Informática Forense · Empresas

Como é que uma empresa pode utilizar dados do Microsoft 365 ou do Google Workspace numa investigação interna?

As plataformas na nuvem podem conter dados de auditoria, de início de sessão, de ficheiros, de partilha e de administração, que complementam os sistemas locais.

Pedido de informação sem compromisso

Por que razão esta questão é importante para uma empresa

No caso de incidentes internos, os interesses económicos, a preservação de provas e os direitos dos trabalhadores podem ser afetados simultaneamente. Por isso, uma investigação de âmbito técnico alargado não é, por si só, necessariamente uma boa investigação. O que é decisivo é uma questão probatória claramente definida e um âmbito de investigação delimitado de forma compreensível.

Abordagem técnica de investigação

Verificamos quais as fontes de auditoria existentes no tenant, quais os prazos de conservação aplicáveis e quais os eventos que podem efetivamente responder à questão concreta em causa.

Onde se situa o limite da afirmação

O acesso da empresa à nuvem não significa que todos os conteúdos de carácter pessoal possam ser analisados sem qualquer limitação de finalidade.

Porquê o LanCologne?

Nas investigações internas, vários interesses entram em conflito direto: a empresa tem de poder proteger os seus sistemas, dados, segredos comerciais e interesses económicos. Ao mesmo tempo, é necessário respeitar a proteção de dados dos trabalhadores, o princípio da proporcionalidade, a co-decisão e, se for o caso, a privacidade dos dados pessoais.

Por isso, o LanCologne não começa por uma recolha de dados tão abrangente quanto possível. O ponto de partida é a questão técnica concreta a esclarecer. Só depois é que se determina quais os dispositivos, contas, períodos e tipos de dados que são efetivamente necessários. Desta forma, é frequentemente possível conduzir uma investigação de forma muito mais precisa do que através de uma análise global e genérica.

A disponibilidade técnica e a admissibilidade jurídica são deliberadamente distinguidas. O facto de um administrador, um sistema MDM ou um utilizador da nuvem permitir, do ponto de vista técnico, o acesso a determinadas informações não responde, por si só, à questão de saber se essas informações podem ser tratadas para o fim específico em causa.

Os resultados decisivos são validados com base nos dados primários, sempre que necessário. Os relatórios automatizados e o software forense são ferramentas auxiliares; não substituem a interpretação especializada dos artefactos subjacentes. São igualmente analisadas explicações técnicas alternativas.

Igualmente importante: uma investigação interna deve levar tão a sério os factos exculpatórios como os incriminatórios. Se a análise revelar que uma suspeita não pode ser tecnicamente confirmada ou que um acontecimento suspeito se explica por um processo normal do sistema, é precisamente isso que deve constar do relatório.

A nossa forma de trabalhar

1Definir o caso concreto e a questão técnica a resolver.
2Esclarecer a base jurídica e as competências internas junto da empresa ou do departamento jurídico.
3Delimitar os sistemas, contas, tipos de dados e períodos necessários.
4Dar prioridade à conservação de provas e documentar os dados variáveis.
5Registar de forma rastreável a identidade dos equipamentos e dos dados, bem como o estado de segurança.
6Separar os dados primários dos relatórios e das interpretações das interfaces de utilizador.
7Não se deve confundir a atribuição de colaboradores, dispositivos, contas e sessões.
8Analisar também os processos normais do sistema e as explicações alternativas.
9Documentar de forma equivalente os resultados desfavoráveis, favoráveis e em aberto.
10Alargar o âmbito da investigação apenas no caso de novos factos de ligação fundamentados.
11Elaborar um relatório técnico de forma compreensível e reproduzível.
12As conclusões em matéria de direito do trabalho, proteção de dados, direito civil e direito penal são deixadas a cargo do serviço de aconselhamento jurídico competente.

Não se deve pré-julgar os trabalhadores

Uma suspeita interna não é considerada como resultado da investigação. Analisamos quais os factos técnicos que a sustentam, quais os que a contradizem e quais as explicações alternativas existentes. Mesmo um resultado desfavorável para a empresa ou que a iliba é documentado na íntegra.

