Il volume dei media nei casi di protezione dell’infanzia: che cosa il triage può fare e che cosa non può
Questo argomento merita di essere scritto con cura, oppure di non essere scritto affatto, quindi questo testo è volutamente ristretto: qual è l’aritmetica, e che cosa l’automazione cambia e che cosa non cambia.
È un argomento difficile da scrivere dalla posizione di un fornitore, e c’è una versione che non dovrebbe essere scritta affatto: quella che tratta la sofferenza di questi casi come un’occasione di marketing, o che rivendica un’accuratezza di rilevamento che nessuno può dimostrare.
Questo testo è quindi volutamente ristretto. Riguarda l’aritmetica della revisione dei media, che cosa il triage automatico cambia davvero e che cosa non cambia.
L’aritmetica
Un singolo dispositivo sequestrato contiene di solito decine di migliaia di file di immagini e video. Un caso con diversi dispositivi raggiunge le sei cifre senza essere insolito. Le indagini che riguardano reti di distribuzione possono coinvolgerne sostanzialmente di più.
La revisione umana di quel volume è lenta per necessità. È lenta perché richiede attenzione, perché richiede un giudizio su materiale che ai margini è spesso ambiguo, e perché le persone che la fanno non possono sostenerla per lunghi periodi. Le unità ben gestite limitano deliberatamente il tempo di esposizione. Quel limite non è inefficienza: è una misura di tutela della salute sul lavoro, e qualsiasi calcolo che tratti le ore di revisione come elastiche è sbagliato prima ancora di cominciare.
Il vincolo, quindi, non è il volume da solo. È il volume contro una disponibilità di ore di revisione che è deliberatamente, e correttamente, limitata.
Che cosa cambia davvero l’automazione
L’indicizzazione dei media basata sul contenuto permette di cercare la raccolta per ciò che contiene, e non solo per nome del file, data e ora o impronta. Questo cambia tre cose in modo concreto.
Ordinamento. Chi revisiona il materiale in un ordine informato dal contenuto ha più probabilità di trovare presto ciò che conta. Nei casi in cui identificare rapidamente una vittima cambia ciò che avviene dopo, l’ordinamento non è un guadagno di efficienza: è un esito.
Eliminazione. Ampie parti di una raccolta di media, su qualsiasi dispositivo, sono sfondi, cache delle applicazioni, meme, schermate e risorse scaricate. Toglierle dalla coda di revisione è a basso rischio, ed è una frazione sostanziale del volume.
Collegamento. Gli allegati ricollegati alle conversazioni che li hanno portati, e la deduplicazione rispetto al materiale già visto, trasformano un mucchio piatto di file in qualcosa che ha una struttura. Sapere in quale filo è arrivata un’immagine è spesso più informativo dell’immagine.
Due di questi tre non richiedono che il software esprima alcun giudizio sul contenuto del materiale, il che vale la pena di notare, perché portano la maggior parte del beneficio pratico.
Che cosa l’automazione non cambia
Non toglie l’analista dal ciclo, e non abbassa lo standard di ciò che un tribunale richiede.
Qualsiasi sistema che classifica il materiale opera in un ambito in cui le categorie sono definite dalla legge, specifiche della giurisdizione e contestate ai confini. La stima dell’età a partire da un’immagine non è affidabile nell’intervallo che conta di più. Il contesto determina spesso il carattere di un’immagine in modi che nulla nei pixel indica.
Un fornitore che rivendica una cifra di accuratezza per questo compito fa un’affermazione che non regge un controesame, perché il benchmark da cui proviene non è la popolazione di un caso reale, e le categorie che ha usato non sono quelle che usa la legge.
La formulazione onesta è quindi che il triage automatico cambia l’ordine e la dimensione della coda di revisione. Stabilire che cosa è il materiale resta un giudizio umano e giuridico, e il compito del software è rendere possibile il lavoro della persona, non anticiparlo.
La corrispondenza per impronta, e i suoi limiti
La corrispondenza per impronta di file noti resta lo strumento più affidabile per questo lavoro e il meno discusso, probabilmente perché non ha nulla di appariscente. Dove il materiale corrisponde a un insieme noto, l’identificazione è esatta e difendibile in un modo in cui non lo è alcun sistema appreso.
Il suo limite è altrettanto chiaro. Trova solo ciò che è già stato visto e catalogato. Il materiale nuovo, il materiale ricodificato e tutto ciò che è stato prodotto in locale non corrisponderanno, e il materiale prodotto in locale è spesso il più urgente, perché può indicare un danno in corso.
È il vuoto che il recupero basato sul contenuto colma, e vale la pena essere precisi sull’affermazione. Non identifica il materiale come illegale. Fa emergere materiale che somiglia a una descrizione, così che una persona lo guardi prima di quanto farebbe altrimenti.
Che cosa chiedere a un fornitore
Se sta valutando uno strumento che rivendica una capacità di triage dei media, le domande utili sono ristrette.
Chieda che cosa succede al materiale: se una parte, in un momento qualsiasi, lascia la Sua infrastruttura, anche per l’indicizzazione. Per questa categoria di casi, una risposta che coinvolge un servizio di terzi di solito chiude la conversazione, e deve chiuderla.
Chieda che cosa il sistema afferma di determinare, e che cosa si limita a ordinare. Sono cose diverse, e i fornitori le confondono.
Chieda che cosa vede chi revisiona. Uno strumento che presenta una decisione invita chi revisiona a confermarla. Uno strumento che presenta materiale ordinato e lascia decidere chi revisiona fa la stessa aritmetica senza prendere in prestito l’autorità di chi revisiona.
Chieda dell’esposizione. Se l’interfaccia può presentare il materiale in un modo che riduce l’esposizione non necessaria, restando sufficiente per il giudizio da esprimere, è una vera domanda di prodotto, e una a cui le unità tengono più di quanto la maggior parte dei fornitori si aspetti.
L’impegno
VERA indicizza i media così che si possano cercare per contenuto, e all’assistente si può chiedere di cercare elementi specifici. Tutto gira sull’infrastruttura del cliente, offline, e nessun materiale lascia la rete in alcun momento.
Non pubblichiamo una cifra di accuratezza di rilevamento, e non lo faremo, perché non possiamo dimostrarne una davanti a Lei, sui Suoi dati. Se è ciò che la Sua valutazione richiede, preferiremmo dirlo all’inizio piuttosto che essere scoperti a metà.
VERA
VERA è software di analisi forense per dispositivi sequestrati. Struttura un’estrazione, poi l’analista interroga il sigillo in linguaggio comune, compreso ciò che mostra un’immagine. Ogni affermazione dell’assistente apre la riga di origine. Funziona offline sulla Sua infrastruttura.
Richieda l’accessoLetture collegate
La copertura non dovrebbe dipendere da un ciclo di versioni del fornitore
Nella forense digitale, ciò che si può leggere è deciso dalla pianificazione delle versioni di un’altra società. È un problema strutturale, non una questione di supporto, e vale la pena nominarlo come tale.
Che cosa contiene davvero un’estrazione completa del file system, e perché la maggior parte non viene mai esaminata
L’estrazione di un telefono moderno non è un grande insieme di messaggi. È un sistema operativo, decine di depositi di applicazioni e un sedimento di cache e di tracce di sistema. Capirne la forma spiega dove va il tempo di esame.