ISO/IEC 27037: The International Standard for Digital Evidence

Quando a prova digital é contestada em juízo, a parte contrária raramente ataca primeiro o conteúdo: a primeira linha de ataque é o método usado para adquiri-lo. A ISO/IEC 27037 define como identificar, coletar, adquirir e preservar a evidência digital de modo que o material resista ao exame do juiz ou de uma autoridade de controle. Publicada pela ISO em 2012, adotada na Europa como EN ISO/IEC 27037:2017 e publicada no Brasil pela ABNT como ABNT NBR ISO/IEC 27037:2013, é a referência operacional de laudos, contencioso, investigações regulatórias e resposta a incidentes. Este guia explica o que a ISO 27037 exige, os papéis que define, seus princípios e processos, os quadros jurídicos que ela cruza e os erros que tiram valor probatório da prova digital.

O que é a ISO/IEC 27037 e por que ela existe

A ISO/IEC 27037 é uma diretriz internacional que fixa regras mínimas de tratamento da evidência digital nas fases iniciais. Não é certificável como a ISO 27001: é uma metodologia que profissionais e organizações precisam demonstrar ter seguido, com artefatos verificáveis.

Definição operacional A ISO/IEC 27037:2012, adotada na Europa como EN ISO/IEC 27037:2017 e publicada no Brasil pela ABNT, é a norma internacional que traz diretrizes de identificação, coleta, aquisição e preservação da evidência digital, de modo que o material resultante seja admissível em juízo e utilizável em processos criminais, litígios cíveis e comerciais, disputas administrativas e investigações internas. A norma define dois papéis operacionais, o Digital Evidence First Responder (DEFR) e o Digital Evidence Specialist (DES), junto de quatro princípios de qualidade: auditabilidade, repetibilidade, reprodutibilidade e justificabilidade. Aplica-se a qualquer suporte: dispositivos móveis, computadores, sistemas de videomonitoramento, logs de rede, conteúdo web e sistemas em nuvem alcançáveis por um ponto de acesso controlado. A ISO 27037 pertence a uma família de quatro normas (27037, 27041, 27042, 27043) que juntas cobrem todo o ciclo de vida da evidência digital, da identificação à apresentação, e dialoga com o regime europeu eIDAS de carimbo do tempo e selo eletrônico qualificados.

A definição oficial da norma

O título oficial, registrado no catálogo da ISO, é "Tecnologia da informação, Técnicas de segurança, Diretrizes para identificação, coleta, aquisição e preservação de evidência digital". Desenvolvida pelo comitê ISO/IEC JTC 1/SC 27, cobre a evidência digital "potencial" em qualquer suporte: dispositivos móveis, notebooks, discos rígidos, logs de rede, conteúdo web, sistemas em nuvem. Não trata da análise forense em laboratório, atribuição da ISO/IEC 27042.

O problema que resolve: a fragilidade da prova digital e a sua admissibilidade

A prova digital é frágil. Uma data pode ser alterada, um arquivo sobrescrito sem deixar rastro, uma aquisição apressada pode destruir dados voláteis. Sem um protocolo comum, cada perito age de um jeito e a parte contrária alega contaminação.

O problema que a norma resolve Antes da ISO/IEC 27037, a aquisição de evidência digital seguia métodos heterogêneos, tirados de diretrizes nacionais como o ACPO Good Practice Guide no Reino Unido, das recomendações do SWGDE nos Estados Unidos e do NIST SP 800-86 na resposta técnica a incidentes. A consequência eram impugnações frequentes de admissibilidade contra material adquirido sem cadeia de custódia documentada, e uma dificuldade sistemática nos litígios transfronteiriços, em que cada parte invocava uma diretriz diferente. A norma resolveu o problema com vocabulário comum, papéis definidos, princípios de qualidade mensuráveis e processos sequenciais. Pela primeira vez, um perito no Brasil, um investigador na Alemanha e um consultor em Portugal podem declarar que seguiram o mesmo protocolo, o que reduz a superfície de ataque metodológico. A admissibilidade fica defensável quando os quatro princípios estão documentados passo a passo, com artefatos técnicos que um terceiro qualificado consegue verificar.

