O sistema voltou. A prova desapareceu: Preservação de evidências na resposta a incidentes

Imagine uma empresa que passa a manhã sem acesso ao sistema. O faturamento para, os clientes cobram e a equipe de tecnologia trabalha para recuperar a operação. Um servidor é reinstalado, o backup é restaurado e, ao fim do dia, todos conseguem voltar ao trabalho.

Na semana seguinte, surgem outras perguntas. Por onde o invasor entrou? Houve acesso a dados de clientes? O prestador demorou a agir? Uma falha já conhecida contribuiu para o ataque? Parte das respostas estava no ambiente que acabou de ser substituído.

Nesse exemplo, a recuperação pode ter sido competente e, ainda assim, ter comprometido a apuração. O problema começa quando o plano de resposta prevê quem vai colocar o sistema de pé, mas deixa para depois a definição de quem vai preservar os elementos necessários para explicar o que aconteceu.

A pressão para restabelecer o serviço é legítima. Cada hora de indisponibilidade tem consequências para pessoas que dependem daquela operação. É justamente por isso que a preservação precisa estar prevista antes da emergência, com responsáveis e critérios que possam ser aplicados enquanto a equipe contém o ataque.

Decidir o que preservar antes de intervir

Há informações que desaparecem com o desligamento ou a reinicialização de uma máquina, como determinados dados da memória e das conexões em andamento. A coleta desses elementos exige avaliação técnica, porque ela própria interfere no ambiente e pode trazer riscos. O NIST SP 800-86 orienta que a decisão considere o valor provável da informação, sua volatilidade, o esforço necessário e os riscos envolvidos na obtenção. Não existe uma ordem universal de “desligar tudo” ou “manter tudo ligado”.¹

Em termos práticos, o plano deve permitir que a equipe avalie o que precisa ser recolhido antes de uma intervenção destrutiva e o que pode ser obtido de outras fontes. Se a contenção imediata for necessária para evitar o agravamento do dano, a decisão deve ser executada e documentada, inclusive quanto ao que não foi possível preservar. A justificativa contemporânea ajuda a compreender as condições em que a equipe atuou; uma explicação reconstruída meses depois tem outra qualidade.

Esse registro precisa acompanhar a resposta. Quem identificou o problema, em que horário, quais medidas foram adotadas e por qual razão são informações relevantes tanto para a investigação quanto para avaliar a própria condução do incidente. A revisão 3 do NIST SP 800-61, alinhada ao CSF 2.0, contempla o registro das ações e a preservação da integridade e da origem dos dados e metadados coletados.²

Registros que estão com terceiros

O trabalho também depende de quem está fora da empresa. Se os registros estão com o fornecedor de nuvem, a software house ou o prestador de suporte, é preciso saber quais informações existem, por quanto tempo ficam disponíveis e quem pode solicitar sua preservação. Um pedido genérico para “guardar os logs” pode deixar dúvidas justamente quando não há tempo para esclarecê-las.

Convém identificar o ambiente afetado, as contas envolvidas, o período de interesse e os tipos de registro necessários, além de pedir confirmação do atendimento. Os contratos devem tratar dessa cooperação, dos canais de emergência e das condições de entrega. A preservação também precisa ser delimitada: investigar um incidente não justifica copiar indiscriminadamente dados de clientes ou permitir acesso irrestrito a informações pessoais.

Do material coletado à prova no processo

A qualidade do material importa tanto quanto sua existência. Uma captura de tela pode ajudar a registrar um alerta, mas é prudente conservar também os dados que permitem examiná-lo. Na coleta, devem ser documentados a origem, o responsável, o momento e o procedimento utilizado. O hash permite verificar a integridade de um arquivo em comparações posteriores; isoladamente, não comprova a veracidade do conteúdo nem resolve dúvidas sobre o que ocorreu antes da coleta.¹

No processo civil, essa diferença entre ter registros e ter registros capazes de demonstrar algo aparece quando a empresa precisa sustentar uma afirmação. Dizer que o ataque decorreu de falha do fornecedor exige elementos que permitam vincular a conduta ao evento. A mesma dificuldade surge para o prestador que afirma ter cumprido suas obrigações, mas já não dispõe dos registros de sua atuação. O art. 373 do CPC disciplina a distribuição do ônus da prova e, no § 1º, permite que o juiz o atribua de modo diverso, por decisão fundamentada, nos casos previstos em lei ou diante de peculiaridades da causa, como a maior facilidade de uma das partes para obter a prova. A ausência de registros, por si só, não equivale a uma condenação automática.³

