When a senior employee leaves for a competitor, the first question is often whether confidential information was copied. The more immediate question is narrower and more important: what evidence may disappear before that question can be examined properly? <\/p>\n
Audit records may have limited retention. Cloud activity can continue after departure. A personal device may contain both business material and intensely private information. Encrypted messaging may leave little accessible message content. A collection that is technically extensive can still be difficult to defend if its authority, scope, methods or chain of custody were not documented. <\/p>\n
O princ\u00edpio central \u00e9 simples: preservar primeiro as evid\u00eancias mais vol\u00e1teis e relevantes, come\u00e7ando por fontes controladas pela empresa e medidas administrativas proporcionais. A coleta deve ent\u00e3o prosseguir em etapas definidas, utilizando exporta\u00e7\u00f5es nativas do provedor e m\u00e9todos direcionados a dispositivos, sempre que poss\u00edvel. Um dispositivo pessoal n\u00e3o deve se tornar o ponto de partida padr\u00e3o apenas por poder conter evid\u00eancias relevantes. <\/p>\n
As primeiras horas ap\u00f3s a sa\u00edda de um funcion\u00e1rio devem ser utilizadas para registrar os fatos relevantes e identificar fontes que possam mudar ou expirar. Isso inclui o hor\u00e1rio de sa\u00edda, altera\u00e7\u00f5es de acesso, dispositivos devolvidos ou retidos, contas relevantes, preocupa\u00e7\u00f5es conhecidas levantadas pelo RH ou TI e qualquer ind\u00edcio de que arquivos foram copiados, baixados, compartilhados ou transferidos. <\/p>\n
As diretrizes do NIST sobre a integra\u00e7\u00e3o de t\u00e9cnicas forenses na resposta a incidentes enfatizam a import\u00e2ncia da ordem de volatilidade e da coordena\u00e7\u00e3o entre as atividades de resposta e forenses. Na pr\u00e1tica, isso significa que registros de auditoria, rede, VPN, proxy, CASB e DLP de curta dura\u00e7\u00e3o podem exigir preserva\u00e7\u00e3o urgente, enquanto o conte\u00fado em nuvem pode ser preservado por meio de reten\u00e7\u00f5es administrativas antes que uma coleta mais intrusiva seja considerada. <\/p>\n
Um processo defens\u00e1vel registra quem realizou cada a\u00e7\u00e3o, quando ela ocorreu, qual autoridade a respaldou, quais sistemas e contas estavam envolvidos e quais ferramentas ou fun\u00e7\u00f5es da plataforma foram utilizadas. O registro de preserva\u00e7\u00e3o faz parte da narrativa das evid\u00eancias. <\/p>\n
A prioridade inicial deve ser, em geral, as fontes controladas pelo locat\u00e1rio associadas ao custodiante. Dependendo do ambiente da organiza\u00e7\u00e3o, isso pode incluir a caixa de correio, o OneDrive, o SharePoint, o Teams, os espa\u00e7os de trabalho do Slack, o Google Drive e outros reposit\u00f3rios corporativos. <\/p>\n
O Microsoft Purview e o Google Vault fornecem exemplos de funcionalidades de reten\u00e7\u00e3o que podem preservar o conte\u00fado do servidor e suspender a exclus\u00e3o rotineira, quando configuradas e dispon\u00edveis. As reten\u00e7\u00f5es devem ser documentadas por escopo, propriet\u00e1rio, per\u00edodo, justificativa e contas ou reposit\u00f3rios afetados. Uma reten\u00e7\u00e3o n\u00e3o substitui um plano de coleta, mas pode fornecer uma primeira etapa de menor impacto enquanto esse plano \u00e9 desenvolvido. <\/p>\n
