Un percorso replicabile, documentato e difendibile, dall’acquisizione al deposito in giudizio.
→ Fase 1 · Preservazione
Messa in sicurezza del reperto, sigilli tamper-proof, verbale e logging cronologico (art. 354 c.p.p.).
→ Fase 2 · Identificazione
Censimento supporti, seriali, firmware, partizioni/volumi, cifrature (FileVault/BitLocker/VeraCrypt) e credenziali disponibili.
→ Fase 3 · Imaging bit-per-bit
Duplicazione con write-blocker hardware; calcolo hash origine/destinazione; verifica su destinazione read-only e triplice copia (master, working, backup).
→ Fase 4 · Convalida
Controlli di congruenza, mount sicuro, coerenza filesystem, firma temporale e registri di catena di custodia aggiornati.
→ Fase 5 · Analisi
File carving, correlazione artefatti, keyword search, timeline forensics, analisi cronologie web, email, chat, log applicativi e di sistema.
→ Fase 6 · Report court-ready
Relazione tecnica, metodologia, hash-set, timeline, screenshot e allegati: pronto per deposito in tribunale o perizia di parte (CTP/CTU).