Politica di raccolta delle evidenze e informatica forense

La Politica di raccolta delle evidenze e informatica forense (P31) stabilisce un quadro strutturato e legalmente difendibile per gestire l’identificazione, la raccolta, la conservazione, l’analisi e lo smaltimento delle evidenze digitali nei casi di incidenti di sicurezza effettivi o sospetti. Il suo obiettivo centrale è garantire la preparazione forense mantenendo l’integrità e l’ammissibilità delle evidenze per indagini interne, procedimenti legali o conformità normativa. L’ambito completo della politica si applica a tutto il personale, i contraenti, i fornitori e i fornitori terzi di servizi coinvolti nell’amministrazione dei sistemi o in attività investigative e disciplina endpoint, server, reti, piattaforme cloud e qualsiasi incidente che richieda la gestione delle evidenze, incluse minacce interne, uso improprio, incidenti di tecnologia operativa (OT) e violazioni di asset fisico-digitali. Gli obiettivi chiave evidenziano l’acquisizione rapida e sicura delle evidenze, la rigorosa conservazione dell’integrità probatoria e una documentazione stringente, inclusa la catena di custodia, per soddisfare sia gli obblighi legali sia gli obblighi normativi. Le attività forensi sono strettamente collegate all’analisi post-incidente e ai miglioramenti dei controlli, integrandosi senza soluzione di continuità nel Sistema di gestione della sicurezza delle informazioni (SGSI). Le responsabilità del Responsabile della sicurezza delle informazioni (CISO), degli analisti forensi, degli amministratori IT, dei responsabili legali e di conformità, delle Risorse Umane (HR) e delle funzioni di audit sono delineate per salvaguardare la difendibilità legale e la trasparenza in ogni fase di un incidente. La politica impone diversi requisiti di governance, inclusa la manutenzione di un Programma di preparazione forense formale. Tale programma definisce criteri di attivazione per la raccolta delle evidenze, percorsi di escalation, set di strumenti approvati per l’uso forense e pone enfasi sugli standard di documentazione e reportistica per guidare tutte le attività. Tutte le attività di gestione delle evidenze devono aderire a standard forensi accettati a livello internazionale, quali ISO/IEC 27035 per il trattamento dell’incidente, NIST SP 800-86 per la pianificazione forense e NIST SP 800-101 Rev.1 per l’informatica forense sui supporti. La politica richiede un Registro del toolkit forense e impone che le evidenze siano acquisite in modo sicuro, etichettate, archiviate con verifiche di integrità e che tutti gli spostamenti siano registrati in un registro della catena di custodia firmato. I requisiti di implementazione della politica prescrivono procedure dettagliate per l’acquisizione delle evidenze (utilizzando write-blocker e strumenti convalidati), l’isolamento dei sistemi, la raccolta di log e metadati (garantendo la sincronizzazione temporale per la coerenza della timeline) e ambienti sicuri e isolati per l’analisi forense. Le misure di protezione dei dati richiedono un rigoroso allineamento al GDPR quando le evidenze includono dati personali, inclusi il controllo degli accessi, la cifratura e la documentazione chiara della motivazione della raccolta. La conservazione delle evidenze è disciplinata da requisiti legali o contrattuali e lo smaltimento sicuro deve aderire alla Politica di conservazione e smaltimento dei dati (P14). Sono inoltre descritti i processi di trattamento del rischio e di eccezione, con requisiti specifici per documentare, presentare e approvare eccezioni, in particolare quando le evidenze non possono essere gestite secondo le procedure standard. Il monitoraggio della conformità, gli audit periodici, l’integrazione della politica con la Risposta agli incidenti (P30), nonché l’applicazione tramite misure disciplinari o azioni legali, sostengono l’efficacia della politica. Il processo di riesame è formalizzato annualmente e in occasione di incidenti critici. La politica è allineata a framework internazionali tra cui ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST SP 800-53 e 800-101, COBIT 2019, il GDPR dell’UE, NIS2 e DORA.