Registros relevantes de auditoria e atividade tamb\u00e9m devem ser preservados. Isso pode incluir registros de auditoria unificados, eventos de autentica\u00e7\u00e3o, atividade de compartilhamento de arquivos, a\u00e7\u00f5es de administrador, alertas de DLP, eventos de download e altera\u00e7\u00f5es de compartilhamento. A disponibilidade, reten\u00e7\u00e3o e campos exatos variam de acordo com a plataforma, a configura\u00e7\u00e3o do locat\u00e1rio e o licenciamento. Esses detalhes devem ser verificados no ambiente de destino, em vez de serem presumidos a partir de descri\u00e7\u00f5es gerais do produto. <\/p>\n
Os registros de VPN, proxy, firewall, CASB e DLP podem ajudar a identificar transfer\u00eancias, padr\u00f5es de acesso incomuns, uploads grandes ou acessos fora da atividade normal. Seus per\u00edodos de reten\u00e7\u00e3o dependem da plataforma e da pol\u00edtica, portanto, a equipe respons\u00e1vel deve identificar e proteger os registros relevantes prontamente. <\/p>\n
Esses registros podem corroborar a atividade observada em um reposit\u00f3rio ou endpoint na nuvem. Eles n\u00e3o estabelecem, por si s\u00f3, o significado ou a inten\u00e7\u00e3o completa de um evento. Seu valor probat\u00f3rio depende do contexto, da sincroniza\u00e7\u00e3o temporal, da configura\u00e7\u00e3o do sistema e da confiabilidade dos registros associados. <\/p>\n
Um laptop ou dispositivo m\u00f3vel corporativo pode exigir triagem forense ou cria\u00e7\u00e3o de imagem, dependendo da quest\u00e3o, do estado do dispositivo e da autoriza\u00e7\u00e3o para a coleta. Se um sistema estiver em execu\u00e7\u00e3o e os dados relevantes forem sens\u00edveis ao tempo, considera\u00e7\u00f5es de resposta imediata podem ser aplic\u00e1veis. Se uma imagem for criada, o processo deve abordar o m\u00e9todo de aquisi\u00e7\u00e3o, a prote\u00e7\u00e3o contra grava\u00e7\u00e3o (quando aplic\u00e1vel), os hashes, as vers\u00f5es das ferramentas, a valida\u00e7\u00e3o e o armazenamento da sa\u00edda original. <\/p>\n
O m\u00e9todo apropriado \u00e9 espec\u00edfico para cada caso. Uma imagem completa n\u00e3o \u00e9 automaticamente o primeiro passo mais proporcional ou \u00fatil. O planejamento da coleta de dados deve refletir a quest\u00e3o probat\u00f3ria e a volatilidade dos dados relevantes. <\/p>\n
As evid\u00eancias na nuvem t\u00eam limites diferentes das evid\u00eancias armazenadas em um dispositivo local. O NIST SP 800-201 fornece uma estrutura para considerar a arquitetura da nuvem, as responsabilidades e os padr\u00f5es de coleta. Registros nativos do provedor e mecanismos de exporta\u00e7\u00e3o podem preservar conte\u00fado ou contexto do lado do servidor que uma c\u00f3pia da pasta de sincroniza\u00e7\u00e3o local de um usu\u00e1rio n\u00e3o preserva. Sua proveni\u00eancia, escopo, abrang\u00eancia e limita\u00e7\u00f5es ainda exigem avalia\u00e7\u00e3o em rela\u00e7\u00e3o ao provedor relevante, \u00e0 configura\u00e7\u00e3o do locat\u00e1rio, \u00e0 identidade da conta e aos par\u00e2metros de exporta\u00e7\u00e3o. <\/p>\n
Quando suportado e devidamente autorizado, utilize os recursos de reten\u00e7\u00e3o, descoberta eletr\u00f4nica (eDiscovery) ou exporta\u00e7\u00e3o da plataforma para coletar conte\u00fado espec\u00edfico e metadados associados. Exemplos identificados no Pacote de Pesquisa incluem as APIs de eDiscovery e Exporta\u00e7\u00e3o do Microsoft Graph, o Google Vault e o Slack Discovery ou mecanismos de exporta\u00e7\u00e3o corporativos. <\/p>\n
