Capítulo 5 — Escopo de segurança e evidência
Mapa da aula
Aula 05 publicada. Mapa, exemplo, EX017.
flowchart TD
N0["5.1 Escopo e autoridade"]
N1["5.2 Princípios de evidência"]
N2["5.3 Dados de pacientes"]
N3["5.4 O pendrive"]
N4["5.5 Cadeia de custódia"]
N5["5.6 Proporcionalidade"]
N6["5.7 Documentação"]
N7["Etiquetagem da evidência"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX017"]
Desenho lógico
flowchart LR
N0["5.1 Escopo e autoridade"]
N1["5.2 Princípios de evidência"]
N2["5.3 Dados de pacientes"]
N3["5.4 O pendrive"]
N4["5.5 Cadeia de custódia"]
N5["5.6 Proporcionalidade"]
N6["5.7 Documentação"]
N7["Etiquetagem da evidência"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX017"]
[5.1 Escopo e autoridade]
|
v
[5.2 Princípios de evidência]
|
v
[5.3 Dados de pacientes]
|
v
[5.4 O pendrive]
|
v
[5.5 Cadeia de custódia]
|
v
[5.6 Proporcionalidade]
|
v
[5.7 Documentação]
|
v
[Etiquetagem da evidência]
|
v
[Exemplo resolvido] --> [Exercício EX017]
Objetivos de aprendizagem
Você vai (1) definir o escopo do trabalho investigativo de um operador; (2) aplicar os princípios de evidência à coleta; (3) tratar com cuidado os dados de pacientes; (4) manter a cadeia de custódia.
5.1 Escopo e autoridade
A política de segurança do hospital autoriza a segurança de TI a investigar os sistemas do hospital. Os operadores agem sob instrução de Owen. Dispositivos pessoais, incluindo o pendrive, caso seja particular, exigem o consentimento do dono ou outra autorização antes de serem examinados. A autoridade de Sana vem por meio de Owen, então ela não inicia uma nova coleta por iniciativa própria, mesmo quando isso parece obviamente útil. A questão de quem era o dono do pendrive tinha de ser resolvida antes que qualquer coisa nele fosse examinada, porque um pendrive particular exigiria consentimento. A resposta da gerente da ala, de que ele pertencia à ala, resolveu a questão.
5.2 Princípios de evidência
A ISO/IEC 27037 descreve princípios para o tratamento da evidência digital: relevância, confiabilidade e suficiência, com auditabilidade, repetibilidade, reprodutibilidade e justificabilidade dos métodos. Para Sana, isso significa ações documentadas, cópias verificadas e motivos para cada passo. Na prática, cada princípio aparece num registro específico: o log de coleta mostra a auditabilidade, o manifesto e a tabela de verificação mostram a repetibilidade, e os motivos escritos ao lado de cada passo mostram a justificabilidade. Owen repetir dois achados a partir das notas de Sana é um teste de reprodutibilidade. São esses registros que tornam a evidência dela utilizável se o caso algum dia for além do hospital.
5.3 Dados de pacientes
Os PCs das alas podem exibir ou guardar em cache informações de pacientes. A coleta se concentra em artefatos do sistema; quaisquer dados de pacientes encontrados não são examinados além do necessário e ficam protegidos no armazenamento. O encarregado de proteção de dados é informado se dados de pacientes puderem ter sido afetados. O WARD4-PC2 podia guardar registros de medicação em cache, então a coleta de triagem de Sana mira artefatos do sistema, como logs de eventos, hives do registro e pastas de inicialização, e não documentos dos usuários. Ela não abre arquivos de pacientes para procurar malware e não guarda capturas de tela das telas clínicas. O encarregado de proteção de dados foi informado porque a ferramenta de acesso remoto podia ter alcançado dados de pacientes.
5.4 O pendrive
A enfermeira diz que o pendrive pertence à ala e era usado para compartilhar escalas. Com a concordância da gerente da ala, ele é ensacado, etiquetado e registrado como o item de evidência WB-USB-01. O saco é lacrado e a etiqueta registra o ID do item, WB-USB-01, uma descrição, a data, o nome de Sana e a referência do caso. O pendrive não é conectado a nenhum PC depois da coleta, porque isso poderia executar de novo o mesmo atalho. Seu número de série, SN-7731, vem dos registros dos PCs, e não do exame do próprio pendrive.