Quando a informação depende de terceiro e há risco de desaparecimento, pode ser necessário recorrer ao Judiciário. O art. 381, I, do CPC admite a produção antecipada da prova diante do fundado receio de que a verificação dos fatos se torne impossível ou muito difícil. O requerimento deve explicar o que se pretende preservar e por que a demora compromete a apuração. A urgência é mais bem demonstrada por uma política de retenção prestes a eliminar registros do que por uma referência abstrata à fragilidade da prova digital.³

Incidentes com dados pessoais

Nos incidentes com dados pessoais, há ainda uma consequência imediata para a avaliação regulatória. A ANPD esclarece que o dever de comunicação depende de o incidente poder acarretar risco ou dano relevante aos titulares. O prazo é de três dias úteis, contado do conhecimento, pelo controlador, de que o incidente afetou dados pessoais⁴. A falta de uma investigação concluída não deve ser confundida com autorização para aguardar indefinidamente: a regulamentação admite a complementação fundamentada das informações em até vinte dias úteis, contados da comunicação inicial.⁵

Nesse ponto, a redação do relatório merece cuidado. Afirmar que “não foram encontrados indícios de extração de dados” exige explicar quais fontes foram examinadas e quais limitações existiam. Se o registro que permitiria verificar a transferência não estava habilitado ou foi perdido, essa lacuna precisa constar da análise. A falta de informação não sustenta, sozinha, a conclusão de que nada aconteceu.

O art. 10 do regulamento aprovado pela resolução CD/ANPD 15/24 exige do controlador a manutenção do registro do incidente, inclusive daquele não comunicado à ANPD e aos titulares, pelo prazo mínimo de cinco anos, contado da data do registro, salvo quando outras obrigações exigirem prazo maior. Entre os elementos exigidos estão a data de conhecimento, as circunstâncias, a natureza dos dados e o número de titulares afetados, a avaliação de risco, as medidas de correção e mitigação e os motivos de eventual ausência de comunicação. Esse dever não se confunde com uma determinação genérica para guardar todos os logs da empresa pelo mesmo prazo.⁴

Papéis durante a resposta

A participação do jurídico desde o início ajuda a relacionar as perguntas da investigação às obrigações e aos conflitos que podem surgir. Cabe à equipe técnica definir os métodos de coleta e as medidas de contenção. Ao jurídico compete contribuir para delimitar o que será necessário demonstrar, orientar os pedidos a terceiros e evitar que comunicações antecipem conclusões sem suporte. Essa divisão precisa funcionar durante a resposta, sem transformar cada decisão técnica em uma espera por autorização.

Para quem presta serviços de tecnologia, vale incorporar a preservação ao próprio critério de encerramento do chamado. Além de verificar se o serviço voltou, é necessário conferir se as intervenções foram registradas, se o material relevante recebeu tratamento adequado e se as limitações da apuração foram informadas ao cliente. Isso dá condições para discutir responsabilidades com base no que foi efetivamente observado.

A empresa precisa voltar a operar. Depois, terá de explicar o incidente a clientes, parceiros, autoridades ou ao juiz. As decisões tomadas nas primeiras horas devem permitir que ela faça as duas coisas.

__________

Referências

1 NIST. SP 800-86: Guide to Integrating Forensic Techniques into Incident Response, 2006, seções 3, 4.2 e 5.2. https://doi.org/10.6028/NIST.SP.800-86

2 NIST. SP 800-61 Rev. 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, abr. 2025, subcategorias RS.AN-06 e RS.AN-07. https://doi.org/10.6028/NIST.SP.800-61r3

3 BRASIL. Lei nº 13.105, de 16/03/2015 (Código de Processo Civil), arts. 373 e 381. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2015/lei/l13105.htm

4 ANPD. Resolução CD/ANPD nº 15, de 24/04/2024 (Regulamento de Comunicação de Incidente de Segurança), anexo, arts. 6 e 10. DOU de 26/04/2024, seção 1, p. 114. Texto disponível na Biblioteca Digital do Ministério da Justiça e Segurança Pública: https://bibliotecadigital.mj.gov.br/bitstream/1/12879/2/RES_ANPD_2024_15.html

5 ANPD. Comunicação de Incidente de Segurança (perguntas frequentes), perguntas 2, 4 e 5. https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis