Análise Forense de Dados

A Análise Forense de Dados utiliza métodos analíticos para identificar fatos, padrões, relações e anomalias em grandes conjuntos de informações. Diferentemente da análise gerencial comum, seu trabalho precisa preservar procedência, regras de transformação, critérios de seleção e possibilidade de reprodução.

Aquisição, preparação e integridade dos dados

Antes de analisar, é necessário compreender a origem, a estrutura e a qualidade dos dados. Extrações de sistemas empresariais, bancos de dados, planilhas, registros e plataformas devem ser documentadas e conciliadas com as fontes disponíveis.

Essa preparação identifica lacunas, duplicidades, mudanças de formato e limitações que podem influenciar os resultados. Sem essa base, uma análise sofisticada pode produzir conclusões pouco confiáveis.

Análise transacional e contábil

Dados financeiros, contábeis, comerciais e operacionais podem revelar pagamentos incomuns, lançamentos atípicos, fragmentação de despesas, conflitos entre cadastros e desvios em processos de aprovação.

A análise ajuda a direcionar a investigação e selecionar operações que merecem exame aprofundado. Os resultados devem ser interpretados em conjunto com documentos, controles internos e contexto de negócio.

Detecção de fraudes e anomalias

Regras, testes estatísticos e modelos analíticos podem identificar comportamentos que se afastam do padrão esperado. Essas técnicas são úteis em investigações de fraude, corrupção, abuso de benefícios, perdas, desvios e descumprimentos regulatórios.

Uma anomalia é um indicador, não uma prova automática de irregularidade. A validação exige análise documental, confirmação de contexto e avaliação de explicações alternativas.

Análise de comunicações

E-mails, mensagens e registros de colaboração podem ser examinados para identificar temas, participantes, períodos críticos e mudanças de comportamento. Técnicas de pesquisa, classificação e processamento de linguagem ajudam a priorizar comunicações relevantes.

O tratamento deve respeitar escopo, privacidade, privilégio e limitações linguísticas, mantendo distinção entre conteúdo expresso, contexto provável e inferência analítica.

Análise de vínculos e redes

Pessoas, empresas, contas, dispositivos, endereços e transações podem ser representados como redes de relacionamento. Essa abordagem permite visualizar intermediários, grupos, recorrências e conexões que não seriam evidentes em tabelas isoladas.

Os vínculos precisam ser sustentados por fontes identificáveis. Proximidade em um gráfico não significa, por si só, controle, coordenação ou responsabilidade.

Correlação temporal e reconstrução analítica

Eventos provenientes de sistemas diferentes podem ser alinhados para construir uma sequência temporal integrada. Transações, acessos, mensagens, alterações cadastrais e atividades em dispositivos passam a ser analisados como partes de um mesmo contexto.

A reconstrução deve considerar fusos horários, relógios divergentes, períodos sem registros e diferentes níveis de precisão das fontes.

Modelos de inteligência artificial e aprendizado de máquina

Modelos podem apoiar classificação, priorização, detecção de padrões e análise de conjuntos que seriam inviáveis por métodos exclusivamente manuais. Em contexto forense, desempenho técnico não é suficiente: é necessário avaliar dados de entrada, vieses, explicabilidade e estabilidade dos resultados.

Conclusões relevantes devem permanecer sujeitas a validação humana e ser apresentadas de forma compreensível para decisores, advogados, peritos e julgadores.

Visualização, quantificação e comunicação dos achados

Gráficos, linhas do tempo, mapas de vínculos e painéis podem transformar análises complexas em evidências compreensíveis. Também podem apoiar quantificação de ocorrências, valores, períodos ou populações afetadas.

Toda visualização deve preservar sua ligação com os dados de origem e evitar recursos que exagerem ou simplifiquem indevidamente os resultados.

A prova pericial no contexto brasileiro

No processo civil brasileiro, quando a demonstração de um fato depende de conhecimento técnico ou científico, o juízo pode determinar a realização de prova pericial e nomear profissional especializado no objeto do exame.

As partes podem indicar seus próprios assistentes técnicos e apresentar quesitos. O perito nomeado pelo juízo realiza os exames determinados e apresenta o laudo pericial. Os assistentes técnicos acompanham a produção da prova, analisam os procedimentos empregados e podem apresentar seus respectivos pareceres.

