Informática forense · Tribunais
É possível determinar se um ficheiro foi realmente aberto?
Existe uma diferença substancial entre a existência de um ficheiro e a sua abertura efetiva.
Para o tribunal, não é relevante o número de programas de análise utilizados. O que é decisivo é qual o facto técnico concreto que pode ser determinado de forma fiável a partir dos dados disponíveis, como essa determinação é feita e quais são os seus limites.
A questão concreta da prova
Analisamos vestígios de utilização específicos de aplicações e sistemas operativos, documentos utilizados mais recentemente, mecanismos de pré-visualização, acessos ao sistema de ficheiros e outros vestígios correspondentes.
Por que razão um único rasto digital raramente é suficiente
Os artefactos digitais são gerados em sistemas com os seus próprios mecanismos de armazenamento, sincronização e registo. Por isso, um único carimbo temporal, registo de log ou valor de base de dados não é considerado, sem contexto, como prova conclusiva. Na medida em que a questão probatória assim o exija, são correlacionados vários vestígios independentes entre si e são analisadas contra-hipóteses tecnicamente plausíveis.
Onde se situa o limite da afirmação
Alguns artefactos são criados já durante a pré-visualização, a indexação ou o processamento automático. Por isso, o acesso técnico não pode ser equiparado ao conhecimento consciente sem que haja uma verificação.
Como o LanCologne aborda a questão de prova
Na LanCologne, uma investigação forense informática judicial começa pela questão probatória e não por um programa de análise específico. Em primeiro lugar, esclarece-se qual o facto técnico a determinar, quais as fontes de dados que têm, de facto, relevância para o efeito e quais as hipóteses contrárias que devem ser tidas em conta.
As provas e os dados iniciais são documentados de forma inequívoca. Na medida do tecnicamente possível, a análise é realizada em cópias de segurança forenses verificadas ou em cópias de trabalho adequadas. Os resultados relevantes para a tomada de decisão não são aceites apenas pelo facto de serem apresentados por um software. A origem, a lógica de formação e o contexto do artefacto são verificados; as conclusões centrais são, se necessário, verificadas com base nos dados subjacentes ou num segundo método tecnicamente adequado.
No relatório pericial, os factos constatados, a interpretação técnica e as conclusões são distinguidos uns dos outros. Os limites da afirmação são descritos com igual clareza: o que é possível comprovar? O que é apenas corroborado? Que resultados contrários existem? O que permanece em aberto? A ausência de provas não é reinterpretada como uma afirmação aparentemente segura.
A parte principal é redigida de forma a que um juiz sem conhecimentos especializados em informática forense possa compreender o raciocínio. A verificabilidade técnica é mantida. As fontes de dados relevantes para a verificação, as informações de integridade, os artefactos e as etapas da investigação são documentados de forma a que um perito forense informático independente possa compreender as conclusões centrais no âmbito de um eventual contra-parecer.
Da ordem judicial ao depoimento fiável
Resultados positivos, resultados negativos e ausência de detecção
Um resultado pericial deve ser aberto a todas as possibilidades. Se os dados confirmarem a hipótese a analisar, deve explicar-se em que se baseia essa confirmação. Caso existam indícios sólidos que contradigam essa hipótese, estes também são apresentados. Se a base de dados não for suficiente para uma decisão segura, tal é designado como «falta de comprovação» ou como «questão técnica em aberto». É precisamente esta distinção que impede que uma lacuna nos dados dê origem a uma afirmação aparentemente segura.
Compreensível para o tribunal – tecnicamente verificável por um perito de contra-avaliação
O cerne técnico é explicado numa linguagem compreensível. Os termos técnicos são utilizados apenas quando necessário e, posteriormente, contextualizados. Ao mesmo tempo, mantêm-se os fundamentos técnicos essenciais: fontes de dados analisadas, artefactos relevantes, informações de integridade, referências temporais e etapas metodológicas. Um perito forense de TI que não esteja familiarizado com o processo deve poder verificar a dedução, sem que o texto principal se torne, para o tribunal, uma compilação de dados técnicos brutos.
Classificação metodológica
No âmbito da informática forense judicial, não existe um catálogo legal de programas de análise obrigatórios. Do ponto de vista técnico, são determinantes uma base de dados controlada, a integridade, etapas de investigação documentadas, conclusões compreensíveis e a possibilidade de uma verificação independente.
O módulo DER.2.2 da Proteção Básica do BSI, intitulado „Preparação para a informática forense“, contém princípios básicos úteis para a preparação de futuras investigações forenses e para a recolha de provas em caso de incidentes de segurança informática. No entanto, não se trata de uma norma forense no âmbito do processo penal; o módulo esclarece expressamente que a análise forense propriamente dita não é o seu objeto e que não se refere a investigações forenses informáticas no âmbito de crimes.
LanCologne como perito independente em TI
Quando um tribunal precisa de esclarecer tecnicamente uma questão concreta relacionada com provas digitais, analisamos a base de dados disponível de forma independente e sem preconceitos quanto ao resultado. O objetivo não é obter o maior número possível de resultados técnicos, mas sim uma resposta fundamentada do ponto de vista técnico: compreensível para o tribunal, transparente na sua dedução e tecnicamente verificável.
Quadro jurídico
No que diz respeito à prova pericial em processos cíveis, são aplicáveis, em particular, os artigos 402.º e seguintes do Código de Processo Civil (ZPO). O artigo 403.º do ZPO vincula a apresentação da prova à indicação dos pontos a periciar. Nos termos do artigo 404.º-A do Código de Processo Civil (ZPO), o tribunal orienta a atividade do perito; em caso de litígio, determina os factos que devem servir de base à perícia. O artigo 407.º-A do Código de Processo Civil (ZPO) obriga o perito, entre outras coisas, a verificar se o mandato se insere na sua área de especialização, a comunicar eventuais motivos que possam justificar desconfiança quanto à sua imparcialidade e, em caso de dúvidas sobre o conteúdo e o âmbito do mandato, a solicitar o esclarecimento imediato por parte do tribunal. O artigo 411.º do Código de Processo Civil (ZPO) regula o relatório pericial escrito, bem como a sua explicação ou complementação. A apreciação do relatório pericial, juntamente com o restante material probatório, continua a ser da competência do tribunal (artigo 286.º do ZPO).
Na medida em que a perícia seja realizada no âmbito de um processo penal, aplicam-se aos peritos os artigos 72.º e seguintes do Código de Processo Penal. A classificação processual concreta depende do mandato e do processo em questão. A nossa função consiste em dar uma resposta especializada à questão probatória de natureza técnica; tal resposta não substitui nem a avaliação jurídica nem a apreciação judicial das provas.
Perguntas frequentes
LanCologne – Informática forense para tribunais
Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.
Relacionado com este tema
- É possível comprovar que uma pessoa tomou efetivamente conhecimento do conteúdo de um ficheiro digital?
- É possível distinguir se um ficheiro foi copiado, movido ou sincronizado?
- É possível delimitar tecnicamente o momento em que a eliminação deve ocorrer?
- É possível comprovar o acesso a um ficheiro, mesmo que este não tenha sofrido alterações?