KRAFF (DFIR Multi-Standard- NIST, ISO, ITIL)

Nota do Capítulo 23, Frameworks e Metodologias Emergentes.
Apresenta o KRAFF, framework brasileiro de DFIR alinhado a múltiplos padrões, NIST SP 800-61, ISO/IEC 27037, 27041, 27042 e 27043 e ITIL, com a justificativa do mapeamento multi-standard, a estrutura do framework, a tabela de correlação e o uso em organização que precisa reportar conformidade.
Dialoga com o DAIR e o Securenet DFIR desta pasta, com os controles RES do capítulo 15 e com a nota de privacidade do capítulo 12.

1. Contexto e Posicionamento na Biblioteca

Organizações brasileiras operam DFIR sob pressão simultânea de várias referências: o ciclo de resposta do NIST SP 800-61 orienta a prática operacional, a família ISO/IEC 27037 a 27043 governa a investigação forense digital com exigência de método e validação, o ITIL regula o relacionamento da resposta com a gestão de serviços de TI, e a LGPD impõe prazos e deveres de notificação que atravessam tudo. O KRAFF é um framework brasileiro de DFIR que resolve essa fragmentação propondo uma estrutura única de fases, papéis e artefatos, com correlação explícita para cada padrão, de modo que a mesma execução sirva à operação e à auditoria sem retrabalho. A premissa do framework é que conformidade não é camada decorativa aplicada no fim, e sim propriedade da execução desde o primeiro registro de horário.

O posicionamento na biblioteca é o de régua de conformidade para a resposta a incidentes tratada no capítulo 13 e nos controles RES do capítulo 15. O DAIR desta pasta organiza a condução tática do incidente, o Securenet DFIR adapta a resposta à realidade de PMEs, e o KRAFF organiza a esteira de conformidade que envolve qualquer uma delas, transformando cada fase em evidência alinhada ao padrão que o auditor exige. Nenhum dos três frameworks concorre com os outros: eles ocupam camadas distintas, e o KRAFF é a camada que responde a quem inspeciona a execução depois que ela terminou.

2. Por que um Mapeamento Multi-Standard

Cada padrão cobre um recorte diferente do mesmo fenômeno, e a confusão entre eles gera os dois erros típicos das organizações. O primeiro é executar DFIR por um único padrão e descobrir na auditoria que faltou o que o outro exige, como responder com agilidade pelo NIST sem preservação de evidência auditável pela ISO/IEC 27037, ou manter forense rigorosa pela ISO sem integração com o gerenciamento de incidentes do ITIL que a área de TI realmente usa. O segundo erro é manter múltiplas esteiras paralelas, uma para a operação, outra para o compliance, e ver as duas divergirem até o registro do incidente não bater com a evidência forense, defeito indefensável em disputa judicial ou regulatória.

O mapeamento multi-standard do KRAFF parte de um princípio simples: o incidente acontece uma vez, e o registro dessa ocorrência deve ser construído já estruturado para os padrões que a organização reconhece. As famílias ISO/IEC da área forense têm papéis complementares bem definidos, e citá-los com precisão evita a invocação vaga de conformidade: a 27037 cobre identificação, coleta, aquisição e preservação de evidência, a 27041 garante a adequação e a validação dos métodos usados, a 27042 cobre análise e interpretação da evidência, e a 27043 estabelece os princípios e processos das investigações. O NIST SP 800-61 fornece o ciclo operacional de resposta e o ITIL fornece a interface com o serviço de TI, e o framework organiza tudo isso em uma esteira única.

Existe também um argumento econômico que sustenta o mapeamento único. Auditorias de certificação, inspeções regulatórias e revisões de seguro cibernético pedem o mesmo material com roupagens diferentes, e manter esteiras paralelas significa multiplicar o custo de produção dessas roupagens e multiplicar as chances de divergência entre elas. Quando a execução nasce estruturada no formato do framework, o custo marginal de atender a um consumidor adicional de conformidade tende a zero, porque o que muda é o relatório, nunca a evidência de base.

3. Estrutura do Framework

O KRAFF estrutura o DFIR em fases sequenciais com critérios de entrada e de saída, papéis nomeados e artefatos obrigatórios por fase, e cada artefato nasce com a referência cruzada ao padrão que o exige. A tabela a seguir apresenta a espinha dorsal da estrutura com os artefatos que alimentam a conformidade.

Dois traços estruturais distinguem o framework de uma checklist simples. O primeiro é a exigência de que todo método forense esteja declarado e validado, vinculando cada fase de exame à garantia de método da ISO/IEC 27041, o que significa documentar versão de ferramenta, procedimento e razão da escolha, e não apenas o resultado. O segundo é a interface formal com o ITIL: o incidente de segurança é registrado também no sistema de gerenciamento de incidentes da TI, com correlação de identificadores, porque organizações operam por ITIL e uma resposta que ignora essa esteira fica invisível para a operação e para a gestão de mudança que aprovará as ações de contenção em ambiente produtivo.

Os critérios de entrada e saída de fase funcionam como portões de qualidade que impedem a execução de avançar sem o mínimo documental. A fase de exame e análise não começa sem termo de cadeia de custódia completo e hashes registrados, porque análise sobre aquisição mal documentada herda o defeito e o reproduz no relatório final. A fase de contenção não encerra sem critério de retorno explicitado, e a fase de encerramento não fecha sem plano de melhoria com dono e prazo, o que transforma o framework em mecanismo de disciplina e não apenas em gabarito de formulários.

4. Tabela de Correlação entre Padrões

A tabela de correlação é o produto central do KRAFF, e permite responder à pergunta de auditoria, qual padrão cobre esta fase, com precisão documentada. Cada linha mostra como a mesma fase é vista pelos padrões que a organização adota.

A leitura da tabela precisa preservar a assimetria de naturezas: o NIST é um guia operacional, as ISO/IEC são normas com exigência de demonstração de método e o ITIL é um framework de gestão de serviços, e nenhum substitui o outro. A função do KRAFF é exatamente essa mediação, traduzindo a execução única para o vocabulário de cada referência sem duplicar trabalho.

A tabela é um artefato vivo e precisa de governança própria. Ela deve ter dono nomeado, controle de versão e revisão periódica, porque os padrões correlacionados mudam de revisão ao longo do tempo e uma correlação desatualizada é pior que a ausência de correlação, já que transmite falsa segurança documental. Na prática, a revisão da tabela entra no mesmo ciclo anual de revisão do plano de resposta, e cada mudança relevante de padrão dispara revisão extraordinária com registro do que mudou e por quê.

5. Interface com LGPD e Reporte Regulatório

A esteira de conformidade brasileira tem um consumidor que não é padrão técnico, é lei: a LGPD estabelece o dever de comunicar incidentes de segurança que possam acarretar risco ou dano relevante aos titulares e à ANPD, e a regulação da autoridade sobre comunicação de incidentes de segurança fixou prazo de três dias úteis, contados do conhecimento do evento, para a comunicação inicial. O texto legal não exige certeza consolidada para comunicar, exige tempestividade com as informações disponíveis, e a prática madura é comunicar o fato conhecido dentro do prazo e complementar depois, em vez de esperar o quadro completo para só então abrir a conversa com o regulador. Setores regulados somam camadas adicionais, como o reporte de incidentes relevantes exigido do setor financeiro, e o desenho da esteira precisa prever todos esses consumidores desde a triagem.

O ponto operacional decisivo é o momento em que a pergunta sobre dado pessoal entra na esteira. O KRAFF exige que a triagem responda se há indício de dado pessoal envolvido, porque o prazo regulatório corre a partir do conhecimento e a contagem que começa tarde já nasce vencida. A interface com a assessoria jurídica, portanto, não é etapa de encerramento, é provisionamento contínuo: a cada fase, a área jurídica recebe atualização factual e decide se o quadro já configura obrigação de comunicação, evitando o cenário clássico em que a notificação é descoberta como pendência depois da contenção.

