Avvertenza preliminare: le procedure descritte devono essere eseguite solo su file, supporti, dispositivi o dati ricevuti lecitamente, nell’ambito di un incarico professionale, di una consulenza tecnica, di un’attività difensiva, aziendale o privata autorizzata. Questo capitolo non fornisce istruzioni per accedere abusivamente a sistemi, account o dati di terzi.

1. Scopo del capitolo

La catena di custodia è una delle parti più importanti del lavoro di un perito informatico forense. Prima ancora di usare strumenti avanzati, prima ancora di analizzare audio, video, chat, smartphone o computer, bisogna saper rispondere a una domanda semplice: che cosa è stato consegnato, quando, da chi, in quale stato e con quali passaggi tecnici è stato conservato?

Senza questa risposta, anche una prova digitale potenzialmente utile può diventare debole, confusa o facilmente contestabile. In una perizia informatica a Roma, la catena di custodia serve a dimostrare che il materiale è stato trattato con metodo, che l’originale non è stato confuso con le copie di lavoro, che gli hash sono stati calcolati e che ogni operazione è stata documentata.

Regola madre: prima si identifica, poi si conserva, poi si calcola l’hash, poi si crea la copia di lavoro. Solo dopo si analizza.

2. Che cos’è la catena di custodia digitale?

La catena di custodia digitale è la documentazione ordinata di tutti i passaggi subiti da una prova informatica. È il diario tecnico della prova: registra chi l’ha consegnata, quando, dove, in quale forma, chi l’ha presa in carico, quali copie sono state create, quali hash sono stati calcolati, quali strumenti sono stati usati e dove è stato conservato il materiale.

Non serve a dire se una prova è vera o falsa. Serve a dire come quella prova è stata trattata.

Domanda	Risposta che la catena di custodia deve documentare
Chi ha consegnato il materiale?	Nome, ruolo, recapito, eventuale riferimento all’avvocato o all’azienda.
Quando è stato ricevuto?	Data, ora, luogo e modalità di consegna.
Che cosa è stato ricevuto?	File, supporto, dispositivo, email, PEC, chat, screenshot, audio, video.
Come è stato conservato?	Cartella originale, supporto sigillato, backup documentato, permessi di accesso.
Quali impronte sono state calcolate?	Almeno SHA-256, con output salvato e annotato nel registro.

3. Perché la catena di custodia è fondamentale?

Una prova digitale può essere contestata non solo per il suo contenuto, ma anche per il modo in cui è stata gestita. Un file audio può contenere una frase importante, ma se non è chiaro come è stato ricevuto, copiato, conservato e analizzato, la parte tecnica perde forza.

Il file ricevuto è lo stesso file poi analizzato?
Il file è stato modificato dopo la consegna?
È stato rinominato, convertito o aperto con un programma di editing?
È stato inviato più volte tramite WhatsApp o email?
Esiste una copia originale o solo una copia derivata?
L’hash iniziale coincide con quello della copia di lavoro?

La catena di custodia non rende automaticamente “vera” una prova, ma rende più solido, tracciabile e verificabile il percorso tecnico con cui quella prova è stata gestita.

4. Differenza tra contenuto, file, supporto, copia e reperto digitale

Prima di compilare verbali e registri bisogna distinguere alcuni concetti che spesso vengono confusi dal cliente.

Termine	Significato pratico	Esempio
Contenuto	Ciò che una persona vede o ascolta.	Conversazione, audio, video, immagine, documento.
File	Oggetto informatico con nome, estensione, dimensione, struttura e hash.	`PTT-20260710-WA0001.opus`
Supporto	Dispositivo o ambiente che contiene il file.	Smartphone, PC, hard disk, USB, cloud.
Copia	Duplicato del file o del supporto.	Copia di lavoro, immagine forense.
Reperto digitale	Materiale trattato formalmente come oggetto di analisi.	Smartphone R01, file audio R02.

Esempio: una nota vocale WhatsApp contiene una frase. La frase è il contenuto, il file .opus è il file, lo smartphone è il supporto, la copia acquisita e documentata diventa il reperto digitale.

5. Struttura generale del lavoro

La procedura completa può essere divisa in dodici fasi operative. Ogni fase deve essere documentata.