Uma exporta\u00e7\u00e3o segura para a nuvem deve preservar a sa\u00edda bruta e seu manifesto ou relat\u00f3rio associado. Registre a tarefa de exporta\u00e7\u00e3o, os par\u00e2metros relevantes, o escopo da conta ou reposit\u00f3rio, os carimbos de data\/hora, as permiss\u00f5es, a vers\u00e3o da ferramenta ou API (quando dispon\u00edvel) e os checksums. Um checksum auxilia na verifica\u00e7\u00e3o posterior da integridade da sa\u00edda capturada, protegendo-a contra altera\u00e7\u00f5es; ele n\u00e3o garante, por si s\u00f3, que a exporta\u00e7\u00e3o foi completa, aut\u00eantica, abrangente ou tenha valor probat\u00f3rio. O escopo da exporta\u00e7\u00e3o, o processo do provedor, a autoridade da conta, as limita\u00e7\u00f5es de cobertura e a corrobora\u00e7\u00e3o independente s\u00e3o quest\u00f5es distintas. Os campos exatos da exporta\u00e7\u00e3o e a cobertura exigem confirma\u00e7\u00e3o para o produto, licen\u00e7a e locat\u00e1rio relevantes. <\/p>\n
A c\u00f3pia manual pode resultar na perda de contexto do servidor, informa\u00e7\u00f5es de vers\u00e3o ou registros de atividades. A coleta nativa do provedor pode, portanto, preservar o contexto que uma c\u00f3pia local n\u00e3o preserva, mas ainda \u00e9 necess\u00e1rio compreender a exporta\u00e7\u00e3o espec\u00edfica em termos do que ela inclui e exclui. <\/p>\n
Plataformas como Teams, Slack e similares podem conter mensagens, anexos, links e registros de atividades. Os caminhos de coleta desses dados dependem do plano da organiza\u00e7\u00e3o, das permiss\u00f5es, das configura\u00e7\u00f5es de reten\u00e7\u00e3o e dos recursos de descoberta ou exporta\u00e7\u00e3o dispon\u00edveis. <\/p>\n
Para o Teams, o Pacote de Pesquisa identifica os recursos de exporta\u00e7\u00e3o do Microsoft Purview e do Microsoft Graph eDiscovery como rotas de coleta relevantes. Para o Slack, a API de Descoberta ou mecanismos de exporta\u00e7\u00e3o corporativos podem estar dispon\u00edveis, sujeitos \u00e0 aprova\u00e7\u00e3o da organiza\u00e7\u00e3o e \u00e0 configura\u00e7\u00e3o da plataforma. Quando a exporta\u00e7\u00e3o por descoberta n\u00e3o estiver dispon\u00edvel, os registros de auditoria administrativa e os arquivos retidos ainda podem ser relevantes, mas n\u00e3o devem ser tratados como equivalentes a uma coleta completa de mensagens. <\/p>\n
Conte\u00fados que envolvem canais compartilhados, participantes externos ou espa\u00e7os de trabalho interorganizacionais exigem aten\u00e7\u00e3o especial. A abrang\u00eancia pode variar, e o comportamento exato de uma determinada exporta\u00e7\u00e3o deve ser verificado antes de se fazer afirma\u00e7\u00f5es sobre sua operacionalidade ou integridade. <\/p>\n
Um dispositivo pessoal pode conter aplicativos de trabalho relevantes, arquivos corporativos e registros de contas, al\u00e9m de comunica\u00e7\u00f5es pessoais, fotografias, informa\u00e7\u00f5es de sa\u00fade e outros materiais que est\u00e3o fora do escopo da investiga\u00e7\u00e3o. Isso torna a autoridade, a proporcionalidade e a minimiza\u00e7\u00e3o fundamentais para o planejamento da coleta de dados. <\/p>\n
A cria\u00e7\u00e3o de uma imagem forense gen\u00e9rica n\u00e3o deve ser a abordagem padr\u00e3o sem autoriza\u00e7\u00e3o ou consentimento expl\u00edcitos. A sequ\u00eancia preferencial geralmente consiste em preservar e coletar primeiro o material controlado pela empresa e, em seguida, usar o m\u00e9todo mais espec\u00edfico adequado para o dispositivo pessoal. Dependendo do ambiente, isso pode incluir: <\/p>\n
