Armazenamento de provas e documentação

1) Metas e resultados

• A imutabilidade legal dos artefatos (imutable evidence).
• Traçabilidade: quem, quando, porque criou/alterou/leu.
• Pronto para auditar «por botão» (replicável «audit pack»).
• Respeito à privacidade e reticência (TTL, Legal Hold, remoção/anonimato).
• Um único circuito de direitos e responsabilidades (RACI) e uma métrica de qualidade.

2) Taxonomia de artefatos (que consideramos provas)

Técnicos: logs de acesso e ação admin, conclusões de scanners (SAST/DAST/SCA), relatórios de digitalização de segredo, registros SOAR, à deriva IaC/nuvem, bacapes de configuração, KMS/HSM.
Operacionais: tíquetes ITSM/incidentes/alterações, protocolos pós-mortem, atas de teste DR./BCP, relatórios de revisão de acesso (re-cert).
Legais e Regulatórios: Políticas/padrões/SOP com Revista de Versões, DPA/SLA/Adendas, notificações aos reguladores, respostas a solicitações, SARA/remunções.
Privacidade e dados: registros de ganhos, malas DSAR, confirmação de remoção/anonimato, gráficos de retenção, revistas Legal Hold.
Vendedores/terceiros: resultados de Due Diligence, certificados (SOC/ISO/PCI), relatórios de pentestais, conformidade SLA.
Relatório de controle financeiro AML/TR, limites e exceções, confirmação de SoD.

3) Princípios (design tenets)

Imutability by default: WORM/Object Lock, proibição de regravação durante o período de armazenamento.
Integrity & Autenticity: cadeias de hash, raízes merkley, assinatura digital e marcas de tempo.
Mínimo & Purpose-bound: apenas os dados necessários, pseudônimo/disfarce.
Case-based access: acesso por mala e papel, com registro de leitura/exportação.
Policy-as-Código: Retenção/Legal Hold/classes de artefatos - no repositório de regras.
Auditability: relatórios reproduzidos e «check pack» com recibos hash.

4) Papéis e RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Arquitetura de armazenamento

1. Área de recepção (ingest): pneu confiável, mTLS, retraí, dedução, normalização de metadados (JSON).
2. Armazenamento quente: pesquisa rápida/relatórios (30 a 90 dias).
3. Armazenamento frio: objeto/arquivo (1-7 anos), classe econômica.
4. WORM/Objeto Lock: arquivo de provas imutável com políticas de baque/objeto.
5. Integridade: hash batchi, árvores merkli, anistia periódica; registo de verificação.
6. Catálogo/artefatos MDM: registro de tipos, esquemas, proprietários, TTL, campos de busca essenciais.
7. Acesso: RBAC/ABAC + case-based access; exportação com recibo hash; Controle duplo para conjuntos sensíveis.
8. Replicação e DR.: distribuição geográfica, metas RTO/RPO, verificações regulares de recuperação.

6) Políticas-como-código (exemplo YAML)

yaml id: EVD-RET-001 title: "Retention and Legal Hold (evidence)"
classes:
- name: "security_logs"
hot_days: 30 cold_days: 365 worm_years: 3
- name: "contracts_dpa"
hot_days: 0 cold_days: 2555  # ~7 лет worm_years: 7 legal_hold:
enabled: true override_ttl: true privacy:
mask_fields: ["email","phone","ip","account_id"]
export_policy: "case_based"
verification:
integrity_check: "daily"
anchor_cadence: "hourly"

7) Cadeia de armazenamento (Chain of Custody)

Identificação: ID exclusivo do objeto, origem, versão do esquema.
Fixação: hash SHA-256/512, assinatura do pacote, timbre do tempo.
Transporte: registro de manifestos (quem/quando carregou/verificou).
Acesso: registro de todas as leituras/exportações; referência à mala/tíquete.
Os relatórios são: recibos hash, protocolos de verificação, resultados de fendas.

8) Retenção, Legal Hold e remoção

Gráficos de armazenamento por classe de artefactos e jurisdição.
Legal Hold em incidentes/pedidos do regulador - «congelamento» de remoções.
Remover por TTL só depois de verificar automaticamente que o Hold não está ativo.
Relatório de remoção - Lista de objetos + Resumo de hash agregado.
Offboarding Wendor - Reticência espelhada, confirmação de destruição.

9) Privacidade e minimização

O Scope-mínimo é armazenar o contexto em vez de «payload completo».
Pseudônimo/camuflagem de campos sensíveis; chaves de identificação separadas.
Acesso «por mala»: para DSAR/incidente - permissões temporárias com registro.
Tesouraria: marcas explícitas do país de armazenamento/processamento; controle de cópias.

10) «Audit pack» (estrutura)

1. Descrição da organização e do RACI.
2. Políticas/padrões/SOP (versões atuais + changelog).
3. Mapa de sistemas e controladores + maping para normas/certificações.
4. Métricas KPI/KRI e relatórios do período.
5. Artefatos por amostra: logs, configs, scans, DR./BCP, revisões de acesso.
6. Arquivo Vendor: DPA/SLA, certificados, relatórios pentest.
7. SARA/Remediar: status, provas de encerramento.
8. O recibo do pacote e o registo de acesso.