Preparazione del caso.
Ricezione del materiale.
Identificazione del reperto.
Verbale di consegna.
Creazione della cartella tecnica.
Calcolo hash iniziale.
Creazione copia di lavoro.
Verifica hash originale/copia.
Registro catena di custodia.
Conservazione fisica e digitale.
Verbale tecnico di acquisizione.
Output finale da allegare alla relazione.

Ricezione → Identificazione → Hash → Copia lavoro → Registro → Verbale

Figura 1 — Flusso minimo della catena di custodia digitale.

6. Preparazione del caso

Prima di ricevere il materiale, il tecnico deve preparare il fascicolo. Ogni incarico deve avere un codice caso, una cartella ordinata e un registro iniziale.

6.1 Creare un codice caso

MQ-ANNO-NUMERO

Esempio:
MQ-2026-0042

Dove MQ identifica Marcello Quaranta, 2026 l’anno e 0042 il numero progressivo del caso.

6.2 Creare una cartella caso

MQ-2026-0042_Caso_Audio_Roma/
│
├── 00_incarico_e_verbali/
├── 01_materiale_originale/
├── 02_copie_lavoro/
├── 03_hash/
├── 04_metadati/
├── 05_foto_e_screenshot_documentativi/
├── 06_output_strumenti/
├── 07_registro_catena_custodia/
├── 08_relazione_tecnica/
└── 09_allegati/

Regola semplice: 01_materiale_originale contiene il materiale ricevuto, da non modificare. 02_copie_lavoro contiene il materiale usato per le analisi. 03_hash contiene le impronte. 07_registro_catena_custodia contiene il diario tecnico.

7. Ricezione del materiale

La ricezione è il primo momento critico. Il cliente può consegnare smartphone, computer, hard disk, pendrive, scheda SD, file audio, file video, screenshot, email, PEC, PDF, esportazione WhatsApp, link cloud, backup o documento cartaceo contenente riferimenti digitali.

7.1 Cosa chiedere al cliente

Che cosa sta consegnando?
Da dove proviene?
Chi lo ha creato o ricevuto?
Quando è stato ricevuto?
È il file originale o una copia?
È stato già inviato ad altri?
È stato rinominato, modificato o compresso?
È stato scaricato da WhatsApp, Telegram, email o cloud?
Esiste il dispositivo sorgente?
Qual è la finalità tecnica della verifica?

7.2 Cosa non fare

Non bisogna formulare conclusioni immediate. In questa fase si può dire solo che il materiale viene ricevuto per essere identificato, conservato e sottoposto ad analisi tecnica.

8. Identificazione del reperto

Ogni elemento ricevuto deve diventare un reperto identificabile. Il codice evita confusione tra file, copie, allegati e supporti.

8.1 Codice reperto

MQ-ANNO-NUMEROCASO-RNUMEROREPERTO

Esempi:
MQ-2026-0042-R01
MQ-2026-0042-R02
MQ-2026-0042-R03

8.2 Esempio di assegnazione

Caso: MQ-2026-0042

R01 = smartphone Samsung Galaxy S23 del cliente
R02 = file audio PTT-20260710-WA0001.opus
R03 = screenshot IMG_20260710_103312.png
R04 = esportazione chat WhatsApp chat_cliente.txt
R05 = pendrive Kingston 32 GB

8.3 Dati minimi da registrare

Codice caso:
Codice reperto:
Data ricezione:
Ora ricezione:
Luogo ricezione:
Consegnante:
Operatore ricevente:
Tipo materiale:
Marca/modello:
Numero seriale:
Capacità:
Nome file:
Estensione:
Dimensione:
Supporto:
Origine dichiarata:
Modalità consegna:
Stato apparente:
Note:

9. Verbale di ricezione materiale digitale

Il verbale serve a documentare la consegna. Deve essere semplice, chiaro e prudente. Non contiene giudizi di autenticità: descrive il materiale e l’incarico tecnico iniziale.

