Capítulo 32 — Perícia digital e análise de malware: interfaces interdisciplinares
Mapa da aula
Aula 32 publicada. Mapa, exemplo, EX094.
flowchart TD
N0["32.1 Quem está envolvido"]
N1["32.2 Jurídico"]
N2["32.3 Proteção de dados"]
N3["32.4 Serviços estudantis"]
N4["32.5 Comunicação"]
N5["32.7 Demandas conflitantes"]
N6["Reguladores e autoridades policiais"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX094"]
Desenho lógico
flowchart LR
N0["32.1 Quem está envolvido"]
N1["32.2 Jurídico"]
N2["32.3 Proteção de dados"]
N3["32.4 Serviços estudantis"]
N4["32.5 Comunicação"]
N5["32.7 Demandas conflitantes"]
N6["Reguladores e autoridades policiais"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX094"]
[32.1 Quem está envolvido]
|
v
[32.2 Jurídico]
|
v
[32.3 Proteção de dados]
|
v
[32.4 Serviços estudantis]
|
v
[32.5 Comunicação]
|
v
[32.7 Demandas conflitantes]
|
v
[Reguladores e autoridades policiais]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX094]
Objetivos de aprendizagem
Você vai (1) trabalhar com as equipes jurídica, de RH, de proteção de dados e de comunicação; (2) traduzir as constatações técnicas para cada uma; (3) respeitar os limites de cada papel; (4) lidar com demandas conflitantes.
32.1 Quem está envolvido
O incidente da ws-114 envolve o escritório de segurança, as operações de TI, a encarregada de proteção de dados, a assessoria jurídica, os serviços estudantis e a comunicação. Cada um precisa de informações diferentes. O trabalho de Leah é dar a cada grupo fatos exatos, no nível de detalhe de que ele precisa. As operações querem saber quando a ws-114 pode voltar a funcionar; a encarregada de proteção de dados quer saber que dados pessoais saíram; a comunicação quer uma redação que possa publicar com segurança. Um único laudo detalhado não serviria bem a nenhum deles, então a equipe prepara notas curtas para cada um, a partir das mesmas constatações verificadas.
32.2 Jurídico
A assessoria jurídica pergunta se as evidências se sustentariam caso o assunto fosse a um tribunal ou a um regulador. A equipe de Leah explica a aquisição, a verificação e os registros de custódia. A resposta se apoia nos registros construídos ao longo da investigação: o hash da aquisição, a verificação de cada cópia, o registro de custódia com os números dos lacres e as notas feitas na hora. A assessoria jurídica pode então avaliar a posição probatória sem precisar entender os detalhes técnicos. Leah também menciona as limitações conhecidas, como a medição única do desvio do relógio, para que a assessoria não seja surpreendida depois.
32.3 Proteção de dados
A encarregada de proteção de dados precisa saber que dados pessoais saíram e quando, para decidir sobre as comunicações. As 37 mensagens encaminhadas são revisadas quanto a dados pessoais sob a direção dela. A revisão se limita ao que a decisão exige: se as mensagens contêm dados pessoais, de quem e de que tipo. A encarregada a conduz para que a decisão sobre a comunicação fique com a pessoa responsável por ela. Leah fornece a lista das mensagens encaminhadas com datas e domínios dos destinatários, os mesmos fatos que entraram na nota de situação de Grace para o CIO.
32.4 Serviços estudantis
s.kaur é uma vítima; os serviços estudantis oferecem apoio e explicam o que aconteceu em termos simples. Os investigadores fornecem fatos, não julgamentos. Fornecer fatos sem julgamento ajuda a estudante a entender o que aconteceu e o que foi feito, como a redefinição da senha e a remoção da regra. Os serviços estudantis podem então oferecer apoio sem precisar interpretar evidências técnicas. A equipe de Leah escreve para eles um resumo curto em linguagem simples, conferido com as constatações, e deixa de fora detalhes que só causariam preocupação sem ajudar.
32.5 Comunicação
A equipe de comunicação quer um comunicado. A equipe fornece os fatos verificados e o que ainda é desconhecido; a redação é trabalho da equipe de comunicação. O exemplo resolvido mostra por que essa divisão importa: um rascunho dizendo "nenhum dado foi roubado" estaria errado, já que 37 mensagens foram encaminhadas. O papel da equipe é conferir se qualquer comunicado público corresponde às evidências. A comunicação decide o tom e o público; os investigadores confirmam a exatidão e apontam o que ainda é desconhecido, como o acesso ao compartilhamento de arquivos. O comunicado corrigido no exemplo resolvido é o resultado exatamente dessa conferência.
32.6 Limites
Os investigadores não decidem sobre medidas disciplinares, responsabilidade legal ou comunicação de incidentes; eles fornecem evidências a quem decide. Manter esses limites protege a neutralidade da investigação. Um investigador que também decidisse medidas disciplinares poderia ser visto como alguém em busca de evidências para apoiar uma decisão já tomada. Ao fornecer evidências e declarar limites, a equipe de Leah permite que os outros decidam com informação completa. Se lhes pedirem uma opinião fora do seu papel, eles dizem isso e encaminham a pergunta à pessoa certa, anotando o pedido no registro do caso.
32.7 Demandas conflitantes
As operações de TI querem a ws-114 de volta em funcionamento; os investigadores precisam dela preservada. A imagem é verificada e depois a máquina é liberada — o que fica documentado nos registros de custódia. O meio-termo funciona porque a imagem verificada preserva o estado do disco, e a memória já tinha sido capturada. Liberar a máquina sem verificação arriscaria perder evidências se a imagem depois se mostrasse defeituosa. O registro de custódia anota a data da liberação e quem a autorizou, para que o intervalo entre a apreensão e a liberação fique justificado em toda revisão posterior.
Reguladores e autoridades policiais
Se um incidente envolver crime ou violações que precisem ser comunicadas, reguladores ou a polícia podem se envolver. A assessoria jurídica gerencia esse contato. Os investigadores preparam as evidências para que possam ser entregues com os registros de custódia intactos e respondem às perguntas pelo canal combinado.
Exemplo resolvido
A comunicação redige "nenhum dado foi roubado". Grace corrige: "Alguns e-mails foram encaminhados a um endereço externo antes de a regra ser removida; estamos revisando o que continham. O acesso ao compartilhamento de arquivos ainda não pode ser determinado." O comunicado final usa a redação exata.
Caso sintético. A troca é inventada.
Erros e limites
Traduzir para não especialistas pode fazer perder nuances; confira os resumos com quem fez a análise.
Exercícios
- EX094 — Necessidade da encarregada. De que a encarregada de proteção de dados precisa dos investigadores? Rubrica: 3 = que dados pessoais saíram e quando; 2 = parcial; 1 = tudo; 0 = nada.
- EX095 — Correção do comunicado. Por que "nenhum dado foi roubado" foi corrigido? Rubrica: 3 = e-mails encaminhados; compartilhamento de arquivos desconhecido; 2 = parcial; 1 = tom; 0 = nada.
- EX096 — Limite. Cite uma decisão que os investigadores não tomam. Rubrica: 3 = medidas disciplinares, responsabilidade ou comunicação; 2 = vago; 1 = eles decidem tudo; 0 = nada.
Síntese
Os investigadores servem a muitos parceiros com fatos exatos e limites claros, deixando as decisões a quem é responsável por elas.
Continue estudando — capítulo 32 de 40
← Capítulo 31 (rascunho) · Índice de capítulos do curso · Capítulo 33 (rascunho) →