6. Operacionalização: Cadência, Métricas e Artefatos de Registro

O framework só vale o que sua execução demonstra, e a operacionalização repousa em três pilares: cadência de revisão, métricas de disciplina e artefatos padronizados. A cadência define que o plano, a tabela de correlação e os formulários são revisados em ciclo anual, com treinamento do time a cada revisão, porque procedimento que o respondedor não leu não existe. As métricas medem a disciplina da esteira e não o resultado do incidente, e a distinção importa: a esteira pode ser executada com perfeição em um incidente que ainda assim termina mal, e o que a auditoria avalia é a disciplina.

O gabarito de registro abaixo ilustra o padrão de artefato que o KRAFF exige em cada fase, com método declarado, horários, aprovações e correlatos explicitados, e serve de modelo para os formulários internos que a organização adota.

REGISTRO DE EXECUCAO KRAFF
INCIDENTE: INC-2026-0417
FASE: Preservacao e coleta
RESPONSAVEL: Respondedor forense nomeado
INICIO: 2026-04-17 09h12 BRT   FIM: 2026-04-17 11h40 BRT
METODO: aquisicao em bloco com utilitario versionado 2.4.1
ARTEFATO: imagem do disco sda, hash SHA-256 registrado no termo
CORRELATOS: ISO/IEC 27037 (coleta e preservacao);
  NIST SP 800-61 (coleta de evidencia no tratamento);
  ITIL: mudanca de emergencia CHG-2026-0140
APROVACOES: gestao de mudanca aprovou isolamento as 08h55
OBSERVACOES: servidor mantido ligado, rede isolada, sem reinicio

7. Preparação: O Que Precisa Existir Antes do Primeiro Incidente

O KRAFF converte boa parte da conformidade em trabalho de preparação, e a organização que entende isso descobre que a esteira custa mais disciplina do que horas. Antes do primeiro incidente, sete itens precisam existir em formato auditável, porque no incidente eles são consumidos, e não produzidos: o plano de resposta aprovado, a tabela de correlação versionada, os formulários das seis fases, a matriz de papéis com suplentes, o gabarito de cadeia de custódia, os modelos de comunicação regulatória e o contrato de retaguarda pericial para os casos que excedem a capacidade interna. A tabela organiza os itens com o formato mínimo que o auditor espera encontrar.

A revisão anual desses itens segue o gabarito de checklist abaixo, e a execução do checklist com registro é, ela mesma, evidência de conformidade para a auditoria que examina a preparação da organização.

CHECKLIST ANUAL DE PREPARACAO KRAFF
[ ] Plano de resposta revisado, aprovado e publicado
[ ] Tabela de correlacao revisada com changelog
[ ] Formularios das seis fases acessiveis ao time
[ ] Matriz de papeis com suplentes e contatos vigentes
[ ] Gabarito de cadeia de custodia disponivel offline
[ ] Modelos de comunicacao revisados pela juridica
[ ] Contrato de retaguarda pericial vigente e testado
[ ] Treinamento do time executado com lista de presenca
[ ] Exercicio da esteira completa realizado no ano

O checklist também cumpre função de negociação interna, porque transforma a preparação em lista de entregas com donos, e não em pedido vago de recursos. A experiência de implantação de esteiras desse tipo mostra que a conformidade sai do papel em cerca de um trimestre quando os itens da lista são tratados como projeto com prazo, e nunca sai quando são tratados como desejo declarado em política.

8. Uso em Organização que Precisa Reportar Conformidade

Considere uma instituição financeira de médio porte certificada na ISO/IEC 27001, operando TI sob ITIL, com dever de notificação à ANPD em caso de incidente relevante com dados pessoais e exigência de reporte setorial. Durante um incidente de ransomware em um servidor de arquivos da área contábil, a esteira KRAFF produziu o seguinte caminho: na detecção e triagem, o analista registrou severidade e horários no formulário do framework e criou o correlato no gerenciador de incidentes ITIL com o mesmo identificador; na preservação e coleta, o respondedor forense adquiriu imagem do disco com hash documentado e termo de cadeia de custódia assinado, atendendo à ISO/IEC 27037, e a gestão de mudança de emergência do ITIL aprovou o desligamento do servidor do domínio como medida de contenção.