Se uma imagem do dispositivo for essencial, a coleta deve ser feita em etapas. Primeiro, identifique as fontes de dados relevantes. Em seguida, considere uma coleta l\u00f3gica direcionada ou outro m\u00e9todo proporcional. Se uma imagem mais abrangente for obtida, o material privado deve ser segregado e protegido por meio de acesso restrito, filtragem, reda\u00e7\u00e3o e um fluxo de trabalho de revis\u00e3o apropriado. Qualquer c\u00f3pia de revis\u00e3o filtrada, redigida ou segregada deve ser criada a partir de uma fonte preservada e inalterada, mantendo-se rastre\u00e1vel a ela. O m\u00e9todo de separa\u00e7\u00e3o, a base de valida\u00e7\u00e3o e as limita\u00e7\u00f5es t\u00e9cnicas devem ser documentados; a filtragem, por si s\u00f3, n\u00e3o garante que o material comercial e o privado estejam perfeitamente separados. <\/p>\n
A base legal para acessar ou obter imagens de um dispositivo pessoal depende da jurisdi\u00e7\u00e3o, do contexto de trabalho, dos termos do provedor e do processo espec\u00edfico de cada caso. Este artigo n\u00e3o determina essa base legal. \u00c9 recomend\u00e1vel consultar um advogado e, quando pertinente, o encarregado da prote\u00e7\u00e3o de dados antes de qualquer coleta intrusiva ou transfer\u00eancia internacional de dados. <\/p>\n
A criptografia de ponta a ponta permite limitar o acesso do servidor ao conte\u00fado das mensagens. Dependendo da aplica\u00e7\u00e3o e da configura\u00e7\u00e3o, o texto n\u00e3o criptografado relevante pode existir apenas em um dispositivo desbloqueado ou em um backup para o qual a chave ou senha necess\u00e1ria esteja dispon\u00edvel. <\/p>\n
O objetivo da preserva\u00e7\u00e3o n\u00e3o deve, portanto, limitar-se ao texto da mensagem. Artefatos relevantes podem incluir instala\u00e7\u00e3o de aplicativos, metadados da conta, registros de data e hora, registros de entrega, presen\u00e7a no banco de dados local, artefatos do sistema operacional e metadados de backup. Um provedor pode reter algumas informa\u00e7\u00f5es da conta ou de entrega mesmo quando n\u00e3o puder fornecer o conte\u00fado da mensagem. <\/p>\n
A recupera\u00e7\u00e3o a partir de um backup \u00e9 condicional e n\u00e3o garantida. Criptografia, armazenamento de chaves do dispositivo, senhas controladas pelo usu\u00e1rio e limita\u00e7\u00f5es do provedor podem impedir o acesso. A limita\u00e7\u00e3o resultante deve ser registrada, em vez de ser tratada silenciosamente como uma falha de coleta ou transformada em uma suposi\u00e7\u00e3o sobre o que foi comunicado. <\/p>\n
A sequ\u00eancia a seguir \u00e9 ilustrativa e n\u00e3o representa um prazo universal de 0 a 72 horas nem um padr\u00e3o operacional internacional. As prioridades imediatas dependem dos per\u00edodos de reten\u00e7\u00e3o conhecidos, do estado do sistema, da autoridade dispon\u00edvel, dos processos do provedor e do risco de que as informa\u00e7\u00f5es sejam alteradas ou perdidas. <\/p>\n
Registre os fatos que desencadearam o alerta e identifique o respons\u00e1vel, as contas relevantes, os dispositivos, os reposit\u00f3rios e a atividade suspeita. Coordene com as partes interessadas das \u00e1reas jur\u00eddica, de RH, de TI e de privacidade. <\/p>\n
