Capítulo 9 — Perícia digital e análise de malware: liderança e garantia
Mapa da aula
Aula 09 publicada. Mapa, exemplo, EX041.
flowchart TD
N0["9.1 Gestão da qualidade"]
N1["9.2 Métricas com cuidado"]
N2["Laboratório — resumo do tempo de atendimento"]
N3["9.3 Ler o resultado"]
N4["9.4 Agir a partir das métricas"]
N5["9.5 Testes de proficiência"]
N6["9.6 Revisão por pares"]
N7["9.7 Prontidão para auditoria"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX041"]
Desenho lógico
flowchart LR
N0["9.1 Gestão da qualidade"]
N1["9.2 Métricas com cuidado"]
N2["Laboratório — resumo do tempo de atendimento"]
N3["9.3 Ler o resultado"]
N4["9.4 Agir a partir das métricas"]
N5["9.5 Testes de proficiência"]
N6["9.6 Revisão por pares"]
N7["9.7 Prontidão para auditoria"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX041"]
[9.1 Gestão da qualidade]
|
v
[9.2 Métricas com cuidado]
|
v
[Laboratório — resumo do tempo de atendimento]
|
v
[9.3 Ler o resultado]
|
v
[9.4 Agir a partir das métricas]
|
v
[9.5 Testes de proficiência]
|
v
[9.6 Revisão por pares]
|
v
[9.7 Prontidão para auditoria]
|
v
[Exemplo resolvido] --> [Exercício EX041]
Objetivos de aprendizagem
Você vai (1) liderar uma unidade pericial com garantia da qualidade; (2) usar métricas como os percentis do tempo de atendimento; (3) conduzir programas de proficiência e de revisão por pares; (4) preparar-se para uma auditoria externa.
9.1 Gestão da qualidade
A unidade de Marta mantém um sistema da qualidade: procedimentos documentados, métodos validados, registros de competência, testes de proficiência, revisão por pares e ações corretivas. A ISO/IEC 27041 apoia a garantia de que os métodos são adequados ao propósito; os esquemas de acreditação de laboratórios avaliam o sistema mais amplo. Na prática, cada elemento aparece no CF-21: o agente de endpoint validado, os registros de competência para a captura de memória, o teste de proficiência sobre carimbos de tempo de auditoria na nuvem e as ações corretivas após a falha da barreira pericial. Os avaliadores procuram evidências de que o sistema funciona em casos reais, e não apenas de que os documentos existem.
9.2 Métricas com cuidado
As médias escondem atrasos longos. Os percentis mostram a cauda que frustra as equipes jurídicas. Para uma unidade pericial, a cauda é onde se perdem prazos legais e os casos emperram. Uma média puxada para baixo por muitos casos rápidos pode parecer aceitável enquanto dois casos esperam mais de um mês. Marta relata juntos a mediana, o percentil 90 e a contagem acima de 21 dias, para que a cauda continue à vista. As equipes jurídicas se importam com o caso que espera seis semanas, não com o típico. Relatar a cauda permite a Marta discutir esses casos, um a um, com as pessoas que esperam por eles.
Laboratório — resumo do tempo de atendimento
"""Turnaround-time summary for synthetic forensic cases (days)."""
import statistics as st
tat = [4, 6, 5, 7, 30, 8, 5, 6, 9, 41, 7, 6, 5, 8, 12, 6, 7, 5, 9, 6]
q = st.quantiles(tat, n=10)
print(f"cases={len(tat)} median={st.median(tat)} p90={q[8]:.1f} max={max(tat)}")
print("over 21 days:", sum(t > 21 for t in tat))
Execute com python3 lab_tat.py. Saída verificada:
cases=20 median=6.5 p90=28.2 max=41
over 21 days: 2
9.3 Ler o resultado
Vinte casos: mediana de 6,5 dias, percentil 90 de 28,2 dias, máximo de 41. Dois casos passaram de 21 dias. A mediana parece saudável; a cauda mostra dois casos esperando um mês ou mais, ambos envolvendo dispositivos cifrados à espera da recuperação de chaves. Os números vêm dos 20 casos sintéticos do laboratório, dos quais 18 terminam em até 12 dias. Os dois casos lentos não são lentos por causa da velocidade dos peritos, então pedir que os peritos trabalhem mais depressa não os encurtaria. O diagnóstico aponta, em vez disso, para dependências fora da unidade, como a recuperação de chaves de dispositivos cifrados.
