Cybersecurity and Digital Forensics for Multimodal Transport Accident Investigation: A Governance, Risk and Compliance Framework

Quando un treno deraglia, un aereo si schianta o una nave collide con una banchina, la ricerca di risposte si è sempre basata su indizi fisici: metallo contorto, binari spezzati e la testimonianza dei sopravvissuti. Ma negli ultimi due decenni, il modo in cui spostiamo persone e merci è cambiato radicalmente. I moderni sistemi di trasporto non sono più solo macchine; sono reti complesse di software, sensori e comunicazioni digitali che dialogano tra loro. La velocità di un treno, la rotta di una nave o il percorso di un camion sono ora gestiti da codice. Questo cambiamento significa che, quando avviene un incidente, le prove più critiche esistono spesso solo come registrazioni digitali: log di ciò che il computer ha visto, dati di telemetria dai sensori e messaggi inviati tra i centri di controllo. Tuttavia, questa dipendenza digitale crea un nuovo problema. Proprio come una scena fisica può essere contaminata dalla pioggia o dalle impronte, le prove digitali possono essere alterate, cancellate o nascoste da attacchi informatici. Se gli investigatori non possono essere certi che un record digitale sia autentico, o se non possono accedere legalmente ai dati giusti rapidamente, la verità su ciò che ha causato un incidente potrebbe rimanere per sempre fuori portata.

Questa incertezza è la sfida centrale affrontata da un nuovo studio di ricercatori del Shobhit Institute of Engineering and Technology in India. Gli autori, Abidina Tijjani Kalarawi, Sadeeq Muhammad e Mamta Bansal, sostengono che le attuali indagini sugli incidenti non siano pronte per questa realtà digitale. In molti casi, gli esperti in cybersicurezza e forense digitale vengono chiamati troppo tardi, dopo che le prove digitali sono già state compromesse o perse. Inoltre, le regole su chi è autorizzato ad accedere a questi sistemi sensibili sono spesso poco chiare, portando a ritardi o dispute legali che bloccano l'indagine. I ricercatori propongono un nuovo modo di intendere queste inchieste, uno che tratti la cybersicurezza e la forense digitale non come componenti tecniche aggiuntive, ma come componenti centrali dell'indagine fin dal primo momento. Essi chiamano questo approccio un framework di Governance, Risk, and Compliance (Governance, Rischio e Conformità). In termini semplici, ciò significa stabilire regole chiare su chi ha l'autorità di agire, valutare costantemente il pericolo che le prove digitali stesse possano essere false o manomesse, e garantire che ogni passo seguito rispetti la legge affinché i risultati possano essere utilizzati in tribunale.

Per testare se questa idea funzioni in pratica, il team non ha aspettato che si verificasse un disastro nel mondo reale. Invece, ha costruito una simulazione digitale per vedere come le sue nuove regole avrebbero gestito un flusso di richieste di accesso ai dati degli incidenti. Hanno creato uno scenario che coinvolgeva diecimila richieste ipotetiche da parte di investigatori che cercavano di visualizzare diverse parti di un sistema di trasporto. Ogni richiesta arrivava con un insieme di condizioni, come il ruolo dell'investigatore, l'ora del giorno, lo stato di salute del suo computer e se stava accedendo al sistema da una posizione insolita. La simulazione applicava quindi il nuovo framework dei ricercatori per decidere se concedere o negare ogni richiesta. Il sistema agiva come una serie di cancelli di sicurezza. Per prima cosa, controllava se la persona che richiedeva avesse il titolo professionale e il permesso appropriati per vedere quei dati specifici. Se superava questo punto, il sistema controllava se la richiesta violasse eventuali regole legali sulla preservazione delle prove. Infine, calcolava un punteggio di rischio basato sul contesto della richiesta. Se una richiesta proveniva da un dispositivo che sembrava non in salute o da una posizione che non corrispondeva al solito schema dell'investigatore, il sistema la segnalava per una verifica supplementare o la negava del tutto.

I risultati di questa simulazione hanno dimostrato che il framework crea un percorso chiaro e difendibile per la gestione delle prove digitali. Delle diecimila richieste, circa il 53 percento è stato autorizzato a procedere immediatamente. Circa il 39 percento è stato negato perché la persona che richiedeva non aveva l'autorità necessaria per vedere quei dati. Una parte piccola ma significativa, circa il 4 percento, è stata sfidata a provare la propria identità con un secondo fattore, come un codice inviato a un telefono, perché il sistema aveva rilevato un livello di rischio medio. Un altro 3 percento è stato bloccato perché il calcolo del rischio del sistema suggeriva che stesse accadendo qualcosa di insolito, e l'ultimo 1 percento è stato negato perché la richiesta tentava di cambiare o cancellare le prove, il che è strettamente vietato. Questi numeri non sono una previsione di quanti incidenti accadranno, quanto piuttosto una dimostrazione che le regole proposte possono gestire migliaia di situazioni complesse in modo rapido e coerente. La simulazione ha provato che è possibile bilanciare la necessità per gli investigatori di vedere i dati con la necessità di proteggere tali dati da manomissioni o accessi non autorizzati.

Lo studio evidenzia anche un cambiamento cruciale nel modo in cui comprendiamo le cause degli incidenti nei trasporti. In passato, gli investigatori potevano presumere che un guasto fosse dovuto a un componente rotto o a un errore umano. Questo nuovo framework insiste sul fatto che gli investigatori devono anche considerare la possibilità che un computer sia stato hackerato o che i dati siano stati manipolati prima dell'incidente. Integrando queste domande nel processo standard di indagine, il framework assicura che la possibilità di un attacco informatico non venga mai trascurata. Esso fornisce un modo strutturato per preservare i dati volatili — informazioni che scompaiono rapidamente, come il contenuto della memoria di un computer — prima che vadano perduti. Chiarisce inoltre i ruoli dei diversi esperti, assicurando che uno specialista in cybersicurezza lavori fianco a fianco con ingegneri e consulenti legali fin dal primo giorno, piuttosto che essere chiamato come un pensiero successivo.

Sebbene lo studio offra una tabella di marcia promettente, gli autori sottolineano con cautela che si tratta di un modello concettuale testato in un ambiente controllato, non di un prodotto finito pronto per l'uso immediato in ogni paese. Le regole e i numeri usati nella simulazione sono stati progettati per mostrare come funziona il sistema, non per sostenere che siano le impostazioni perfette per ogni situazione reale. Diversi sistemi di trasporto, leggi e organizzazioni dovranno adattare queste regole per soddisfare le proprie esigenze specifiche. I ricercatori riconoscono che, affinché questo framework abbia successo, le aziende di trasporto e i governi debbano essere disposti a condividere i dati, aggiornare i propri sistemi di logging e concordare standard comuni per la gestione delle prove. Senza questi cambiamenti nel mondo reale, anche il miglior framework non potrà funzionare.

In definitiva, questo lavoro punta verso un futuro in cui l'indagine sugli incidenti nei trasporti sia sofisticata quanto i sistemi che li causano. Man mano che le nostre strade, ferrovie e cieli diventano più connessi, gli strumenti che usiamo per trovare la verità devono evolversi per eguagliare tale complessità. Trattando le prove digitali con la stessa cura e rigore delle macerie fisiche, e stabilendo regole chiare su come tali prove vengano gestite, gli investigatori possono garantire che le risposte che trovano siano accurate, affidabili e legalmente solide. L'obiettivo non è solo risolvere il mistero di cosa sia andato storto, ma farlo in un modo che restituisca fiducia nella sicurezza dei sistemi su cui facciamo affidamento ogni giorno.