Como preservar provas digitais: comprovar a integridade, a proveniência e a cadeia de custódia

Em todos os fluxos de trabalho, o fio condutor que irá observar é a forma como uma pessoa tem de comprovar um facto, defender uma conclusão ou demonstrar que um processo exigido foi seguido — utilizando registos como prova. Isto está relacionado com os conceitos de prova, do seu armazenamento e do valor probatório.

Trata-se, em todos os casos, de fluxos de trabalho baseados em provas, nos quais as empresas têm de reconstituir os acontecimentos, determinar as responsabilidades, demonstrar que as obrigações ou os controlos foram cumpridos e apresentar provas defensáveis a um decisor interno ou externo.

As consequências de uma conservação inadequada são reais. Em setembro de 2022, a Comissão de Valores Mobiliários dos EUA (SEC) anunciou medidas coercivas contra 16 empresas de Wall Street devido a falhas generalizadas na manutenção e preservação das comunicações eletrónicas. As empresas concordaram em pagar mais de $1,1 mil milhões em coimas no total. A SEC afirmou que essas falhas privaram os seus investigadores de comunicações que deveriam ter estado disponíveis durante as investigações regulatórias.

Em 2023, outras 11 empresas foram acusadas de incumprimento na manutenção e conservação de comunicações eletrónicas, tendo as empresas concordado em pagar um montante total de $289 milhões em multas. A SEC descreveu estas falhas como violações dos requisitos de manutenção de registos previstos na legislação federal sobre valores mobiliários e voltou a salientar a importância de conservar as comunicações eletrónicas para efeitos de supervisão regulamentar e investigações.

E os riscos vão também além da conservação de registos para efeitos regulamentares. No Reino Unido, o Tribunal Superior considerou Raymond McKeeve culpado de desrespeito ao tribunal após a destruição de material eletrónico em circunstâncias em que se aplicavam obrigações de conservação. Posteriormente, o tribunal impôs uma Multa de 25 000 libras e proferiu decisões significativas em matéria de custas. A Ocado, a entidade, informou que a sua as despesas judiciais tinham atingido cerca de 1,1 milhões de libras. O Sr. McKeeve, a pessoa em causa, incorreu em cerca de 615 000 libras em despesas de defesa.

A gestão de registos e a preservação de provas digitais estão intimamente ligadas. A gestão de registos garante a existência de registos organizacionais fiáveis; a preservação de provas protege a informação que poderá vir a ser necessária para determinar o que aconteceu.

A lição é simples: não basta guardar a informação digital — é preciso preservá-la para que se possa comprovar o que ela é e por que razão é fiável quando for necessário.

O objetivo de um procedimento operacional padrão (POP) de preservação de provas numa empresa é estabelecer um conjunto reduzido de controlos obrigatórios que protejam a integridade, a autenticidade, a rastreabilidade e a reprodutibilidade das provas, desde o momento em que são identificadas até à sua eventual apresentação ou eliminação. As três principais fontes de orientação utilizadas para elaborar este POP — e que pode consultar para elaborar o seu próprio — são as seguintes:

• ISO/IEC 27037:2012 Tecnologias da informação — Técnicas de segurança — Orientações para a identificação, recolha, aquisição e preservação de provas digitais;
• ’Grupo de Trabalho Científico sobre Provas Digitais» (SWGDE) Melhores práticas para a recolha de provas digitais (e 17-F-002-2.1, 18-F-002-2.0, 21-F-001-1.1, 23-F-004-1.1);
• NIST SP 800-86’Guia para a integração de técnicas forenses na resposta a incidentes e NIST IR 8387 Preservação de provas digitais — Considerações para os responsáveis pelo tratamento de provas.

A sua regra fundamental deve ser: Nunca modifique aquilo que não pode substituir; nunca transfira aquilo cuja origem não pode rastrear; nunca confie em provas cuja integridade não possa verificar.

Isto não se destina a substituir procedimentos forenses especializados. O SWGDE salienta expressamente que os seus documentos sobre melhores práticas não são manuais de formação, não são exaustivos e podem não ser aplicáveis a todas as circunstâncias. Nos casos em que uma situação exija um desvio, esse desvio e as medidas tomadas devem ser minuciosamente documentados.

Cada transferência de provas deve ser rastreável até um identificador único da prova e deve registar, no mínimo, quem a transferiu, quem a recebeu, quando a transferência ocorreu e por que motivo ocorreu. A norma SWGDE 17-F-002 identifica explicitamente estes elementos como a informação mínima relativa à cadeia de custódia para as transferências de provas digitais. O objetivo não é a complexidade burocrática. É a continuidade. A qualquer momento, a organização deve ser capaz de responder:

• Onde estão as provas?
• Quem tem a guarda?
• Quando é que a guarda mudou?
• Por que é que isso mudou?
• A sua integridade foi verificada?

Se não for possível responder a essas perguntas, o processo de gestão de provas apresenta uma lacuna em termos de rastreabilidade.

Note-se que o ponto forte de um SOP reside no facto de os controlos se manterem estáveis, ao mesmo tempo que a implementação se torna mais sofisticada. Uma organização de pequena dimensão pode utilizar um registo de provas controlado, formulários de aquisição padronizados, hash criptográfico, armazenamento encriptado e transferências de custódia documentadas. Uma empresa de maior dimensão pode adicionar progressivamente controlo de acesso baseado em funções, repositórios de provas imutáveis ou protegidos contra gravação, verificação automatizada de hash, registos de auditoria à prova de adulteração, etc. O ponto importante é que estas capacidades alargar os controlos iniciais, em vez de os substituir.

Consulte o Quadro de Referência para conhecer todo o conteúdo e outros casos de utilização específicos que possam adequar-se melhor ao seu próprio fluxo de trabalho.

Para começar a trabalhar, é também importante ter em conta os desafios comuns com que poderá deparar-se, mesmo que já exista um plano definido.

O objetivo é sempre enfrentar esses desafios e transformar transformar as provas digitais num registo que a empresa possa verificar, explicar e defender.

No fluxo de trabalho de preservação de provas, trabalhamos com as etapas “Fingerprint” e “Verify”: criamos um hash criptográfico do registo preservado, assinalamos de forma segura esse hash num momento específico e, posteriormente, verificamos se o registo continua a corresponder. O Connecting Software’s Truth Enforcer cumpre este requisito específico: cria uma impressão digital criptográfica de um ficheiro e regista-a num livro-razão imutável da blockchain, permitindo que o ficheiro seja verificado posteriormente quanto a alterações, sem que o documento subjacente saia do controlo da organização.

O Truth Enforcer poderia proporcionar um controlo de integridade específico no âmbito desses fluxos de trabalho: determinar e, posteriormente, verificar o estado de um registo.