A quem se dirige: profissionais, peritos, organizações

A ISO 27037 fala com públicos diversos: peritos e assistentes técnicos na elaboração de laudos; equipes de resposta a incidentes durante ataques e vazamentos; departamentos jurídicos e encarregados de dados nos contratos com fornecedores; autoridades policiais na apreensão de dispositivos; organizações reguladas (bancos, seguradoras, saúde, telecomunicações) que levam esses princípios para dentro da conformidade.

A estrutura da norma e os princípios centrais

A ISO/IEC 27037 está organizada em cinco partes: escopo, referências normativas, termos e definições, visão geral e processos operacionais. Os processos são a seção mais citada, mas o motor conceitual são os princípios centrais, que traduzem a admissibilidade em requisitos técnicos verificáveis.

Histórico: da ISO/IEC 27037:2012 às versões nacionais

A ISO publicou a norma em 15 de outubro de 2012. A ABNT a publicou no Brasil em 2013; o CEN a adotou em 2016 e os Estados-membros europeus publicaram a EN ISO/IEC 27037:2017. Uma revisão aberta em 2024 ainda não saiu. A prática cita a edição de 2012 e a adoção nacional correspondente.

O escopo e o que a norma NÃO cobre

A norma cobre o tratamento inicial: identificação, coleta, aquisição, preservação. Não cobre a análise e a interpretação (ISO/IEC 27042) nem a apresentação em juízo, que segue o direito processual de cada país: no Brasil, o CPC e o CPP. Também não trata da responsabilidade jurídica local, matéria de lei nacional e de instrumentos internacionais como o Regulamento e-Evidence 2023/1543 e a Convenção de Budapeste.

Os quatro princípios fundamentais

Os quatro princípios de qualidade são o coração da norma. Reaparecem em todos os processos e são o que um juiz ou uma autoridade de controle procura em um laudo. Uma aquisição que viole qualquer um dos quatro fica exposta.

Os quatro princípios da ISO/IEC 27037 1. Auditabilidade: toda ação praticada sobre a evidência precisa ser reconstruível por um terceiro qualificado, por meio de logs, screenshots, valores de hash e registros escritos. Não basta afirmar o que foi feito; é preciso demonstrá-lo com artefatos técnicos verificáveis a qualquer momento posterior. 2. Repetibilidade: o mesmo procedimento, executado pela mesma pessoa no mesmo sistema com as mesmas ferramentas, precisa produzir os mesmos resultados. É o critério de laboratório, essencial na verificação interna e na garantia de qualidade. 3. Reprodutibilidade: o mesmo procedimento, executado por pessoas diferentes com ferramentas equivalentes, precisa produzir resultados comparáveis. É o critério científico, essencial na verificação externa por um segundo perito ou por um assistente técnico nomeado no processo. 4. Justificabilidade: toda escolha técnica, incluído qualquer afastamento dos princípios acima (sistemas que não podem ser desligados, ou evidência perecível capturada sob restrição operacional), precisa ser motivada e documentada no termo de aquisição.

Os princípios se reforçam entre si. Uma aquisição auditável mas não reprodutível, feita com um script sem documentação, continua exposta: um segundo perito não consegue verificar o resultado.

Os papéis operacionais: DEFR e DES

A ISO 27037 define dois papéis operacionais. São papéis, não cargos: uma mesma pessoa pode ocupar os dois, conforme a formação e a autorização que tenha. A distinção esclarece quem faz o quê nas primeiras horas de uma apuração, quando o erro é mais difícil de desfazer.

Quem é o Digital Evidence First Responder (DEFR)

O Digital Evidence First Responder atua no local, identifica os sistemas relevantes e os coleta ou adquire com segurança. O DEFR não analisa a evidência: coloca a evidência em condição de ser analisada depois. Competências exigidas: conhecimento dos dispositivos, avaliação da volatilidade dos dados, bloqueadores de escrita, imagem forense, documentação do local.

Quem é o Digital Evidence Specialist (DES)

O Digital Evidence Specialist atua em sistemas complexos: arranjos RAID, ambientes virtualizados, infraestrutura em nuvem, equipamentos de rede corporativa, controles industriais. O DES entra em cena quando a intervenção especializada evita a perda de dados voláteis ou quando a arquitetura alvo excede as competências do DEFR.

