Quando um incidente de segurança estoura, a empresa descobre que precisa responder a três públicos ao mesmo tempo, e cada um cobra uma coisa diferente. A Autoridade Nacional de Proteção de Dados quer saber o que aconteceu, quais dados foram afetados e o que foi feito, em prazo curto. A seguradora quer evidência técnica antes de pagar a apólice cibernética. E os titulares, clientes e ex-funcionários querem saber se podem processar. As três respostas dependem do mesmo insumo: fato tecnicamente demonstrado. É aqui que a perícia forense entra, e quase sempre entra tarde.
A LGPD desenha o cenário. O art. 48 da lei obriga o controlador a comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A regulamentação da autoridade fixou o prazo de 3 dias úteis para essa comunicação, com descrição da natureza dos dados afetados, dos titulares envolvidos, das medidas adotadas e dos riscos. Três dias úteis é muito pouco tempo para quem não preservou nada nas primeiras horas.
Incidente não é sinônimo de vazamento
A primeira contribuição da perícia é delimitar o fato. Alerta de acesso anômalo não é invasão; invasão não é exfiltração; exfiltração não é exposição pública. Cada degrau muda a obrigação legal e o tamanho do dano. O exame forense reconstrói a linha do tempo do incidente sobre os registros preservados: por onde o acesso entrou, quais sistemas tocou, o que copiou, para onde enviou. Sem essa reconstrução, a empresa comunica no escuro: subnotifica, e responde por omissão; ou supernotifica, e paga o custo reputacional de um vazamento que talvez não tenha existido.
Quando acionar a perícia
A resposta honesta é: antes de mexer em qualquer coisa. Os sinais que justificam o acionamento imediato incluem alerta de exfiltração ou tráfego anômalo, ransomware em execução ou já executado, comprometimento de e-mail corporativo (o golpe BEC, que desvia pagamentos por caixas invadidas), extorsão com amostra de dados e a descoberta de dados da empresa à venda ou publicados. Em todos esses cenários, a mesma regra: a equipe de TI resolve o incidente; ela não preserva prova. São funções diferentes, com gestos opostos.
"Restaurar o backup apaga o rastro do invasor. A empresa que só pensa em voltar a operar costuma destruir, no primeiro dia, a prova de que precisará por anos."
O erro clássico tem sempre a mesma anatomia: formatar a máquina comprometida, restaurar o ambiente, trocar as senhas e seguir em frente. Operacionalmente correto, probatoriamente desastroso. Some o vestígio da origem do acesso, some a extensão real da cópia, some a chance de demonstrar que dados sensíveis não foram afetados. Meses depois, na fiscalização da ANPD ou na ação indenizatória movida por titulares, a empresa não consegue provar nem o que a favorece.
O que o exame entrega para cada frente
Preservados os vestígios, com imagem forense, cópia autenticada de logs e cadeia de custódia documentada, o laudo alimenta cada frente com o que ela exige. Para a ANPD: a descrição técnica do incidente, a delimitação dos dados e titulares afetados e a demonstração das medidas de segurança preexistentes, que o art. 46 da LGPD exige e a autoridade pondera na dosimetria. Para a seguradora: o nexo entre o evento e a apólice, com evidência de método que a auditoria da seguradora aceita. Para o contencioso: a prova de extensão, que separa a indenização devida da especulação, e que sustenta eventual ação de regresso contra o fornecedor cuja falha abriu a porta.
Há ainda a frente interna. Parte relevante dos incidentes tem participação de dentro, deliberada ou negligente. O mesmo exame que reconstrói o ataque identifica a conta de origem, o padrão de acesso e o eventual repasse de credenciais, com as consequências trabalhistas e criminais correspondentes.
O que a autoridade pondera quando fiscaliza
O regulamento de dosimetria da ANPD gradua as sanções conforme a gravidade, a boa-fé e a conduta do infrator, e dois fatores pesam a favor da empresa diligente: a comprovação de que medidas de segurança eram adotadas antes do incidente e a pronta adoção de providências depois dele. Os dois se provam com documento técnico. O laudo que demonstra os controles existentes, reconstrói o incidente e registra a resposta em linha do tempo transforma a narrativa da empresa em evidência verificável. Sem ele, a mesma narrativa é apenas alegação de parte interessada, e alegação de parte interessada, em fiscalização, vale pouco.
Ransomware: a prova além do resgate
No ransomware, a tentação de resolver rápido é máxima e o dano probatório também. Pagar ou não pagar o resgate é decisão de negócio e de risco jurídico; provar o que aconteceu é necessidade em qualquer dos caminhos. A criptografia dos arquivos raramente é o único evento: os grupos atuais exfiltram dados antes de criptografar, para extorquir em dobro. A perícia determina se houve exfiltração, de quais bases e em qual volume, o que muda por completo a obrigação perante a LGPD: incidente sem vazamento de dados pessoais pode dispensar comunicação; incidente com exfiltração a exige, com o relógio dos 3 dias úteis correndo. Restaurar o ambiente sem preservar os vestígios significa tomar essa decisão jurídica no escuro, e explicá-la depois sem nenhuma evidência.
O plano de 72 horas
A diferença entre a empresa que atravessa bem um incidente e a que afunda nele se decide em condutas simples, definidas antes da crise:
- Isolar os sistemas afetados sem desligar nem formatar: isolamento preserva, formatação destrói;
- Suspender expurgos automáticos de logs e backups do período;
- Acionar jurídico e perito forense no primeiro dia, não depois da comunicação à ANPD;
- Preservar com hash antes de restaurar a operação;
- Documentar quem soube do quê, quando, por qual canal.
A LGPD transformou o incidente de dados em um evento jurídico com relógio correndo. A resposta técnica não é o apêndice da resposta jurídica; é o alicerce dela. Comunicação sem fato demonstrado é chute com papel timbrado, e chute, diante de regulador, seguradora e juiz, custa caro. O que sustenta as três conversas é o mesmo laudo, e ele só existe se alguém preservou o vestígio quando ainda havia vestígio para preservar.
