Num incidente de segurança, a prova se perde nas primeiras horas: a TI reinstala, o backup sobrescreve, os registros da nuvem expiram. A resposta forense a incidentes (DFIR, de digital forensics and incident response) é o serviço que preserva essa prova antes que ela desapareça e a transforma em documento técnico: o que aconteceu, o que foi afetado e desde quando. Funciona em duas fases: uma implantação curta, que deixa a empresa pronta, e um plantão com prazos de acionamento fixados em contrato.
Depois de um ransomware, de um vazamento ou de uma fraude interna, a empresa tem de responder a perguntas que não aceitam «não sabemos»: a ANPD quer saber que dados saíram e de quantas pessoas; a seguradora quer saber quando começou e por onde entrou; o juiz quer saber quem fez. Quem responde a isso é a prova técnica. E a prova técnica tem prazo de validade curto.
Ela desaparece pelas mãos de quem tenta resolver o problema. Reinstalar o servidor apaga o rastro do invasor. Restaurar o backup sobrescreve o que foi alterado. Desligar o computador descarta a memória, onde ficam as conexões ativas e as chaves. E os registros de auditoria do e-mail e da nuvem, em muitos planos contratados, guardam poucos meses, às vezes semanas, e expiram antes de alguém olhar.
A resposta forense a incidentes inverte a ordem: preserva primeiro, com hash e cadeia de custódia (CPP, arts. 158-A a 158-F; ISO/IEC 27037), e só então a TI contém e recupera. O roteiro segue a NIST SP 800-61 r3 e a ISO/IEC 27035; a parte que precisa existir antes do incidente, a prontidão forense, segue a ISO/IEC 27043. O serviço não substitui a TI nem o monitoramento de segurança: cuida de que a prova chegue inteira ao processo, à ANPD e à seguradora.
Antes de restaurar, preservar. A imagem dos sistemas afetados e os registros do período dizem por onde o ataque entrou, há quanto tempo e se houve cópia de dados antes da criptografia, o que muda a decisão de comunicar.
A LGPD manda comunicar à ANPD e aos titulares em três dias úteis quando há risco relevante (art. 48; Res. CD/ANPD nº 15/2024). O exame diz que dados saíram, de quantas pessoas e em que janela, e a decisão deixa de ser um palpite.
Preservação do computador, do e-mail e dos acessos antes do desligamento, para que a prova sirva na justa causa, na ação de ressarcimento e na notícia-crime.
Boleto trocado, pagamento desviado, ordem falsa da diretoria. O exame reconstrói o acesso indevido, as regras de encaminhamento criadas e o momento da invasão, o que define a responsabilidade entre as partes.
Concorrente com informação que não deveria ter, ex-sócio com acesso ativo, programa de monitoramento em equipamento da empresa. Preservação discreta e exame antes que o acesso seja encerrado.
Normas do Banco Central, da CVM, da SUSEP, da Anatel e da ANEEL exigem plano de resposta a incidentes; apólices de seguro cibernético exigem aviso imediato e prestador aceito; contratos com clientes exigem notificação em prazo. O plantão atende às três frentes com um só contrato.
Nos primeiros 60 dias, levantamos onde está cada registro que importa: servidores, estações, firewall, diretório de usuários, e-mail e nuvem, antivírus corporativo, ERP e câmeras, com o tempo de retenção de cada um.
O que hoje se perde antes de um incidente ser descoberto: auditoria da nuvem no plano básico, rotação curta no firewall, contas de ex-colaboradores apagadas com o histórico. Indicamos a correção mínima, não um projeto.
A regra do que não fazer, para TI e compliance; formulários de cadeia de custódia; modelo de legal hold; contatos 24/7, com um canal fora do e-mail e do Teams para quando eles estiverem comprometidos. Uma simulação por ano.
Aberto o incidente, o retorno inicial sai em até 2 horas nos casos críticos, a qualquer hora. Classificamos a severidade e orientamos a contenção que não destrói a prova.
Cópia forense dos ativos prioritários, ou do ambiente de nuvem, com hash calculado no ato e cadeia de custódia. Remota em poucas horas; presencial quando o caso exige.
O que aconteceu, o que foi afetado e a janela temporal, por escrito, a tempo de o jurídico decidir a comunicação à ANPD dentro dos três dias úteis. O exame aprofundado, o laudo e a assistência técnica vêm em seguida, por demanda.
| Severidade | Exemplos | Retorno inicial | Início da preservação |
|---|---|---|---|
| Crítica | Ransomware, vazamento de dados pessoais, fraude em curso. | Até 2 horas, 24/7. | Remota em até 4 horas; presencial em até 6 horas nas regiões com escritório. |
| Alta | Conta comprometida, e-mail corporativo invadido, suspeita de fraude interna. | Até 4 horas. | Até 24 horas. |
| Média ou baixa | Apuração interna, preservação preventiva, desligamento de colaborador-chave. | Próximo dia útil. | Conforme agenda combinada. |
Os prazos são os do contrato de plantão. Sem contrato, incidentes são atendidos como perícia de urgência, na ordem de chegada e sem prazo garantido. É a diferença entre ter o perito de plantão e procurar um no meio da crise.
Toda empresa que trata dados pessoais já tem um prazo legal para explicar um incidente. Em setores regulados, a exigência é expressa: a norma manda ter plano de resposta a incidentes, e um plano sem quem preserve a prova é um plano no papel.
Clientes corporativos pedem ao escritório apoio em incidentes de segurança: investigação interna, LGPD, responsabilidades. O escritório não precisa internalizar computação forense para atender. Atuamos como parceiro técnico, sob a coordenação jurídica e dentro do sigilo profissional, e o cliente aciona um só contato.
Escritório: define o escopo e a estratégia da investigação. Perito: avalia a viabilidade técnica, as fontes de evidência e as chances de achado.
Escritório: orienta o legal hold e as requisições a terceiros. Perito: aquisição e preservação forense, com hash SHA-256 e cadeia de custódia.
Escritório: riscos e responsabilidades, entrevistas e investigação interna. Perito: exame de computadores, celulares, servidores, nuvem e e-mail; linha do tempo dos eventos.
Escritório: decide a comunicação à ANPD, aos titulares e aos reguladores setoriais. Perito: fornece os fatos técnicos: dados afetados, extensão e janela temporal.
Escritório: relatório ou parecer jurídico e recomendação de medidas administrativas, contratuais ou judiciais. Perito: nota técnica, parecer técnico, laudo pericial e assistência técnica.
Escopo técnico, forma e prazo de acionamento, cadeia de custódia (ISO/IEC 27037, RFC 3227 e CPP), confidencialidade com acordo tripartite e tratamento de dados como operador, formato dos entregáveis, responsabilidade técnica nomeada em contrato e tabela de parceria.
Peça a proposta de parceria pelo WhatsApp ou por [email protected]. O escritório define a sua margem sobre a tabela de parceria e apresenta o serviço ao cliente como quiser: em nome próprio, com o perito nomeado, ou em proposta conjunta.
Retorno em até 24 horas com a proposta de plantão para a empresa ou de parceria para o escritório. Fale com o escritório mais próximo; o atendimento cobre todo o Brasil.