Compreensível para a direção e o departamento jurídico – reproduzível para os peritos forenses

A parte principal explica a mensagem central sem recorrer a terminologia técnica desnecessária. A parte técnica documenta as fontes de dados, os estados de segurança, os identificadores, as informações de integridade, as referências temporais, as localizações dos artefactos e as etapas de validação. Desta forma, a investigação permanece compreensível para uma posterior verificação técnica.

A LanCologne como apoio técnico independente para empresas

Quando é necessário esclarecer tecnicamente um incidente interno, a LanCologne presta apoio através de uma investigação forense informática objetiva, imparcial e transparente. O que é determinante não é um resultado pretendido, mas exclusivamente o que pode efetivamente ser comprovado, com base nos vestígios digitais, dentro do âmbito de investigação permitido.

Quadro jurídico

No que diz respeito aos dados dos trabalhadores, na Alemanha deve ter-se especialmente em conta o artigo 26.º da BDSG. Os dados pessoais dos trabalhadores podem ser tratados para efeitos da relação laboral, desde que tal seja necessário para os fins aí referidos. No que se refere à deteção de crimes, o artigo 26.º, n.º 1, da BDSG estabelece requisitos específicos: Devem existir indícios concretos, que devem ser documentados, que justifiquem a suspeita de que a pessoa em causa cometeu um crime no âmbito da relação laboral; o tratamento deve ser necessário para a deteção e o interesse digno de proteção do trabalhador não pode prevalecer. Em particular, a natureza e a extensão do tratamento não podem ser desproporcionadas.

Além disso, aplicam-se os princípios gerais do RGPD. O artigo 5.º do RGPD exige, entre outros, a licitude, a limitação da finalidade e a minimização dos dados. O artigo 6.º do RGPD exige uma base jurídica sólida para o tratamento. Por conseguinte, uma análise tecnicamente possível não é, automaticamente, uma análise legalmente admissível.

No que diz respeito aos equipamentos técnicos, o artigo 87.º, n.º 1, n.º 6, da BetrVG também pode ser relevante. Nos termos desta disposição, na ausência de regulamentação legal ou convencional, o conselho de empresa tem direito de co-decisão na introdução e aplicação de equipamentos técnicos destinados a monitorizar o comportamento ou o desempenho dos trabalhadores. Dependendo da sua configuração, isto pode ser relevante, por exemplo, no caso de sistemas MDM, EDR, DLP, de registo ou outros sistemas de monitorização.

O § 26, n.º 6, da BDSG esclarece expressamente que os direitos de participação dos órgãos de representação dos trabalhadores não são afetados. A admissibilidade concreta de uma medida de investigação, à luz do direito do trabalho e do direito da organização empresarial, deve, por conseguinte, ser esclarecida — no caso de envolver colaboradores — junto do serviço de aconselhamento jurídico competente e, se for caso disso, junto das instâncias empresariais previstas, antes da sua execução.

A LanCologne não substitui esta análise jurídica. A nossa função consiste em, após a definição do âmbito de investigação admissível, analisar a questão técnica em causa de forma compreensível, proporcionada e sem preconceitos quanto ao resultado.

Perguntas frequentes

É permitido que um dispositivo da empresa seja automaticamente analisado na íntegra pelo facto de ser propriedade da empresa?+
Não automaticamente. A propriedade do dispositivo e a admissibilidade do tratamento de dados pessoais dos trabalhadores são questões distintas. É necessário ter em conta a finalidade, a base jurídica, a necessidade e a proporcionalidade.
Os dados de gestão de dispositivos móveis (MDM) podem ser utilizados sem restrições no âmbito de uma investigação interna?+
Os dados de MDM podem fornecer informações valiosas do ponto de vista técnico. No entanto, é necessário verificar, caso a caso, quais os dados que estão efetivamente disponíveis e se podem ser utilizados para a investigação em questão.
Uma investigação forense interna de TI procura especificamente provas incriminatórias contra um determinado colaborador?+
Não. Respondemos a uma questão técnica concreta, sem pré-julgamento. Os resultados exoneratórios e as explicações técnicas normais são documentados segundo os mesmos critérios.
O que acontece quando não é possível atribuir com certeza uma ação a uma determinada pessoa?+
Nesse caso, a afirmação é devidamente limitada. Uma conta de utilizador, um dispositivo ou uma sessão não podem ser equiparados a uma pessoa singular sem que existam elementos de ligação suficientes.

LanCologne – Informática forense para empresas

Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.

Entre em contacto connosco agora