Noções de laudo e relatório · Aula 1 de 3
O que um relatório deve conter
7 min de leitura
Para a maioria das pessoas envolvidas em um caso, o relatório é o exame. Juízes, advogados, gestores e outros peritos raramente abrem uma imagem forense; eles leem o que o perito escreveu sobre ela. Um exame sólido com um relatório fraco pode fracassar, porque ninguém consegue saber o que foi feito ou até que ponto confiar no resultado. Esta aula descreve o que um relatório forense contém e por que cada parte está presente. A Aula 7.2 aborda as limitações, e a Aula 7.3 aborda a redação para leitores que não são especialistas. As anotações feitas durante o trabalho, que dão suporte ao relatório, são abordadas no Módulo 5.
Para que serve um relatório
Um relatório forense comunica os achados para que outras pessoas possam compreendê-los, verificá-los e confiar neles. Cada um desses verbos aponta para um leitor diferente.
- Compreender: a pessoa que precisa decidir, como um juiz, um tribunal ou um gestor, precisa de respostas claras às perguntas formuladas.
- Verificar: um revisor ou um perito contratado pela outra parte precisa de detalhes suficientes para testar o método e repetir o trabalho.
- Confiar: todos precisam saber em que os achados se baseiam e quais são seus limites, para que uma decisão não se apoie em mais do que as evidências sustentam.
A ISO/IEC 27042, norma sobre análise e interpretação de evidências digitais (Módulo 1), é a referência internacional usual para relatar esse trabalho. Em termos gerais, ela prevê que um relatório deixe claro o que foi examinado, como, o que foi encontrado e como cada conclusão decorre dos achados. Laboratórios acreditados segundo a ISO/IEC 17025 também devem cumprir os requisitos dessa norma para a apresentação de resultados.
A estrutura típica
Os formatos dos relatórios variam entre organizações e países, mas a maioria contém os mesmos componentes, geralmente nesta ordem.
| Seção | A pergunta que ela responde | Conteúdo típico |
|---|---|---|
| Identificação | Quem escreveu isto, para qual caso e quando? | Referência do caso, versão do relatório, nome e qualificações do perito, data das instruções, período do exame, data do relatório |
| Instruções e escopo | O que foi solicitado, por quem e dentro de quais limites? | As perguntas recebidas, quem as formulou, a autorização, o que estava dentro e fora do escopo |
| Itens recebidos | O que exatamente foi examinado? | Identificadores dos itens, descrições, números de série, datas de recebimento, condição dos lacres, valores de hash com o algoritmo identificado |
| Métodos e ferramentas | Como o trabalho foi realizado? | Procedimentos seguidos, nomes das ferramentas e versões exatas, configurações que afetam os resultados, como os resultados foram verificados |
| Achados | O que os dados mostram? | Observações com sua origem: item, caminho do arquivo, registro, marca temporal e fuso horário |
| Interpretação | O que os achados significam? | Opinião, sua fundamentação, as explicações alternativas consideradas e o grau de suporte dos achados a cada uma delas |
| Limitações | O que não pôde ser feito ou conhecido? | Limites de escopo, dados, ferramentas, tempo e interpretação (Aula 7.2) |
| Conclusões | Qual é a resposta a cada pergunta? | Uma resposta por pergunta, com referências aos achados |
| Apêndices | Onde estão os detalhes? | Detalhes técnicos, linhas do tempo, listas completas de itens, glossário |
Fatos, inferências e opiniões
O leitor deve conseguir distinguir o que o perito observou daquilo que ele concluiu. Três tipos de afirmação devem ser mantidos separados e redigidos de forma que a diferença fique evidente.
- Fato (observação): o que os dados contêm, que qualquer pessoa com a mesma imagem pode verificar. "O hive SYSTEM do Registro no Item 1.1 contém uma entrada para um dispositivo de armazenamento USB com número de série 0A1B2C."
- Inferência: uma conclusão alcançada por meio de raciocínio a partir dos fatos. "Esse dispositivo foi conectado ao notebook em 4 de março de 2026."
- Opinião: a avaliação do perito, baseada em conhecimento especializado, sobre o que os achados significam para as perguntas, por exemplo, com que intensidade sustentam uma explicação em relação a outra.