Na fase de exame e análise, o perito declarou o método e as versões de ferramenta, mapeou o vetor de acesso por VPN sem segundo fator e documentou a supressão de cópias de sombra, análise essa registrada com a garantia de método da ISO/IEC 27041 e interpretada conforme a 27042. No encerramento, três relatórios nasceram do mesmo acervo sem duplicar trabalho: o relatório operacional no formato do NIST SP 800-61 para o time interno, a evidência de conformidade para a auditoria da certificação 27001, e a base factual do reporte à ANPD, com prazos e conteúdo conforme a lei. O resultado prático é que a organização respondeu um incidente uma vez e atendeu quatro consumidores de conformidade, e o mesmo acervo serviu ao aprendizado, com a causa raiz virando gestão de problema no ITIL e plano de melhoria com donos e prazos.

O uso bem-sucedido do KRAFF em organizações assim depende de o framework estar documentado como procedimento interno aprovado, e não como folheto de referência, porque auditor pede procedimento vigente e registro de execução, e ambos precisam existir antes do incidente. O teste simples de maturidade é pedir a qualquer respondedor o registro da última execução de cada fase: se a resposta demora ou depende de reconstituir de memória, a esteira ainda é documento, não prática. Instituições que passam nesse teste relatam o efeito colateral positivo de entrarem em auditoria sem sprint de compliance, porque o material exigido já está organizado no formato que o auditor reconhece.

9. Erros Comuns e Pontos de Atenção

A adoção de esteiras multi-standard tropeça nos desvios recorrentes listados a seguir, todos observáveis em auditorias reais:

• Correlação declamada e não praticada, com a tabela de mapeamento existindo no documento e a execução real ignorando cadeia de custódia e registro de horários.
• Evidência preservada por quem também contém o incidente, misturando papéis e comprometendo a independência que a ISO/IEC espera do processo de investigação.
• Método forense não declarado, com análise executada por ferramenta sem versão e sem procedimento, indefensável sob a garantia de método da 27041.
• Incidente de segurança invisível ao ITIL, sem registro no gerenciador de incidentes, tornando as mudanças de contenção não autorizadas na visão da gestão de serviço.
• Prazo de notificação regulatório tratado como etapa final, descoberto após a contenção, quando a contagem de prazos deveria começar na triagem.
• Relatórios duplicados por padrão, cada consumidor recebendo uma versão reescrita, e as versões divergindo em detalhe que o auditor explora.
• Tabela de correlação sem dono e sem versão, envelhecendo silenciosamente até divergir dos padrões vigentes e transmitir falsa segurança documental.

O ponto de atenção estrutural é que a cadeia de custódia é o esqueleto de tudo: horários, hashes, assinaturas e transferências documentadas sustentam qualquer uso posterior da evidência, judicial, regulatório ou apenas organizacional, e nenhuma agilidade justifica rompê-la. O DAIR desta pasta, que prega paralelização, é explícito ao preservar essa disciplina mesmo na pressão de ataque ativo. A combinação dos dois frameworks é justamente a resposta à objeção comum de que disciplina documental atrasa a resposta: o que atrasa a resposta é a desorganização, e a disciplina documental bem desenhada custa minutos por fase.

10. Integração com o Restante da Biblioteca

Os controles RES do capítulo 15 operam a resposta a incidentes que o KRAFF formaliza, com o IR.1 cobrindo a plataforma DFIR que registra os artefatos e o IR.4 conduzindo o aprendizado que a fase de encerramento exige. O DAIR desta pasta organiza a condução tática quando o ataque está ativo, e o Securenet DFIR oferece a versão simplificada para PMEs, com o KRAFF servindo de referência de conformidade para quando a organização crescer e precisar de evidência auditável.

O capítulo 12, nas notas de privacidade e de considerações legais, define as restrições que a esteira precisa respeitar ao coletar e analisar evidência com dados pessoais, e o capítulo 16 fornece o exercício integrado de SOC, ambiente ideal para treinar a esteira completa antes do incidente real, porque conformidade em DFIR se constrói na preparação, nunca durante o incidente. No capítulo 22, a mesma lógica de registro disciplinado aparece nas métricas de compartilhamento, e o leitor perceberá que o princípio é único na biblioteca: decisão sem registro é decisão que não se pode defender, e registro bem estruturado é o que transforma execução técnica em evidência institucional durável.