5.5 Cadeia de custódia
Cada transferência do WB-USB-01 e cada exportação de dados são registradas: quem, quando, onde, por quê. Quando Sana entrega o WB-USB-01 a Owen para trancá-lo no cofre da sala de segurança, os dois assinam o registro de custódia com o horário e o motivo. As exportações de dados recebem o mesmo tratamento: cada exportação do EDR, do proxy e do DHCP tem uma linha dizendo quem a exportou, quando e onde ela foi guardada. Uma lacuna no registro permitiria a qualquer pessoa questionar se um item foi alterado. O registro de custódia do WB-USB-01 acompanha o saco sempre que o pendrive sai do cofre.
5.6 Proporcionalidade
Só se coleta o que responde às perguntas. No compartilhamento de arquivos, isso significou os logs de acesso do WARD4-PC2 e do PHARM-PC3 e os arquivos gravados pela conta da ala, e não uma imagem do compartilhamento inteiro. Coletar menos também significa expor menos dados de pacientes e ter menos a guardar, verificar e, um dia, destruir. O motivo de cada escolha de escopo é anotado, para que o escopo possa ser ampliado se necessário. Nos PCs das alas, a coleta cobriu memória, logs de eventos, hives do registro e pastas de inicialização, e não documentos dos usuários nem arquivos clínicos.
5.7 Documentação
O chamado traz links para os registros de custódia e os logs de coleta. O chamado aponta em vez de copiar, para que haja um único registro de custódia oficial para cada item e nenhuma versão duplicada que possa divergir. O leitor pode ir de um achado no chamado ao log de coleta que o produziu e ao registro de custódia do item. Owen usa esses links quando assina junto os logs de coleta. Os logs de coleta dos dois PCs, incluindo a captura de memória do PHARM-PC3 às 11:42, são ligados a partir do mesmo chamado.
Etiquetagem da evidência
Cada etiqueta de item traz o ID do item, a descrição, a data, o nome de quem coletou e a referência do caso. Sana fotografa o pendrive dentro do saco, com a etiqueta visível, e anexa a foto ao registro de custódia.
Exemplo resolvido
Owen pergunta se deve gerar a imagem do compartilhamento de arquivos inteiro do hospital "por via das dúvidas". Sana sugere uma coleta direcionada: os logs de acesso do compartilhamento para o WARD4-PC2 e o PHARM-PC3 durante a janela do incidente, mais os arquivos gravados pela conta da ala. Owen concorda: isso responde à pergunta com muito menos dados de pacientes.
Caso sintético. As decisões são inventadas.
Erros e limites
Uma coleta estreita demais pode deixar evidência de fora; registre por que o escopo foi escolhido, para que possa ser ampliado se necessário.
Exercícios
- EX017 — Autoridade sobre o pendrive. Por que confirmar quem é o dono do pendrive? Rubrica: 3 = dispositivo particular exige consentimento/autorização; o da ala permite; 2 = parcial; 1 = não precisa; 0 = nada.
- EX018 — Princípios de evidência. Cite três qualidades de método da ISO/IEC 27037. Rubrica: 3 = auditabilidade, repetibilidade, reprodutibilidade, justificabilidade (quaisquer três); 2 = duas; 1 = uma; 0 = nada.
- EX019 — Dados de pacientes. Como os dados de pacientes são tratados durante a coleta? Rubrica: 3 = não examinados além do necessário; protegidos; encarregado informado se afetados; 2 = parcial; 1 = examinados; 0 = nada.
- EX020 — Escolha no compartilhamento. Por que uma coleta direcionada em vez de uma imagem do compartilhamento? Rubrica: 3 = responde à pergunta com menos dados de pacientes; proporcional; 2 = parcial; 1 = mais barato; 0 = nada.
Síntese
Aja dentro da autoridade, siga os princípios de evidência, proteja os dados de pacientes e mantenha os registros de custódia.
Continue estudando — capítulo 05 de 18
← Capítulo 04 (rascunho) · Índice de capítulos do curso · Capítulo 06 (rascunho) →