O Código de Processo Civil estabelece, entre outros aspectos, que:

o perito deve ser especializado no objeto da perícia;
as partes podem indicar assistentes técnicos e apresentar quesitos;
os assistentes técnicos são profissionais de confiança das partes;
o laudo deve expor o objeto da perícia e a análise técnica ou científica realizada;
o método utilizado deve ser indicado e fundamentado;
o perito deve responder conclusivamente aos quesitos apresentados;
os assistentes técnicos podem apresentar pareceres sobre o laudo pericial.

Em procedimentos arbitrais e administrativos, a organização da prova dependerá das regras aplicáveis e das determinações da autoridade ou do tribunal competente. Os princípios de integridade, documentação e rastreabilidade, entretanto, permanecem relevantes para a avaliação técnica das evidências digitais.

Por que o grande volume de dados exige planejamento

Quanto maior e mais diversificado o universo de informações, maior a necessidade de delimitar o objeto da perícia e estabelecer critérios tecnicamente justificáveis.

O planejamento pode considerar:

quais fatos ou questões técnicas precisam ser esclarecidos;
quais sistemas, dispositivos ou repositórios podem conter evidências;
quais pessoas, unidades organizacionais ou períodos estão relacionados ao exame;
quais dados devem ser preservados;
quais métodos de coleta ou aquisição são adequados;
quais critérios serão empregados para processamento e análise;
como os procedimentos e resultados serão documentados.

Filtros por período, origem, formato, usuário, palavra-chave ou outro atributo podem auxiliar no tratamento do volume. Contudo, sua utilização deve ser compatível com o objeto pericial e suficientemente documentada, para que se possa compreender o que foi incluído, excluído ou priorizado na análise.

ISO/IEC 27037: identificação, coleta, aquisição e preservação

A ISO/IEC 27037 apresenta diretrizes para as etapas iniciais do tratamento de potenciais evidências digitais. Seu escopo compreende quatro atividades principais:

Identificação

Reconhecimento dos dispositivos, sistemas, mídias e demais fontes que podem conter informações relevantes para o exame.

Essa etapa deve considerar que os dados podem estar distribuídos entre computadores, dispositivos móveis, servidores, redes, plataformas em nuvem, sistemas corporativos e outros ambientes.

Coleta

Reunião dos dispositivos físicos ou suportes que contenham potenciais evidências digitais, quando sua retirada ou apreensão fizer parte do procedimento autorizado.

A coleta deve observar as características do equipamento e os riscos de alteração, perda ou indisponibilidade dos dados.

Aquisição

Produção de uma cópia dos dados definidos no escopo do exame, utilizando método compatível com a fonte e com a finalidade da análise.

Sempre que tecnicamente apropriado, devem ser empregados mecanismos de verificação de integridade, como valores de hash criptográfico, acompanhados do registro dos procedimentos realizados.

Preservação

Proteção das potenciais evidências contra alteração, deterioração, perda ou acesso não autorizado durante o período necessário ao trabalho.

A preservação abrange não apenas os dados, mas também os registros que permitem compreender sua origem, seu tratamento e as transferências de custódia ocorridas.

A ISO/IEC 27037 é uma referência técnica. Ela própria estabelece que sua aplicação deve respeitar as leis, regras e exigências da jurisdição correspondente. Portanto, não substitui as normas processuais brasileiras nem determina, isoladamente, a admissibilidade ou o valor jurídico de uma evidência.

ISO/IEC 27041: adequação dos métodos de investigação

A ISO/IEC 27041 trata da avaliação da aptidão e da adequação dos métodos empregados em investigações de incidentes.

No contexto pericial, não basta informar qual ferramenta foi utilizada. É necessário demonstrar que o método escolhido é apropriado para:

a natureza da fonte examinada;
o tipo de dado procurado;
a questão técnica formulada;
as condições em que o exame foi realizado;
o grau de confiabilidade exigido para as conclusões.

A escolha do método deve ser tecnicamente justificável. Quando houver limitações, hipóteses alternativas ou risco de resultados incompletos, essas condições devem ser consideradas na interpretação e na apresentação das conclusões.

