Como um escritório de advocacia monta a resposta a incidentes sem internalizar forense?

O pedido que chega ao escritório

O pedido raramente chega como «preciso de forense digital». Chega como uma necessidade de compliance, escrita por quem acabou de assumir a área e percebeu uma lacuna.

O pedido tem uma estrutura que se repete. O cliente quer um único responsável, quer que a resposta seja jurídica desde o início e quer a certeza de que a parte técnica será feita por quem responde por ela. O escritório é o candidato natural a coordenador, porque já conhece o cliente, já tem o sigilo e já cuida das consequências jurídicas de qualquer incidente. O que lhe falta é a capacidade técnica de preservar e examinar, e essa capacidade não se improvisa.

Por que não internalizar

Computação forense é uma especialidade cara de manter e rara de usar. Exige equipamento (duplicadores, bloqueadores de escrita, licenças de ferramentas de extração), método documentado, treinamento contínuo e, sobretudo, alguém que assine o laudo e o sustente em audiência. Para um escritório, internalizar isso significa manter uma equipe ociosa a maior parte do tempo, e ainda assim sem a credencial que o juízo espera de um perito.

A parceria resolve o problema pelo mesmo raciocínio que leva escritórios a se associarem a especialistas de tributário ou de regulatório: o escritório mantém a relação e a coordenação, o parceiro entra quando o caso exige e sai quando termina, e o cliente recebe um serviço integrado. A diferença, no caso da forense, é que a parceria precisa estar montada antes do incidente. No meio da crise não há tempo para procurar perito, negociar contrato e explicar o ambiente.

A divisão de papéis

O modelo que funciona separa a coordenação jurídica da execução técnica, frente a frente:

Frente	Escritório de advocacia	Perito (parceiro técnico)
Escopo e estratégia	Define o escopo e a estratégia da investigação	Avalia a viabilidade técnica, as fontes de evidência e as chances de achado
Preservação	Orienta o legal hold e as requisições a terceiros	Faz a aquisição e a preservação forense, com hash e cadeia de custódia
Análise	Analisa riscos e responsabilidades, conduz entrevistas e a investigação interna	Examina computadores, celulares, servidores, nuvem e e-mail; recupera dados e reconstrói a linha do tempo
LGPD e regulatório	Decide sobre a comunicação à ANPD, aos titulares e aos reguladores setoriais	Fornece os fatos técnicos que a fundamentam: dados afetados, extensão e janela temporal
Entregáveis	Relatório ou parecer jurídico e recomendação de medidas	Nota técnica preliminar, parecer técnico, laudo pericial e assistência técnica

O ponto de contato entre as colunas é o legal hold. O escritório ordena a preservação; o perito diz o que precisa ser preservado, em que ordem e como, seguindo a ordem de volatilidade da

e o método da . Quando a prova está com terceiros, como provedores de nuvem ou de e-mail, o escritório cuida da requisição e, se preciso, da medida judicial de produção antecipada de prova ou de exibição, prevista nos arts. 381 e 396 do ; o perito formula os quesitos técnicos e recebe o material com cadeia de custódia.

O que alinhar antes de propor ao cliente

O escritório do caso acima listou, antes de montar a sua proposta, sete pontos que queria fechados com o parceiro técnico. A lista é boa e vale como roteiro:

