Cadeia de custódia.

A cadeia de custódia (CoC) preserva a integridade e a admissibilidade da evidência digital e física. Cada transferência é registada com data/hora, identificadores (número de caso, ID do item, hashes) e assinaturas; os itens são guardados em embalagens invioláveis em instalações com controlo de acessos. As boas práticas seguem ISO/IEC 27037, NIST SP 800-86 e guias ACPO/SWGDE: aquisição com bloqueadores de escrita, hashes criptográficos (SHA-256) antes e depois das cópias e cópias de trabalho.

A disciplina está codificada em várias normas. O RFC 3227 ("Guidelines for Evidence Collection and Archiving", 2002) estabeleceu a ordem de volatilidade: capturar primeiro a RAM, as caches e o estado de rede antes do disco e dos suportes de arquivo, pois os dados mais transitórios perdem-se primeiro. A série ISO/IEC 27037/27041/27042/27043 cobre identificação, recolha, aquisição, preservação e análise, enquanto o NIST SP 800-86 detalha o ciclo recolher-examinar-analisar-reportar. Nos tribunais dos EUA, a evidência tem de ser autenticada ao abrigo da Federal Rule of Evidence 901 e resistir ao padrão de fiabilidade Daubert; uma cadeia de custódia íntegra e ininterrupta é a forma de provar que a peça mostrada ao júri é a mesma que foi apreendida e não foi adulterada. Uma cadeia quebrada — registos em falta, hashes divergentes, selos rompidos ou um período em que um item ficou por localizar — permite à parte contrária pedir a exclusão e pode tornar inadmissível uma evidência decisiva, arruinando litígios, sinistros ou investigações regulatórias. As defesas incluem entregas com dupla assinatura, bloqueadores de escrita por hardware, hashing simultâneo e registos de auditoria com selo temporal.

flowchart LR
  A[Apreensão / Identificação] --> B[Aquisição<br/>bloqueador + hash]
  B --> C{Hash coincide?}
  C -- Não --> X[Falha de integridade<br/>evidência em risco]
  C -- Sim --> D[Armazenamento inviolável<br/>com controlo de acessos]
  D --> E[Análise sobre<br/>cópia de trabalho]
  E --> F[Cada transferência registada:<br/>quem / quando / porquê / assinatura]
  F --> G[Apresentação em tribunal<br/>autenticação FRE 901]
  G --> H[Disposição final /<br/>devolução ou destruição]