DEFR e DES: diferenças, competências, responsabilidades

Na prática a distinção é menos rígida: muitas vezes um único consultor cobre os dois papéis. A norma continua útil como grade de responsabilidades: separar DEFR e DES obriga a documentar quem está autorizado a fazer o quê, o que é decisivo quando a aquisição é impugnada.

Os quatro processos da ISO/IEC 27037

O núcleo operacional da norma é a sequência de quatro processos. A sequência não é estritamente linear: em cenários reais os processos se repetem em ciclos. Cada um precisa ser documentado como atividade distinta.

Identificação: o que procurar e onde

O primeiro processo mapeia os sistemas relevantes, avalia o estado de cada um (ligado ou desligado, conectado à rede, criptografado) e mede o risco de perder dados voláteis. Em um ataque de ransomware, desligar destrói a memória RAM, os processos e as chaves de decifração que só existem ali. O DEFR decide o que adquirir primeiro com base na "ordem de volatilidade" da RFC 3227.

Coleta: tirar a evidência do local

A coleta transfere a evidência para o ambiente seguro onde a aquisição acontece. Exige etiquetagem, lacres invioláveis, documentação fotográfica e custódia contínua. Sem lacre a evidência perde valor probatório: a parte contrária alega ruptura da cadeia no transporte.

Aquisição: criar a cópia forense (imagem bit a bit)

A aquisição é o momento mais delicado. A norma pede uma cópia bit a bit (a imagem forense) acompanhada de um hash criptográfico. A cópia não pode alterar o original: daí os bloqueadores de escrita. Quando o sistema não pode ser desligado, faz-se a aquisição ao vivo e documenta-se o desvio. No conteúdo web, a aquisição toma formas específicas: captura do DOM, MHTML, screenshots certificados, metadados de rede.

Preservação: a custódia ao longo do tempo

A preservação acompanha os outros três processos. A integridade precisa continuar verificável em qualquer momento seguinte. Abrange a custódia física (armazenamento seguro, servidores controlados), a custódia lógica (valores de hash, selos eletrônicos, carimbos do tempo qualificados) e a custódia documental (termos, logs de acesso).

Os quatro processos explicados O tratamento da evidência digital na ISO/IEC 27037 se organiza em quatro processos que, no dia a dia, se entrelaçam. A identificação mapeia o local e localiza a evidência relevante, avaliando a volatilidade e a ordem de intervenção segundo a ordem de volatilidade descrita na RFC 3227 e referida pela norma. A coleta transfere fisicamente a evidência para um ambiente controlado, com lacres, etiquetas e termos escritos, quando o sistema pode ser desligado e removido. A aquisição cria uma cópia bit a bit verificável por meio de uma função criptográfica de hash (em regra SHA-256) e, quando necessário, de bloqueadores de escrita em hardware ou software, que evitam alterações no suporte original. A preservação acompanha os demais processos e mantém a evidência íntegra ao longo do tempo por custódia física (armazenamento seguro, servidores controlados), custódia lógica (selo eletrônico qualificado, carimbo do tempo qualificado, recálculo periódico do hash) e custódia documental (termos, logs de acesso). Todo processo se submete aos quatro princípios de qualidade e precisa ser documentado com artefatos verificáveis.

Cadeia de custódia, hash e integridade da prova

A cadeia de custódia amarra os quatro processos. Se a cadeia de custódia digital se rompe em um ponto, até uma aquisição impecável pode ser impugnada. É o mecanismo técnico que demonstra que a prova apresentada hoje é a mesma que foi coletada no local.

O que a cadeia de custódia documenta

A cadeia documenta quatro elementos. Identificação: quem praticou o ato, com qual ferramenta, onde e quando. Preservação: hash SHA-256, carimbo do tempo qualificado, selo eletrônico. Transferência: um log assinado de cada passagem entre custodiantes. Apresentação: o laudo que remete à aquisição. A cadeia de custódia certificada reúne esses elementos em um pacote único, verificável por um terceiro.

