Digital Evidence Preservation Standards: ISO 27037, SWGDE and NIST Compared
Todo ano, milhões de provas digitais são impugnadas ou descartadas em processos judiciais. Não por falta de relevância, mas porque foram coletadas e preservadas sem seguir normas reconhecidas. Segundo pesquisa publicada pelo Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, mais de 70% das organizações envolvidas em litígios digitais não seguem procedimentos padronizados para gerir a prova eletrônica. O resultado: uma prova que o juiz poderia considerar decisiva acaba descartada por vício de forma.
O problema não é a falta de regras. Pelo menos quatro normas internacionais definem com precisão como identificar, coletar, adquirir e preservar a prova digital: a ISO/IEC 27037, a ISO/IEC 27042, as diretrizes do SWGDE e o NIST SP 800-86. Cada uma parte de uma abordagem diferente, cobre fases diferentes do ciclo de vida da prova e fala com públicos diferentes. A resposta para "qual norma seguir" depende do contexto operacional, da jurisdição e do tipo de prova.
Este artigo compara os quatro principais referenciais de preservação de prova digital, examina os requisitos centrais de cada um e mostra como a TrueScreen os aplica automaticamente no trabalho de todo dia.
Uma quinta referência fica fora desta comparação: a série ISO 21043 de ciências forenses rege o processo forense como um todo, e não apenas a prova digital, e traça um limite explícito com a ISO/IEC 27037 quanto aos dados guardados em mídias de armazenamento.
Por que as normas internacionais importam na preservação de prova digital
A prova digital tem fragilidades estruturais que a prova física não tem. Um arquivo pode ser copiado sem deixar rastro, metadados podem ser alterados, uma marca de tempo pode ser manipulada. Sem uma cadeia de custódia documentada desde o momento da aquisição, qualquer prova digital é contestável em juízo.
Para ver como os tribunais federais e estaduais dos Estados Unidos aplicam essas normas, leia o nosso guia sobre a certificação FRE 902(14) nos tribunais norte-americanos.
As normas internacionais resolvem esse problema fixando requisitos mínimos de integridade, autenticidade e reprodutibilidade. Não são recomendações genéricas: descrevem procedimentos operacionais precisos para cada fase do manuseio da prova. O Escritório das Nações Unidas sobre Drogas e Crime (UNODC) aponta a ISO/IEC 27037 como referência fundamental para investigações digitais no mundo inteiro, o que confirma o papel central desses referenciais na cooperação judiciária internacional.
Um dado que ajuda a medir o problema: segundo o relatório da IBM sobre o custo das violações de dados de 2025, o custo médio de uma violação de dados chegou a US$ 4,88 milhões, e as organizações sem procedimentos de resposta a incidentes pagam bem mais em litígios e sanções regulatórias, justamente onde a gestão da prova digital é decisiva.
ISO/IEC 27037: a norma de referência para identificação, coleta e preservação
Publicada em 2012, a ISO/IEC 27037 é a norma mais citada da forense digital. Ela define diretrizes para quatro processos fundamentais: a identificação das fontes de prova digital, a coleta dos dispositivos físicos, a aquisição dos dados por cópia forense e a preservação da integridade ao longo do tempo.
O princípio central da norma é a minimização da alteração. Toda operação sobre um dispositivo ou sobre um dado precisa ser documentada: quem executou, quando, como e sob qual autorização. A ISO 27037 exige, sempre que possível, cópias bit a bit verificadas por hash criptográfico (em regra o SHA-256), para confirmar que a cópia corresponde exatamente ao original.
A norma introduz dois papéis profissionais: o DEFR, o primeiro respondente que executa as operações iniciais de coleta, e o DES, o especialista que conduz as fases mais complexas de aquisição e análise. A distinção importa porque fixa requisitos de competência diferentes para cada função dentro da cadeia de custódia.
Um aspecto quase sempre esquecido: a ISO 27037 vale não só para discos rígidos e aparelhos móveis, mas também para a prova volátil, como a memória RAM, os dados de rede e o conteúdo hospedado em nuvem. A seção 7.1.3 trata especificamente da gestão da prova em ambientes virtualizados, tema cada vez mais relevante à medida que os dados das organizações migram para a nuvem.
ISO/IEC 27042: análise e interpretação da prova digital
Onde a ISO 27037 cuida da coleta e da preservação, a ISO/IEC 27042 (publicada em 2015) trata da análise e da interpretação. As duas se completam: a primeira garante que a prova chegue íntegra ao laboratório, a segunda estabelece como examiná-la sem comprometer o seu valor.
A ISO 27042 define três tipos de análise: a estática (exame dos dados sem executar o sistema), a dinâmica (estudo do comportamento durante a execução) e a análise em tempo real (monitoramento de sistemas ativos). Para cada tipo, a norma exige que o processo seja documentado de modo a poder ser reproduzido por outro analista independente.
A reprodutibilidade é o conceito central: o analista precisa poder demonstrar que outro profissional, seguindo o mesmo procedimento documentado, chegaria às mesmas conclusões. Esse requisito tem efeito direto sobre a admissibilidade da prova em juízo, porque permite à parte contrária conferir a metodologia empregada.