1. Escopo técnico disponível. O que o perito cobre: dispositivos, servidores, nuvem, e-mail, celulares, recuperação de dados, análise de registros e reconstrução de eventos. E o que não cobre: contenção, recuperação operacional e monitoramento contínuo, que ficam com a TI ou com o fornecedor de segurança.
2. Forma e prazo de acionamento em urgência. Canal 24/7, prazos de retorno por severidade e início da preservação, fixados em contrato. Sem isso, a «parceria» é uma lista de telefones.
3. Cadeia de custódia. Os procedimentos da perícia oficial:
   Fundamento: ISO/IEC 27037
   ,
   Fundamento: RFC 3227
   , hash SHA-256, bloqueador de escrita e os arts. 158-A a 158-F do
   Fundamento: Código de Processo Penal
   , aplicados por analogia nas apurações privadas, para que a prova sirva em qualquer esfera.
4. Confidencialidade e tratamento dos dados. Acordo de confidencialidade tripartite e acordo de tratamento de dados em que o perito atua como operador, nos termos do art. 39 da
   Fundamento: LGPD
   , com descarte certificado ao final. O acionamento passando pelo escritório mantém o trabalho técnico sob o sigilo profissional do art. 7º, II, da
   Fundamento: Lei nº 8.906/1994
   .
5. Formato dos entregáveis. Nota técnica preliminar em prazo curto, para a decisão de comunicar; parecer técnico; laudo pericial; pareceres em assistência técnica. Cada um com finalidade e destinatário definidos.
6. Responsabilidade técnica. O perito responsável é nomeado no contrato e assina todos os documentos técnicos. É quem vai à audiência.
7. Modelo de precificação. Uma mensalidade de plantão, que cobre a prontidão e a primeira resposta, somada a pacotes por demanda para o exame aprofundado. O escritório define a sua margem sobre a tabela de parceria.

Como o acionamento funciona

O fluxo, do incidente ao parecer, tem seis passos:

1. Compliance ou TI detecta o incidente e aciona o escritório, que é o único contato que o cliente precisa guardar.
2. O escritório aciona o perito pelo canal 24/7 e abre o legal hold.
3. Primeira resposta: triagem, classificação de severidade, orientação de contenção que não destrói a prova e preservação emergencial dos ativos prioritários, com hash e cadeia de custódia.
4. Nota técnica preliminar em 48 horas: o que aconteceu, o que foi afetado e a janela temporal. Com ela, o escritório decide a comunicação à ANPD dentro dos três dias úteis da
   Fundamento: Resolução CD/ANPD nº 15/2024
   e os avisos a reguladores setoriais, seguradora e contrapartes.
5. Definição de escopo do exame aprofundado, pelo jurídico sozinho ou em consulta com o perito, e escolha do entregável: parecer técnico, laudo pericial ou laudo com assistência técnica no processo.
6. O escritório consolida os achados técnicos no relatório ou parecer jurídico e recomenda as medidas.

A preservação feita no passo 3 é aproveitada no passo 5, sem nova coleta. É o que torna o modelo econômico para o cliente: paga-se uma vez pela prova e usa-se quantas vezes forem necessárias.

O que o escritório ganha além do caso

Montada a parceria, aparecem frentes jurídicas que o escritório já sabe fazer e que o cliente passa a enxergar como parte do mesmo serviço: a revisão dos contratos com fornecedores de TI e de software, para incluir retenção de registros, cooperação forense e notificação de incidente, que é onde a prova costuma se perder; a política de legal hold e o procedimento de desligamento de colaboradores com preservação de dados; os modelos de comunicação à ANPD, aos titulares e ao mercado; a política de uso de inteligência artificial; e as medidas judiciais de preservação e fornecimento de dados por provedores.

O escritório deixa de ser chamado depois do incidente, para cuidar das consequências, e passa a ser chamado antes, para evitá-las. É uma posição melhor, e o cliente a paga de bom grado.

Onde entra o perito

O perito criminal responsável pelo caso é a coluna da direita da tabela: avalia a viabilidade técnica, preserva com hash e cadeia de custódia, examina, reconstrói a linha do tempo e assina a nota técnica, o parecer, o laudo e os pareceres em assistência técnica. O contrato nomeia o responsável, fixa os prazos de acionamento e define a tabela de parceria sobre a qual o escritório compõe a sua proposta. A página de resposta forense a incidentes descreve o modelo em duas fases, os prazos por severidade e a seção dedicada a escritórios de advocacia.