Annotazioni contestuali

"Se non è stato messo per iscritto, non è accaduto" è un'esagerazione, ma si avvicina al modo in cui i revisori e i tribunali considerano il lavoro forense. Le annotazioni contestuali sono annotazioni redatte al momento di un'azione, o non appena concretamente possibile dopo di essa, dalla persona che l'ha eseguita. Costituiscono la documentazione personale dell'esaminatore su ciò che è stato fatto, con quali mezzi e per quali ragioni. Il modo in cui le annotazioni contribuiscono alla relazione finale è trattato nel Modulo 7.

Che cosa significa contestuale

Contestuale significa redatto nello stesso momento. Un'annotazione scritta durante l'acquisizione di un'immagine di un'unità, o immediatamente dopo, documenta ciò che l'esaminatore ha osservato; un'annotazione scritta a memoria una settimana dopo documenta ciò che ricorda, il che è meno affidabile e più facile da contestare. Quando non è possibile redigere un'annotazione al momento, ad esempio durante una perquisizione di locali dal rapido svolgimento, questa viene scritta non appena possibile e riporta quando è stata redatta. Le annotazioni non sono la relazione. Sono la documentazione grezza dalla quale viene redatta la relazione e rispetto alla quale è possibile verificarla.

Che cosa registrare

• Data e ora con fuso orario per ogni annotazione, ad esempio 14:32 UTC+02:00. Quando è rilevante, registrare anche l'ora visualizzata dal dispositivo in esame rispetto a un orologio di riferimento affidabile (Modulo 6).
• Azioni: che cosa è stato fatto e su quale reperto, identificato dal relativo numero.
• Strumenti e versioni: l'hardware e il software utilizzati, con i numeri di versione, compresi il dispositivo di blocco in scrittura e la postazione di lavoro.
• Impostazioni: le opzioni scelte, come il formato dell'immagine, la dimensione dei segmenti, gli algoritmi di hash e i termini di ricerca.
• Osservazioni: ciò che è stato osservato, come un programma in esecuzione, un messaggio sullo schermo, danni, etichette e numeri di serie.
• Risultati: valori hash riportati per intero, messaggi di errore e conteggi degli elementi trovati.
• Problemi e decisioni con le relative motivazioni: tutto ciò che non è andato secondo i piani, che cosa è stato deciso e perché, comprese le opzioni considerate e scartate.

Registrare anche ciò che non è stato fatto, quando è rilevante. "Memoria non acquisita: il portatile era spento all'arrivo" risponde a una domanda prima ancora che qualcuno la ponga.

Carta o formato elettronico

Quaderni rilegati

La scelta tradizionale è un quaderno rilegato con pagine numerate, compilato con inchiostro indelebile. Le pagine non devono mai essere strappate e le annotazioni non devono mai essere cancellate o sovrascritte. Un errore si corregge tracciando una singola linea sul testo errato, in modo che rimanga leggibile, seguita dalla correzione, dalla data e dalle iniziali di chi scrive. Lo spazio vuoto alla fine di un'annotazione o di una pagina viene barrato affinché non sia possibile aggiungere nulla in seguito, e ogni pagina viene datata e siglata.

Annotazioni elettroniche

Le annotazioni digitate sono più facili da leggere e consultare mediante ricerca e possono contenere valori hash e percorsi di file copiati esattamente dall'output degli strumenti. Richiedono protezioni equivalenti: marcature temporali automatiche; una cronologia che conservi ogni modifica anziché sostituire il testo, come un repository con controllo delle versioni o un sistema di gestione dei casi che conservi le versioni precedenti; e un modo per dimostrare che le annotazioni non sono state alterate successivamente, ad esempio registrando un hash del file di ogni giorno o salvandolo su supporti scrivibili una sola volta. Un file di un programma di videoscrittura che chiunque può modificare senza lasciare traccia costituisce una documentazione debole. I registri prodotti dagli strumenti vengono conservati insieme alle annotazioni, che vi fanno riferimento anziché sostituirli.