A norma também exige que cada analista demonstre competência específica para o tipo de prova examinada. Ser um técnico de informática genérico não basta: quem analisa prova extraída de aparelhos móveis precisa ter experiência documentada nesse domínio.
SWGDE: as diretrizes operacionais da comunidade forense norte-americana
O Grupo de Trabalho Científico sobre Prova Digital (SWGDE) não publica normas ISO, e sim diretrizes operacionais usadas por laboratórios forenses, forças policiais e tribunais dos Estados Unidos e do Canadá. A diferença conta: onde as normas ISO definem princípios e requisitos gerais, as diretrizes do SWGDE trazem procedimentos detalhados, passo a passo.
O documento "Boas práticas para a coleta de prova digital" (atualizado em novembro de 2025) cobre todo o ciclo de coleta da prova digital, com instruções específicas para cada tipo de dispositivo e de mídia. Diferente da ISO 27037, que trabalha em um plano mais abstrato, o SWGDE indica exatamente quais ferramentas usar, quais verificações fazer e como documentar cada passo.
O SWGDE também publicou em 2025 diretrizes específicas para a aquisição de prova em nuvem (documento 23-F-004), tema que as normas ISO tratam com menos profundidade. Isso reflete uma diferença de cultura: as normas ISO buscam a universalidade, enquanto as diretrizes do SWGDE miram a operacionalidade imediata dentro do contexto judiciário norte-americano.
Um ponto forte do SWGDE é a atualização frequente. Enquanto a ISO 27037 é de 2012, o SWGDE revisa os seus documentos a cada dois ou três anos para incorporar a evolução tecnológica. Só em 2025 publicou diretrizes atualizadas sobre análise forense de vídeo, coleta de prova em drones e aquisição forense em aparelhos móveis.
NIST SP 800-86: o referencial federal para a resposta a incidentes
NIST SP 800-86, intitulado "Guia para integrar técnicas forenses à resposta a incidentes", parte de uma perspectiva diferente das normas anteriores. Ele não fala em primeiro lugar com os laboratórios forenses, e sim com as equipes de tecnologia e de segurança das organizações que precisam lidar com incidentes.
A norma do NIST descreve um processo forense em quatro fases: coleta, exame, análise e relatório. A ênfase está em integrar as técnicas forenses aos procedimentos operacionais de todo dia, não apenas à reação depois do incidente. A abordagem interessa sobretudo às organizações que lidam com grandes volumes de dados e precisam garantir a preservação da prova como parte do fluxo normal de trabalho.
O NIST SP 800-86 também se destaca pela atenção à hierarquia de volatilidade dos dados: registradores do sistema, memória RAM e conexões de rede ativas têm uma janela de coleta curtíssima. A norma traz uma lista de prioridade de coleta baseada na volatilidade, um elemento operacional que as normas ISO não detalham com a mesma precisão.
Uma contribuição específica do NIST é o documento IR 8387, que atualiza as definições e a classificação da prova digital para incluir tipos emergentes, como os dados de IoT, a prova originada em sistemas de inteligência artificial e os metadados de serviços em nuvem.
Tabela comparativa: as quatro normas lado a lado
Para ajudar na escolha da norma mais adequada a cada contexto, a tabela resume as diferenças principais entre os quatro referenciais de preservação de prova digital.
| Critério | ISO/IEC 27037 | ISO/IEC 27042 | SWGDE | NIST SP 800-86 |
|---|---|---|---|---|
| Fases cobertas | Identificação, coleta, aquisição, preservação | Análise e interpretação | Coleta, aquisição, preservação, análise | Coleta, exame, análise, relatório |
| Público principal | Laboratórios forenses, polícia, DEFR/DES | Analistas forenses, peritos técnicos | Laboratórios forenses e polícia (EUA e Canadá) | Equipes de TI, SOC, resposta a incidentes |
| Nível de detalhe | Princípios e requisitos gerais | Referencial metodológico | Procedimentos operacionais passo a passo | Guia integrado com prioridades operacionais |
| Cobertura de nuvem e IoT | Parcial (seção 7.1.3) | Limitada | Específica (doc. 23-F-004, 2025) | Atualizada (IR 8387) |
| Última atualização | 2012 | 2015 | 2025 (atualização contínua) | 2006 (base) + IR 8387 (2022) |
| Reconhecimento jurídico | Global (citada pelo UNODC e por tribunais europeus) | Global (complementar à 27037) | Estados Unidos e Canadá | Estados Unidos (agências federais) |
| Hash criptográfico | SHA-256 (requisito explícito) | Remete à 27037 | MD5 + SHA (hash duplo recomendado) | SHA-256 (recomendado) |
A escolha da norma depende do contexto. Um laboratório forense europeu segue sobretudo a ISO 27037 e a 27042. Uma equipe corporativa de resposta a incidentes nos Estados Unidos adota o NIST SP 800-86 combinado com as diretrizes do SWGDE. No Brasil, onde a prova documental é regida pelo CPC e a perícia criminal pelo CPP, a ISO/IEC 27037 é a referência técnica mais citada. Em contextos internacionais, com várias jurisdições envolvidas, a combinação da ISO 27037 com o NIST dá a cobertura mais ampla.
