Ações da Lei (Investigação e Processo)

Nota 03 do bloco Tipologias e Interfaces, capítulo 13 (Contra-Inteligência).
Explica como a descoberta de contra-inteligência se converte em processo legal: preservação de evidência, cadeia de custódia, papéis de delegado e promotor, via criminal versus civil, cooperação internacional e critérios de acionamento.
Dialoga com as notas 01 e 02 deste bloco e com o ciclo de resposta a incidentes do capítulo 15.

1. Contexto e Posicionamento na Biblioteca

A contra-inteligência corporativa produz material técnico excelente para decidir e detectar, mas a esfera legal exige mais: prova com admissibilidade, autoria com fundamentação e dano com quantificação. Esta nota é a ponte entre os dois mundos: descreve o que acontece quando o caso sai do SOC e entra no inquérito ou no processo, o que o time técnico precisa ter feito para que o material sobreviva a essa travessia e como decidir entre investigar internamente, acionar a polícia ou mover ação civil. A premissa de todo o texto é que a decisão legal é decisão de negócio com assessoria jurídica, não uma extensão da resposta técnica.

A posição no bloco fecha a tríade das tipologias: a nota 01 mapeou as autoridades nacionais e o canal para elas, a nota 02 cobriu o ramo militar, e esta cobre o processo que todas as vias eventualmente alimentam. O tema é propositalmente doutrinário e formal, sem instrução operacional ilícita: tudo aqui é sobre fazer o lícito da forma que o direito reconhece, porque a investigação mal preservada não só não condena o adversário como pode inutilizar a defesa da própria organização em disputas trabalhistas, securitárias e contratuais.

2. Da Descoberta de CI ao Processo Legal

A inteligência e a prova cumprem funções diferentes, e a diferença define o que muda no trabalho do time. A inteligência é avaliada por relevância e confiabilidade, tolera inferência e hipótese, e serve para priorizar decisão; a prova é avaliada por admissibilidade e autenticidade, tolera método documentado e cadeia de custódia, e serve para sustentar consequência. O mesmo log que sustenta uma hipótese de exfiltração na reunião do comitê não é prova enquanto não for coletado de forma verificável, por quem tem legitimidade, com registro de integridade e acesso controlado.

A conversão começa antes da decisão de acionar: o time que coleta sabendo que o caso pode virar processo (preservação desde o primeiro dia, método documentado, acessos registrados) mantém as duas possibilidades abertas sem custo adicional relevante. O reverso é o caso comum e doloroso: investigação técnica brilhante, conduta de coleta informal, e material que nenhum perito consegue endossar depois. A regra operacional da nota é simples: preservar como se fosse processo, analisar como inteligência, decidir depois.

3. Preservação de Evidência e Cadeia de Custódia

A preservação segue quatro princípios invioláveis. Originalidade: o original é preservado e a análise corre sobre cópia verificada. Integridade: cada artefato recebe hash criptográfico (SHA-256 como padrão de mercado) no momento da coleta, e qualquer movimentação re-verifica o valor. Documentação: quem coletou, quando, de onde, com que ferramenta e versão, registrado em cada passo. Controle de acesso: quem pode tocar o material e quando, com registro de cada abertura. No Brasil, a Lei 13.964/2019 inseriu no Código de Processo Penal os artigos 158-A a 158-F, que formalizam a cadeia de custódia como documento de cada elenco de acesso ao vestígio, e o padrão corporativo se beneficia de seguir essa lógica mesmo em casos que nunca chegarão a juízo.

O registro de custódia é documento vivo e o formato mínimo segue o modelo abaixo. A regra prática que evita 90% dos problemas: todo evento que altera o estado do material (coleta, cópia, análise, transferência, arquivamento) gera uma linha no registro, com data, nome, cargo e hash re-verificado. A disciplina parece burocrática até o dia em que o caso depende dela; no dia seguinte, é o único ativo que o time tem.

# Registro de cadeia de custódia (formato mínimo por artefato)
artefato: IMG-HOST-0029
descricao: imagem_forense_do_host_de_vendas
hash_sha256_coleta: "3f2a...c91"
coleta:
  data: 2025-05-14T14:22:00-03:00
  responsavel: analista_forense_registro_1234
  ferramenta: "solver de imagem versao 4.1, metodo verificado"
  origem: host_de_vendas_012_na_rede_do_piso_7
transferencias:
  - de: analista_forense
    para: sala_de_evidencia_digital
    data: 2025-05-14T18:05:00-03:00
    hash_reverificado: "3f2a...c91"
acessos_para_analise:
  - responsavel: analista_02
    data: 2025-05-15T09:10:00-03:00
    procedimento: analise_sobre_copia_verificada
restricoes: acesso_apenas_com_autorizacao_do_juridico_corporativo