Funções de hash na verificação de integridade (SHA-256, SHA-1, MD5)

Uma função de hash transforma um arquivo em uma impressão digital de tamanho fixo: um bit alterado gera uma impressão diferente. A ISO 27037 não impõe um algoritmo; a prática forense convergiu no SHA-256. O SHA-1 caiu em desuso depois das colisões SHAttered de 2017, o MD5 depois das colisões de 2004 e 2008. Um laudo que apresente o MD5 como única verificação de integridade expõe a prova a uma impugnação dura.

Carimbo do tempo e selo eletrônico qualificados: a ponte europeia do eIDAS

O hash prova que um arquivo não mudou, mas não diz quando. Para fixar esse "quando" de modo oponível a terceiros, usa-se o carimbo do tempo qualificado, definido pelo Regulamento (UE) 910/2014, o eIDAS como o carimbo emitido por um prestador qualificado de serviços de confiança (QTSP), com presunção de exatidão no art. 41. O selo eletrônico qualificado acrescenta a identidade da organização emissora e é aposto por um QTSP integrado. Esse regime é europeu e vale em Portugal e nos demais Estados-membros.

Cadeia de custódia e hash: a fórmula técnica Na ISO/IEC 27037, uma cadeia de custódia que se sustenta diante de um terceiro combina quatro elementos técnicos verificáveis de forma independente. O hash SHA-256 da cópia forense, calculado na aquisição e registrado no termo escrito, garante a integridade do conteúdo bit a bit. O carimbo do tempo qualificado, que fixa o momento da aquisição de modo verificável pelo QTSP emissor, atende ao requisito do "quando" do art. 41 do Regulamento 910/2014 e é oponível a terceiros em toda a União Europeia. O selo eletrônico qualificado identifica a organização responsável pela aquisição e certifica a integridade do pacote. O registro de custódia documenta cada acesso, transferência ou cópia posterior, com data, hora e assinatura. A perda de um único elemento não invalida a prova, mas reduz a sua defensabilidade diante das objeções da parte contrária. O SHA-1 está em desuso nas aquisições novas; o MD5 nunca deve ser usado como verificação única.

A família ISO/IEC 27037, 27041, 27042 e 27043

A ISO/IEC 27037 pertence a uma família de quatro normas que cobrem todo o ciclo de vida da evidência digital. Os laudos que resistem à impugnação citam a família inteira e ancoram cada fase à norma que a rege.

Essa família trata especificamente da evidência digital. Uma série distinta, a ISO 21043 e o processo forense mais amplo, rege o tratamento de vestígios de potencial valor forense de qualquer natureza. A Parte 2 exclui expressamente a recuperação de dados de mídias de armazenamento e leitores, e devolve esse trabalho à ISO/IEC 27037.

A relação entre as quatro normas As quatro normas da família ISO/IEC 27037 são complementares e se aplicam em sequência ao longo do ciclo de vida da evidência digital. A ISO 27037 traz as diretrizes operacionais das fases iniciais (identificação, coleta, aquisição, preservação) e é a referência da primeira resposta no local. A ISO 27041 estabelece como demonstrar que o método de investigação é adequado ao objetivo, por meio de processos de garantia, validação e verificação, e é a referência da justificação metodológica. A ISO 27042 rege a análise e a interpretação do conteúdo depois que ele foi adquirido segundo a ISO 27037, e é a referência do trabalho de laboratório. A ISO 27043 fornece a moldura procedimental geral das investigações de incidente e integra as outras três em um processo único. Um laudo bem estruturado cita as quatro normas e deixa transparente a cadeia metodológica.

ISO/IEC 27041: a garantia da metodologia de investigação

A ISO/IEC 27041 explica como demonstrar que o método é adequado ao objetivo. Distingue garantia (desenho correto), validação (funciona como previsto) e verificação (o resultado corresponde ao objetivo). Sem a 27041, o princípio da justificabilidade da 27037 corre o risco de virar declaração formal.

ISO/IEC 27042: análise e interpretação da prova

A ISO/IEC 27042 rege a fase seguinte à aquisição: exame do conteúdo, interpretação dos achados, documentação dos limites da análise. É a referência da seção de "reconstrução técnica" dos laudos.

