto originale non è stato modificato (utilizzo di un blocco di scrittura hardware durante l'acquisizione)
• Tracciabilità della catena di custodia — documentazione di ogni manipolazione dal sequestro all'analisi
• Hachage crittografico — impronta MD5 e SHA-256 calcolata all'acquisizione per provare l'integrità
• Rapporto di perizia certificato — redatto da un esperto che possa testimoniare la sua metodologia

I nostri rapporti forensi sono redatti secondo gli standard ISO/IEC 27037 (identificazione e raccolta di prove digitali) e possono essere presentati dinanzi alle giurisdizioni svizzere e francesi.

L'expertise forense digitale è richiesta in numerosi contesti professionali e giudiziari:

• Contenziosi commerciali — ricerca di prove di appropriazione indebita, violazione di clausole di riservatezza, frode interna
• Procedimenti penali — assistenza giudiziaria su sequestro di materiale informatico, analisi di supporti sequestrati
• Incidenti di sicurezza — analisi post-incidente di un attacco informatico, identificazione del vettore di intrusione, estensione dell'esfiltrazione
• Diritto del lavoro — ricerca di prove di infrazioni commesse sul materiale dell'azienda (molestie, furto di dati, utilizzo abusivo)
• Procedimenti di divorzio o familiari — recupero di prove digitali nel contesto di procedimenti civili
• Assicurazioni — ricostruzione di incidenti per le denunce di sinistro

La riservatezza è un principio fondamentale della nostra pratica forense. Applichiamo regole rigorose:

• Accesso ristretto — solo i tecnici incaricati del caso hanno accesso ai dati. Ogni accesso è registrato.
• Accordo di riservatezza — un NDA (accordo di non divulgazione) può essere firmato su richiesta prima di qualsiasi intervento
• Distruzione sicura — dopo la consegna del rapporto e l'approvazione del cliente, le copie di lavoro vengono distrutte mediante sovrascrittura sicura certificata
• Hosting in Svizzera — tutti i dati rimangono nel nostro laboratorio di Ins (BE), soggetto al diritto svizzero sulla protezione dei dati (LPD)
• Certificazione CyberSafe — le nostre pratiche di sicurezza sono sottoposte a audit e certificate dal marchio CyberSafe riconosciuto dalla Confederazione Svizzera

La nostra procedura forense segue un protocollo rigoroso in 5 fasi:

1. Ricezione e documentazione — registrazione del supporto con foto, numero di serie, stato fisico riscontrato. Rilascio di una ricevuta firmata.
2. Acquisizione forense — clonazione bit-a-bit del supporto originale tramite un write-blocker hardware certificato. Calcolo delle impronte MD5 e SHA-256 sull'immagine acquisita. Il supporto originale non viene mai modificato.
3. Analisi — indagine sulla copia di lavoro: recupero di file cancellati, analisi dei metadati, ricostruzione della timeline di attività, identificazione degli artefatti (log, cronologia, registro).
4. Documentazione — ogni azione viene registrata in un registro con data e ora. I file pertinenti vengono estratti e catalogati.
5. Rapporto di perizia — rapporto dettagliato che include la metodologia, gli strumenti utilizzati, i risultati e le conclusioni, accompagnato dagli allegati digitali.

Il costo di un'analisi forense dipende dalla portata dell'indagine, dal tipo di supporto e dal livello di urgenza:

• Acquisizione forense semplice (clonazione + rapporto di integrità): fatturazione per supporto trattato
• Analisi completa (acquisizione + indagine + rapporto di perizia): fatturazione in base alla complessità e al volume di dati da analizzare
• Testimonianza di un esperto in tribunale: su preventivo in base alla durata e alla preparazione richiesta

I tempi standard sono:

• Acquisizione forense: entro 24 ore
• Rapporto di analisi standard: da 5 a 10 giorni lavorativi
• Rapporto di urgenza (procedura giudiziaria imminente): da 24 a 72 ore

Un preventivo dettagliato viene elaborato dopo una valutazione gratuita del caso. Le nostre tariffe sono trasparenti e dettagliate nel nostro preventivo – nessun costo nascosto.

Parzialmente, sì. La sovrascrittura di un hard disk non distrugge istantaneamente tutti i dati. Diversi meccanismi permettono un recupero parziale:

• File parzialmente sovrascritti — se solo l'intestazione o la fine di un file è stata sovrascritta, il resto può spesso essere ricostruito
• File carving — tecnica forense che ricerca le firme dei file (magic bytes) direttamente nei settori grezzi, indipendentemente dal file system. Efficace anche dopo la riformattazione.
• Settori di riserva e zone HPA — alcuni dischi conservano delle copie in zone inaccessibili in condizioni di utilizzo normale
• Remanenza magnetica — sugli HDD più datati, tracce di scritture precedenti possono talvolta essere rilevate con apparecchiature specializzate

Una sovrascrittura sicura con diverse passate (standard DoD 5220.22-M o Gutmann) rende il recupero praticamente impossibile. Una semplice formattazione rapida o una cancellazione classica non sono sufficienti.