Aplique bloqueios em contas e reposit\u00f3rios corporativos relevantes, quando dispon\u00edveis. Preserve os registros de auditoria e DLP e identifique os logs de rede e seguran\u00e7a de curto prazo. Proteja as c\u00f3pias com controles de acesso apropriados e documente a a\u00e7\u00e3o, o escopo e o hor\u00e1rio. <\/p>\n
Qualquer suspens\u00e3o de conta, altera\u00e7\u00e3o de credenciais ou restri\u00e7\u00e3o de compartilhamento externo deve ser autorizada e documentada. Essas medidas podem ser operacionalmente necess\u00e1rias, mas devem ser consideradas levando em conta as implica\u00e7\u00f5es legais, de privacidade e de preserva\u00e7\u00e3o de dados. <\/p>\n
Execute exporta\u00e7\u00f5es nativas do provedor para caixas de correio, sites, armazenamento em nuvem e plataformas de colabora\u00e7\u00e3o relevantes. Preserve os arquivos nativos, metadados dispon\u00edveis, manifestos, identificadores de exporta\u00e7\u00e3o e checksums. Considere os checksums como suporte para verifica\u00e7\u00e3o de integridade das sa\u00eddas definidas, e n\u00e3o como prova de completude ou autenticidade. Priorize a triagem de endpoints corporativos e projete uma abordagem BYOD separada e baseada em autoridade. <\/p>\n
Nos casos em que mensagens criptografadas ou armazenamento pessoal em nuvem sejam relevantes, preserve os backups dispon\u00edveis e os metadados da conta e avalie se \u00e9 necess\u00e1rio o aux\u00edlio do provedor, a preserva\u00e7\u00e3o volunt\u00e1ria ou um processo legal. A administra\u00e7\u00e3o do locat\u00e1rio n\u00e3o garante, por si s\u00f3, o acesso ou a disponibiliza\u00e7\u00e3o de dados mantidos em uma conta pessoal separada; pode ser necess\u00e1rio seguir os procedimentos adequados do provedor e obter aconselhamento jur\u00eddico. <\/p>\n
Mantenha um registro de preserva\u00e7\u00e3o ou de atividades atualizado para cada a\u00e7\u00e3o. Registre o respons\u00e1vel, a data e a hora, o m\u00e9todo, as ferramentas e vers\u00f5es utilizadas, a fonte, o resultado, a autoridade competente, o escopo e o local de armazenamento. <\/p>\n
Mantenha esse registro distinto do registro de cust\u00f3dia. Quando relevante, o registro de cust\u00f3dia deve documentar transfer\u00eancias, acessos, controles de armazenamento e as pessoas respons\u00e1veis \u200b\u200bpelo manuseio do resultado definido, para que a continuidade da posse possa ser avaliada. Hashes ou checksums podem auxiliar na verifica\u00e7\u00e3o da integridade desses resultados definidos, mas n\u00e3o estabelecem, por si s\u00f3, proveni\u00eancia, integridade, autenticidade ou valor probat\u00f3rio. <\/p>\n
Teste as ferramentas forenses e os m\u00e9todos de an\u00e1lise sint\u00e1tica em rela\u00e7\u00e3o a dados conhecidos, quando apropriado, e documente a base de valida\u00e7\u00e3o para as alega\u00e7\u00f5es metodol\u00f3gicas relevantes. Utilize um processo de revis\u00e3o segregado para material privado, privilegiado ou sens\u00edvel. Limitar o acesso dos revisores n\u00e3o \u00e9 apenas uma medida de privacidade; tamb\u00e9m ajuda a manter a quest\u00e3o da revis\u00e3o alinhada ao escopo autorizado. <\/p>\n
Um registro de auditoria na nuvem pode mostrar que uma conta acessou, baixou, compartilhou ou modificou um item, sujeito ao comportamento de registro e reten\u00e7\u00e3o da plataforma. Uma exporta\u00e7\u00e3o de arquivo pode mostrar o conte\u00fado e os metadados dispon\u00edveis no servidor. Um registro de rede pode corroborar um evento de transfer\u00eancia. Um artefato de dispositivo pode fornecer contexto sobre um aplicativo, arquivo ou conta. <\/p>\n
