Armazenamento e retenção de evidências

Entre a coleta e o encerramento de um caso, as evidências passam a maior parte do tempo armazenadas. Um caso pode durar anos, e o item que sai do depósito deve ser o mesmo que entrou, ainda legível e com sua localização e custódia devidamente registradas. Para isso não basta um armário trancado: itens físicos e cópias digitais precisam cada um da sua própria proteção, alguém precisa decidir por quanto tempo tudo é guardado, e o encerramento do caso traz sua própria papelada. A embalagem para transporte é abordada no Módulo 3.

Armazenamento de itens físicos

Evidências físicas, como computadores, unidades de armazenamento, telefones e cartões de memória, são mantidas em uma área exclusiva e segura: uma sala trancada, um armário com chave ou um cofre usado apenas para evidências.

• Controle de acesso: somente os responsáveis pela custódia designados possuem chaves ou cartões de acesso; qualquer outra pessoa tem sua entrada registrada e é acompanhada.
• Registros: toda entrada ou saída de um item é registrada em seu registro de custódia, e a entrada no próprio depósito é registrada por um sistema eletrônico de acesso ou por um livro de registro assinado.
• Temperatura e umidade: condições estáveis, moderadas e secas, pois calor, umidade e condensação danificam componentes eletrônicos e mídias.
• Eletricidade estática: unidades de armazenamento, cartões de memória e placas de circuito são mantidos em sacos antiestáticos.
• Campos magnéticos: ímãs fortes podem danificar mídias magnéticas, como discos rígidos e fitas, por isso elas são mantidas longe de alto-falantes, motores e outros equipamentos magnéticos.
• Segurança física: os itens são dispostos nas prateleiras de modo que não possam cair ou ser esmagados, e baterias de lítio danificadas ou estufadas, que representam risco de incêndio, são isoladas conforme as orientações de segurança.

Itens de casos diferentes não são misturados em um mesmo recipiente, e o depósito é organizado de modo que qualquer item possa ser encontrado rapidamente por seu identificador. O depósito também passa por auditorias: em intervalos regulares, o responsável pela custódia ou uma pessoa independente confere os itens nas prateleiras com os registros de custódia, confirma que os lacres estão intactos e comunica qualquer item ausente, fora do lugar ou sem registro. As divergências são investigadas e documentadas, e não corrigidas silenciosamente.

Armazenamento de evidências digitais

Imagens forenses, exportações e arquivos extraídos precisam dos mesmos cuidados em formato digital.

• Armazenamento criptografado, para que uma unidade de armazenamento perdida ou um servidor comprometido não exponha os dados, que frequentemente incluem informações pessoais de pessoas que não fazem parte do caso (Módulo 2).
• Controle de acesso por meio de contas individuais, com acesso concedido por caso e removido quando não for mais necessário, e com registro dos acessos.
• Uma segunda cópia em mídia separada ou em um local separado, verificada por hash em relação ao valor da aquisição, para que uma única falha não possa destruir a evidência.
• Verificações periódicas de integridade: os valores de hash são recalculados conforme um cronograma e comparados com os valores da aquisição, e os resultados são registrados.
• Migração quando necessária: as mídias de armazenamento envelhecem e os formatos de arquivo caem em desuso, de modo que evidências mantidas por anos podem ser transferidas para novas mídias, com verificação de hash antes e depois.

As chaves e senhas que protegem o armazenamento de evidências são, por si só, essenciais: se forem perdidas, as evidências serão perdidas com elas. Elas são gerenciadas segundo as mesmas regras de acesso aplicadas às evidências.

Cópias mestras e cópias de trabalho

Uma prática comum é manter uma cópia mestra de cada imagem forense, que nunca é examinada diretamente. Ela é armazenada em modo somente leitura, e seu hash corresponde ao valor registrado na aquisição. Os peritos trabalham com cópias de trabalho feitas a partir da cópia mestra e verificadas por hash antes do uso. Se uma cópia de trabalho for danificada, alterada por uma ferramenta ou simplesmente deixar de ser confiável, uma nova cópia será feita a partir da cópia mestra. O dispositivo original, quando mantido sob custódia, permanece lacrado no depósito de evidências e só é reaberto por um motivo registrado, como a necessidade de realizar uma nova aquisição.

Requisitos de armazenamento por tipo de evidência

Retenção e ordens de preservação legal

Por quanto tempo as evidências são mantidas não é uma decisão do perito. Os prazos de retenção são definidos por lei, contrato ou política organizacional e variam conforme o tipo de caso e a jurisdição. Evidências de casos criminais graves costumam ser mantidas por muitos anos, pois podem ocorrer recursos e revisões, enquanto uma investigação corporativa pode seguir a política de gestão de documentos da organização. Cada item deve ter seu prazo de retenção ou sua data de término registrados, e nada é destruído antes disso.

Uma ordem de preservação legal, também chamada de ordem de preservação para litígio, se sobrepõe à retenção normal: quando há um processo judicial em andamento ou razoavelmente previsto, os itens e dados relevantes devem ser preservados mesmo que seu prazo normal de retenção tenha terminado. Ordens de preservação são comuns em litígios civis e na descoberta eletrônica, abordada pela ISO/IEC 27050. Antes de descartar qualquer coisa, o responsável pela custódia confirma que não há nenhuma ordem de preservação aplicável.

Devolução e descarte

Ao final de um caso, os itens são devolvidos ao proprietário, mantidos por mais tempo ou destruídos. Cada uma dessas destinações exige:

1. Autorização da pessoa ou do órgão com competência para concedê-la, registrada nos autos do caso.
2. Uma lista completa do item e de todas as cópias, incluindo cópias de trabalho, segundas cópias e exportações, para que nenhuma seja esquecida.
3. Devolução mediante assinatura, que encerra o registro de custódia, ou destruição por um método adequado à mídia, como sobrescrita, apagamento criptográfico ou destruição física. A NIST SP 800-88 descreve métodos de sanitização de mídias.
4. Um registro de destruição: o que foi destruído, como, quando, por quem e na presença de quem, frequentemente emitido como um certificado.

Excluir um arquivo de um servidor de evidências não constitui descarte seguro: os dados podem permanecer na mídia e nos backups. As cópias mantidas fora do depósito, na estação de trabalho de um perito ou no notebook de um revisor, são as mais frequentemente esquecidas. Os autos do caso, incluindo as anotações, os registros de custódia e o registro de destruição, geralmente são mantidos depois que as próprias evidências já não existem, para que o trabalho ainda possa ser revisado.

Referenciais de qualidade

O armazenamento e o manuseio fazem parte do sistema de qualidade de um laboratório: a ISO/IEC 17025 estabelece requisitos gerais para a competência de laboratórios de ensaio e calibração e é usada para acreditar muitos laboratórios forenses, enquanto a ISO/IEC 27037 inclui a preservação de evidências digitais entre as atividades que abrange.

Foco no exame: Aprenda os requisitos de armazenamento para itens físicos (controle de acesso, registros, temperatura e umidade estáveis, proteção contra eletricidade estática e campos magnéticos) e para evidências digitais (criptografia, controle de acesso, uma segunda cópia verificada, verificações periódicas de hash), além da diferença entre cópias mestras e cópias de trabalho. Espere questões sobre retenção definida por lei, contrato ou política, ordens de preservação legal que se sobrepõem à exclusão normal e devolução ou destruição autorizada e documentada de todas as cópias. Reconheça a ISO/IEC 17025 como a norma de competência laboratorial.