Declarando as limitações

Todo exame tem limites. Alguns itens não foram fornecidos, alguns dados estavam criptografados ou foram sobrescritos, algumas ferramentas não conseguiram ler um formato e alguns achados são compatíveis com mais de uma explicação. Um relatório que oculta esses limites induz seus leitores ao erro; um relatório que os declara informa aos leitores exatamente até que ponto podem confiar em cada achado. Esta aula aborda os tipos de limitação, como expressar o grau de confiança de forma consistente e como evitar afirmar mais do que as evidências sustentam.

Por que as limitações devem constar no relatório

• As decisões dependem delas. Um gestor ou um tribunal que toma uma decisão com base em um achado precisa conhecer seus limites.
• Elas serão identificadas de qualquer forma. Um perito contratado pela outra parte procurará lacunas. Uma limitação já declarada no relatório não causa surpresa; uma descoberta posteriormente prejudica a credibilidade de todo o relatório.
• A imparcialidade exige isso. O perito atua em prol da apuração dos fatos, não de uma das partes (Módulo 2), e os limites do trabalho fazem parte dos fatos.

Declarar uma limitação não é admitir um trabalho de baixa qualidade. Isso demonstra que o perito compreende o método o suficiente para saber até onde ele alcança.

Tipos de limitação

• Limitações de escopo: o que não foi examinado. Itens não fornecidos, contas ou dados em nuvem fora da autorização, um intervalo de datas restrito ou perguntas não formuladas.
• Limitações dos dados: o que não estava disponível nos dados. Volumes criptografados sem chave, dados excluídos que foram sobrescritos ou apagados pelo TRIM (Módulo 1), logs que passaram por rotação ou nunca foram habilitados, mídias danificadas.
• Limitações das ferramentas: o que as ferramentas não conseguiram fazer de forma confiável. Um analisador que não oferece suporte a uma nova versão de um aplicativo, erros conhecidos em uma versão de ferramenta ou funcionalidades nunca validadas (ISO/IEC 27041). Relatórios de testes de ferramentas, como os do programa NIST Computer Forensics Tool Testing (CFTT), ajudam os peritos a conhecer esses limites.
• Limitações de tempo e recursos: um prazo que permitiu apenas buscas por palavras-chave em alguns itens ou equipamentos que não estavam disponíveis.
• Limitações de interpretação: achados compatíveis com mais de uma explicação, como uma conta compartilhada, acesso remoto, malware ou um relógio de sistema incorreto.

Limitações comuns e como formulá-las

Uma boa redação declara a limitação, sua causa e seu efeito sobre os achados, sem desculpas nem imprecisão.

Expressando o grau de confiança

Os leitores precisam saber com que força os achados sustentam uma conclusão. Duas abordagens são comuns.

Escalas verbais

Uma escala verbal usa um conjunto fixo de expressões, como apoio fraco, moderado, forte e muito forte. A escala é definida uma única vez no relatório, frequentemente em um apêndice, e as mesmas palavras sempre têm o mesmo significado. Misturar termos vagos como "provavelmente", "é provável" e "compatível com" confunde os leitores. "Compatível com" é uma armadilha em particular: significa apenas que os achados não contradizem uma explicação, mas muitos leitores a interpretam como um forte apoio.

A abordagem de verossimilhança

Na elaboração de relatórios avaliativos, o perito considera duas proposições concorrentes, por exemplo, "o usuário copiou os arquivos" e "um processo automático copiou os arquivos", e pergunta o quanto os achados são mais prováveis se uma for verdadeira do que se a outra for verdadeira. A razão entre essas duas probabilidades é a razão de verossimilhança, e as escalas verbais são frequentemente associadas a intervalos dessa razão. A diretriz para a elaboração de relatórios avaliativos publicada pela European Network of Forensic Science Institutes (ENFSI) em 2015 é um exemplo amplamente citado. Nessa abordagem, o perito comenta os achados, não a probabilidade de uma proposição ser verdadeira; essa decisão cabe ao tribunal ou ao responsável pela decisão.

Não encontrar evidências não é evidência de ausência

"Nenhuma evidência de malware foi encontrada" significa que as buscas realizadas não encontraram nenhuma. Não significa que não havia malware. Um achado de ausência só é significativo quando duas condições são atendidas: o vestígio teria sido criado se o evento tivesse ocorrido, e o vestígio teria sido preservado e encontrado pelos métodos utilizados. Portanto, um relatório deve informar onde e como o perito procurou, por exemplo, "Nenhum registro de dispositivos de armazenamento USB foi encontrado nos locais listados no Apêndice B", e se seria esperado encontrar vestígios nesses locais.

Evitando afirmações exageradas

• Um dispositivo ou uma conta não é uma pessoa. A atividade sob uma conta mostra que a conta foi usada, não quem a usou. Senhas compartilhadas, acesso remoto e malware são explicações possíveis a considerar.
• Um carimbo de data e hora é um valor registrado. Ele depende do relógio do sistema e da configuração de fuso horário, e pode ser alterado (Módulo 6).
• Presença não é conhecimento. Um arquivo no cache de um navegador ou em uma pasta de downloads não mostra que o usuário o abriu ou conhecia seu conteúdo.
• Evite palavras absolutas como "prova", "certamente" e "sem dúvida", e conclusões jurídicas como "furtou" ou "culpado", que cabem ao tribunal.

Um exemplo resolvido: reescrevendo uma frase exagerada

Um rascunho de relatório sobre o caso Nordvale (Aula 7.1) contém esta frase: "A análise prova que o Sr. Marsh furtou os arquivos de projeto em 4 de março, copiando-os para sua unidade USB." Ela identifica uma pessoa quando os dados mostram apenas uma conta, usa "prova" e "furtou", presume quem era o proprietário da unidade e afirma uma cópia que não foi observada diretamente.

Uma versão melhor: "Em 4 de março de 2026, entre 09:12 e 09:40 UTC, enquanto a conta jmarsh estava conectada, um dispositivo de armazenamento USB com número de série 0A1B2C foi conectado ao Item 1. Durante esse período, os logs do servidor (Item 2) registram a leitura de onze arquivos na pasta Hydra pela conta, e arquivos com os mesmos nomes foram então abertos a partir do dispositivo. Na minha opinião, esses achados fornecem forte apoio à proposição de que os arquivos foram copiados para o dispositivo usando este laptop, em vez de chegarem ao dispositivo por outro meio. Os achados não mostram quem estava usando o laptop, e o dispositivo não estava disponível para exame."

Foco no exame: Conheça os cinco tipos de limitação (escopo, dados, ferramentas, tempo e recursos, interpretação) e saiba classificar um exemplo. Espere perguntas sobre por que as limitações fortalecem um relatório, escalas verbais consistentes, a abordagem de verossimilhança (achados avaliados sob duas proposições concorrentes), a diferença entre "nenhuma evidência foi encontrada" e evidência de ausência, e afirmações exageradas, como tratar uma conta como uma pessoa.