4. Papel dos Operadores do Direito

O roteiro brasileiro nomeia quatro operadores centrais. O delegado de polícia, autoridade que preside o inquérito policial, decide a instauração, requisita diligências e expede ofícios, incluindo quebra de sigilo quando legalmente cabível; é o primeiro portão do caso criminal. O escrivão formaliza registros e comunicações, e é com ele que protocolos de andamento são abertos. O perito oficial (e, na falta, o perito assistente indicado pela parte) traduz o vestígio em laudo com fé pública ou com responsabilidade técnica formal, e o laudo é o documento que dá ao material técnico o estatuto de prova. O promotor de justiça (ou o procurador da República em matérias federais) avalia o conjunto, oferece a denúncia quando há material mínimo e define a estratégia da acusação; no caso federal, o MPF atua junto à PF, e a dupla é o interlocutor natural dos casos cibernéticos de competência da União.

O papel da corporação nesse roteiro é o de vítima e coadjuvante probatório: entrega evidência, depõe por representante, mantém disponibilidade técnica para esclarecimentos e não conduz diligências próprias de autoridade (nunca interrogar, nunca confrontar, nunca recuperar bem por via própria). A disciplina de papel é o que protege o caso: cada intervenção da corporação além do papel de vítima corre o risco de contaminar prova e criar passivo jurídico próprio, e o parecer jurídico do capítulo governa exatamente essa fronteira.

5. Denúncia Criminal versus Ação Civil

As duas vias respondem a perguntas diferentes e podem correr em paralelo. A via criminal pergunta se houve crime e quem cometeu, e a consequência é pena; a iniciativa parte do Estado, provocado pela notícia-crime ou pela representação da vítima, e o ônus da prova é alto (além da dúvida razoável). A via civil pergunta quem restitui e indeniza, e a consequência é patrimonial; a iniciativa parte da própria organização, o ônus é menor (preponderância de prova) e a estratégia pode visar medida cautelar, busca e apreensão de material, rescisão contratual ou indenização. Em casos de insider e de vazamento de propriedade intelectual, o padrão de mercado é paralelismo: representação criminal para consequência pública e dissuasão, ação civil para recuperação e controle do material vazado.

A ordem das decisões importa: medidas civis urgentes (cautelar de apreensão, liminar de bloqueio) podem revelar a investigação ao adversário e afetar o lado criminal, e decisões criminais (acordo de colaboração, por exemplo) podem afetar a via civil. O jurídico corporativo coordena as duas vias com o respectivo órgão, e o time técnico entrega o mesmo material formatado para as duas, porque a evidência preservada é a mesma, o que muda é o empacotamento.

6. Cooperação Internacional: MLAT e Alternativas

Quando a prova está fora do país, o instrumento formal é o MLAT (Mutual Legal Assistance Treaty), acordo de cooperação jurídica mútua entre Estados, pedido pelo canal central de cada país e executado pela autoridade estrangeira. O instrumento funciona, mas é lento: meses a anos é o intervalo normal entre pedido e resposta, e o planejamento do caso assume isso. A alternativa prática imediata é a preservação: muitos países e provedores aceitam pedido de preservação de dados (data preservation request) muito antes do MLAT formal, congelando o material no provedor estrangeiro para que exista algo a requisitar depois; o canal 24/7 de pontos de contato da Convenção de Budapeste e da rede de cooperação de autoridades é o caminho padrão para esses pedidos.

O roteiro prático do caso internacional tem três tempos. No tempo zero, preserva-se tudo internamente e identificam-se os provedores estrangeiros envolvidos, com registro dos dados que precisam vir de fora. Em seguida, o jurídico formaliza o pedido de preservação pelos canais rápidos e protocola o MLAT pelo canal central, com pedido estruturado e específico (pedidos genéricos voltam vagos). Por fim, o caso prossegue com o que está no país, porque esperar MLAT para agir é Planejamento invertido: a cooperação internacional completa o caso, não o inicia.

7. Investigar Internamente ou Acionar a Polícia

A decisão é de negócio com assessoria jurídica, e os critérios são estáveis. Acionar a autoridade costuma ser a escolha quando há dano grave ou crime claro com prova preservável, quando o adversário é interno e a organização precisa de poder de apuração que não tem, quando regulador, seguradora ou cliente exige registro formal, e quando o efeito dissuasório público vale mais que o custo reputacional do processo. Manter interno costuma ser a escolha quando o caso é menor do que parece, quando a prova é frágil e a via formal só criaria exposição, quando o interesse do negócio pede discrição (M&A, prazo de regulação) e quando o objetivo é correção e controle, não consequência.

A pior decisão não está em nenhuma das colunas, é a indecisão: caso que passa meses meio internos, meio formais, sem preservação adequada e sem protocolo, termina sem nenhuma das duas saídas. O padrão profissional é decidir em prazo fixado pelo comitê, com parecer do jurídico, e registrar a decisão e seus critérios no dossiê do caso, para que a escolha seja auditável depois.

8. Roteiro Prático de Encaminhamento de Caso

O roteiro abaixo assume caso interno de vazamento por ex-colaborador, o cenário mais frequente de migração para a esfera legal, e vale com adaptações para os demais. A lógica é preservar antes, formalizar o caso depois, escolher a via com critério e entregar material no formato que o operador do direito consome.

1. Congelar e preservar: imagem do host, caixa postal, logs de acesso e egress, com hash e registro de custódia no primeiro dia, antes de qualquer conversa com o ex-colaborador ou com a banca.
2. Formalizar o dossiê: linha do tempo, material preservado com hash, lista de testemunhas e um resumo de uma página com a tese (o que aconteceu, por que importa, qual crime ou dano se sustenta).
3. Reunião de decisão: comitê com jurídico, segurança e o dono do negócio, decidindo entre interno, representação criminal, ação civil ou paralelismo, com prazo e registro da decisão.
4. Via escolhida: representação criminal na delegacia especializada ou no MPF com a estrutura que a autoridade espera; ou petição civil com pedido cautelar; ou plano interno de correção com registro.
5. Entrega estruturada: material em pasta organizada por artefato, com índice, hash e relatório técnico em linguagem de leigo no início, evitando jargão no primeiro documento.
6. Disponibilidade contínua: representante técnico nomeado para esclarecimentos, com agenda protegida, porque casos legais demoram e o time gira antes do fim.
7. Gestão do público: mensagens internas e externas coordenadas pelo jurídico, sem qualquer material de prova circulando fora do canal formal.
8. Arquivamento: ao fim, o dossiê completo volta ao repositório de casos com desfecho, lições e atualização de política, fechando o ciclo com a pasta 04 do capítulo.

# Checklist de handoff do caso para a esfera legal
caso: CI-2025-021
tese: ex_colaborador_exfiltrou_projeto_confidencial_antes_do_desligamento
material_entregue:
  - imagem_forense_do_host_com_hash
  - exportacao_da_caixa_postal_com_cabecalhos
  - logs_de_acesso_e_egress_do_periodo
  - registro_de_cadeia_de_custodia_por_artefato
documentos_acompanhando:
  - resumo_executivo_de_uma_pagina
  - linha_do_tempo_do_caso
  - indice_de_material_por_artefato
decisao_registrada: representacao_criminal_e_avaliacao_de_cautelar_civil
interlocutor_tecnico: nomeado_com_agenda_protegida
proximo_checkpoint: retorno_da_autoridade_em_30_dias

9. Erros Comuns e Pontos de Atenção

• Coletar sem preservar como prova; efeito: material inadmissível e caso sem base; correção: preservação formal desde o primeiro dia, com hash e custódia.
• Analisar o original; efeito: contaminação do vestígio e contestação posterior; correção: cópia verificada para análise, original sob custódia.
• Exceder o papel de vítima; efeito: diligência ilícita e passivo próprio; correção: parecer jurídico definindo fronteira e supervisão formal.
• Decidir a via por impulso do momento; efeito: ação sem sustentação ou oportunidade perdida por indecisão; correção: comitê com prazo fixado e registro de critérios.
• Enviar material técnico cru à autoridade; efeito: caso empacotado no jargão errado e sem prioridade; correção: resumo executivo em linguagem de leigo antes do detalhe técnico.
• Ignorar o prazo do MLAT no planejamento; efeito: caso parado esperando prova externa; correção: preservação remota imediata e avanço com o material nacional.
• Misturar via disciplinar e criminal sem coordenação; efeito: declarações que contaminam o processo; correção: jurídico coordena as frentes e define quem diz o quê.
• Deixar a evidência morrer com a infraestrutura; efeito: logs rotacionados e imagem apagada antes do caso ser avaliado; correção: retenção especial de caso, fora da política padrão de rotação.

10. Integração com o Restante da Biblioteca

A nota depende da coleta do capítulo 02 e da resposta do capítulo 15: a telemetria que sustenta a inteligência é a mesma que, preservada com disciplina, vira prova, e o controle de resposta a incidentes do Framework CTH define o momento do ciclo em que o jurídico entra. A nota 05 do capítulo 12 (Privacidade e Considerações Legais) fornece a base legal da coleta interna, e a nota 01 deste bloco fornece os canais de autoridade pelos quais o caso circula. No capítulo 08, o material de identidade e autenticação é o mais frequente em casos de insider, e as consultas de lá alimentam o dossiê.

Para o leitor do capítulo 13, a síntese operacional: a esfera legal não é uma extensão do SOC, é um sistema com papéis, prazos e padrões próprios, e a organização que entende esse sistema preserva desde o primeiro dia, decide com critério e entrega material no formato que o operador do direito consome. O ganho técnico final é assimétrico: o custo da disciplina de custódia é marginal quando o caso não vai a lugar algum, e o valor é total quando vai, o que torna a preservação formal a opção dominante em todos os cenários.