VERBALE DI RICEZIONE MATERIALE DIGITALE

In data __/__/____, alle ore __:__, presso ______________________,
il/la Sig./Sig.ra ______________________ consegna al tecnico ______________________ il seguente materiale digitale per finalità di analisi tecnica:

1. Codice reperto:
2. Descrizione del materiale:
3. Tipo di supporto o file:
4. Marca/modello, se applicabile:
5. Numero seriale, se disponibile:
6. Capacità, se applicabile:
7. Nome file, se applicabile:
8. Estensione:
9. Dimensione:
10. Origine dichiarata:
11. Modalità di consegna:
12. Stato apparente:
13. Finalità dichiarata:
14. Note del consegnante:

Il tecnico dichiara di ricevere il materiale esclusivamente per le attività tecniche concordate, riservandosi di procedere a identificazione, conservazione, copia, calcolo hash e analisi secondo metodo informatico-forense.

Il presente verbale non contiene valutazioni sull’autenticità, integrità, provenienza o utilizzabilità giudiziaria del materiale, che potranno essere eventualmente oggetto di successiva analisi tecnica.

Firma del consegnante:
Firma del tecnico ricevente:

Formule prudenti per casi frequenti

Audio sospetto

Non vengono formulate valutazioni sulla continuità della registrazione, sull’identità della voce o su eventuali manipolazioni.

Video sospetto

Ogni valutazione su provenienza, continuità, tagli, montaggi o deepfake sarà eseguita solo dopo verifiche tecniche.

Screenshot

Lo screenshot è ricevuto come immagine digitale; non attesta da solo l’autenticità della conversazione rappresentata.

10. Fotografie documentative

Le fotografie non sostituiscono l’analisi tecnica, ma documentano lo stato del materiale ricevuto. Sono particolarmente utili per supporti fisici e dispositivi.

Supporto fisico: lato anteriore, lato posteriore, etichetta, numero seriale, eventuali sigilli o danni.
Smartphone: fronte, retro, schermata di blocco se visibile, stato fisico, eventuale SIM o SD.
Pendrive: marca, capacità dichiarata, seriale se presente, colore, custodia, confezione.

05_foto_e_screenshot_documentativi/
│
├── MQ-2026-0042-R01_fronte.jpg
├── MQ-2026-0042-R01_retro.jpg
├── MQ-2026-0042-R01_seriale.jpg
├── MQ-2026-0042-R01_schermata_blocco.jpg
└── MQ-2026-0042-R05_pendrive.jpg

Foto pendrive

Figura 2 — Supporto fisico fotografato prima dell’acquisizione.

Cartella caso

Figura 3 — Struttura del fascicolo tecnico digitale.

Registro

Figura 4 — Registro delle attività e movimenti del reperto.

11. Che cos’è l’hash?

L’hash è una stringa calcolata matematicamente a partire dal contenuto di un file. Se il file cambia anche solo minimamente, cambia anche il valore hash.

L’hash serve a dimostrare che un file acquisito aveva una certa impronta, che una copia è identica all’originale acquisito e che il file non è cambiato dopo il calcolo. L’hash non dimostra da solo che il contenuto sia vero, che una chat sia autentica o che un audio non sia stato creato con intelligenza artificiale.

Attenzione: l’hash identifica il file. Non certifica la verità del contenuto rappresentato nel file.

Algoritmo	Uso consigliato
MD5	Solo compatibilità o confronto storico.
SHA-1	Solo compatibilità o confronto storico.
SHA-256	Riferimento operativo consigliato.
SHA-512	Possibile valore aggiuntivo.

12. Calcolo hash con Windows PowerShell

Su Windows si può usare PowerShell con il comando Get-FileHash. È utile perché non richiede software aggiuntivo.

12.1 Comando base

Get-FileHash "C:\Casi\MQ-2026-0042\01_materiale_originale\PTT-20260710-WA0001.opus" -Algorithm SHA256

12.2 Salvare l’hash in un file

Get-FileHash "C:\Casi\MQ-2026-0042\01_materiale_originale\PTT-20260710-WA0001.opus" -Algorithm SHA256 |
Out-File "C:\Casi\MQ-2026-0042\03_hash\MQ-2026-0042-R02_sha256.txt"

12.3 Procedura passo passo

Creare la cartella del caso.
Mettere il file originale nella cartella 01_materiale_originale.
Aprire PowerShell.
Copiare il comando.
Sostituire il percorso del file.
Premere Invio.
Controllare il valore hash.
Salvare il risultato nella cartella 03_hash.
Annotare l’operazione nel registro.