Come redigerle

Le annotazioni devono essere comprensibili a chi non era presente, compresi un revisore, un avvocato o l'esaminatore stesso a distanza di anni. Riportare fatti e osservazioni, indicando chiaramente come tali eventuali opinioni o inferenze. Utilizzare abbreviazioni solo se sono standard nella propria organizzazione o se vengono spiegate nelle annotazioni. Ogni persona che esegue un'azione redige le proprie annotazioni; se un collega documenta le azioni per conto di un'altra persona, ad esempio mentre questa maneggia un dispositivo, l'annotazione specifica chi ha fatto che cosa e chi l'ha redatta. Le annotazioni fanno parte del fascicolo del caso e potrebbero essere messe a disposizione delle parti; pertanto, non vi si deve scrivere nulla che non si sarebbe disposti a spiegare in tribunale.

Fotografie e registrazioni dello schermo

Le immagini spesso documentano una scena o uno schermo meglio delle parole. Le fotografie di un dispositivo nelle condizioni in cui è stato trovato, delle sue etichette, porte, imballaggi e sigilli, nonché di ciò che era visualizzato sullo schermo, fanno parte delle annotazioni. Durante le attività dal vivo su un sistema in esecuzione, una registrazione dello schermo, o una videocamera che lo riprende, mostra esattamente ciò che è stato digitato e ciò che è apparso. Conservare i file originali delle immagini e dei video, registrarne i valori hash e fare riferimento a ciascuno di essi mediante un numero nelle annotazioni scritte, in modo che possano essere consultati congiuntamente. Una fotografia non si spiega da sola: l'annotazione indica che cosa mostra e perché è stata scattata.

Perché le annotazioni sono importanti

Le annotazioni consentono di attuare nella pratica gli aspetti della gestione trattati nel Modulo 1.

• La ripetibilità e la riproducibilità dipendono dalla conoscenza esatta dello strumento, della versione, delle impostazioni e dei dati di ingresso che hanno prodotto un risultato. Senza queste informazioni, nessuno, compreso l'esaminatore originario, può eseguire nuovamente gli stessi passaggi.
• La giustificabilità dipende dalla documentazione delle motivazioni. Una decisione che a distanza di un anno appare insolita, come acquisire un'immagine solo di una parte di un server, è difendibile se le annotazioni mostrano il vincolo che l'ha imposta.
• La revisione tra pari, nella quale un secondo esaminatore verifica il lavoro prima dell'emissione della relazione, si basa sulle annotazioni e sui registri degli strumenti, non sulle conversazioni.
• La testimonianza può essere resa mesi o anni dopo l'esame. Gli esaminatori si affidano alle proprie annotazioni per rispondere con precisione, e le annotazioni potrebbero essere messe a disposizione dell'altra parte, che le leggerà attentamente.

Si consideri Rafael Costa, l'esaminatore indipendente della Lezione 2.3, al quale viene chiesto in tribunale perché non abbia esaminato una partizione di un'unità. Le sue annotazioni riportano: "Partizione 3 cifrata, nessuna chiave fornita. Chiave richiesta al responsabile del caso alle 10:15 UTC; il responsabile ha risposto alle 11:40 che non è disponibile alcuna chiave." La sua risposta è immediata e credibile. Senza l'annotazione, potrebbe soltanto dire di non ricordare.

Annotazioni adeguate e inadeguate

Focus sull'esame: Partire dalla definizione di contestuale (redatto al momento, dalla persona che ha agito), quindi dal contenuto di un'annotazione: data e ora con fuso orario, identificativo del reperto, azione, strumento e versione, impostazioni, osservazioni, risultati come i valori hash completi, e problemi e decisioni con le relative motivazioni. Per l'integrità, ricordare: quaderni rilegati, inchiostro indelebile, barratura con una singola linea accompagnata da data e iniziali, nessuna cancellazione e annotazioni elettroniche con marcatura temporale, controllo delle versioni o memorizzazione su supporti scrivibili una sola volta. Sono previste domande che collegano le annotazioni a ripetibilità, riproducibilità, giustificabilità, revisione tra pari e testimonianza.