Sul computer assegnato
Il sistema operativo conserva registrazioni sui dispositivi di archiviazione collegati, sui documenti aperti di recente e sui percorsi consultati, anche quando i file non ci sono più.
Aziende e professionisti
Sottrazione di dati
Un ex dipendente ha copiato i file aziendali: cosa posso fare?
Nella maggior parte dei casi le tracce ci sono ancora. Il problema è che si trovano su un computer che l'azienda, in perfetta buona fede, sta per riassegnare a qualcun altro.
Risposta breve
Quasi sempre sì, qualcosa resta. Copiare file su una chiavetta, caricarli su un cloud personale o spedirseli via email lascia tracce sul computer aziendale, e spesso anche sui sistemi dell'azienda.
Il vero rischio non è tecnico ma organizzativo: quel PC viene riassegnato a un altro dipendente, reinstallato dal reparto IT o semplicemente riacceso e ispezionato da un collega volenteroso. Ognuna di queste azioni cancella o inquina proprio ciò che serviva.
La prima mossa, quindi, non è chiamare un tecnico: è mettere da parte quel computer, spento, e non farlo toccare a nessuno. Tutto il resto può aspettare qualche giorno. Quello no.
Dove si cercano le tracce
Un computer e i sistemi aziendali registrano molto più di quanto chi li usa immagini, e non perché qualcuno abbia attivato un monitoraggio: sono informazioni che i sistemi producono da soli, per funzionare. Quali di queste siano effettivamente presenti e leggibili cambia però da caso a caso.
Sui sistemi aziendali
Server di posta, gestionali, VPN e firewall producono log propri, indipendenti dalla macchina del dipendente. Sono spesso i riscontri più solidi, proprio perché fuori dalla sua portata.
Sui servizi collegati
Account personali associati a strumenti aziendali, servizi di archiviazione online, invii verso caselle private: canali che lasciano documentazione in più punti.
Perché la finestra utile si chiude in fretta
Il nemico non è l'ex dipendente: è la normale operatività aziendale
Nella pratica quasi nessun caso si perde perché qualcuno ha cancellato deliberatamente le prove. Si perde perché il computer è stato consegnato a un nuovo assunto, perché il reparto IT ha applicato la procedura standard di reinstallazione, o perché un responsabile ha acceso la macchina per «dare un'occhiata».
Ognuna di queste operazioni è legittima e ragionevole. Ma la reinstallazione azzera tutto, la riassegnazione sovrascrive progressivamente lo spazio libero, e ogni accensione modifica decine di registrazioni di sistema — comprese proprio quelle che documentano gli accessi ai file.
C'è poi un effetto collaterale meno ovvio: ogni accesso non documentato indebolisce la posizione dell'azienda. Se in sede di contraddittorio emerge che tre persone hanno usato quella macchina dopo i fatti, diventa difficile sostenere che quanto trovato risalga al periodo che interessa.
La regola pratica è semplice: il computer si spegne, si mette in un armadio chiuso e si annota chi ce lo ha messo e quando. Da quel momento il tempo non lavora più contro.
Cosa ci si può realisticamente aspettare
Dipende molto più dallo stato dei sistemi che dall'analisi
L'obiettivo di un accertamento è stabilire se ci sono elementi che documentano un trasferimento di dati, attraverso quale canale e in quale periodo. Fin dove si arrivi non è però prevedibile prima di aver visto i dispositivi e i sistemi coinvolti: cambia con la configurazione aziendale, con il tempo trascorso e soprattutto con quello che è successo alla macchina nel frattempo.
Va messo in conto anche l'esito opposto. Capita che il sospetto non trovi riscontro, e non è un lavoro sprecato: chiudere la questione con un documento tecnico è spesso più utile che restare con un'ipotesi in sospeso.
Quello che invece si può garantire in ogni caso è il metodo — acquisizione documentata, operazioni verbalizzate, analisi ripetibile — e una relazione che dichiari con chiarezza anche i limiti di ciò che è stato possibile verificare. È questo, più del singolo risultato, a rendere un accertamento utilizzabile nel contraddittorio.
Da evitare
Le poche cose che contano davvero
Sono tutte azioni ragionevoli dal punto di vista aziendale, ed è proprio questo che le rende frequenti.
- Non riassegnare e non far reinstallare il computer. È di gran lunga il punto più importante: la normale procedura IT di ripristino è anche quella che azzera il materiale utile.
- Non eliminare l'account dell'ex dipendente. Disattivarlo per sicurezza è corretto, cancellarlo fa sparire caselle, cartelle e cronologie.
- Non aspettare l'esito di una trattativa. Nel frattempo diversi log si cancellano da soli, indipendentemente da come vanno le discussioni.
Hai un dispositivo da mettere al sicuro?
Se il computer è ancora integro, la cosa più urgente è congelarne lo stato: l'acquisizione forense si può fare anche prima di decidere se procedere legalmente, e costa molto meno del non poterla più fare. Nella valutazione preliminare stabiliamo cosa conviene acquisire e con quale priorità.
Domande correlate
Serve per forza un avvocato?
Per l'acquisizione tecnica no, e anzi conviene farla subito. Per tutto il resto sì: è l'avvocato a stabilire i limiti di ciò che è lecito analizzare e a impostare l'azione. L'accertamento tecnico è uno strumento al servizio di una strategia, non un'alternativa.
E se ha usato un computer personale?
Su un dispositivo di proprietà del dipendente non si interviene di iniziativa privata. La strada passa dall'autorità giudiziaria, con un accertamento disposto nel procedimento e il consulente di parte presente a tutela del contraddittorio.
I dati erano su un server: cambia qualcosa?
Cambia in meglio. I sistemi centralizzati conservano log di accesso, esportazione e download che spesso sono più affidabili di quelli su una singola macchina, perché il dipendente non poteva modificarli.
Sono passati diversi mesi: ha senso provarci?
Dipende da cosa è successo al dispositivo nel frattempo. Se è rimasto fermo, ha senso eccome. Se è stato riassegnato o reinstallato, le probabilità calano molto, ma i log dei sistemi aziendali possono conservare comunque riscontri utili.
Quanto costa un'indagine di questo tipo?
Le indagini su furti di dati partono da 1.500 euro e la copia forense da 400. Il costo dipende dal numero di dispositivi e dal volume dei dati: le fasce sono nella pagina dei prezzi.
Posso usare i risultati anche in sede civile?
Sì. Un accertamento condotto con metodo documentato e ripetibile è utilizzabile sia in ambito civile, ad esempio in materia di concorrenza sleale, sia in ambito penale. È la ragione per cui conviene impostarlo correttamente fin dall'inizio.
Parliamone
Sono Cristian Federiconi, ingegnere informatico e Consulente Tecnico di Parte in informatica forense ad Ancona. Ricostruisco sottrazioni di dati e incidenti informatici per aziende e studi legali, con copia forense, analisi dei log e relazione tecnica difendibile.
Questa pagina ha finalità informative e descrive aspetti tecnici dell'analisi di dispositivi aziendali. L'analisi di strumenti assegnati ai lavoratori incontra limiti derivanti dalla normativa sui controlli a distanza e sulla protezione dei dati personali: il perimetro va sempre definito con il proprio legale. Il contenuto non costituisce consulenza legale e non sostituisce il parere di un avvocato.