ISO/IEC 27043: princípios e processos de investigação de incidentes

A ISO/IEC 27043 traz a moldura investigativa em sete fases, da detecção inicial à análise pós-incidente. Serve tanto aos incidentes de segurança corporativa quanto às investigações criminais.

Normas correlatas (ISO/IEC 27035, ISO/IEC 27050)

A ISO/IEC 27035 rege a gestão de incidentes de segurança da informação e dá o contexto mais amplo da 27037. A ISO/IEC 27050 trata da descoberta eletrônica e complementa a 27037 nos litígios transfronteiriços com jurisdições de common law.

A ISO 27037 no quadro jurídico brasileiro e internacional

A força prática da ISO/IEC 27037 vem do modo como ela se encaixa no direito positivo. Quando uma lei ou uma decisão fala em "melhor prática forense", o juiz procura uma referência concreta: a ISO 27037 é a referência que a prática adota, no Brasil e fora dele.

Adoções nacionais: a ABNT NBR ISO/IEC 27037 e as versões europeias

No Brasil a ABNT publicou a versão nacional, a ABNT NBR ISO/IEC 27037:2013, com o mesmo conteúdo técnico da norma internacional. Na Europa o CEN adotou a ISO/IEC 27037 em 2016 e os Estados-membros publicaram em seguida as versões nacionais da EN ISO/IEC 27037:2017. Citar a adoção nacional sinaliza o uso de uma norma de fonte controlada, o que pesa em licitações, em contratos com cláusula de conformidade e em processos que exigem metodologia rastreável a uma fonte reconhecida.

eIDAS, eIDAS 2.0 e o carimbo do tempo qualificado

Regulamento (UE) 910/2014, o eIDAS fixa o quadro europeu dos serviços de confiança prestados por QTSP: selo eletrônico qualificado, carimbo do tempo qualificado, assinatura eletrônica qualificada. O art. 41 dá ao carimbo qualificado a presunção de exatidão da data, da hora e da integridade. O Regulamento (UE) 2024/1183, o eIDAS 2.0, publicado em abril de 2024 e com prazo de adequação dos QTSP em setembro de 2026, amplia o quadro com a carteira digital europeia e o arquivamento eletrônico qualificado.

LGPD, NIS2 e DORA: quando a norma vira requisito operacional

Alguns marcos regulatórios tornaram a ISO 27037 cada vez mais vinculante na prática. No Brasil, a LGPD (Lei 13.709/2018) exige medidas técnicas adequadas de segurança no art. 46 e a comunicação do incidente à ANPD e ao titular no art. 48. Na União Europeia, a Diretiva NIS2 (UE 2022/2555) impõe um calendário de reporte em três etapas (alerta em 24h, notificação em 72h, relatório final em um mês), e o Regulamento DORA (UE 2022/2554), aplicável desde janeiro de 2025, exige gestão formalizada dos incidentes de tecnologia. Em qualquer desses regimes, a metodologia forense da ISO 27037 vira requisito de conformidade.

Referências processuais transfronteiriças (Convenção de Budapeste, Regulamento e-Evidence)

A Convenção de Budapeste sobre o Cibercrime (CETS 185, 2001) dá o quadro internacional da coleta transfronteiriça de evidência digital e foi ratificada por mais de 70 Estados, entre eles o Brasil. Na União Europeia, o Regulamento e-Evidence 2023/1543 e a Diretiva 2023/1544 criaram as ordens europeias de produção e de preservação, que permitem às autoridades pedir prova eletrônica diretamente aos prestadores de serviço.

O mapa normativo A ISO/IEC 27037 não é formalmente obrigatória, mas se torna vinculante na prática por canais convergentes que vale conhecer em detalhe. No processo penal brasileiro, os arts. 158-A a 158-F do CPP, introduzidos pela Lei 13.964/2019, disciplinam a cadeia de custódia do vestígio e exigem rastreabilidade documentada de cada etapa: a ISO 27037 fornece o método técnico correspondente quando o vestígio é digital. No processo civil, o art. 411, II, do CPC considera autêntico o documento cuja autoria esteja identificada por meio legal de certificação, inclusive eletrônico, e o art. 441 admite os documentos eletrônicos produzidos e conservados na forma da legislação específica: a rastreabilidade da ISO 27037 sustenta essa demonstração diante da impugnação, e a valoração continua sendo do juiz, art. 371 do CPC. No plano europeu, o Regulamento eIDAS (UE 910/2014) e o eIDAS 2.0 (UE 2024/1183) complementam a norma com carimbo do tempo e selo eletrônico qualificados emitidos por QTSP, enquanto o pacote de conformidade da União (GDPR, NIS2, DORA) transforma a metodologia forense em requisito operacional de notificação de incidentes às autoridades de controle e aos CSIRT.