Nenhuma dessas fontes deve ser automaticamente considerada como prova de inten\u00e7\u00e3o, autoria ou uso n\u00e3o autorizado. A interpreta\u00e7\u00e3o depende de controles de identidade, contas compartilhadas, configura\u00e7\u00e3o do sistema, registros de data e hora, reten\u00e7\u00e3o, integridade e corrobora\u00e7\u00e3o. A an\u00e1lise mais robusta normalmente compara m\u00faltiplas fontes em vez de se basear em um \u00fanico registro de evento. <\/p>\n
O inverso tamb\u00e9m \u00e9 importante. A aus\u00eancia de conte\u00fado da mensagem n\u00e3o comprova necessariamente que n\u00e3o houve comunica\u00e7\u00e3o. Pode refletir criptografia, exclus\u00e3o, chaves indispon\u00edveis, reten\u00e7\u00e3o limitada na plataforma ou um limite de exporta\u00e7\u00e3o. O relat\u00f3rio deve distinguir entre evid\u00eancias que n\u00e3o foram encontradas, evid\u00eancias que n\u00e3o foram retidas e evid\u00eancias que n\u00e3o puderam ser acessadas pelo m\u00e9todo autorizado. <\/p>\n
Para profissionais de lit\u00edgios e investiga\u00e7\u00f5es, o objetivo imediato n\u00e3o \u00e9 coletar tudo. \u00c9 evitar perdas desnecess\u00e1rias, preservando a capacidade de responder \u00e0s perguntas relevantes posteriormente. <\/p>\n
Isso geralmente significa come\u00e7ar com reten\u00e7\u00f5es controladas pela empresa, capturas de auditoria e exporta\u00e7\u00f5es direcionadas para a nuvem; em seguida, avaliar dispositivos de propriedade da empresa, BYOD (Bring Your Own Device – Traga Seu Pr\u00f3prio Dispositivo) e aplicativos criptografados de acordo com a autoridade, volatilidade, relev\u00e2ncia e proporcionalidade. Significa tamb\u00e9m manter um registro transparente das limita\u00e7\u00f5es, incluindo dados indispon\u00edveis do provedor, reten\u00e7\u00e3o incerta, cobertura de exporta\u00e7\u00e3o incompleta e restri\u00e7\u00f5es jurisdicionais. <\/p>\n
A perspectiva da IVIDENTIA \u00e9 que as evid\u00eancias digitais devem ser compreendidas antes de serem coletadas em excesso. Um plano de preserva\u00e7\u00e3o e coleta deve deixar claro o que cada fonte pode comprovar, o que n\u00e3o pode, como o material privado ser\u00e1 protegido e quais decis\u00f5es exigem aprova\u00e7\u00e3o legal ou de privacidade. <\/p>\n
Este artigo fornece orienta\u00e7\u00f5es t\u00e9cnicas gerais e n\u00e3o constitui aconselhamento jur\u00eddico. Antes de coletar dados de dispositivos pessoais ou transferir dados de contas pessoais para outros pa\u00edses, consulte as autoridades competentes, os requisitos de privacidade e os procedimentos locais. <\/p>\n
When a senior employee leaves for a competitor, the first question is often whether confidential information was copied. The more immediate question is narrower and more important: what evidence may disappear before that question can be examined properly? Audit records may have limited retention. Cloud activity can continue after departure. A personal device may contain […]<\/p>\n","protected":false},"author":9,"featured_media":12499,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[43,42],"tags":[],"tax-filters":[],"class_list":["post-12500","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-auditoria-de-software","category-expert-reports-for-law-enforcement"],"yoast_head":"\n