13. Calcolo hash con HashMyFiles

HashMyFiles è utile quando si lavora su Windows e si preferisce un’interfaccia grafica. Consente di calcolare hash di uno o più file e salvare l’elenco in diversi formati.

Scaricare HashMyFiles dal sito ufficiale NirSoft.
Avviare HashMyFiles.exe.
Scegliere File → Add Files.
Selezionare il file da esaminare.
Verificare le colonne MD5, SHA1, SHA256 e SHA512.
Selezionare la riga del file.
Usare File → Save Selected Items.
Salvare il report in 03_hash/.

03_hash/MQ-2026-0042-R02_hashmyfiles.html
03_hash/MQ-2026-0042-R02_hashmyfiles.txt

Anche in questo caso il valore hash non stabilisce autenticità, falsità, manipolazione o generazione AI: documenta l’impronta del file.

14. Calcolo hash con Linux e macOS

14.1 Linux: sha256sum

sha256sum PTT-20260710-WA0001.opus

# Salvare output
sha256sum PTT-20260710-WA0001.opus > ../03_hash/MQ-2026-0042-R02_sha256.txt

# Verificare successivamente
sha256sum -c MQ-2026-0042-R02_sha256.txt

14.2 macOS: shasum

shasum -a 256 PTT-20260710-WA0001.opus

# Salvare output
shasum -a 256 PTT-20260710-WA0001.opus > ../03_hash/MQ-2026-0042-R02_sha256.txt

Ogni comando deve essere riportato nel registro con data, ora, operatore, percorso del file e output prodotto.

15. Creazione della copia di lavoro

Non si lavora mai direttamente sul materiale originale se può essere evitato. La regola è: originale da conservare, copia di lavoro da analizzare.

15.1 Windows PowerShell

Copy-Item "C:\Casi\MQ-2026-0042\01_materiale_originale\PTT-20260710-WA0001.opus" `
"C:\Casi\MQ-2026-0042\02_copie_lavoro\MQ-2026-0042-R02_copia_lavoro.opus"

Get-FileHash "C:\Casi\MQ-2026-0042\02_copie_lavoro\MQ-2026-0042-R02_copia_lavoro.opus" -Algorithm SHA256

15.2 Linux/macOS

cp 01_materiale_originale/PTT-20260710-WA0001.opus 02_copie_lavoro/MQ-2026-0042-R02_copia_lavoro.opus
sha256sum 02_copie_lavoro/MQ-2026-0042-R02_copia_lavoro.opus > 03_hash/MQ-2026-0042-R02_copia_lavoro_sha256.txt

Se gli hash coincidono: la copia di lavoro corrisponde bit a bit al file originale acquisito. Se non coincidono, interrompere l’analisi e ripetere la copia.

16. FTK Imager: quando usarlo

FTK Imager è indicato quando si deve creare un’immagine forense, visualizzare un supporto, acquisire una pendrive o un hard disk, generare log e produrre report hash.

Avviare FTK Imager.
Collegare il supporto, preferibilmente con write blocker se si tratta di supporto fisico.
Selezionare File → Add Evidence Item.
Scegliere il tipo di sorgente.
Per acquisizione completa, usare File → Create Disk Image.
Inserire numero caso, codice reperto, esaminatore e note.
Scegliere il formato immagine.
Abilitare la verifica.
Avviare acquisizione.
Salvare log e report nella cartella 06_output_strumenti/FTK_Imager/.

06_output_strumenti/
└── FTK_Imager/
    ├── MQ-2026-0042-R05_acquisizione.E01
    ├── MQ-2026-0042-R05_acquisizione.txt
    ├── MQ-2026-0042-R05_hash_report.txt
    └── MQ-2026-0042-R05_log.txt

17. dc3dd: acquisizione con hash durante la copia

dc3dd è uno strumento a riga di comando usato in ambito forense per creare immagini e calcolare hash durante l’acquisizione. Richiede massima attenzione perché lavora su dispositivi.

