Informática forense · Tribunais

É possível determinar se foram utilizados direitos administrativos ou direitos alargados?

Bestimmte Systemhandlungen sind nur mit administrativen oder erhöhten Berechtigungen möglich. Für die Beweisfrage kann deshalb relevant sein, welche Rechte ein Konto besaß und ob eine konkrete Aktion mit erhöhten Rechten ausgeführt wurde.

Pedido de informação sem compromisso

Para o tribunal, não é relevante o número de programas de análise utilizados. O que é decisivo é qual o facto técnico concreto que pode ser determinado de forma fiável a partir dos dados disponíveis, como essa determinação é feita e quais são os seus limites.

A questão concreta da prova

Wir unterscheiden Kontoberechtigung, Gruppenmitgliedschaft, Authentifizierung und tatsächliche Privilegiennutzung anhand der verfügbaren System- und Sicherheitsartefakte.

Por que razão um único rasto digital raramente é suficiente

Os artefactos digitais são gerados em sistemas com os seus próprios mecanismos de armazenamento, sincronização e registo. Por isso, um único carimbo temporal, registo de log ou valor de base de dados não é considerado, sem contexto, como prova conclusiva. Na medida em que a questão probatória assim o exija, são correlacionados vários vestígios independentes entre si e são analisadas contra-hipóteses tecnicamente plausíveis.

Onde se situa o limite da afirmação

Die Mitgliedschaft in einer Administratorgruppe beweist nicht, dass jede Handlung mit erhöhten Rechten ausgeführt wurde oder wer die betreffende Sitzung tatsächlich bedient hat.

Como o LanCologne aborda a questão de prova

No método LanCologne, a investigação começa com a questão probatória judicial e não com um programa de análise específico. Em primeiro lugar, esclarece-se qual o facto técnico a determinar, quais as fontes de dados que têm relevância para o efeito e quais as hipóteses contrárias que devem ser tidas em conta.

As provas e os dados de partida são documentados de forma inequívoca. Na medida do tecnicamente possível, a análise é realizada a partir de cópias de segurança forenses verificadas ou de cópias de trabalho adequadas. As correspondências relevantes para a tomada de decisão não são aceites apenas pelo facto de serem indicadas por um software. Verificamos a origem, a lógica de formação e o contexto do artefacto e, se necessário, confirmamos as conclusões principais com base nos dados subjacentes ou num segundo método tecnicamente adequado.

No relatório pericial, os factos constatados, a interpretação técnica e as conclusões são distinguidos uns dos outros. Os limites da afirmação são descritos com igual clareza: o que é possível comprovar? O que é apenas corroborado? Que resultados contrários existem? O que permanece em aberto? A ausência de provas não é reinterpretada como uma afirmação aparentemente segura.

A parte principal é redigida de forma a que um juiz sem conhecimentos especializados em informática forense possa compreender o raciocínio. A verificabilidade técnica é mantida. As fontes de dados relevantes para a verificação, as informações de integridade, os artefactos e as etapas da investigação são documentados de forma a que um perito forense informático independente possa compreender as conclusões centrais para uma eventual contra-perícia.

Da ordem judicial ao depoimento fiável

Resultados positivos, resultados negativos e ausência de detecção

Um resultado pericial deve ser aberto a todas as possibilidades. Se os dados confirmarem a hipótese a analisar, deve explicar-se em que se baseia essa confirmação. Caso existam indícios sólidos que contradigam essa hipótese, estes também são apresentados. Se a base de dados não for suficiente para uma decisão segura, tal é designado como «falta de comprovação» ou como «questão técnica em aberto». É precisamente esta distinção que impede que uma lacuna nos dados dê origem a uma afirmação aparentemente segura.

Compreensível para o tribunal – tecnicamente verificável por um perito de contra-avaliação

O cerne técnico é explicado numa linguagem compreensível. Os termos técnicos são utilizados apenas quando necessário e, posteriormente, contextualizados. Ao mesmo tempo, mantêm-se os fundamentos técnicos essenciais: fontes de dados analisadas, artefactos relevantes, informações de integridade, referências temporais e etapas metodológicas. Um perito forense de TI que não esteja familiarizado com o processo deve poder verificar a dedução, sem que o texto principal se torne, para o tribunal, uma compilação de dados técnicos brutos.

Classificação metodológica

No âmbito da informática forense judicial, não existe um catálogo legal de programas de análise obrigatórios. Do ponto de vista técnico, são determinantes uma base de dados controlada, a integridade, etapas de investigação documentadas, conclusões compreensíveis e a possibilidade de uma verificação independente.

O módulo DER.2.2 da Proteção Básica do BSI, intitulado „Preparação para a informática forense“, contém princípios básicos úteis para a preparação de futuras investigações forenses e para a recolha de provas em caso de incidentes de segurança informática. No entanto, não se trata de uma norma forense no âmbito do processo penal; a análise forense propriamente dita não é objeto deste módulo. Esta distinção é expressamente respeitada.

LanCologne como perito independente em TI

Quando um tribunal precisa de esclarecer tecnicamente uma questão concreta relacionada com provas digitais, analisamos a base de dados disponível de forma independente e sem preconceitos quanto ao resultado. O objetivo não é obter o maior número possível de resultados técnicos, mas sim uma resposta fundamentada do ponto de vista técnico: compreensível para o tribunal, transparente na sua dedução e tecnicamente verificável.

No que diz respeito à prova pericial em processos cíveis, são particularmente relevantes os §§ 402 e seguintes do Código de Processo Civil (ZPO). O § 403 do ZPO diz respeito à definição dos pontos a periciar. Nos termos do § 404a do ZPO, o tribunal orienta a atividade do perito e pode determinar a natureza e o âmbito da sua atuação. O artigo 407.º-A do ZPO estabelece os deveres do perito, nomeadamente no que diz respeito à verificação da sua própria área de especialização e ao esclarecimento de dúvidas sobre o conteúdo e o âmbito do mandato. O artigo 411.º do ZPO regula o relatório pericial escrito, bem como a sua explicação e complementação. A apreciação do parecer, juntamente com o restante material probatório, continua a ser da competência do tribunal (artigo 286.º do Código de Processo Civil).

No que diz respeito aos pareceres periciais no âmbito do processo penal, aplicam-se aos peritos os artigos 72.º e seguintes do Código de Processo Penal. As disposições aplicáveis em cada processo concreto dependem do mandato e do tipo de processo. A perícia informática forense não substitui nem a avaliação jurídica nem a apreciação judicial das provas.

Perguntas frequentes

LanCologne – Informática forense para tribunais

Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.

Entre em contacto connosco agora