Caso de uso

Prova digital certificada para o contencioso

Produza prova admissível em juízo, com metodologia forense e selo qualificado eIDAS válido nas jurisdições europeias.

Saiba mais →

Quando a ISO/IEC 27037 se aplica dentro da empresa

A ISO 27037 se aplica a cenários que as equipes internas muitas vezes não reconhecem como "forenses". A admissibilidade da prova digital depende de a metodologia já estar embutida nos processos do dia a dia antes do incidente. Sobre a aplicação operacional da norma às páginas web, veja o guia dedicado.

Resposta a incidentes e gestão de vazamento de dados

Durante um incidente, a equipe de resposta precisa documentar o ocorrido, seja pela LGPD, seja pelos regimes europeus. A diferença entre uma documentação boa e uma documentação defensável é a ISO 27037: identificar os sistemas comprometidos, adquirir logs e imagens com hash, preservar a memória volátil, manter a cadeia de custódia. Sem essa disciplina, a comunicação à autoridade vira narrativa em vez de prova.

Contencioso cível e comercial

No contencioso, as partes juntam como prova um e-mail, um arquivo de servidor, um conteúdo publicado online. Um e-mail impresso, sem selo nem hash, é impugnável. Adquiri-lo como pacote selado (arquivo original, hash SHA-256, carimbo do tempo qualificado, metadados de rede) permite demonstrar a autenticidade nos termos do art. 411, II, do CPC mesmo diante da impugnação.

Investigações internas: fraude, má conduta, furto de propriedade intelectual

A ISO 27037 rege as aquisições internas que, se virarem ação judicial, precisam resistir ao exame externo. Mesmo quando o caso não sai de casa, a norma protege a organização das objeções em procedimento disciplinar, sobretudo nas disputas que envolvem declarações públicas, difamação online ou questões de proveniência dos dados.

eDiscovery e coleta de prova transfronteiriça

Nos litígios transfronteiriços com jurisdições de common law, o eDiscovery exige coleta sistemática e rastreabilidade completa. A ISO 27037 se combina com a ISO/IEC 27050 e forma uma moldura que se sustenta em ordenamentos diferentes. O Regulamento e-Evidence elevou o padrão ao exigir que a prova transferida entre Estados-membros respeite normas forenses reconhecidas.

Caso de uso

Advogados e escritórios: prova digital certificada

Veja como a TrueScreen permite que advogados e escritórios adquiram prova digital alinhada aos princípios da ISO/IEC 27037.

Saiba mais →

Os erros frequentes que tiram valor à prova digital

Nas disputas mais contestadas, os mesmos erros se repetem. Evitá-los exige disciplina e uma política interna que leve os princípios da ISO 27037 para a operação diária.

O screenshot sem autenticação como prova única

Um screenshot salvo na área de trabalho e juntado aos autos é quase sempre vulnerável: sem metadados, sem hash, sem carimbo do tempo qualificado, sem contexto. Arquivos públicos como a Wayback Machine não substituem uma aquisição forense: servem de contexto, nunca de fonte probatória única.

Hash ausente ou algoritmo em desuso

Uma aquisição sem hash não pode ser verificada ao longo do tempo. Só o MD5 é pouco melhor: colisões documentadas desde 2004, práticas desde 2008. A regra: SHA-256 em toda aquisição nova, nunca SHA-1 ou MD5 sozinhos.

Cadeia de custódia rompida ou sem documentação

A cadeia se rompe em pontos banais: um arquivo copiado por e-mail sem log, um disco na gaveta sem lacre, uma máquina de laboratório compartilhada sem controle de acesso. O remédio: log automatizado, lacres verificáveis, recálculo periódico do hash, armazenamento com acesso controlado.