17.1 Identificare il device

lsblk

# Esempio output
NAME   SIZE MODEL
sda    500G Samsung SSD
sdb     32G Kingston DataTraveler

17.2 Comando base

sudo dc3dd if=/dev/sdb of=MQ-2026-0042-R05_pendrive.dd hash=sha256 log=MQ-2026-0042-R05_dc3dd.log

Attenzione: prima di usare dc3dd verificare con certezza il device corretto. Un errore di identificazione può compromettere l’attività tecnica.

18. Registro della catena di custodia

Il registro è la tabella principale. Ogni movimento deve essere scritto: ricezione, copia, calcolo hash, acquisizione, analisi, consegna, archiviazione.

Campo	Descrizione
Codice caso	es. MQ-2026-0042
Codice reperto	es. MQ-2026-0042-R02
Data/ora	quando avviene il passaggio
Operatore	chi compie l’operazione
Azione	ricezione, copia, hash, analisi, consegna
Strumento	PowerShell, FTK Imager, dc3dd, HashMyFiles
Hash/Output	valori hash o file prodotti
Note	osservazioni tecniche

REGISTRO CATENA DI CUSTODIA

Codice caso:
Responsabile tecnico:
Luogo:
Data apertura registro:

| Data/Ora | Operatore | Reperto | Azione | Strumento | Hash/Output | Luogo conservazione | Note |

19. Verbale tecnico di acquisizione

Il verbale tecnico non è il verbale di consegna. Il verbale di consegna dice che il cliente ha dato quel materiale; il verbale tecnico dice quali operazioni ha eseguito il perito.

VERBALE TECNICO DI ACQUISIZIONE E CONSERVAZIONE

1. Dati del caso
2. Dati del tecnico
3. Materiale ricevuto
4. Identificazione reperti
5. Modalità di conservazione
6. Operazioni eseguite
7. Strumenti utilizzati
8. Valori hash
9. Output prodotti
10. Osservazioni tecniche preliminari
11. Limiti della fase
12. Allegati
13. Firma del tecnico

Esempio di formulazione

Il file denominato PTT-20260710-WA0001.opus è stato identificato come reperto digitale MQ-2026-0042-R02.

Prima di ogni attività di analisi, il file è stato conservato nella cartella 01_materiale_originale ed è stato calcolato il valore hash SHA-256 mediante Windows PowerShell Get-FileHash.

Successivamente è stata creata una copia di lavoro nella cartella 02_copie_lavoro. Anche sulla copia di lavoro è stato calcolato il valore hash SHA-256. Il valore ottenuto coincide con quello del file originale ricevuto.

Il presente verbale documenta esclusivamente le attività tecniche di ricezione, conservazione, copia e calcolo hash. Non contiene valutazioni definitive sull’autenticità, provenienza, manipolazione o utilizzabilità giudiziaria del contenuto.

20. Catena di custodia per file, supporti, smartphone, chat, email e audio AI

20.1 File singolo

Ricevere il file, assegnare codice reperto, salvare in 01_materiale_originale, calcolare SHA-256, creare copia di lavoro, verificare hash e annotare tutto nel registro.

20.2 Pendrive o hard disk

Documentare marca, modello, capacità, seriale e stato fisico; fotografare il supporto; usare write blocker se disponibile; acquisire con FTK Imager, dc3dd o strumento equivalente; conservare log e report.

20.3 Smartphone

Documentare marca, modello, stato acceso/spento, blocco schermo, batteria, SIM/SD, sistema operativo se noto. Non resettare, non aggiornare, non installare app e non aprire dati inutilmente.

20.4 Chat WhatsApp

Se il cliente consegna solo screenshot, annotare il limite. Chiedere se esiste il dispositivo originale, se la chat è ancora presente e se è possibile acquisire conversazione, allegati e contesto tecnico.

20.5 Email e PEC

Richiedere file .eml, .msg, header completo, ricevute PEC, allegati, busta di trasporto e file firmati. Calcolare hash separati per ogni file.

