Benvenuto. Immagina due persone che fanno la stessa cosa: copiano un file da un computer aziendale su una chiavetta. La prima lo fa trascinandolo con il mouse, perché le serve per capire. La seconda calcola un'impronta del supporto, collega un dispositivo che impedisce qualunque scrittura, produce una copia integrale, ricalcola l'impronta, la confronta, annota l'ora, il numero di serie, chi era presente e perché ha deciso di procedere così.

Il file è identico. L'evidenza no. La prima copia, davanti a una contestazione seria, non dimostra niente: non si può escludere che il contenuto sia cambiato, non si sa chi lo abbia avuto in mano, non si può rifare. La seconda regge, e non per lo strumento usato - qualunque programma serio calcola lo stesso valore - ma per ciò che le sta intorno.

Questo percorso insegna ciò che sta intorno. È la disciplina che in italiano si chiama informatica forense e in inglese digital forensics: il complesso di metodi che permette di dire, con un grado di certezza dichiarato e verificabile, che cosa è successo su un sistema informatico.

Attraversa tutto il percorso una domanda sola, ed è quella con cui si giudica ogni scelta: se qualcuno contestasse questo passaggio, che cosa avrei da mostrargli? Le norme internazionali della famiglia ISO/IEC 27037 danno a quella domanda una forma operativa in quattro proprietà: il lavoro deve essere verificabile (esiste una traccia di ciò che si è fatto), ripetibile (lo rifaccio io e ottengo lo stesso), riproducibile (lo rifà un altro con altri mezzi e ottiene lo stesso) e giustificabile (ogni scelta ha una ragione dichiarata). Sono quattro parole che nel percorso tornano a ogni modulo, perché sono il criterio, non un'introduzione.

Non è un percorso per soli specialisti. La maggior parte delle evidenze digitali viene compromessa nelle prime ore, da persone competenti che stanno cercando di fare la cosa giusta: riavviano per ripristinare il servizio, aprono i file per capire, reinstallano la macchina per tornare operativi. Sapere che cosa non si fa, e perché, vale più di qualunque strumento acquistato dopo.

Obiettivi del percorso

Al termine del percorso sarai in grado di:

• distinguere un dato copiato da un'evidenza utilizzabile, e spiegare in che cosa consiste la differenza usando le quattro proprietà - verificabilità, ripetibilità, riproducibilità, giustificabilità - che le norme internazionali richiedono (Modulo 1);
• collocare il lavoro nel quadro giuridico in cui si svolge, sapere quali regole impongono misure tecniche di non alterazione dei dati e riconoscere il confine fra un'indagine interna e un procedimento penale, che cambia chi decide e che cosa si può fare (Modulo 1);
• stabilire l'ordine delle operazioni di acquisizione a partire dalla volatilità delle fonti, scegliere fra acquisizione a sistema acceso e a sistema spento motivando la scelta, e capire a che cosa serve davvero il blocco in scrittura (Modulo 2);
• produrre e verificare una copia forense, usare le funzioni di hash sapendo che cosa dimostrano e che cosa non dimostrano, e decidere quando un'acquisizione selettiva è più difendibile di un'acquisizione totale (Modulo 2);
• tenere una catena di custodia che regga a una contestazione, usare marcatura temporale e sigilli elettronici per ancorare un'evidenza nel tempo, e dimostrare che il metodo adottato era idoneo allo scopo (Modulo 3);
• condurre un'analisi per ipotesi verificabili invece che per conferme, costruire una linea del tempo attendibile, riconoscere le tecniche di occultamento e distinguere in un referto ciò che il dato dimostra da ciò che è una interpretazione (Modulo 4);
• affrontare i casi in cui il supporto non si può prendere - servizi in cloud, dispositivi mobili, contenitori effimeri, sistemi industriali - sapendo quali strumenti giuridici e tecnici esistono e quali limiti hanno (Modulo 5);
• scrivere il rapporto tecnico che chiude il lavoro, trattare i dati personali che l'indagine inevitabilmente incontra secondo le regole che li proteggono, e tenere insieme i tempi dell'analisi con quelli, più stretti, degli obblighi di notifica (Modulo 6).

A chi si rivolge e prerequisiti

Il percorso si rivolge a chi può trovarsi a dover spiegare, con prove, che cosa è successo: specialisti e responsabili di sicurezza informatica, membri di team di risposta agli incidenti, amministratori di sistema e di rete, responsabili IT di organizzazioni che non hanno un team dedicato, DPO e referenti privacy, responsabili conformità e referenti NIS, personale di audit interno, consulenti tecnici.