Papéis DEFR e DES sem definição formal

As organizações costumam pular uma etapa burocrática: definir por escrito os papéis DEFR e DES, com registro de treinamento e autorizações. No processo, a ausência de mandato escrito é a primeira objeção da parte contrária. Uma política interna que remeta à ISO 27037 evita o problema.

ISO 27037 e TrueScreen: os princípios da norma aplicados à plataforma

A TrueScreen é a plataforma de autenticidade dos dados que traduz os princípios da ISO/IEC 27037 em um fluxo automatizado e repetível de aquisição e certificação de prova digital. Cada aquisição gera um pacote probatório selado que contém o hash SHA-256 do conteúdo capturado, um carimbo do tempo qualificado emitido por um QTSP terceiro integrado por API, um selo eletrônico qualificado aposto pelo mesmo QTSP e um log completo da cadeia de custódia. Os quatro princípios da norma (auditabilidade, repetibilidade, reprodutibilidade, justificabilidade) estão embutidos na arquitetura: toda ação fica registrada em logs imutáveis, a mesma aquisição produz resultados equivalentes em execuções independentes e as escolhas técnicas ficam documentadas no termo de aquisição. Advogados, peritos, responsáveis por conformidade e equipes de resposta a incidentes usam a TrueScreen para produzir prova alinhada à norma e admissível em juízo. A TrueScreen não obteve nenhuma certificação ISO: aplica a metodologia que a norma descreve.

Aquisição alinhada aos princípios da norma

Uma aquisição feita na TrueScreen gera um pacote que corresponde aos quatro processos. A identificação captura os metadados de rede (IP do servidor, certificado SSL/TLS, cabeçalhos HTTP, cadeia de redirecionamentos). A coleta baixa o conteúdo em formatos verificáveis (DOM, MHTML, screenshots, anexos). A aquisição produz uma cópia bit a bit com hash SHA-256. A preservação fica garantida pelo pacote selado e pelo registro de custódia.

Selo eletrônico e carimbo do tempo qualificados por QTSP integrado

A TrueScreen não é um prestador qualificado de serviços de confiança. O selo eletrônico e o carimbo do tempo qualificados são emitidos por QTSP de terceiros no regime eIDAS e integrados por API. A prova carrega o peso jurídico de um serviço de confiança qualificado europeu e é admissível em toda a União Europeia. No Brasil, o pacote é juntado como prova documental e a sua valoração cabe ao juiz, art. 371 do CPC.

Pacote probatório imutável e cadeia de custódia documentada

O pacote é imutável por construção: qualquer alteração gera um hash diferente e invalida o selo. Todo acesso, download e compartilhamento fica registrado em um log selado com carimbo do tempo qualificado. O resultado é uma trilha verificável, alinhada aos princípios de auditabilidade e repetibilidade. A TrueScreen documenta a cadeia de custódia digital da evidência capturada pela plataforma, mas não integra nem substitui a cadeia de custódia pericial oficial prevista nos arts. 158-A a 158-F do CPP.

TrueScreen e os princípios da ISO: o modelo operacional A união de uma metodologia forense documentada com selos qualificados emitidos por QTSP de terceiros é o modelo operacional que a TrueScreen implementa ao aplicar a ISO/IEC 27037 à aquisição de prova digital. A plataforma embute os quatro princípios (auditabilidade, repetibilidade, reprodutibilidade, justificabilidade) no seu fluxo e produz, em cada aquisição, um pacote selado que um perito ou um juiz consegue verificar com as ferramentas padrão de validação, sem precisar de acesso à infraestrutura da TrueScreen. A separação de papéis é explícita e rastreável: a TrueScreen adquire e certifica o processo aplicando a metodologia, enquanto o QTSP integrado emite o carimbo do tempo e o selo eletrônico qualificados no regime eIDAS. O resultado é uma prova utilizável em processo judicial, em comunicações regulatórias às autoridades de proteção de dados, em arbitragem internacional e no eDiscovery transfronteiriço, tanto em ordenamentos de common law quanto de tradição romano-germânica.