ISO IEC 27037 Tecnologia da Informação - Técnicas de Segurança - Identificação, Coleta, Aquisição e Preservação de Evidências Digitais

A norma ISO IEC 27037, Tecnologia da informação - Técnicas de segurança - Diretrizes para a identificação, coleta, aquisição e preservação de evidências digitais, publicada pela Organização Internacional de Normalização (ISO), fornece orientações para atividades específicas no processamento de evidências digitais. Essas atividades incluem a identificação, coleta, aquisição e preservação de evidências digitais que possam ter valor probatório. Esta norma oferece orientações a indivíduos sobre situações comuns encontradas no processo de processamento de evidências digitais e auxilia organizações a facilitar a troca de potenciais evidências digitais em procedimentos disciplinares e entre jurisdições.

Esta norma fornece orientações para os seguintes dispositivos ou funções utilizados em diversas situações:

• Mídias de armazenamento digital usadas em computadores padrão, como discos rígidos, disquetes, discos ópticos e magneto-ópticos, são dispositivos de dados com funções semelhantes.
• Telefones celulares, assistentes digitais pessoais, dispositivos eletrônicos pessoais (PEDs), cartões de memória.
• Sistemas de navegação móvel.
• Câmeras digitais e câmeras de vídeo (incluindo CFTV).
• Computadores padrão conectados em rede.
• Redes baseadas em TCP/IP e outros protocolos digitais.
• Dispositivos com funções semelhantes às listadas.

Esta lista de dispositivos é meramente ilustrativa e não exaustiva. Os dispositivos listados acima existem em diversas formas. Por exemplo, um sistema automotivo pode incluir um sistema de navegação móvel, armazenamento de dados e um sistema de sensores.

A norma ISO/IEC 27037 faz parte da família mais ampla de normas ISO/IEC 27000, que trata de sistemas de gestão de segurança da informação, mas foca especificamente no tratamento inicial de evidências digitais no contexto da perícia digital e da descoberta eletrônica. Esta norma destina-se principalmente a profissionais de resposta a incidentes, peritos digitais, autoridades policiais, equipes de resposta a incidentes e organizações que possam precisar coletar potenciais evidências digitais de maneira forense adequada.

Em investigações criminais, investigações corporativas, processos cíveis ou respostas a incidentes, o manuseio inadequado de provas digitais pode levar ao seguinte:

• Pode tornar-se inadmissível em tribunal.
• Pode ficar sujo ou alterado.
• Pode perder seu valor probatório devido a uma cadeia de custódia frágil.

A norma ISO IEC 27037 fornece uma estrutura globalmente aceita para garantir a integridade, autenticidade e confiabilidade das etapas iniciais do processo de processamento de evidências, desde o momento em que as evidências potenciais são identificadas.

Esta norma aborda explicitamente as quatro etapas fundamentais que ocorrem antes do início de uma análise forense aprofundada:

• Identificação: Determinar quais dispositivos, dados ou mídias podem conter evidências digitais relevantes.
• Coleta: Recolhimento de possíveis evidências na cena do crime ou na área circundante.
• Aquisição: Criação de cópias ou imagens dos dados com validade forense.
• Proteção: Garantir que as provas (tanto originais quanto cópias) sejam protegidas contra alterações e que a cadeia de custódia seja devidamente documentada.

É importante observar que a norma ISO/IEC 27037 não abrange análises laboratoriais, exames ou reconstrução de dados (estes são abordados em normas relacionadas, como ISO/IEC 27041, ISO/IEC 27042, ISO/IEC 27043 e ISO/IEC 27050).

A norma ISO IEC 27037 é construída em torno de vários princípios fundamentais:

• Honestidade: As provas não devem ser alteradas de forma alguma que afete sua credibilidade.
• Autenticidade: Deve ser possível comprovar que as evidências são como alegadas.
• Repetibilidade: Os processos devem ser repetíveis por outra pessoa autorizada.
• Cadeia de custódia: Todas as pessoas que processam as provas e todas as ações tomadas devem ser documentadas.
• Minimizar o impacto: Sempre que possível, reúna evidências sem interromper desnecessariamente as operações (particularmente importante em ambientes corporativos em funcionamento).
• Competência: O pessoal deve ser devidamente treinado e competente.

A norma ISO IEC 27037 define as diversas funções envolvidas no processo inicial de processamento de evidências:

• Analista de evidências digitais: geralmente é a primeira pessoa a chegar ao local.
• Especialista em evidências digitais: Trata-se de alguém com habilidades mais técnicas, capaz de realizar o processo de coleta de dados.
• Investigador/requerente: A pessoa que dirige a investigação.

A norma ISO IEC 27037 fornece orientações detalhadas e listas de verificação para cenários comuns. Estes incluem:

• Isolamento e avaliação da cena do crime.
• Identificação de potenciais fontes de evidências digitais (computadores, dispositivos móveis, armazenamento em nuvem, dispositivos IoT e similares).
• Priorizar a coleta de evidências (dados provisórios e permanentes).
• Manuseio correto de dispositivos abertos e fechados.
• O uso de bloqueadores de escrita durante o processo de aquisição.
• Geração de imagens forenses (cópias bit a bit) e cálculo de valores de hash criptográficos.
• Rotulagem, embalagem e transporte de mídia digital.
• Modelos de documentos (registros de provas, formulários de cadeia de custódia).

A norma ISO IEC 27037 é geralmente utilizada pelos seguintes setores:

• Agências de aplicação da lei e laboratórios forenses estaduais.
• Equipes corporativas de resposta a incidentes e de perícia digital.
• Prestadores de serviços jurídicos privados.
• Profissionais de segurança da informação que lidam com gerenciamento de incidentes.
• Equipes jurídicas que gerenciam operações de descoberta eletrônica.
• Todas as organizações que desejam estar preparadas para coletar adequadamente evidências digitais.

Em conclusão, a norma ISO IEC 27037 preenche uma lacuna crítica ao padronizar as etapas iniciais no processamento de evidências digitais, que muitas vezes são realizadas sob pressão por profissionais não especializados (socorristas, pessoal de TI ou agentes de segurança). A execução correta dessas etapas iniciais aumenta significativamente a probabilidade de que as evidências sejam admissíveis e confiáveis ​​posteriormente em juízo ou durante uma investigação.

Mesmo que uma organização nunca enfrente um processo criminal, seguir a norma ISO IEC 27037 ajuda a garantir que as investigações sejam defensáveis, repetíveis e confiáveis.

Resumindo, se você precisar apreender ou copiar provas de um disco rígido, telefone ou conta na nuvem, a norma ISO IEC 27037 explica como fazer isso corretamente na primeira tentativa.

Há muitos anos, nossa organização, com sua equipe competente e experiente, compreende as necessidades de seus clientes, fornecendo os serviços avançados de teste que eles exigem e auxiliando no estabelecimento, implementação e aprimoramento de sistemas de gestão. Nesse contexto, também oferecemos serviços de teste em conformidade com a norma "ISO IEC 27037 Tecnologia da informação - Técnicas de segurança - Diretrizes para a identificação, coleta, aquisição e preservação de evidências digitais".