Anotações contemporâneas

"Se não foi registrado por escrito, não aconteceu" é um exagero, mas se aproxima de como revisores e tribunais tratam o trabalho pericial. Anotações contemporâneas são anotações feitas no momento de uma ação, ou assim que possível depois dela, pela pessoa que a executou. Elas são o registro do próprio perito sobre o que foi feito, com quais recursos e por quê. Esta aula aborda o que registrar, como manter anotações em papel ou em meio eletrônico sem comprometer sua integridade e por que elas são importantes na revisão por pares e em juízo. A forma como as anotações contribuem para o laudo final é abordada no Módulo 7.

O que significa contemporâneo

Contemporâneo significa feito no mesmo momento. Uma anotação escrita durante a criação da imagem de uma unidade, ou imediatamente depois, registra o que o perito viu; uma anotação escrita de memória uma semana depois registra aquilo de que ele se lembra, o que é menos confiável e mais fácil de contestar. Quando um registro não pode ser feito no momento, por exemplo durante uma busca em um local com acontecimentos rápidos, ele é escrito assim que possível e informa quando foi escrito. As anotações não são o laudo. Elas são o registro bruto a partir do qual o laudo é elaborado e com o qual ele pode ser conferido.

O que registrar

• Data e hora com fuso horário para cada registro, por exemplo 14:32 UTC+02:00. Quando for relevante, registre também a hora exibida pelo dispositivo em exame em comparação com um relógio de referência confiável (Módulo 6).
• Ações: o que foi feito e em qual item, identificado pelo seu número de evidência.
• Ferramentas e versões: o hardware e o software utilizados, com os números de versão, incluindo o bloqueador de escrita e a estação de trabalho.
• Configurações: opções escolhidas, como formato da imagem, tamanho dos segmentos, algoritmos de hash e termos de busca.
• Observações: o que foi visto, como um programa em execução, uma mensagem na tela, danos, etiquetas e números de série.
• Resultados: valores de hash escritos por completo, mensagens de erro e quantidades de itens encontrados.
• Problemas e decisões com justificativas: tudo o que não saiu conforme o planejado, o que foi decidido e por quê, incluindo opções consideradas e rejeitadas.

Registre também o que você não fez, quando isso for relevante. "Memória não capturada: o notebook estava desligado na chegada" responde a uma pergunta antes que alguém a faça.

Papel ou meio eletrônico

Cadernos encadernados

A escolha tradicional é um caderno encadernado com páginas numeradas, preenchido com tinta permanente. As páginas nunca são arrancadas e os registros nunca são apagados nem sobrescritos. Um erro é corrigido com um traço único sobre o texto incorreto, de modo que ele permaneça legível, seguido da correção, da data e da rubrica de quem escreveu. O espaço em branco ao final de um registro ou de uma página é riscado para que nada possa ser acrescentado depois, e cada página é datada e rubricada.

Anotações eletrônicas

Anotações digitadas são mais fáceis de ler e pesquisar e podem conter valores de hash e caminhos de arquivos copiados exatamente da saída de uma ferramenta. Elas precisam de proteções equivalentes: registros automáticos de data e hora; um histórico que preserve todas as alterações em vez de substituir o texto, como um repositório com controle de versão ou um sistema de gestão de casos que retenha as versões anteriores; e uma forma de demonstrar que as anotações não foram alteradas posteriormente, por exemplo registrando um hash do arquivo de cada dia ou salvando-o em mídia de gravação única. Um arquivo de processador de texto que qualquer pessoa pode editar sem deixar rastros é um registro frágil. Os logs produzidos pelas ferramentas são mantidos junto às anotações, que fazem referência a eles em vez de substituí-los.

Como escrevê-las

As anotações devem ser compreensíveis para alguém que não estava presente, incluindo um revisor, um advogado ou o próprio perito anos depois. Escreva fatos e observações e identifique claramente qualquer opinião ou inferência como tal. Use abreviações apenas se forem padronizadas na sua organização ou explicadas nas anotações. Cada pessoa que executa uma ação escreve suas próprias anotações; se um colega registra ações para outra pessoa, por exemplo enquanto ela manuseia um dispositivo, a anotação informa quem fez o quê e quem a escreveu. As anotações fazem parte da documentação do caso e podem ser disponibilizadas às partes; portanto, não escreva nelas nada que você não esteja disposto a explicar em juízo.

Fotografias e gravações de tela

Imagens frequentemente registram uma cena ou uma tela melhor do que palavras. Fotografias de um dispositivo tal como foi encontrado, de suas etiquetas, portas, embalagens e lacres e do que sua tela exibia fazem parte das anotações. Durante o trabalho ao vivo em um sistema em execução, uma gravação de tela, ou uma câmera filmando a tela, mostra exatamente o que foi digitado e o que apareceu. Mantenha os arquivos originais de imagem e vídeo, registre seus valores de hash e faça referência a cada um por número nas anotações escritas, para que os dois possam ser consultados em conjunto. Uma fotografia não se explica sozinha: a anotação informa o que ela mostra e por que foi tirada.

Por que as anotações são importantes

As anotações são o que torna viáveis, na prática, os aspectos de manuseio do Módulo 1.

• Repetibilidade e reprodutibilidade dependem de saber exatamente quais ferramenta, versão, configurações e dados de entrada produziram um resultado. Sem isso, ninguém, nem mesmo o perito original, consegue executar novamente as mesmas etapas.
• Justificabilidade depende de motivos registrados. Uma decisão que pareça estranha um ano depois, como criar a imagem de apenas parte de um servidor, é defensável se as anotações mostrarem a restrição que a impôs.
• Revisão por pares, na qual um segundo perito verifica o trabalho antes da emissão do laudo, baseia-se nas anotações e nos logs das ferramentas, não em conversas.
• Depoimento pode ocorrer meses ou anos após o exame. Os peritos se apoiam em suas anotações para responder com precisão, e elas podem ser disponibilizadas à outra parte, que as lerá atentamente.

Considere Tomás Vidal, um perito fictício questionado em juízo sobre por que não examinou uma partição de uma unidade. Suas anotações dizem: "Partição 3 criptografada, nenhuma chave fornecida. Chave solicitada ao responsável pelo caso às 10:15 UTC; o responsável respondeu às 11:40 que nenhuma estava disponível." Sua resposta é imediata e confiável. Sem a anotação, ele só poderia dizer que não se lembra.

Anotações boas e ruins

Foco no exame: Saiba o que significa contemporâneo (feito no momento, pela pessoa que executou a ação) e o que um registro contém: data e hora com fuso horário, identificador do item, ação, ferramenta e versão, configurações, observações, resultados como valores de hash completos e problemas e decisões com justificativas. Saiba como a integridade é protegida: cadernos encadernados, tinta permanente, texto riscado com um traço único acompanhado de data e rubrica, nenhuma exclusão e anotações eletrônicas com registro de data e hora, controle de versão ou gravação única. Espere questões que relacionem as anotações à repetibilidade, à reprodutibilidade, à justificabilidade, à revisão por pares e ao depoimento.