11) Métricas e SLO

Integrity Pass: 100% de verificações bem sucedidas de cadeias de hash.
Anchor Freshness p95: ≤ 2 horas entre os questionários e a verificação.
Coverage: ≥ 98% dos sistemas críticos no catálogo de evidence.
Access Review SLA: 100% dos direitos de arquivo mensais.
Legal Hold Lag: ≤ 15 minutos do evento até a instalação da Hold.
Export SLA («audit pack»): ≤ 8 horas para o conjunto completo.
PII Leak Rate: 0 vazamentos críticos nos arquivos.

12) Dashboards (conjunto mínimo)

Integrity & WORM: Status de ankering, Object Lock, erros de verificação.
Coverage & Catalog: abrangência de classes de artefatos, «buracos», objetos órfãos.
Access & Exports: quem leu/descarregou, anomalias, conflitos SoD.
Retenção & Hold: temporizadores TTL, ativo Legal Hold, cronograma de remoções.
Vendor Mirror: estado de retenção de espelhos em contratantes.
Check Readiness: Pronto por botão e tempo até SLA.

13) SOP (procedimentos padrão)

SOP-1: Download de provas

1. Registro de origem → 2) normalização/esquema → 3) hash e assinatura →

2. entrada na área WORM → 5) verificação e anistia → 6) atualização do diretório.

SOP-2: Preparação de «auditoria pack»

Abrir a mala → coletar uma lista de artefatos por amostra → formar um pacote → gerar um recibo hash → legal review → emitir através do canal oficial → gravar acesso e cópia no WORM.

SOP-3: Legal Hold

Iniciar Hold → remover classes/malas → parar tarefas de remoção → notificar os proprietários → registrar todas as operações → retirar Hold por determinação Legal.

SOP-4: Remoção por TTL

Verificar Hold ativo → remover atômano → soltar relatório com resumo hash → atualizar o catálogo.

SOP-5: Off-board

A solicitação de um relatório de armazenamento espelhado → exportação/transferência → confirmação de destruição em um vendedor → verificação e arquivo de ajuda.

14) Metadados de artefato (mínimo)

UID, sala de aula, versão do esquema, origem, dono/contatos.
Data/hora de criação e download, jurisdição/região de armazenamento.
Hesh/assinatura/lista de merkley e histórico de verificações.
TTL e status Legal Hold.
Links para tíquetes/malas/políticas associadas.
Histórico de acessibilidade/exportação.

15) Verificação de integridade (algoritmo)

Amostra diária de batches → recontagem de hasts → cruzamento com raiz merckley → relatório de inconsistências → escalação automática e «freeze» segmentos controversos antes da investigação.

16) Qualidade e testes

Schema compliance ≥ 99. 5% (desvios → bloqueios de admissão).
Disaster Restore Drills - Testes trimestrais de recuperação de arquivo.
Representability - arquivos de reperforme para auditores (reprodutividade de relatórios).
Versioned Playbooks - Versioning SOP e modelos de «check pack».

17) Antipattern

A ausência do WORM/imutability → a controvérsia da prova.
Texto bruto sem padrão → fraca pesquisa/validação.
Não há diretório nem proprietários.
Arquivo como «despensa»: sem métricas/dashboards, sem testes de Dr.
Exceções eternas (waivers) sem data de expiração.
Exportar sem recibo hash ou registro de acesso.
Mistura de dados de prod PI em artefatos sem minimização.

18) Modelo de maturidade (M0-M4)

M0 Manual: pastas separadas, sem TTL/cadeia de armazenamento.
M1 Catálogo: registro único de artefatos, retenção básica.
M2 Gerenciado: WORM/Object Lock, integração com IAM, Legal Hold, dashboard.
M3 Assured: cadeias de hash, anquering, case-based access, «audit pack» no botão.
M4 Contínuo Assurance: Verificações automáticas de integridade, riscos de previsão, retoma em espelhos nos vendedores, ensinamentos DR. completos.

19) Artigos wiki relacionados

Registro e protocolo

Audity Trail: Monitoramento de operações

Legal Hold e congelamento de dados

Gráficos de armazenamento e remoção de dados

Monitoramento Contínuo de Conformidade (CCM)

KPI e métricas de complaens

Dê Diligence e riscos de outorga

Gerenciamento de alterações na política de complacência

Interação com reguladores e auditores

Resultado

Armazenamento de provas confiável não é apenas um «arquivo», mas um sistema controlado e comprovadamente imutável: WORM e cadeias de hash, políticas de retenção rigorosas e Legal Hold, acesso «por mala», diretórios e métricas reproduzidos por «check pack» e verificações regulares de integridade. Neste sistema, a auditoria é previsível, as investigações são rápidas e os riscos controlados.