Prerequisiti. Non serve alcuna esperienza di informatica forense: il percorso la costruisce da zero. Serve invece una familiarità di base con i sistemi operativi, le reti e i concetti di rischio e di incidente, che i Fondamenti di Information Security forniscono. È fortemente consigliato aver seguito prima Gestione e risposta agli incidenti, con cui questo percorso confina e di cui è il complemento: quello insegna a riprendere il controllo, questo insegna a non distruggere, strada facendo, ciò che servirà a capire e a dimostrare.

Una precisazione sull'ambito, che è anche un avvertimento. Questo percorso insegna il metodo: che cosa va fatto, in quale ordine, con quali garanzie e con quale documentazione. Non abilita a svolgere accertamenti tecnici in sede penale, che in Italia li svolgono consulenti e periti nominati dall'autorità giudiziaria o dalle parti, con le forme e le garanzie del codice di procedura penale, e non sostituisce la consulenza legale, che va cercata ogni volta che un fatto può avere rilievo penale o disciplinare. Non insegna inoltre ad accedere a sistemi o dati altrui: ogni attività descritta presuppone un titolo legittimo, e il Modulo 1 spiega come si verifica di averlo.

Modalità di svolgimento

Il percorso si svolge interamente online, in modalità asincrona: puoi studiare quando vuoi, al tuo ritmo, da qualsiasi dispositivo. La durata complessiva stimata è di 26 ore, da distribuire entro il termine di completamento indicato più avanti.

Ogni modulo ha la stessa struttura in tre passi:

1. Lezione. Una trattazione ragionata dell'argomento, con schemi, esempi e casi concreti.
2. Test di verifica. Domande a risposta chiusa sull'intero modulo. Il superamento richiede almeno il 70%; i tentativi sono illimitati e vale il voto migliore. Al termine di ogni tentativo ricevi la spiegazione puntuale di ogni risposta, anche di quelle corrette.
3. Esercitazione. Un caso da attraversare scegliendo: ogni decisione apre una strada diversa e l'esito dipende da quello che hai scelto, con la spiegazione di che cosa sarebbe successo altrimenti. La valutazione è automatica e si può rifare quante volte si vuole.

Progressione. I 6 moduli si affrontano in sequenza: ciascun modulo si sblocca soltanto dopo aver superato il test del modulo precedente. Le esercitazioni non bloccano l'avanzamento, ma sono parte integrante del percorso e della valutazione complessiva.

Test finale e certificato

Superati i test di tutti i moduli si sblocca il test finale: 30 domande estratte casualmente dagli argomenti dell'intero percorso, con la stessa soglia del 70%. I tentativi sono tre, a distanza di almeno una settimana l'uno dall'altro: se nessuno raggiunge la soglia, il percorso riparte dal primo modulo. Al superamento ottieni il certificato del percorso, scaricabile in PDF, con un codice univoco che ne consente la verifica di autenticità.

Avvertenza

I contenuti sono aggiornati a ottobre 2026. Quattro avvertenze specifiche di questa materia.

La prima, sulle norme tecniche. Le norme ISO/IEC citate nel percorso sono documenti a pagamento e protetti da diritto d'autore: il percorso ne spiega principi, struttura e requisiti con parole proprie e con esempi originali, ma non ne riproduce il testo. Per dichiarare conformità a una di esse occorre procurarsi l'edizione vigente.

La seconda, sul diritto. Le regole processuali cambiano, e cambiano per Paese. Il percorso descrive il quadro italiano ed europeo e lo fa citando le fonti, ma nessun corso sostituisce il parere di chi quel diritto lo pratica. Davanti a un fatto che può avere rilievo penale, la prima decisione non è tecnica: è chiamare chi di dovere.

La terza, sugli strumenti. Il percorso nomina categorie di strumenti e non prodotti. Non è una cautela commerciale: è che uno strumento si sceglie dopo aver definito il metodo e averne verificato l'idoneità allo scopo, e un percorso che partisse dagli strumenti insegnerebbe l'ordine sbagliato. Gli esempi di comando servono a far capire che cosa fa un'operazione, non a essere copiati su un sistema reale.

La quarta, sui casi. Gli scenari e i valori numerici usati negli esempi sono realistici ma restano esempi. I casi reali citati sono verificati alla fonte e collegati: in questa materia circolano ricostruzioni molto diffuse e molto sbagliate, e ripeterle in un referto è il modo più rapido per perdere credibilità.

Supporto

Nel forum Annunci trovi le comunicazioni del docente. Per domande sui contenuti o sulle esercitazioni usa i canali indicati dal tuo referente per la formazione.