Muitos sistemas jurídicos permitem que um perito emita opiniões que testemunhas comuns não podem emitir, mas apenas dentro de sua área de especialidade e com a fundamentação declarada. Uma opinião sem fundamentação tem pouca utilidade para um leitor que precisa ponderá-la.
Reprodutibilidade: detalhes suficientes para repetir o trabalho
O Módulo 1 definiu reprodutibilidade: outro perito, usando o mesmo método, obtém o mesmo resultado. Um relatório só torna isso possível se registrar:
- os valores de hash de cada item e imagem, para que um segundo perito possa confirmar que possui os mesmos dados;
- o nome e a versão exata de cada ferramenta, porque o comportamento de análise dos dados e os erros conhecidos mudam entre versões;
- as configurações que afetam os resultados, como o fuso horário usado para exibir marcas temporais (Módulo 6);
- a localização precisa de cada achado: caminho do arquivo, chave do Registro, tabela do banco de dados ou número do registro;
- como os dados excluídos ou ocultos foram recuperados e como os principais resultados foram verificados, por exemplo, com uma segunda ferramenta ou por inspeção manual.
Um relatório não precisa listar cada clique. As anotações feitas durante o trabalho contêm esse nível de detalhe (Módulo 5) e podem ser disponibilizadas se um revisor as solicitar.
Conclusões que respondem às perguntas
Toda pergunta nas instruções deve receber uma resposta, na mesma ordem e com a mesma numeração, mesmo quando a resposta for "não foi possível determinar". As conclusões não introduzem nada novo: cada uma deve ser rastreável aos achados apresentados anteriormente. Os achados exculpatórios devem constar nas conclusões com a mesma clareza que os inculpatórios (Módulo 1). Se um relatório for posteriormente corrigido ou ampliado, uma nova versão ou um relatório complementar será emitido, e as alterações serão declaradas, em vez de substituir silenciosamente o texto anterior.
Um exemplo prático: furto de dados por USB
A Nordvale Engineering suspeita que um engenheiro copiou arquivos de projeto antes de pedir demissão. O relatório do perito está esquematizado abaixo.
- Identificação: relatório NV-2026-014, versão 1.0; nome e qualificações do perito; instruções recebidas em 10 de março de 2026; exame de 11 a 18 de março; relatório datado de 20 de março.
- Perguntas: Q1, um dispositivo de armazenamento USB foi conectado ao notebook NV-LT-0193 entre 1 e 15 de março de 2026? Q2, arquivos da pasta do projeto Hydra foram transferidos para esse tipo de dispositivo? Q3, qual conta de usuário estava em uso naquele momento?
- Itens: Item 1, o notebook com seu número de série; Item 1.1, sua imagem forense com o valor SHA-256 registrado na aquisição e na verificação; Item 2, uma exportação dos logs de acesso do servidor de arquivos com seu próprio valor de hash.
- Métodos: criação da imagem por meio de um bloqueador de escrita; ferramentas identificadas com as versões exatas; todos os horários apresentados em UTC.
- Achados: registros do dispositivo no hive SYSTEM e em setupapi.dev.log; arquivos de atalho (LNK) mostrando que arquivos com os mesmos nomes dos arquivos do Hydra foram abertos a partir do volume do dispositivo (Módulo 6).
- Interpretação: os achados sustentam a transferência para o dispositivo; um backup automático foi considerado e descartado, porque nenhum software de backup estava configurado.
- Limitações: o dispositivo USB não estava disponível, portanto seu conteúdo não pôde ser confirmado; os achados identificam uma conta, não uma pessoa.
- Conclusões: respostas a Q1, Q2 e Q3, cada uma fazendo referência aos achados.
- Apêndices: linha do tempo dos eventos, lista de dispositivos USB, glossário.
Foco no exame: Conheça as seções de um relatório forense e o que cada uma responde, especialmente os itens recebidos com identificadores e valores de hash, as ferramentas com versões exatas e as conclusões que respondem a todas as perguntas. Saiba distinguir fatos, inferências e opiniões e explicar quais detalhes tornam um relatório reprodutível. Lembre-se da ISO/IEC 27042 como referência para relatar análise e interpretação, e de que as conclusões devem ser rastreáveis aos achados.
Questões de prática
Verifique o que você aprendeu. Estas questões não contam para o exame.
Entre para salvar seu progresso e continuar de onde parou. É grátis. Entrar