Dopo l'incidente, cerchiamo le prove.

Dipende dalla complessità e dal numero di device. Un caso standard (1-2 PC, ricostruzione email compromessa) parte da circa 2.500€. Casi complessi con memory forensics, molte fonti dati e perizia formale possono arrivare a 8-15.000€. Facciamo sempre preventivo scritto prima di iniziare, con limite massimo concordato.

L'acquisizione delle evidenze si fa nelle prime 24 ore — è la parte urgente, perché più passa il tempo più le tracce si degradano. L'analisi richiede 2-10 giorni a seconda della complessità. Per esigenze con scadenze legali (udienze, termini) stabiliamo priorità condivisa all'avvio.

Sì, se eseguita con catena di custodia corretta. Le nostre procedure seguono best practice forensi (ISO/IEC 27037, linee guida Polizia Postale). Lavoriamo frequentemente come consulenti tecnici di parte a supporto di avvocati. Non siamo CTU d'ufficio, ma possiamo essere nominati consulenti tecnici di parte.

Dipende da come è stato informato all'assunzione e cosa c'è nel regolamento aziendale. Lo Statuto dei Lavoratori (art. 4) e il GDPR impongono vincoli precisi. Prima di qualsiasi indagine su strumenti assegnati a dipendenti valutiamo insieme al cliente (e spesso al suo legale) la fattibilità legale. Non facciamo nulla che possa poi invalidare le evidenze o esporre l'azienda a sanzioni.

Se conosciamo la password (backup aziendale, account Microsoft/Google, ecc.) o il dipendente collabora, nessun problema. Se si tratta di cifratura da ransomware senza chiave, non esiste magia: verifichiamo se esiste decryptor pubblico, altrimenti possiamo solo analizzare ciò che è recuperabile (memoria volatile, log, backup precedenti). Chiariamo sempre cosa è recuperabile prima di dare preventivo.

La Polizia Postale conduce le proprie indagini quando c'è denuncia. Noi lavoriamo come consulenti tecnici di parte, spesso in parallelo: l'azienda vittima fa la sua perizia (noi), la polizia fa la sua indagine (con Procura). Le due cose sono complementari, non alternative. Spesso una perizia tecnica ben fatta accelera e orienta le indagini ufficiali.

Forse. Dipende dal file system, dall'uso del disco dopo la cancellazione, dal tipo di supporto (SSD o HDD cambiano tutto). Su HDD con poco uso successivo, file cancellati mesi prima sono spesso recuperabili. Su SSD con TRIM attivo, anche file cancellati poche ore prima possono essere irrecuperabili. Diagnosi in fase preliminare.

Certo, anzi è uno dei casi più tipici. "Qualcosa non torna, ma non so cosa". In 30 minuti di call conoscitiva gratuita capiamo se c'è spazio per un'analisi forense o se basta un altro tipo di intervento (incident response, audit di sicurezza). Non vendiamo perizie a chi non ne ha bisogno.