Qual plataforma aplica automaticamente essas normas de preservação de prova digital
Adotar essas normas manualmente exige conhecimento especializado, ferramentas dedicadas e procedimentos documentados que muitas organizações não têm dentro de casa. A TrueScreen, plataforma de autenticidade de dados, resolve esse ponto embutindo os requisitos das normas internacionais dentro do próprio processo de aquisição e certificação.
Quando o usuário adquire uma prova digital pela TrueScreen, a plataforma executa sozinha os passos que as normas pedem: a captura forense do conteúdo na fonte (segundo os princípios da ISO 27037), a verificação de integridade por hash criptográfico e a documentação da cadeia de custódia digital, com carimbos de tempo qualificados e assinaturas eletrônicas emitidos por um prestador qualificado de serviços de confiança nos termos do Regulamento eIDAS. Essa é a cadeia de custódia digital da evidência capturada pela plataforma: ela não integra nem substitui a cadeia de custódia pericial dos arts. 158-A a 158-F do CPP.
O TrueScreen Forensic Browser é um exemplo concreto de como esses princípios viram prática. O aplicativo permite navegar, capturar e certificar páginas web com integridade forense. Cada captura fica registrada em uma trilha de auditoria imutável, com duplo horário (relógio local e hora verificada por NTP em quatro servidores independentes), aquisição ampla de metadados forenses (certificados SSL, resoluções de DNS, tráfego HTTP, detecção de VPN e de proxy) e assinatura eletrônica do pacote de prova.
A plataforma TrueScreen está disponível por aplicativo, portal web, API e SDK, o que torna a certificação acessível a qualquer organização, independentemente do porte ou do conhecimento forense interno.
Como aplicar as normas no dia a dia
Aplicar as normas internacionais de preservação de prova digital exige uma abordagem estruturada, que combine formação, ferramentas e procedimentos. Três passos operacionais permitem começar.
O primeiro passo é mapear as fontes de prova: identificar todos os sistemas, dispositivos e fluxos de dados capazes de gerar prova digital relevante. A ISO 27037 (seção 5.4) trata esse mapeamento como pré-requisito de qualquer programa de gestão da prova. Na maioria das organizações, as fontes principais são e-mails, documentos contratuais, fotografias, gravações de vídeo, comunicações em aplicativos de mensagem e dados de aplicações web.
O segundo passo é definir os procedimentos de coleta. Cada tipo de prova pede um procedimento próprio: a prova volátil (memória RAM, conexões de rede) segue a hierarquia de prioridade do NIST SP 800-86, enquanto o conteúdo web exige aquisição forense com metadados completos, conforme as diretrizes do SWGDE.
O terceiro passo é a automação. As normas não exigem que cada operação seja manual: exigem que ela seja documentada, reproduzível e verificável. Ferramentas como a TrueScreen automatizam a conformidade, porque cada aquisição já nasce alinhada às normas, sem exigir do operador um conhecimento forense profundo.
O quadro normativo da prova digital: Brasil, Europa e Estados Unidos
As normas técnicas operam dentro de um quadro normativo que lhes dá o contexto jurídico. Na Europa, o Regulamento eIDAS (UE 910/2014 e, depois, o eIDAS 2.0) estabelece o regime das assinaturas eletrônicas, dos selos eletrônicos e dos carimbos de tempo qualificados, e dá a esses instrumentos uma presunção legal de integridade e autenticidade em todos os Estados-membros.
Nos Estados Unidos, as Regras Federais de Prova (em especial as regras 901 e 902) regem a autenticação e a admissibilidade da prova digital nos tribunais federais. A regra 902(14), alterada em 2017, admite a autoautenticação dos dados copiados de dispositivos eletrônicos quando acompanhados da certificação de uma pessoa qualificada que tenha usado um processo confiável para produzir uma cópia fiel.
O Regulamento E-Evidence (UE 2023/1543), plenamente aplicável desde agosto de 2026, cria procedimentos padronizados para pedir e transferir prova eletrônica entre os Estados-membros da União Europeia. Ele torna o alinhamento às normas ISO ainda mais relevante, porque a prova digital precisa satisfazer requisitos de integridade reconhecidos internacionalmente para poder ser usada em processos transfronteiriços.
No Brasil o quadro é o do Código de Processo Civil: o art. 369 admite todos os meios legais de prova, os arts. 439 a 441 disciplinam o documento eletrônico, o art. 411 trata da autenticidade e o art. 371 deixa claro que a valoração da prova é do juiz. No processo penal, a cadeia de custódia dos arts. 158-A a 158-F do CPP, incluídos pela Lei 13.964/2019, descreve um procedimento estatal próprio. A convergência é a mesma em toda parte: a gestão estruturada da prova digital deixou de ser assunto reservado aos laboratórios forenses e virou requisito operacional de qualquer organização.
