Cadeia de custódia digital: como documentar o percurso de uma evidência

O conceito em uma imagem

Um percurso documentado ajuda a avaliar integridade. Não transforma um conteúdo em verdadeiro.

O que significa documentar o percurso

Na evidência digital, cadeia de custódia descreve o conjunto de registros que permite acompanhar a identificação, o recebimento, o manuseio, as transferências e a guarda do material. O objetivo técnico é tornar essas etapas examináveis, incluindo quem realizou determinada ação e qual objeto foi afetado.

Um arquivo pode chegar por um canal informal, a partir de uma cópia feita por outra pessoa ou sem informações completas sobre sua origem. Isso não autoriza inventar uma história de preservação. O registro deve começar pelo que é efetivamente conhecido e distinguir o percurso anterior informado do percurso acompanhado por quem recebeu o material.

A identidade do material precisa ser clara

Duas pessoas podem usar o mesmo nome para arquivos diferentes. Também é possível que o mesmo arquivo receba nomes distintos. Por isso, o nome isolado não é uma identificação suficiente. Tamanho, formato, localização, identificador atribuído e resumos criptográficos podem ajudar a distinguir as versões examinadas.

Quando um conjunto contém várias peças, é importante descrever sua organização. Uma referência como “documento recebido” deixa dúvidas: qual documento, de qual mensagem e em qual versão? Identificação precisa reduz ambiguidades antes de qualquer discussão sobre o significado do conteúdo.

O que registrar em uma transferência

Um registro útil responde a perguntas concretas: qual material foi transferido, por quem, para quem, quando, por qual meio e com qual finalidade? Dependendo do escopo, também podem ser registrados verificações de integridade, condições de acesso e eventuais ocorrências. O nível de detalhe deve acompanhar a complexidade do material e do procedimento.

O registro não deve afirmar mais do que foi verificado. Receber um arquivo e calcular seu hash permite estabelecer uma referência daquele conteúdo no recebimento. Não comprova retrospectivamente que nenhuma alteração ocorreu antes. A fronteira entre essas duas afirmações precisa aparecer no relatório.

Preservação e cópia de trabalho

Uma organização prática pode separar a versão preservada, a cópia de trabalho e os materiais derivados do exame. Se for necessário converter um vídeo, extrair um frame ou gerar uma tabela, o resultado deve ser identificado como derivado e relacionado à fonte. Assim, a operação fica explicável sem confundir o novo objeto com o material recebido.

Transformações úteis não precisam ser ocultadas. O problema é perder a possibilidade de reconstruir o que foi feito. A rastreabilidade exige registrar operações relevantes e conservar referências suficientes para que outro examinador compreenda seu propósito e alcance.

Lacunas e limites da documentação

Uma lacuna pode envolver origem desconhecida, identificação incompleta ou uma transferência sem registro. Sua relevância depende da questão técnica. Um relatório responsável descreve a lacuna e explica o que ela impede verificar, em vez de reduzir toda a discussão a um rótulo genérico de “válido” ou “inválido”.

A análise técnica do percurso também não substitui a apreciação jurídica. Este artigo trata de documentação e preservação, sem prometer admissibilidade judicial ou concluir o efeito processual de uma ocorrência. Quando houver demanda judicial, o escopo deve considerar os requisitos pertinentes com os responsáveis por essa avaliação.

Três versões, um mesmo nome

Em um exemplo didático, um documento chega por e-mail, é copiado para uma pasta e depois é convertido em PDF. Os três objetos recebem o nome “contrato”. A versão convertida não deve ser apresentada como uma reprodução binária idêntica à primeira. O registro adequado distingue os objetos, informa a conversão e permite relacionar cada resultado à sua origem.

Separar o que se observa do que se conclui

Perguntas que qualificam uma avaliação

Antes de buscar uma resposta conclusiva, vale formular questões que possam ser relacionadas ao material disponível. Para este tema, três perguntas ajudam a delimitar o exame:

• O material está identificado de forma inequívoca?
• Quais etapas foram efetivamente documentadas?
• Onde começa e termina o percurso verificável?

As respostas podem depender de informações ainda ausentes. Identificar essa ausência faz parte da avaliação; não é um motivo para preencher lacunas com suposições.

Perguntas frequentes