Dichiarare le limitazioni

Ogni esame presenta dei limiti. Alcuni reperti non sono stati forniti, alcuni dati erano cifrati o sovrascritti, alcuni strumenti non erano in grado di leggere un formato e alcune risultanze si prestavano a più di una spiegazione. Una relazione che nasconde questi limiti trae in inganno i lettori; una relazione che li dichiara indica ai lettori esattamente fino a che punto possono fare affidamento su ciascuna risultanza.

Perché le limitazioni devono figurare nella relazione

• Le decisioni dipendono da esse. Un dirigente o un tribunale che agisce sulla base di una risultanza deve conoscerne i limiti.
• Saranno comunque individuate. Un esaminatore incaricato dalla controparte cercherà eventuali lacune. Una limitazione già dichiarata nella relazione non costituisce una sorpresa; una scoperta in seguito compromette la credibilità dell'intera relazione.
• L'imparzialità lo richiede. L'esaminatore opera per l'accertamento dei fatti, non per una delle parti (Modulo 2), e i limiti del lavoro fanno parte dei fatti.

Dichiarare una limitazione non equivale ad ammettere di aver svolto un lavoro scadente. Dimostra che l'esaminatore comprende il metodo abbastanza bene da sapere dove si arresta.

Tipi di limitazione

• Limiti dell'ambito dell'esame: ciò che non è stato esaminato. Reperti non forniti, account o dati nel cloud esclusi dall'autorizzazione, un intervallo di date ristretto o quesiti non posti.
• Limiti dei dati: ciò che non era disponibile nei dati. Volumi cifrati senza una chiave, dati eliminati che sono stati sovrascritti o cancellati da TRIM (Modulo 1), registri soggetti a rotazione o mai abilitati, supporti danneggiati.
• Limiti degli strumenti: ciò che gli strumenti non erano in grado di fare in modo affidabile. Un parser che non supporta una nuova versione di un'app, errori noti in una versione di uno strumento o funzionalità mai validate (ISO/IEC 27041). I rapporti di prova degli strumenti, come quelli del programma NIST Computer Forensics Tool Testing (CFTT), aiutano gli esaminatori a conoscere questi limiti.
• Limiti di tempo e risorse: una scadenza che ha consentito soltanto ricerche per parole chiave su alcuni reperti, oppure apparecchiature non disponibili.
• Limiti interpretativi: risultanze che si prestano a più di una spiegazione, come un account condiviso, l'accesso remoto, un malware o un orologio di sistema non corretto.

Limitazioni comuni e come formularle

Una buona formulazione dichiara la limitazione, la sua causa e il suo effetto sulle risultanze, senza giustificazioni né vaghezza.

Esprimere il grado di confidenza

I lettori devono sapere con quale forza le risultanze supportano una conclusione. Sono comuni due approcci.

Scale verbali

Una scala verbale utilizza un insieme fisso di espressioni, come supporto debole, moderato, forte e molto forte. La scala viene definita una sola volta nella relazione, spesso in un'appendice, e le stesse parole mantengono sempre lo stesso significato. Mescolare termini vaghi come "probabilmente", "verosimilmente" e "compatibile con" confonde i lettori. "Compatibile con" è un'espressione particolarmente insidiosa: significa soltanto che le risultanze non contraddicono una spiegazione, eppure molti lettori la interpretano come un forte supporto.

Il quadro di valutazione basato sulla verosimiglianza

Nella redazione di relazioni valutative, l'esaminatore considera due proposizioni concorrenti, ad esempio "l'utente ha copiato i file" e "un processo automatico ha copiato i file", e si chiede quanto siano più probabili le risultanze se è vera una proposizione rispetto a quando è vera l'altra. Il rapporto tra queste due probabilità è il rapporto di verosimiglianza, e le scale verbali sono spesso associate a suoi intervalli di valori. La linea guida per la redazione di relazioni valutative pubblicata dalla European Network of Forensic Science Institutes (ENFSI) nel 2015 è un esempio ampiamente citato. In questo quadro, l'esaminatore si esprime sulle risultanze, non sulla probabilità che una proposizione sia vera; tale decisione spetta al tribunale o al decisore.

Il mancato rinvenimento di evidenze non è un'evidenza di assenza

"Non sono state rinvenute evidenze di malware" significa che le ricerche effettuate non ne hanno individuate. Non significa che non vi fosse alcun malware. Una risultanza di assenza è significativa soltanto quando sono soddisfatte due condizioni: la traccia si sarebbe creata se l'evento si fosse verificato, e la traccia si sarebbe conservata e sarebbe stata individuata con i metodi utilizzati. Una relazione dovrebbe quindi indicare dove e come l'esaminatore ha cercato, ad esempio "Non sono state rinvenute registrazioni di dispositivi di archiviazione USB nelle posizioni elencate nell'Appendice B", e se ci si aspetterebbe di trovare tracce in tali posizioni.

Evitare affermazioni eccessive

• Un dispositivo o un account non è una persona. L'attività svolta tramite un account mostra che l'account è stato utilizzato, non chi lo abbia utilizzato. Password condivise, accesso remoto e malware sono possibili spiegazioni da considerare.
• Un timestamp è un valore registrato. Dipende dall'orologio di sistema e dall'impostazione del fuso orario, e può essere alterato (Modulo 6).
• La presenza non equivale alla conoscenza. Un file nella cache di un browser o in una cartella dei download non dimostra che l'utente lo abbia aperto o ne conoscesse il contenuto.
• Evitare parole assolute come "dimostra", "certamente" e "senza alcun dubbio", nonché conclusioni giuridiche come "ha rubato" o "colpevole", che spettano al tribunale.

Un esempio svolto: riscrivere una frase eccessivamente assertiva

Una bozza di relazione sul caso Nordvale (Lezione 7.1) contiene questa frase: "L'analisi dimostra che il sig. Marsh ha rubato i file di progetto il 4 marzo copiandoli sulla propria unità USB." Indica una persona laddove i dati mostrano soltanto un account, utilizza "dimostra" e "ha rubato", presume chi fosse il proprietario dell'unità e afferma che è avvenuta una copia che non è stata osservata direttamente.

Una versione migliore: "Il 4 marzo 2026, tra le 09:12 e le 09:40 UTC, mentre l'account jmarsh era connesso, un dispositivo di archiviazione USB con numero di serie 0A1B2C è stato collegato al reperto 1. Durante tale periodo i registri del server (reperto 2) documentano che l'account ha letto undici file nella cartella Hydra, e file con gli stessi nomi sono stati successivamente aperti dal dispositivo. A mio parere, queste risultanze forniscono un forte supporto alla proposizione secondo cui i file sono stati copiati sul dispositivo utilizzando questo computer portatile, anziché essere giunti sul dispositivo per un'altra via. Le risultanze non mostrano chi stesse utilizzando il computer portatile, e il dispositivo non era disponibile per l'esame."

Focus sull'esame: Saper indicare i cinque tipi di limitazione (ambito dell'esame, dati, strumenti, tempo e risorse, interpretazione) e classificare un esempio. Sono previste domande sul perché le limitazioni rafforzino una relazione, sull'uso coerente delle scale verbali, sul quadro di valutazione basato sulla verosimiglianza (risultanze valutate alla luce di due proposizioni concorrenti), sulla differenza tra "non sono state rinvenute evidenze" ed evidenza di assenza, e sulle affermazioni eccessive, come trattare un account come una persona.