La catena di custodia è la documentazione ininterrotta di chi ha maneggiato una prova, quando, come e perché – dal momento dell'acquisizione fino all'aula. Senza, una prova digitale è tecnicamente valida ma legalmente inutilizzabile: la difesa può sostenere che sia stata alterata, e cade.
I principi che la reggono:
- integrità dimostrabile: al momento dell'acquisizione si calcola l'hash (SHA-256) della prova; ogni verifica successiva ricalcola lo stesso hash per provare che nulla è cambiato – è la stessa matematica dei log tamper-evident
- acquisizione non alterante: si lavora su copie forensi bit-a-bit, mai sull'originale; per i dischi si usano write blocker (impediscono qualsiasi scrittura sul supporto sotto esame)
- documentazione di ogni passaggio: registro firmato di ogni trasferimento e accesso, custodia sicura
- ordine di volatilità: si acquisisce prima ciò che sparisce prima – la memoria RAM prima dei dischi
È il pezzo che trasforma "sappiamo cosa è successo" in "possiamo dimostrarlo", e conta ogni volta che un incidente può finire in causa, denuncia o contenzioso di lavoro. L'infrastruttura di supporto è la stessa dell'audit: hash, firme, catene verificabili, orari sincronizzati – la conservazione a norma di RainLogs nasce dalla stessa esigenza.