9.4 Agir a partir das métricas
Em vez de pressionar os peritos a acelerar, Marta separa os casos bloqueados por dependências externas e os acompanha como uma fila distinta, com datas de escalonamento. Acompanhar separadamente os casos bloqueados mantém honestas as métricas da fila principal e dá a cada caso bloqueado um responsável e uma data para escalonar. Para dispositivos cifrados à espera de chaves, escalonar pode significar pedir ao jurídico que pressione o proprietário do dispositivo ou o provedor. A métrica passa então a medir o que a unidade realmente consegue influenciar. Cada caso bloqueado é revisto semanalmente até que sua dependência seja resolvida.
9.5 Testes de proficiência
Duas vezes por ano, cada perito analisa um caso sintético preparado, com respostas conhecidas; os resultados alimentam os planos de treinamento. Os casos preparados incluem armadilhas baseadas em erros reais, como o log de auditoria da nuvem que armazena em UTC, mas exibe a hora local. As respostas são pontuadas em relação aos resultados conhecidos, e o perito que erra uma recebe treinamento direcionado e um novo teste. Os resultados alimentam os registros de competência e os planos de treinamento, não as avaliações de desempenho individuais. As respostas do teste são preparadas por um perito sênior que não faz aquela rodada do teste.
9.6 Revisão por pares
Todo laudo passa por revisão técnica (constatações fundamentadas) e revisão administrativa (completude, formato). No CF-21, o revisor técnico confere, por exemplo, se a constatação da preparação dos dados no servidor de backup cita a tabela de NAT e a leitura em massa das 02:35. O revisor administrativo confere se o laudo tem escopo, limites e lista de evidências no formato acordado. As duas revisões são registradas com os nomes dos revisores e as datas antes da liberação do laudo. Os comentários da revisão e as respostas do perito ficam nos autos do caso para auditoria posterior. Um laudo não pode ser liberado enquanto um comentário técnico estiver sem resolução.
9.7 Prontidão para auditoria
Os registros são organizados para que um auditor consiga rastrear qualquer caso, da entrada ao laudo. No CF-21, um auditor deve conseguir acompanhar a WS-07 desde a coleta de triagem, passando pela imagem completa, pela análise dos carimbos de tempo e pela constatação revisada, até a frase no laudo final. Cada etapa tem um registro com uma pessoa e uma data. Lacunas nessa trilha seriam, em si, uma constatação de auditoria. Marta amostra casos ela mesma a cada trimestre para testar se a trilha se sustenta antes que um auditor o faça.
Desenvolver pessoas
Marta forma duplas de peritos juniores com seniores em casos reais, faz rodízio da equipe entre as funções de incidente e de casos e financia treinamentos ligados aos resultados de proficiência. Os registros de competência listam os métodos autorizados de cada perito, atualizados após treinamento e avaliação.
Exemplo resolvido
Um teste de proficiência mostra que dois de seis peritos interpretaram mal um carimbo de tempo de um log de auditoria da nuvem que registra os horários em UTC enquanto o console exibe a hora local. Marta acrescenta um módulo de treinamento e um item à lista de verificação e depois aplica um novo teste: os seis passam.
Caso sintético. Os dados são gerados pelo script do laboratório.
Erros e limites
As métricas orientam o comportamento; combine a velocidade com medidas de qualidade para não incentivar atalhos.
Exercícios
- EX041 — Percentis do laboratório. Informe a mediana, o p90 e os casos acima de 21 dias. Rubrica: 3 = 6,5, 28,2, 2; 2 = dois; 1 = um; 0 = nada.
- EX042 — Mediana ou cauda. Por que relatar o p90 além da mediana? Rubrica: 3 = a mediana esconde atrasos longos; a cauda importa aos usuários; 2 = parcial; 1 = sem motivo; 0 = nada.
- EX043 — Fila de bloqueados. O que Marta fez a respeito da cauda? Rubrica: 3 = fila separada de bloqueados por dependências externas, com escalonamento; 2 = parcial; 1 = cobrar velocidade; 0 = nada.
- EX044 — Lacuna de proficiência. O que o teste de proficiência revelou e como foi corrigido? Rubrica: 3 = leitura errada de UTC contra exibição local; treinamento, lista de verificação, novo teste; 2 = parcial; 1 = vago; 0 = nada.
- EX045 — Duas revisões. Distinga a revisão técnica da administrativa. Rubrica: 3 = constatações fundamentadas contra completude/formato; 2 = parcial; 1 = iguais; 0 = nada.
Síntese
Liderar significa medir as coisas certas, testar a competência e manter os registros prontos para auditoria.
Continue estudando — capítulo 09 de 12
← Capítulo 08 (rascunho) · Índice de capítulos do curso · Capítulo 10 (rascunho) →