A norma também é relevante quando o exame exige a adaptação de métodos existentes ou a utilização de procedimentos desenvolvidos especificamente para determinada situação. Nesses casos, a adequação do procedimento deve ser demonstrada e documentada.

ISO/IEC 27042: análise e interpretação das evidências

A ISO/IEC 27042 oferece diretrizes para a análise e a interpretação de evidências digitais.

Seu enfoque abrange aspectos como:

continuidade do processo de análise;
validade dos procedimentos empregados;
repetibilidade;
reprodutibilidade;
documentação das decisões analíticas;
possibilidade de escrutínio independente.

A análise corresponde ao exame técnico dos dados e das relações existentes entre eles. A interpretação busca explicar o significado dos resultados em relação às questões formuladas.

Essa distinção é importante porque um mesmo registro digital pode admitir diferentes interpretações, dependendo do funcionamento do sistema, do contexto em que foi produzido e das demais evidências disponíveis.

Conclusões periciais devem indicar os elementos que lhes dão suporte e considerar as limitações técnicas identificadas. O perito ou assistente técnico não deve atribuir aos dados um grau de certeza superior ao que os procedimentos efetivamente permitem demonstrar.

Como as três normas se complementam

As normas cumprem funções distintas e complementares:

a ISO/IEC 27037 orienta a identificação, a coleta, a aquisição e a preservação;
a ISO/IEC 27041 auxilia na avaliação da adequação dos métodos escolhidos;
a ISO/IEC 27042 orienta a análise e a interpretação das evidências.

Em conjunto, elas oferecem referências para estruturar o percurso da evidência digital, desde sua identificação até a formulação das conclusões técnicas.

Isso não significa que sua simples menção seja suficiente para validar uma perícia. A qualidade da prova depende da efetiva aplicação de procedimentos adequados ao caso, de sua documentação e da possibilidade de avaliação crítica pelos demais participantes do processo.

Grandes volumes de dados não se confundem com e-Discovery

O processamento de grandes volumes de informações pode empregar recursos também utilizados em projetos de e-Discovery, como indexação, filtros, pesquisas e redução de dados duplicados. As finalidades, contudo, não são necessariamente as mesmas.

O e-Discovery está associado à identificação, organização, revisão e apresentação de documentos eletrônicos em procedimentos de produção documental, tendo desenvolvimento particularmente relacionado ao sistema jurídico norte-americano.

A perícia digital, no contexto brasileiro, concentra-se no exame técnico ou científico necessário para responder a quesitos, esclarecer fatos controvertidos e subsidiar a produção da prova por meio do laudo do perito do juízo e dos pareceres dos assistentes técnicos.

As duas atividades podem coexistir em determinados trabalhos, mas não devem ser tratadas como equivalentes.

Estrutura de um exame digital complexo

Conforme o objeto da perícia, o trabalho pode envolver:

análise da demanda e delimitação das questões técnicas;
identificação das fontes de dados;
definição dos procedimentos de preservação;
coleta ou aquisição tecnicamente controlada;
verificação da integridade dos dados obtidos;
processamento e organização do material;
aplicação dos critérios de pesquisa e análise;
validação e interpretação dos resultados;
documentação das limitações encontradas;
elaboração do laudo, relatório ou parecer técnico.

Em todas as etapas, é necessário manter correspondência entre os procedimentos realizados, os quesitos formulados e as conclusões apresentadas.

Atuação da IBPTECH

A IBPTECH — IBP Instituto Brasileiro de Peritos presta assistência técnica em questões envolvendo evidências digitais, sistemas computacionais e grandes volumes de dados.

A atuação pode abranger processos judiciais, arbitrais e administrativos, bem como investigações e exames técnicos extrajudiciais, conforme o escopo definido para cada trabalho.

Solicitação de proposta técnica

Para iniciar o contato, não é necessário encaminhar documentos, dados confidenciais ou detalhes do caso. Basta indicar Perícia Digital e Computação Forense como área de interesse.

A forma adequada e segura para apresentação das informações técnicas poderá ser definida posteriormente.

Conheça a Divisão de Perícia Digital