20.6 Audio e video sospetti AI

Conservare il file nel formato ricevuto. Non convertirlo, non pulirlo, non caricarlo su tool online non autorizzati. Ogni valutazione su manipolazione, ricodifica, deepfake o voice cloning richiede analisi specialistica successiva.

21. Conservazione fisica e digitale

La conservazione riguarda sia supporti fisici sia file digitali. Per supporti fisici è consigliabile usare buste numerate, etichette, eventuali sigilli e registro accessi. Per file e immagini è necessario separare originali, copie di lavoro, hash, output strumenti e relazione.

CASO: MQ-2026-0042
REPERTO: R05
TIPO: Pendrive Kingston 32 GB
DATA RICEZIONE: 10/07/2026
OPERATORE: Marcello Quaranta
NOTE: supporto consegnato dal cliente

Quando si crea un backup della cartella caso, il backup deve essere documentato e, se possibile, protetto con cifratura e hash del pacchetto.

22. Sigillo digitale del fascicolo tecnico

Alla fine di una fase si può creare un archivio del fascicolo tecnico e calcolarne l’hash. Questo non sostituisce gli hash dei singoli file, ma aggiunge un controllo sul pacchetto documentale.

MQ-2026-0042_fascicolo_tecnico.zip

sha256sum MQ-2026-0042_fascicolo_tecnico.zip > MQ-2026-0042_fascicolo_tecnico_sha256.txt

23. Errori comuni da evitare

Lavorare sull’originale: il materiale originale va preservato.
Non calcolare hash subito: l’impronta va generata prima possibile.
Usare nomi confusi: evitare nomi come “audio nuovo definitivo vero ultimo.mp3”.
Confondere file e contenuto: un file integro non significa contenuto vero.
Non registrare operazioni: se manca il registro, il lavoro è meno verificabile.
Mischiare casi diversi: ogni caso deve avere cartella separata.
Usare tool online non autorizzati: non caricare prove sensibili su servizi terzi senza base tecnica e autorizzazione.
Confondere hash e firma digitale: sono concetti diversi.

24. Casi pratici completi a Roma

24.1 Audio WhatsApp consegnato da un avvocato di Roma

Un avvocato consegna un file PTT-20260710-WA0001.opus e chiede se l’audio possa essere stato tagliato, manipolato o generato con AI. Il tecnico assegna il codice caso MQ-2026-0042 e il codice reperto MQ-2026-0042-R02.

cp PTT-20260710-WA0001.opus MQ-2026-0042_Caso_Audio_Roma/01_materiale_originale/MQ-2026-0042-R02.opus
sha256sum 01_materiale_originale/MQ-2026-0042-R02.opus > 03_hash/MQ-2026-0042-R02_originale_sha256.txt
cp 01_materiale_originale/MQ-2026-0042-R02.opus 02_copie_lavoro/MQ-2026-0042-R02_copia_lavoro.opus
sha256sum 02_copie_lavoro/MQ-2026-0042-R02_copia_lavoro.opus > 03_hash/MQ-2026-0042-R02_copia_lavoro_sha256.txt

Conclusione preliminare: il file è stato ricevuto, identificato, conservato, duplicato in copia di lavoro e sottoposto a SHA-256. Non si formulano conclusioni sull’autenticità o sull’eventuale generazione artificiale: queste valutazioni appartengono all’analisi audio-forense successiva.

24.2 Screenshot consegnato come prova

Lo screenshot viene conservato come file immagine ricevuto dal cliente. L’hash documenta l’integrità del file immagine acquisito, ma non attesta da solo la completezza o autenticità della conversazione rappresentata.

24.3 Pendrive consegnata da azienda

Si redige verbale di consegna, si fotografano supporto ed etichette, si assegna codice reperto, si acquisisce con strumento forense e si conserva il supporto originale separato dalla copia o immagine di lavoro.

25. Modelli pronti da usare

25.1 Scheda reperto digitale

SCHEDA REPERTO DIGITALE

Codice caso:
Codice reperto:
Data ricezione:
Ora ricezione:
Luogo:
Consegnante:
Tecnico ricevente:

Tipo reperto:
[ ] File
[ ] Smartphone
[ ] Computer
[ ] Hard disk
[ ] Pendrive
[ ] Email/PEC
[ ] Screenshot
[ ] Chat
[ ] Audio
[ ] Video
[ ] Altro:

Descrizione:
Marca/modello:
Seriale:
Capacità:
Nome file:
Estensione:
Dimensione:
Origine dichiarata:
Modalità consegna:
Stato apparente:

Hash SHA-256:
Output hash:
Cartella conservazione:
Note:

25.2 Registro catena di custodia

REGISTRO CATENA DI CUSTODIA

Caso:
Tecnico:
Luogo:
Data apertura:

| Data/Ora | Operatore | Reperto | Azione | Strumento | Output/Hash | Luogo conservazione | Note |

25.3 Verbale tecnico di acquisizione

VERBALE TECNICO DI ACQUISIZIONE

Caso:
Tecnico:
Data:
Luogo:

1. Oggetto dell’attività
2. Materiale ricevuto
3. Identificazione dei reperti
4. Modalità di conservazione
5. Strumenti utilizzati
6. Operazioni eseguite
7. Valori hash
8. Output prodotti
9. Osservazioni preliminari
10. Limiti tecnici
11. Allegati

Firma tecnico:

26. Frasi tecniche da usare in relazione

Il materiale è stato ricevuto in data __ e identificato come reperto digitale __.

Prima di ogni attività di analisi è stato calcolato il valore hash SHA-256 del file acquisito.

Le attività tecniche sono state eseguite su copia di lavoro, mantenendo separato il materiale originale.

La presente fase documenta la gestione tecnica del reperto e non costituisce valutazione definitiva sull’autenticità del contenuto.

Il valore hash documenta l’integrità del file immagine acquisito, ma non attesta da solo la veridicità del contenuto rappresentato.

Ogni valutazione sulla possibile manipolazione, ricodifica, generazione artificiale o compatibilità con strumenti di intelligenza artificiale richiede successiva analisi tecnica specialistica.

27. Checklist operativa finale

Prima di ricevere il materiale

Codice caso creato.
Cartella caso predisposta.
Verbale ricezione pronto.
Registro catena di custodia pronto.

Al momento della ricezione

Consegnante identificato.
Materiale descritto.
Codice reperto assegnato.
Data, ora e modalità annotate.

Dopo la ricezione

Materiale in 01_materiale_originale.
SHA-256 calcolato.
Copia di lavoro creata.
Hash copia verificato.

Prima dell’analisi

Si lavora sulla copia.
L’originale è separato.
Il registro è aggiornato.
I limiti sono annotati.

28. Output minimo del capitolo

Alla fine di questa fase devono esistere almeno:

verbale di ricezione;
scheda reperto;
registro catena di custodia;
file hash SHA-256;
eventuale report HashMyFiles;
eventuale report FTK Imager;
eventuale log dc3dd;
cartella materiale originale;
cartella copie di lavoro;
nota tecnica preliminare;
fotografie documentative, se presenti;
elenco allegati.

29. Riferimenti tecnici esterni

Questi riferimenti sono utili per approfondire standard, strumenti e comandi citati nel capitolo.

30. Conclusione del capitolo

La catena di custodia non è un dettaglio burocratico. È la struttura portante del lavoro informatico-forense.

Un perito informatico a Roma che riceve un file audio, un video, una chat WhatsApp, una PEC, uno screenshot o un hard disk deve poter dimostrare che cosa ha ricevuto, quando, da chi, come lo ha identificato, dove lo ha conservato, quale hash ha calcolato, quali copie ha creato, quali strumenti ha usato e quali limiti tecnici esistono.

Formula da ricordare:
prima si identifica. Poi si conserva. Poi si calcola l’hash. Poi si crea la copia di lavoro. Solo dopo si analizza.

Consulenza tecnica a Roma

Devi consegnare o valutare una prova digitale?

Prima di inviare file, screenshot, chat, audio, video, email, PEC o documenti a più persone, è utile fissarne lo stato tecnico con una procedura documentata. Lo Studio Quaranta può aiutarti a impostare catena di custodia, calcolo hash, copia di lavoro e verbale tecnico.

Richiedi una valutazione preliminare Chiama il perito informatico

Catena di custodia, hash e verbale tecnico nella perizia informatica