La evidencia digital es información electrónica relevante para reconstruir hechos. Su fiabilidad depende de cómo se obtuvo, preservó, contextualizó y contrastó.
Una situación para empezar
Una conversación de mensajería termina en una captura
Alguien conserva una captura donde aparece un mensaje importante. La imagen muestra una conversación, pero no aclara necesariamente la identidad real de los participantes, si faltan mensajes anteriores o si la hora corresponde a una zona temporal determinada.
La captura puede señalar qué fuente conviene preservar. Los archivos originales, la exportación de la conversación, el dispositivo, los metadatos y la corroboración con otras fuentes pueden cambiar la fuerza de la reconstrucción.
Conceptos que conviene separar
Integridad
Posibilidad de verificar si una evidencia ha cambiado desde un momento determinado.
Hash
Huella calculada sobre un archivo para comparar su contenido, no para certificar por sí sola su veracidad.
Metadatos
Información adicional sobre archivos, eventos o comunicaciones, cuyo significado depende del sistema.
Cadena de custodia
Registro de obtención, manejo, transferencias y conservación de la evidencia.
Cómo se conecta todo
Captura, archivo y hecho no son lo mismo
Una representación visual muestra lo que alguien vio o documentó. Un archivo original puede conservar datos adicionales. La conclusión sobre lo que ocurrió requiere interpretación y, muchas veces, corroboración independiente.
Los relojes pueden engañar
Fechas y horas pueden estar expresadas en zonas diferentes, desincronizadas o registradas por servidores distintos. Para una cronología confiable hay que identificar la fuente temporal de cada evento.
Técnica y procedimiento
La preservación forense y la admisibilidad procesal son planos relacionados, pero distintos. La relevancia jurídica, licitud de obtención y posibilidad de contradicción no quedan resueltas mediante una sola operación técnica.
Un error frecuente
Atribuir identidad o intención solo por una dirección IP, un nombre de usuario o una captura. Los indicadores deben situarse en el contexto de acceso, dispositivo, hora y otras fuentes.
Qué conviene comprobar
- Conservar originales y documentar cómo se obtuvo cada elemento.
- Registrar fechas, horas, sistemas y personas que intervinieron.
- Indicar lo que la evidencia demuestra y lo que sigue siendo una hipótesis.
Fuentes para seguir profundizando
Las fuentes siguientes permiten ampliar los conceptos y verificar marcos o criterios técnicos. La vigencia de las disposiciones aplicables debe comprobarse en cada caso.